【硬核逆向】混合型病毒核心原理深度拆解双中断适配技术与完整传染发作流程全景解析 核心摘要在计算机病毒的进化史上混合型病毒Multipartite/Hybrid Virus是一座难以逾越的技术丰碑。它并非引导型与文件型病毒的简单拼凑而是通过精妙的双中断适配技术解决了 BIOS 阶段INT 13H与 DOS 阶段INT 21H之间的环境割裂难题。本文将从底层汇编视角出发结合内存模型、中断向量表IVT机制及实战代码片段万字长文深度剖析混合型病毒的核心原理、双中断无缝衔接艺术以及完整的传染发作流程。无论你是安全研究员、逆向工程师还是操作系统爱好者这篇文章都将带你重温那段“刀尖起舞”的代码岁月。 目录导航引言为什么混合型病毒是“病毒之王”基石回顾INT 13H 与 INT 21H 的“楚河汉界”核心难点为何不能简单线性叠加灵魂技术双中断适配与无缝衔接机制全景复盘完整传染发作流程图级解析实战代码从驻留到挂钩的汇编实现经典案例One_Half 与 CIH 的混合基因攻防博弈检测、清除与常见误区现代启示从 DOS 混合病毒到 UEFI BootkitFAQ 与扩展阅读1. 引言为什么混合型病毒是“病毒之王”在计算机安全的教科书中病毒通常被分为引导型、文件型和混合型三类。前两者各有千秋但也各有短板引导型病毒启动即获权但无法感知文件系统传播依赖物理介质交换。文件型病毒传播速度快但依赖宿主运行重启后若未感染系统文件则可能失效。而混合型病毒则是集大成者。它既能感染磁盘引导区MBR/Boot Sector又能感染可执行文件EXE/COM。这种“双重人格”使其具备了极强的生存能力和传播效率。小贴士很多初学者认为混合型病毒就是“引导型代码 文件型代码”复制粘贴在一起。这是最大的误解真正的技术瓶颈在于两个截然不同的运行环境之间的状态同步与控制权交接。这正是本文要重点攻克的“双中断适配技术”。2. 基石回顾INT 13H 与 INT 21H 的“楚河汉界”要理解混合型病毒的痛苦与伟大必须先理解 x86 PC 启动过程中的“环境断层”。2.1 BIOS 阶段INT 13H 的天下当计算机加电自检POST完成后BIOS 将 MBR 读入内存0000:7C00并跳转执行。此时CPU 模式实模式Real Mode可用服务仅有 BIOS 中断INT 10H~1AH磁盘访问只能使用INT 13H直接磁盘服务文件系统不存在。DOS 尚未加载没有 FAT 表概念只有柱面、磁头、扇区CHS。; INT 13H AH02H 读扇区示例 MOV AH, 02H ; 功能号读 MOV AL, 1 ; 读取1个扇区 MOV CH, 0 ; 0柱面 MOV CL, 1 ; 1扇区 MOV DH, 0 ; 0磁头 MOV DL, 80H ; 第一块硬盘 MOV BX, 7C00H ; 缓冲区 INT 13H2.2 DOS 阶段INT 21H 的主场随着 IO.SYS 和 MSDOS.SYS 的加载DOS 内核初始化完毕。此时文件系统FAT12/16/32 已就绪支持路径、文件名、句柄。磁盘访问必须使用INT 21HDOS 系统调用。虽然 INT 13H 仍可用但绕过 DOS 缓存直接写扇区会导致文件系统元数据不一致极易引发崩溃。内存管理DOS 建立了 MCB 链应用程序需通过 INT 21H 申请内存。⚠️注意这就是混合型病毒面临的“地狱级”挑战——它的身体代码必须在 BIOS 阶段出生却要在 DOS 阶段存活并繁衍。3. 核心难点为何不能简单线性叠加如果直接把引导型病毒代码和文件型病毒代码拼接会发生什么3.1 致命的环境冲突冲突点BIOS 阶段DOS 阶段后果INT 21H 向量指向 ROM 中无效/默认处理指向 DOS 内核有效处理在 BIOS 阶段调用 INT 21H →死机内存布局自由使用低地址DOS 占用低地址APP 在高地址病毒驻留位置可能被 DOS 覆盖磁盘操作CHS 寻址逻辑扇区/文件句柄混用导致数据损坏堆栈环境BIOS 设置的小堆栈DOS 为每个程序分配独立堆栈堆栈溢出或破坏系统数据3.2 时序的不确定性DOS 的加载不是一瞬间完成的而是一个过程IBMBIO.COM 加载 → 硬件初始化IBMDOS.COM 加载 →INT 21H 初始化CONFIG.SYS 处理 → 驱动加载COMMAND.COM 加载 → Shell 就绪病毒在 BIOS 阶段驻留时根本无法预知 INT 21H 何时可用。这个时间窗口是不确定的取决于机器速度、CONFIG.SYS 配置、加载的驱动数量等。核心要点混合型病毒的核心技术含量全在于如何优雅地跨越这个“不确定性窗口”实现从 INT 13H 到 INT 21H 的自适应切换。4. 灵魂技术双中断适配与无缝衔接机制这是本文最核心的章节。我们将揭秘混合型病毒是如何解决上述难题的。4.1 总体设计思想分阶段生命周期成熟的混合型病毒不会试图在一个模块里搞定一切而是采用模块化分阶段设计INT 13HHook INT 13H定期轮询NoYesINT 21HINT 13H共享状态MBR/引导扇区代码内存驻留模块监视器模块INT 21H 就绪?安装 INT 21H Hook文件感染引擎引导区感染引擎4.2 关键技术一INT 21H 就绪探测既然不知道 INT 21H 何时就绪那就主动探测。 探测策略对比策略原理优点缺点INT 21H 自钩子先占坑 INT 21H等 DOS 覆盖后再链回去简单可能导致 DOS 加载失败INT 13H 监听在 INT 13H 中检测 DOS 加载特征可靠触发频率不可控时钟中断(INT 8)监听每秒 18.2 次轮询 INT 21H 向量最常用、最稳定占用少量 CPU键盘中断(INT 9)监听按键时检测隐蔽用户不按键就永远不切换✅最佳实践绝大多数经典混合型病毒如 One_Half、Flip采用INT 8H时钟中断轮询法。因为时钟中断由硬件定时器触发与用户操作无关且频率适中18.2Hz既能及时响应又不至于过度消耗性能。 如何判断 INT 21H 已就绪仅仅检查 INT 21H 向量是否改变是不够的DOS 加载过程中可能多次修改。可靠的判断方法包括段地址范围检查DOS 内核通常加载在特定内存区域检查 INT 21H 的段地址是否落在合理范围内非 ROM 区、非 IVT 区。功能调用测试尝试调用一个无害的 INT 21H 子功能如AH30H获取版本号检查返回值是否合理。DOS 内部标志检查直接读取 DOS 数据区如0050:0000处的 DOS 版本标志或 INDOS 标志。; INT 8H 中的 INT 21H 就绪探测代码 CheckInt21Ready: push es push ax xor ax, ax mov es, ax mov ax, es:[21h*42] ; 取 INT 21H 段地址 ; 排除 ROM 区域 (F000-FFFF) cmp ax, 0F000h jae NotReady ; 排除零页和 IVT 区域 test ax, ax jz NotReady ; 可选进一步验证 DOS 数据结构 ; ... ; ✅ 确认就绪执行切换 call InstallInt21Hook mov byte [cs:Int21Installed], 1 NotReady: pop ax pop es ret4.3 关键技术二无中断依赖的监视模块安置原文关键点“将这个模块添加到一个不使用中断调用的地方”这句话是理解混合型病毒架构的精髓。为什么强调“不使用中断调用”因为在 BIOS 阶段向 DOS 阶段过渡的过程中许多中断处于半初始化状态。如果监视模块自身依赖了某个尚未就绪的中断就会导致系统崩溃。✅正确做法将监视逻辑嵌入到硬件中断INT 8/INT 9的处理链中因为这些中断由硬件直接触发不依赖软件服务。监视模块内部仅使用寄存器操作和内存读写绝不调用任何 BIOS 或 DOS 软中断。使用PUSH/POP严格保存所有寄存器确保对原中断处理程序完全透明。⚠️常见误区在监视模块中调用INT 10H显示调试信息。这在 DOS 加载过程中极大概率导致花屏或死锁因为视频 BIOS 可能与 DOS 的显示驱动正在争夺控制权。4.4 关键技术三双中断协同与状态共享一旦 INT 21H Hook 安装成功病毒就拥有了“双手”左手INT 13H负责引导区感染、原始扇区读写、隐蔽还原。右手INT 21H负责文件搜索、打开、感染、执行拦截。两者需要通过共享数据区进行协调┌─────────────────────────────┐ │ 病毒共享数据区 │ │ · InfectionCount (感染计数) │ │ · TriggerCondition (触发条件)│ │ · StealthMode (隐蔽开关) │ │ · OriginalMBR (原始MBR备份)│ │ · PayloadFlag (发作标志) │ └─────────────────────────────┘ ↑ ↑ INT 13H Handler INT 21H Handler小贴士为了防止重入和递归高级混合型病毒会在共享数据区设置“忙标志”Busy Flag。当 INT 21H 处理文件感染时需要调用 INT 13H 读写扇区必须先检查该标志避免陷入无限循环。5. 全景复盘完整传染发作流程图级解析基于用户提供的核心流程我们将其细化为工程级的执行序列。5.1 宏观流程图[运行带毒程序] │ ▼ [HOST 病毒载入内存] │ ▼ HOST 正常退出? ──── N ──→ [HOST异常终止/被杀] │ │ Y ▼ ▼ [文件大小膨胀] [病毒TSR驻留] [用户察觉异常] │ ├─→ [感染自身BOOT区] (INT 13H) ├─→ [传染内存中其他模块] └─→ [Hook INT 13H INT 21H] │ ▼ 时机成熟? ──── N ──→ [继续潜伏/传播] │ Y ▼ [执行发作载荷] (破坏/展示/加密)5.2 微观执行序列详解阶段 1激活与重定位当用户双击一个被感染的 EXE 文件DOS 将文件加载到内存由于病毒代码位于文件头部或尾部它随宿主一同载入。病毒首先执行重定位代码Delta Offset Calculation因为每次感染后病毒在文件中的偏移不同必须动态计算变量地址。保存宿主程序的原始入口点CS:IP/SS:SP。阶段 2分支判断——HOST 退出的两种命运这是混合型病毒区别于普通文件病毒的关键逻辑✅ 情况 AHOST 正常退出Y 分支病毒在 HOST 的退出处理程序或通过 Hook INT 21H AH4Ch中截获控制权。执行 TSR 驻留修改 MCB 链或使用 INT 21H AH31h 保留内存。立即行动检查当前系统盘 MBR 是否已感染未感染则用 INT 13H 写入。安装 INT 13H Hook用于后续引导区传播。安装 INT 8H 监视器等待 INT 21H 就绪。结果病毒成功扎根即使宿主程序结束病毒依然活跃。❌ 情况 BHOST 未正常退出N 分支可能原因杀毒软件拦截、用户 CtrlC、程序崩溃。病毒未能完成完整的驻留流程。副作用由于病毒代码已写入文件但可能未完成清理或还原导致文件大小异常膨胀。风险这是混合型病毒最容易暴露的时刻。经验丰富的管理员看到 EXE 文件莫名变大第一反应就是查毒。阶段 3潜伏与触发传播循环INT 21H Hook 拦截文件操作 → 感染新文件INT 13H Hook 拦截磁盘 I/O → 感染新磁盘。触发判定每次中断返回前检查计数器/日期/事件标志。发作满足条件后不再返回原中断处理程序直接跳转到 Payload 代码。6. 实战代码从驻留到挂钩的汇编实现以下代码展示了混合型病毒中最关键的“INT 8H 监视 INT 21H 动态挂钩”核心逻辑仅供安全研究请勿用于非法用途。6.1 完整的监视与切换模块; ; 混合型病毒核心INT 8H 监视器 INT 21H 动态安装 ; 运行环境BIOS 阶段驻留后在 DOS 加载过程中自动激活 ; ; --- 数据区 --- OldInt8 DD 0 ; 原始 INT 8 入口 OldInt21 DD 0 ; 原始 INT 21 入口 Int21Ready DB 0 ; INT 21H 就绪标志 VirusSeg DW 0 ; 病毒驻留段地址 ; --- INT 8H 替换处理程序 --- NewInt8Handler: PUSHF PUSH AX PUSH ES ; 1. 检查是否已完成切换 CMP BYTE [CS:Int21Ready], 0 JNZ SkipCheck ; 已完成跳过探测 ; 2. 探测 INT 21H 是否就绪 XOR AX, AX MOV ES, AX MOV AX, ES:[21H*42] ; 获取 INT 21H 段地址 ; 简单有效性检查不在 ROM、不为零 TEST AX, AX JZ SkipCheck CMP AX, 0F000H JAE SkipCheck ; 3. ✅ 就绪安装 INT 21H Hook CLI ; 关中断原子操作 ; 保存原 INT 21 MOV AX, ES:[21H*4] MOV WORD [CS:OldInt21], AX MOV AX, ES:[21H*42] MOV WORD [CS:OldInt212], AX ; 安装新 INT 21 MOV WORD ES:[21H*4], OFFSET NewInt21Handler MOV ES:[21H*42], CS STI ; 开中断 MOV BYTE [CS:Int21Ready], 1 SkipCheck: POP ES POP AX POPF ; 链式调用原始 INT 8 JMP FAR [CS:OldInt8] ; --- INT 21H 替换处理程序DOS 阶段激活--- NewInt21Handler: ; 拦截文件执行 (AH4Bh) CMP AH, 4Bh JNE PassToOriginal ; 仅处理 Load-and-Execute (AL0) TEST AL, AL JNZ PassToOriginal ; 执行文件感染逻辑 PUSHF CALL InfectTargetFile POPF PassToOriginal: JMP FAR [CS:OldInt21]6.2 代码解读与安全提示⚠️警告上述代码省略了重定位、寄存器完整保存、错误处理等关键部分仅为原理演示。实际病毒代码远比此复杂包含大量的反调试、校验和修复逻辑。调试技巧如果你在研究此类样本建议在 DOSBox 或 VMware 的 DOS 虚拟机中进行。使用 SoftICE 或 Turbo Debugger 时注意设置条件断点因为 INT 8H 每秒触发 18.2 次无条件断点会让调试器无法操作。7. 经典案例One_Half 与 CIH 的混合基因理论结合实际才能深刻理解。7.1 One_Half (3544 病毒)教科书级的双中断适配混合特征感染 MBR 感染 COM/EXE。适配技术完美实现了 INT 8H 轮询 INT 21H 动态挂钩。独特之处渐进式加密。它不是立刻破坏而是每次开机加密硬盘上 2 个扇区共 30 次。这种设计迫使受害者反复重启从而反复触发病毒的引导区感染和文件感染逻辑极大地加速了传播。启示将“发作行为”与“传播机制”绑定是混合型病毒的高阶玩法。7.2 CIH (Win95.CIH)混合思想的 Windows 变体虽然 CIH 主要被认为是 PE 文件病毒但它体现了混合型病毒的跨层攻击思想文件层感染 PE 文件利用节空隙隐藏文件大小不变。固件层擦写 Flash BIOS相当于现代的“引导区破坏”。适配技术不再是 INT 13H/21H而是 VxD 层 Hook Ring0 权限获取。启示混合型病毒的本质是跨越抽象层。在 DOS 时代是 BIOS/DOS 层在 Windows 时代是 User/Kernel/Firmware 层。8. 攻防博弈检测、清除与常见误区8.1 检测难点检测维度挑战应对策略引导区病毒可能实现 Stealth读时还原使用 INT 13H 直接读取 vs DOS 读取对比冷启动后用干净介质检查文件多态/变形引擎使特征码失效行为监控、启发式分析、通用脱壳内存驻留位置不固定可能伪装成系统模块遍历 MCB 链、检查中断向量完整性、差分分析8.2 清除的黄金法则⚠️严重警告切勿只清文件不清引导区或只清引导区不清文件✅标准清除流程冷启动使用已知干净的启动盘U盘/光盘引导系统确保内存无毒。备份数据在清除前尽可能备份重要文件即使可能已被感染。修复引导区使用FDISK /MBRDOS或bootrec /fixmbrWindows修复 MBR。对于分区引导记录使用SYS C:或专用工具。全盘扫描使用更新至最新病毒库的杀毒软件扫描所有磁盘分区。交叉验证使用至少两款不同的杀毒工具进行二次确认。观察期正常使用一周监控文件大小变化和系统异常。8.3 常见误区 FAQQ1: 格式化硬盘能彻底清除混合型病毒吗A:不一定如果病毒感染了 MBR 而非分区引导记录高级格式化Format不会触及 MBR病毒依然存在。必须进行低级格式化或使用专门的 MBR 修复工具。Q2: 为什么我的杀毒软件报毒但删不掉A: 很可能是病毒的 Stealth 机制在作祟。杀毒软件通过 DOS API 读取文件时病毒返回了“干净”的内容。尝试在安全模式或 PE 环境下查杀。Q3: 混合型病毒在现代 Windows 10/11 上还能运行吗A: 原始的 DOS 混合型病毒无法在现代 NT 内核上运行。但其设计思想在 Bootkit、UEFI Rootkit 中得到了继承。不要掉以轻心。9. 现代启示从 DOS 混合病毒到 UEFI Bootkit历史不会重复但会押韵。DOS 混合型病毒现代对应威胁技术映射INT 13H HookUEFI Boot Services Hook底层磁盘/I/O 拦截INT 21H HookKernel API Hook / Minifilter文件系统拦截MBR 感染UEFI Firmware 感染持久化驻留INT 8H 监视DPC/Timer Callback异步环境探测TSR 驻留内核驱动/Rootkit内存常驻安全从业者必读学习 DOS 混合型病毒不是为了复古而是为了理解跨层攻击的本质。当你分析一个现代 Bootkit 时你会发现它依然在解决同样的问题如何在固件阶段植入代码如何在 OS 加载时无缝交接如何同时控制底层硬件和上层文件系统答案的逻辑结构与 30 年前的混合型病毒如出一辙。10. FAQ 与扩展阅读❓ 高频问题Q: 学习混合型病毒需要哪些前置知识A: x86 实模式汇编、DOS 内存模型、中断机制、FAT 文件系统结构、PE/MZ 文件格式。推荐先掌握《x86 汇编语言从实模式到保护模式》。Q: 有没有推荐的实验环境A: DOSBox-X支持调试、VMware Workstation MS-DOS 6.22 镜像、Bochs内置调试器适合底层分析。严禁在物理真机上测试活体样本Q: 如何区分混合型病毒和复合感染A: 复合型感染是指一个系统同时中了引导型和文件型两种独立病毒。混合型病毒是单一病毒实体具备双重能力。通过分析病毒代码结构和共享数据区可以区分。 扩展阅读推荐《The Art of Computer Virus Research and Defense》- Peter Szor病毒研究圣经《x86 汇编语言从实模式到保护模式》- 李忠国内最佳底层入门《Rootkits and Bootkits》- Alex Matrosov 等现代跨层攻击VX Heavens 档案馆- 历史病毒样本与分析文章宝库CSDN 专栏搜索“DOS 病毒逆向”、“INT 13H 详解”等系列文章✍️ 作者结语混合型病毒是计算机安全史上一颗璀璨的暗星。它的双中断适配技术展现了早期黑客在极度受限的环境下对系统底层的极致掌控力。今天我们回望这段历史不仅是为了致敬那些精巧的代码设计更是为了在面对新一代跨层威胁时能够从根源上理解攻击者的思维范式。如果这篇万字长文对你有所启发欢迎点赞、收藏、关注三连支持有任何技术问题请在评论区留言交流我会逐一回复。⚠️免责声明本文所有内容仅供网络安全学术研究、教育教学及防御体系建设参考。文中代码片段均为原理性伪代码或脱敏片段不具备直接攻击能力。请严格遵守《中华人民共和国网络安全法》切勿将所学知识用于任何非法入侵、破坏计算机信息系统等行为。技术无罪但用法有界。本文首发于 CSDN版权归作者所有。转载请注明出处并保留完整声明。
【硬核逆向】混合型病毒核心原理深度拆解：双中断适配技术与完整传染发作流程全景解析
【硬核逆向】混合型病毒核心原理深度拆解双中断适配技术与完整传染发作流程全景解析 核心摘要在计算机病毒的进化史上混合型病毒Multipartite/Hybrid Virus是一座难以逾越的技术丰碑。它并非引导型与文件型病毒的简单拼凑而是通过精妙的双中断适配技术解决了 BIOS 阶段INT 13H与 DOS 阶段INT 21H之间的环境割裂难题。本文将从底层汇编视角出发结合内存模型、中断向量表IVT机制及实战代码片段万字长文深度剖析混合型病毒的核心原理、双中断无缝衔接艺术以及完整的传染发作流程。无论你是安全研究员、逆向工程师还是操作系统爱好者这篇文章都将带你重温那段“刀尖起舞”的代码岁月。 目录导航引言为什么混合型病毒是“病毒之王”基石回顾INT 13H 与 INT 21H 的“楚河汉界”核心难点为何不能简单线性叠加灵魂技术双中断适配与无缝衔接机制全景复盘完整传染发作流程图级解析实战代码从驻留到挂钩的汇编实现经典案例One_Half 与 CIH 的混合基因攻防博弈检测、清除与常见误区现代启示从 DOS 混合病毒到 UEFI BootkitFAQ 与扩展阅读1. 引言为什么混合型病毒是“病毒之王”在计算机安全的教科书中病毒通常被分为引导型、文件型和混合型三类。前两者各有千秋但也各有短板引导型病毒启动即获权但无法感知文件系统传播依赖物理介质交换。文件型病毒传播速度快但依赖宿主运行重启后若未感染系统文件则可能失效。而混合型病毒则是集大成者。它既能感染磁盘引导区MBR/Boot Sector又能感染可执行文件EXE/COM。这种“双重人格”使其具备了极强的生存能力和传播效率。小贴士很多初学者认为混合型病毒就是“引导型代码 文件型代码”复制粘贴在一起。这是最大的误解真正的技术瓶颈在于两个截然不同的运行环境之间的状态同步与控制权交接。这正是本文要重点攻克的“双中断适配技术”。2. 基石回顾INT 13H 与 INT 21H 的“楚河汉界”要理解混合型病毒的痛苦与伟大必须先理解 x86 PC 启动过程中的“环境断层”。2.1 BIOS 阶段INT 13H 的天下当计算机加电自检POST完成后BIOS 将 MBR 读入内存0000:7C00并跳转执行。此时CPU 模式实模式Real Mode可用服务仅有 BIOS 中断INT 10H~1AH磁盘访问只能使用INT 13H直接磁盘服务文件系统不存在。DOS 尚未加载没有 FAT 表概念只有柱面、磁头、扇区CHS。; INT 13H AH02H 读扇区示例 MOV AH, 02H ; 功能号读 MOV AL, 1 ; 读取1个扇区 MOV CH, 0 ; 0柱面 MOV CL, 1 ; 1扇区 MOV DH, 0 ; 0磁头 MOV DL, 80H ; 第一块硬盘 MOV BX, 7C00H ; 缓冲区 INT 13H2.2 DOS 阶段INT 21H 的主场随着 IO.SYS 和 MSDOS.SYS 的加载DOS 内核初始化完毕。此时文件系统FAT12/16/32 已就绪支持路径、文件名、句柄。磁盘访问必须使用INT 21HDOS 系统调用。虽然 INT 13H 仍可用但绕过 DOS 缓存直接写扇区会导致文件系统元数据不一致极易引发崩溃。内存管理DOS 建立了 MCB 链应用程序需通过 INT 21H 申请内存。⚠️注意这就是混合型病毒面临的“地狱级”挑战——它的身体代码必须在 BIOS 阶段出生却要在 DOS 阶段存活并繁衍。3. 核心难点为何不能简单线性叠加如果直接把引导型病毒代码和文件型病毒代码拼接会发生什么3.1 致命的环境冲突冲突点BIOS 阶段DOS 阶段后果INT 21H 向量指向 ROM 中无效/默认处理指向 DOS 内核有效处理在 BIOS 阶段调用 INT 21H →死机内存布局自由使用低地址DOS 占用低地址APP 在高地址病毒驻留位置可能被 DOS 覆盖磁盘操作CHS 寻址逻辑扇区/文件句柄混用导致数据损坏堆栈环境BIOS 设置的小堆栈DOS 为每个程序分配独立堆栈堆栈溢出或破坏系统数据3.2 时序的不确定性DOS 的加载不是一瞬间完成的而是一个过程IBMBIO.COM 加载 → 硬件初始化IBMDOS.COM 加载 →INT 21H 初始化CONFIG.SYS 处理 → 驱动加载COMMAND.COM 加载 → Shell 就绪病毒在 BIOS 阶段驻留时根本无法预知 INT 21H 何时可用。这个时间窗口是不确定的取决于机器速度、CONFIG.SYS 配置、加载的驱动数量等。核心要点混合型病毒的核心技术含量全在于如何优雅地跨越这个“不确定性窗口”实现从 INT 13H 到 INT 21H 的自适应切换。4. 灵魂技术双中断适配与无缝衔接机制这是本文最核心的章节。我们将揭秘混合型病毒是如何解决上述难题的。4.1 总体设计思想分阶段生命周期成熟的混合型病毒不会试图在一个模块里搞定一切而是采用模块化分阶段设计INT 13HHook INT 13H定期轮询NoYesINT 21HINT 13H共享状态MBR/引导扇区代码内存驻留模块监视器模块INT 21H 就绪?安装 INT 21H Hook文件感染引擎引导区感染引擎4.2 关键技术一INT 21H 就绪探测既然不知道 INT 21H 何时就绪那就主动探测。 探测策略对比策略原理优点缺点INT 21H 自钩子先占坑 INT 21H等 DOS 覆盖后再链回去简单可能导致 DOS 加载失败INT 13H 监听在 INT 13H 中检测 DOS 加载特征可靠触发频率不可控时钟中断(INT 8)监听每秒 18.2 次轮询 INT 21H 向量最常用、最稳定占用少量 CPU键盘中断(INT 9)监听按键时检测隐蔽用户不按键就永远不切换✅最佳实践绝大多数经典混合型病毒如 One_Half、Flip采用INT 8H时钟中断轮询法。因为时钟中断由硬件定时器触发与用户操作无关且频率适中18.2Hz既能及时响应又不至于过度消耗性能。 如何判断 INT 21H 已就绪仅仅检查 INT 21H 向量是否改变是不够的DOS 加载过程中可能多次修改。可靠的判断方法包括段地址范围检查DOS 内核通常加载在特定内存区域检查 INT 21H 的段地址是否落在合理范围内非 ROM 区、非 IVT 区。功能调用测试尝试调用一个无害的 INT 21H 子功能如AH30H获取版本号检查返回值是否合理。DOS 内部标志检查直接读取 DOS 数据区如0050:0000处的 DOS 版本标志或 INDOS 标志。; INT 8H 中的 INT 21H 就绪探测代码 CheckInt21Ready: push es push ax xor ax, ax mov es, ax mov ax, es:[21h*42] ; 取 INT 21H 段地址 ; 排除 ROM 区域 (F000-FFFF) cmp ax, 0F000h jae NotReady ; 排除零页和 IVT 区域 test ax, ax jz NotReady ; 可选进一步验证 DOS 数据结构 ; ... ; ✅ 确认就绪执行切换 call InstallInt21Hook mov byte [cs:Int21Installed], 1 NotReady: pop ax pop es ret4.3 关键技术二无中断依赖的监视模块安置原文关键点“将这个模块添加到一个不使用中断调用的地方”这句话是理解混合型病毒架构的精髓。为什么强调“不使用中断调用”因为在 BIOS 阶段向 DOS 阶段过渡的过程中许多中断处于半初始化状态。如果监视模块自身依赖了某个尚未就绪的中断就会导致系统崩溃。✅正确做法将监视逻辑嵌入到硬件中断INT 8/INT 9的处理链中因为这些中断由硬件直接触发不依赖软件服务。监视模块内部仅使用寄存器操作和内存读写绝不调用任何 BIOS 或 DOS 软中断。使用PUSH/POP严格保存所有寄存器确保对原中断处理程序完全透明。⚠️常见误区在监视模块中调用INT 10H显示调试信息。这在 DOS 加载过程中极大概率导致花屏或死锁因为视频 BIOS 可能与 DOS 的显示驱动正在争夺控制权。4.4 关键技术三双中断协同与状态共享一旦 INT 21H Hook 安装成功病毒就拥有了“双手”左手INT 13H负责引导区感染、原始扇区读写、隐蔽还原。右手INT 21H负责文件搜索、打开、感染、执行拦截。两者需要通过共享数据区进行协调┌─────────────────────────────┐ │ 病毒共享数据区 │ │ · InfectionCount (感染计数) │ │ · TriggerCondition (触发条件)│ │ · StealthMode (隐蔽开关) │ │ · OriginalMBR (原始MBR备份)│ │ · PayloadFlag (发作标志) │ └─────────────────────────────┘ ↑ ↑ INT 13H Handler INT 21H Handler小贴士为了防止重入和递归高级混合型病毒会在共享数据区设置“忙标志”Busy Flag。当 INT 21H 处理文件感染时需要调用 INT 13H 读写扇区必须先检查该标志避免陷入无限循环。5. 全景复盘完整传染发作流程图级解析基于用户提供的核心流程我们将其细化为工程级的执行序列。5.1 宏观流程图[运行带毒程序] │ ▼ [HOST 病毒载入内存] │ ▼ HOST 正常退出? ──── N ──→ [HOST异常终止/被杀] │ │ Y ▼ ▼ [文件大小膨胀] [病毒TSR驻留] [用户察觉异常] │ ├─→ [感染自身BOOT区] (INT 13H) ├─→ [传染内存中其他模块] └─→ [Hook INT 13H INT 21H] │ ▼ 时机成熟? ──── N ──→ [继续潜伏/传播] │ Y ▼ [执行发作载荷] (破坏/展示/加密)5.2 微观执行序列详解阶段 1激活与重定位当用户双击一个被感染的 EXE 文件DOS 将文件加载到内存由于病毒代码位于文件头部或尾部它随宿主一同载入。病毒首先执行重定位代码Delta Offset Calculation因为每次感染后病毒在文件中的偏移不同必须动态计算变量地址。保存宿主程序的原始入口点CS:IP/SS:SP。阶段 2分支判断——HOST 退出的两种命运这是混合型病毒区别于普通文件病毒的关键逻辑✅ 情况 AHOST 正常退出Y 分支病毒在 HOST 的退出处理程序或通过 Hook INT 21H AH4Ch中截获控制权。执行 TSR 驻留修改 MCB 链或使用 INT 21H AH31h 保留内存。立即行动检查当前系统盘 MBR 是否已感染未感染则用 INT 13H 写入。安装 INT 13H Hook用于后续引导区传播。安装 INT 8H 监视器等待 INT 21H 就绪。结果病毒成功扎根即使宿主程序结束病毒依然活跃。❌ 情况 BHOST 未正常退出N 分支可能原因杀毒软件拦截、用户 CtrlC、程序崩溃。病毒未能完成完整的驻留流程。副作用由于病毒代码已写入文件但可能未完成清理或还原导致文件大小异常膨胀。风险这是混合型病毒最容易暴露的时刻。经验丰富的管理员看到 EXE 文件莫名变大第一反应就是查毒。阶段 3潜伏与触发传播循环INT 21H Hook 拦截文件操作 → 感染新文件INT 13H Hook 拦截磁盘 I/O → 感染新磁盘。触发判定每次中断返回前检查计数器/日期/事件标志。发作满足条件后不再返回原中断处理程序直接跳转到 Payload 代码。6. 实战代码从驻留到挂钩的汇编实现以下代码展示了混合型病毒中最关键的“INT 8H 监视 INT 21H 动态挂钩”核心逻辑仅供安全研究请勿用于非法用途。6.1 完整的监视与切换模块; ; 混合型病毒核心INT 8H 监视器 INT 21H 动态安装 ; 运行环境BIOS 阶段驻留后在 DOS 加载过程中自动激活 ; ; --- 数据区 --- OldInt8 DD 0 ; 原始 INT 8 入口 OldInt21 DD 0 ; 原始 INT 21 入口 Int21Ready DB 0 ; INT 21H 就绪标志 VirusSeg DW 0 ; 病毒驻留段地址 ; --- INT 8H 替换处理程序 --- NewInt8Handler: PUSHF PUSH AX PUSH ES ; 1. 检查是否已完成切换 CMP BYTE [CS:Int21Ready], 0 JNZ SkipCheck ; 已完成跳过探测 ; 2. 探测 INT 21H 是否就绪 XOR AX, AX MOV ES, AX MOV AX, ES:[21H*42] ; 获取 INT 21H 段地址 ; 简单有效性检查不在 ROM、不为零 TEST AX, AX JZ SkipCheck CMP AX, 0F000H JAE SkipCheck ; 3. ✅ 就绪安装 INT 21H Hook CLI ; 关中断原子操作 ; 保存原 INT 21 MOV AX, ES:[21H*4] MOV WORD [CS:OldInt21], AX MOV AX, ES:[21H*42] MOV WORD [CS:OldInt212], AX ; 安装新 INT 21 MOV WORD ES:[21H*4], OFFSET NewInt21Handler MOV ES:[21H*42], CS STI ; 开中断 MOV BYTE [CS:Int21Ready], 1 SkipCheck: POP ES POP AX POPF ; 链式调用原始 INT 8 JMP FAR [CS:OldInt8] ; --- INT 21H 替换处理程序DOS 阶段激活--- NewInt21Handler: ; 拦截文件执行 (AH4Bh) CMP AH, 4Bh JNE PassToOriginal ; 仅处理 Load-and-Execute (AL0) TEST AL, AL JNZ PassToOriginal ; 执行文件感染逻辑 PUSHF CALL InfectTargetFile POPF PassToOriginal: JMP FAR [CS:OldInt21]6.2 代码解读与安全提示⚠️警告上述代码省略了重定位、寄存器完整保存、错误处理等关键部分仅为原理演示。实际病毒代码远比此复杂包含大量的反调试、校验和修复逻辑。调试技巧如果你在研究此类样本建议在 DOSBox 或 VMware 的 DOS 虚拟机中进行。使用 SoftICE 或 Turbo Debugger 时注意设置条件断点因为 INT 8H 每秒触发 18.2 次无条件断点会让调试器无法操作。7. 经典案例One_Half 与 CIH 的混合基因理论结合实际才能深刻理解。7.1 One_Half (3544 病毒)教科书级的双中断适配混合特征感染 MBR 感染 COM/EXE。适配技术完美实现了 INT 8H 轮询 INT 21H 动态挂钩。独特之处渐进式加密。它不是立刻破坏而是每次开机加密硬盘上 2 个扇区共 30 次。这种设计迫使受害者反复重启从而反复触发病毒的引导区感染和文件感染逻辑极大地加速了传播。启示将“发作行为”与“传播机制”绑定是混合型病毒的高阶玩法。7.2 CIH (Win95.CIH)混合思想的 Windows 变体虽然 CIH 主要被认为是 PE 文件病毒但它体现了混合型病毒的跨层攻击思想文件层感染 PE 文件利用节空隙隐藏文件大小不变。固件层擦写 Flash BIOS相当于现代的“引导区破坏”。适配技术不再是 INT 13H/21H而是 VxD 层 Hook Ring0 权限获取。启示混合型病毒的本质是跨越抽象层。在 DOS 时代是 BIOS/DOS 层在 Windows 时代是 User/Kernel/Firmware 层。8. 攻防博弈检测、清除与常见误区8.1 检测难点检测维度挑战应对策略引导区病毒可能实现 Stealth读时还原使用 INT 13H 直接读取 vs DOS 读取对比冷启动后用干净介质检查文件多态/变形引擎使特征码失效行为监控、启发式分析、通用脱壳内存驻留位置不固定可能伪装成系统模块遍历 MCB 链、检查中断向量完整性、差分分析8.2 清除的黄金法则⚠️严重警告切勿只清文件不清引导区或只清引导区不清文件✅标准清除流程冷启动使用已知干净的启动盘U盘/光盘引导系统确保内存无毒。备份数据在清除前尽可能备份重要文件即使可能已被感染。修复引导区使用FDISK /MBRDOS或bootrec /fixmbrWindows修复 MBR。对于分区引导记录使用SYS C:或专用工具。全盘扫描使用更新至最新病毒库的杀毒软件扫描所有磁盘分区。交叉验证使用至少两款不同的杀毒工具进行二次确认。观察期正常使用一周监控文件大小变化和系统异常。8.3 常见误区 FAQQ1: 格式化硬盘能彻底清除混合型病毒吗A:不一定如果病毒感染了 MBR 而非分区引导记录高级格式化Format不会触及 MBR病毒依然存在。必须进行低级格式化或使用专门的 MBR 修复工具。Q2: 为什么我的杀毒软件报毒但删不掉A: 很可能是病毒的 Stealth 机制在作祟。杀毒软件通过 DOS API 读取文件时病毒返回了“干净”的内容。尝试在安全模式或 PE 环境下查杀。Q3: 混合型病毒在现代 Windows 10/11 上还能运行吗A: 原始的 DOS 混合型病毒无法在现代 NT 内核上运行。但其设计思想在 Bootkit、UEFI Rootkit 中得到了继承。不要掉以轻心。9. 现代启示从 DOS 混合病毒到 UEFI Bootkit历史不会重复但会押韵。DOS 混合型病毒现代对应威胁技术映射INT 13H HookUEFI Boot Services Hook底层磁盘/I/O 拦截INT 21H HookKernel API Hook / Minifilter文件系统拦截MBR 感染UEFI Firmware 感染持久化驻留INT 8H 监视DPC/Timer Callback异步环境探测TSR 驻留内核驱动/Rootkit内存常驻安全从业者必读学习 DOS 混合型病毒不是为了复古而是为了理解跨层攻击的本质。当你分析一个现代 Bootkit 时你会发现它依然在解决同样的问题如何在固件阶段植入代码如何在 OS 加载时无缝交接如何同时控制底层硬件和上层文件系统答案的逻辑结构与 30 年前的混合型病毒如出一辙。10. FAQ 与扩展阅读❓ 高频问题Q: 学习混合型病毒需要哪些前置知识A: x86 实模式汇编、DOS 内存模型、中断机制、FAT 文件系统结构、PE/MZ 文件格式。推荐先掌握《x86 汇编语言从实模式到保护模式》。Q: 有没有推荐的实验环境A: DOSBox-X支持调试、VMware Workstation MS-DOS 6.22 镜像、Bochs内置调试器适合底层分析。严禁在物理真机上测试活体样本Q: 如何区分混合型病毒和复合感染A: 复合型感染是指一个系统同时中了引导型和文件型两种独立病毒。混合型病毒是单一病毒实体具备双重能力。通过分析病毒代码结构和共享数据区可以区分。 扩展阅读推荐《The Art of Computer Virus Research and Defense》- Peter Szor病毒研究圣经《x86 汇编语言从实模式到保护模式》- 李忠国内最佳底层入门《Rootkits and Bootkits》- Alex Matrosov 等现代跨层攻击VX Heavens 档案馆- 历史病毒样本与分析文章宝库CSDN 专栏搜索“DOS 病毒逆向”、“INT 13H 详解”等系列文章✍️ 作者结语混合型病毒是计算机安全史上一颗璀璨的暗星。它的双中断适配技术展现了早期黑客在极度受限的环境下对系统底层的极致掌控力。今天我们回望这段历史不仅是为了致敬那些精巧的代码设计更是为了在面对新一代跨层威胁时能够从根源上理解攻击者的思维范式。如果这篇万字长文对你有所启发欢迎点赞、收藏、关注三连支持有任何技术问题请在评论区留言交流我会逐一回复。⚠️免责声明本文所有内容仅供网络安全学术研究、教育教学及防御体系建设参考。文中代码片段均为原理性伪代码或脱敏片段不具备直接攻击能力。请严格遵守《中华人民共和国网络安全法》切勿将所学知识用于任何非法入侵、破坏计算机信息系统等行为。技术无罪但用法有界。本文首发于 CSDN版权归作者所有。转载请注明出处并保留完整声明。
