（6）恶意代码的亲密接触之文件搜索和API导址

恶意代码的亲密接触之文件搜索和API导址

　　 文件搜索

　　文件搜索是病毒的重要功能模块之一，也是实现感染和传播的关键。现代Windows和各种移动介质的文件系统可能采用多种复杂格式，因此象一些Dos 病毒一样试图直接存取文件系统（读写扇区）是不大现实的。通常利用Win32 API 的FindFirstFile 和FindNextFile 来实当前目录下所有目录和文件的搜索，通过判断搜索到的文件属性，可区分是否为目录或可执行文件，对于可执行文件则根据预先设计好的感染策略进行感染；对于当前目录下的所有子目录以及特殊的..父目录，可以使用递归或非递归的方式利用上述两个API 全部进行遍历，因此从某个驱动器或网络共享文件夹的任意一个子目录开始，都可以遍历当前驱动器或网络共享文件夹内的所有文件和目录。一般地，搜索文件从驱动器或共享文件夹的根目录开始，那么如何得到当前系统中存在的所有驱动器或所有的共享文件夹列表呢？对于前一个问题，我们知道Windows下可划分A:～Z: 共26 个逻辑盘符，因此可以从A:开始递增搜索所有的驱动器，使用Win32 API GetDriveType判断当前搜索的盘符是否存在，以及是否是固定硬盘、可移动存储介质、是否可写或是网络驱动器等。一般病毒只感染固定硬盘或网络驱动器。由于汇编语言在表述算法时显得过于冗长，因此算法部分使用C 语言描述，当然将C 算法转换成汇编语言是很简单的过程。

　　下面的代码enumdisk.cpp将显示A-Z各个驱动器的相关属性：

#include <windows.h> #include <stdio.h> #define MAX_DRIVENAME_LENGTH 64 void __cdecl main(int argc,char *argv[]) { 　char DriveName[MAX_DRIVENAME_LENGTH]; 　char *p; 　unsigned int drv_attr; 　p = DriveName; 　strncpy(DriveName,"A:",MAX_DRIVENAME_LENGTH); 　for(;*p<'Z';++*p) { 　　drv_attr = GetDriveType(p); 　　switch(drv_attr) 　　{ 　　　case DRIVE_UNKNOWN: // 未知类型 　　　　printf("drive %s type %s/n",p,"DRIVE_UNKNOWN"); 　　　　break; 　　　case DRIVE_NO_ROOT_DIR: // 该驱动器不存在 　　　　printf("drive %s type %s/n",p, "DRIVE_NO_ROOT_DIR");break; 　　　case DRIVE_REMOVABLE: // 可移动盘，软盘或U 盘或 　　　　// 移动硬盘等 　　　　printf("drive %s type %s/n",p,"DRIVE_REMOVABLE"); 　　　　break; 　　　case DRIVE_FIXED: // 固定硬盘 　　　　printf("drive %s type %s/n",p,"DRIVE_FIXED");break; 　　　case DRIVE_REMOTE: // 一般是映射网络驱动器 　　　　printf("drive %s type %s/n",p,"DRIVE_REMOTE");break; 　　　case DRIVE_CDROM: // 光盘 　　　　printf("drive %s type %s/n",p,"DRIVE_CDROM");break; 　　　case DRIVE_RAMDISK: // RAM DISK 　　　　printf("drive %s type %s/n",p,"DRIVE_RAMDISK"); 　　　　break; 　　} 　} }

　　与仅仅显示一条信息不同的是，病毒此时将调用文件枚举函数（如后面给出的enum_path函数）从当前根目录开始遍历DRIVE_FIXED的驱动器上的所有文件，根据预定义策略进行文件感染。

　　网络共享资源也是按树状组织的,非叶节点称为容器（container），对容器需要进一步搜索直到到达叶子节点为止，叶子节点才是共享资源的根路径。共享资源一般分成两种：共享打印设备和共享文件夹。对于网络共享文件的搜索，采用WNetOpenEnum和WNetEnumResource（由mpr.dll 导出）进行递归枚举。其函数原型及参数含义请参阅MSDN，使用如下代码enumshare.cpp将显示所有的网络驱动器共享文件夹的路径：
　　

#include <windows.h> #include <stdio.h> #pragma comment(lib,"mpr.lib") 　　 int enum_netshare(LPNETRESOURCE lpnr); 　　 void __cdecl main(int argc,char *argv[]) { 　enum_netshare(0); } 　　 int enum_netshare(LPNETRESOURCE lpnr) { 　DWORD r, rEnum,usage; 　HANDLE hEnum; 　DWORD cbBuffer = 16384; 　DWORD cEntries = -1; 　LPNETRESOURCE lpnrLocal; 　// NETRESOURCE 数组结构的指针 　DWORD i; 　 　r = WNetOpenEnum(RESOURCE_GLOBALNET, 　// 范围:所有网络资源 　RESOURCETYPE_DISK, 　// 类型:仅枚举可存储介质 　RESOURCEUSAGE_ALL, 　// 使用状态:所有 　lpnr, 　// 初次调用时为NULL 　&hEnum); 　// 成功后返回的网络资源句柄 　　 　if (r != NO_ERROR) { 　　 printf("WNetOpenEnum error..../n"); 　　 return FALSE; 　} 　 　lpnrLocal = (LPNETRESOURCE) malloc(cbBuffer); 　if (lpnrLocal == NULL) 　　 return FALSE; 　do 　{ 　　ZeroMemory(lpnrLocal, cbBuffer); 　　rEnum = WNetEnumResource(hEnum, &cEntries, // 返回尽可能多的结果 　　 lpnrLocal, // LPNETRESOURCE 　　 &cbBuffer); // buffer 大小 　　if (rEnum == NO_ERROR) { 　　　 for(i = 0; i < cEntries; i++) { 　　　　 usage = lpnrLocal[i].dwUsage; 　　 　　 if(usage & RESOURCEUSAGE_CONTAINER) { 　　　 　　 if(!enum_netshare(&lpnrLocal[i])) 　　　　　　 printf("Errors detected in enum process.../n"); 　　　　　 }else{ 　　 　　　　　 // 这里病毒可调用遍历函数遍历该 　　　　　　// 共享文件夹下的所有文件 　　　　　 // enum_path(lpnrLocal[i].lpRemoteName); 　　　　　 printf("find %s --> %s/n", lpnrLocal[i].lpLocalName, lpnrLocal[i].lpRemoteName); 　　　　 } 　　　 } 　　 }else if (rEnum != ERROR_NO_MORE_ITEMS) { 　　　 printf("WNetEnumResource error.../n"); 　　　 break; 　　 } 　　}while(rEnum != ERROR_NO_MORE_ITEMS); 　　 　　free((void*)lpnrLocal); 　　r = WNetCloseEnum(hEnum); 　　if(r != NO_ERROR) { 　　 printf("WNetCloseEnum error..../n"); 　　 return FALSE; 　　} 　　 　　return TRUE; 　}

　　遍历开始时WNetOpenEnum 第4 形参为0，在发现共享容器进行递归调用时候， 该参数将为共享容器的NETRESOURCE结构指针。从NETRESOURCE结构中可以找到我们感兴趣的lpRemoteName，该指针不为0 则表示是有效的共享容器或共享文件夹。

typedef struct _NETRESOURCE { 　DWORD dwScope; 　DWORD dwType; 　DWORD dwDisplayType; 　DWORD dwUsage; 　LPTSTR lpLocalName; 　LPTSTR lpRemoteName; 　LPTSTR lpComment; 　LPTSTR lpProvider; } NETRESOURCE;