脚本之家 服务器常用软件
快捷导航
您的位置：首页 → 软件编程 → C 语言 → VC实现的病毒专杀工具

VC实现的病毒专杀工具完整实例

 更新时间：2014年10月24日 09:03:29   投稿：shichen2014  
这篇文章主要介绍了VC实现的病毒专杀工具完整实例,详细讲述了针对病毒的进程终止、删除文件及回复注册表与启动项等,同时介绍了与之相关的系统函数,非常具有参考借鉴价值,需要的朋友可以参考下

本文实例讲述了VC实现的病毒专杀工具的方法。非常实用，分享给大家供大家参考。具体实现方法如下：

如今病毒木马蠕虫层出不穷,变种也是一个接一个。反病毒公司以及各大安全公司随着影响很大的病毒的出现都会免费提供病毒专杀工具，这个举措对普通用户来说确实很有帮助。其实写病毒专杀工具也不像大家想象的那么神秘，利用SDK写个控制台程序来实现病毒专杀，因无须写图形界面，所以简便快捷！你自己也能写！不信？就接着看吧^_^ 废话不说了，接下来就开始谈谈病毒专杀工具的思路及实现方法。

本文中讲解的病毒专杀工具是针对木马、蠕虫等独立的程序而言的广义的病毒而言，而不是指那种自我复制感染PE文件的依附于其他程序的那种狭义的病毒。因为写那种病毒的专杀工具需要PE文件结构等知识，相对而言有点难度，所以我们就先从相对简单点的开始，难的以后再介绍。

对于大多数病毒而言，杀毒的思路其实很简单，那就是：终止病毒的进程、删除自启动项目（一般在注册表中的run*主键下）、删除病毒文件，对设置了文件关联的病毒而言还要修改注册表恢复文件关联。下面将分别陈述。

一.终止进程

以前网上曾有许多朋友问我怎么根据文件名终止指定进程,为什么使用函数 TerminateProcess()不能直接终止指定进程。首先让我们来看看函数TerminateProcess()的声明吧：Bool TerminateProcess(HANDLE hPeocess,UINT uExitCode)，其中第一个参数为进程句柄，而不是进程名称（文件名）。那怎样才能获得指定进程的句柄呢？我们可以使用函数OpenProcess ()，其原型为

复制代码 代码如下:
HANDLE OpenProcess(
DWORD dwDesiredAccess, // 访问标志
BOOL bInheritHandle, // 处理继承的标志
DWORD dwProcessId // 进程标识号,即进程ID
);

最后一个参数就是该进程的ID，进程句柄和进程ID是两回事，这时你可能很郁闷：怎么知道进程ID呢？方法当然有啦！在Windows9X/2000/XP/2003中，微软均提供了用来枚举进程的ToolHelp API系列函数。先运用函数CreateToolhelp32Snapshot()取得快照句柄，然后使用Process32First()以及 Process32Next()枚举当前的进程。枚举过程中会将每一个进程的信息存放到PROCESSENTRY32结构中。 PROCESSENTRY32的原型为：
复制代码 代码如下:
typedef struct tagPROCESSENTRY32
{
DWORD dwSize; // 结构大小；
DWORD cntUsage; // 此进程的引用计数；
DWORD th32ProcessID; // 进程ID;
DWORD th32DefaultHeapID; // 进程默认堆ID；
DWORD th32ModuleID; // 进程模块ID；
DWORD cntThreads; // 此进程开启的线程计数；
DWORD th32ParentProcessID; // 父进程ID；
LONG pcPriClassBase; // 线程优先权；
DWORD dwFlags; // 保留；
char szExeFile[MAX_PATH]; // 进程全名；
} PROCESSENTRY32;

其中th32ProcessID就是进程的ID，szExeFile为该进程的文件名。所以要终止指定进程，我们可以枚举进程，逐一判断szExeFile是否和我们欲终止的进程名相同，如果相同就取其th32ProcessID参数，然后代入OpenProcess函数，取得目标进程的句柄。这样就可以利用函数TerminateProcess()终止该进程了。我写了个终止指定进程的函数，如下：
复制代码 代码如下:
void KillProcessFromName(LPCTSTR name)//name为你要终止的进程的名称，Win9X则需包括路径
{
PROCESSENTRY32 pe;//定义一个PROCESSENTRY32结类型的变量
HANDLE hShot=CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS,0);// 创建快照句柄
pe.dwSize=sizeof(PROCESSENTRY32);//一定要先为dwSize赋值
if (Process32First(hShot,&pe))
{
do
{if (strcmp(pe.szExeFile,name)==0) //判断此进程是否为你要终止的进程
HANDLE hProcess=OpenProcess(PROCESS_ALL_ACCESS,FALSE,pe.th32ProcessID);//如果是就利用其ID获得句柄
TerminateProcess(hProcess,0);//终止该进程
}
while(Process32Next(hkz,&pe));
}
CloseHandle(hShot);//最后别忘记Close
}

在使用时只要在main()主函数里调用函数KillProcessFromName（），把参数设为你要终止的进程的名称即可，Win9X则需包括路径。还有一点值得注意一下，就是别忘了#include 。

二、删除文件

这一步骤很简单，调用函数DeleteFile()即可，Bool DeleteFile(LPCTSTR lpFilename)，把lpFilename设要指向删除的文件的文件名的指针即可，可包含具体路径。

三、修改注册表，删除启动项及文件关联

首先用函数RegOpenKeyEx()打开目标主键，RegOpenKeyEx()函数原型为：

复制代码 代码如下:
LONG RegOpenKeyEx(
HKEY hKey,// 将要打开的键的句柄
LPCTSTR lpSubKey,// 指向将要打开的包含子建的名称字符串指针
DWORD ulOptions,// 为保留字，必须为NULL
REGSAM samDesired,// 访问权限
PHKEY phkResult//指向打开键的句柄指针
);

获得句柄后用函数RegSetValueEx()进行修改键值，函数原型为：
复制代码 代码如下:
LONG RegSetValueEx(
HKEY hKey, //当前打开的键的句柄
LPCTSTR lpValueName, //指向非空的包含要查询的值名称的字符串指针
DWORD Reserved, //保留值，必须为NULL
DWORD dwType,//键值类型，比如REG_SZ、REG_DWORD等
CONST BYTE * lpData , //指向键值数据的指针，注意此变量类型，不是LPCTSTR！
DWORD cbData//指向保存设定值长度变量的指针，以字节为单位
);

当然也可以用函数RegDeleteValue()来删除键值。操作完毕后别忘了用函数RegCloseKey()来Close。

使用这些函数很简单，只要把相应的参数换为你要删除或修改注册表的相应数值，唯一值得注意的是RegSetValueEx()函数中第5个参数的类型是BYTE而不是LPCTSTR！通过这些就可以很方便删除指定启动项以及恢复文件关联，为了便于大家理解，我举个修复EXE文件关联的例子，大家修改相应的参数就可以适用其它键值的修改，换用RegDeleteValue函数就可以实现删除自启动项。

复制代码 代码如下:
HKEY hKey;
LPCTSTR data1="/"%1/" %*";//EXE文件默认的open方式，”%1/"表EXE文件本身
DWORD lResult=RegOpenKeyEx(HKEY_CLASSES_ROOT,"exefile//shell//open//command",0,KEY_WRITE,&hKey);
if(lResult==ERROR_SUCCESS)
RegSetValueEx(hKey,"",NULL,REG_SZ,(LPBYTE)data1,9);//修改键值
RegCloseKey(hKey);

到这里，一个病毒专杀工具的模型就已初步完成了，大家自己编写时只需把文中函数的形参换为你要杀的目标病毒的相应特征数据编译即可。这个是个简单的专杀工具，只能对付普通的木马、蠕虫等病毒，大家应具体情况具体分析，根据具体情况扩充该程序功能，比如有些木马是通过修改win.ini、system.ini来实现自动运行,我们就需操作文件删除相应数据，除此之外，有时还需添加终止服务、卸载DLL模块、进入RING0操作等功能。总之，我相信大家一定能自己写出病毒木马专杀工具的！呵呵，是不是很有成就感呢！

希望本文所述对大家的VC程序设计有所帮助。

您可能感兴趣的文章:

相关文章

  • C++空类及没有成员变量的类的大小实例分析

    C++空类及没有成员变量的类的大小实例分析

    这篇文章主要介绍了C++空类及没有成员变量的类的大小,对于初学者更好的了解C++的指针及类的存储结构很有帮助,需要的朋友可以参考下
    2014-07-07
  • C++实现病人就医管理系统

    C++实现病人就医管理系统

    这篇文章主要为大家详细介绍了C++语言实现病人就医管理系统，具有一定的参考价值，感兴趣的小伙伴们可以参考一下
    2019-01-01
  • C指针原理教程之C内嵌汇编

    C指针原理教程之C内嵌汇编

    在学习 C 语言内嵌汇编的实验过程中，发现内嵌汇编极容易造成段错误。
    2019-02-02
  • C语言程序设计之指针的应用详解

    C语言程序设计之指针的应用详解

    为了让大家能够更准确的了解C语言中指针的使用，本文为大家准备了四个指针相关的例题，文中的示例代码讲解详细，感兴趣的小伙伴可以学习一下
    2022-11-11
  • C语言代码实现通讯录管理系统

    C语言代码实现通讯录管理系统

    这篇文章主要为大家详细介绍了C语言代码实现通讯录管理系统，文中示例代码介绍的非常详细，具有一定的参考价值，感兴趣的小伙伴们可以参考一下
    2022-06-06
  • C++图论之Bellman-Ford算法和SPFA算法的实现

    C++图论之Bellman-Ford算法和SPFA算法的实现

    贝尔曼-福特算法（Bellman-Ford）是由理查德·贝尔曼和莱斯特·福特创立的，求解单源最短路径问题的一种算法。SPFA 算法是 Bellman-Ford算法 的队列优化算法的别称，通常用于求含负权边的单源最短路径。本文将详解两个算法的实现，需要的可以参考一下
    2022-06-06
  • C++ 位图及位图的实现原理

    C++ 位图及位图的实现原理

    位图实际上就是一个数组，因为数组有随机访问的功能，比较方便查找，这个数组一般是整形，今天通过本文给大家分享c++位图的实现原理及实现代码，感兴趣的朋友跟随小编一起看看吧
    2021-05-05
  • 仿现代C++智能指针实现引用计数

    仿现代C++智能指针实现引用计数

    这篇文章主要为大家详细介绍了如何仿现代C++智能指针实现引用计数,文中的示例代码讲解详细,具有一定的借鉴价值,有需要的小伙伴可以了解下
    2024-03-03
  • C/C++中接收return返回来的数组元素方法示例

    C/C++中接收return返回来的数组元素方法示例

    return是C++预定义的语句，它提供了种植函数执行的一种放大，最近学习中遇到了相关return的内容，觉着有必要总结一下，这篇文章主要给大家介绍了关于C/C++中如何接收return返回来的数组元素的相关资料，需要的朋友可以参考下。
    2017-12-12
  • Matlab计算变异函数并绘制经验半方差图详解

    Matlab计算变异函数并绘制经验半方差图详解

    这篇文章主要为大家详细介绍了基于MATLAB求取空间数据的变异函数，并绘制经验半方差图的方法。文中的示例代码讲解详细，感兴趣的可以了解一下
    2023-04-04

最新评论