[系统安全] 十七.Windows PE病毒概念、分类及感染方式详解

作者前文介绍了PE文件格式，熟悉各种PE编辑查看工具，针对目标EXE程序新增对话框等；这篇文章将介绍Windows PE病毒， 包括PE病毒原理、分类及感染方式详解，并通过案例进行介绍。这些基础性知识不仅和系统安全相关，同样与我们身边的APP、常用软件及操作系统紧密联系，希望这些知识对您有所帮助，更希望大家提高安全意识，安全保障任重道远。本文参考了《软件安全》视频、安全网站和参考文献中的文章，并结合自己的经验和实践进行撰写，也推荐大家阅读参考文献。

文章目录：

从2019年7月开始，我来到了一个陌生的专业——网络空间安全。初入安全领域，是非常痛苦和难受的，要学的东西太多、涉及面太广，但好在自己通过分享100篇“网络安全自学”系列文章，艰难前行着。感恩这一年相识、相知、相趣的安全大佬和朋友们，如果写得不好或不足之处，还请大家海涵！ 接下来我将开启新的安全系列，叫“系统安全”，也是免费的100篇文章，作者将更加深入的去研究恶意样本分析、逆向分析、内网渗透、网络攻防实战等，也将通过在线笔记和实践操作的形式分享与博友们学习，希望能与您一起进步，加油~

话不多说，让我们开始新的征程吧！感恩安全路上一路前行，如果有写得不好或侵权的地方，可以联系我删除。基础性文章，希望对您有所帮助，作者目的是与安全人共同进步，加油~

作者的github资源：

声明：本人坚决反对利用教学方法进行犯罪的行为，一切犯罪行为必将受到严惩，绿色网络需要我们共同维护，更推荐大家了解它们背后的原理，更好地进行防护。该样本不会分享给大家，分析工具会分享。（参考文献见后）

什么是PE文件？ PE文件的全称是Portable Executable，意为可移植的可执行的文件，常见的EXE、DLL、OCX、SYS、COM都是PE文件，PE文件是微软Windows操作系统上的程序文件（可能是间接被执行，如DLL）。

EXE文件格式：

为什么要重点学习这种文件格式呢？

可执行程序是具有不同的形态的，比如用户眼中的QQ如下图所示。

本质上，QQ如下图所示。

PE文件格式总体结构 接着让我们来欣赏下PE文件格式总体结构图，包括：MZ头部、DOS stub、PE文件头、可选文件头、节表、节等。

上一篇文章我们对PE文件格式进行详细解析。比如，MZ头文件是定位PE文件头开始位置，用于PE文件合法性检测。DOS下运行该程序时，会提示用户“This Program cannot be run in DOS mode”。

PE文件格式与恶意软件的关系

PE文件解析常用工具包括：

二.PE病毒概念

什么是PE病毒？ PE病毒又称为Win32 PE病毒，或称为Win32病毒。它指所有感染Windows下PE文件格式文件的病毒。因为它通常采用Win32汇编编写，而且格式为PE文件，因此而得名。PE病毒是以Windows PE程序为载体，能寄生于PE文件或Windows系统的病毒程序。真正的病毒技术在PE病毒中才会得到真正的体现，所以对于一个黑客、骇客或者是热衷于病毒分析技术的程序员，是非常有必要进行学习PE病毒的编写的。

PE病毒数量非常之多，下面介绍三种经典的病毒。

什么叫感染？ 说到病毒，不得不提感染。感染是指在尽量不影响目标程序（系统）正常功能的前提下，而使其具有病毒自身的功能。什么叫病毒自身的功能呢？一个病毒通常包括如下模块：

如果我们要编写PE病毒，则需要掌握以下的关键：

PE病毒分类方式很多，其中以感染目标进行分类，包括：

(1) 系统感染 将代码或程序寄生在Windows操作系统，该类病毒越来越多，它不感染具体文件，但是它会在操作系统中保存自己的实体。同时也可以通过系统启动的方法来获取控制权。传播途径包括：

(2) 文件感染 将代码寄生在PE文件，病毒本身只是PE文件的一部分，依赖于感染目标，通常也叫HOST文件，控制权获得也是以目标程序运行来获得的。分为：

四.传统文件感染型

作者前面详细分析了PE文件格式，参考：

当了解PE文件格式之后，要了解PE文件感染型病毒就非常容易了。如下图所示，左边是一个正常的PE文件，右边是PE病毒感染该程序时的修改，可以看到病毒代码在最后面，通常它是一种新节的形式。我们知道PE文件是由多个节组成的，病毒代码为了融入目标程序会以节的形式，同时修改PE文件头。

对感染来说，它一方面需要使得对方具备自己的功能，另一方面也不破坏对方程序的功能。所以病毒代码执行完毕之后，它必须要将控制权交给原始程序，从而防止病毒被发现。

下面是演示案例，感染本目录下的test.exe文件，它没有破坏性，tset.exe被感染后，首先执行病毒代码，然后执行自身代码。如下图所示，存在四个文件。其中main.exe是PE病毒程序，它会感染当前目录下名为“test.exe”的文件。这里仅是测试PE病毒感染代码，没有破坏功能。

第一步，我们尝试打开test.exe文件。它是一个正常的PE文件，前面的文章也分析过，它包括两个弹窗，如下图所示。

第二步，使用OD打开test.exe如下图所示，发现起始地址为0x00401000，该exe程序大小为2.50KB。

第三步，运行main.exe程序，它是PE病毒。注意，它会弹出如下图所示对话框，这是为了方便演示，而真实的PE病毒不会提示你信息。程序是两位大佬所写，其中一位是Hume前辈，另一位 ^ _ ^

同时，如果360会查杀该病毒，添加信任即可。但当我们在真实恶意样本分析时，一定要在虚拟机等有保护环境下进行。

IDA分析mian.exe如下图所示：

第四步，此时test.exe文件大小已经增加为6.50KB，说明其已经被恶意感染。

双击test.exe显示如下图所示，它会先弹出一个感染测试对话框，然后才是接下来的正常程序对话框。

用OD动态分析，发现程序入口地址是0x004042DC。说明该程序先执行PE病毒，之后才执行正常的程序，而真实的PE病毒不会只简单的弹出提示窗口，而会隐蔽的进行一些破坏或收集信息。

第五步，将被感染的“test.exe”重命名为“test-ok.exe”，然后将记事本修改为“test.exe”，因为我们的代码只感染当前目录下“test”命名的文件。

接着运行“test-ok.exe”程序，发现打开记事本也会弹出如下图所示的对话框，接着才是记事本，说明该程序也被感染。

第六步，通过同样的方法感染计算器程序，重命名为“test.exe”文件，如下图所示。

写到这里，该案例就演示完毕，这是一个传统典型的PE病毒感染示例。

重定位是把程序的逻辑地址空间变换成内存中的实际物理地址空间的过程。由于DLL文件会加载到不同位置，为防止AV地址定位出错，该技术常见于DLL文件中。

病毒程序同理，它有相应的代码去感染目标程序，但如果目标程序众多，病毒程序究竟写入到目标程序的什么位置呢？因此，PE病毒也需要病毒代码去定位目标程序的位置，即利用重定位技术实现。

① 首先，为什么需要重定位呢？ 下面是通过mas32编译生成的一段源代码（PE最小文件案例）。该源代码是通过invoke调用MessageBox函数（四个参数），接着invoke调用ExitProcess退出程序。该位置弹出的对话框涉及两个字符串szCap和szMsgOK。

当该程序编译后，反汇编结构显示如下图所示。

其中Start位置的MessageBox函数包括四个参数，采用PUSH压入堆栈，再通过CALL调用该函数。

上图中红色圆圈显示的是PE文件代码的二进制部分，它是一个VA的地址，即：RVA+ImageBase。程序编译后，某些VA地址（如变量Var 004010xxh）就已经以二进制代码的形式固定，这就是需要重定位的原因。

下图展示正常情况的ImageBase，其值为400000H。比如HEX数据为“00104000”，所以对应的地址是“00 40 10 00”（高位在后）。

如果ImageBase为600000H，则代码不做重定位，PUSH压入堆栈的值为401000和401014。而此时的值什么也不是，通过数据窗口定位地址发现不存在。左下角可以看到，00601000位置才是存放的数据。所以，重定位需要将这里的40修改为60。

总之，如果病毒代码插入位置不固定，也会遇到类似的问题。病毒代码必须通过重定位解决类似的问题。

② 病毒代码植入HOST文件后的位置差异。 在下图中，左边是病毒在感染前的VAR位置，其地址为004010xx；当该代码插入到另一个HOST文件后，如右图所示，变量的实际位置和预期位置出现了差异，而重定位的关键是知道这个差异是多少，后续遇到的各种变量或地址都可以通过这种差异方式校正。

但根据HOST特征逐一硬编码这种方式不太可取，其繁琐且未必准确，所以采用另一种方法，病毒代码运行过程中自我重定位。

下图展示了病毒代码自我重定位的过程。

首先介绍下PE文件函数节的功能。

然而，对于病毒程序来说，它是一段代码，当它感染另外一个程序时，它是否能修改目标程序的引入函数节，而使得其可以服务病毒代码呢？

从原理上来说，这是可以实现的，但是过程非常复杂，因为在引用函数节添加内容一定会导致其他结构的变化，需要做很多的修正工作，这可能会导致原有功能被破坏。所以，对于病毒来说，它需要自己去获取API函数地址，并且在没有引入函数节支撑的情况下，又必须要使用很多API函数来实现病毒的功能。

① 如何获取API函数地址呢？

② 当获得GetProcAddress和LoadLibraryA地址后，想获取任何一个API函数地址都可以。那么，怎么获取这两个函数的地址呢？

③ 接着，分享获取Kernel32模块基地址的典型方法。

目标程序遍历搜索通常以PE文件格式的文件（如EXE、SCR、DLL等）作为感染目标。在对目标进行搜索时，通常调用两个API函数：

其关键点为全盘查找或者部分盘符查找，遍历算法包括递归或非递归。搜索目标进行感染算法如下图所示：

感染的关键是病毒代码能够得到运行，常用方法包括：

同时，病毒代码执行时，程序的正常功能不能被破坏，即控制权的交换。

下面介绍感染文件的基本步骤，包括八个常见的步骤。

系统感染型本身不对PE文件做任何感染操作，但它感染的目标是操作系统，是一种寄生类的方式，只是寄生目标有所不同。这类病毒通常为独立个体，不感染系统内的其他文件。

两个关键问题：

下面简单讲解控制权再次获取的自启动方式。首先看看操作系统启动流程：

整个启动流程也是控制权传递的过程，包括现在提出的可信计算，也是对控制权一步一步的校验，控制流程的数据完整性或行为的校验。对于操作系统本身，它的启动方式很多，系统内部包括（后续文章可能会复现不同的方式）：

下图展示了Autoruns软件看到Windows操作系统进行自启动的选项。如果病毒本身能很好地结合这套机制，它可以做的事情非常多，并且具有很好的隐蔽性，比如前面分析的熊猫烧香病毒。

其他启动方式：

一切可对外交互的渠道都可传播，包括：

邮件蠕虫越来越常见，其中以邮件附件的形式进行传播较多。附件中可能包含病毒包括exe文件、rar文件、pdf文件、doc文件、xls文件、jpg文件、chm文件等。下图是一个包含病毒的邮件附件，显示为一个word文档，后缀名doc，图标显示也是word。但它的真实后缀是scr（屏保），它其实是利用了一种技术，在文件名里插入翻转字符，然后将翻转字符之后的其他字符进行了翻转，它的完整文件名应该是“5月TW行lmcod.scr”。这也是一种欺骗性很强的攻击手法。

再补充一个通过可移动存储设备传播的非感染式病毒，即Autorun.inf。右图显示了Autorun.inf文件，如果文件存在U盘根目录，当我们双击这个U盘时，它就会触发对应的病毒，如果选择U盘盘符右键打开或打开资源管理器，这是进入的也是病毒程序。当然下面的演示是计算器程序。

还有一类是伪装的文件夹，如下图所示photo.exe文件，当Windows操作系统默认不显示“.exe”时，它就能伪装成文件夹，当我们双击之后就会运行病毒，同时可以打开某个文件夹进行隐蔽。

最后补充“摆渡”知识点，这种攻击行为经常发生在一些具有特殊目的病毒程序身上。期望通过可移动的媒介来渗透一些平时不联网的电脑中，并从中获取数据，利用摆渡的方式植入病毒或木马到内网，比较典型的案例就是Stuxnet（震网事件）。

下图展示了Stuxnet震网事件的漏洞利用过程和启动方式，传统的Autorun方式很容易被禁止掉，而Stuxnet利用的是lnk漏洞（MS10-046），它会在目标U盘下放入lnk快捷方式及病毒程序（如DLL文件）。不管通过什么方式进入U盘，lnk文件会被解析从而触发漏洞，导致U盘中的病毒程序被执行。

六.捆绑释放型

捆绑释放型感染实现起来比较简单，目前很大一部分病毒程序都采用这种方法。捆绑释放型感染时将目标HOST程序作为数据存储在病毒体内，当执行病毒程序时，它先执行病毒程序，然后还原并执行HOST文件，从而保证被感染的程序本身能正常运行，不会引起一些异样。

写到这里，这篇文章就介绍完毕，通过这些PE病毒原理、分类及感染方式的讲解，有利于大家去做一些拓展和思考，也体现出当下的网络形式，存在很多安全隐患，安全防御是非常必要的。

后续将学习PE文件图标修改、对话框分析、EXE解析、加壳解密等。希望这系列文章对您有所帮助，同时真的感觉自己技术好菜，要学的知识好多。未知攻焉知防，人生漫漫其路远兮，作为初学者，自己真是爬着前行，感谢很多人的帮助，继续爬着，继续加油！

学安全一年，认识了很多安全大佬和朋友，希望大家一起进步。这篇文章中如果存在一些不足，还请海涵。作者作为网络安全和系统安全初学者的慢慢成长路吧！希望未来能更透彻撰写相关文章。同时非常感谢参考文献中的安全大佬们的文章分享，深知自己很菜，得努力前行。编程没有捷径，逆向也没有捷径，它们都是搬砖活，少琢磨技巧，干就对了。什么时候你把攻击对手按在地上摩擦，你就赢了，也会慢慢形成了自己的安全经验和技巧。加油吧，少年希望这个路线对你有所帮助，共勉。

前文回顾（下面的超链接可以点击喔）：

2020年8月18新开的“娜璋AI安全之家”，主要围绕Python大数据分析、网络空间安全、人工智能、Web渗透及攻防技术进行讲解，同时分享CCF、SCI、南核北核论文的算法实现。娜璋之家会更加系统，并重构作者的所有文章，从零讲解Python和安全，写了近十年文章，真心想把自己所学所感所做分享出来，还请各位多多指教，谢谢。2021年继续加油！