简介本资源是《计算机病毒原理与防范第2版》配套实验教学资料包面向高校信息安全专业学生、网络安全初学者及IT运维人员聚焦恶意代码分析与主动防御能力培养。压缩包含514个文件总计39.3MB以C/C源码cpp/c/h、编译中间产物obj/tlog/pdb、可执行程序exe/dll、系统驱动sys、扫描工具脚本bat及文档doc/docx/txt为主覆盖病毒注入infectWithReplaceIAT.c、InfectAtEntryAddress.c、PE结构解析pe.c、GUI病毒扫描器ScanVirusGUI.aps、内核模块sys等核心实验模块体现从静态分析到动态行为模拟的完整实践路径。目前已有138人学习下载内容具备强实操性提供可编译运行的完整工程含sln/vcxproj、多阶段病毒行为验证脚本、反病毒工具开发框架及典型样本分析线索助力读者深入理解病毒传播机制、感染手法与防护策略夯实底层安全实践基础。1. 这不是“杀毒软件使用指南”而是用 PE 文件逆向视角拆解病毒行为的实验课《计算机病毒原理与防范第2版》实验包里那个.rar文件藏着的不是现成的查杀工具而是一套基于 Windows PEPortable Executable文件结构的手动分析与对抗训练体系。它不教你怎么点开 360 安全卫士而是让你亲手修改 IATImport Address Table、构造infectWithReplaceIAT感染逻辑、在内存中定位并还原被劫持的 API 调用链——这才是高校信息安全实验课和 CTF 二进制方向选手真正反复打磨的基本功。实验内容直指病毒落地最核心的环节PE 文件加载、导入表篡改、API 钩子植入与绕过。适合已掌握 C 语言基础、熟悉 Windows API 调用机制、能看懂 OllyDbg 或 x64dbg 基础界面的本科高年级或研究生对刚学完《操作系统》但还没碰过 PE 头结构的同学本实验是把“进程加载”从课本概念拉进真实二进制世界的强效催化剂。2. 从 PE 文件头开始为什么infectWithReplaceIAT必须先解析 DOS Header 和 NT Headers2.1 PE 文件结构不是黑盒而是可逐字节验证的确定性布局Windows 下所有.exe和.dll文件都遵循 PE 格式规范其头部包含多个嵌套结构DOS Header固定 64 字节、DOS Stub可变长通常为字符串、NT Headers含 Signature、File Header、Optional Header再往后才是节表Section Table和各节数据。infectWithReplaceIAT这类感染型病毒的核心动作——替换 IAT 中的函数地址——必须精准定位到 Optional Header 中的DataDirectory[1]即 IMAGE_DIRECTORY_ENTRY_IMPORT该目录项指向一个IMAGE_IMPORT_DESCRIPTOR数组每个描述符又指向IMAGE_THUNK_DATA即 IAT和IMAGE_IMPORT_BY_NAME函数名序号。若跳过头部解析直接硬编码偏移哪怕只差 1 字节整个感染过程就会写入错误位置导致目标程序启动即崩溃。提示实验中提供的ScanVirusGUI并非 GUI 杀软而是一个轻量级 PE 解析器 IAT 可视化工具。它不依赖签名库而是通过读取文件原始字节按 Microsoft 官方 PE 规范MSDN 文档 ID:pe-format逐字段校验并高亮显示 IAT 区域起始地址、大小及所引用 DLL 列表。这是理解后续感染逻辑的前提。2.2 手动解析 PE 头的最小可行代码C以下代码片段用于定位 IAT 地址适用于实验环境中的 Visual Studio 2019 Windows SDK 10.0 编译#include windows.h #include stdio.h bool GetIATInfo(const char* filePath, DWORD* iatRVA, DWORD* iatSize) { HANDLE hFile CreateFileA(filePath, GENERIC_READ, FILE_SHARE_READ, nullptr, OPEN_EXISTING, FILE_ATTRIBUTE_NORMAL, nullptr); if (hFile INVALID_HANDLE_VALUE) return false; HANDLE hMap CreateFileMapping(hFile, nullptr, PAGE_READONLY, 0, 0, nullptr); if (!hMap) { CloseHandle(hFile); return false; } BYTE* pBase (BYTE*)MapViewOfFile(hMap, FILE_MAP_READ, 0, 0, 0); if (!pBase) { CloseHandle(hMap); CloseHandle(hFile); return false; } // 1. 检查 DOS Header 签名 PIMAGE_DOS_HEADER pDosHdr (PIMAGE_DOS_HEADER)pBase; if (pDosHdr-e_magic ! IMAGE_DOS_SIGNATURE) { UnmapViewOfFile(pBase); CloseHandle(hMap); CloseHandle(hFile); return false; } // 2. 定位 NT HeadersDOS Stub 后紧跟 NT Headers PIMAGE_NT_HEADERS pNtHdr (PIMAGE_NT_HEADERS)(pBase pDosHdr-e_lfanew); if (pNtHdr-Signature ! IMAGE_NT_SIGNATURE) { UnmapViewOfFile(pBase); CloseHandle(hMap); CloseHandle(hFile); return false; } // 3. 获取 Optional Header32/64 位需区分 WORD machine pNtHdr-FileHeader.Machine; bool is64 (machine IMAGE_FILE_MACHINE_AMD64); DWORD optionalHeaderOffset sizeof(IMAGE_NT_HEADERS); PIMAGE_OPTIONAL_HEADER pOptHdr is64 ? (PIMAGE_OPTIONAL_HEADER)((BYTE*)pNtHdr optionalHeaderOffset) : (PIMAGE_OPTIONAL_HEADER)((BYTE*)pNtHdr optionalHeaderOffset); // 4. 读取导入表目录项DataDirectory[1] IMAGE_DATA_DIRECTORY importDir pOptHdr-DataDirectory[IMAGE_DIRECTORY_ENTRY_IMPORT]; if (importDir.Size 0 || importDir.VirtualAddress 0) { UnmapViewOfFile(pBase); CloseHandle(hMap); CloseHandle(hFile); return false; } *iatRVA importDir.VirtualAddress; *iatSize importDir.Size; UnmapViewOfFile(pBase); CloseHandle(hMap); CloseHandle(hFile); return true; }参数说明与关键逻辑e_lfanew是 DOS Header 中的偏移字段指向 NT Headers 起始位置不可硬编码为 0x40常见误用因 DOS Stub 长度可变IMAGE_NT_SIGNATURE0x00004550必须严格校验否则后续解析全部失效DataDirectory[1]对应导入表其VirtualAddress是 RVARelative Virtual Address需结合节表转换为文件偏移File Offset才能写入is64判断决定OptionalHeader长度32 位为 224 字节64 位为 240 字节影响后续字段偏移计算。2.3 实验验证用ScanVirusGUI对比手动解析结果运行ScanVirusGUI.exe拖入任意合法 PE 文件如notepad.exe观察其“导入表”面板显示的IAT RVA和Size。再将同一文件路径传入上述GetIATInfo()函数打印返回的*iatRVA和*iatSize。二者应完全一致。若不一致需检查是否忽略e_lfanew直接从0x40开始读取DOS Stub 过长时必错是否未区分 32/64 位OptionalHeader结构体长度是否将VirtualAddress误当作文件偏移直接 fseek正确做法遍历节表找到VirtualAddress iatRVA VirtualAddress Misc.VirtualSize的节再计算FileOffset iatRVA - Section.VirtualAddress Section.PointerToRawData。3. 构造infectWithReplaceIAT在 IAT 中注入恶意函数地址的三步操作3.1 感染逻辑本质用新函数地址覆盖原 IAT 条目而非修改代码段infectWithReplaceIAT不是向.text节插入 shellcode而是利用 Windows 加载器在映射 PE 文件后自动填充 IAT 的机制在加载前或加载后通过内存补丁将 IAT 中某个 API如kernel32.dll!CreateProcessA的地址替换为攻击者控制的函数地址如MyHook_CreateProcessA。当目标程序调用该 API 时实际执行的是钩子函数从而实现行为监控、参数篡改或权限提升。这种手法隐蔽性强因为.text节未被修改静态扫描难以发现。3.2 具体实施步骤以 hookMessageBoxA为例步骤 1定位目标 IAT 条目使用 2.2 节代码获取 IAT 起始 RVA 和大小后需遍历IMAGE_IMPORT_DESCRIPTOR数组找到Name字段指向user32.dll的描述符再遍历其FirstThunkIAT数组查找OriginalFirstThunkINT中对应MessageBoxA的IMAGE_IMPORT_BY_NAME结构记录其在 IAT 中的索引位置。步骤 2准备钩子函数并获取其 RVA钩子函数必须位于目标进程地址空间内。实验中提供hook.dll其中导出MyMessageBoxA。需将其加载到目标进程如用LoadLibrary再用GetProcAddress获取其真实地址。注意该地址是 VAVirtual Address而 IAT 存储的是 RVA需减去目标模块基址GetModuleHandle(nullptr)得到 RVA。步骤 3写入新地址并修复内存保护IAT 区域默认为PAGE_READONLY直接写入会触发访问违规。必须先调用VirtualProtect更改内存属性// 假设 iatBase 是 IAT 在内存中的 VAiatSize 是大小 DWORD oldProtect; if (!VirtualProtect(iatBase, iatSize, PAGE_READWRITE, oldProtect)) { printf(VirtualProtect failed: %lu\n, GetLastError()); return false; } // 覆盖目标 IAT 条目例如第 5 个条目 ((FARPROC*)iatBase)[5] (FARPROC)myHookAddr; // myHookAddr 是 MyMessageBoxA 的 VA // 恢复保护 VirtualProtect(iatBase, iatSize, oldProtect, oldProtect);注意infectWithReplaceIAT实验要求在 PE 文件层面完成感染即修改磁盘文件而非内存补丁。因此步骤 2 中的myHookAddr应为hook.dll中函数的 RVA并确保hook.dll已被添加为新导入项需扩展IMAGE_IMPORT_DESCRIPTOR数组、更新节表、调整文件对齐等这正是实验难点所在。3.3 实验配套工具ScanVirusGUI的 IAT 修改功能ScanVirusGUI提供图形化 IAT 编辑在“导入表”面板右键点击某 DLL 下的函数名 → “替换为自定义地址”输入十六进制 RVA如0x1000点击“应用”工具自动完成计算该 RVA 对应的文件偏移、写入磁盘、更新校验和可选。此功能用于快速验证感染效果但真实病毒开发需自行实现完整 PE 文件修改逻辑包括处理节对齐FileAlignment、重定位若需 ASLR 兼容、数字签名清除若存在等。4. 防范实战用 PE 解析器识别infectWithReplaceIAT类感染的 3 个关键特征4.1 特征一IAT 中出现非常规 RVA 或跨节地址正常 PE 文件的 IAT 条目地址均指向.idata或.rdata节内的函数地址。若发现 IAT 中某条目指向.text节内部如0x1000~0x5000区间而.text节 RVA 为0x1000或指向未声明的节如 RVA0x20000但节表中无此范围极可能为infectWithReplaceIAT注入的钩子函数。ScanVirusGUI的“地址合法性检查”功能会标红此类异常条目。4.2 特征二导入表 DLL 名称异常或存在可疑 DLL病毒常添加自身 DLL如virus.dll、loader.dll到导入表或伪装成系统 DLL如kern32.dll拼写错误。ScanVirusGUI支持导入 DLL 名称白名单比对内置kernel32.dll,user32.dll,advapi32.dll等 20 个常见系统 DLL非白名单项自动标黄预警。4.3 特征三节表中.idata节大小异常膨胀infectWithReplaceIAT为容纳新增 DLL 的导入描述符需扩展.idata节。若.idata节SizeOfRawData显著大于Misc.VirtualSize如前者为 4096后者为 512或节Characteristics中IMAGE_SCN_MEM_WRITE标志被置位正常.idata为READONLY均为强感染信号。可通过以下命令行快速检查# 使用 dumpbinVisual Studio 工具查看节信息 dumpbin /headers target.exe | findstr name size characteristics输出示例SECTION HEADER #3 .idata name 1000 virtual size 1000 virtual address 2000 raw data size ← 异常远大于 virtual size 4000 file pointer to raw data ... 60000040 characteristics ^--- 0x40 IMAGE_SCN_MEM_WRITE可疑4.4 自动化检测脚本Python pefile实验推荐使用pefile库编写检测脚本覆盖上述三特征import pefile import sys def detect_iat_infection(pe_path): try: pe pefile.PE(pe_path) suspicious [] # 特征一IAT 地址越界检查 if hasattr(pe, DIRECTORY_ENTRY_IMPORT): for entry in pe.DIRECTORY_ENTRY_IMPORT: for imp in entry.imports: if imp.address and imp.address ! 0: # 检查是否指向 .text 节 text_sec pe.get_section_by_name(.text) if text_sec and text_sec.VirtualAddress imp.address text_sec.VirtualAddress text_sec.Misc.VirtualSize: suspicious.append(fIAT entry {imp.name.decode()} points into .text section) # 特征二非白名单 DLL whitelist {kernel32.dll, user32.dll, advapi32.dll, shell32.dll, gdi32.dll} for entry in pe.DIRECTORY_ENTRY_IMPORT: dll_name entry.dll.decode().lower() if dll_name not in whitelist: suspicious.append(fNon-whitelist DLL imported: {dll_name}) # 特征三.idata 节异常 idata_sec pe.get_section_by_name(.idata) if idata_sec: if idata_sec.SizeOfRawData idata_sec.Misc.VirtualSize * 3: # 膨胀超 3 倍 suspicious.append(f.idata size anomaly: Raw{idata_sec.SizeOfRawData}, Virt{idata_sec.Misc.VirtualSize}) if idata_sec.Characteristics 0x80000000: # IMAGE_SCN_MEM_WRITE suspicious.append(.idata has IMAGE_SCN_MEM_WRITE flag) return suspicious except Exception as e: return [fPE parse error: {str(e)}] if __name__ __main__: if len(sys.argv) ! 2: print(Usage: python detect_iat.py pe_file) sys.exit(1) results detect_iat_infection(sys.argv[1]) if results: print(Suspicious indicators found:) for r in results: print(f • {r}) else: print(No obvious IAT infection indicators.)脚本使用说明安装依赖pip install pefile运行python detect_iat.py infected.exe输出结果直接对应实验报告中的“感染识别依据”部分可作为ScanVirusGUI图形化检测的补充验证手段。5. 进阶技巧在微 PE 环境下调试infectWithReplaceIAT感染行为5.1 为什么必须用微 PE——绕过现代 Windows 的加载保护机制Windows 10/11 默认启用 CFGControl Flow Guard、DEPData Execution Prevention和 PatchGuard导致在常规系统下直接运行感染后的 PE 文件极易触发蓝屏或进程终止。微 PE如微 PE 工具箱 v2.2提供纯净的 WinPE 4.0/10 环境内核无 CFG/DEP 强制策略且ScanVirusGUI可直接运行是观察infectWithReplaceIAT完整生命周期文件写入 → 加载 → IAT 替换 → 函数调用劫持的唯一可靠沙箱。5.2 微 PE 启动盘制作与调试流程实操步骤步骤 1制作可启动微 PE U 盘下载官方微 PE ISO注意仅从wepe.com官网获取避免第三方镜像篡改使用 Rufus 工具版本 4.3选择“DD 写入模式”将 ISO 写入 USB 设备BIOS 中设置 U 盘为第一启动项重启进入微 PE 桌面。步骤 2部署调试环境将实验包解压至 U 盘根目录如E:\viruslab\运行E:\viruslab\ScanVirusGUI.exe将待感染样本如test.exe和hook.dll复制到同一目录用ScanVirusGUI打开test.exe→ “导入表” → 右键user32.dll!MessageBoxA→ “替换为自定义地址” → 输入hook.dll中MyMessageBoxA的 RVA需提前用dumpbin /exports hook.dll查看。步骤 3动态验证感染效果保存修改后的test.exe打开微 PE 内置命令提示符WinR→cmd执行test.exe观察是否弹出自定义消息框而非原生MessageBoxA若失败用x64dbg微 PE 已预装附加test.exe在MessageBoxA断点处查看 EIP 是否跳转至hook.dll地址。提示微 PE 环境下hook.dll必须与test.exe位于同一目录且test.exe的Delay Load和ASLR标志应关闭可用editbin /dynamicbase:no /delayload:no test.exe在编译时设置否则LoadLibrary可能失败。5.3 关键参数表微 PE 调试必备配置项参数项推荐值作用说明bcdedit /set {default} nxpolicy OptIn微 PE 默认已设启用 DEP但允许hook.dll绕过需 DLL 编译时/NXCOMPAT:NObootmgr /set {bootmgr} integrityservicesenable No微 PE 默认禁用关闭 PatchGuard防止内核级拦截 IAT 修改test.exe编译选项/SUBSYSTEM:CONSOLE /DYNAMICBASE:NO /HIGHENTROPYVA:NO禁用 ASLR确保hook.dllRVA 可预测hook.dll导出函数__declspec(dllexport) int WINAPI MyMessageBoxA(HWND, LPCSTR, LPCSTR, UINT)必须与原函数签名完全一致否则调用栈错乱此流程是高校“入侵防范头歌实验”标准评分项能否在微 PE 环境下独立完成 PE 感染、检测与行为验证直接反映学生对 Windows 二进制安全底层机制的掌握深度。本文还有配套的精品资源点击获取