病毒分析与手工查杀

今天又可以上最喜欢的姚老师的实验课了！

先浅浅记录一下理论知识。

有需要实验工具和靶机的可以留言我给你分享~

实验目的：

分析PE文件结构，理解关键字段意义，掌握RVA、VA、FOA地址间转换；分析文件型病毒的原理；了解文件型病毒的发现方法，能利用OD等工具分析PE病毒，并通过手工方式进行病毒查杀；分析病毒专杀工具的基本设计方法。

系统环境及工具：

WinSR虚拟机、病毒样本、OllyDBG、PE Explorer、UltraEdit32

实验原理和PE结构待补充。

用ollyDBG修改病毒感染程序

先感染文件hei0.exe,感染前文件大小是3K，感染后是9k

用OD修改病毒程序

首先要找到最后一个jmp指令，因为病毒的代码是贴在最后一个节，且执行完病毒的代码完成文件感染后要jmp回到程序入口点。然后源程序入口点肯定是不会都一样的，不同的exe文件入口点不一样，若是写死则无法兼容感染其他exe。于是我们可以合理推测，在执行病毒代码之前，病毒把程序的入口点的RVA值保存在某个地址，执行完病毒代码后把地址放在aex中然后jmp aex。（为啥是aex寄存器呢，我也不是特别清楚，但是我发现很多jmp都是把地址放到aex里面然后，jmp aex）

找最后一个jmp aex

直接在od上右键->查找->命令->输入jmp eax，或ctrl F,不要勾选整个块，我们就可以ctrl L一直往下下一条。

然后在指令的地址处下一个断点F2，然后重载

换了一台机器调试，可以看到断点停下时jmp 的值是00401000，也就是源程序的入口点。

按F7运行就回到了程序入口点，然后我们右键，用OD脱壳调试进程。

选择方式2，点击脱壳，也可以选择方式一对比一下，但是这次实验方式一脱壳是没办法运行的。

另存为文件后测试是否还具有传染性，无。

病毒感染机制分析

把感染前和感染后的样本重命名为hei0.exe和hei1.exe后放到一个目录下，对比分析。

使用PE Explorer分别打开两个文件，对比文件入口点（OEP--Address of Entry Point）和镜像大小（Image Base），并记录如下数据。

	OEP	ImageBase
hei0.exe	00001000	00400000
hei.exe	00003200	00400000

感染前后程序入口点对比，感染前1000，感染后3200

感染前后镜像大小对比，感染前16384byte，感染后18944byte

查看比对Section Header的数据信息并记录到下面表格。

	Virtual Size	Virtual Address	Size of Raw Data	Point to Raw Data
hei0.exe的.data	00000027h	00403000h	00000200h	00000400h
Hei1.exe的.data	00001A00h	00403000h	00001A00h	00000800h

下面对比图可以看到Virtual Size，Size of Raw Data，节属性发生变化

打开Ultra Editor，择“文件”菜单中的“比较文件”功能对hei0.ex_和hei.ex_进行二进制比对，可以发现在hei.exe文件的0xa00处开始的数据块为存储于.data节的病毒代码。

搜索hei0的入口点1000，然后记录数据文件偏移记录21ch,计算该地址在内存虚拟地址为

21ch-800+3000+400000 = 0040481c

Od加载查看对应地址，发现就是jmp eax

用以上方法对几个已感染和未感染的文件对比分析，并作出如下记录

文件	原文件的入口地址	感染病毒文件的入口地址	感染病毒文件的最后一个跳转目的地址
mspaint.exe	34CF5	53800	010345C
notepad.exe	73A5	13000	010073A5
wordpad.exe	119B	3A00	0100119B