文件病毒有哪些传播方式

　　一个正常的程序感染后，当你启动这个程序的时候，它通常会先执行一段病毒代码，然后自身运行，这样病毒就悄无声息的运行起来，然后再去感染其他PE文件，这就是PE病毒的行为。那么，pe文件病毒有哪些传播方式呢？
　　小编了解到，PE文件病毒一般采用嵌入宿主程序的方式来进行传染，利用PE文件中的空隙或增加一节方法栖身于PE文件中，并将程序入口点指向病毒代码，当文件执行时首先执行该病毒，然后执行宿主程序，其原理与DOS下病毒大同小异，但具体实现方法有许多创新。
　　pe文件病毒的传播方式有：盗板光盘、软盘、安全性不佳的共享网络等。
　　PE病毒常见的感染其他文件的方法是在文件中添加一个新节，然后往该新节中添加病毒代码和病毒执行后的返回Host程序的代码，并修改文件头中代码开始执行位置（AddressOfEntryPoint）指向新添加的病毒节的代码入口，以便程序运行后先执行病毒代码。下面以CIH病毒为例具体分析病毒感染过程：
　　CIH病毒属于文件型病毒，主要感染WindowsPE可执行文件。由于CIH病毒使用了VxD技术使得这种病毒在Windows环境下传播，其实施性和隐蔽性都特别强，使用一般反病毒软件很难发现这种病毒在系统中传播。
　　感染了CIH病毒的程序被执行时，CIH首先使用了SIDT取得中断描述符表基地址，然后将INT3的入口地址改为指向CIH病毒自身的INT3程序入口。接着CIH自己产生一条INT3指令，这样CIH病毒就可以获得最高级别的CPU使用权限。接下来，CIH将判断DR0寄存器的值是否为0，如果不是则表明计算机已被CIH病毒感染，自己则正常退出；如果DR0寄存器的值为0，就表明没有CIH病毒驻留内存，这时CIH病毒首先会将当前EBX寄存器的值赋给DR0寄存器，作上驻留标记，然后调用INT20，使用VxDcallpageALLocate系统调用，向系统申请内存空间来驻留，当申请成功后，CIH病毒就从被感染的文件中将其病毒代码组合起来，放到申请的内存空间中。随后CIH病毒再次调用INT3进入CIH病毒体的INT3入口程序，接着调用INT20，调用一个IFSMgrInstallFileSystemApiHook子程序，目的是借助文件系统处理函数来截取系统文件，调用操作。完成这个工作之后，Windows9895默认的IFSMgrRingoFileI0服务程序的入口地址将被CIH病毒保留，以便它的调用。
　　这样CIH病毒就完成了引导工作，驻留在内存中，开始监视系统的文件调用操作。一旦系统出现要求调用文件CIH就首先截获被调用的文件。然后判断该文件是否为PE格式的EXE文件，如果是就将自身拆成几段，插入到该文件的空域中，然后修改PE格式文件的文件头中的文件映像执行参数，使其首先指向病毒体；如果不是就将调用转接给Windows9895的IFSMgrI0服务程序。
　　以上就是本站给大家介绍的pe文件病毒的传播方式的相关介绍，希望对您有所帮助。稍后，我们要介绍如何清除寄生在文件上的病毒，欢迎关注更多网络病毒小知识。