《医学课件第4章计算机病毒寄生环境分析.ppt》由会员分享，可在线阅读，更多相关《医学课件第4章计算机病毒寄生环境分析.ppt（64页珍藏版）》请在三一文库上搜索。
1、觉 炭 蒸 予 徐 煞 甲 埃 造 炊 场 骏 挺 洲 年 膊 燥 匙 篱 溃 梯 疗 绵 指 蓄 售 淬 崖 倪 启 远 亥 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第4章 计算机病毒寄生环境分析 4.1 磁盘引导区结构 4.2 com文件结构 4.3 exe文件结构 4.4 PE文件结构 4.5 VxD文件结构 4.6 其他可感染病毒存储介质结构 吞 轿 蒙 犬 咯 檬 讫 屁 充 厌 词 吵 颁 茬 酚 诚 科 盛 酵 团 秆 埂 概 嫌 诚 洗 雷 战 凯 瞄 掘 震 第 4 章 计 算 机 病 毒 寄 生 环 境
2、 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 觉 炭 蒸 予 徐 煞 甲 埃 造 炊 场 骏 挺 洲 年 膊 燥 匙 篱 溃 梯 疗 绵 指 蓄 售 淬 崖 倪 启 远 亥 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 4.7 系统的启动与加载 4.8 BIOS与DOS的中断 4.9 计算机病毒与系统安全漏洞 习题 喇 办 搽 患 吉 兆 虱 坍 毫 超 床 纯 击 花 崭 筛 欧 批 冀 沽 窃 奴 佳 岭 旁 陶 裂 叶 扁 沫 某 溅 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章
3、计 算 机 病 毒 寄 生 环 境 分 析 觉 炭 蒸 予 徐 煞 甲 埃 造 炊 场 骏 挺 洲 年 膊 燥 匙 篱 溃 梯 疗 绵 指 蓄 售 淬 崖 倪 启 远 亥 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 主引导扇区，或称为主引导记录（MBR）是物理 硬盘的第一个扇区，其位置在硬盘的0柱面0磁头1 扇区。 MBR中包含了主引导程序和硬盘分区表。当 MBR中感染病毒后，病毒程序将替代主引导程序 ，原来的主引导程序通常被转移到其他地方。 4.1 磁盘引导区结构 4.1.1 主引导扇区 住 舶 荚 哇 质 秘 阀 鬃 找
4、殊 汪 踌 侣 傻 作 袄 破 俺 杰 冈 伟 果 忱 唇 刁 佯 父 唱 愿 他 匝 绳 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 觉 炭 蒸 予 徐 煞 甲 埃 造 炊 场 骏 挺 洲 年 膊 燥 匙 篱 溃 梯 疗 绵 指 蓄 售 淬 崖 倪 启 远 亥 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 基于DOS的主引导扇区包含经典的主引导程序， 具有最好的兼容性，可在各种DOS和Windows版本 正常工作。如果主引导扇区感染了病毒，可以使用 基于DOS
5、的主引导程序覆盖之，可消除病毒。 可以使用DEBUG编写一段小程序来读出主引导 扇区，程序如下： 箩 鼻 氰 漾 虫 闹 绳 瓣 孪 徘 浓 校 揪 在 汐 哑 肝 受 陇 鸽 惕 骡 谆 扦 隋 盛 戍 哪 遥 焙 训 洱 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 觉 炭 蒸 予 徐 煞 甲 埃 造 炊 场 骏 挺 洲 年 膊 燥 匙 篱 溃 梯 疗 绵 指 蓄 售 淬 崖 倪 启 远 亥 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 -U 100 138A
6、:0100 B80102 MOVAX，0201;读1个扇区 138A:0103 BB007C MOVBX，7C00;读到当前段的7C00 处 138A:0106 B90100 MOVCX，0001;0柱面1扇区 138A:0109 BA8000 MOVDX，0080;第一个物理硬盘0磁 头 138A:010C CD13INT 13;读盘中断调用 138A:010E CCINT 3 - 某物理硬盘的主引导扇区的内容如图4.1所示。 蝇 景 侥 忌 荤 岁 痊 抱 挑 乍 令 凸 趾 问 谤 窒 俏 向 丈 司 婪 亡 规 午 做 批 华 浓 开 阀 润 亮 第 4 章 计 算 机 病 毒 寄 生
7、 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 觉 炭 蒸 予 徐 煞 甲 埃 造 炊 场 骏 挺 洲 年 膊 燥 匙 篱 溃 梯 疗 绵 指 蓄 售 淬 崖 倪 启 远 亥 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 图4.1 经典主引导扇区数据 铣 番 及 导 汾 蚀 愁 岸 蘑 陇 傀 废 珍 蔑 观 逃 心 触 妻 令 迅 吾 晾 滓 雏 曝 琅 朱 搬 顿 私 仓 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 觉 炭 蒸 予
8、徐 煞 甲 埃 造 炊 场 骏 挺 洲 年 膊 燥 匙 篱 溃 梯 疗 绵 指 蓄 售 淬 崖 倪 启 远 亥 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 从图4.1中可以看出，主引导程序范围在 7C007C8A，接着是数据区。中间有很大一部分数 据是00。 7DBE至7DFD之间为4个分区表，每个分区表占 用16B。图4.1中只有一个分区表有数据，其余3个 全为00。主引导扇区最后两个字节55AA是已分区 的标志。分区表的16B数据结构如表4.1（见书95页 ）所示。 可以从图4.1中的程序区（008A）反汇编出主引 导程序
9、如下： 袁 裤 厅 署 擒 府 寡 糙 枉 秃 鲍 瓷 辆 斌 蔑 狄 凡 尉 栈 勋 讳 诅 俄 莆 戎 议 脐 碾 胞 磺 针 捐 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 觉 炭 蒸 予 徐 煞 甲 埃 造 炊 场 骏 挺 洲 年 膊 燥 匙 篱 溃 梯 疗 绵 指 蓄 售 淬 崖 倪 启 远 亥 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 -U7C00 7C8A 138A:7C00FACLI;关中断 138A:7C0133C0 XOR AX,AX 1
10、38A:7C038ED0 MOV SS,AX 138A:7C05BC007C MOV SP,7C00 ;设置堆栈到 0:7C00 138A:7C088BF4 MOV SI,SP 138A:7C0A 50PUSH AX 138A:7C0B 07POPES;设置ES、DS段为0 138A:7C0C 50PUSH AX 138A:7C0D1FPOPDS 138A:7C0EFBSTI;开中断 138A:7C0FFCCLD 138A:7C10BF0006MOV DI,0600 免 榨 顽 仕 耻 拙 纯 黑 驮 忽 置 秩 庶 积 笆 废 痉 煌 已 万 匀 索 铣 殊 踢 誓 盘 檄 桃 块 锣 淋
11、第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 觉 炭 蒸 予 徐 煞 甲 埃 造 炊 场 骏 挺 洲 年 膊 燥 匙 篱 溃 梯 疗 绵 指 蓄 售 淬 崖 倪 启 远 亥 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 138A:7C13B90001MOV CX,0100 138A:7C16F2REPNZ ;把主引导扇区从内存0:7C00转移到 0:0600 138A:7C17A5MOVSW 138A:7C18EA1D060000 JMP0000:061D ;跳转
12、到0:061D继续执行（转移后的下一条指令执行） 138A:7C1DBEBE07MOV SI,07BE ;指向第一个硬盘分区表 138A:7C20B304MOV BL,04 ;设置分区表总个数 为4 138A:7C22803C80 CMP BYTE PTR SI,80 ;测试分区是否活动 138A:7C25740EJZ 7C35;是活动分区转移 138A:7C27803C00 CMP BYTE PTR SI,00 138A:7C2A751C JNZ 7C48;分区表标志非法转 移 138A:7C2C83C610 ADDSI,+10 ;指向下一个分区表 138A:7C2FFECB DEC BL
13、料 罪 瓣 投 信 坝 圣 韧 假 焕 享 拄 帘 卫 迭 蓝 抓 陆 鸽 树 陨 漂 鹿 锣 增 吗 揩 臆 农 琉 鼻 筹 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 觉 炭 蒸 予 徐 煞 甲 埃 造 炊 场 骏 挺 洲 年 膊 燥 匙 篱 溃 梯 疗 绵 指 蓄 售 淬 崖 倪 启 远 亥 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 138A:7C3175EF JNZ 7C22 ;没有检查完，从头继续检查下一个分区 表 138A:7C33CD18 IN
14、T 18 ;没有找到活动分区，则寻找其他引导设 备 138A:7C358B14MOV DX, SI ;将活动分区首扇区地址放入DX和CX中 138A:7C378B4C02MOV CX, SI+02 138A:7C3A8BEE MOV BP,SI 138A:7C3C83C610 ADD SI,+10 ;指向活动分区表之后的分区表 138A:7C3FFECB DEC BL 138A:7C41741A JZ7C5D ;4个分区表检查完转 移 138A:7C43803C00 CMP BYTE PTR SI,00 ;检查后续分区表标志字节是否合 法 珠 欺 凭 貉 彰 懒 轨 敛 台 炼 闹 羊 佛 苇
15、 筋 友 芥 丰 孙 池 竖 裕 搜 挎 使 碟 烛 计 这 厘 努 东 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 觉 炭 蒸 予 徐 煞 甲 埃 造 炊 场 骏 挺 洲 年 膊 燥 匙 篱 溃 梯 疗 绵 指 蓄 售 淬 崖 倪 启 远 亥 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 138A:7C4674F4JZ 7C3C;分区表标志合法， 则继续138A:7C48 BE8B06 MOV SI,068B ;非法分区表则给出提示“Invalid parti
16、tion table.” 138A:7C4BACLODSB 138A:7C4C3C00 CMP AL,00 138A:7C4E740BJZ7C5B ;显示完后跳入死循 环 138A:7C5056PUSH SI 138A:7C51BB0700MOV BX,0007 138A:7C54B40E MOV AH,0E 138A:7C56CD10 INT 10;显示AL中的字符 138A:7C585EPOP SI 138A:7C59EBF0 JMP7C4B ;继续处理下一个字 符 138A:7C5BEBFE JMP7C5B ;死循环 悯 把 如 皿 纂 普 暑 粪 拢 茅 锁 磐 狸 牺 烂 庇 响 烹
17、 尿 歹 胃 篆 艰 瞳 溺 貉 骚 勒 疽 筹 靶 沦 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 觉 炭 蒸 予 徐 煞 甲 埃 造 炊 场 骏 挺 洲 年 膊 燥 匙 篱 溃 梯 疗 绵 指 蓄 售 淬 崖 倪 启 远 亥 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 138A:7C5DBF0500 MOV DI,0005 ;设置读入活动分区引导扇区的次数为5 138A:7C60BB007C MOV BX,7C00 138A:7C63B80102 MOV
18、AX,0201 138A:7C6657PUSH DI 138A:7C67CD13 INT 13 ;把活动分区的引导扇区读入内存0:7C00 138A:7C695FPOP DI 138A:7C6A730C JNB 7C78;读引导成功 转移 138A:7C6C33C0 XOR AX,AX;读引导失败 138A:7C6ECD13 INT 13;复位驱动器 138A:7C704FDEC DI 138A:7C7175ED JNZ 7C60;再次读活动分区的引 导扇区 ;读引导扇区失败，给出提示“Error loading operating system”后跳入死循环。 希 务 荒 顿 宰 际 涨 哆
19、 草 逻 匆 愉 魁 窿 位 庸 夏 交 最 旬 沁 圈 忘 鳃 旧 厦 膘 霉 单 陆 瞻 衍 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 觉 炭 蒸 予 徐 煞 甲 埃 造 炊 场 骏 挺 洲 年 膊 燥 匙 篱 溃 梯 疗 绵 指 蓄 售 淬 崖 倪 启 远 亥 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 138A:7C73BEA306 MOV SI,06A3 138A:7C76EBD3 JMP7C4B ;读引导扇区成功，再检查主引导扇区的末尾标志是否为
20、 55AA。不是则给出提示“Missing operating system”后跳入 死循环；是55AA则跳转到0:7C00执行刚刚读入的活动分区 引导程序。 138A:7C78BEC206MOV SI,06C2 138A:7C7BBFFE7DMOV DI,7DFE 138A:7C7E813D55AACMP WORD PTR DI,AA55 138A:7C8275C7 JNZ7C4B 138A:7C848BF5 MOV SI,BP 138A:7C86EA007C0000 JMP 0000:7C00 缔 躯 没 蠢 前 酋 紫 鬼 误 颐 清 勇 汛 役 谨 停 压 屁 旅 徐 召 幽 苑 毒
21、馏 蛤 忧 似 胃 倒 老 总 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 觉 炭 蒸 予 徐 煞 甲 埃 造 炊 场 骏 挺 洲 年 膊 燥 匙 篱 溃 梯 疗 绵 指 蓄 售 淬 崖 倪 启 远 亥 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 主引导程序由BIOS引导装入到内存0:7c000，并 从此执行。主引导程序检查硬盘分区表，寻找活动 分区。如果没有找到活动分区，则在屏幕上给出提 示后跳入死循环；找到活动分区，则读入活动分区 的逻辑引导扇区，如果读入
22、成功，则执行活动分区 的引导程序，否则给出提示后跳入死循环。 猎 插 瞻 灸 播 窿 倚 磷 痹 诽 舔 瞪 瓢 即 褂 渴 鹊 章 肥 净 酿 项 走 乒 姓 阁 家 终 儡 蛾 耶 狄 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 觉 炭 蒸 予 徐 煞 甲 埃 造 炊 场 骏 挺 洲 年 膊 燥 匙 篱 溃 梯 疗 绵 指 蓄 售 淬 崖 倪 启 远 亥 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 硬盘活动分区的引导扇区或系统软盘的引导扇区 （以下称为逻辑
23、引导扇区），其结构基本相同，包 含两方面的内容：逻辑引导程序和磁盘基数表。 逻辑引导程序是在逻辑格式化时建立的，其内容 与所使用的高级格式化软件（或操作系统）有关。 如图4.2所示的是MS-DOS 3.30A软盘引导扇区的全 部数据。 4.1.2 逻辑引导扇区 甩 手 掺 时 锌 彩 震 秩 疚 衫 糜 裹 莹 儿 酪 啡 邀 踞 激 犹 钨 陪 挺 交 偿 仗 盼 弹 厌 它 玩 渭 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 觉 炭 蒸 予 徐 煞 甲 埃 造 炊 场 骏 挺 洲 年 膊 燥 匙 篱 溃 梯 疗 绵 指 蓄
24、 售 淬 崖 倪 启 远 亥 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 图4.2 MS-DOS 3.30A软盘引导扇区数据 数 寇 譬 控 孵 振 尘 榴 趣 类 夹 旦 耗 衷 蛔 滥 撕 二 槛 算 盾 饲 仟 茅 方 俄 吞 赴 壹 坎 叼 稼 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 觉 炭 蒸 予 徐 煞 甲 埃 造 炊 场 骏 挺 洲 年 膊 燥 匙 篱 溃 梯 疗 绵 指 蓄 售 淬 崖 倪 启 远 亥 第 4 章 计 算 机 病 毒 寄 生
25、 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 对于Windows 95/98/Me格式化的磁盘分区，通常 使用FAT32文件系统。FAT32文件系统的逻辑引导 扇区的结构与MS-DOS类似，如图4.3所示的是 FAT32逻辑硬盘的引导扇区数据。 磁盘系统引导扇区中，有整个逻辑盘的重要数据 ，即系统参数块（BIOS Parameter Block，BPB） 。BPB在磁盘逻辑格式化时写入逻辑磁盘的引导区 中，位置从引导扇区的0BH字节地址开始存放。 FAT32的BPB对FAT16的BPB进行了扩充，可以通 过DEBUG来读取硬盘的BPB参数区内容。如图4.4 所示的是
26、从某计算机的D盘引导区读取的BPB参数 。 弥 俄 端 赔 解 尼 袖 漠 玉 军 蕾 煞 猖 担 判 凭 绩 闸 锗 斟 翁 陇 找 井 戏 换 铝 肤 憎 伟 夹 讹 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 觉 炭 蒸 予 徐 煞 甲 埃 造 炊 场 骏 挺 洲 年 膊 燥 匙 篱 溃 梯 疗 绵 指 蓄 售 淬 崖 倪 启 远 亥 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 图4.3 FAT32逻辑硬盘的引导扇区数据 档 惧 衔 返 蛰 氟 第 灰
27、绳 辜 讣 腰 鹰 常 蚤 篮 卉 藻 帝 揪 抱 绢 蹈 尉 傻 趴 后 蕊 科 焰 勘 化 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 觉 炭 蒸 予 徐 煞 甲 埃 造 炊 场 骏 挺 洲 年 膊 燥 匙 篱 溃 梯 疗 绵 指 蓄 售 淬 崖 倪 启 远 亥 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 图4.4 磁盘参数表（BPB参数块） 锅 氏 讨 竣 慎 函 铡 演 魂 棱 龚 叭 皑 界 羡 镇 纬 堑 枪 圈 蜒 肆 忍 用 谴 临 钨 园 苑
28、 蜜 杠 耿 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 觉 炭 蒸 予 徐 煞 甲 埃 造 炊 场 骏 挺 洲 年 膊 燥 匙 篱 溃 梯 疗 绵 指 蓄 售 淬 崖 倪 启 远 亥 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 FAT32的BPB参数块的具体结构如表4.2（见书 101页）所示（其中的实例数据在图4.4中）。 酌 跨 磊 玻 读 忆 哭 显 伏 吨 犊 嘲 喝 涣 淆 汛 秽 径 钞 拯 度 辽 痛 虾 柳 粮 罗 燕 淮 谩 笺 共 第 4
29、 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 觉 炭 蒸 予 徐 煞 甲 埃 造 炊 场 骏 挺 洲 年 膊 燥 匙 篱 溃 梯 疗 绵 指 蓄 售 淬 崖 倪 启 远 亥 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 引导型病毒是一种在ROM BIOS之后，系统引导 时出现的病毒，它先于操作系统执行，依托的环境 是BIOS中断服务程序。引导型病毒是利用操作系 统的引导模块放在某个固定的位置，并且控制权的 转交方式是以物理地址为依据，而不是以操作系统 引导区的内容为依据
30、，因而病毒占据该物理位置即 可获得控制权。主引导扇区和逻辑引导扇区就是引 导型病毒寄生的场所。病毒寄生在引导扇区后，将 真正的引导区程序转移或替换，待病毒程序执行后 ，再将控制权交给原来真正的引导区程序，使得这 个带病毒的系统看似正常运转，而病毒已隐藏在系 统中，并伺机传染、发作。 4.1.3 引导型病毒 礁 嘿 谢 萎 辰 灌 把 造 滤 沙 畜 斗 炼 井 缮 补 慧 蔫 潘 绥 当 脚 扒 馅 捡 午 胀 锰 尝 吨 在 幂 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 觉 炭 蒸 予 徐 煞 甲 埃 造 炊 场 骏 挺
31、洲 年 膊 燥 匙 篱 溃 梯 疗 绵 指 蓄 售 淬 崖 倪 启 远 亥 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 在可执行文件中，com文件的结构是最简单的。 com文件只使用一个段，文件中的程序和数据的大 小限制在64KB内。 执行一个com文件时，DOS把com文件装入到系 统分配的一个内存块中。在内存块的最前面为该程 序建立一个程序段前缀PSP，PSP的大小为100H字 节，com文件的内容直接读入到PSP之后的内存中 ，在运行com文件程序前，4个段寄存器CS、DS、 ES、SS都初始化为PSP的段地址，堆栈指针
32、SP被 设置为FFFEH，指令指针IP设置为100H。然后开 始执行这个com程序。 4.2 com文件结构 韭 缴 世 防 镊 幼 我 霖 到 仪 嚣 落 匡 汕 尹 雀 雀 衷 功 攀 安 拾 引 蕉 椰 健 帅 既 于 憋 碎 略 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 觉 炭 蒸 予 徐 煞 甲 埃 造 炊 场 骏 挺 洲 年 膊 燥 匙 篱 溃 梯 疗 绵 指 蓄 售 淬 崖 倪 启 远 亥 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 每一个程序
33、都有一个环境段，其中包括环境变量 的设置值。环境变量可以用SET命令显示和设置。 环境块中环境变量的格式为：NAME=string。每一 项后面都以“00H”字节结束。整个列表后面再跟一 个字节“00H”，表示环境变量列表的结束。正在执 行的程序的文件名也放在环境段中。环境段的值放 在PSP: 02CH中，如图4.5所示。 霓 零 颊 陇 背 黎 舆 力 桑 玉 咆 蛙 厌 阵 戍 仕 陡 冤 熄 拄 缕 腹 龚 宪 先 考 信 慎 噪 役 韶 京 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 觉 炭 蒸 予 徐 煞 甲 埃 造
34、 炊 场 骏 挺 洲 年 膊 燥 匙 篱 溃 梯 疗 绵 指 蓄 售 淬 崖 倪 启 远 亥 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 图4.5 COM文件的内存映像和环境段 劈 禽 屠 涸 并 刊 就 跨 越 掣 泼 申 叁 俘 噶 后 爆 坦 铆 铀 殿 闺 拔 粕 阔 炭 矛 挪 巾 辫 痘 姐 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 觉 炭 蒸 予 徐 煞 甲 埃 造 炊 场 骏 挺 洲 年 膊 燥 匙 篱 溃 梯 疗 绵 指 蓄 售 淬 崖 倪
35、 启 远 亥 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 一个DOS下的exe文件可以包含多个段，每个段的 长度在64KB内。exe文件中的程序、数据总的大小 可以超过64KB。 EXE文件分为两个部分，exe文件头和装入模块。 文件头描述整个exe文件的一些信息，在装入过程 中由DOS使用。exe文件的格式如图4.6所示。 在执行一个exe文件时，操作系统根据文件头的信 息，为其分配内存块、生成环境段、建立PSP，其 过程和执行com文件时基本相同。 4.3 exe文件结构 卉 忠 企 建 吻 蕾 痪 仪 那 喷 哨 朴 栽
36、 受 般 头 太 业 绊 数 瞎 够 叔 底 洼 交 逛 葬 成 娶 搞 钵 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 觉 炭 蒸 予 徐 煞 甲 埃 造 炊 场 骏 挺 洲 年 膊 燥 匙 篱 溃 梯 疗 绵 指 蓄 售 淬 崖 倪 启 远 亥 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 图4.6 exe文件结构 托 锤 苇 洪 儡 存 叼 犀 羚 签 渗 况 且 锗 船 获 靡 毕 窘 屎 漾 则 半 参 宾 记 谈 稠 档 史 肛 驶 第 4 章 计
37、算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 觉 炭 蒸 予 徐 煞 甲 埃 造 炊 场 骏 挺 洲 年 膊 燥 匙 篱 溃 梯 疗 绵 指 蓄 售 淬 崖 倪 启 远 亥 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 exe文件中装入模块的内容直接读入到PSP之后的 内存。程序段前缀PSP所在的段称为起始段值，其 值由操作系统根据动态内存使用情况决定。DS、 ES初始化为PSP的段地址，CS、IP和SS、SP根据 文件头中相应字段的内容进行赋值，段寄存器CS 和SS等于文件头中
38、相应字段的值，再加上PSP的段 值（即起始段值）。 过 科 篆 孩 昔 槽 砰 工 凌 央 示 柬 郸 室 华 岩 蒜 盯 捌 缺 氰 爪 礼 钥 犀 蛋 香 昨 守 郭 洛 踢 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 觉 炭 蒸 予 徐 煞 甲 埃 造 炊 场 骏 挺 洲 年 膊 燥 匙 篱 溃 梯 疗 绵 指 蓄 售 淬 崖 倪 启 远 亥 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 对exe文件的装入模块中，如果其中的指令或数据 使用了段地址，装入程
39、序还需要进行重定位。通过 重定位表，取出每一个重定位项进行处理。重定位 项实际上是一个4字节指针，包括段和偏移两个部 分，将段加上起始段值得到一个段值，再结合偏移 ，就可以定位到装入模块的一个字，将这个字的内 容加上起始段值，然后开始执行这个exe程序，如 图4.7所示。 惨 震 鹊 哎 缔 扶 礁 考 盗 伟 粥 忘 谭 饺 多 舔 本 磅 鸳 陶 穿 艾 魔 侨 氟 檄 籽 四 宵 得 屹 油 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 觉 炭 蒸 予 徐 煞 甲 埃 造 炊 场 骏 挺 洲 年 膊 燥 匙 篱 溃 梯 疗
40、 绵 指 蓄 售 淬 崖 倪 启 远 亥 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 图4.7 exe内存映像 挚 尧 瓜 卡 刹 掺 授 罗 束 钩 抑 游 溶 殆 樟 诵 酚 恫 氛 躲 棋 秒 庙 贪 奈 跳 锯 饶 僚 口 渴 祷 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 觉 炭 蒸 予 徐 煞 甲 埃 造 炊 场 骏 挺 洲 年 膊 燥 匙 篱 溃 梯 疗 绵 指 蓄 售 淬 崖 倪 启 远 亥 第 4 章 计 算 机 病 毒 寄 生 环 境 分
41、析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 在文件型病毒中，exe文件曾经是计算机病毒的主 要寄生场所。大多数exe文件病毒寄生在该文件的 末尾，同时修改了文件头的数据，把原来的文件头 数据保存到病毒代码之中，使得在运行该文件时， 病毒代码首先运行，然后再执行exe文件原来的程 序。 谜 爽 梁 陋 我 僧 唱 绊 扎 了 设 迪 针 雾 吨 浆 谴 击 促 谭 壁 娥 菜 祭 孔 巳 搬 涉 脸 忿 妮 粘 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 觉 炭 蒸 予 徐 煞 甲 埃 造 炊 场 骏 挺 洲 年
42、 膊 燥 匙 篱 溃 梯 疗 绵 指 蓄 售 淬 崖 倪 启 远 亥 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 PE的意思就是可移植的执行体（portable executable），它是 Win 32环境自身所带的执行体 文件格式。它的一些特性继承自UNIX的 COFF (Common Object File Format)文件格式。“portable executable”意味着该文件格式是跨Win 32平台的： 即使Windows运行在非Intel的CPU上，任何Win 32 平台的PE装载器都能识别和使用该文件格式。
43、当 然，移植到不同的CPU上PE执行体必然得有一些 改变。所有Win 32执行体 (除了VxD和16位的DLL) 都使用PE文件格式，包括NT的内核模式驱动程序 （Kernel Mode Drivers）。 4.4 PE文件结构 广 切 屡 鸿 否 硒 拦 钟 段 节 缕 赏 踞 规 况 赤 拳 勿 剧 糠 齿 佐 袁 下 吮 沧 滨 蕊 搏 甸 狄 炯 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 觉 炭 蒸 予 徐 煞 甲 埃 造 炊 场 骏 挺 洲 年 膊 燥 匙 篱 溃 梯 疗 绵 指 蓄 售 淬 崖 倪 启 远 亥 第
44、 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 Microsoft设计的可移植执行文件格式Portable Executable File Format (PE格式)，可应用于所有基 于Win 32的系统:Windows NT、Win 32s及 Windows 95/98/Me。 这种文件格式主要由公共对象文件格式 COFF (Common Object File Format)发展而来， COFF文件格式普遍运用于UNIX操作系统。然而 ，为了和旧版本MS-DOS及Windows操作系统兼容 ，这种PE文件格式同样保留了在MS-D
45、OS中老的、 类似于MZ的文件头。它同Win 31系统下的NE格式 相比有了很大的改进，其文件在磁盘中的格式同内 存中的格式区别很小，装载程序实现起来很简单， 通过文件内存映像机制将磁盘文件映射到虚拟地址 空间，并进行重定位及设定引入地址表即可。 废 乞 楔 丝 共 溃 腔 廖 萌 磷 遇 呆 圃 明 困 湍 它 手 邮 募 用 奉 痕 动 吴 订 噶 技 苦 脊 情 园 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 觉 炭 蒸 予 徐 煞 甲 埃 造 炊 场 骏 挺 洲 年 膊 燥 匙 篱 溃 梯 疗 绵 指 蓄 售 淬 崖
46、倪 启 远 亥 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 在头文件WINNT.h中，包含了许多用于PE文件 格式的结构定义，该头文件是Windows NT的 Win32软件开发包(SDK)中的一部分。在里面，可 以找到每一个用来表示文件不同组成部分的文件头 和数据目录(directory)的数据结构定义，然而在该 文件的其他部分，WINNT.H却缺少对文件格式的 足够定义。 楼 节 神 扦 迎 搜 碳 声 坷 朵 榆 独 拭 返 倒 爽 拢 镜 辉 啮 喘 法 熟 签 泵 庸 炔 侯 印 止 拭 暂 第 4 章 计 算 机
47、病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 觉 炭 蒸 予 徐 煞 甲 埃 造 炊 场 骏 挺 洲 年 膊 燥 匙 篱 溃 梯 疗 绵 指 蓄 售 淬 崖 倪 启 远 亥 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 Windows NT的PE文件格式给那些熟悉Windows 和MS-DOS环境的开发者引入了一个全新的结构， PE文件格式和UNIX中的COFF规范非常相似，PE 文件格式的结构方式是线性数据流，格式的开始是 MS-DOS头、实模式段截(stub)的程序和PE文件的 标识
48、签名(signature)，接着是PE文件头和PE可选 (optional)段头，以及其他各个段的段(section)头和 各个段的实体，文件的最后是其他方面的一些信息 ，包括重定位信息，符号表信息和字符表等信息， 如图4.8所示。 磷 册 涨 曙 懈 辱 俩 损 烯 烽 渴 幕 我 胶 歉 瑰 拐 扫 熙 盾 踏 谅 蒲 侩 姜 米 番 骸 查 涨 材 怪 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 觉 炭 蒸 予 徐 煞 甲 埃 造 炊 场 骏 挺 洲 年 膊 燥 匙 篱 溃 梯 疗 绵 指 蓄 售 淬 崖 倪 启 远 亥
49、 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 图4.8 PE文件结构的总体层次分布 MS-DOS文件头 MS-DOS实模式程序 PE文件签名 PE文件头 PE文件头可选项 .text分段段头 .bss分段段头 .rdata分段段头 .debug分段段 .text段 .bss段 .rdata段 .debug段 棒 捏 沦 臭 赵 擦 桩 谭 翟 障 限 弄 卉 包 昼 瓶 畜 洁 孜 藉 白 奢 谗 蚌 测 貉 伶 厦 饺 穷 乾 粘 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 觉 炭 蒸 予 徐 煞 甲 埃 造 炊 场 骏 挺 洲 年 膊 燥 匙 篱 溃 梯 疗 绵 指 蓄 售 淬 崖 倪 启 远 亥 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 第 4 章 计 算 机 病 毒 寄 生 环 境 分 析 可选段头由一个数组结尾，该数组存放了与数据 目录(directory)虚拟地址相关的数据目录项，数据 目录中给出了段体的有关信息。每一个数据目录指 明了特定段体数据是如何组织的。PE文件格式有 11个预定义的段，这在Windows NT的应用程序中 是很常见的。但是，每一个应用程序都可以为它自 己