[發明專利]一種導入表的修復方法及裝置

有效

• 申請號: 201210592469.X
• 申請日: 2012-12-28
• 公開（公告）號: CN103077029A
• 公開（公告）日: 2013-05-01
• 發明（設計）人: 陳錦;劉業欣
• 申請（專利權）人: 北京神州綠盟信息安全科技股份有限公司;北京神州綠盟科技有限公司
• 主分類號: G06F9/44
• 分類號: G06F9/44
• 代理公司: 北京同達信恒知識產權代理有限公司 11291
• 代理人: 郭紅麗

1.一種導入表的修復方法，其特征在于，包括：

記錄運行加殼程序過程中產生的數據改寫信息和模塊加載信息，所述數據改寫信息包括數據改寫執行地址、數據改寫地址、改寫數據和數據改寫時間，所述模塊加載信息包括所述加殼程序映射到內存中的基地址和結束地址；

在確定所述加殼程序對應的原始程序的入口點OEP后，根據數據改寫時間、數據改寫地址和設定的組合規則將記錄的數據改寫信息中的改寫數據進行組合，并根據模塊加載信息和導入表格式在組合后的改寫數據中搜尋待選導入表；

若搜尋到待選導入表，確定每個待選導入表對應的導入地址表，獲取在到達所述OEP的時刻存在于內存中、并且內存地址最小的導入地址表，將獲取的導入地址表對應的待選導入表作為所述加殼程序對應的原始程序的導入表；

若搜尋不到待選導入表，根據記錄的數據改寫信息中包括數據改寫執行地址、數據改寫地址、改寫數據和數據改寫時間重新建立所述加殼程序對應的原始程序的導入表。

2.如權利要求1所述的方法，其特征在于，根據數據改寫時間、數據改寫地址和設定的組合規則將記錄的數據改寫信息中的改寫數據進行組合，具體包括：

在記錄的數據改寫信息中，將數據改寫時間連續且數據改寫地址連續的數據改寫信息所對應的改寫數據進行組合；和/或，

在記錄的數據改寫信息中，將數據改寫時間連續、至少兩個連續的數據改寫地址循環的數據改寫信息所對應的改寫數據進行組合。

3.如權利要求1所述的方法，其特征在于，所述模塊加載信息還包括加載模塊的名稱，根據模塊加載信息和導入表格式在組合后的改寫數據中搜尋待選導入表，具體包括：

在所有改寫數據的組合中搜尋符合下列條件的待選導入表：

大小大于等于第一設定字節；

原始第一換長OFT指向的內存地址不為零，且落入所述模塊加載信息中包括的基地址和結束地址范圍內；

OFT指向的內存地址為零，第一換長FT指向的內存地址不為零且落入所述模塊加載信息中包括的基地址和結束地址范圍內；

模塊名稱虛擬地址偏移Name?RVA與所述基地址的和指向的內存地址落入所述模塊加載信息中包括的基地址和結束地址范圍內，且Name?RVA與所述基地址的和指向的內存地址中的模塊包含在所述模塊加載信息包括的加載模塊的名稱中；

OFT和FT指向的內存地址中的函數包含在所述模塊加載信息包括的加載模塊對應的函數中。

4.如權利要求1所述的方法，其特征在于，所述數據改寫信息還包括改寫長度，根據記錄的數據改寫信息重新建立所述加殼程序對應的原始程序的導入表，具體包括：

在到達所述OEP的時刻之前記錄的數據改寫信息中，獲取改寫數據為函數地址、改寫長度為第二設定字節的數據改寫信息；

將獲取的數據改寫信息中包括的數據改寫執行地址相同的數據改寫信息分為一組；

從所有分組中選取數據改寫地址順序排列、且包含的數據改寫地址最多的分組，選取的分組中的數據改寫信息中的改寫數據指向的函數包含在所述模塊加載信息包括的加載模塊對應的函數中，選取的分組中的數據改寫信息中的改寫數據指向的函數中歸屬于同一加載模塊的相鄰；

根據選取的分組中每條數據改寫信息中包括的改寫數據，確定所述加殼程序對應的原始程度的導入地址表；

從確定的導入地址表中獲取運行所述加殼程序對應的原始程序時所需的函數庫及每個函數庫中的函數；

根據獲取的函數庫及每個函數庫的函數重新建立所述加殼程序對應的原始程序的導入表。

5.如權利要求1所述的方法，其特征在于，還包括：

記錄運行加殼程序過程中產生的代碼塊信息，所述代碼塊信息包括代碼塊的起始地址和結束地址；

根據記錄的代碼塊信息重新建立所述加殼程序對應的原始程序的導入表。

6.如權利要求5所述的方法，其特征在于，根據記錄的代碼塊信息重新建立所述加殼程序對應的原始程序的導入表，具體包括：

在到達所述OEP的時刻之后記錄的代碼塊信息中，獲取調用第一個函數的內存地址；

根據獲取的內存地址，確定所述加殼程序對應的原始程度的導入地址表；

從確定的導入地址表中獲取運行所述加殼程序對應的原始程序時所需的函數庫及每個函數庫中的函數；

根據獲取的函數庫及每個函數庫的函數重新建立所述加殼程序對應的原始程序的導入表。