上海文通大学 SHANGHAI JIAO TONG UNIVERSITY 第四章传统计算机病毒 上海交通大学网络空间安全学院 刘功申 网络空间安全学院
第四章 传统计算机病毒 上海交通大学 网络空间安全学院 刘功申
上游充通大警 本章学习目标 SHANGHAI JIAO TONG UNIVERSITY ©了解COM、EXE、NE、PE可执行文件格式 掌握引导型病毒原理及实验 ©了解B1OS和UEFI固件引导病毒 掌握COM文件病毒原理及实验 ©掌握PE文件型病毒及实验 网络空间安全学院
本章学习目标 了解COM、EXE、NE、PE可执行文件格式 掌握引导型病毒原理及实验 了解BIOS和UEFI固件引导病毒 掌握COM文件病毒原理及实验 掌握PE文件型病毒及实验
上海充通大￥ 总体概念 SHANGHAI JIAO TONG UNIVERSITY ©DOS病毒定格在5000多种 DOS是VXer的乐园(Aver) 9x病毒ring3,ring0 2K病毒主要是ring3 ④Vindows文件格式变迁： ·COM 。EXE:MZ->NE->PE Vxd:LE(16Bit,32Bit) 网络空间安全学院
总体概念 DOS病毒定格在5000多种 DOS是VXer的乐园(Aver) 9x病毒 ring3, ring0 2K病毒 主要是ring3 Windows文件格式变迁： • COM • EXE:MZ->NE->PE • Vxd: LE(16Bit, 32Bit)
上海文通大学 章节主要内容 SHANGHAI JIAO TONG UNIVERSITY 一、引导型病毒编制原理及实验 © 二、BOS和UEFI固件引导病毒 三、16位COM可执行文件病毒原理及实验 四、32位PE可执行文件病毒原理及实验 网络空间安全学院
章节主要内容 一、引导型病毒编制原理及实验 二、BIOS和UEFI固件引导病毒 三、16位COM可执行文件病毒原理及实验 四、32位PE可执行文件病毒原理及实验
上文学一、引导型病毒编制原理及实验 SHANGHAI JIAO TONG UNIVERSITY ©PC引导流程 加电 CPU八BIOS POST自检 引导区、分 发现操作系统 初始化 区表检查 执行引导程序 网络空间安全学院
一、引导型病毒编制原理及实验 PC引导流程 加电 CPU\BIOS 初始化 POST自检 引导区、分 区表检查 发现操作系统 执行引导程序
上海文通大学 SHANGHAI JIAO TONG UNIVERSITY 引导区病毒取得控制权的过程： 1正常的引导过程 MBR和分 区表装载 运行DOS 加载IO.sys 加载DOS 引导程序 DOS引导区 MSDOS.sys 2用被感染的软盘启动 引导型病毒 寻找DOS 将DOS引导 病毒将自己写入 从软盘加载 引导区的 区移动到别的 原D0S引导区 到内存 位置 位置 的位置 3病毒在启动时获得控制权 MBR和分区表 原D0S引导 将病毒的引导 运行病毒 病毒驻留 内存 程序执行并加 程序加载入内存 引导程序 载DOS系统 网络空间安全学院
MBR和分 区表装载 DOS引导区 运行DOS 引导程序 加载IO.sys MSDOS.sys 加载ＤＯＳ 引导型病毒 从软盘加载 到内存 寻找DOS 引导区的 位置 将ＤＯＳ引导 区移动到别的 位置 病毒将自己写入 原ＤＯＳ引导区 的位置 MBR和分区表 将病毒的引导 程序加载入内存 运行病毒 引导程序 病毒驻留 内存 原ＤＯＳ引导 程序执行并加 载ＤＯＳ系统
上海文通大学 引导区病毒实验 SHANGHAI JIAO TONG UNIVERSITY 【实验目的】 通过实验，了解引导区病毒的感染对象和感染特征，重 点学习引导病毒的感染机制和恢复感染染毒文件的方法， 提高汇编语言的使用能力。 【实验内容】 本实验需要完成的内容如下： 引导阶段病毒由软盘感染硬盘实验。通过触发病毒，观 察病毒发作的现象和步骤学习病毒的感染机制；阅读和 分析病毒的代码。 DOS运行时病毒由硬盘感染软盘的实现。通过触发病毒， 观察病毒发作的现象和步骤学习病毒的感染机制；阅读 和分析病毒的代码。 网络空间安全学院
引导区病毒实验 【实验目的】 通过实验，了解引导区病毒的感染对象和感染特征，重 点学习引导病毒的感染机制和恢复感染染毒文件的方法， 提高汇编语言的使用能力。 【实验内容】 本实验需要完成的内容如下： 引导阶段病毒由软盘感染硬盘实验。通过触发病毒，观 察病毒发作的现象和步骤学习病毒的感染机制；阅读和 分析病毒的代码。 DOS运行时病毒由硬盘感染软盘的实现。通过触发病毒， 观察病毒发作的现象和步骤学习病毒的感染机制；阅读 和分析病毒的代码
上游充通大警 SHANGHAI JIAO TONG UNIVERSITY 【实验环境】 VMWare Workstation 5.5.3 MS-DOS 7.10 国 【实验素材】 ©附书资源experiment目录下的pootvirus目录。 网络空间安全学院
【实验环境】 VMWare Workstation 5.5.3 MS-DOS 7.10 【实验素材】 附书资源experiment目录下的bootvirus目录
上海文通大学 实验过程 SHANGHAI JIAO TONG UNIVERSITY ④第一步：环境安装 ©安装虚拟机VMWare, 在虚拟机环境内安装MS- DOS7.10环境。安装步骤参考附书资源。 网络空间安全学院
实验过程 第一步：环境安装 安装虚拟机VMWare，在虚拟机环境内安装MS- DOS 7.10环境。安装步骤参考附书资源
上游充通大警 SHANGHAI JIAO TONG UNIVERSITY 第二步：软 盘感染硬盘 Starting MS-DOS 7.1... 1、运行虚 Welcome to MS-DOS 7.10... 拟机，检查 Copyright Microsoft Corp.All rights reserved. 目前虚拟硬 Killer v1.0 Copyright 1995 Vincent Penquerc'h.All Rights Reserved. 盘是否含有 Killer installed in memory. DOSKEY installed. 病毒。如图 DOSLFN 0.32o:loaded consuming 11840 bytes. SHARE v7.10 (Revision 4.11.1492) 表示没有病 Copyright (c)1989-2003 Datalight,Inc. 毒正常启动 installed. 硬盘的状态。CuteMouse v1.g.1[D0s1 2、在附书 Installed at PS/2 port 资源中拷贝 you are in MS-DOS 7.10 prompt.Type 'HELP'for help 含有病毒的 虚拟软盘 virus.img. 网络空间安全学院
第二步：软 盘感染硬盘 1、运行虚 拟机，检查 目前虚拟硬 盘是否含有 病毒。如图 表示没有病 毒正常启动 硬盘的状态。 2、在附书 资源中拷贝 含有病毒的 虚拟软盘 virus.img