- 博客(11)
- 收藏
- 关注
RSS订阅原创 病毒木马查杀实战第022篇：txt病毒研究
前言 反病毒爱好者们很喜欢讨论的一个问题就是，如今什么样的病毒才算得上是主流，或者说什么样的病毒才是厉害的病毒呢？我们之前的课程所讲解的都是Ring3层的病毒，所以有些朋友可能会认为，那么Ring0层的病毒其实才是最厉害的，也是病毒发展的主流；或者有朋友可能认为，采取了五花八门的隐藏技术的病毒才是最难对付的。诚然，大家的观点都很有道理，病毒编写者往往也会用复杂高深的技术来武装自己的恶意
2016-04-20 15:22:11
15822
1
原创 病毒木马查杀实战第021篇：Ring3层主动防御之编程实现
前言 我们这次会依据上次的内容，编程实现一个Ring3层的简单的主动防御软件。整个程序使用MFC实现，程序开始监控时，会将DLL程序注入到explorer.exe进程中，这样每当有新的进程创建，程序首先会进行特征码匹配，从而判断目标程序是否为病毒程序，如果是，则进行拦截，反之不拦截。停止监控时，再卸载掉DLL程序。以下就是程序各个部分的代码实现。 封装InlineHook类
2016-04-20 15:16:16
13916
3
原创 病毒木马查杀实战第020篇：Ring3层主动防御之基本原理
前言 如果说我们的计算机中安装有杀毒软件，那么当我们有意或无意地下载了一个恶意程序后，杀软一般都会弹出一个对话框提示我们，下载的程序很可能是恶意程序，建议删除之类的，或者杀软就不提示，直接删除了；或者当我们运行了某一个程序，包含有可疑操作，比如创建开机启动项，那么杀软一般也会对此进行提醒；或者当我们在计算机中插入U盘，杀软往往也会第一时间对U盘进行扫描，确认没有问题后，再打开U盘……上
2016-04-20 15:14:43
13861
原创 病毒木马查杀实战第019篇：病毒特征码查杀之编程实现
一、前言上次我们已经简单介绍过了病毒特征码提取的基本方法，那么这次我们就通过编程来实现对于病毒的特征码查杀。二、定义特征码存储结构为了简单起见，这次我们使用的是setup.exe以及unpacked.exe这两个病毒样本。经过上次的分析，我们对setup.exe样本的特征码提取如下：\x2a\x2a\x2a\xce\xe4\x2a\xba\xba\x2a\xc4\xd0\x2a\xc9\xfa\
2016-04-20 14:32:44
17233
7
原创 病毒木马查杀实战第018篇：病毒特征码查杀之基本原理
前言 在本系列的导论中，我曾经在“病毒查杀方法”中简单讲解过特征码查杀这种方式。而我也在对于实际病毒的专杀工具编写中，使用过CRC32算法来对目标程序进行指纹匹配，从而进行病毒判定。一般来说，类似于MD5以及CRC32这样的算法，在病毒大规模爆发时是可以提高查杀效率的，但是传统的更为常用的方法是采用以静态分析文件的结构为主并结合动态分析的方法，通过反汇编来寻找病毒的内容代码段、入口点代
2016-04-20 14:24:13
29339
4
原创 病毒木马查杀实战第017篇：U盘病毒之专杀工具的编写
前言 经过前几次的讨论，我们对于这次的U盘病毒已经有了一定的了解，那么这次我们就依据病毒的行为特征，来编写针对于这次U盘病毒的专杀工具。 专杀工具功能说明 因为这次是一个U盘病毒，所以我打算把这次的专杀工具换一种形式实现。不再像前几次那样需要被动运行，而是当我们的专杀工具执行后，一旦有U盘插入，就能主动检测U盘内容，如果发现病毒，就将其删除掉，之后检查系统中是否也存在病毒，
2016-04-20 13:52:12
21218
10
原创 病毒木马查杀实战第016篇：U盘病毒之逆向分析
比对脱壳前后的程序 我们这次所要研究的是经过上次的脱壳操作之后，所获取的无壳病毒样本。其实我们这里可以先进行一下对比，看看有壳与无壳的反汇编代码的区别。首先用IDA Pro载入原始病毒样本：图1 可以发现此时IDA Pro的Functionwindow是空的，说明很多函数没能解析出来，并且还无法切换到图形模式，而图形模式正是我们逆向分析的利器。那么下面就载入脱壳后的样本来看
2016-04-20 11:54:06
12416
原创 病毒木马查杀实战第015篇：U盘病毒之脱壳研究
前言 由于我们的最终目标是编写出针对于这次的U盘病毒的专杀工具，而通过上次的分析我们知道，病毒有可能在不同的计算机中会以不同的名称进行显示，如果真是如此，那么就有必要在此分析出病毒的命名规律等特征，然后再进行查杀。 对病毒样本进行脱壳 按照常规，首先是对病毒进行查壳的工作，这里我所使用的是“小生我怕怕”版的PEiD，之所以用这个版本，是因为经过我的实际测试，常规的PEiD或
2016-04-20 11:14:44
13056
3
原创 病毒木马查杀实战第014篇：U盘病毒之手动查杀
在U盘中发现病毒 前段时间需要往虚拟机中拷贝点资料，如同往常一样，插上我的U盘，并且在虚拟机的设置中选择连接U盘。奇怪的是这次的连接时间较以往长，并且还出现了“自动播放”窗口：图1 自动播放窗口 在扫描完后，来到了U盘的打开类型选择窗口：图2 以前我在虚拟机中使用U盘，都没有出现过“自动播放”的情况。尽管如此，我这次也没在意，选择了“打开文件夹以查看文件”。但是
2016-04-20 10:07:20
10849
2
原创 病毒木马查杀实战第024篇：MBR病毒之编程解析引导区
前言 通过之前的学习，相信大家已经对磁盘的引导区有了充分的认识。但是我们之前的学习都是利用现成的工具来对引导区进行解析的，而对于一名反病毒工程师而言，不单单需要有扎实的逆向分析功底，同时也需要有很强的编程能力来解决实际问题。对于我们本次的课程来说，就需要大家亲自动手，利用程序来实现引导区的解析。这样做的目的，一方面是为了提高大家的编程能力，而另一方面则有助于我们更好地理解引导区
2016-04-18 22:23:42
5765
11
原创 病毒木马查杀实战第023篇：MBR病毒之引导区的解析
前言 引导型病毒指寄生在磁盘引导区或主引导区的计算机病毒。这种病毒利用系统引导时，不对主引导区的内容正确与否进行判别的缺点，在引导系统的过程中入侵系统，驻留内存，监视系统运行，伺机传染和破坏。按照引导型病毒在硬盘上的寄生位置又可细分为主引导记录病毒和分区引导记录病毒。我们未来的几次课，会专门从各个角度来分析这种病毒的特点，阐述病毒原理，提出应对方法。而本次课程的内容主要来讨论一下引
2016-04-18 22:13:00
9891
16
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人