徐耀洪 陳 智 寧康琪

[摘 要]隨著計算機技術(shù)發(fā)展,它給人們的生活工作帶來了巨大的便利,但是由于計算機病毒的出現(xiàn),使得在享受計算機的好處的同時,又面對著病毒攻擊的困擾。本文介紹了基于PE文件格式的Windows病毒關(guān)鍵技術(shù),并著重介紹了反病毒的一些相關(guān)技術(shù)。

[關(guān)鍵詞]PE文件格式 病毒與反病毒關(guān)鍵技術(shù)

[中圖分類號]TP391[文獻標(biāo)識碼]A[文章編號]1007-9416(2009)12-0106-03

Analysis of Key Technique in Windows PE counter-Viruses

Xu YaohongChen ZhiNing Kangqi

Dep. of Information Engineer, Shaoyang University, Hunan,422000, Shaoyang China

[Abstract]With the development of computer technology, it makes our life more convenience. But as a result of computer virus' appearance, we must face the viral attack. This paper analysized the Key Technique in Windows PE counter-Viruses and the counter-virus's technology.

[Key words] PE document format; Viral and counter-viral key technologies

1 引言

計算機病毒一直是計算機用戶和安全專家的心腹大患,雖然計算機反病毒技術(shù)不斷更新和發(fā)展,但是仍然不能改變被動滯后的局面。由于當(dāng)前計算機的操作平臺大多數(shù)是Windows xp/NT以上的,大多數(shù)計算機病毒都是以此為基礎(chǔ)來編寫的,故分析基于PE文件格式的Windows病毒關(guān)鍵技術(shù)分析具有非常重要的意義。

2 PE文件格式簡析

PE文件是微軟設(shè)計在所有Win32操作系統(tǒng)下的可執(zhí)行文件格式。對于PE文件頭,和其他微軟可執(zhí)行文件格式一樣,PE表頭并非在文件的最開始處。所有PE文件必須以一個簡單的DOS MZ頭文件開始,緊接著DOS MZ頭是所謂的DOS stub,它是一個極小DOS程序,用來輸出像“該程序不能在DOS模式下運行”這樣的信息這也就是為什么在純DOS方式下運行PE格式文件的第一字節(jié)對應(yīng)到DOS stub 的第一的字節(jié)。緊接著DOS stub 的是PE頭。PE頭是PE相關(guān)結(jié)構(gòu)IMAGE-NT-HEADERS的簡稱,其中包含了許多PE裝載器用到的重要域。PE頭中包含了PE的標(biāo)志,此標(biāo)志為DWORD類型,其值為“PE