|
|
修復(fù)文件終結(jié)者病毒破壞的文件 感染文件找回辦法
準(zhǔn)備工作：
    1.二進(jìn)制編輯器，推薦兩個(gè)，winhex和 UltraEdit-32，winhex小巧靈活，打開文件速度快，修改文件很方便；而UltraEdit-32功能齊全，既是文本編輯器，十六進(jìn)制編輯器，支持各種編程語(yǔ)言的編輯，同時(shí)有各種各樣的功能，其中有一個(gè)很好用的功能就是文件對(duì)比功能，可以很快的發(fā)現(xiàn)兩個(gè)文件之間相同和不相同的部分。
    2.與被破壞的文件一樣的文件，這個(gè)容易，找一個(gè)在網(wǎng)上下載到的又被損壞文件，然后再去網(wǎng)上下載一個(gè)，這樣就得到兩個(gè)來(lái)源有相同文件，但有一個(gè)是被病毒損壞的。
現(xiàn)在開始分析文件，用UltraEdit-32打開準(zhǔn)備好的兩個(gè)文件，然后使用UltraEdit-32的文件對(duì)比功能，打開之后發(fā)現(xiàn)兩個(gè)文件的數(shù)據(jù)只有前0X64位是不相同的，其它部分都相同，也就是說(shuō)病毒至修改了文件前0X64位的數(shù)據(jù)。
    至于病毒是通過(guò)什么算法修改了文件，我們接下來(lái)就是分析兩個(gè)文件不同部分的差異，還有這個(gè)病毒修改文件的算法比較簡(jiǎn)單，熟悉十六進(jìn)制數(shù)的人分析這些數(shù)據(jù)，很快就可以發(fā)現(xiàn)，不同部分是按位取反的。
    為了驗(yàn)證這個(gè)研究結(jié)果的正確性，我隨便找了一個(gè)文件，用winhex打開，以十六進(jìn)制方式編輯，把前文件的0X64位數(shù)據(jù)按位取反修改，最后發(fā)現(xiàn)文件修復(fù)好了，至此，我們已經(jīng)找到了這個(gè)病毒破壞我們的文件的算法。
|
|
加載中...
發(fā)表于 2013-9-4 23:52:54
QQ好友和群
收藏
發(fā)表于 2013-9-8 10:37:01