徐耀洪 陈 智 宁康琪

[摘 要]随着计算机技术发展,它给人们的生活工作带来了巨大的便利,但是由于计算机病毒的出现,使得在享受计算机的好处的同时,又面对着病毒攻击的困扰。本文介绍了基于PE文件格式的Windows病毒关键技术,并着重介绍了反病毒的一些相关技术。

[关键词]PE文件格式 病毒与反病毒关键技术

[中图分类号]TP391[文献标识码]A[文章编号]1007-9416(2009)12-0106-03

Analysis of Key Technique in Windows PE counter-Viruses

Xu YaohongChen ZhiNing Kangqi

Dep. of Information Engineer, Shaoyang University, Hunan,422000, Shaoyang China

[Abstract]With the development of computer technology, it makes our life more convenience. But as a result of computer virus' appearance, we must face the viral attack. This paper analysized the Key Technique in Windows PE counter-Viruses and the counter-virus's technology.

[Key words] PE document format; Viral and counter-viral key technologies

1 引言

计算机病毒一直是计算机用户和安全专家的心腹大患,虽然计算机反病毒技术不断更新和发展,但是仍然不能改变被动滞后的局面。由于当前计算机的操作平台大多数是Windows xp/NT以上的,大多数计算机病毒都是以此为基础来编写的,故分析基于PE文件格式的Windows病毒关键技术分析具有非常重要的意义。

2 PE文件格式简析

PE文件是微软设计在所有Win32操作系统下的可执行文件格式。对于PE文件头,和其他微软可执行文件格式一样,PE表头并非在文件的最开始处。所有PE文件必须以一个简单的DOS MZ头文件开始,紧接着DOS MZ头是所谓的DOS stub,它是一个极小DOS程序,用来输出像“该程序不能在DOS模式下运行”这样的信息这也就是为什么在纯DOS方式下运行PE格式文件的第一字节对应到DOS stub 的第一的字节。紧接着DOS stub 的是PE头。PE头是PE相关结构IMAGE-NT-HEADERS的简称,其中包含了许多PE装载器用到的重要域。PE头中包含了PE的标志,此标志为DWORD类型,其值为“PE”。PE头接下来的数据结构是段表,每个结构包含对应段的属性,文件偏移量,虚拟偏移量等内容。PE文件里有多少段,此结构数组内就有多少个成员。……