计算机病毒常用技术综述专家讲座.pptxVIP

计算机病毒与反病毒技术计算机病毒常用技术综述专家讲座第1页

主要内容计算机病毒隐藏技术计算机病毒驻留内存技术计算机病毒变形技术计算机病毒反跟踪、反调试、反分析技术第8章计算机病毒惯用技术综述计算机病毒常用技术综述专家讲座第2页

8.1.1引导型病毒隐藏技术引导病毒隐藏方法8.1计算机病毒隐藏技术修改INT13H入口地址修改INT21H功效4BH计算机病毒常用技术综述专家讲座第3页

8.1.2文件型病毒隐藏技术文件型病毒在打开文件时候将文件内容恢复到未感染状态，在关闭文件时候重新进行感染因为访问文件方式、方法非常多，所以实现完全文件型病毒隐藏是一件非常困难事情。一套较完整隐藏技术应该改包含对如图所表示几个方面处理8.1计算机病毒隐藏技术计算机病毒常用技术综述专家讲座第4页

8.1.3宏病毒隐藏技术宏病毒隐藏技术比较简单在Word、Excel等软件中禁止菜单“文件→模板”或者“工具→宏”经过宏病毒代码删除菜单项宏病毒用自己FileTemplates和ToolsMacro宏替换系统缺省宏也能够采取5.3节中讨论隐藏技术8.1计算机病毒隐藏技术计算机病毒常用技术综述专家讲座第5页

8.1.4Windows病毒隐藏技术以系统服务程序方式进行隐藏拦截枚举进程API函数动态嵌入式隐藏8.1计算机病毒隐藏技术计算机病毒常用技术综述专家讲座第6页

8.2.1加密解密技术与病毒多态性多态病毒框架多态病毒是改进了加密病毒，由改变解密头和加密代码组成。多态病毒运行时，先执行是解密代码，对加密代码解密，然后执行刚解密代码，也就是实现传输主体代码8.2病毒加密与多态(变形)技术计算机病毒常用技术综述专家讲座第7页

8.2.1加密解密技术与病毒多态性;VIRUS_SIZE是加密代码长度，offsetEncrptStart是加密代码起始地址，key是密钥;密钥以及这些解密代码都是随机生成，不一样感染会不一样?INSTRLENequ10;定义宏，执行一条有效指令同时制造垃圾代码I3macrocode1_2,code3locals,es:code1_2,code3;比如：MOVEAX,EBXe:dbINSTRLEN-(e-s)dup(90h);垃圾代码，类似于后文中将介绍花指令endmI2macrocode1_2locals,es:code1_2;比如：INCEDIe:dbINSTRLEN-(e-s)dup(90h);垃圾代码，类似于后文中将介绍花指令endm?I3MOVECX,VIRUS_SIZEI3MOVEDI,offsetEncrptStartDecrptLoop:I3XORbyteptr[EDI],keyI2INCEDII2LOOPDecrptLoop加密后病毒代码8.2病毒加密与多态(变形)技术计算机病毒常用技术综述专家讲座第8页

8.2.1加密解密技术与病毒多态性多态病毒加密与普通加密差异每条解密指令都不是固定，上面固定代码实际上只是一个可能，病毒每次复制本身时候，这些代码都会随机改变密钥在复制本身时，也要重新生成宏I3、I2使得每条指令占用10个字节空间(之所以选择10个字节，是因为几乎全部指令，尤其是病毒惯用，都小于10个字节，确保了有剩下空间，又不会造成太大浪费，是一个折衷)，在10个字节剩下空间中插入随机生成垃圾代码，这些垃圾代码也是随机选择8.2病毒加密与多态(变形)技术计算机病毒常用技术综述专家讲座第9页

8.2.1加密解密技术与病毒多态性代码说明MOVreg_1,countMOVreg_2,keyMOVreg_3,offset其中，reg_1、reg_2和reg_3是从AX、BX、CX、DX、SI、DI、BP中随机挑选存放器，感染不一样文件，解密代码使用随机存放器；count是加密数据长度，key是加密密钥，offset是加密代码偏移量，感染时候，这些数值都是随机生成，不一样感染都不一样LOOP:xxxbyteptr[reg_3]，reg_2xxx是XOR、ADD、SUB等不一样运算指令通称，使用什么运算指令是感染时候随机选择DECreg_1JxxLOOPJxx是ja、jnc等不一样条件跳转指令通称，使用什么跳转指令也是感染时候随机选择加密后病毒代码8.2病毒加密与多态(变形)技术计算机病毒常用技术综述专家讲座第10页

8.2.2使