剖析linux病毒原型工作過(guò)程和關(guān)鍵環(huán)節(jié)

1、剖析Linux病毒原型工作過(guò)程和關(guān)鍵環(huán)節(jié)2007062609:59作者：來(lái)源：賽迪網(wǎng)一、介紹寫這篇文章的目的主要是對(duì)最近寫的一個(gè)Linux病毒原型代碼做一個(gè)總結(jié)，同時(shí)向?qū)@方面有興趣的朋友做一個(gè)簡(jiǎn)單的介紹。閱讀這篇文章你需要一些知識(shí)，要對(duì)ELF有所了解、能夠閱讀一些嵌入了匯編的C代碼、了解病毒的基本工作原理。二、ELFInfect(ELF文件感染器)為了制作病毒文件，我們需要一個(gè)ELF文件感染器，用于制造第一個(gè)帶毒文件。對(duì)于ELF文件感

2、染技術(shù)，在SilvioCesare的《UNIXELFPARASITESVIRUS》一文中已經(jīng)有了一個(gè)非常好的分析、描述，在這方面我還沒(méi)有發(fā)現(xiàn)可以對(duì)其進(jìn)行補(bǔ)充的地方，因此在這里我把SilvioCesare對(duì)ELFInfection過(guò)程的總結(jié)貼出來(lái)，以供參考：Thefinalalgithmisusingthisinfmationis.Increasep_shoffbyPAGE_SIZEintheELFheaderPatchtheioncod

3、e(parasite)tojumptotheentrypoint(iginal)LocatethetextsegmentprogramheaderModifytheentrypointoftheELFheadertopointtothenewcode(p_vaddrp_filesz)Increasep_fileszbyaccountfthenewcode(parasite)Increasep_memsztoaccountfthenewc

4、ode(parasite)Feachphdrwhossegmentisaftertheion(textsegment)increasep_offsetbyPAGE_SIZEFthelastshdrinthetextsegmentincreasesh_lenbytheparasitelength.........voidparasite_code_end(void)parasite_code()有了這三個(gè)定義，gelfinfect就能正確

5、編譯，編譯后即可用來(lái)ELF文件感染face=Verdana三、病毒原型的工作過(guò)程1首先通過(guò)ELFInfect將病毒代碼感染到一個(gè)ELF文件，這樣就創(chuàng)造了第一個(gè)帶毒文件，后續(xù)的傳播就由它來(lái)完成。2當(dāng)帶毒文件被執(zhí)行時(shí)，會(huì)首先跳到病毒代碼開始執(zhí)行。3病毒代碼開始發(fā)作，在這個(gè)原型里，病毒會(huì)直接開始傳播。4病毒遍歷當(dāng)前目錄下的每一個(gè)文件，如果是符合條件的ELF文件就開始感染。5病毒的感染過(guò)程和ELFInfect的過(guò)程類似，但由于工作環(huán)境的不同，代

6、碼的實(shí)現(xiàn)也是有較大區(qū)別的。6目前傳染對(duì)ELF文件的基本要求是文本段要有剩余空間能夠容納病毒代碼，如果無(wú)法滿足，病毒會(huì)忽略此ELF。對(duì)于被感染過(guò)一次的ELF文件，文本段將不會(huì)有剩余的空間，因此二次感染是不會(huì)發(fā)生的。7病毒代碼執(zhí)行過(guò)后，會(huì)恢復(fù)堆棧和所有寄存器（這很重要），然后跳回到真正的可執(zhí)行文件入口，開始正常的運(yùn)行過(guò)程。上面對(duì)病毒原型的工作過(guò)程的介紹也許顯得千篇一律了，和我們?cè)缇褪熘年P(guān)于病毒的一些介紹沒(méi)有什么區(qū)別？是的，的確是這樣，原理