Предыдущая страница реферата | 1  2  3  4  5  6  7  8  9 | Следующая страница реферата

  HdrSize: Word; {Длина заголовка в параграфах}

  MinMem: Word; {Минимальный размер кучи (в параграфах)}

  МахМет: Word; {Максимальный размер кучи (в параграфах)}

  ReloSS: Word; {Начальное значение сегмента стека SS}

  ExeSP: Word; {Начальное значение указателя стека SP}

  ChkSum: Word; {Контрольная сумма всех слов файла}

  ExelP: Word; {Смещение точки запуска программы}

  ReloCS: Word; {Начальное значение сегмента кода CS};

  TabiOff: Word; {Смещение первого элемента таблицы перемещения}

  Overlay: Word; {Номер оверлея или 0 для основной программы}

end; {HeadExe}

      Остальные элементы заголовка содержат так называемую таблицу перемещения, предназначенную для настройки адресов загруженной программы. Таблица начинается с байта TabiOff от начала файла и содержит ReloCnt четырехбайтных элементов следующего вида:

Type

        ReloTablltem = record

        ItemSeg: Word; {Сегмент перемещаемого адреса}

        IternOfs: Word; {Смещение перемещаемого адреса}

end;

Признак ЕХЕ-файла хранится в поле Sign в виде символов «MZ» (код $5A4D) - с этого признака должен начинаться любой ЕХЕ-файл. Поле HdrSize содержит длину всего заголовка в параграфах (участках памяти длиной по 16 байт каждый). Поля PartPag и PageCnt определяют общую длину загружаемой в память части ЕХЕ-файла по следующей формуле:

L = (PageCnt-l)*512 + PartPag - HdrSize*16

Остальная часть файла (длина ЕХЕ-файла может быть больше L+HdrSize*16) при загрузке программы не учитывается. Обычно в остатке файла, созданного системой Турбо Паскаль, (если, разумеется, есть остаток) содержится информация, используемая встроенным отладчиком, или оверлеи.

Подавляющее большинство ЕХЕ-вирусов пристыковывает свою программу в конец файла, а для того чтобы эта программа была загружена в память и ей было передано управление, изменяет поля PartPag, PageCnt, ReloCS, ExelP (адрес точки, куда передается управление после окончания загрузки) и, возможно, некоторые другие поля. При таком способе внедрения общая длина загружаемой в память части файла должна составлять

ExeSize = FileSize + VirusSize,

где FileSize-полная длина ЕХЕ-файла, а VirusSize-длина программы вируса. Так как в остатке фала могут храниться оверлеи (или архив для саморазгружающихся архивных программ), длина ExeSize может оказаться чрез-мерно большой, так что программа не сможет загрузиться в память или не сможет работать нормальным образом. Некоторые безграмотно написанные вирусы не учитывают это обстоятельство и быстро выдают себя, т.к. зараженные программы перестают работать.

Другой способ внедрения вируса-пристыковка кода вируса до начала загружаемой части программы и сразу за заголовком файла. L - загружаемая в память часть файла.

Такой способ внедрения позволяет не загружать в память весь ЕХЕ-файл, а длина загруженной программы увеличивается только на длину кода вируса. Несмотря на кажущееся преимущество такого способа, он используется достаточно редко. Его реализация значительно сложнее, так как перед передачей управления основной программе вирус должен перенести 256 байт префикса программного сегмента {PSP) в конец собственного кода так, чтобы они непосредственно предшествовали телу программы-в противном случае будет нарушена важная связь программы с PSP или относительная адресация в самой программе.

Рекомендуем скачать другие рефераты по теме: курсовые работы бесплатно, реферати курсові.





Предыдущая страница реферата | 1  2  3  4  5  6  7  8  9 | Следующая страница реферата