病毒常用方法之回到起点---PE文件

一般的可执行恶意样本的INT(导入名称表）在一定程度上就暴露了自己的行为，所以又来保护自己了。下面是一个样本中的实际应用，从PE文件结构入手。为了可以调用相关的API （由kernel32.dll ,ntdll.dll等导出，它先找到目标dll在内存中加载的地址（这些系统dll已经有系统加载到内存中），然后就是根据PE文件结构一顿操作，主要是通过导出名称字符生成一个DWORD数去比对，在找到FuncAddr。下面是相关操作的反汇编代码：

 GetModuleAddr   proc near 
                 push ebp
                 mov  ebp,esp
                 mov  eax,large fs:30h ;fs 寄存器指向当前线程环境块，是内核的结构，可以通过WinDbg去详细查看。在偏移为30h 的地方是Teb->ProcessEnvironmentBlock 进程环境块
                 mov  eax,[eax+0ch] ; Peb->Ldr
                 mov  eax,[eax+1ch];Ldr->InitializationOrderModuleList
                 mov  eax,[eax+8] ;由于系统的版本不一样，同一个dll加载的顺序可能不一样
                 pop  ebp
                 retn 
 GetModuleAddr   endp

 ;通过名称在ENT中找到该函数的导出序号，再去EAT得到地址就可以调用了  
 GetFuncAddr     proc near                                                
  var_24          = dword ptr -24h
  var_20          = dword ptr -20h
  var_1C          = dword ptr -1Ch
  var_18          = dword ptr -18h
  var_14          = dword ptr -14h
  var_10          = dword ptr -10h ;该函数用的变量
  var_C           = dword ptr -0Ch
  var_8           = dword ptr -8
  ExportDirectory = dword ptr -4
  arg_0           = dword ptr  8
  arg_4           = dword ptr  0Ch;3个参数
  Addr            = dword ptr  10h
  ;可以对照PE结构文档看
                  push    ebp
                  mov     ebp, esp
                  sub     esp, 24h
                  mov     eax, [ebp+arg_0];模块地址
                  mov     eax, [eax+3Ch] ;3c---ImageDosHeader->e_lfanew PE文件头的偏移 
                  mov     ecx, [ebp+arg_0]
                  lea     eax, [ecx+eax+18h];[eax+ecx]是PE文件头的地址，再加上18h 是扩展头的地址
                  mov     [ebp+var_10], eax
                  mov     eax, [ebp+var_10] ; OptionalHeader
                  mov     ecx, [ebp+arg_0]
                  add     ecx, [eax+60h]  ;IMAGE_DATA_DIRECTORY 
                  mov     [ebp+ExportDirectory], ecx
                  mov     eax, [ebp+arg_4]
                  shr     eax, 10h ;右移10h位
                  movzx   eax, ax  ;去低16位
                  test    eax, eax
                  jnz     short loc_402672;是否使用原可执行文件中得到地址
                  mov     eax, [ebp+arg_4]
  loc_40265F:                 
                  and     eax, 0FFFFh
                  movzx   eax, ax
                  mov     ecx, [ebp+ExportDirectory]
                  sub     eax, [ecx+10h]  ; Base
                  mov     [ebp+var_C], eax
                  jmp     short loc_4026E9
  loc_402672:                       
                  mov     eax, [ebp+ExportDirectory]
                  mov     ecx, [ebp+arg_0]
                  add     ecx, [eax+20h]  ; AddressOfNames
                  mov     [ebp+var_1C], ecx
                  mov     eax, [ebp+ExportDirectory]
                  mov     ecx, [ebp+arg_0]
                  add     ecx, [eax+24h]  ; AddressOfNameOrdinals
                  mov     [ebp+var_24], ecx
                  and     [ebp+var_20], 0
                  jmp     short loc_4026A8
  loc_402690:                         
                  mov     eax, [ebp+var_20]
                  inc     eax
                  mov     [ebp+var_20], eax
                  mov     eax, [ebp+var_1C]
                  add     eax, 4
                  mov     [ebp+var_1C], eax
                  mov     eax, [ebp+var_24]
                  inc     eax
                  inc     eax
                  mov     [ebp+var_24], eax
  loc_4026A8:                       
                  mov     eax, [ebp+ExportDirectory]
                  mov     ecx, [ebp+var_20]
                  cmp     ecx, [eax+18h];NumberOfNames
                  jnb     short loc_4026DA  ;是否超过了导出名称数 
                  push    [ebp+arg_4]
                  mov     eax, [ebp+var_1C]
                  mov     ecx, [ebp+arg_0]
                  add     ecx, [eax]
                  push    ecx
                  call    CompareStr ;匹配成功返回1
                  pop     ecx
                  pop     ecx
                  movzx   eax, al
                  test    eax, eax
                  jz      short loc_4026D8 
                  mov     eax, [ebp+var_24]
                  movzx   eax, word ptr [eax]
                  mov     [ebp+var_C], eax;var_c目标序号
                  jmp     short loc_4026DA
  loc_4026D8:                         
                  jmp     short loc_402690 ;匹配失败，往回走
  loc_4026DA:                         
                  mov     eax, [ebp+ExportDirectory]
                  mov     ecx, [ebp+var_20]
                  cmp     ecx, [eax+18h]
                  jnz     short loc_4026E9
                  xor     eax, eax
                  jmp     short  locret_402715  
  loc_4026E9:                            
                  mov     eax, [ebp+ExportDirectory]
                  mov     ecx, [ebp+arg_0]
                  add     ecx, [eax+1Ch]  ; AddressOfFunctions
                  mov     [ebp+var_8], ecx
                  mov     eax, [ebp+var_C]
                  mov     ecx, [ebp+var_8]
                  mov     eax, [ecx+eax*4] ;最后从EAT中取出地址
                  mov     [ebp+var_18], eax
                  mov     eax, [ebp+arg_0]
                  add     eax, [ebp+var_18]
                  mov     [ebp+var_14], eax
                  mov     eax, [ebp+Addr]
                  mov     ecx, [ebp+var_14]
                  mov     [eax], ecx
                  xor     eax, eax
                  inc     eax             ; succeed
  locret_402715:                   
                  leave
                  retn
  GetFuncAddr     endp