【文章內(nèi)容簡介】 EXEC）來完成的。利用 序解釋用戶輸入的命令并執(zhí)行之，三種用戶命令：內(nèi)部命令、外部命令和批處理文件。 (1) COMMAND處理命令的過程 當(dāng) DOS系統(tǒng)啟動或系統(tǒng)復(fù)位后，屏幕上出現(xiàn) DOS提示符表明，等待用戶輸入命令。 下： ① 首先判斷用戶輸入的命令是否正確。如果是內(nèi)部命令，則轉(zhuǎn)去執(zhí)行 COMMAND暫駐區(qū)的相應(yīng)過程，執(zhí)行結(jié)束返回到 DOS提示符，否則判斷是否為當(dāng)前目錄； ② 如果當(dāng)前執(zhí)行的命令不在當(dāng)前目錄下，則執(zhí)行PATH命令搜索指定的目錄，找到后判斷要執(zhí)行的是 .COM類或 .EXE類命令。如果是在當(dāng)前目錄下則不要搜索目錄，直接判斷是 .COM還是 .EXE命令。 ③ 如果在搜索過程中，在指定目錄下未找到 .COM文件或 .EXE文件，再判斷是否為批文件。如果三類文件都不是時，顯示提示信息 :Bad Command or filename。 ④ 若找到一個批處理文件，則轉(zhuǎn)入 COMMAND暫駐區(qū)的批處理程序，解釋執(zhí)行該批文件中每條命令。 ⑤ 當(dāng)搜索到一個 .COM或 .EXE文件時，COMMAND便調(diào)用 EXEC子功能加載該文件并予以執(zhí)行。 ⑥ 當(dāng)一個外部命令執(zhí)行時，它幾乎控制系統(tǒng)的全部資源。執(zhí)行完畢后調(diào)用 DOS結(jié)束功能，或釋放所有內(nèi)存，或程序駐留。然后再返回到 DOS的提示符狀態(tài)。 (2) EXE文件的加載 由 LINK連接程序生成的 .EXE型文件是以特殊結(jié)構(gòu)存貯在磁盤上。 當(dāng)它被 EXEC子功能加載時，除了要設(shè)置程序前綴PSP外，還要依據(jù)一個“文件頭”指出的若干信息進(jìn)行段重定位，同時，對各個內(nèi)部寄存器也賦以初始化值，最后從 DOS系統(tǒng)中接過控制權(quán)執(zhí)行程序。在 .EXE文件的程序終止退回到 DOS時，其所占的內(nèi)存空間將全部釋放，除非要求駐留內(nèi)存才釋放部分空間。 由于 .EXE文件的這種特殊結(jié)構(gòu)，連接程序 LINK根據(jù)被連接的目標(biāo)模塊的不同，連接參數(shù)要相應(yīng)地生成一個“重定位信息表”，并將其安裝在程序的前頭，所以稱“重定位信息表”為“文件頭”。文件頭的大小依程序加載的段的指令條數(shù)而變化，通常是 512字節(jié)的整倍數(shù)。 文件頭內(nèi)的重定位表里放著所有需要重定位的地址，除此之外，文件頭內(nèi)還有許多信息供 DOS在裝入過程中使用，通過這些信息可以直接或間接得到以下內(nèi)容： EXE文件標(biāo)志位，文件總長度，所需內(nèi)存大小，堆棧起始地址等重要信息。 (3) COM文件的加載 COM文件長度被限制為64KB的一個段長，因此就不存在段重定位過程，也沒有文件頭，文件的結(jié)構(gòu)緊湊，裝入的速度快。一個 .COM文件具有如下結(jié)構(gòu)特點： ① 該程序只能設(shè)置一個段，且不準(zhǔn)建立堆棧段 。 ② 該程序的長度小于 64KB。 ③ 該程序必須預(yù)留 100H空間，且在位移 100H處是一條可執(zhí)行指令 。 ④ 該程序被加載的起始標(biāo)號必須由 END語句說明為開始地址 。 若 .COM文件是由幾個不同的目標(biāo)模塊連接生成的，則要求所有目標(biāo)模塊必須具有同一代碼段名和類別名 (CLASS)， 且賦予公共屬性，而主模塊應(yīng)具有 100H的入口指針并優(yōu)先連接 。 ⑤ 該程序中的子程序必須具有近過程屬性 (NEAR)。 COM文件的加載過程是這樣的。通常，一個 .COM文件的內(nèi)存映象存于磁盤上，它不附加任何定位信息，因此，只需要在當(dāng)前可用內(nèi)存空間的最低端建立一個相應(yīng)的程序段前綴 PSP， 然后緊靠 PSP的上方將 .COM文件裝入，并把控制裝到 PSP+100H處，即可通過 EXEC子功能加載 .COM文件。這就說明了 .COM文件的結(jié)構(gòu)為何要留 100H空間并在位移100H處必須有一條可執(zhí)行指令。 6. DOS的中斷系統(tǒng) 盡管病毒種類繁多、形式各異，但是它們大多數(shù)都是通過修改中斷向量來達(dá)到繁殖和傳染目的的。因此有必要對 DOS的中斷系統(tǒng)做一個大概的了解。 中斷是指計算機的 CPU在執(zhí)行程序的過程中，由于某種原因，暫時停止正在執(zhí)行的程序，轉(zhuǎn)去執(zhí)行臨時發(fā)生的事件，即執(zhí)行中斷服務(wù)程序，中斷服務(wù)程序執(zhí)行結(jié)束，再轉(zhuǎn)回去執(zhí)行正常的程序。 (1) 常見的中斷原因有：用戶希望的請求，如從某個設(shè)備上輸入或輸出；未預(yù)料的各種錯誤，如在計算過程中出現(xiàn)溢出等。 DOS的中斷可分為 3種類型：來自外部硬件的外中斷、來自內(nèi)部硬件的內(nèi)中斷和來自中斷指令的軟中斷 。 DOS 的軟中斷包括幾大類，這些中斷可供系統(tǒng)和應(yīng)用程序調(diào)用。它們是： ① 程序結(jié)束中斷 ② Ctrl+C中止中斷 ③ 嚴(yán)重錯誤處理中斷 ④ 絕對磁盤讀寫中斷 ⑤ 系統(tǒng)功能調(diào)用 ⑥ 假脫機打印處理 (2) 中斷向量表 為了提高響應(yīng)中斷的速度， PC機采用向量中斷的處理形式，即對應(yīng)每一中斷類型在特定位置上放置一個中斷向量，該向量是中斷服務(wù)程序的入口地址。這樣，所有的中斷就組成了一張中斷向量表。 在 PC機中，最多允許有 256級中斷，由于中斷調(diào)用通常都是段間的調(diào)用，因此一個中斷向量包括 4個字節(jié)(段地址：偏移量 )。這樣， 256級中斷占用了 1KB空間，位置在內(nèi)存的最低端，即 0~3FFH。 中斷向量表是中斷類型號和相應(yīng)的中斷處理子程序入口地址之間的連接表。中斷向量表占用內(nèi)存的 0000：0000H到 0000： 03FFH之間的 1KB地址空間。中斷向量共有 256個。在這些中斷中，系統(tǒng)規(guī)定： 0~4號中斷是 CPU專用中斷； 8~0FH是 8級硬中斷； 5號中斷和 10H~1AH中斷是基本外部設(shè)備的 I/O驅(qū)動程序和BIOS中調(diào)用的有關(guān)程序； 1BH、 1CH中斷由用戶設(shè)定； 1DH~1FH是三個數(shù)據(jù)區(qū)； 20H~3FH中斷由 DOS系統(tǒng)調(diào)用； 40H以后的中斷類型由用戶程序使用，其中一些中斷號被操作系統(tǒng)保留使用。 (3) 中斷響應(yīng)過程 CPU在取得中斷信息后，通常要做幾項工作：保護(hù)斷點現(xiàn)場以便處理完中斷程序后準(zhǔn)確地返回到被中斷處，繼續(xù)執(zhí)行原來的程序；根據(jù)中斷類型號由中斷向量表中取得中斷處理程序入口地址；運行中斷處理程序；處理完中斷子程序后，恢復(fù)中斷時的現(xiàn)場環(huán)境，繼續(xù)執(zhí)行原來被中斷的程序。 (4) 計算機病毒經(jīng)常使用的中斷 多數(shù)病毒經(jīng)常使用磁盤服務(wù)中斷和時鐘中斷。 ① INT 13H是 ROMBIOS軟中斷。該中斷的向量地址為 0000： 004CH~0000： 004FH。 在中斷處理程序的入口處測試 DL。 若 DL值小于 80H， 則對軟盤操作，若大于或等于 80H， 則對硬盤操作，具體功能號放置在 AH中。病毒常利用的功能是與此相關(guān)的幾個參數(shù)： AH： 功能號， AH=02時讀磁盤； AH=03時寫磁盤； AH： 讀 /寫扇區(qū)數(shù)（軟盤 =8，硬盤 =128）； DH： 磁頭號（軟盤 0~1，硬盤 0~7）； DL： 驅(qū)動器號（軟盤 0~1，硬盤 80~81H）； CH： 扇區(qū)號；（軟盤 1~9，硬盤 1~17）； ES： BX： 讀 /寫緩沖區(qū)地址。 ② INT 25H、 INT 26H磁盤邏輯扇區(qū)讀 /寫中斷，是專門用來對磁盤扇區(qū)進(jìn)行絕對讀 /寫操作的兩個中斷。 ③ INT 1CH間隔時鐘中斷是一個偽中斷，其服務(wù)程序僅有 IRET（ 中斷返回）一條指令。該中斷由定時器在修正、日歷計數(shù)后，每 55ms調(diào)用一次。利用 INT 1CH這個特性，可以修改其中斷向量指向用戶進(jìn)程而使用戶進(jìn)程每 55ms被調(diào)用一次。 ④ INT 8H時鐘中斷是 ROMBIOS硬中斷，其向量地址為 0000： 0020H~0000： 0023H。 該中斷處理來自系統(tǒng)時鐘 8253通道 0的中斷。每秒鐘發(fā)出，每次間隔時間約 55ms。 每中斷一次，日歷計數(shù)低位加 1。中斷 65535次正好是 1小時，當(dāng)計滿 24小時后，時鐘數(shù)據(jù)被置 0重新計數(shù)。計算機病毒程序經(jīng)常利用 INT 8H每隔 55ms中斷一次的特點將病毒程序的表現(xiàn)部分引入到 INT 8H服務(wù)程序之前，使之在滿足條件時連續(xù)執(zhí)行。 ⑤ INT 10H屏幕顯示中斷，向量地址為 0000：0040H~0000： 0043H。 該中斷提供有關(guān)屏幕顯示方式選擇、光標(biāo)控制、圖形滾動和設(shè)置字符屬性等 20個子程序。這些子程序通過設(shè)置 AH調(diào)用號來調(diào)用。許多病毒程序都是通過 INT 10H來達(dá)到顯示的目的。如“雨點”病毒，大量調(diào)用 INT 10H， 使屏幕上的 ASCII字符像雨點樣紛紛下落，形成“雨點”。 ⑥ INT 20H程序正常結(jié)束中斷是 DOS軟中斷，其向量地址為 0000： 0080~0000： 0083。病毒程序通過修改 INT 24H中斷向量設(shè)置新的錯誤程序：如“黑色星期五”等病毒在向可執(zhí)行文件傳染病毒時，首先將系統(tǒng)的 INT 24H中斷屏蔽起來，不顯示此時的讀寫操作中的任何錯誤信息，以使病毒的傳播過程隱蔽。 ⑦ INT 21H系統(tǒng)功能調(diào)用中斷是一個功能眾多、使用方便的系統(tǒng)服務(wù)程序，它提供了 0~63H共 84個子功能程序，是操作系統(tǒng)的內(nèi)核模塊。其中部分功能有：字符輸入輸出、日期和時間、內(nèi)存分配、網(wǎng)絡(luò)功能調(diào)用、讀取設(shè)置中斷向量、文件操作、磁盤控制等。 計算機病毒充分利用了中斷程序的強大功能調(diào)用，以達(dá)到其各種目的，所以對中斷知識的了解和熟練掌握是分析判斷病毒存在與否的重要途徑。 常見 DOS病毒分析 1. 引導(dǎo)記錄病毒 并不一定是只有可引導(dǎo)的磁盤才能傳播引導(dǎo)記錄病毒，所有軟盤在格式化期間都創(chuàng)建了引導(dǎo)記錄程序。如果一個磁盤有引導(dǎo)記錄病毒，當(dāng)計算機要從這個軟盤或硬盤引導(dǎo)時，病毒就被激活。甚至計算機不能從感染的磁盤啟動時，它也運行自舉例程，這正是病毒激活所需要的。就像駐留程序一樣，大多數(shù)引導(dǎo)記錄病毒在內(nèi)存中要安裝自己，并且把自己掛到計算機的 BIOS和操作系統(tǒng)提供的各種系統(tǒng)服務(wù)中。只要計算機是開著的，病毒在內(nèi)存中就在活動，就可以通過感染訪問計算機的軟盤來不斷傳播。 (1) 軟引導(dǎo)記錄病毒 寄生在軟盤引導(dǎo)記錄的病毒稱為軟引導(dǎo)記錄病毒。 該病毒除了可以感染軟盤引導(dǎo)記錄外，還可以感染硬盤的主引導(dǎo)區(qū)或活動分區(qū)引導(dǎo)記錄。軟盤作為病毒的載體，使病毒能夠從一個硬盤傳播到另一個硬盤。在病毒把它自己放到硬盤上之后，又不可避免地感染其他的軟盤。 軟引導(dǎo)記錄病毒在系統(tǒng)重置期間獲取計算機的控制。在啟動過程中，大多數(shù) PC的 BIOS 都要確定軟驅(qū)中是否有軟盤以及計算機是否可以從這個軟盤中配置引導(dǎo)。如果 BIOS在驅(qū)動器中找到軟盤，它就認(rèn)定用戶想要從這個盤引導(dǎo)。在它定位磁盤后，BIOS就會把軟引導(dǎo)記錄裝入計算機內(nèi)存，并執(zhí)行自舉例程。 在染毒的軟盤中， BIOS裝入引導(dǎo)記錄是經(jīng)過病毒感染的自舉例程，而不是正常的自舉例程。在引導(dǎo)期間， BIOS把對計算機的控制完全給予病毒程序而不是正常的自舉程序。當(dāng)控制傳給病毒之后，它就會得到對計算機上所有資源獨有的訪問權(quán)；如果在軟盤上有操作系統(tǒng)的話，就不會被裝入，也不會防止病毒的行為。大多數(shù)軟引導(dǎo)記錄病毒在引導(dǎo)過程中要把自己作為內(nèi)存駐留程序裝入，通過這種方式，病毒就可以在計算機操作期間監(jiān)視所有磁盤請求，并且任意感染其他軟盤。 所有 PC都包含一塊保留的內(nèi)存區(qū)域，稱為 BIOS數(shù)據(jù)區(qū)域（ BDA）。 在控制傳送給自舉例程之前， BIOS引導(dǎo)程序會使有關(guān)配置的信息和計算機的初始狀態(tài)更新 BDA。DOS 依賴于存儲在 BDA內(nèi)存中的信息正確地使用計算機的內(nèi)存和外設(shè)。幾乎所有的軟引導(dǎo)記錄病毒都利用 DOS對 BDA的依賴性，更新它的內(nèi)容以把自己安裝到內(nèi)存中。對于引導(dǎo)記錄病毒，DOS中最重要的域是“ Total Memory in kilobytes”域，它指定操作系統(tǒng)可以使用多少常規(guī)內(nèi)存，通常是 640KB。 使用這個域確定有多少內(nèi)存可以安全地分配給自己和 DOS 應(yīng)用程序。 軟引導(dǎo)記錄病毒通過減少這個域中的數(shù)值為它自己在內(nèi)存中的例程和數(shù)據(jù)保留空間。例如，病毒要為它自己保留 2KB內(nèi)存，就把這個數(shù)字減少到638。 當(dāng) DOS裝入時，就會發(fā)現(xiàn)只有 638KB可供使用，并且不會讀取、修改或更新最后幾 KB內(nèi)存。然后病毒就可以使用這塊內(nèi)存，而不用擔(dān)心被破壞。在病毒通過更新 BDA為它自己保留了內(nèi)存之后，它把自己移到新保存的內(nèi)存中，并且試圖掛到直接磁盤系統(tǒng)服務(wù)中。計算機的 ROMBIOS中包含磁盤服務(wù)例程，DOS通過調(diào)用這些例程從軟盤或硬盤讀取數(shù)據(jù)。DOS對這些服務(wù)的依賴為病毒的激活和感染其他磁盤提供了簡單、方便的方法。當(dāng)操作需要請求一個服務(wù)時，它就會在中斷向量表 INT中查找服務(wù)提供者的地址，然后確定把它的請求發(fā)送到哪里。病毒通知操作系統(tǒng)它現(xiàn)在是 ROM BIOS磁盤服務(wù)提供者的代理。所有向計算機磁盤讀寫請求都發(fā)送給病毒，而不是原來的 ROM BIOS 磁盤服務(wù)。以后當(dāng)操作系統(tǒng)發(fā)出一項系統(tǒng)服務(wù)請求時，先查找 INT， 接下來病毒檢查請求，如果是它所需要的，就感染被訪問的軟盤。 當(dāng)病毒完成破壞之后，再把請求重定向給原來的ROM BIOS服務(wù)，以完成正確的服務(wù)。 當(dāng)病毒更新 INT并把自己作為磁盤服務(wù)提供者之后，大多數(shù)軟引導(dǎo)記錄病毒要確定計算機上是否帶有硬盤，如果帶有硬盤，病毒就會試圖感染硬盤的主引導(dǎo)記錄或活動分區(qū)引導(dǎo)記錄。這樣，當(dāng)計算機下次通過硬盤重