计算机病毒分析.pptVIP

第1页，共14页，星期日，2025年，2月5日将要介绍的几种病毒类型DOS病毒引导区病毒文件型病毒混合型病毒Windows病毒VBS脚本病毒宏病毒网页病毒Win32PE病毒第2页，共14页，星期日，2025年，2月5日引导区病毒什么是主引导记录？硬盘的主引导记录在硬盘的0磁头0柱面1扇区。主引导记录由三部分组成：主引导程序；四个分区表；主引导记录有效标志字。第3页，共14页，星期日，2025年，2月5日感染过程是否在读写软盘？是，则将目标盘的引导扇区读入内存,对该盘进行判别是否传染了病毒；当满足传染条件时,则将病毒的全部或者一部分写入Boot区,把正常的磁盘的引导区程序写入磁盘特写位置；返回正常的INT13H中断服务处理程序,完成了对目标盘的传染。第4页，共14页，星期日，2025年，2月5日感染过程第5页，共14页，星期日，2025年，2月5日引导型病毒的主要特点引导型病毒是在安装操作系统之前进入内存，寄生对象又相对固定，因此该类型病毒基本上不得不采用减少操作系统所掌管的内存容量方法来驻留内存高端。而正常的系统引导过程一般是不减少系统内存的。引导型病毒需要把病毒传染给软盘，一般是通过修改INT13H的中断向量，而新INT13H中断向量段址必定指向内存高端的病毒程序。引导型病毒感染硬盘时，必定驻留硬盘的主引导扇区或引导扇区，并且只驻留一次，因此引导型病毒一般都是在软盘启动过程中把病毒传染给硬盘的。第6页，共14页，星期日，2025年，2月5日文件型病毒什么是文件型病毒？所有通过操作系统的文件系统进行感染的病毒都称作文件病毒。我们将会介绍的两种病毒COM文件型病毒EXE文件型病毒第7页，共14页，星期日，2025年，2月5日COM文件型病毒COM文件被载入内存后的格式第8页，共14页，星期日，2025年，2月5日EXE文件型病毒MZ文件头格式偏移? 大小? 描述002?bytes?.EXE?文件类型标记：4d5ah02? 2?bytes? 文件的最后一个扇区的字节数04? 2?bytes?文件的总扇区数文件大小=（总扇区数-1）*512+最后一页字节数06 2?bytes?重定位项的个数08? 2?bytes? exe文件头的大小(16?bytes*this?value)0a? 2?bytes? 最小分配数(16?bytes*this?value)0c? 2?bytes? 最大分配数(16?bytes*this?value)0e? 2?bytes? 堆栈初始段址(SS)10? 2?bytes? 堆栈初始指针(SP)12? 2?bytes? 补码校验和14? 2?bytes? 初始代码段指针(IP)16? 2?bytes? 初始代码段段址（CS）18? 2?bytes? 定位表的偏移地址1a? 2?bytes? 覆盖号The?overlay?number?make?by?link第9页，共14页，星期日，2025年，2月5日混合型病毒什么是混合型病毒？所谓混合型病毒，就是指既可以感染引导区又可以感染文件的病毒。但是这种病毒绝对不是引导区病毒和文件型病毒的简单相加。文件型病毒大多采用INT21H，但是引导型病毒是在引导阶段进行感染驻留，这时DOS系统还没有启动，因此混合型病毒此时无法采用21号中断。如何解决这个问题？第10页，共14页，星期日，2025年，2月5日