[發(fā)明專利]一種獲取導(dǎo)入表和重定位表的方法及裝置

有效

• 申請(qǐng)?zhí)枺?/td>: 201210587722.2
• 申請(qǐng)日: 2012-12-28
• 公開（公告）號(hào): CN103019740A
• 公開（公告）日: 2013-04-03
• 發(fā)明（設(shè)計(jì)）人: 陳錦;劉業(yè)欣
• 申請(qǐng)（專利權(quán)）人: 北京神州綠盟信息安全科技股份有限公司;北京神州綠盟科技有限公司
• 主分類號(hào): G06F9/44
• 分類號(hào): G06F9/44;G06F21/10
• 代理公司: 北京同達(dá)信恒知識(shí)產(chǎn)權(quán)代理有限公司 11291
• 代理人: 郭紅麗

1.一種獲取導(dǎo)入表和重定位表的方法，其特征在于，包括：

記錄運(yùn)行加殼程序過程中產(chǎn)生的數(shù)據(jù)改寫信息，所述數(shù)據(jù)改寫信息包括數(shù)據(jù)改寫地址、改寫數(shù)據(jù)和數(shù)據(jù)改寫時(shí)間；

在確定所述加殼程序?qū)?yīng)的原始程序的入口點(diǎn)OEP后，在記錄的數(shù)據(jù)改寫信息中，將數(shù)據(jù)改寫時(shí)間連續(xù)且數(shù)據(jù)改寫地址連續(xù)的數(shù)據(jù)改寫信息所對(duì)應(yīng)的改寫數(shù)據(jù)進(jìn)行組合；和/或，在記錄的數(shù)據(jù)改寫信息中，將數(shù)據(jù)改寫時(shí)間連續(xù)、至少兩個(gè)連續(xù)的數(shù)據(jù)改寫地址循環(huán)的數(shù)據(jù)改寫信息所對(duì)應(yīng)的改寫數(shù)據(jù)進(jìn)行組合；

逐一分析組合后的改寫數(shù)據(jù)來(lái)獲取所述加殼程序?qū)?yīng)的原始程序的導(dǎo)入表和重定位表。

2.如權(quán)利要求1所述的方法，其特征在于，還包括：

為組合后的改寫數(shù)據(jù)添加編號(hào)信息，并添加到待分析隊(duì)列中。

3.如權(quán)利要求2所述的方法，其特征在于，逐一分析組合后的改寫數(shù)據(jù)來(lái)獲取所述加殼程序?qū)?yīng)的原始程序的導(dǎo)入表和重定位表，具體包括：

逐一從所述待分析隊(duì)列中取出組合后的改寫數(shù)據(jù)并分析，得到所述加殼程序的導(dǎo)入表和待選重定位表。

4.一種獲取導(dǎo)入表和重定位表的裝置，其特征在于，包括：

記錄單元，用于記錄運(yùn)行加殼程序過程中產(chǎn)生的數(shù)據(jù)改寫信息，所述數(shù)據(jù)改寫信息包括數(shù)據(jù)改寫地址、改寫數(shù)據(jù)和數(shù)據(jù)改寫時(shí)間；

組合單元，用于在確定所述加殼程序?qū)?yīng)的原始程序的入口點(diǎn)OEP后，在記錄的數(shù)據(jù)改寫信息中，將數(shù)據(jù)改寫時(shí)間連續(xù)且數(shù)據(jù)改寫地址連續(xù)的數(shù)據(jù)改寫信息所對(duì)應(yīng)的改寫數(shù)據(jù)進(jìn)行組合；和/或，在記錄的數(shù)據(jù)改寫信息中，將數(shù)據(jù)改寫時(shí)間連續(xù)、至少兩個(gè)連續(xù)的數(shù)據(jù)改寫地址循環(huán)的數(shù)據(jù)改寫信息所對(duì)應(yīng)的改寫數(shù)據(jù)進(jìn)行組合；

獲取單元，用于逐一分析組合后的改寫數(shù)據(jù)來(lái)獲取所述加殼程序?qū)?yīng)的原始程序的導(dǎo)入表和重定位表。

5.如權(quán)利要求4所述的裝置，其特征在于，還包括添加單元，用于：

為組合后的改寫數(shù)據(jù)添加編號(hào)信息，并添加到待分析隊(duì)列中。

6.如權(quán)利要求5所述的裝置，其特征在于，所述獲取單元，具體用于：

逐一從所述待分析隊(duì)列中取出組合后的改寫數(shù)據(jù)并分析，得到所述加殼程序的導(dǎo)入表和待選重定位表。