＋设为首页 ＋添加到收藏夹
一、 ** 介绍
写这篇文章的目的主要是对最近写的一个linux病毒原型代码做一个总结， 同时向对这方面有兴趣的朋友做一个简单的介绍。 阅读这篇文章你需要一些知识，要对elf有所了解、能够阅读一些嵌入 了汇编的c代码、了解病毒的基本工作原理。 二、 ** elf infector (elf文件感染器) 为了制作病毒文件，我们需要一个elf文件感染器，用于制造第一个带毒文件。 对于elf文件感染技术，在silvio cesare的«unix elf parasites and virus» 一文中已经有了一个非常好的分析、描述，在这方面我还没有发现可以对其进行补充的 地方，因此在这里我把silvio cesare对elf infection过程的总结贴出来，以供参考： the final algorithm is using this information is. * increase p_shoff by page_size in the elf header * patch the insertion code (parasite) to jump to the entry point (original) * locate the text segment program header * modify the entry point of the elf header to point to the new code (p_vaddr + p_filesz) * increase p_filesz by account for the new code (parasite) * increase p_memsz to account for the new code (parasite) * for each phdr whos segment is after the insertion (text segment) * increase p_offset by page_size * for the last shdr in the text segment * increase sh_len by the parasite length * for each shdr whos section resides after the insertion * increase sh_offset by page_size * physically insert the new code (parasite) and pad to page_size, into the file - text segment p_offset + p_filesz (original) 在linux病毒原型中所使用的gei - elf infector即是根据这个原理写的。在 附录中你可以看到这个感染工具的源代码: g-elf-infector.c g-elf-infector与病毒是独立开的，其只在制作第一个病毒文件时被使用。我简单介 绍一下它的使用方法，g-elf-infector.c可以被用于任何希望--将二进制代码插入到 指定文件的文本段，并在目标文件执行时首先被执行--的用途上。g-elf-infector.c 的接口很简单，你只需要提供以下三个定义： * 存放你的二进制代码返回地址的地址，这里需要的是这个地址与代码起始 地址的偏移，用于返回到目标程序的正常入口 #define paracode_retaddr_addr_offset 1232 * 要插入的二进制代码（由于用c编写，所以这里需要以一个函数的方式提供） void parasite_code(void); * 二进制代码的结束（为了易用，这里用一个结尾函数来进行代码长度计算） void parasite_code_end(void); parasite_code_end应该是parasite_code函数后的第一个函数定义，通常应该如下表示 void parasite_code(void) { ... ... ... } void parasite_code_end(void) {} 在这里存在一个问题，就是编译有可能在编译时将parasite_code_end放在parasite_code 地址的前面，这样会导致计算代码长度时失败，为了避免这个问题，你可以这样做 void parasite_code(void) { ... ... ... } void parasite_code_end(void) 有了这三个定义，g-elf-infector就能正确编译，编译后即可用来elf文件感染 ~grip2@linux> ./gei foo 三、** 病毒原型的工作过程 1 首先通过elf infector将病毒代码感染到一个elf文件，这样就创造了第一 个带毒文件，后续的传播就由它来完成。 2 当带毒文件被执行时，会首先跳到病毒代码开始执行。 3 病毒代码开始发作，在这个原型里，病毒会直接开始传播。 4 病毒遍历当前目录下的每一个文件，如果是符合条件的elf文件就开始感染。 5 病毒的感染过程与elf infector的过程类似，但由于工作环境的不同， 代码的实现也是有较大区别的。 6 目前传染对elf文件的基本要求是文本段要有剩余空间能够容纳病毒代码， 如果无法满足，病毒会忽略此elf。对于被感染过一次的elf文件，文本段将不会有 剩余的空间，因此二次感染是不会发生的。 7 病毒代码执行过后，会恢复堆栈与所有寄存器（这很重要），然后跳回到 真正的可执行文件入口，开始正常的运行过程。 上面对病毒原型的工作过程的介绍也许显得千篇一律了，与我们早就熟知的 关于病毒的一些介绍没有什么区别？是的，的确是这样，原理都是类似的，关键是要看 实现。下面我们就将通过对一些技术问题的分析来了解具体的实现思路。 四、** 关键技术问题及处理 1 elf文件执行流程重定向与代码插入 在elf文件感染的问题上，elf infector与病毒传播时调用的infect_virus思路是一样的： * 定位到文本段，将病毒的代码接到文本段的尾部。这个过程的关键是要熟悉 elf文件的格式，将病毒代码复制到文本段尾部后，能够根据需要调整文本段长度改变 所影响到的后续段(segment)或节(section)的虚拟地址。同时注意把新引入的文本段部 分与一个.setion建立关联，防止strip这样的工具将插入的代码去除。还有一点就是要 注意文本段增加长度的对齐问题，见elf文档中的描述： p_align as ``program loading later in this part describes, loadable process segments must have congruent values for p_vaddr and p_offset, modulo the page size. * 通过过将elf文件头中的入口地址修改为病毒代码地址来完成代码重定向： /* modify the entry point of the elf */ org_entry = ehdr->e_entry; ehdr->e_entry = phdr[txt_index].p_vaddr + phdr[txt_index].p_filesz; 2 病毒代码如何返回到真正的elf文件入口 方法技巧应该很多，这里采用的方法是push+ret组合： __asm__ volatile ( ... "return:nt" "push xaabbccddnt" /* push ret_addr */ "retn" ::); 其中0xaabbccdd处存放的是真正的程序入口地址，这个值在插入病毒代码时由感染程 序来填写。 3 堆栈与寄存器的恢复 病毒代码必须保证运行前、后的堆栈与寄存器内容完全相同，这通过增加额外的代码 来完成。 在进入时： __asm__ volatile ( "push %%eaxnt" "push %%ecxnt" "push %%edxnt" ::); 退出时： __asm__ volatile ( "popl %%edxnt" "popl %%ecxnt" "popl %%eaxnt" "addl x102c, %%espnt" "popl %%ebxnt" "popl %%esint" "popl %%edint" "popl %%ebpnt" "jmp returnn" 要注意上面的代码是根据特定的编译器、编译选项来调整的，在不同的环境下如果重 新编译病毒程序，可能还需要做一些调整。 4 字符串的使用 write(1, "hello worldn", 12); 在病毒代码中这样对一个字符串直接引用是不可以的。这是对字符串的使用是一个绝 对地址引用，病毒代码在进入到一个新的宿主内后，这一绝对地址的内容是无法得到 保证的，因此在病毒代码内应该使用相对地址或间接地址进行字符串访问。 ... 下一页