Как вирус может заразить COM - файл

Загрузка и выполнение COM - программы

Для того, чтобы дальнейшее изложение стало более понятным, следует немного рассказать о действиях MS DOS при запуске программы типа COM. Для запуска программ в системе MS DOS используется специальная функция EXEC. Действия этой функции при запуске COM - программы выглядят так:

1. Запускаемой программе отводится вся свободная в данный момент оперативная память. Сегментная часть начального адреса этой памяти обычно называется начальным сегментом программы.
2. По нулевому смещению в сегменте, определяемом начальным сегментом программы, EXEC строит специальную служебную структуру - так называемый PSP (Program Segment Prefix), в котором содержится информация,необходимая для правильной работы программы. Заполняет PSP операционная система (ОС), а его размер всегда равен 100h (256) байт.
3. Сразу вслед за PSP загружается сама COM - программа.
4. EXEC выполняет настройку регистров процессора. При этом устанавливаются такие значения: CS = DS = SS = ES указывают на начальный сегмент программы, регистр IP инициализируется числом 100h, а регистр SP - числом 0fffeh.
5. Теперь загруженную COM - программу можно исполнить. Для этого EXEC передает управление по адресу CS: 100h. После завершения программы управление передается обратно в EXEC, а оттуда программе - предку.

Таким образом,по адресу CS: 100h обязательно должна стоять первая исполняемая команда. Чаще всего это команда перехода, но допустимо использовать и другие. Следует также напомнить, что в MS DOS размер COM - файла не может превышать 64 Кбайт. В самом деле, ведь COM - формат предполагает размещение программных кодов, данных и стека в одном сегменте оперативной памяти. А размер сегмента как раз и ограничен 64 Кбайтами.

Под заражением понимают присоединение вирусом своего кода к файлу. При этом вирус должен так модифицировать заражаемый файл, чтобы получить управление при его запуске. Существует несколько методов заражения COM - программ. Вирусный код может записываться в конец, начало и даже в середину файла.Каждый из этих способов имеет свои достоинства и недостатки. Мы же рассмотрим запись вирусного кода в конец файла. Такой прием используется в подавляющем большинстве вирусов, и обеспечивает хорошие результаты при сравнительно простой реализации.

Итак, вирус записывает свой код в конец файла. Для того,чтобы при старте этот код получил управление и начал выполняться, во время заражения программа несколько модифицируется.

С этой целью используется трехбайтовая команда прямого ближнего перехода. Вирус записывает эту команду вместо первых трех байт заражаемого файла, а исходные три байта сохраняет в своей области данных. Теперь при запуске зараженной программы код вируса всегда будет выполняться первым.

Дата добавления: 2014-11-20