病毒中的EPO技术

• 作者: 610548422
• 来源期刊: 黑客防线
• 学科: 工学
• 关键词: 编程 EPO 病毒
• 年，卷（期）: 2009,（9）
• 页码范围: 75-79
• 页数: 5页
• 分类号: TP309

摘要

我们知道,Win32的PE文件型病毒具有感染普通PE文件的能力,那么被感染后的文件就要有获得运行的权限,不然感染就没有意义了。一种简单而有效的方法就是修改宿主文件中的IMAGE_OPTIONAL_HEADER32_〉AddressOfEntryP0int数据,它指向文件运行的起始地址,但这种方法没有很好的反探测能力。一般的PE文件病毒会增加一个节附在文件的尾部．或者修改最后一个节来存放病毒代码,这样就会让AddressOfEntryPoint指向最后一个节,而正常的PE文件是不会这样的。我们可以检测人口点是否在最后一个节来判断一个文件是否可疑,而下面的代码就可以成功检测。