- 相關(guān)推薦
文件捆綁技術(shù)的方式
隨著惡意代碼的發(fā)展越來越廣泛，以及其強大的破壞性和更多樣的傳播方式，給人們帶來更多的危害。葉子在前面的文章中已經(jīng)跟大家談過惡意代碼的基本概念以及對其的研究分析流程。在本篇文章中葉子將給大家介紹一下惡意代碼的傳播方式之一的捆綁技術(shù)，以及常見的Winrar自解壓捆綁技術(shù)的實現(xiàn)過程。
捆綁技術(shù)是將兩個或兩個以上的文件捆綁在一起成為一個可執(zhí)行文件，在執(zhí)行這個文件的時候，捆綁在里面的文件都被執(zhí)行。需要捆綁在一起的文件，可以是相同的文件格式，也可以是不同的文件格式。捆綁技術(shù)被黑K們廣泛應(yīng)用在互聯(lián)網(wǎng)的惡意代碼傳播過程。通過發(fā)送一些用戶感興趣的文件，其中包含惡意軟件的程序。當(dāng)用戶看到感興趣的文件，點擊后則感染相應(yīng)的惡意代碼。黑K們可以利用惡意代碼來完成一些黑色經(jīng)濟的收入。
目前網(wǎng)絡(luò)上流行的捆綁技術(shù)和方式主要有下面幾種情況：
多文件捆綁。
捆綁技術(shù)中最簡單的捆綁方式，也是最流行的捆綁技術(shù)實現(xiàn)方式之一。文件捆綁也就是將A.exe文件(正常文件)和B.exe文件(惡意代碼)捆綁成C.exe文件。當(dāng)用戶點擊C.exe文件時，用戶看到的是A.exe文件的執(zhí)行結(jié)果，而B.exe文件則在后臺悄悄執(zhí)行。一個Win32下正常的文件中包含以文件MZ開頭，DOS文件頭后面的PE頭以PE開頭。檢查是否被捆綁多文件，則可以通過UltraEdit類的工具打開目標文件搜索關(guān)鍵字MZ或者PE。如果找到兩個或者兩個以上，則表明此文件一定把捆綁了其它的文件。葉子將在后面的實例中介紹如何實現(xiàn)文件捆綁的操作過程。
資源融合捆綁。
了解Windows文件中PE結(jié)構(gòu)的人都知道資源是EXE中的一個特殊的區(qū)段。這段區(qū)域可以用來包含EXE調(diào)用的資源信息等相關(guān)內(nèi)容。而我們可以利用BeginUpdateResource 、UpdateResource、EndUpdateResource的API函數(shù)實現(xiàn)對資源內(nèi)容的更新替換。編程人員只需先寫一個包裹捆綁文件的頭文件，文件中只需一段釋放資源的代碼。而捆綁器用的時候先將頭文件釋放出來，然后調(diào)用以上的三個API函數(shù)將待捆綁的文件更新到這個頭文件中即完成了捆綁技術(shù)的實現(xiàn)。
漏洞利用捆綁
目前比較流行的捆綁技術(shù)之一，利用word、excel、flash等一些應(yīng)用產(chǎn)品中的安全漏洞，通過對漏洞的利用，然后調(diào)用惡意代碼進行執(zhí)行。例如當(dāng)一些研究人員發(fā)現(xiàn)word產(chǎn)品的安全漏洞后，黑K編寫漏洞利用程序，并把惡意代碼植入word的宿主文件中。當(dāng)用戶打開惡意的word文件時，word漏洞中的程序通過Shellcode調(diào)用惡意代碼，并執(zhí)行之。
除了這幾種捆綁技術(shù)之外，當(dāng)然還有更多的其它捆綁技術(shù)的實現(xiàn)方式。不過葉子的時間精力有限，無法做更深入的研究。如果有同道之人做了更深入的研究，希望也能發(fā)布出來進行共同進步。
接下來，葉子將通過一個實例進行講解Winrar的捆綁技術(shù)實現(xiàn)操作過程。
工具環(huán)境：
WinRAR：解壓縮工具。
Quick Batch File Compiler：快速批量文件編譯程序
File1.exe(hfs2.exe)：正常文件
File2.exe(RCBF_03031406.exe)：木馬
使用WinRAR程序和QBFC程序?qū)崿F(xiàn)木馬捆綁過程：
運行Quick Batch File Compiler，輸入hfs2.exe，回車，再輸入RCBF_03031406.exe，如圖所示：
點擊“Project”->“Options”，設(shè)置“Ghost Application”
點擊“Build”，保存文件為“binder.exe”
【文件捆綁技術(shù)的方式】相關(guān)文章：
菊花的種植技術(shù)及栽培方式06-18
軟件捆綁合作范本07-17
部門文件批復(fù)04-29
工藝文件模板03-13
紅頭文件模板03-12
愛的方式作文07-09
中餐用餐方式03-09
以自己的方式作文01-29
不同的方式作文07-18