А,В,Соколов, 0,М, Степанюк - Скачать документы

Глава 2. Проблемы защиты информации 107
Структура стандартного СОМ-файла (программы) предельно проста. Он содержит
только код и данные программы, не имея даже заголовка. В начале СОМ-файла
обычно находится команда безусловного перехода JMP, состоящая из трех байт. Благодаря
простому строению СОМ-файла в него очень просто добавить тело вируса и
затем указать его адрес в команде JMP.
После старта вирус ищет в текущем каталоге СОМ-файлы. После нахождения нужного
файла тело вируса добавляется в конец этого файла, туда же переносится оригинальный
адрес перехода по JMP, на место которого записывается адрес команды JMP
для безусловного перехода на тело вируса.
После загрузки зараженного файла управление получает вирус. Закончив работу,
он восстанавливает оригинальный адрес безусловного перехода JMP и передает управление
программе, как это показано на рис. 2.19.
После того как вирус закончит свою работу, он восстанавливает в исходное состояние
первые три байта программы (в памяти компьютера) и передает управление на начало
программы. Далее, при запуске зараженного файла, управление сначала получает вирус,
и только затем — исходная программа. Благодаря такой схеме работы рассматриваемый
вирус может спокойно существовать, будучи «выпущенным на волю» один раз.
Кроме такого способа внедрения, существуют и другие способы внедрения СОМвирусов.
Рассмотрим два варианта внедрения СОМ-вируса в начало файла:
1. Чтобы освободить место для себя, вирус переписывает начало программы в конец
файла. После этого тело вируса записывается в начало файла, а небольшая его
часть, обеспечивающая перенос вытесненного фрагмента программы, — в конец файла.
При восстановлении первоначального вида программы тело вируса будет затерто,
поэтому код вируса, восстанавливающий программу, должен находиться в безопасном
месте, отдельно от основного тела вируса. Схема этого способа внедрения изображена
на рис. 2.20.
При загрузке файла, зараженного таким способом, управление получит вирус (так
как он находится в начале файла). По окончании работы вирус передает управление
коду, переносящему вытесненную часть программы на прежнее место. После восстановления
(в памяти, не в файле) первоначального вида программы, она запускается.
JMP | ПРОГРАММА | ВИРУС |JMP|
i
t
Вирус получает управление
JMP ПРОГРАММА JMP
JMP | ПРОГРАММА | ВИРУС IJMPI Отработав, вирус передает
— т — ' - — — ' - 1 - ' - управление в начало программы
JMP - команда безусловного перехода
Рис. 2.19. Внедрение comcom-вируса в конец файла и его работа