亚洲狠狠干,亚洲国产福利精品一区二区,国产八区,激情文学亚洲色图

自動(dòng)實(shí)現(xiàn)軟件程序免殺的方法

文檔序號(hào):6538225閱讀:171來源:國知局
自動(dòng)實(shí)現(xiàn)軟件程序免殺的方法
【專利摘要】本發(fā)明公開了一種自動(dòng)實(shí)現(xiàn)軟件程序免殺的方法,其特征在于,創(chuàng)建若干自定義的靜態(tài)庫以代替操作系統(tǒng)提供的默認(rèn)庫來實(shí)現(xiàn)對(duì)所述軟件程序中用到的API的調(diào)用,所述自定義的靜態(tài)庫以顯式加載方式實(shí)現(xiàn)所述調(diào)用。本發(fā)明的自動(dòng)實(shí)現(xiàn)軟件程序免殺的方法,能夠簡化操作并降低程序被殺毒軟件誤報(bào)的概率。
【專利說明】自動(dòng)實(shí)現(xiàn)軟件程序免殺的方法
【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及信息安全領(lǐng)域,尤其涉及一種自動(dòng)實(shí)現(xiàn)軟件程序免殺的方法。
【背景技術(shù)】
[0002]殺毒軟件,也稱反病毒軟件或防毒軟件,是用于消除電腦病毒、特洛伊木馬和惡意軟件等計(jì)算機(jī)威脅的一類軟件。殺毒軟件通過集成監(jiān)控識(shí)別、病毒掃描和清除和自動(dòng)升級(jí)等功能,有的殺毒軟件還帶有數(shù)據(jù)恢復(fù)等功能,是計(jì)算機(jī)防御系統(tǒng)(包含殺毒軟件,防火墻,特洛伊木馬和其他惡意軟件的查殺程序,入侵預(yù)防系統(tǒng)等)的重要組成部分。
[0003]程序是否存在病毒,殺毒軟件所判斷的對(duì)象一般是代碼和行為,前者,是掃描程序的代碼,判斷其中是否存在與已知病毒類似的代碼模式,后者,是分析程序訪問的系統(tǒng)對(duì)象及其訪問方式,如文件、注冊(cè)表鍵,是否匹配敏感的、可能危害系統(tǒng)的行為。由于目前病毒普遍使用代碼變形等技術(shù),直接分析代碼越來越困難,后者逐漸成為殺毒軟件主要使用的判斷方式。
[0004]而對(duì)行為的分析,主要是通過程序調(diào)用了哪些操作系統(tǒng)API,及其調(diào)用參數(shù)來實(shí)現(xiàn)的,在目前主流操作系統(tǒng)中,系統(tǒng)API —般是以動(dòng)態(tài)庫形式提供,一般情況下,編譯后的程序使用“導(dǎo)入表”或類似結(jié)構(gòu)來動(dòng)態(tài)鏈接到系統(tǒng)動(dòng)態(tài)庫。“導(dǎo)入表”有很多項(xiàng),每項(xiàng)對(duì)應(yīng)于一個(gè)系統(tǒng)API,其中記錄了該API的函數(shù)名、所在的動(dòng)態(tài)庫文件名等信息,是殺毒軟件分析的數(shù)據(jù)來源,在此基礎(chǔ)上,可以分析出代碼中何處調(diào)用了哪些API,傳遞了什么參數(shù),若調(diào)用的次序和參數(shù)與惡意行為在某種程度上匹配,則會(huì)報(bào)毒。
[0005]現(xiàn)有技術(shù)中,目前,殺毒軟件誤報(bào)的現(xiàn)象越來越常見。所謂誤報(bào),即應(yīng)用程序本來并不含有病毒或惡意代碼,但是殺毒軟件卻認(rèn)為它是惡意程序,因此,殺毒軟件阻止其運(yùn)行、對(duì)文件隔離或刪除等操作。其原因在于,程序是否有病毒或惡意代碼,并不存在完全準(zhǔn)確的判斷規(guī)則。殺毒軟件往往只能通過代碼的內(nèi)容、訪問數(shù)據(jù)的內(nèi)容和模式,根據(jù)一些預(yù)先定義好的規(guī)則來進(jìn)行模糊匹配。這種判斷方式必然有一定的誤判概率,即程序匹配了部分規(guī)則,但不一定匹配的就是病毒。殺毒軟件的這種誤報(bào)行為給軟件提供商帶來了很大的困擾。對(duì)此,目前也有一些解決方案,包括:
[0006]I)針對(duì)具體問題與殺毒軟件廠商聯(lián)系,提供特征碼讓殺毒軟件對(duì)具體的二進(jìn)制程序不報(bào)毒;
[0007]2)對(duì)程序加數(shù)字簽名,使殺毒軟件能夠驗(yàn)證其發(fā)行者身份。
[0008]這些方法的缺點(diǎn)一是治標(biāo)不治本,一次只能解決一個(gè)最終二進(jìn)制文件,二是要等待殺毒軟件更新,并且用戶配合升級(jí)才能生效,解決問題的時(shí)間較長,溝通環(huán)節(jié)較多。

【發(fā)明內(nèi)容】

[0009]本發(fā)明提供一種自動(dòng)實(shí)現(xiàn)軟件程序免殺的方法,能夠簡化操作并降低程序被殺毒軟件誤報(bào)的概率。
[0010]為了解決上述技術(shù)問題,本發(fā)明提供了一種自動(dòng)實(shí)現(xiàn)軟件程序免殺的方法,創(chuàng)建若干自定義的靜態(tài)庫以代替操作系統(tǒng)提供的默認(rèn)庫來實(shí)現(xiàn)對(duì)所述軟件程序中用到的API的調(diào)用,所述自定義的靜態(tài)庫以顯式加載方式實(shí)現(xiàn)所述調(diào)用。
[0011]作為優(yōu)選,具體包括以下步驟:
[0012]S1:列舉出所述操作系統(tǒng)的鏈接器的所有所述默認(rèn)庫;
[0013]S2:從操作系統(tǒng)軟件開發(fā)工具包獲取所述默認(rèn)庫的庫文件,自動(dòng)枚舉出其中所有的API名,將從各個(gè)所述默認(rèn)庫中枚舉出的API名分別保存為第一字符串?dāng)?shù)組;
[0014]S3:對(duì)所述第一字符串?dāng)?shù)組中每個(gè)API名進(jìn)行自定義變換處理,處理后的結(jié)果保存為第二字符串?dāng)?shù)組;
[0015]S4:對(duì)應(yīng)每個(gè)所述默認(rèn)庫,自動(dòng)創(chuàng)建一個(gè)源代碼文件,在文件中定義該默認(rèn)庫中所有的API,該源代碼文件的函數(shù)體為一段固定的顯式加載代碼;
[0016]S5:編譯所述源代碼文件,生成自定義的靜態(tài)庫;
[0017]S6:返回步驟S2,直到生成所有所述默認(rèn)庫對(duì)應(yīng)的自定義的靜態(tài)庫;
[0018]S7:修改要免殺的軟件程序的工程配置,包括禁用所有所述默認(rèn)庫以及添加所有對(duì)應(yīng)的自定義的靜態(tài)庫。
[0019]作為優(yōu)選,步驟S3還包括對(duì)所述默認(rèn)庫的庫文件的原庫文件名進(jìn)行自定義變換處理,并將處理后的結(jié)果保存為一字符串。
[0020]作為優(yōu)選,步驟S4中所述函數(shù)體具體包括以下項(xiàng):
[0021]Al:對(duì)所述字符串中的經(jīng)變換的庫文件名進(jìn)行逆變換后得到的原庫文件名;
[0022]A2:以所述原庫文件名為參數(shù)調(diào)用系統(tǒng)功能而加載的動(dòng)態(tài)庫;
[0023]A3:對(duì)所述第二字符串?dāng)?shù)組中的對(duì)應(yīng)項(xiàng)進(jìn)行逆變換后得到的API名稱;
[0024]A4:以進(jìn)行逆變換后得到的API名稱為參數(shù)調(diào)用系統(tǒng)功能而獲取的API地址;
[0025]A5:跳轉(zhuǎn)指令,其跳轉(zhuǎn)目標(biāo)是所述API地址。
[0026]作為優(yōu)選,所述操作系統(tǒng)為Windows、Linux或者Unix。
[0027]與現(xiàn)有技術(shù)相比,本發(fā)明的自動(dòng)實(shí)現(xiàn)軟件程序免殺的方法的有益效果在于:由于不再有導(dǎo)入表等明文信息,殺毒軟件難以得知程序調(diào)用了哪些API,也就無法分析程序的行為,因此,降低了誤報(bào)的概率。同時(shí),本發(fā)明的方法不需要修改程序的源代碼,在源代碼中,對(duì)系統(tǒng)API的調(diào)用,與其他普通函數(shù)沒有區(qū)別,這是因?yàn)?,無論“顯式加載”還是“隱式加載”,都是在鏈接時(shí)由提供的系統(tǒng)庫決定。通過本發(fā)明提供的方法,無需修改軟件程序的源代碼,即可達(dá)到降低被殺毒軟件誤殺的概率,提升安全性和使用的便捷性。
【專利附圖】

【附圖說明】
[0028]圖1為本發(fā)明的實(shí)施例的自動(dòng)實(shí)現(xiàn)軟件程序免殺的方法的流程示意圖;
[0029]圖2為應(yīng)用本發(fā)明的實(shí)施例的自動(dòng)實(shí)現(xiàn)軟件程序免殺的方法處理前后的文件對(duì)照示意圖。
【具體實(shí)施方式】
[0030]下面結(jié)合附圖和具體實(shí)施例對(duì)本發(fā)明的實(shí)施例的自動(dòng)實(shí)現(xiàn)軟件程序免殺的方法作進(jìn)一步詳細(xì)描述,但不作為對(duì)本發(fā)明的限定。
[0031]圖1為本發(fā)明的實(shí)施例的自動(dòng)實(shí)現(xiàn)軟件程序免殺的方法的流程示意圖。本發(fā)明的實(shí)施例的自動(dòng)實(shí)現(xiàn)軟件程序免殺的方法,創(chuàng)建若干自定義的靜態(tài)庫以代替操作系統(tǒng)提供的默認(rèn)庫來實(shí)現(xiàn)對(duì)軟件程序中用到的API的調(diào)用,自定義的靜態(tài)庫以顯式加載方式實(shí)現(xiàn)調(diào)用。由于“顯式加載”的函數(shù)沒有“導(dǎo)出”(export)屬性,鏈接后不會(huì)生成導(dǎo)入表項(xiàng)。
[0032]本發(fā)明得以自動(dòng)實(shí)現(xiàn)軟件程序免殺的原理就是在編譯階段,使用“顯式加載”替代“導(dǎo)入表”(隱式加載)。編譯器默認(rèn)使用隱式加載,隱式加載是每當(dāng)源代碼中調(diào)用了一個(gè)系統(tǒng)API,就將調(diào)用的目標(biāo)地址設(shè)定為“導(dǎo)入表”中的某項(xiàng)(多次調(diào)用同一個(gè)API,目標(biāo)地址相同),而在程序運(yùn)行時(shí),操作系統(tǒng)會(huì)根據(jù)該導(dǎo)入表項(xiàng)中填寫的動(dòng)態(tài)庫名和API名,在該項(xiàng)中填入API真正的地址,使程序可以正常工作。“顯式加載”則是不使用“導(dǎo)入表”機(jī)制,每當(dāng)源代碼中調(diào)用了一個(gè)系統(tǒng)API,則直接生成一段代碼,用來加載相應(yīng)的動(dòng)態(tài)庫,搜索庫中的API地址,然后調(diào)用。在這段代碼中,動(dòng)態(tài)庫名和API名都不是以明文形式存在,而是經(jīng)過自定義算法變換過的,只有在運(yùn)行時(shí)才可能知道其內(nèi)容。由于不再有導(dǎo)入表等明文信息,殺毒軟件難以得知程序調(diào)用了哪些API,也就無法分析程序的行為,因此,降低了誤報(bào)的概率。同時(shí),本方法不需要修改程序的源代碼,在源代碼中,對(duì)系統(tǒng)API的調(diào)用,與其他普通函數(shù)沒有區(qū)別,這是因?yàn)?,無論“顯式加載”還是“隱式加載”,都是在鏈接時(shí)由提供的系統(tǒng)庫決定。鏈接器一般提供若干“默認(rèn)庫”,對(duì)源代碼中調(diào)用的系統(tǒng)API,由于其函數(shù)沒有定義在程序的自身代碼中,鏈接時(shí)會(huì)找不到,找不到時(shí),鏈接器就會(huì)從“默認(rèn)庫”中尋找,并找到帶有“導(dǎo)出”(export)屬性的函數(shù),此時(shí)鏈接器就會(huì)添加導(dǎo)入表項(xiàng),記錄動(dòng)態(tài)庫名和API名。通過本發(fā)明提供的方法,無需修改軟件程序的源代碼,即可達(dá)到降低被殺毒軟件誤殺的概率,提升安全性和使用的便捷性。
[0033]作為一種改進(jìn),具體包括以下步驟:
[0034]S1:列舉出操作系統(tǒng)的鏈接器的所有默認(rèn)庫。
[0035]不同操作系統(tǒng)、平臺(tái)下的默認(rèn)庫會(huì)有不同,但都是確定可預(yù)知的,如Windows程序一般是 kernel32、user32、advapi32 這三個(gè)默認(rèn)庫。
[0036]S2:從操作系統(tǒng)軟件開發(fā)工具包獲取默認(rèn)庫的庫文件,自動(dòng)枚舉出其中所有的API名,將從各個(gè)默認(rèn)庫中枚舉出的API名分別保存為第一字符串?dāng)?shù)組。
[0037]其中,自動(dòng)枚舉API名,由于默認(rèn)庫使用“隱式加載”方式,因此,所有API名都會(huì)在庫文件符號(hào)表中依次出現(xiàn),所以可以解析庫文件結(jié)構(gòu),自動(dòng)枚舉符號(hào)表。第一字符串?dāng)?shù)組格式如 kernel_apis, user_apis, advapi_apis。
[0038]S3:對(duì)第一字符串?dāng)?shù)組中每個(gè)API名進(jìn)行自定義變換處理,處理后的結(jié)果保存為
第二字符串?dāng)?shù)組。
[0039]S4:對(duì)應(yīng)每個(gè)默認(rèn)庫,自動(dòng)創(chuàng)建一個(gè)源代碼文件,在文件中定義該默認(rèn)庫中所有的API,該源代碼文件的函數(shù)體為一段固定的顯式加載代碼。
[0040]S5:編譯源代碼文件,生成自定義的靜態(tài)庫。例如mykernel32.lib。
[0041]S6:返回步驟2,直到生成所有默認(rèn)庫對(duì)應(yīng)的自定義的靜態(tài)庫。
[0042]S7:修改要免殺的程序的工程配置,禁用所有默認(rèn)庫,添加所有對(duì)應(yīng)的自定義的靜態(tài)庫。
[0043]作為進(jìn)一步的改進(jìn),步驟S3還包括對(duì)默認(rèn)庫的庫文件的原庫文件名進(jìn)行自定義變換處理,并將處理后的結(jié)果保存為一字符串。其中,自定義變換處理方式為自定義,變換算法不限,達(dá)到不易推斷出明文的目的即可。例如將字符串倒序:“abc”=> “cba”。第二字符串?dāng)?shù)組,如對(duì)kenel_apiS處理為kenel_api2。庫文件名也可以做類似處理(“user”=>”resu”),保存為“變換后庫名稱”字符串如kenel_lib_name2。
[0044]作為更進(jìn)一步的改進(jìn),步驟S4中函數(shù)體具體包括以下項(xiàng):
[0045]Al:對(duì)字符串中的庫文件名進(jìn)行逆變換(如字符串倒序)后得到的庫名稱;
[0046]A2:以原庫文件名(例如進(jìn)行逆變換后得到的庫名稱)為參數(shù)調(diào)用系統(tǒng)功能加載動(dòng)態(tài)庫(如 1adlibrary);
[0047]A3:對(duì)第二字符串?dāng)?shù)組中的對(duì)應(yīng)項(xiàng)進(jìn)行逆變換后得到的API名稱;
[0048]A4:以進(jìn)行逆變換后得到的API名稱為參數(shù)調(diào)用系統(tǒng)功能獲取API地址(如GetProcAddress);
[0049]A5:跳轉(zhuǎn)指令,其跳轉(zhuǎn)目標(biāo)是上述獲取到的API地址。
[0050]作為另一種改進(jìn),操作系統(tǒng)為Windows、Linux或者Unix。本發(fā)明的自動(dòng)實(shí)現(xiàn)軟件程序免殺的方法不僅適用于Windows系統(tǒng),還適用于Linux、Unix等操作系統(tǒng)。
[0051]圖2為應(yīng)用本發(fā)明的實(shí)施例的自動(dòng)實(shí)現(xiàn)軟件程序免殺的方法處理前后的文件對(duì)照示意圖。為使本發(fā)明的目的、技術(shù)方案及優(yōu)點(diǎn)更加清楚明白,以下參照?qǐng)D1和圖2并舉實(shí)施例,對(duì)本發(fā)明進(jìn)一步詳細(xì)說明(基于Windows操作系統(tǒng)下)。
[0052]某W indows軟件運(yùn)行時(shí)被殺毒軟件誤報(bào),源代碼工程使用VC編譯,軟件開發(fā)商采用本發(fā)明的實(shí)施例的自動(dòng)實(shí)現(xiàn)軟件程序免殺做軟件程序的源碼免殺。
[0053]首先確定系統(tǒng)默認(rèn)庫為kernel32.lib、user321ib 和 advapi32.lib ;
[0054]從Win dows Platform SDK中獲取上述庫文件,分別枚舉出其中所有的API名,保存到第一字符串?dāng)?shù)組 kernel32_apis、user32_apis,和 advapi32_apis ;
[0055]使用“字符串倒置”(Strrev)算法對(duì)第一字符串?dāng)?shù)組和動(dòng)態(tài)庫名稱做變換,得到第二字符串?dāng)?shù)組kernel32_api2、user32_api2、advapi32_api2和變換后庫名稱〃lld.231enrek〃、〃lld.23resu〃、〃lld.23ipavda〃 ;
[0056]分別創(chuàng)建源代碼文件mykernel32.c、myuser32.c和myadvapi32.c,在各文件中定義對(duì)應(yīng)庫中所有的API,例如advapi32.c中RegOpenKey函數(shù)代碼如下:
[0057]
void RegOpenKey O

{
char氺 oldDll = strrev(〃lld.23ipavda〃);
char氺 oIdApi = strrev(〃yeKnep0geR〃);
HM0DULE h = LoadLibraryA(oldDlI);
void氺 pfn = GetProcAddress(h, oldApi);[0058]
【權(quán)利要求】
1.一種自動(dòng)實(shí)現(xiàn)軟件程序免殺的方法,其特征在于,創(chuàng)建若干自定義的靜態(tài)庫以代替操作系統(tǒng)提供的默認(rèn)庫來實(shí)現(xiàn)對(duì)所述軟件程序中用到的API的調(diào)用,所述自定義的靜態(tài)庫以顯式加載方式實(shí)現(xiàn)所述調(diào)用。
2.根據(jù)權(quán)利要求1所述的自動(dòng)實(shí)現(xiàn)軟件程序免殺的方法,其特征在于,具體包括以下步驟: 51:列舉出所述操作系統(tǒng)的鏈接器的所有所述默認(rèn)庫; 52:從操作系統(tǒng)軟件開發(fā)工具包獲取所述默認(rèn)庫的庫文件,自動(dòng)枚舉出其中所有的API名,將從各個(gè)所述默認(rèn)庫中枚舉出的API名分別保存為第一字符串?dāng)?shù)組; 53:對(duì)所述第一字符串?dāng)?shù)組中每個(gè)API名進(jìn)行自定義變換處理,處理后的結(jié)果保存為第二字符串?dāng)?shù)組; 54:對(duì)應(yīng)每個(gè)所述默認(rèn)庫,自動(dòng)創(chuàng)建一個(gè)源代碼文件,在文件中定義該默認(rèn)庫中所有的API,該源代碼文件的函數(shù)體為一段固定的顯式加載代碼; 55:編譯所述源代碼文件,生成自定義的靜態(tài)庫; 56:返回步驟S2,直到生成所有所述默認(rèn)庫對(duì)應(yīng)的自定義的靜態(tài)庫; 57:修改要免殺的軟件程序的工程配置,包括禁用所有所述默認(rèn)庫以及添加所有對(duì)應(yīng)的自定義的靜態(tài)庫。
3.根據(jù)權(quán)利要求2所述的自動(dòng)實(shí)現(xiàn)軟件程序免殺的方法,其特征在于,步驟S3還包括對(duì)所述默認(rèn)庫的庫文件的原庫文件名進(jìn)行自定義變換處理,并將處理后的結(jié)果保存為一字符串。
4.根據(jù)權(quán)利要求3所述的自動(dòng)實(shí)現(xiàn)軟件程序免殺的方法,其特征在于,步驟S4中所述函數(shù)體具體包括以下項(xiàng): Al:對(duì)所述字符串中的經(jīng)變換的庫文件名進(jìn)行逆變換后得到的原庫文件名; A2:以所述原庫文件名為參數(shù)調(diào)用系統(tǒng)功能而加載的動(dòng)態(tài)庫; A3:對(duì)所述第二字符串?dāng)?shù)組中的對(duì)應(yīng)項(xiàng)進(jìn)行逆變換后得到的API名稱; A4:以進(jìn)行逆變換后得到的API名稱為參數(shù)調(diào)用系統(tǒng)功能而獲取的API地址; A5:跳轉(zhuǎn)指令,其跳轉(zhuǎn)目標(biāo)是所述API地址。
5.根據(jù)權(quán)利要求1至4中任一項(xiàng)所述的自動(dòng)實(shí)現(xiàn)軟件程序免殺的方法,其特征在于,所述操作系統(tǒng)為Windows、Linux或者Unix。
【文檔編號(hào)】G06F21/57GK103824020SQ201410058478
【公開日】2014年5月28日 申請(qǐng)日期:2014年2月20日 優(yōu)先權(quán)日:2014年2月20日
【發(fā)明者】孫吉平, 韓勇 申請(qǐng)人:北京深思數(shù)盾科技有限公司
網(wǎng)友詢問留言 已有0條留言
  • 還沒有人留言評(píng)論。精彩留言會(huì)獲得點(diǎn)贊!
1