病毒技巧的学习课件.pptxVIP

病毒技巧的学习课件第1页/共32页 2第六章 病毒技巧 病毒的隐藏技术花指令计算机病毒的简单加密病毒的多态病毒的变形技术病毒代码的优化异常处理病毒的自我保护第2页/共32页 3病毒的隐藏技术 引导型病毒文件型病毒宏病毒Windows环境下的病毒 第3页/共32页 4引导型病毒的隐藏 第4页/共32页 5引导型病毒对付杀毒软件的方法 第5页/共32页 6文件型病毒的隐藏技术 第6页/共32页 7在WORD／EXCEL中禁止菜单：文件－模板 或者 工具－宏就可以隐藏病毒。通过宏病毒代码删除菜单项。宏病毒用自己的FileTemplates和ToolsMacro宏替代系统缺省的宏 。宏病毒的隐藏技术 第7页/共32页 8Windows病毒的隐藏技术 修改文件时间、大小；在文件空隙中插入病毒片断：CIH在节中寻找空隙；Win98下隐藏进程：在进程管理器中将无法看到病毒进程；Win2000下创建服务进程：在Win2000环境中，将病毒创建为服务进程以后，用户无法关闭进程；创建远程进程。 第8页/共32页 9花指令 所谓花指令就是在我们的程序之间加入一些似乎没有什么意义的代码，这些代码不会妨碍程序正常的运行，但是在静态反汇编时，却会让原本正常的代码解释成难以读懂、甚至有些怪异的汇编代码。 第9页/共32页 10花指令start: push eax push ebx push ecx push edx call delta db 12，34hdelta: pop ebp sub ebp, offset delta pop edx pop ecx pop ebx pop eaxend start? ? ? ? ?? ? start:50 ? ? ? ? ? ? push ? ?eax53 ? ? ? ? ? ? push ? ?ebx51 ? ? ? ?? ? ? push ? ?ecx52 ? ? ? ? ? ? push ? ?edxE802000000 ? call ? ?fn_0040100B0C34 ? ? ? ? ? or ? ? ?al,34h ? ? ? 0040100B ? ? ? ?? ? ? fn_0040100B ? ? ?0040100B 5D ? ? ? ? ? ? pop ? ? ebp 0040100C 81ED0B104000 sub ? ? ebp,40100Bh5A ? ? ? ? ?? ? pop ? ? edx59 ? ? ? ? ? ? pop ? ? ecx5B ? ? ? ?? ? ? pop ? ? ebx58 ? ? ? ? ? ? pop ? ? eax 第10页/共32页 11花指令反汇编程序在工作时，它会按照某些规则对代码进行匹配以将二进制代码解释成汇编语句。不同的机器指令包含的字节数并不相同，有的是单字节指令，有的是多字节指令。对于多字节指令来说，反汇编软件需要确定指令的第一个字节的起始位置，也就是操作码的位置，这样才能正确地反汇编这条指令，否则它就可能反汇编成另外一条指令了。 第11页/共32页 12start: push eax push ebx push ecx push edx call delta db 12hdelta: pop ebp sub ebp, offset delta pop edx pop ecx pop ebx pop eaxend start start50 push ea53 push eb51 push ec52 push edE801000000 call fn_0040100125D81 adc bl,[ebp-7Fh] 0040100C ED in eax,dx0040100D 0A10 or dl,[eax]0040100F 40 inc ea005A59 add [edx+59h],bl004