cih.txt

大家都很讨厌CIH 病毒

　　　　　　　　mov　bl,byte　ptr　SectorSize　;扇区大小保存在bl寄存器中　　　　　　　　　　　　　　　　　　　　　 
　　　　　　　　int　HookExceptionNo　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 
　　　　　　　　pop　ebx　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 
　　　　　　　　;恢复原先的中断入口地址　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 
　　　　　　　　push　ecx　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 
　　　　　　　　mov　ecx,dword　ptr　OldExceptionHook　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 
　　　　　　　　mov　word　ptr　[eax-04h],cx　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 
　　　　　　　　shr　ecx,10h　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 
　　　　　　　　mov　word　ptr　[eax+02h],cx　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 
　　　　　　　　pop　ecx　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 
　　　　　　　　;修改扇区大小过程结束　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 
　　　　　　　　sti　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 
　　　　　　　　pop　eax　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 
　　　　　　　　ret　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 
ChangeSectorSize　ENDP　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 
;新的中断处理程序　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 
NewExceptionHook　PROC　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 
　　　　　　　　push　eax　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 
　　　　　　　　push　ebx　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 
　　　　　　　　push　ecx　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 
　　　　　　　　push　edx　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 
　　　　　　　　push　esi　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 
　　　　　　　　;修改扇区大小　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 
　　　　　　　　push　dword　ptr　00000000h　;必须为0　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 
　　　　　　　　push　dword　ptr　00000001h　;字节数　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 
　　　　　　　　push　dword　ptr　00000525h　;物理地址0000:0525　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 
　　　　　　　　int　20h　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 
　　　　　　　　dd　0001006ch　;以上两条指令相当于　VMMCall　_MapPhysToLinear　　　　　　　　　　　　　　　　 
　　　　　　　　pop　esi　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 
　　　　　　　　pop　esi　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 
　　　　　　　　pop　esi　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 
　　　　　　　　mov　byte　ptr　[eax],bl　;修改扇区大小　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 
　　　　　　　　;中断处理程序结束　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 
　　　　　　　　pop　esi　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 
　　　　　　　　pop　edx　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 
　　　　　　　　pop　ecx　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 
　　　　　　　　pop　ebx　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 
　　　　　　　　pop　eax　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 
　　　　　　　　iretd　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 
NewExceptionHook　ENDP　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 
end　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 
　　　　　　　　pop　ecx　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 
　　　　　　　　pop　ebx　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 
　　　　　　　　pop　eax　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 
　　　　　　　　iretd　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 
NewExceptionHook　ENDP　　　　　　　　　　　　　　　　　　　　　　　　end　　　　 
　　　　 
　　　　本过程可以被C语言调用，编译方法：ml　/c　/coff　w95enc.asm。请用MASM　6.11以上版本编译，不需要DDK。将编译生成的OBJ文件插入VC的工程中，并在VC程序中写上函数原型说明，就可以调用了。