剖析linux病毒原型工作過程和關鍵環(huán)節(jié)

1、剖析Linux病毒原型工作過程和關鍵環(huán)節(jié)2007062609:59作者：來源：賽迪網一、介紹寫這篇文章的目的主要是對最近寫的一個Linux病毒原型代碼做一個總結，同時向對這方面有興趣的朋友做一個簡單的介紹。閱讀這篇文章你需要一些知識，要對ELF有所了解、能夠閱讀一些嵌入了匯編的C代碼、了解病毒的基本工作原理。二、ELFInfect(ELF文件感染器)為了制作病毒文件，我們需要一個ELF文件感染器，用于制造第一個帶毒文件。對于ELF文件感

2、染技術，在SilvioCesare的《UNIXELFPARASITESVIRUS》一文中已經有了一個非常好的分析、描述，在這方面我還沒有發(fā)現可以對其進行補充的地方，因此在這里我把SilvioCesare對ELFInfection過程的總結貼出來，以供參考：Thefinalalgithmisusingthisinfmationis.Increasep_shoffbyPAGE_SIZEintheELFheaderPatchtheioncod

3、e(parasite)tojumptotheentrypoint(iginal)LocatethetextsegmentprogramheaderModifytheentrypointoftheELFheadertopointtothenewcode(p_vaddrp_filesz)Increasep_fileszbyaccountfthenewcode(parasite)Increasep_memsztoaccountfthenewc

4、ode(parasite)Feachphdrwhossegmentisaftertheion(textsegment)increasep_offsetbyPAGE_SIZEFthelastshdrinthetextsegmentincreasesh_lenbytheparasitelength.........voidparasite_code_end(void)parasite_code()有了這三個定義，gelfinfect就能正確

5、編譯，編譯后即可用來ELF文件感染face=Verdana三、病毒原型的工作過程1首先通過ELFInfect將病毒代碼感染到一個ELF文件，這樣就創(chuàng)造了第一個帶毒文件，后續(xù)的傳播就由它來完成。2當帶毒文件被執(zhí)行時，會首先跳到病毒代碼開始執(zhí)行。3病毒代碼開始發(fā)作，在這個原型里，病毒會直接開始傳播。4病毒遍歷當前目錄下的每一個文件，如果是符合條件的ELF文件就開始感染。5病毒的感染過程和ELFInfect的過程類似，但由于工作環(huán)境的不同，代

6、碼的實現也是有較大區(qū)別的。6目前傳染對ELF文件的基本要求是文本段要有剩余空間能夠容納病毒代碼，如果無法滿足，病毒會忽略此ELF。對于被感染過一次的ELF文件，文本段將不會有剩余的空間，因此二次感染是不會發(fā)生的。7病毒代碼執(zhí)行過后，會恢復堆棧和所有寄存器（這很重要），然后跳回到真正的可執(zhí)行文件入口，開始正常的運行過程。上面對病毒原型的工作過程的介紹也許顯得千篇一律了，和我們早就熟知的關于病毒的一些介紹沒有什么區(qū)別？是的，的確是這樣，原理