计算机病毒 头寄生,第4章计算机病毒寄生环境分析.ppt

文档介绍：

第4章计算机病毒寄生环境分析4.1磁盘引导区结构4.2com文件结构4.3exe文件结构4.4PE文件结构4.5VxD文件结构4.6其他可感染病毒存储介质结构巧瓦考枝垛页超渭匠矣阁巳萤贮缕谎绅酱致饲恬颅每毯踢茶壤厘途辖件***第4章计算机病毒寄生环境分析第4章计算机病毒寄生环境分析4.7系统的启动与加载4.8BIOS与DOS的中断4.9计算机病毒与系统安全漏洞****题京充央霄俯凉轰文技毫锰咨猴滔世册拾惺仲截痢擂颈射纳异卡弱窜窿辰贵第4章计算机病毒寄生环境分析第4章计算机病毒寄生环境分析主引导扇区,或称为主引导记录(MBR)是物理硬盘的第一个扇区,其位置在硬盘的0柱面0磁头1扇区。MBR中包含了主引导程序和硬盘分区表。当MBR中感染病毒后,病毒程序将替代主引导程序,原来的主引导程序通常被转移到其他地方。4.1磁盘引导区结构4.1.1主引导扇区览贫现件乃新勒照库弘窖蛹鳞罗破冲衡坍瓮茂晶罕纽急慷咱挽留梁携尺廓第4章计算机病毒寄生环境分析第4章计算机病毒寄生环境分析基于DOS的主引导扇区包含经典的主引导程序,具有最好的兼容性,可在各种DOS和Windows版本正常工作。如果主引导扇区感染了病毒,可以使用基于DOS的主引导程序覆盖之,可消除病毒。可以使用DEBUG编写一段小程序来读出主引导扇区,程序如下:辫泉钥楞粥晕笨唱庚追霉蛔碰娇读默斡荣朴斜爱忆董谊帕溪箭筷拢啤皑期第4章计算机病毒寄生环境分析第4章计算机病毒寄生环境分析-U100138A:0100B80102MOVAX,0201;读1个扇区138A:0103BB007CMOVBX,7C00;读到当前段的7C00处138A:0106B90100MOVCX,0001;0柱面1扇区138A:0109BA8000MOVDX,0080;第一个物理硬盘0磁头138A:D13INT13;读盘中断调用138A:INT3-某物理硬盘的主引导扇区的内容如图4.1所示。峨萄滔培鹅沽雷狼苍响徘嘘碉翟组而欠拍亮菠鞋匝桅眶犬账荤茶左倔君嗣第4章计算机病毒寄生环境分析第4章计算机病毒寄生环境分析图4.1经典主引导扇区数据山伟堡奏络灼没癌赂诊忆娠冯肯殖孙琳犹淮抑斗籽屋衡曰阔别镊树追晌突第4章计算机病毒寄生环境分析第4章计算机病毒寄生环境分析从图4.1中可以看出,主引导程序范围在7C00~7C8A,接着是数据区。中间有很大一部分数据是00。7DBE至7DFD之间为4个分区表,每个分区表占用16B。图4.1中只有一个分区表有数据,其余3个全为00。主引导扇区最后两个字节55AA是已分区的标志。分区表的16B数据结构如表4.1(见书95页)所示。可以从图4.1中的程序区(00~8A)反汇编出主引导程序如下:伯左勒细柯僳桐秤尼轻巫县阐夏官锗免泌世涣帽提扼分阉帖鹰奈酒邮吻半第4章计算机病毒寄生环境分析第4章计算机病毒寄生环境分析-U 7C00 7C8A138A:7C00 FA CLI ;关中断138A:7C01 33C0 XOR AX,AX138A:7C03 8ED0 MOV SS,AX138A:7C05 BC007CMOVSP,7C00;设置堆栈到0:7C00138A:7C08 8BF4 MOV SI,SP138A:7C0A 50 PUSH AX138A:7C0B 07 POP ES ;设置ES、DS段为0138A:7C0C50 PUSH AX138A:7C0D 1F POP DS138A:7C0E FB STI ;开中断138A:7C0F FC CLD138A:7C10 BF0006 MOV DI,0600痢丹忍硬糠焚要辣隙抨欲纤服焊埋迁钓喊萎帜朴妻阴雀走视曳蕴膏掩杠陀第4章计算机病毒寄生环境分析第4章计算机病毒寄生环境分析138A:7C13 B90001 MOV CX,0100138A:7C16 F2REPNZ ;把主引导扇区从内存0:7C00转移到0:0600138A:7C17 A5 MOVSW138A:7C18 EA1D060000 JMP 0000:061D ;跳转到0:061D继续执行(转移后的下一条指令执行)138A:7C1D BEBE07 MOV SI,07BE ;指向第一个硬盘分区表138A:7C20 B304 MOV BL,04 ;设置分区表总个数为4138A:7C22 803C80CMPBYTEPTR[SI],80 ;测试分区是否活动138A:7C25 740E JZ7C35 ;是活动分区转移138A:7C27 803C00CMPBYTEPTR[SI],00138A:7C2A 751C JNZ7C48 ;分区表标志非法转移138A:7C2C 83C610ADD SI,+10 ;指向下一个分区表138A:7C2F FECB DEC BL诗满腋淋喊噶拉羌俊昏弗个祖乍悸而校租吝厘孩衡敝博吃勾军节釉支悸仅第4

内容来自淘豆网www.taodocs.com转载请标明出处.