Worm.WhBoy 专杀工具编写：基于3类文件感染特征的Python实现-北京尧图网络

Worm.WhBoy 专杀工具开发实战基于Python的感染特征检测与修复1. 病毒行为分析与专杀工具设计思路熊猫烧香病毒Worm.WhBoy作为2006年肆虐网络的典型蠕虫病毒其感染机制具有鲜明的特征。该病毒主要通过三种方式传播可执行文件感染在PE文件尾部追加病毒体并添加WhBoy标记Web文件篡改在HTML/ASP等文件尾部插入加密的iframe代码自动传播机制通过U盘autorun.inf和网络共享传播专杀工具核心功能设计应包含以下模块class WormWhBoyKiller: def __init__(self): self.exe_signatures [bWhBoy, bWHBOY] # 可执行文件感染标记 self.web_patterns [ # Web文件特征正则表达式 riframe.*?src.*?.*?, rdocument\.write\(unescape\( ] def scan_disk(self, path): # 磁盘扫描入口 pass def check_exe(self, filepath): # 检测可执行文件感染 pass def check_web(self, filepath): # 检测Web文件感染 pass def clean_exe(self, filepath): # 修复可执行文件 pass def clean_web(self, filepath): # 清理Web文件 pass2. 可执行文件感染检测与修复病毒对PE文件的感染会在文件尾部添加特定结构[病毒体][原始PE文件][WhBoy标记][原始文件名][0x2标记][原始文件大小][0x1标记]检测算法实现def check_exe(self, filepath): with open(filepath, rb) as f: data f.read() # 检查文件尾部标记 for sig in self.exe_signatures: pos data.rfind(sig) if pos ! -1: # 提取原始文件大小 size_pos pos len(sig) if len(data) size_pos 5: orig_size int.from_bytes( data[size_pos1:size_pos5], byteorderlittle ) return { infected: True, marker_pos: pos, original_size: orig_size } return {infected: False}修复流程关键步骤定位病毒标记位置提取原始文件大小信息截取原始PE文件内容重建文件头校验信息def clean_exe(self, filepath): result self.check_exe(filepath) if not result[infected]: return False with open(filepath, rb) as f: data f.read() # 截取原始文件内容 orig_data data[:result[original_size]] # 重建PE头校验 if orig_data.startswith(bMZ): pe_header_offset int.from_bytes(orig_data[0x3C:0x3C4], little) if pe_header_offset 0x200 len(orig_data): # 更新PE头中的SizeOfImage new_size self.calculate_pe_size(orig_data, pe_header_offset) orig_data self.update_pe_header(orig_data, pe_header_offset, new_size) # 写回修复后的文件 with open(filepath, wb) as f: f.write(orig_data) return True3. Web文件感染处理方案病毒对Web文件的感染特征表现为文件尾部添加加密的iframe代码可能包含document.write(unescape(等JavaScript解码语句通常指向恶意网站URL检测与清理实现def clean_web(self, filepath): with open(filepath, r, encodingutf-8, errorsignore) as f: content f.read() cleaned False # 处理iframe注入 for pattern in self.web_patterns: content, count re.subn(pattern, , content, flagsre.I) if count 0: cleaned True # 处理特定加密脚本 malicious_scripts [ var%20s%3Ddocument.createElement, eval(function(p,a,c,k,e,d) ] for script in malicious_scripts: if script in content: content content.replace(script, ) cleaned True if cleaned: with open(filepath, w, encodingutf-8) as f: f.write(content) return cleanedWeb文件修复注意事项不同编码格式的处理UTF-8/GBK多行恶意代码的识别保留原始文件的有效内容特殊字符的转义处理4. 完整专杀工具实现与测试整合各模块后的完整工具架构WormWhBoyKiller/ ├── core/ │ ├── scanner.py # 扫描引擎 │ ├── cleaner.py # 清理模块 │ └── utils.py # 辅助函数 ├── tests/ # 测试用例 │ ├── infected_exe/ │ └── infected_web/ └── main.py # 命令行入口命令行界面设计import argparse def main(): parser argparse.ArgumentParser( descriptionWorm.WhBoy专杀工具 v1.0, formatter_classargparse.RawTextHelpFormatter ) parser.add_argument(path, help要扫描的目录路径) parser.add_argument(-q, --quick, actionstore_true, help快速扫描模式) parser.add_argument(-l, --log, metavarFILE, help指定日志输出文件) args parser.parse_args() killer WormWhBoyKiller() result killer.scan_disk(args.path, quick_modeargs.quick) print(f扫描完成\n f- 已检查文件: {result[total_files]}\n f- 感染文件: {result[infected_files]}\n f- 成功修复: {result[cleaned_files]}) if args.log: with open(args.log, w) as f: json.dump(result, f, indent2) if __name__ __main__: main()测试验证方法准备已知感染样本运行专杀工具扫描验证文件是否被正确修复检查原始功能是否恢复# 测试命令示例 python main.py /test_samples --log scan_report.json性能优化技巧使用多线程加速文件扫描实现文件签名缓存避免重复检查针对大文件实现流式处理添加排除目录支持from concurrent.futures import ThreadPoolExecutor def parallel_scan(self, path, max_workers4): infected_files [] with ThreadPoolExecutor(max_workersmax_workers) as executor: for root, _, files in os.walk(path): for file in files: filepath os.path.join(root, file) future executor.submit(self.check_file, filepath) if future.result(): infected_files.append(filepath) return infected_files5. 防御增强与扩展功能主动防御措施实现注册表监控防止病毒自启动文件系统监控实时防护可疑进程检测机制def enable_protection(self): # 监控关键注册表项 reg_keys [ rSoftware\Microsoft\Windows\CurrentVersion\Run, rSoftware\Microsoft\Windows\CurrentVersion\RunOnce ] for key in reg_keys: self.monitor_registry(key) # 设置文件系统监控 from watchdog.observers import Observer from watchdog.events import FileSystemEventHandler class VirusHandler(FileSystemEventHandler): def on_modified(self, event): if not event.is_directory: self.check_file(event.src_path) observer Observer() observer.schedule(VirusHandler(), path/, recursiveTrue) observer.start()工具扩展方向支持更多变种病毒的检测添加云端特征库更新实现分布式扫描能力开发GUI管理界面最佳实践建议定期更新特征库扫描前创建系统还原点关键目录设置只读权限结合其他安全工具使用在实际部署中发现结合文件哈希校验可以显著提高检测准确率。对于重要系统文件建议维护一个已知安全版本的哈希数据库作为比对基准。

Worm.WhBoy 专杀工具编写：基于3类文件感染特征的Python实现

相关推荐

Apollo EM Planner 速度规划对比：DP 粗搜索与 QP 优化的 3 个核心差异

Mathpix Snip 2026版实测：5类复杂公式（手写/印刷/混合）识别准确率对比

2026AI大模型零基础入门就业全攻略，程序员高薪进阶必备

更多资讯

CrystalDiskMark、AS SSD、DiskGenius：硬盘性能测试与健康检测实战指南

智能交通专项规划：系统边界与块数据平台设计要点

人形机器人骨骼选型指南：五种材料方案对比与实操避坑

PyPTO Online Flash Attention 设计骨架 SK-01：KV 分块在线 softmax 注意力算子的完整实战指南

Keil5安装卸载避坑指南：MDK与C51双工具链配置及彻底清理

告别手动接口请求：用 TanStack Query 重构前端服务端状态管理

今日更新

校园网认证计费模式详解：AAA与代拨架构、原理及排障

Spring Boot+Vue垃圾分类毕设：分层、权限与排错实战

把 Cline 的 Base URL 改到 TaoToken 之后，DeepSeek 仍能修调试配置

本周精选

AI驱动的自动化专利分析平台技术解析

LeetCode-Go 题解：1252. Cells with Odd Values in a Matrix（奇数值单元格计数）双解法剖析

在线答疑系统Java毕设实战：Spring Boot前后端分离与状态流转

本月热门

基于YOLO的焊缝缺陷检测：从数据标注到工业部署全流程实践

分布式服务的决策记录

创业产品的首版范围

读完文章，想聊聊您的网站？