一次不小心誤中了威金病毒(即VKING)的變種,機器上的所有EXE文件都感染了,EXE文件都變成了DOS程序的圖標.到網上找遍了殺毒的工具,很遺憾的是沒有找到可以真正清除病毒的工具,一般都是直接把文件刪除,說是感染了病毒. 由於不想重裝系統,有很多東東要裝,太累人,沒辦法,只有自已手動解決.
在清除病毒駐留程序後,要小心不能再點擊那些已經病毒感染變成DOS圖標的文件,否則就會再次感染.找一個被病毒已經感染的文件,然後找到未被感染的文件(從RAR包裏面重新解壓出來),然後用16進制編輯器比較後,發現被感染的文件都變大了64K左右,仔細查看後發現感染的文件頭與原來的不一樣,再查看一下,發現原來就是在文件的前面一段把病毒文件插了進去,在病毒代碼的後面就是原來的EXE文件.每個感染的文件都是在64K左右的地方還有一個"MZ"標誌.
SO,開始動手清除,先提取病毒段存成一個文件(用它來作匹配查找),由於系統的一些文件也被感染了,所以VC6不能編譯MFC,只有用標準的SDK寫法,也沒有用什麼類,一個CPP搞定.主要涉及的地方就是文件的遍歷和映射,日誌保存和文件備份.全部代碼如下
#pragma warning(disable:4786)
#include <Shlwapi.h>
#include <assert.h>
#include <iostream>
#include <string>
#include <vector>
#include <fstream>
using namespace std;
const UINT VIRUSLENGTH = 63018;//病毒原體長度
void CheckDir(string str);
void CheckFile(const char *szFile);
LPBYTE MapFile(const char *szFile, HANDLE &hFile, HANDLE &hMap,
DWORD dwLenght = VIRUSLENGTH, BOOL bNew = FALSE);
void ReleaseAll();
void KillAllVirus();
DWORD GetFileLength(const char *szFile);
void ErrorLog(const char *szFile, const char * szError);
HANDLE hViruFile = NULL;
BYTE * lpVirus = NULL;
HANDLE hViruMap = NULL;
vector<string> vec_vf;
int main(int argc, char* argv[])
{
string str("");
while(str.empty())
{
cout<<"please type a dir"<<endl;
cin>>str;
if(!str.empty() && ::PathFileExists(str.c_str()))
break;
}
::DeleteFile("log.txt");
char szVirus[MAX_PATH];
GetModuleFileName(NULL,szVirus, MAX_PATH);
lstrcpy(strrchr(szVirus, '/'), "/virus.bak");
lpVirus = MapFile(szVirus, hViruFile, hViruMap);
if(lpVirus == NULL)
{
cout << szVirus << "未能成功建立文件映射" <<endl;
while(1)
{
string str;
cin >> str;
if(!str.empty())
break;
};
return 0;
}
vec_vf.clear();
CheckDir(str);
if(vec_vf.empty())
{
cout << "未找到病毒文件" <<endl;
while(1)
{
string str;
cin >> str;
if(!str.empty())
break;
};
return 0;
}
else
{
cout<<"找到病毒文件"<< vec_vf.size() <<"個" <<endl;
cout <<"press any key to kill virus" <<endl;
while(1)
{
string str;
cin >> str;
if(!str.empty())
break;
};
KillAllVirus();
cout <<"殺毒完成" <<endl;
}
ReleaseAll();
while(1)
{
string str;
cin >> str;
if(!str.empty())
break;
};
return 0;
}
void ReleaseAll()
{
if(lpVirus !=NULL)
{
::UnmapViewOfFile(lpVirus);
lpVirus = NULL;
}
if(hViruMap != NULL)
CloseHandle(hViruMap);
if(hViruFile != INVALID_HANDLE_VALUE)
CloseHandle(hViruFile);
}
LPBYTE MapFile(const char *szFile, HANDLE &hFile, HANDLE &hMap, DWORD dwLength , BOOL bNew)
{
hFile = CreateFile(szFile, GENERIC_READ | GENERIC_WRITE, FILE_SHARE_READ, NULL,
bNew ? CREATE_NEW : OPEN_EXISTING, FILE_ATTRIBUTE_NORMAL, NULL);
if(hFile == INVALID_HANDLE_VALUE)
{
cout << szFile << "打開失敗" <<endl;
ErrorLog(szFile, "打開失敗");
return NULL;
}
hMap = ::CreateFileMapping(hFile, NULL, PAGE_READWRITE, 0, dwLength, NULL);
if(hMap == NULL)
{
cout <<szFile <<"映射失敗" <<endl;
ErrorLog(szFile, "映射失敗");
return NULL;
}
return (LPBYTE)::MapViewOfFile(hMap, FILE_MAP_WRITE, 0, 0,dwLength);
}
void CheckDir(string str)
{
//string strExt = "*.*";
string strFile = str + "/*.*";
WIN32_FIND_DATA fd;
HANDLE hf = ::FindFirstFile(strFile.c_str(), &fd);
if(hf == INVALID_HANDLE_VALUE)
return;
BOOL bWork = TRUE;
while(bWork)
{
string strFileName = fd.cFileName;
if(strFileName == "." || strFileName == "..")
;
else if(fd.dwFileAttributes & FILE_ATTRIBUTE_DIRECTORY )
{
string strNext = str + "/" + fd.cFileName;
CheckDir(strNext);
}
else if(strFileName.size() > 4 && ((strFileName.substr(strFileName.size() - 4, 4) == ".exe")
|| (strFileName.substr(strFileName.size() - 4, 4) == ".EXE")))
{
string strCheckFile = str + "/" + strFileName;
CheckFile(strCheckFile.c_str());
}
bWork = ::FindNextFile(hf, &fd);
}
FindClose(hf);
}
void CheckFile(const char *szFile)
{
if(GetFileLength(szFile) < VIRUSLENGTH)
return;
int bCheck;
HANDLE hCheckFile = NULL;
HANDLE hCheckMap = NULL;
LPBYTE lpCheck = NULL;
lpCheck = MapFile(szFile, hCheckFile, hCheckMap);
if(lpCheck == NULL)
{
cout << szFile << "映射文件失敗" <<endl;
goto ERRORCHECK;
}
bCheck = memcmp(lpCheck, lpVirus, VIRUSLENGTH);
if(memcmp(lpCheck, lpVirus, VIRUSLENGTH) == 0)
{
cout << "--------發現病毒文件" << szFile <<endl;
vec_vf.push_back(szFile);
}
ERRORCHECK:
if(lpCheck != NULL)
::UnmapViewOfFile(lpCheck);
if(hCheckMap != NULL)
CloseHandle(hCheckMap);
if(hCheckFile != NULL)
CloseHandle(hCheckFile);
}
void KillAllVirus()
{
vector<string>::iterator it;
for(it = vec_vf.begin(); it != vec_vf.end(); ++it)
{
string strNewFile( it->substr(0, it->size() - 3));
strNewFile += "zjh";
int result = ::rename(it->c_str(), strNewFile.c_str());
if(result != 0)
{
cout<< *it << "文件改名備份失敗" << endl;
ErrorLog(it->c_str(), "文件改名備份失敗");
continue;
}
DWORD dwFileLength = GetFileLength(strNewFile.c_str());
assert(dwFileLength);
HANDLE hSrcFile, hSrcMap;
HANDLE hDestFile, hDestMap;
LPBYTE lpSrc, lpDest;
FILETIME ftCreate, ftAccess,ftWrite;
DWORD dwRealLen = dwFileLength - VIRUSLENGTH;
lpSrc = MapFile(strNewFile.c_str(), hSrcFile, hSrcMap, dwFileLength);
lpDest = MapFile(it->c_str(), hDestFile, hDestMap, dwRealLen, TRUE);
if(hSrcFile != NULL)
::GetFileTime(hSrcFile, &ftCreate, &ftAccess, &ftWrite);
if(lpSrc != NULL && lpDest != NULL)
{
memcpy(lpDest,lpSrc + VIRUSLENGTH, dwRealLen);
::FlushViewOfFile(lpDest, dwRealLen);
}
else if(lpSrc == NULL)
{
cout << strNewFile << "建立映射失敗" << endl;
ErrorLog(strNewFile.c_str(), "建立映射失敗" );
goto Error;
}
else
{
cout << *it << "建立新文件,映射失敗" << endl;
ErrorLog(it->c_str(), "建立新文件,映射失敗" );
goto Error;
}
Error:
if(lpSrc != NULL)
::UnmapViewOfFile(lpSrc);
if(lpDest != NULL)
::UnmapViewOfFile(lpDest);
if(hSrcMap != NULL)
CloseHandle(hSrcMap);
if(hDestMap != NULL)
CloseHandle(hDestMap);
if(hSrcFile != NULL)
CloseHandle(hSrcFile);
if(hDestFile != NULL)
{
::SetFileTime(hDestFile, &ftCreate, &ftAccess, &ftWrite);
CloseHandle(hDestFile);
}
}
}
DWORD GetFileLength(const char *szFile)
{
HANDLE hFile = CreateFile(szFile, GENERIC_READ | GENERIC_WRITE, FILE_SHARE_READ, NULL, OPEN_EXISTING,
FILE_ATTRIBUTE_NORMAL, NULL);
if(hFile == INVALID_HANDLE_VALUE)
return 0;
DWORD dwLength = ::GetFileSize(hFile, NULL);
CloseHandle(hFile);
return dwLength;
}
void ErrorLog(const char *szFile, const char * szError)
{
ofstream f("log.txt", ios::app);
f << szFile << szError <<endl;
f.close();
}