看到了不少读者对于我“对Norton误报WinXP事件的技术分析”的反馈。在这里，首先我感谢这些阅读了我的blog并提供宝贵意见的读者，不管是支持还是反对我的观点。
明显，我的第一篇blog提供的技术细节不够。这里向大家抱歉。
综合一下，有三个问题我没有说清楚。
第一，为什么可能一个错误的特征码会只误报XP中文版的系统文件？
第二，如何验证XP中文版的系统文件是否有特殊代码？如何使用我提及的各种工具？
第三，我写这篇blog的目的是什么？
我们先来看第一个问题。
我在上篇blog中提及，如果收到的病毒样本是基于WinXP中文版的Lsasrv.dll的修改，而特征码提取在系统文件中未经修改的部分，这个特征码就会误报原始的WinXP中文版的Lsasrv.dll，而且，不会匹配（误报）WinXP英文版的Lsasrv.dll。
下面给大家举一个简化的例子。
英文版程序
// US-Sample.cpp
//
#include "stdafx.h"
void foo( char * strMsg );
int _tmain(int argc, _TCHAR* argv[])
{
char * strVersion = "This is DLL version 1.0";
foo( strVersion );
return 0;
}
void foo( char * strMsg )
{
printf( "%s\n", strMsg );
}
中文版程序
// CHS-sample.cpp
//
#include "stdafx.h"
void foo( char * strMsg );
int _tmain(int argc, _TCHAR* argv[])
{
char * strVersion = "这是DLL版本1.0";
foo( strVersion );
return 0;
}
void foo( char * strMsg )
{
printf( "%s\n", strMsg );
}
这两个程序功能上是一样的，区别只在字符串资源的本地化。
用VS2003编译， Debug version。
如果一个恶意的攻击者修改中文版程序，也就是CHS-sample.exe，可以直接在汇编代码层次修改。
这就是用Hiew攻击打开CHS-sample.exe。这三条指令就是调用printf函数。
我们修改为
并保存为CHS-Sample2.exe。
执行CHS-Sample2.exe，就会出现以下对话框，因为执行了我们刚刚加入的int 3 指令。
WinDBG信息：
CHS_sample!foo+0x27:
00000000`00411ac7 cc int 3
0:000:x86> k
ChildEBP RetAddr
0017fdd8 00411a6e CHS_sample!foo+0x27
0017febc 00411e10 CHS_sample!main+0x2e
0017ffa0 766c19f1 CHS_sample!mainCRTStartup+0x170
0017ffac 7772d109 kernel32!BaseThreadInitThunk+0xe
0017ffec 00000000 ntdll32!RtlCreateUserProcess+0x8c
注意到CHS-Sample.exe和CHS-Sample2.exe的区别是非常小的。
如果决定检测CHS-Sample2.exe，而特征码提取的部分没有包括到修改的这几条指令，例如计算从偏移量0开始的0x400个字节的MD5，那么这个特征码就只会误报CHS-Sample.exe，而不会误报US-Sample.exe。
下面，我们来看第二个问题。
如何验证XP中文版的系统文件是否有特殊代码？如何使用我提及的各种工具？
最为直接的方式是使用IDA将中文版本的Lsasrv.dll和英文版本的Lsasrv.dll调入。就可以一个一个对比函数的实现。如果有更加高级的程序分析软件（分析汇编指令的数据流和控制流），可以更方便地比较。
不过，因为IDA不是免费的。这里描述一下如何用WinDBG加上公共符号库（public symbol）来做到这一点。
1）使用WinDBG attach lsass.exe。启动WinDBG, F6。
2）创建crash dump
.dump c:\test\lsasrv-chs.dump
3）Detach WinDBg，这样可以不影响系统的正常使用。注意是Detach，而不是直接关闭WinDBG
4）用WinDBG打开Crash Dump.
Windbg –z c:\test\lsasrv-chs.dump
5）使用公共符号
.sympath srv*c:\test\*http://msdl.microsoft.com/download/symbols
6）重新加载Lsasrv.dll的symbol
.reload –f lsasrv.dll
7）查看各个函数的实现
0:026> lmvm lsasrv
start end module name
75730000 757e4000 lsasrv (pdb symbols) c:\test\lsasrv.pdb\C059631A2E3447139752DB410D8884392\lsasrv.pdb
Loaded symbol image file: lsasrv.dll
Mapped memory image file: c:\test\lsasrv.dll\44E460EBb4000\lsasrv.dll
Image path: C:\WINDOWS\system32\lsasrv.dll
Image name: lsasrv.dll
Timestamp: Thu Aug 17 05:28:27 2006 (44E460EB)
CheckSum: 000BF9DC
ImageSize: 000B4000
File version: 5.1.2600.2976
Product version: 5.1.2600.2976
File flags: 0 (Mask 3F)
File OS: 40004 NT Win32
File type: 2.0 Dll
File date: 00000000.00000000
Translations: 0409.04b0
CompanyName: Microsoft Corporation
ProductName: Microsoft® Windows® Operating System
InternalName: lsasrv.dll
OriginalFilename: lsasrv.dll
ProductVersion: 5.1.2600.2976
FileVersion: 5.1.2600.2976 (xpsp_sp2_gdr.060817-0106)
FileDescription: LSA Server DLL
LegalCopyright: © Microsoft Corporation. All rights reserved.
0:026> x lsasrv!*lsa*
757385cf lsasrv!LsapDbQueryInformationPolicy = <no type information>
75799b94 lsasrv!LsarQueryForestTrustInformation = <no type information>
75770028 lsasrv!LsapTruncateUnicodeString = <no type information>
7578be3c lsasrv!LsapWinerrorToNtStatus = <no type information>
757cf088 lsasrv!LsapSecpkgFunctionTable = <no type information>
757aad1a lsasrv!LsapDsOpenObject = <no type information>
757a3859 lsasrv!LsarQueryTrustedDomainInfo = <no type information>
... ... (省略若干行输出)
0:026> u lsasrv!LsapDsOpenObject
lsasrv!LsapDsOpenObject:
757aad1a 8bff mov edi,edi
757aad1c 55 push ebp
757aad1d 8bec mov ebp,esp
757aad1f 83ec2c sub esp,2Ch
757aad22 8365fc00 and dword ptr [ebp-4],0
757aad26 53 push ebx
757aad27 8b5d08 mov ebx,dword ptr [ebp+8]
757aad2a 8b4330 mov eax,dword ptr [ebx+30h]
0:026> u
lsasrv!LsapDsOpenObject+0x13:
757aad2d 8bc8 mov ecx,eax
757aad2f 49 dec ecx
757aad30 49 dec ecx
757aad31 c645f800 mov byte ptr [ebp-8],0
757aad35 7417 je lsasrv!LsapDsOpenObject+0x34 (757aad4e)
757aad37 49 dec ecx
757aad38 49 dec ecx
757aad39 740a je lsasrv!LsapDsOpenObject+0x2b (757aad45)
0:026> u
lsasrv!LsapDsOpenObject+0x21:
757aad3b b80d0000c0 mov eax,0C000000Dh
757aad40 e99e000000 jmp lsasrv!LsapDsOpenObject+0xc9 (757aade3)
757aad45 c745081c000a00 mov dword ptr [ebp+8],0A001Ch
757aad4c eb07 jmp lsasrv!LsapDsOpenObject+0x3b (757aad55)
757aad4e c7450822000a00 mov dword ptr [ebp+8],0A0022h
757aad55 56 push esi
757aad56 8d4df8 lea ecx,[ebp-8]
757aad59 51 push ecx
采用这个办法可以一一查看和对比中文版和英文版的Lsasrv.dll的各个函数的实现。例如，对于对于lsasrv!LsapDsOpenObject，中文版本5.1.2600.2976的实现如下，
0:025> lmvm lsasrv
start end module name
74480000 7452e000 lsasrv (pdb symbols) c:\test\lsasrv.pdb\C059631A2E3447139752DB410D8884392\lsasrv.pdb
Loaded symbol image file: lsasrv.dll
Mapped memory image file: c:\test\lsasrv.dll\44E4613Cae000\lsasrv.dll
Image path: C:\WINDOWS\system32\lsasrv.dll
Image name: lsasrv.dll
Timestamp: Thu Aug 17 05:29:48 2006 (44E4613C)
CheckSum: 000BA5F0
ImageSize: 000AE000
File version: 5.1.2600.2976
Product version: 5.1.2600.2976
File flags: 0 (Mask 3F)
File OS: 40004 NT Win32
File type: 2.0 Dll
File date: 00000000.00000000
Translations: 0804.04b0
CompanyName: Microsoft Corporation
ProductName: Microsoft(R) Windows(R) Operating System
InternalName: lsasrv.dll
OriginalFilename: lsasrv.dll
ProductVersion: 5.1.2600.2976
FileVersion: 5.1.2600.2976 (xpsp_sp2_gdr.060817-0106)
FileDescription: LSA Server DLL
LegalCopyright: (C) Microsoft Corporation. All rights reserved.
0:025> u lsasrv!LsapDsOpenObject
lsasrv!LsapDsOpenObject:
744fad1a 8bff mov edi,edi
744fad1c 55 push ebp
744fad1d 8bec mov ebp,esp
744fad1f 83ec2c sub esp,2Ch
744fad22 8365fc00 and dword ptr [ebp-4],0
744fad26 53 push ebx
744fad27 8b5d08 mov ebx,dword ptr [ebp+8]
744fad2a 8b4330 mov eax,dword ptr [ebx+30h]
0:025> u
lsasrv!LsapDsOpenObject+0x13:
744fad2d 8bc8 mov ecx,eax
744fad2f 49 dec ecx
744fad30 49 dec ecx
744fad31 c645f800 mov byte ptr [ebp-8],0
744fad35 7417 je lsasrv!LsapDsOpenObject+0x34 (744fad4e)
744fad37 49 dec ecx
744fad38 49 dec ecx
744fad39 740a je lsasrv!LsapDsOpenObject+0x2b (744fad45)
0:025> u
lsasrv!LsapDsOpenObject+0x21:
744fad3b b80d0000c0 mov eax,0C000000Dh
744fad40 e99e000000 jmp lsasrv!LsapDsOpenObject+0xc9 (744fade3)
744fad45 c745081c000a00 mov dword ptr [ebp+8],0A001Ch
744fad4c eb07 jmp lsasrv!LsapDsOpenObject+0x3b (744fad55)
744fad4e c7450822000a00 mov dword ptr [ebp+8],0A0022h
744fad55 56 push esi
744fad56 8d4df8 lea ecx,[ebp-8]
744fad59 51 push ecx
通过对比，可以看出，它们之间的区别只在于变量和代码的偏移量，其功能是完全一致的。
采用这个办法，你可以对比其它函数的实现，以及其它系统DLL，如kernel32.dll，ntdll.dll等等。
最后，我回答一下写这篇blog的目的是什么？先感谢你阅读了这么长而且枯燥的技术阐述。相对于“XP系统文件可能存在后门”的新闻，技术阐述不会更加吸引眼球，但是它却更接近事实。给大家提供一个从技术角度的分析，就是我的目的。而我也个人认为，这对我们软件业的发展会有好处。
又及，我所指的“摒弃浮躁”，具体是指，与其花时间做无谓的猜测，不如静下心研究技术掌握技术。
再次感谢你读了这么长的blog。
6/17更新
后记：
盆盆一篇不错的评论“也谈Norton错杀Windows XP”
盆盆的文采胜我颇多。
我的这篇blog的目的就是为了技术上分析Norton误杀Windows XP中文版系统文件的原因。讨论时候，就事论事。或许有人压根就不关心这个问题的答案。每个人都有自由选择相信什么，但是诸如“是否是中国人”的言语无助于任何理性的讨论。
喊几句大口号非常容易，但我看不出这能如何真正提高我们的信息安全水平。技术不是全部，但不懂技术，试问又如何保障安全？
分享到：
相关推荐
诺顿安全:Norton Antivirus & Security 3.9.1.2245
**Norton PartitionMagic 8.0 是一款历史悠久的硬盘分区管理工具，由Symantec公司开发，主要用于帮助用户管理和调整计算机硬盘的分区布局。在Windows操作系统环境下，它提供了丰富的功能来满足用户对硬盘分区的各种...
2. **性能监控**：Norton任务管理器提供了实时的CPU、内存、硬盘和网络使用情况的图形化展示，帮助用户了解系统性能瓶颈，及时发现并解决可能导致电脑运行缓慢的问题。 3. **安全防护**：这是Norton任务管理器的一...
New York: Norton, 352 pp., [dollar]5.95 (paper) 528 Book Reviews Since social behavior is often a major focus in IEPs and since affective objectives are more difficult to develop than cognitive ...
《Norton Utilities V5.0：DOS时代的经典磁盘与文件管理利器》 Norton Utilities V5.0，作为一款在DOS操作系统时代极具影响力的软件，它集合了一系列强大的磁盘管理和系统优化工具，为当时的计算机用户提供了...
虽然Norton Commander 5.5 是基于命令行界面，但它采用了图形化的设计元素，如图标和颜色标记，使得非技术用户也能相对容易上手。其快捷键设计也遵循了人体工程学原则，让频繁的操作变得轻松快捷。 总结起来，...
New York: Norton, 164 pp., [dollar]19.95 Psyrhologv in rhe Schools Volume 31, January 1994 B O O K R E V I E W S GILBERT R. GREDLER University of South Carolina BARKER, P. (1990). Clinical ...
9. **问题排查**：在遇到问题或误报时，用户可以参考“汉化新世纪.txt”和“汉化说明.txt”中的信息，或者联系诺顿官方支持获取帮助，解决软件使用过程中的任何疑问。 通过以上知识点，我们可以了解到Norton ...
Norton专用的卸载工具：Norton Removal Tool V2011.0.5.13。软件介绍：当你在windows不能正常卸载Norton系列软件时，通过使用这个小工具能够帮助你解决卸载问题，让你不再请神容易送神难了。诺顿用户可以通过它来...
2. **系统备份与恢复**：用户可以使用 Norton Ghost 来备份操作系统以及安装在其上的应用程序。当系统出现问题时，可以通过恢复映像文件来迅速恢复系统至正常状态。 3. **分区管理**：支持对硬盘进行分区操作，包括...
【acer Norton Online Backup】是宏碁（Acer）公司为旗下笔记本用户提供的在线备份解决方案。这款服务旨在保护用户的数据安全，确保在面临硬件故障、病毒攻击或意外数据丢失时，能够快速恢复重要文件。Norton Online...
3. 实时SONAR主动防护：基于wholesecurity的行为杀毒技术，赛门铁克开发了自家的SONAR主动防御系统，该技术在Norton Internet Security 2008中首次应用，并在后续的评测中表现出色，能够有效识别和阻止未知威胁。...
《Norton PartitionMagic 8.0 - 磁盘分区管理的艺术》 Norton PartitionMagic 8.0，作为一款曾经备受赞誉的磁盘管理工具，是Symantec公司推出的一款强大而易用的软件，它专为Windows操作系统设计，旨在帮助用户轻松...
《诺顿工具套装8.0中文版：经典与现代IT技术的交汇》 诺顿工具套装，全称为Norton Utilities，是由著名的赛门铁克公司（Symantec）开发的一款强大的系统优化和维护软件。这款8.0版本的中文版，不仅在DOS时代享有极...
2. **Norton 8.0工具简介**：Norton 8.0是一款经典的系统工具，其分区功能强大且易用。教程会详细阐述如何启动和使用这个工具，包括安装、界面导航以及各种功能的位置。 3. **创建新分区**：在教程中，用户会学习...
4. **了解误报问题**："关于杀毒软件误报问题.jpg"可能是对诺顿反病毒误报现象的解释，用户应仔细阅读，理解误报的原因和解决方法。 5. **定期更新和扫描**：安装完成后，务必开启自动更新和定期扫描，保持系统防护...
《Norton Utilities激活码：深度解析与使用指南》 Norton Utilities是一款由Symantec公司推出的强大系统优化工具，被誉为“免费永久优化大师”。这款软件集合了多项实用功能，包括磁盘清理、性能提升、注册表修复、...
Norton Ghost被广泛应用于个人用户和企业环境中，用于保护数据安全，防止因硬件故障、病毒攻击或误操作导致的数据丢失。 ### 版本号 软件版本号通常包含主版本号、次版本号和修订号，例如15.01中的“15”代表主...
Norton Utilities15 破解补丁
#### 二、Norton Ghost 概述 Norton Ghost 是一款功能强大的备份和恢复软件，它可以帮助用户快速地创建系统分区的镜像文件，以便在需要的时候迅速恢复整个系统。该软件的特点之一是文件体积较小，通常只需要一个主...