ГЛАВА 1 . РАЗРАБОТКА НЕРЕЗИДЕНТНОЙ ВИРУСНОЙ ПРОГРАММЫ
1.1 Загрузка и выполнение COM - программы
Для того чтобы дальнейшее изложение стало более понятным, следует немного рассказать о действиях MS DOS при запуске программы типа COM. Для запуска программ в системе MS DOS используется специаль-ная функция EXEC . Действия этой функции при запуске COM - программы выглядят так:
1. Запускаемой программе отводится вся свободная в данный момент оперативная память. Сегментная часть начального адреса этой памяти обычно называется начальным сегментом программы.
2. По нулевому смещению в сегменте, определяемом начальным сегментом программы, EXEC строит спе-циальную служебную структуру - так называемый PSP ( Program Segment Prefix ), в котором содержится информация,необходимая для правильной работы программы. Заполняет PSP операционная система (ОС), а его размер всегда равен 100h (256) байт.
3. Сразу вслед за PSP загружается сама COM - программа.
4. EXEC выполняет настройку регистров процессора. При этом устанавливаются такие значения :CS = DS= = SS=ES указывают на начальный сегмент программы, регистр IP инициализируется числом 100h, а регистр SP - числом 0fffeh .
5. Теперь загруженную COM - программу можно исполнить. Для этого EXEC передает управление по адре- су CS : 100h.После завершения программы управление передается обратно в EXEC, а оттуда программе-предку .
Таким образом, по адресу CS: 100h обязательно должна стоять первая исполняемая команда. Чаще всего это команда перехода, но допустимо использовать и другие. Следует также напомнить, что в MS DOS размер COM - файла не может превышать 64 Кбайт. В самом деле, ведь COM - формат предполагает размещение про-граммных кодов, данных и стека в одном сегменте оперативной памяти. А размер сегмента как раз и ограни-чен 64 Кбайтами.
1.2 Как вирус может заразить COM - файл
Под заражением понимают присоединение вирусом своего кода к файлу. При этом вирус должен так моди-фицировать заражаемый файл, чтобы получить управление при его запуске. Существует несколько методов заражения COM - программ. Вирусный код может записываться в конец, начало и даже в середину файла. Ка-ждый из этих способов имеет свои достоинства и недостатки. Мы же рассмотрим запись вирусного кода в ко-нец файла. Такой прием используется в подавляющем большинстве вирусов, и обеспечивает хорошие резуль-таты при сравнительно простой реализации. Итак, вирус записывает свой код в конец файла. Для того,чтобы при старте этот код получил управление и начал выполняться, во время заражения программа несколько мо-дифицируется. С этой целью используется трехбайтовая команда прямого ближнего перехода. Вирус запи-сывает эту команду вместо первых трех байт заражаемого файла, а исходные три байта сохраняет в своей области данных. Теперь при запуске зараженной программы код вируса всегда будет выполняться первым.
1.3 Работа вируса в зараженной программе
Получив управление при старте зараженной программы, вирус выполняет следующие действия:
1. Восстанавливает в памяти компьютера исходные три байтa этой программы.