avpbase.dll的一点学习笔记（4）CBase::DoRecords

麦田的怪

卡巴对文件的查毒是调用的AVP_ProcessObject，然后经历了打开获取句柄、确定大小、格式识别和_GetFirstEntry后，就到了CBaseWork::DoRecords(WORD Type, R_File_CureData** curedata)中。这个帖子就扯下CBaseWork::DoRecords(）。
在此之前小哭一下，_GetFirstEntry和_GetNextEntry似乎是蛮重要的代码，卡巴似乎把一个文件分成了多个Entry，然后_GetFirstEntry和_GetNextEntry将每个Entry读取到

1. typedef struct _CWorkArea{
   $ ]% D4 ]! @+ F4 E1 p2 D+ @
2.         BYTE    m_Header[HEADER_SIZE];
   
3.         BYTE    m_Page_A[PAGE_A_SIZE];
   
4.         BYTE    m_Page_B[PAGE_B_SIZE];
   
5.         BYTE    m_Page_E[PAGE_E_SIZE];
   : z: r, j  f& m7 y) v% G
6.         BYTE    m_Page_C[PAGE_C_SIZE];

复制代码

中，然后再由DoRecords对缓存查毒，可是，这么重要的两个函数竟然是在库文件krnengn.avc中的，哪位大神赐给我这两个函数的代码啊。

/ J7 _+ n/ p: A- o- H% W& Ivoid* CBaseWork::DoRecords(WORD Type, R_File_CureData** curedata) 中做的事很简单，遍历每个病毒库，让他们都void* CBase::DoRecords(WORD type,CWorkArea* pWorkArea, R_File_CureData** curedata）一次，谁查到就返回了。
0 [( H# t, Y# Q. @6 X, Q' W
CBase::DoRecords依据参数type来进行不同类型的查毒，我就只关注RT_FILE文件类型的查毒了，呃，这个，这个代码被我重名和注释后似乎也比较容易理解，我就直接贴代码了

1. void* CBase::DoRecords(WORD type,CWorkArea* pWorkArea, R_File_CureData** curedata){
   + i1 d1 R& F: F( {% Z' I, j# h6 X
2.         DWORD SubType=(DWORD)pWorkArea->m_SubType;
   
3.         BData* _bdata=bdata;
   $ t% B: J# N0 s& F6 d. w1 V
4.         switch(type)
   
5.         {
   
6.         case RT_FILE:
   
7.                 {
   6 s1 x, ?  _3 L0 ^2 k+ `0 n
8.                         DWORD SubType=(DWORD)pWorkArea->m_SubType;
   # y( E4 u: l# T
9.                         UINT nSubTypeBitNo = GetSubtypeBitNo((BYTE)SubType);  //获取子类型
   " b7 f* }! o7 k- h/ @
10.                         BYTE* pSubQueue = m_SubTypeRangeArray[nSubTypeBitNo].pSubQueue;
    ( b5 _$ w; k/ h& a
11. 
    
12.                         if(!pSubQueue)
    / A& z# F6 G4 R. s
13.                                 break;
    
14. 
    0 {8 g: j( K' F$ q& ^3 q( g  Z
15.                         R_File_Cutted* rp0 = (R_File_Cutted*)(m_RPtrTable[type]);
    
16. 
    
17.                         unsigned int nThisType = *pSubQueue;        // 取出本子类记录的个数
      P: j( `& r! w& S" L% J& L  B
18.                         pSubQueue++;
    
19.                         unsigned int nNotThisType = *pSubQueue;
    
20.                         pSubQueue++;
    
21. 
    7 E& u5 W6 c; w1 L4 `
22.                         // pRecordCutted pRecordShort 指向当前的记录
    $ j6 t  y1 [1 d5 `! ?, y8 t) H9 o
23.                         R_File_Cutted* pRecordCutted=(R_File_Cutted*)(rp0 + (m_SubTypeRangeArray[nSubTypeBitNo].idx - 1));
    
24.                         R_File_Short* pRecordShort = m_pFileShort + (m_SubTypeRangeArray[nSubTypeBitNo].idx - 1);
    
25. 
    
26.                         // 这个循环是由 nThisType 控制的
    & T; h9 ^% f- C3 g2 l, |8 D7 }
27.                         while (true)       
    
28.                         {
    " l" [. Y: n6 ]1 t: L
29.                                 pRecordCutted++;
    . w+ O7 q- r! z# L7 o
30.                                 pRecordShort++;
    
31. 
    % S& q% o+ ~9 S* ~6 I3 o; v
32.                                 // 确保 nThisType 不是0
    
33.                                 if (!nThisType)
    
34.                                 {
    
35.                                         do
    
36.                                         {
    
37.                                                 pRecordCutted += nNotThisType;
    ; X) y) f8 ?2 ~) y% J. _* _
38.                                                 pRecordShort += nNotThisType;
    
39. 
    : b8 _) J; M- e
40.                                                 nThisType = *pSubQueue; pSubQueue++;
    
41.                                                 nNotThisType = *pSubQueue; pSubQueue++;
    
42. 
    
43.                                                 if (!nThisType && !nNotThisType)
    ; J* F8 g, u% c# B
44.                                                 {
    ; F. N$ ]8 y5 j+ ^: ]% t
45. #ifdef _DEBUG
    6 E+ p$ @, A3 _- A0 k
46.                                                         if ((DWORD)(pRecordCutted - rp0) != m_SubTypeRangeArray[nSubTypeBitNo].nash_region_size + m_SubTypeRangeArray[nSubTypeBitNo].idx)
    # q7 q% x2 L( I+ Q9 h7 R; U  G
47.                                                         {
    
48.                                                                 _asm int 3;
    
49.                                                         }
    
50. #endif
    7 {8 T% H* g% @% ?
51.                                                         break;
    * Y4 R# H2 i; g) q. y: W
52.                                                 }
    
53. 
    / C* [" k3 r8 F: v" z3 N: E
54.                                         } while(!nThisType);
    / w) X- A1 o0 T  K  [
55. 
    ' V, {# e. [. K0 q
56.                                         if (!nThisType)
    
57.                                                 break;
    
58.                                 }
    
59.                                 nThisType--;
    
60. 
    ) J' [3 s0 J  E- B$ S7 d# u
61. 
    
62.                                 // 长度大于2的记录，则确认ControlWord后CacheSum比较是否一样
    
63.                                 // 小于2的记录则直接比较 ControlWord
    - x0 c0 |4 a* D# R+ r+ y4 X
64.                                 if(pRecordShort->Len1>2){                                       
    
65.                                         if ( ReadWordPtr(&pRecordShort->ControlWord) != ReadWordPtr((WORD*)(pWorkArea->m_Header + ReadWordPtr(&pRecordShort->Off1))) ) {
    9 Y0 p" l5 C0 g9 u, {
66.                                                 continue;
      m% }7 M% F- D4 D" Z
67.                                         }
    - _+ {" [" J" D- r  U, |5 B! M" M( M
68.                                         else {
    9 g2 q- u* H! m" d/ o3 y: t
69.                                                 AVP_word dwBase = ReadWordPtr(&pRecordShort->ControlWord);
    ! X  T% u$ P+ k1 G6 o6 F5 i
70.                                                 AVP_word dwOff = ReadWordPtr(&pRecordShort->Off1);
    3 D* q, F& ]$ _0 G: i+ H& R
71.                                                 unsigned char *pOffset = pWorkArea->m_Header + ReadWordPtr(&pRecordShort->Off1);
    6 u  ~- r0 @+ T4 O8 g1 O# W
72.                                                 AVP_word dwFile = ReadWordPtr((WORD*)(pWorkArea->m_Header + ReadWordPtr(&pRecordShort->Off1)));                                                                                       
    
73.                                         }                                               
    
74.                                 }
    
75.                                 else switch(pRecordShort->Len1){
    8 o% {2 M! v! N3 R# Y" E
76.                                 case 1:
    % _, x. r9 J, k  x( r
77.                                         if (((BYTE) ReadWordPtr(&pRecordShort->ControlWord)) != *(BYTE*)(pWorkArea->m_Header + ReadWordPtr(&pRecordShort->Off1)) ) continue;
    
78.                                         goto cklnk;
    
79. 
    
80.                                 case 2:
      f, ~7 m) b& [  l# j8 ~: _
81.                                         if (ReadWordPtr(&pRecordShort->ControlWord) != ReadWordPtr((WORD*)(pWorkArea->m_Header + ReadWordPtr(&pRecordShort->Off1))) ) continue;
    7 k7 @& X* p. p/ [1 ~
82.                                         goto cklnk;
    
83. 
    # X! X' Q. D. o: P( T) C$ A& [
84.                                 case 0:
    
85.                                         if ( ReadWordPtr(&pRecordCutted->LinkIdx) == (WORD)(-1)) continue;
    7 k6 i; R, v7 F( E0 ?
86.                                         goto lnk;
    ( d- W7 M! S: {# P+ F
87.                                 }
    ; R1 C' o: Y1 g* y. K3 c+ ?6 ?! n
88. 
    
89.                                 if ( ReadDWordPtr(&pRecordCutted->Sum1) != CacheSum(pWorkArea->m_Header, ReadWordPtr(&pRecordShort->Off1), pRecordShort->Len1)) continue;
    
90. cklnk:
    8 t" t# z4 P( Z
91.                                 // 确认 Sum1 或者 ControlWord 相等后查看是否有 Link,有的话就执行之
    
92.                                 if ( ReadWordPtr(&pRecordCutted->LinkIdx) != (WORD)(-1)) {
    9 M) R6 ?) w, Q9 d/ n/ u* ^' p
93.                                         WORD ret;
    ( ]' }' S1 T! R: s7 [' ]
94. lnk:
    
95.                                         if(pWorkArea->m_pScanObject->SType == OT_MEMORY_FILE) continue;
    6 p- y# |* {% E, G8 L4 I
96. 
    8 I4 [+ E0 r$ d9 p7 J$ U
97.                                         ret = m_LinkTable[type][ReadWordPtr(&pRecordCutted->LinkIdx)].ExecuteEntry(pWorkArea, 0);
    
98.                                         if(ret==0) continue;
    
99.                                         if(ret==R_DETECT) {
    & f: x$ ?" G  g$ w/ z- z5 v' O9 L
100.                                                 goto on;
     . O. z. C6 C7 S( f% G: }/ x& J
101.                                         }
     
102.                                         if(ret!=R_PREDETECT) continue;
     
103.                                 }
     / Y: {+ D  i" V* v% g
104. 
     
105.                                 if ( !pRecordCutted->Len2 )
     
106.                                         continue;
     4 k, @( P* C- M3 Q1 H
107. 
     
108.                                 // 比较 Sum2 是否一样
     # w( W. g0 i6 Y8 X3 T  J& R
109.                                 if ( ReadDWordPtr(&pRecordCutted->Sum2) != CalcSum(pWorkArea->m_Header + ReadWordPtr(&pRecordCutted->Off2), pRecordCutted->Len2) )
     . \) g1 i) {. c' m
110.                                 {
     : O* ?4 {+ U. J2 V9 r, {
111.                                         if ( pRecordShort->Len1 < 8 )
     
112.                                                 continue;
     ( [) n3 \* ]( {! Z2 @& y6 E) x; i
113. 
     ( l8 M: s& C9 Y+ {! D* T7 s8 K; [. v
114.                                         if ( SubType == ST_OLE2 )
     
115.                                                 continue;
     
116. 
     ' _) j' c! D0 |, L
117.                                         if ( (ReadWordPtr(&pRecordCutted->Off2) == (PAGE_C_BEGIN+0x4000) )
     
118.                                                 && (0x00E8 == ReadWordPtr((WORD*)(pWorkArea->m_Header + ReadWordPtr(&pRecordCutted->Off2))) )
     
119. 
     
120.                                                 && !(((WORD (*)(void*, void*))m_pBaseWork->_IsProgram) (pWorkArea->m_Header, pWorkArea->m_lpExt))
     
121.                                                 )continue;
     1 Q/ ?: c& M# Q6 J" V
122. 
     
123.                                         pWorkArea->m_dwRFlags|=RF_WARNING;
     
124.                                         if ( pWorkArea->m_pScanObject->MFlags & MF_ALLWARNINGS)
     ) p% D* [9 m0 z5 f3 {% F1 r7 [
125.                                         {
     ) p; m* x* i% j: u: f4 K
126.                                                 char* wn = pWorkArea->m_pScanObject->pWarningName;
     
127.                                                 pWorkArea->m_pScanObject->pWarningName = (char*)ReadDWordPtr(&pRecordCutted->NameIdx);
     5 i5 g  [/ ?& |
128.                                                 AvpCallback(AVP_CALLBACK_OBJECT_WARNING,(DWORD)pWorkArea->m_pScanObject);
     " J/ ]' F4 t" J7 q2 q( V! b
129.                                                 pWorkArea->m_pScanObject->pWarningName=wn;
     9 y8 ?: `8 o# d( T- ]
130.                                         }
     . _) m( `; o( P+ Z4 B) E
131.                                         if(pRecordShort->Len1>_bdata->WarLen){
     + ^/ s4 q8 J8 s1 W; G
132.                                                 _bdata->WarLen=pRecordShort->Len1;
     
133.                                                 pWorkArea->m_pScanObject->pWarningName=(char*) ReadDWordPtr(&pRecordCutted->NameIdx);
     4 d2 y# P) D; [- R2 _" Y
134.                                         }
     
135.                                         continue;
     
136.                                 }
     * q) k3 w5 s3 O$ V6 G" f
137.                                 else{
     
138.                                         pWorkArea->m_pScanObject->pVirusName = (char*) ReadDWordPtr(&pRecordCutted->NameIdx);
     
139.                                 }
     
140. 
     0 d# q3 n3 Y8 P. w8 x
141. on:
     " j9 O0 m- w+ h6 a( y* @  ~
142.                                 // 此处是已经检测到病毒了，获取病毒名的序号
       \* D& E2 i+ v  P$ M, ?
143.                                 pWorkArea->m_pScanObject->pVirusName = (char*) ReadDWordPtr(&pRecordCutted->NameIdx);
     2 L! s5 C6 \+ {+ m
144. 
     
145.                                 if(callbackRecords&2){
     
146.                                         pWorkArea->m_pCurRecord=pRecordCutted;
     9 s8 G' U% K' K  y1 M$ ^
147.                                         pWorkArea->m_dwCurRecordType=type;
     $ ]$ n0 y7 i( `- A& b. o% k9 v' ~, ?
148.                                         pWorkArea->m_dwCurRecordStatus=2;
     % E  Z( D7 ]8 d9 ]" J
149. 
     
150.                                         AvpCallback(AVP_CALLBACK_WA_RECORD,(DWORD)(pWorkArea));
     
151.                                 }
     
152. 
     
153.                                 if (pRecordCutted && curedata)
     # E, H6 T! z& A  [) t
154.                                         *curedata = GetCureData(pRecordCutted - rp0);
     / x! Q* y+ n" D' L1 @( p
155.                                 return pRecordCutted;
     $ |9 W1 ^1 ?2 `
156.                         }
     
157.                 }
     
158.                 break;
     
159.         case RT_SECTOR:

复制代码

麦田的怪

，忘记分类了。
; C  F# x8 Q+ k9 F# }
- {+ b7 y- K: S6 O& V/ C' {  f呃，我表示忏悔，从第一篇到现在，几近一个月的时间了，每天下班后磨磨唧唧看一点。
6 D. n! R# z. R  R5 f* M# _
$ y+ j) E0 K7 ]  E, ~/ D不过卡巴查毒的代码，似乎我感兴趣的都看完了_GetFirstEntry这种代码源码里也没有，我想逆一下的，似乎功力又不足。

8 l% |, {; W9 D  p' A1 Q有大牛的话，给指点下错误呗。

frozenrain

楼主很有毅力啊，病毒库源码是没有的，貌似早就被老外破解了。