计算机病毒分析
XXX
将要介绍的几种病毒类型
DOS病毒
引导区病毒
文件型病毒
混合型病毒
Windows病毒
VBS脚本病毒
宏病毒
网页病毒
Win32 PE病毒
引导区病毒
什么是主引导记录？
硬盘的主引导记录在硬盘的0磁头0柱面1扇区。主引导记录由三部分组成：
主引导程序；
四个分区表；
主引导记录有效标志字。
感染过程
是否在读写软盘？
是，则将目标盘的引导扇区读入内存, 对该盘进行判别是否传染了病毒；
当满足传染条件时, 则将病毒的全部或者一部分写入Boot区, 把正常的磁盘的引导区程序写入磁盘特写位置；
返回正常的INT 13H中断服务处理程序, 完成了对目标盘的传染。
感染过程
引导型病毒的主要特点
引导型病毒是在安装操作系统之前进入内存，寄生对象又相对固定，因此该类型病毒基本上不得不采用减少操作系统所掌管的内存容量方法来驻留内存高端。而正常的系统引导过程一般是不减少系统内存的。
引导型病毒需要把病毒传染给软盘，一般是通过修改INT 13H的中断向量，而新INT 13H中断向量段址必定指向内存高端的病毒程序。
引导型病毒感染硬盘时，必定驻留硬盘的主引导扇区或引导扇区，并且只驻留一次，因此引导型病毒一般都是在软盘启动过程中把病毒传染给硬盘的。
文件型病毒
什么是文件型病毒？
所有通过操作系统的文件系统进行感染的病毒都称作文件病毒 。
我们将会介绍的两种病毒
COM文件型病毒
EXE文件型病毒
COM文件型病毒
COM文件被载入内存后的格式
EXE文件型病毒
MZ文件头格式
偏移 大 小 描述
00 2 bytes .EXE 文件类型标记：4d5ah
02 2 bytes 文件的最后一个扇区的字节数
04 2 bytes 文件的总扇区数
文件大小=（总扇区数-1）*512+最后一页字节数
06 2 bytes 重定位项的个数
08 2 bytes exe文件头的大小 (16 bytes*this value)
0a 2 bytes 最小分配数(16 bytes*this value)
0c 2 bytes 最大分配数(16 bytes*this value)
0e 2 bytes 堆栈初始段址(SS)
10 2 bytes 堆栈初始指针(SP)
12 2 bytes 补码校验和
14 2 bytes 初始代码段指针(IP)
16 2 bytes 初始代码段段址（CS）
18 2 bytes 定位表的偏移地址
1a 2 bytes 覆盖号The overlay number make by link
混合型病毒
什么是混合型病毒？
所谓混合型病毒，就是指既可以感染引导区又可以感染文件的病毒。
但是这种病毒绝对不是引导区病毒和文件型病毒的简单相加。
文件型病毒大多采用INT 21H，但是引导型病毒是在引导阶段进行感染驻留，这时DOS系统还没有启动，因此混合型病毒此时无法采用21号中断。如何解决这个问题？
宏病毒
什么是宏病毒？
宏病毒是使用宏语言编写的程序，可以在一些数据处理系统中运行（主要是微软的办公软件系统，字处理、电子数据表和其他Office程序中），存在于字处理文档、数据表格、数据库、演示文档等数据文件中，利用宏语言的功能将自己复制并且繁殖到其他数据文档里。
网页病毒
我们这里所指的网页病毒是指在html文件中用于非法修改用户机器配置的html文件。有别于一般通过网页传染的病毒。
这种病毒严格意义上讲不属于病毒，它们只是网页恶意代码，这些代码主要用来修改用户的注册表。
Win32 PE病毒
什么是PE病毒？
PE病毒是指所有感染Windows下PE文件格式文件的病毒。
PE病毒大多数采用Win32汇编编写。
PE病毒对于一个热衷于病毒技术的人来说，是必须掌握的。
只有在PE病毒中，我们才能真正感受到高超的病毒技术。
欢迎访问我们的论坛
XXXXX公社
XXXX实验室
或 我的联系方式 XXXXXXXXXXXXXXX
