发布于2022年11月8日3年前 4042019032 于小涵 运行病毒 拍摄快照 运行病毒，直接关机 重启后出现下面的页面 输入任意字符，回车后会清空 可以知道，该病毒破坏了windows的启动过程，要进入系统必须输入正确的口令，该病毒属于MBR病毒的类型 2 基础知识 硬盘的主引导区在0柱面0磁道1扇区，包括硬盘主引导记录MBR（Main Boot Record）、四个分区表DPT（Disk Partition Table）信息和主引导记录有效标志字三部分，如表所示： 0000-0088 Master Boot Record主引导程序 主引导程序 0089-01BD 出错信息数据区 数据区 01BE-01CD 分区项1（16字节） 分区表 01CE-01DD 分区项2（16字节） 01DE-01ED 分区项3（16字节） 01EE-01FD 分区项4（16字节） 01FE 55 结束标志 01FF AA 主引导记录MBR从0000H开始到00D9H结束，共218个字节。MBR的作用就是检查分区表是否正确以及确定哪个分区为引导分区，并在程序结束时把该分区的启动程序（也就是操作系统引导扇区）调入内存加以执行。MBR是由分区程序（例如DOS 的Fdisk.exe）产生的，在不同的操作系统平台下，这个扇区的内容可能不完全相同。 3 猜解口令 恢复快照到运行病毒前 如果要找到开机口令那应该是非常的容易，将病毒拖入x32dbg，进行字符串搜索就可以锁定这个特殊的字符串，猜测其为口令 4 逆向分析 下面逆向分析病毒原理 首先使用Exeinfo PE查壳，发现无壳 IDA中查看汇编指令，发现并没有很多识别不出来的红色语句，所以并没有花指令，到此可以知道病毒并没有保护 既然涉及到关机，那么在windows系统下一定涉及到关机的API函数，经过查阅资料，可以找到 查找字符串 找到关机API位置 查看其反编译代码 向上找到sub_4456D0函数 查看函数内容 找到当前进程伪句柄函数GetCurrentProcess、取得程序访问标记函数OpenProcessToken、查找进程权限函数LookupPrivilegeValue、获得关机权限函数AdjustTokenPrivileges，其作用为为关机做好提权 回到关机函数sub_4455E0，交叉引用向上查询 在这个函数中我们会发现关机函数的上面有两个一样的函数，其参数不一样 结合之前字符串搜索中发现的本机电脑磁盘标识符，因此可以猜测是完成了MBR的读写操作 在病毒感染前使用winhex查看磁盘的MBR 找到关机函数的地址，在X32dbg调试中设置断点，然后运行 再次查看MBR，发现被修改 5 重写内容分析 粘贴至新文件，导出MBR被重写的数据 将其拖入IDA进行反汇编分析 注意选择no，引导程序为16位 5.1 int 10h中断——屏幕显示 首先 int 10中断，这是BIOS对系统屏幕显示器所提供的服务程序，调用int 10h中断来控制显示器的显示控制显示器的显示 其中ES：BP是字符串地址，即00C2 cx是14h，即串的长度为20字节 因此确定了开始屏幕上显示的**qq-17412666** AH = 13,功能号，表示显示字符串 BH表示页号 DH DL表示起始行列 5.2 int 16h中断——键盘读入 等待键盘键入字符，其中al代表键盘输入的字符 5.3 第一次int 13h中断——密钥比较 下面是从扇区写入内存的中断操作，我们逐步探讨 首先涉及到字符的比较，8对应的ASCII码是退格，如果检测到退格键则会跳转到loc_46 我们看一下loc_46的内容，属于是清空操作，与退格键的功能对应 第二次比较是与0Dh对应的ASCII码回车的比较，如果用户输入完毕进行了回车的话，那么就会跳转到loc_52 我们看一下loc_52的内容，一个段寄存器的转换，然后清空bx，继续进行下面的操作 若不是退格和回车键的话，就继续存入字符，[bx]存入键盘输入的字符，然后地址＋2，cx记录输入字符的个数 下面将注意力集中在回车之后的操作 loc_58这里给si写入了一个很重要的地址 其正好是以下字符串的初始地址 下面就开始字符的比较，al是键盘输入的字符，ah是上面的字符串中的逐个字符，如果不相等的话会跳转到loc_9C进行出错处理；每个字符如果比较完成，就会取下一个字符继续比较，完成循环，loop循环次数由cx决定，即我们输入的字符的数量 再往下是为中断做参数准备 所以，按照上面的分析，我们只要将输入的字符与d8h地址开始的字符逐一比较，这就是口令 5.4 第二次int 13h中断——MBR写回 从内存将MBR写入扇区 6 遇到的问题 输入我们分析的口令之后并没有进入系统，而是出现了下面的情况，卡死在下面的页面，这个问题到现在还没有解决 和同学讨论发现，XP虚拟机不会存在这样的问题，可能是win7的引导与xp有区别导致的
创建帐户或登录后发表意见