一些低级的病毒要实现破坏效果会修改文件的后缀,比如doc改为exe,达到文件无法正常使用的目的,但这种方法只能欺负一些电脑素人,稍微懂些计算机知识,知道不隐藏文件后缀名的就可以自行修复。针对这些用户,就需要使用修改文件头编码的方法。
文件头编码
'dw4' => '4F7B',
'pgm' => '50350A',
'pax' => '504158',
'pgd' => '504750644D41494E',
'img' => 'EB3C902A',
'zip' => '504B0304140000',
'docx' => '504B030414000600'(word2007),=>'D0CF11E0A1B11AE10000000000000000'(word2003)
'pptx' => '504B030414000600',
'xlsx' => '504B030414000600',
'kwd' => '504B0304',
'odt' => '504B0304',
'odp' => '504B0304',
'ott' => '504B0304',
'sxc' => '504B0304',
'sxd' => '504B0304',
'sxi' => '504B0304',
'sxw' => '504B0304',
'wmz' => '504B0304',
'xpi' => '504B0304',
'xps' => '504B0304',
'xpt' => '5850434F4D0A5479',
'grp' => '504D4343',
'qemu' => '514649',
UltreEdit
UltraEdit 是一套功能强大的文本编辑器,可以编辑文本、十六进制、ASCII 码,完全可以取代记事本(如果电脑配置足够强大),内建英文单字检查、C++ 及 VB 指令突显,可同时编辑多个文件,而且即使开启很大的文件速度也不会慢。软件附有 HTML 标签颜色显示、搜寻替换以及无限制的还原功能,一般用其来修改EXE 或 DLL 文件。能够满足你一切编辑需要的编辑器。
可以用做普通文本文件编辑器(.txt .bat .conf .ini等)
用做.bat文件编辑器 (bat,是指批量处理文件)
用做c, c++, java, jsp, html, xml等的源代码编辑器
(以上文件可以是本地的,也可以是通过FTP方式操作远程的文件) 对文本文件进行按行排序,排序的方式是可以定义的。
对16进制的文件直接修改字节指定直接的内容。
对文件全体内容或选定内容进行整体的操作,比如转换格式、内容等。
对文件的字符、词数量进行统计。
对一个文本文件或源代码文件组成的项目进行操作。
实验
打开doc文件显示乱码,说明文档中毒。
查找docx文件头编码D0CF11E0A1B11AE10000000000000000
![头编码查找(https://upload-images.jianshu.io/upload_images/23979160-3bcf5ef50597c46b.png?imageMogr2/auto-orient/strip%7CimageView2/2/w/1240)
将此头编码以上的16进制编码全部删除,内容过多的删除方法为选中末字符,拉动滚动条,按下shift再选中首字符即可选中中间所有字符,编辑中点击剪切即可删除。删除后结构如图:
然后将其保存为doc格式,恢复后可以打开,内容如图:
总结
UltraEdit除了能查看文件类型,还可以修改文件的源码,高端一点的病毒可能不止更改尾缀来修改文件这么简单了,他们可能会进行覆写等操作让文件无法打开达到勒索的效果。UltraEdit可以查看文件的类型,并根据相应类型的头,来找出对方加代码的位置,删除恶意代码即可达到病毒文件的挽救目的,实在是太妙了。