软件安全-UltraEdit恢复带毒文档

一些低级的病毒要实现破坏效果会修改文件的后缀，比如doc改为exe，达到文件无法正常使用的目的，但这种方法只能欺负一些电脑素人，稍微懂些计算机知识，知道不隐藏文件后缀名的就可以自行修复。针对这些用户，就需要使用修改文件头编码的方法。

文件头编码

    'dw4' => '4F7B',
　　'pgm' => '50350A',
　　'pax' => '504158',
　　'pgd' => '504750644D41494E',
　　'img' => 'EB3C902A',
　　'zip' => '504B0304140000',
　　'docx' => '504B030414000600'(word2007),=>'D0CF11E0A1B11AE10000000000000000'(word2003)
　　'pptx' => '504B030414000600',
　　'xlsx' => '504B030414000600',
　　'kwd' => '504B0304',
　　'odt' => '504B0304',
　　'odp' => '504B0304',
　　'ott' => '504B0304',
　　'sxc' => '504B0304',
　　'sxd' => '504B0304',
　　'sxi' => '504B0304',
　　'sxw' => '504B0304',
　　'wmz' => '504B0304',
　　'xpi' => '504B0304',
　　'xps' => '504B0304',
　　'xpt' => '5850434F4D0A5479',
　　'grp' => '504D4343',
　　'qemu' => '514649',

UltreEdit

UltraEdit 是一套功能强大的文本编辑器，可以编辑文本、十六进制、ASCII 码，完全可以取代记事本(如果电脑配置足够强大)，内建英文单字检查、C++ 及 VB 指令突显，可同时编辑多个文件，而且即使开启很大的文件速度也不会慢。软件附有 HTML 标签颜色显示、搜寻替换以及无限制的还原功能，一般用其来修改EXE 或 DLL 文件。能够满足你一切编辑需要的编辑器。
可以用做普通文本文件编辑器(.txt .bat .conf .ini等）
　　用做.bat文件编辑器 (bat，是指批量处理文件）
　　用做c, c++, java, jsp, html, xml等的源代码编辑器
　　(以上文件可以是本地的，也可以是通过FTP方式操作远程的文件) 对文本文件进行按行排序，排序的方式是可以定义的。
　　对16进制的文件直接修改字节指定直接的内容。
　　对文件全体内容或选定内容进行整体的操作，比如转换格式、内容等。
　　对文件的字符、词数量进行统计。
　　对一个文本文件或源代码文件组成的项目进行操作。

实验

打开doc文件显示乱码，说明文档中毒。

查找docx文件头编码D0CF11E0A1B11AE10000000000000000
![头编码查找(https://upload-images.jianshu.io/upload_images/23979160-3bcf5ef50597c46b.png?imageMogr2/auto-orient/strip%7CimageView2/2/w/1240)
将此头编码以上的16进制编码全部删除，内容过多的删除方法为选中末字符，拉动滚动条，按下shift再选中首字符即可选中中间所有字符，编辑中点击剪切即可删除。删除后结构如图：

然后将其保存为doc格式，恢复后可以打开，内容如图：

总结

UltraEdit除了能查看文件类型，还可以修改文件的源码，高端一点的病毒可能不止更改尾缀来修改文件这么简单了，他们可能会进行覆写等操作让文件无法打开达到勒索的效果。UltraEdit可以查看文件的类型，并根据相应类型的头，来找出对方加代码的位置，删除恶意代码即可达到病毒文件的挽救目的，实在是太妙了。