計算機病毒邏輯結(jié)構(gòu)與基本機制PPT學習教案

1、會計學1計算機病毒邏輯結(jié)構(gòu)與基本機制計算機病毒邏輯結(jié)構(gòu)與基本機制第2頁/共35頁第1頁/共35頁第3頁/共35頁第2頁/共35頁計算機病毒的基本流程與狀態(tài)轉(zhuǎn)換計算機病毒的基本流程與狀態(tài)轉(zhuǎn)換動態(tài)病毒靜態(tài)病毒引導加載，設(shè)置激活、觸發(fā)條件病毒感染病毒破壞滿足激活條件？滿足破壞條件？滿足滿足潛伏或消散不滿足可激活態(tài)激活態(tài)滿足感染條件？不滿足滿足不滿足第4頁/共35頁第3頁/共35頁第5頁/共35頁第4頁/共35頁第6頁/共35頁第5頁/共35頁ECHO OFFECHO OFFREM REM 關(guān)閉命令回顯關(guān)閉命令回顯IF EXIST c:autoexec.bat GOTO VirusIF EXIST c

2、:autoexec.bat GOTO VirusREM REM 首先檢查時機首先檢查時機GOTO No_VirusGOTO No_VirusREM REM 若時機不成熟則潛伏若時機不成熟則潛伏:Virus:VirusREM REM 時機成熟時時機成熟時( (子程序子程序) )c:c:REM REM 轉(zhuǎn)到目標盤轉(zhuǎn)到目標盤C C盤盤REN autoexec.bat auto.batREN autoexec.bat auto.batREM REM 將正常文件改名，準備冒名頂替將正常文件改名，準備冒名頂替COPY a:autoexec.bat c:COPY a:autoexec.bat c:REM R

3、EM 自我復制，開始繁殖自我復制，開始繁殖ECHO Hello Word!ECHO Hello Word!REM REM 病毒發(fā)作，表現(xiàn)癥狀病毒發(fā)作，表現(xiàn)癥狀:No_Virus:No_VirusREM REM 正常程序入口正常程序入口a:a:REM REM 轉(zhuǎn)回轉(zhuǎn)回A A盤盤ECHO ONECHO ONREM REM 打開命令回顯打開命令回顯/AUTO/AUTOREM REM 執(zhí)行正常程序執(zhí)行正常程序PAUSEPAUSEREM REM 暫停，等待按任意鍵繼續(xù)暫停，等待按任意鍵繼續(xù)第7頁/共35頁第6頁/共35頁計算機病毒程序感染標志引導模塊感染模塊破壞表現(xiàn)模塊激活感染功能的判斷部分傳染功能的實

4、施部分觸發(fā)破壞表現(xiàn)功能的判斷部分破壞表現(xiàn)功能的實施部分第8頁/共35頁第7頁/共35頁第9頁/共35頁第8頁/共35頁第10頁/共35頁第9頁/共35頁第11頁/共35頁第10頁/共35頁第12頁/共35頁第11頁/共35頁n啟動Windows時隨之啟動第13頁/共35頁第12頁/共35頁第14頁/共35頁第13頁/共35頁第15頁/共35頁第14頁/共35頁第16頁/共35頁第15頁/共35頁第17頁/共35頁第16頁/共35頁區(qū)判斷后寫入病毒第18頁/共35頁第17頁/共35頁第19頁/共35頁第18頁/共35頁第20頁/共35頁第19頁/共35頁第21頁/共35頁第20頁/共35頁病毒感

5、染文件的頭部病毒感染文件的頭部文件頭部感染與文件還原文件頭部感染與文件還原感染方式1感染方式2病毒代碼HOST程序代碼HOST程序代碼頭病毒代碼HOST程序代碼頭HOST程序代碼HOST程序代碼頭HOST程序代碼執(zhí)行時還原EXE文件頭可執(zhí)行文件的內(nèi)容感染后的EXE文件頭病毒代碼可執(zhí)行文件的內(nèi)容第22頁/共35頁第21頁/共35頁感染感染.COM文件尾部文件尾部感染感染PE/NE文件尾部文件尾部感染JMPHOST程序代碼病毒代碼HOST程序代碼感染MZ文件頭PE/NE文件頭感染前的程序MZ文件頭(修改后)PE/NE文件頭(修改后)感染前的程序病毒代碼第23頁/共35頁第22頁/共35頁u逆插入感

6、染逆插入感染插入感染插入感染PE/NE文件文件MZ文件頭PE/NE文件頭感染前的程序PE/NE文件頭(修改后)MZ文件頭(修改后)感染前的程序(經(jīng)過壓縮)病毒代碼感染病毒代碼感染前的程序(沒有壓縮)病毒代碼病毒代碼HOST程序病毒代碼感染第24頁/共35頁第23頁/共35頁感染HOST程序全部為零的區(qū)域(空洞)JMP 空洞地址病毒代碼HOST程序病毒第25頁/共35頁第24頁/共35頁無入口點的感染方式一無入口點的感染方式一EXE文件頭運行時庫的初始化程序原來的程序代碼跳轉(zhuǎn)到病毒代碼的指令EXE文件頭運行時庫的初始化程序病毒代碼感染原來的程序代碼病毒的感染部分找到這部分代碼，并用跳轉(zhuǎn)到病毒代碼

7、的指令替換無入口點的感染方式二無入口點的感染方式二感染前的程序插入點：JMP 病毒代碼感染前的程序病毒代碼感染前的程序病毒使用反匯編程序?qū)Υa進行反匯編發(fā)現(xiàn)合適的插入點，將病毒代碼插入ADD AX,100HJMP cd00INCMOV AX,0 . . .第26頁/共35頁第25頁/共35頁第27頁/共35頁第26頁/共35頁NORMAL.EXENORMAL.COM(病毒程序)NORMAL.EXE(原來的程序)NORMAL.EXE(病毒程序)NORMAL.OLD(原來的程序)NORMAL.EXE(病毒程序)，放在當前目錄NORMAL.EXE(病毒程序)，放在系統(tǒng)目錄NORMAL.EXE(病毒程序)，放在PATH搜索目錄中NORMAL.EXE(原來的程序)伴隨方式1伴隨方式2伴隨方式3第28頁/共35頁第27頁/共35頁文 件 目 錄起 始 簇原 起 始 簇加 密 結(jié) 果宿 主 程 序硬 盤 分 區(qū) /軟 盤 最 后 一 簇(DIR 病 毒 )讀 取 并 解 密切 斷第29頁/共35頁第28頁/共35頁加上病毒代碼，這樣編譯出來的文件