安全的动力 窥探杀毒软件引擎相关技术

相关技术

病毒和反病毒产品是天生的冤家，由于病毒永无休止的存在，反病毒产品这片领域自然也会出现众多厂商来分割的局面，因此也就衔生出了多种杀毒引擎技术。   杀毒引擎是决定一款杀毒软件技术是否成熟可靠的关键，什么是杀毒引擎呢？简言之，它就是一套判断特定程序行为是否为病毒程序或可疑程序的技术机制，引擎不仅需要具备判断病毒的能力，还必须拥有足够的病毒清理技术和环境恢复技术，如果一款杀毒产品能查出病毒但是却无法清除、或者无法将被病毒破坏的系统环境成功恢复，那它也只能是鸡肋。为了达到查杀病毒的目的，杀毒引擎自身要实施的行为就要比病毒还病毒，例如，为了及时获得环境变动的监控数据，一些杀毒引擎采用DLL的钩子技术将自身注入系统进程中，这一行为和DLL木马无异；而为了成功拦截查杀驱动级别木马Rootkit，杀毒引擎更需要将自身的一部分作为驱动形式运行，以便进入系统内核领域……说到这里，一些计算机配置较低的用户应该能明白，为什么自己安装杀毒软件后计算机速度明显变慢了，这多半是因为杀毒软件的“文件监控”等功能导致的，因为这一功能的实现原理就如文件型病毒的寄生过程一样，只不过文件型病毒是守候在内存中伺机感染每一个打开的文件，而“文件监控”功能是时刻驻守在内存里检查每一个打开的文件是否存在病毒，两者导致的后果都是程序载入内存的时间增加，在低配置的计算机表现得比较明显罢了。   1.守住每一个关卡——程序行为捕获 每个程序运行时都需要进行各种交互动作，如收发网络数据、响应某个触发事件、文件读写操作等，这些交互都被称为“行为”（Action），这个周期过程是可以被跟踪记录的，这就是杀毒引擎必须干涉的第一步，当杀毒软件的环境监视模块启动后，它会嵌入系统的操作接口，使得任何非核心程序和除了杀毒软件自身程序的运作过程都要被它实时监视，这一技术通常通过钩子技术和驱动层挂载实现，每个杀毒软件厂商都预先定义了一套病毒行为判断规范，即在一个给定的范围和置信度下，判断相关操作是否为合法。例如一个代码执行后被发现试图将自己写入用户请求执行的程序文件体内、或进行特定的复制动作和添加注册表操作，则可将其怀疑为病毒，移交给查毒过程的第二步进一步判断处理。   一部分厂商因为与操作系统厂商存在合作关系，因而获得了较其他厂商杀毒产品要高的操作系统特权，所以他们采用的方案是基于系统最底层的系统核心驱动，这种实现方式是最安全的，或者说最高级的实现方式，至今只有Norton获得了这个特权。随着病毒技术逐渐渗透到Rootkit层次，过去的Hook技术逐渐有点力不从心，于是杀毒厂商开始转入驱动方案，当然，由于没有操作系统厂商的授权，他们并无法实现最底层的核心驱动解决方案，于是杀毒厂商编写了一个称为“软件驱动”的中间件，用于在系统中产生一个虚拟硬件。众所周知，在操作系统中，只有驱动模块能通过一个“硬件抽象层（HAL）”的通讯接口而到达系统底层，如今流行的Rootkit木马也是采用驱动形式进入系统核心的，因此杀毒厂商使用“软件驱动”来实现底层监视的方案是要比一般的Hook技术效果显著的，但是这也不可避免会出现一些问题，如果这个“软件驱动”存在缺陷或者被某些程序异常终止（例如出现未预料的错误），在系统底层无任何保护措施的环境下，最直接的一个后果就是系统蓝屏崩溃，造成可能的损失。   小知识：系统的几个“层” 操作系统作为一个复杂的运作体系，其内部是必须实现一定的功能模块来进行分工合作的，这些功能模块像金字塔一样层层堆积，形成了系统的几个“层”，分别是系统核心层、硬件抽象层、用户层。   系统核心层（Kernel Layer）位于整个操作系统的最底层，负责系统的基本运作，在这一层里的所有行为都由系统内置的指令来实现，所有外界因素都不会对这一处的行为造成影响。能直接进入这个层交互的程序不多，除了操作系统自身，第三方厂商若要能在此层直接工作，必须和系统厂商建立合作关系，使用系统厂商提供的接口函数才能进入。目前能在这个层面直接工作的杀毒软件只有赛门铁克的Norton AntiVirus。   硬件抽象层（Hardware Abstraction Layer）是美国微软公司为了便于操作系统在不同硬件结构上进行移植而提出的将系统底层与硬件相关的部分独立运作的思想，HAL为系统实现了“硬件无关性”，即在不同的硬件平台上，硬件与操作系统的交互也不会有所差异，这样一来，硬件厂商开发驱动的难度便能大大降低，HAL将硬件的接口细节隐藏起来，并为操作系统提供一个标准硬件交互接口，目前所有的硬件驱动都工作在这个层面上，当外界硬件存在指令请求时，驱动程序响应请求并将指令通过HAL转换为系统核心层能理解的指令交给内核执行，如果未找到相应的驱动程序类型，则将其视为“默认硬件”（Default Hardware）处理，什么叫“默认硬件”呢？最简单的例子就是进入安全模式，这时候大部分驱动程序不会被加载，此时的系统便是工作于“默认硬件”上。大部分使用“软件驱动”解决方案的杀毒软件就是在HAL层上虚拟了一个硬件来达到与核心层交互的效果，如McAfee、卡巴斯基等，瑞星2006也是通过这个方案实现了内核交互。   用户层（User Layer）就是平时我们直接看到的部分，例如桌面，大部分杀毒软件也是在这一层运行的，主要用于用户接口交互和将指令传递到杀毒引擎。一般运行于Ring3的程序行为也产生于此，一个应用程序产生的指令要求首先被传递到HAL层，HAL层将其解释处理为核心层可以识别的指令串，然后提交给核心层最后进入CPU的指令处理循环，CPU处理完毕后将结果反向送回到用户层上的应用程序，最终得到运算结果。   2.检测的核心——基于引擎机制的规则判断   这一步环节可以称之为病毒判断的核心阶段，一个好的杀毒引擎能在这个阶段识别出相当规模的病毒，其原理是在引擎中内置一部分病毒的特征代码，称为“基于特征码的静态扫描技术”，即杀毒引擎直接在文件中查找自身携带的特征代码.   3.在翰林辞典中穿梭——引擎与病毒特征库的交互   由于上述原因，如今的杀毒软件已经不得不采用外部数据库连接的方法来达到识别病毒的效果，病毒特征代码数据库中以特定格式储存了各种病毒的行为标识和静态代码，在工作时，杀毒引擎需要将捕获到的程序行为转换为它自身可以识别的行为标识和静态代码，然后进入病毒特征代码数据库中查询并期待其返回查询结果，因此这个步骤是整个杀毒过程中最慢的，但是不可否认，当前的杀毒软件对大量病毒的识别都是在这个阶段完成的。因此一个足够庞大的病毒库往往能够弥补杀毒引擎的不足之处，但是当今病毒越发复杂和繁多，如此长期以往，病毒特征库将会有一天过于臃肿而导致不良后果，要解决这个问题，只能在核心技术上尽量实现将病毒检测工作在第二步完成，只可惜在当前我们仍然没有能够实现这个想法的杀毒引擎技术，因此如今的杀毒软件或多或少都依赖着一个几十MB的病毒特征库来维持工作，杀毒厂商在杀毒引擎核心未进行关键修改时发布的病毒更新其实也就是为了往这个特征数据库中添加最新发现的病毒数据，以达到查杀新病毒的作用。   “基于特征码的静态扫描技术”的最大弱点在于它无法发现和查杀“未公开”或“未收录”的病毒，由于它的大部分判断依据来自病毒特征代码数据库，一旦用户被感染了病毒中的“0day”或“私人后门”，杀毒软件就无能为力，甚至落得个被病毒终结运行的下场，当然，由于杀毒软件自身的校验机制，一般不会有病毒愚蠢到去感染杀毒软件，但是如果一个杀毒软件被病毒终止了，它就无法对用户的计算机实施病毒防护了，但是如何判断阻止由病毒发出的关闭指令，而不影响用户正常点击杀毒软件自身提供的“退出”功能，这也是个难题。   一部分杀毒引擎会通过自身的病毒行为判断规范来“怀疑”某些未收录在数据库中的程序为病毒，并询问用户需要什么解决方案，一般情况下，杀毒软件最折衷的默认解决方案是将被怀疑动机不纯的程序文件改名备份到一个被称为“隔离区”的文件夹中，然后将该原始文件销毁。这样做或许能达到查杀未知病毒的目的，但是我们也不能忽视其可能带来的严重后果，例如某个关键文件或重要文档感染了病毒，如果杀毒软件不由分说就将其消灭，那就很可能引发系统崩溃甚至经济损失，因为一个健全稳妥的查杀过程和环境恢复是很重要的。   4.月光宝盒——病毒查杀和系统环境恢复   当杀毒引擎检测到病毒时，需要分为两种情况对待，首先是尚未来得及进行感染或破坏行为的病毒，在这种情况下杀毒引擎只需要简单删除文件就可以了，但是日常操作中用户面临最多的还是已经被病毒实施感染破坏行为后的系统环境，在这种情况下，杀毒引擎必须在使用适当的方式查杀病毒后，根据病毒特征库中记录的病毒行为来智能判断当前系统环境遭受破坏的情况并进行恢复，例如对于受病毒感染的文件，杀毒引擎必须根据一定的算法在文件体内找出病毒代码寄生的部分并给予清除，这个过程必须非常谨慎，否则直接的后果就是导致原文件被破坏，这样的杀毒就毫无意义了。而对于非文件型的木马和恶意程序，由于它们会通过各种方式篡改系统注册表甚至系统文件来达到加载自身之目的，杀毒引擎在清除了这些病毒后能否准确有效的恢复受破坏的系统环境，就是对杀毒引擎的最大挑战。病毒隐藏技术已经从最初的简单加载单一启动项，演化到今天的多重启动项、进程互相保护、线程监视、远程注射、可执行文件关联、服务项目加载、驱动形式加载等方式，甚至采用多项结合的方法，使得查杀工作变得十分困难，甚至只要遗漏了一个文件未能清除，病毒便能卷土重来，因此，如何有效准确的判断和修复受损环境，也是衡量杀毒引擎技术是否成熟的关键。   以上说的是杀毒引擎完整工作过程的原理，那么，它所采取的技术有哪些呢？目前，主流的技术有两种：虚拟机技术、实时监控技术。除此之外，还有两种最新的技术仍在试验阶段，分别是智能码标识技术和行为拦截技术。   1.虚拟机技术 一提起虚拟机，部分读者可能就会联想到VMWare去了，然而这里提到的虚拟机并非如此。在反病毒界里，虚拟机也被称为通用解密器，已经成为反病毒软件中最重要的部分之一。杀毒引擎的虚拟机技术并非是为病毒提供一套计算机仿真系统，让其在内部折腾直到暴露出病毒行为特征，在这里的虚拟机是指杀毒引擎模拟出一个仿真CPU，这个“CPU”具备和真正CPU等同的指令分析功能，杀毒引擎将待检测的程序代码读入“CPU”中逐条指令循环执行，直到出现特定情况才结束工作，在这个过程中探知程序是否具备病毒行为特征或者暴露出病毒特征码。这就是杀毒引擎的“虚拟机技术”，它的目的就是让程序文件在没有实际运行的情况下得到运行后的结果，最初虚拟机技术是为了对付变形病毒而产生的，因为变形病毒会将自身代码以一定的方式进行多次变换，这样传统静态特征码扫描技术就对其无能为力，因为它根本无法确认特征码，但是即使再强悍的变形病毒也不可避免在运行时出现一段相对固定的机器码，否则它自身也无法正常运行完成变形过程，而由于这段机器码只有在运行时才能被捕获到，因此工程师开发了“虚拟机技术”诱使病毒在杀毒引擎产生的“CPU”里尽情运行，而后根据其固定机器码匹配病毒特征数据库中的静态特征来判断这个程序是否病毒。虽然这个技术可能会导致误报，但是仍不能否认其是一种有效的方法。   2.实时监控技术 实时监控技术，说白了其实就是一个文件监视器，它会在文件打开、关闭、修改等操作时将其拦截并送入查毒模块进行分析，而在如今的操作系统中要实现对所有文件操作的拦截并非易事，这需要涉及系统核心，因此，这里所采取的方案原型，就是“软件驱动”。通过驱动进入核心，便能获知每个文件的操作情况并做出反应了。这项技术的难度在于驱动代码的编写，由于内核没有异常处理过程，在这里执行的代码稍有一点错漏都能直接导致系统崩溃，且驱动与用户层的实时交互也需要一套复杂的实现方案，因此只有一定实力的厂家才实现这项技术，且实现了这项技术的厂家大部分都会连同虚拟机技术、静态特征码扫描技术一起结合起来，最终形成自己的产品。