基于PE文件格式的Windows反病毒關鍵技術分析

2009-02-01 03:29:48徐耀洪陳智寧康琪

數字技術與應用 2009年12期

關鍵詞：程序計算機

徐耀洪陳智寧康琪

[摘要]隨著計算機技術發展,它給人們的生活工作帶來了巨大的便利,但是由于計算機病毒的出現,使得在享受計算機的好處的同時,又面對著病毒攻擊的困擾。本文介紹了基于PE文件格式的Windows病毒關鍵技術,并著重介紹了反病毒的一些相關技術。

[關鍵詞]PE文件格式病毒與反病毒關鍵技術

[中圖分類號]TP391[文獻標識碼]A[文章編號]1007-9416(2009)12-0106-03

Analysis of Key Technique in Windows PE counter-Viruses

Xu YaohongChen ZhiNing Kangqi

Dep. of Information Engineer, Shaoyang University, Hunan,422000, Shaoyang China

[Abstract]With the development of computer technology, it makes our life more convenience. But as a result of computer virus' appearance, we must face the viral attack. This paper analysized the Key Technique in Windows PE counter-Viruses and the counter-virus's technology.

[Key words] PE document format; Viral and counter-viral key technologies

1 引言

計算機病毒一直是計算機用戶和安全專家的心腹大患,雖然計算機反病毒技術不斷更新和發展,但是仍然不能改變被動滯后的局面。由于當前計算機的操作平臺大多數是Windows xp/NT以上的,大多數計算機病毒都是以此為基礎來編寫的,故分析基于PE文件格式的Windows病毒關鍵技術分析具有非常重要的意義。

2 PE文件格式簡析

PE文件是微軟設計在所有Win32操作系統下的可執行文件格式。對于PE文件頭,和其他微軟可執行文件格式一樣,PE表頭并非在文件的最開始處。所有PE文件必須以一個簡單的DOS MZ頭文件開始,緊接著DOS MZ頭是所謂的DOS stub,它是一個極小DOS程序,用來輸出像“該程序不能在DOS模式下運行”這樣的信息這也就是為什么在純DOS方式下運行PE格式文件的第一字節對應到DOS stub 的第一的字節。緊接著DOS stub 的是PE頭。PE頭是PE相關結構IMAGE-NT-HEADERS的簡稱,其中包含了許多PE裝載器用到的重要域。PE頭中包含了PE的標志,此標志為DWORD類型,其值為“PE