Win32侵染式病毒的宿主入口技术

术 编 写的病 毒 的查 杀 和 预 防变 得 简 单 和 高效 ． 宿
ቤተ መጻሕፍቲ ባይዱ主 入 口技 术 （ ｎｒ— ｏｎ ｓｕ ｉｇ 就 是 一 种 针 Ｅ ｔｙＰ ｉｔＯｂｃ ｒ ） ｎ
对 这种情 况 而发展 起来 的一 种病 毒编 制 的高级 技
术． 研究 和分 析这 种 技 术 对 当 今 的反 病 毒 以及 网
１ 常规 病 毒 的控 制 权 取 得 方 法
本文 讨 论 的 宿 主 入 口 技 术 主 要 是 指 感 染
值， 然后 将病 毒代码 复制 到程 序代码 中去 ， 进行 块
收 稿 日期 ： ０ ７一Ｏ Ｏ ２０ １一 ５
作 者 简 介 ：苏
波 （９ ６一 ， ， 师 ， 士 １７ ） 男 讲 硕
维普资讯
第２ １卷 第 ６ 期
２０ ０ ７年 １ １月
山 东 理 工 大 学 学 报（ 然 科 学 版 ） 自
Ｊ ｕ ｎ ｌ ｆＳ ａ ｄ ｎ ｉｅ ｓｔ ｆＴｅ ｈ ｏｏ ｙ Ｎａｕ ａ ｃｅ ｃ ｄ ｔ ｎ ｏ ｒ ａ ｏ ｈ ｎ ｏ ｇ Ｕｎｖ ｒｉ ｏ ｃ ｎ ｌｇ （ ｔ ｒｌＳ ｉｎ ｅＥ ｉｉ ） ｙ ｏ
于此原 理 ， 步提 出 了利用 加 壳和校 检码 检测 来对 抗宿 主入 口技 术 的设 想． 初
关 键词 ： ｎ ２病 毒 ；宿 主入 口技术 ；Ｐ Ｗｉ３ Ｅ文件 中图分 类号 ： Ｐ ０ ． Ｔ ３ ９５ 文献标 识码 ：Ａ
Ｅｎｔ ｙ ｐ ｉ ｔ ｏ ｓ ｕ ｉ ｇ ｏ ｉ ｉ ｆ ｃ ｉ ｕ ｉ ｕ ｒ — ｏ ｎ ｂ ｃ ｒ ｎ ｆ Ｗ ｎ３ ｎ ｅ ｔｏ ｓ ｖ ｒ ｓ ２
Ｖｏｌ ２ Ｎｏ． ｜１ ６
ＮＯ Ｖ． ２０ ０７
文章 编号 ：６ ２ ６ ９ （ ０ ７ ０ — ０ １ ０ １７ — １７ ２０ ）６ ０ ９ — ３
Ｗｉ３ 染 式 病 毒 的宿 主人 口技 术 ｎ ２侵
苏 波 ，曹凤 莲 ，吕秋 平
（． １ 莱芜 职 业技 术学 院计 算机 系 ，山东 莱 芜 ２ １ ０ ； ７ １ ０ ２ 商丘科 技 职业 学院 ，河 南 商丘 ４ ６ ０ ） ． ７ ０ ０ 摘 要 ：分析 了 Ｗｉ３ ｎ ２病 毒编 制 中宿 主入 口技术 的原 理 并 给 出 了实现这 种 技 术 的流 程 ， 基 并
维普资讯
９ ２
山 东 理 工 大 学 学 报（ 然 科 学 版 ） 自
对 齐后 ， 会改 写 这个 程 序入 口 Ｒ ＶＡ， 其 指 向病 使 毒 代码［ ， ａ 病毒代 码在 执行完 毕后 ， ３ 会将 控制权 交 回操作 系统 并 使 其 继 续 执 行 应 该 执 行 的程 序 代
Ｓ Ｂ Ｕ ｏ ，ＣＡＯ ｅ ｇ ｌ ｎ ，Ｌ Ｑｉ— ｉ ｇ Ｆ ｎ —ｉ Ｖ ｕ ｐｎ ａ
（ ． ｐ ｒｍ ｅ ｔｏ ｍ ｐ ｔ ｒＳ ｉｎ ｅ １ Ｄｅ ａ ｔ ｎ ｆＣｏ ｕ ｅ ｃｅ ｃ ，Ｌａｗｕ Ｖｏ ａ ｉｎ ｌ ｎ ｃ ｎ ｌ ｇ ｌ ｇ ，Ｌａｗｕ ２ １ ０ ｉ ｃ ｔｏ ａ ｄ Ｔｅ ｈ ｏ ｏ ｙ Ｃｏ ｌ ｅ ａ ｅ ｉ ７ １ ０，Ｃｈ ｎ ： ｉａ
文 件格 式 以及常 规 病毒 的控 制 权 取 得 技术 ， 有 将 助 于更 加透 彻 的了解 宿主 入 口技 术． Ｐ Ｅ文 件从 磁 盘文 件 到 内存 的映 射 是采 用 了
线 性 映射机 制 ， 照 内存 映 射 中从 地 址 低端 到 地 按 址 高端 的排 列次 序． 件结构 如 图 １ 示 ］ 文 所 ．
现代 的反病 毒软 件其 中很 重要 的一 种反病 毒 技 术就 是对 文件 入 口的启 发式检 测 和对 文件入 口
特 征进 行检 验 ， 种 技 术 使 得 对那 些 采 用 常 规 技 这
ｗｉｄ ｗｓ系统 下 的 Ｐ ｎｏ Ｅ格 式［ （ ｎ ２架 构 下 的 １ Ｗｉ３ Ｅ ＸＥ可 执行 文件 ） 的一 种技 术． 首先 介 绍一 下 Ｐ Ｅ
２ Ｓｈａ ｇｑｉ ｃ ｅ ｅ ａ ｄ Ｔｅ ｈｎ ｏ ． ｎ ｕ Ｓ ｉｎｃ ｎ ｃ ｏｌｇｙ Ｃｏｌｅ ｌｇｅ， Ｓｈ ｎｇｑｕ ４７ ０ ａ ｉ ６ ００，Ｃｈｉａ） ｎ
Ａｂ ｔａ ｔ Ｔｈ ｎｔｙ ｐｏ ｎｔｏ ｃ ｒｎｇ ｉ ｈ ｉ ３ ｉｕｓｃ ｄｉ ｓｒ ｃ ： ｅ ｅ ｒ — ｉ ｂｓ ｕ ｉ ｎ ｔ ｅ Ｗ ｎ ２ ｖ ｒ ｏ ｎｇ ｗａｓａ ａ ｙ ｅ ｎ ｈｅｒ ｕ ｉ ｎ ｌ ｚ ｄ ａ ｄ ｔ ｏ ｔｎｅ ｉ ｔ ｏ ｉ ｓ ｇ ｖ ｎ．Ａｎ ａ ｔ— ｉ ｕ ｅ ｈ ｃｗａ ｒ ｐｏ ｅ ｉ ｇ ｔ ｅ ｓ ｅ ｌｃ ｄｅａ Ｄ５ ｎ ｉｓ ｃ ｄ ｎｇ ｗａ ｉ ｅ ｎ ｉｖ ｒ ｓ ｔ ｃ ｎｉ ｓ ｐ ｏ ｓ ｄ ｂｙ ｕｓｎ ｈ ｈ ｌ ｏ ｎｄ Ｍ — ｃ ｃ ｎｇ ｈｅ ｋｉ ． Ｋｅ ｒ ｓ ｙ ｗｏ ｄ ：Ｗ ｉ ２ ｖｉｕ ｎ３ ｒ ｓ；ｅ ｒ — ｉ ｂｓ ｕｒｎ ｎｔ ｙ ｐｏ ｎｔｏ ｃ ｉ ｇ；ＰＥ ｉｅ ｆｌ ｓ
络 安全 技术 是必要 的．
在Ｐ Ｅ头 结 构 的 Ａｄ ｒｓＯｆ ｎｒ Ｐ ｉｔ中存 ｄｅ ｓ Ｅ ｔｙ ｏｎ 储着 Ｐ Ｅ文件 的“ 序入 Ｉ ＲＶＡ” 操 作 系统 在 装 程 ： Ｉ ， 载Ｐ Ｅ文 件进 入 内存 后 ， 会从 这 个 程序 入 口 Ｒ ＶＡ 处 开始执 行 ． 大多数 常 规病毒 都会读 取这 个 Ｒ ＶＡ
码， 这样 病毒便 完 成 了复 制 和 在该 文 件 执 行 时获 取 控制权 的工作 ．
毒能 够逃脱 反病 毒软件 的检 测． 是 目前 ， 但 有些 反