资源描述：
《东华大学计算机病毒PE病毒实验报告.doc》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。
1、计算机病毒实验报告姓名：学号:老师：日期：17一．PE文件感染实验一：参照病毒感染PE文件的7个步骤，记录病毒是如何感染文件（文字和截屏形式）病毒感染文件过程(以感染文件KeyMaker.exe为例)：重定位，获得所有API地址：17通过软件Stud_PE可查看可执行文件KeyMaker.exe的结构可查看文件内容：1．判断目标文件开始的两个字节是否为“MZ”：2．判断PE文件标记“PE”：3．判断感染标记，如果已被感染过则跳出继续执行宿主程序，否则继续：174．读取IMAGE_FILE_HEADER的NumberOfSections域，获得DataDirec
2、tory（数据目录）的个数，（每个数据目录信息占8个字节）：5．得到节表起始位置。(数据目录的偏移地址+数据目录占用的字节数=节表起始位置)。6．得到节表的末尾偏移（紧接其后用于写入一个新的病毒节信息）节表起始位置+节的个数*(每个节表占用的字节数28H)=节表的末尾偏移。177．开始写入节表,感染文件：二：在掌握Stud_PE工具的基础上，比较文件感染前后有哪些变化。感染前：感染后：17由上两图可以看出，感染前后有4处发生了变化：1：PE文件头中入口点：感染病毒后KeyMaker.exe程序的入口点变成了病毒文件的入口点。2：PointerToRawData
3、域值，即该文件的偏移量发生了变化；3：imag的大小发生了变化；4：Numberofsections的数量发生了变化。1717由.exe文件感染前后变化可知，PE病毒感染过程即在文件中添加一个新节，把病毒代码和病毒执行后返回宿主程序的代码写入新添加的节中，同时修改PE文件头中入口点（AddressOfEntryPoint），使其指向新添加的病毒代码入口。程序染毒后运行结果：1：首先执行病毒程序：2：病毒代码执行完后执行宿主程序：17三：针对病毒源代码，指出与感染PE文件步骤相对应的程序段1．判断目标文件开始的两个字节是否为“MZ”。leaeax,[ebx+of
4、fsetszMsg1]pusheaxcallSingleTest2．判断PE文件标记“PE”。cmpwordptr[edi],IMAGE_DOS_SIGNATUREjnePageErrormovesi,ediaddesi,[esi+003ch]cmpwordptr[esi],IMAGE_NT_SIGNATUREjnePageErrormovdwReturn,edijmp@f3．判断感染标记，如果已被感染过则跳出继续执行宿主程序，否则继续。movecx,[esi+74h];imulecx,ecx,817leaeax,[ecx+esi+78h]movzxecx,w
5、ordptr[esi+6h]imulecx,ecx,28haddeax,ecxsubeax,28hcmpdwordptr[eax],'SI'je@f4．获得DataDirectory（数据目录）的个数，（每个数据目录信息占8个字节）。popesiaddebx,4incedxcmpedx,[esi].NumberOfNamesjl@bjmpError5．得到节表起始位置。(数据目录的偏移地址+数据目录占用的字节数=节表起始位置)movesi,hModuleaddesi,[esi+3ch]assumeesi:ptrIMAGE_NT_HEADERSmovesi,[e
6、si].OptionalHeader.DataDirectory.VirtualAddressaddesi,hModuleassumeesi:ptrIMAGE_EXPORT_DIRECTORY6．得到节表的末尾偏移（紧接其后用于写入一个新的病毒节信息）节表起始位置+节的个数*(每个节表占用的字节数28H)=节表的末尾偏移。mov[ebx+hFile],eax17push0pusheaxcall[ebx+lpGetFileSize]cmpeax,-1jeCloseFilemov[ebx+dwFileSize],eaxaddeax,1000h7．开始写入节表xor
7、eax,eaxsubedi,[ebx+lpMemory]pusheax;FILE-BEGINpusheaxpushedipush[ebx+hFile]call[ebx+lpSetFilePointer]push[ebx+hFile]call[ebx+lpSetEndOfFile]附实验三观察某可执行文件结果截图：17Imports：17Exports：Dump:17Headers:17SectnTbl:17DebugDir:Resources:1717
