Главная страница Случайная лекция
Мы поможем в написании ваших работ!
Порталы:
БиологияВойнаГеографияИнформатикаИскусствоИсторияКультураЛингвистикаМатематикаМедицинаОхрана трудаПолитикаПравоПсихологияРелигияТехникаФизикаФилософияЭкономика
Мы поможем в написании ваших работ!
Необходимые изменения
Изменения, при заражении PE. Эта техника получила наибольшее распространение и она, между прочим, гораздо проще, чем добавление другой секции.
+ DOS-информация +
Анализируемый файл: GOAT002.EXE (для наглядного примера) DOS-отчеты: ¦ Размер файла - 2000H (08192d) ¦ Время создания файла - 17:19:46 (hh:mm:ss) ¦ Дата создания файла - 11/06/1999 (dd/mm/yy) ¦ Аттрибуты : архивный+ PE Header +
+ Опциональный заголовок PE +
+ Заголоки PE-секции +
Это был нормальный незараженный файл. Ниже идет тот же самый файл, но зараженный вирусом (Вирус-пример).
+ DOS INFORMATION +
Анализируемый файл: GOAT002.EXE
DOS-отчеты: ¦ Размер файла - 2600H (09728d) ¦ Время создания файла - 23:20:58 (hh:mm:ss) ¦ Дата создания файла - 22/06/1999 (dd/mm/yy) ¦ Аттрибуты : архивный [...]+ Заголовок PE +
+ Опциональный PE-заголовок +
+ Заголовки PE-секций +
Это делаем, когда заражаем PE, увеличивая его последнюю секцию. Чтобы не сравнивать каждую из этих таблиц друг с другом, составлен следующий маленький список:
Контрольные вопросы
1. Что представляет собой структура PSP, DTA, FCB, MCB, DTA, IVT, SFT, DIB, DPB, BPB, таблицы партиций?
2. Из чего состоит основная структура РЕ заголовка?
3. Дайте подробное описание внутренней структуры РЕ заголовка.
4. Какие секции используются при заражении вирусом файла?
5. Какие изменения происходят при заражении PE?
6. Где и как найти смещения в файле (продемонстрируйте на примере любого файла и редактора)?
| <== предыдущая страница | | | следующая страница ==> |
| IMAGE_SECTION_HEADER | | | Алгоритм работы COM – вируса |
Дата добавления: 2015-06-30; просмотров: 200; Нарушение авторских прав
Мы поможем в написании ваших работ!