灰鴿子遠(yuǎn)程控制軟件

標(biāo)題: 修復(fù)文件終結(jié)者病毒破壞的文件感染文件找回辦法 [打印本頁(yè)]

作者: admin 時(shí)間: 2013-9-4 23:52
標(biāo)題: 修復(fù)文件終結(jié)者病毒破壞的文件感染文件找回辦法
修復(fù)文件終結(jié)者病毒破壞的文件感染文件找回辦法

準(zhǔn)備工作：

    1.二進(jìn)制編輯器，推薦兩個(gè)，winhex和 UltraEdit-32，winhex小巧靈活，打開文件速度快，修改文件很方便；而UltraEdit-32功能齊全，既是文本編輯器，十六進(jìn)制編輯器，支持各種編程語(yǔ)言的編輯，同時(shí)有各種各樣的功能，其中有一個(gè)很好用的功能就是文件對(duì)比功能，可以很快的發(fā)現(xiàn)兩個(gè)文件之間相同和不相同的部分。

    2.與被破壞的文件一樣的文件，這個(gè)容易，找一個(gè)在網(wǎng)上下載到的又被損壞文件，然后再去網(wǎng)上下載一個(gè)，這樣就得到兩個(gè)來(lái)源有相同文件，但有一個(gè)是被病毒損壞的。
現(xiàn)在開始分析文件，用UltraEdit-32打開準(zhǔn)備好的兩個(gè)文件，然后使用UltraEdit-32的文件對(duì)比功能，打開之后發(fā)現(xiàn)兩個(gè)文件的數(shù)據(jù)只有前0X64位是不相同的，其它部分都相同，也就是說(shuō)病毒至修改了文件前0X64位的數(shù)據(jù)。

    至于病毒是通過(guò)什么算法修改了文件，我們接下來(lái)就是分析兩個(gè)文件不同部分的差異，還有這個(gè)病毒修改文件的算法比較簡(jiǎn)單，熟悉十六進(jìn)制數(shù)的人分析這些數(shù)據(jù)，很快就可以發(fā)現(xiàn)，不同部分是按位取反的。
    為了驗(yàn)證這個(gè)研究結(jié)果的正確性，我隨便找了一個(gè)文件，用winhex打開，以十六進(jìn)制方式編輯，把前文件的0X64位數(shù)據(jù)按位取反修改，最后發(fā)現(xiàn)文件修復(fù)好了，至此，我們已經(jīng)找到了這個(gè)病毒破壞我們的文件的算法。

作者: a1582989448 時(shí)間: 2013-9-8 10:37
135f5ea9db27a8549976fd692bf90b3c135f5ea9db27a8549976fd692bf90b3c

作者: a1582989448 時(shí)間: 2013-9-8 10:37
d24166b4c048f66bc0913c7df22a502b

作者: a1582989448 時(shí)間: 2013-9-8 10:37
樓主太有才了，膜拜中……

作者: a1582989448 時(shí)間: 2013-9-8 10:37
要下載灰鴿子!我要灰鴿子下載哇!

作者: a1582989448 時(shí)間: 2013-9-8 10:37
想買灰鴿子免殺版攢錢中！

作者: a1582989448 時(shí)間: 2013-9-8 10:37
0b0b0f9a1a18349d4885d6f92aaf5d220b0b0f9a1a18349d4885d6f92aaf5d22

作者: a1582989448 時(shí)間: 2013-9-8 10:38
0b0b0f9a1a18349d4885d6f92aaf5d22

作者: bs1259001 時(shí)間: 2013-10-6 23:37
真心想學(xué)編程了

歡迎光臨灰鴿子遠(yuǎn)程控制軟件 (http://www.dumiaotech.com/)