[發明專利]一種基于內存的免殺方法

有效

• 申請號: 201310076880.6
• 申請日: 2013-03-11
• 公開（公告）號: CN103123676A
• 公開（公告）日: 2013-05-29
• 發明（設計）人: 葉翔
• 申請（專利權）人: 北京銳安科技有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京君尚知識產權代理事務所(普通合伙) 11200
• 代理人: 余功勛

1.一種基于內存的免殺方法，其步驟包括：

1）對需要免殺的PE文件進行去PE化，然后進行加密和壓縮處理；

2）將加密和壓縮處理后的文件以資源的形式合并在正常的PE文件中；

3）運行合并后的PE文件，對資源進行解壓、解密和恢復PE化，并按PE文件格式存儲在內存中；

4）進行輸入表數據填充和重定位數據填充，以修復PE文件；

5）運行修復后的PE文件。

2.如權利要求1所述的方法，其特征在于：所述去PE化包括去掉PE頭和DOS頭，所述恢復PE化包括恢復PE頭和DOS頭。

3.如權利要求2所述的方法，其特征在于：通過對需要免殺的PE文件的前2個字節清0實現去PE化，通過在資源中的前2個字節中加上固定值實現恢復PE化。

4.如權利要求1所述的方法，其特征在于：采用RC4算法進行所述加密和解密處理，采用zlib算法進行所述壓縮和解壓處理。

5.如權利要求1所述的方法，其特征在于：PE文件中的每個段在內存中按照0x400對齊存儲。

6.如權利要求1所述的方法，其特征在于：所述輸入表數據填充是在輸入表結構中填充需要的DLL函數的地址。

7.如權利要求6所述的方法，其特征在于，所述輸入表數據填充方法是：首先搜索OriginalFirstThunk，找到之后加載程序迭代搜索數組中的每個指針，找到每個IMAGE_IMPORT_BY_NAME結構所指向的輸入函數的地址，然后用函數真正入口地址來替代FirstThunk數組中的一個入口，進行數據填充；其中OriginalFirstThunk是32位RVA?，指向一個以0結尾的IMAGE_THUNK_DATAs數組；FirstThunk是指向IMAGE_THUNK_DATAs數組的32位RVA；IMAGE_IMPORT_BY_NAME是指一個函數名的結構體，包括2個字節的序號和函數名。

8.如權利要求1所述的方法，其特征在于：每個重定位數據是16位的，包括低12位的重定位位置和高4位的重定位類型。

9.如權利要求1所述的方法，其特征在于，所述重定位數據填充的方法是：通過相對的虛擬地址加上PE的加載基地址得到一個實際地址，該地址存放著要進行重定位處理的數據，從該地址中取出數據，并用取出的數據減去PE頭中的鏡像基址，再加上PE的加載基地址。