科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网网络频道做个病毒猎手教你捕获电脑病毒样本

做个病毒猎手教你捕获电脑病毒样本

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

引导区类型的病毒提取很简单,首先利用Format A: /S将引导系统文件复制到软盘中,然后再将的硬盘中的一些系统执行文件一同拷贝到软盘中。具体步骤如下:进入MS-DOS方式,格式化一张系统盘,Format A: /s ,针对不同的系统,请将如下文件拷贝到这同一张软盘之中。

作者:论坛整理 来源:zdnet网络安全 2008年3月28日

关键字: 病毒 防病毒 病毒防范 反病毒 木马 杀毒软件

  • 评论
  • 分享微博
  • 分享邮件

一、引导型Boot病毒的捕获

引导区类型的病毒提取很简单,首先利用Format A: /S将引导系统文件复制到软盘中,然后再将的硬盘中的一些系统执行文件一同拷贝到软盘中。具体步骤如下:进入MS-DOS方式,格式化一张系统盘,Format A: /s ,针对不同的系统,请将如下文件拷贝到这同一张软盘之中:

对于Windows3.x:拷贝\Windows\System下的gdi.exernl286.exe、progman.exe三个文件。

对于Windows 95/98/ME:拷贝\Windows\System下的gdi.exe、krnl386.exe、progman.exe三个文件。

对于Windows NT、Windows 2000:拷贝\Windows\System32下的gdi.exe、krnl386.exe、progman.exe三个文件。

如果格式化软盘时出现死机,请按下列步骤提取:请在该软盘的标签上写明“damaged during infected format as boot disk”。针对不同的系统的上列文件,拷贝到不同的软盘中,方法同上。

二、文件型File/Macro病毒的捕获

如果你怀疑病毒是文件型,将C盘根目录下的command.com文件拷贝到软盘上,取名为command,即去掉扩展名。

如果你怀疑病毒是MS Word宏病毒,将C:\Program Files\Microsoft Office\Templates目录下的“normal.dot”文件和C:\Program Files\Microsoft Office\Office\Startup 目录内的所有文件拷贝到软盘。

如果你怀疑病毒是MS Excel宏病毒,将XLSTART目录内的所有文件拷贝到软盘。XLSTART位于计算机的多个地方,用Windows搜索功能查找“XLSTART”找到所有的目录,然后将这些目录下的文件全部拷贝到软盘。

如果你怀疑病毒是PowerPoint宏病毒,做以下操作:打开一个空的Power Point文件,然后把它另存为一个文件,保存类型选为“演示文稿设计模板”,然后将此扩展名为.pot文件拷贝到软盘。

请在该软盘的标签上写明“contains infected files”,并尽量让软盘存入尽可能多的带毒文件。将软盘做成一个影像文件。

三、Trojans病毒的捕获

运行regedit.exe文件打开注册表编辑器。记录下来下面注册项中涉及到的文件。

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run中涉及到的文件。

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices中涉及的文件。

打开Win.INI文件,将文件中“load=”和“run=”行中涉及的文件记录下来。

按如上信息确定文件名和它们所在的目录,并将这些文件压缩到一个zip文件中。

四、介绍几款病毒工具软件

ClrText.zip:当你提交的病毒是Word或Excel宏病毒时,这个工具软件可以将你的感染文件的内容清除,而只保留宏,从而可以避免你的保密信息泄露。

SaveMBR.zip:这个工具软件可以将你的感染硬盘的MBR读到一个文件中,然后把文件发送到NAI进行病毒分析。

RWFLOPY.zip:RWFloppy软件可以恢复或生成软盘影像文件。它的作用是当你不想通过邮寄软盘的方式发送病毒样品时,可以用它生成一个影像文件通过电子邮件发送。特别是对于引导区病毒,由于它隐藏在软盘的80、81扇区,而一般的软件无法读取这两个扇区。

Readt80.zip:为了正确检测BOOT区病毒,我们需要一张包含病毒的软盘。可以通过DOS状态下格式化一张系统软盘来得到:FORMAT /S A:

需要软盘的原因是:引导区病毒通常把自己隐藏在一般DOS软件不能读取的地方(对于1.44M软盘有80个扇区,从0到79,引导区病毒把病毒代码隐藏在80、81扇区)

如果你用一般的软件来生成一个软盘影像文件,这个影像文件不包含80和81扇区,所以也就无法进行分析病毒。这个软件就是用来把软盘中包含病毒代码的80、81扇区读出来写到一个文件中去。

SYSU.zip:这个软件用来恢复被多种宏病毒感染的系统。

    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章