VC實現(xiàn)的病毒專殺工具完整實例

更新時間：2014年10月24日 09:03:29 投稿：shichen2014

這篇文章主要介紹了VC實現(xiàn)的病毒專殺工具完整實例,詳細講述了針對病毒的進程終止、刪除文件及回復注冊表與啟動項等,同時介紹了與之相關的系統(tǒng)函數(shù),非常具有參考借鑒價值,需要的朋友可以參考下

本文實例講述了VC實現(xiàn)的病毒專殺工具的方法。非常實用，分享給大家供大家參考。具體實現(xiàn)方法如下：

如今病毒木馬蠕蟲層出不窮,變種也是一個接一個。反病毒公司以及各大安全公司隨著影響很大的病毒的出現(xiàn)都會免費提供病毒專殺工具，這個舉措對普通用戶來說確實很有幫助。其實寫病毒專殺工具也不像大家想象的那么神秘，利用SDK寫個控制臺程序來實現(xiàn)病毒專殺，因無須寫圖形界面，所以簡便快捷！你自己也能寫！不信？就接著看吧^_^ 廢話不說了，接下來就開始談談病毒專殺工具的思路及實現(xiàn)方法。

本文中講解的病毒專殺工具是針對木馬、蠕蟲等獨立的程序而言的廣義的病毒而言，而不是指那種自我復制感染PE文件的依附于其他程序的那種狹義的病毒。因為寫那種病毒的專殺工具需要PE文件結構等知識，相對而言有點難度，所以我們就先從相對簡單點的開始，難的以后再介紹。

對于大多數(shù)病毒而言，殺毒的思路其實很簡單，那就是：終止病毒的進程、刪除自啟動項目（一般在注冊表中的run*主鍵下）、刪除病毒文件，對設置了文件關聯(lián)的病毒而言還要修改注冊表恢復文件關聯(lián)。下面將分別陳述。

一.終止進程

以前網(wǎng)上曾有許多朋友問我怎么根據(jù)文件名終止指定進程,為什么使用函數(shù) TerminateProcess()不能直接終止指定進程。首先讓我們來看看函數(shù)TerminateProcess()的聲明吧：Bool TerminateProcess(HANDLE hPeocess,UINT uExitCode)，其中第一個參數(shù)為進程句柄，而不是進程名稱（文件名）。那怎樣才能獲得指定進程的句柄呢？我們可以使用函數(shù)OpenProcess ()，其原型為

復制代碼代碼如下:

HANDLE OpenProcess( 

DWORD dwDesiredAccess, // 訪問標志 

BOOL bInheritHandle, // 處理繼承的標志 

DWORD dwProcessId // 進程標識號,即進程ID 

);

最后一個參數(shù)就是該進程的ID，進程句柄和進程ID是兩回事，這時你可能很郁悶：怎么知道進程ID呢？方法當然有啦！在Windows9X/2000/XP/2003中，微軟均提供了用來枚舉進程的ToolHelp API系列函數(shù)。先運用函數(shù)CreateToolhelp32Snapshot()取得快照句柄，然后使用Process32First()以及 Process32Next()枚舉當前的進程。枚舉過程中會將每一個進程的信息存放到PROCESSENTRY32結構中。 PROCESSENTRY32的原型為：

復制代碼代碼如下:

typedef struct tagPROCESSENTRY32 

{ 

DWORD dwSize; // 結構大小； 

DWORD cntUsage; // 此進程的引用計數(shù)； 

DWORD th32ProcessID; // 進程ID; 

DWORD th32DefaultHeapID; // 進程默認堆ID； 

DWORD th32ModuleID; // 進程模塊ID； 

DWORD cntThreads; // 此進程開啟的線程計數(shù)； 

DWORD th32ParentProcessID; // 父進程ID； 

LONG pcPriClassBase; // 線程優(yōu)先權； 

DWORD dwFlags; // 保留； 

char szExeFile[MAX_PATH]; // 進程全名； 

} PROCESSENTRY32;

其中th32ProcessID就是進程的ID，szExeFile為該進程的文件名。所以要終止指定進程，我們可以枚舉進程，逐一判斷szExeFile是否和我們欲終止的進程名相同，如果相同就取其th32ProcessID參數(shù)，然后代入OpenProcess函數(shù)，取得目標進程的句柄。這樣就可以利用函數(shù)TerminateProcess()終止該進程了。我寫了個終止指定進程的函數(shù)，如下：

復制代碼代碼如下:

void KillProcessFromName(LPCTSTR name)//name為你要終止的進程的名稱，Win9X則需包括路徑 

{ 

PROCESSENTRY32 pe;//定義一個PROCESSENTRY32結類型的變量 

HANDLE hShot=CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS,0);// 創(chuàng)建快照句柄 

pe.dwSize=sizeof(PROCESSENTRY32);//一定要先為dwSize賦值 

if (Process32First(hShot,&pe)) 

{ 

do 

{if (strcmp(pe.szExeFile,name)==0) //判斷此進程是否為你要終止的進程 

HANDLE hProcess=OpenProcess(PROCESS_ALL_ACCESS,FALSE,pe.th32ProcessID);//如果是就利用其ID獲得句柄 

TerminateProcess(hProcess,0);//終止該進程 

} 

while(Process32Next(hkz,&pe)); 

} 

CloseHandle(hShot);//最后別忘記Close 

}

在使用時只要在main()主函數(shù)里調用函數(shù)KillProcessFromName（），把參數(shù)設為你要終止的進程的名稱即可，Win9X則需包括路徑。還有一點值得注意一下，就是別忘了#include 。

二、刪除文件

這一步驟很簡單，調用函數(shù)DeleteFile()即可，Bool DeleteFile(LPCTSTR lpFilename)，把lpFilename設要指向刪除的文件的文件名的指針即可，可包含具體路徑。

三、修改注冊表，刪除啟動項及文件關聯(lián)

首先用函數(shù)RegOpenKeyEx()打開目標主鍵，RegOpenKeyEx()函數(shù)原型為：

復制代碼代碼如下:

LONG RegOpenKeyEx( 

HKEY hKey,// 將要打開的鍵的句柄 

LPCTSTR lpSubKey,// 指向將要打開的包含子建的名稱字符串指針 

DWORD ulOptions,// 為保留字，必須為NULL 

REGSAM samDesired,// 訪問權限 

PHKEY phkResult//指向打開鍵的句柄指針 

);

獲得句柄后用函數(shù)RegSetValueEx()進行修改鍵值，函數(shù)原型為：

復制代碼代碼如下:

LONG RegSetValueEx( 

HKEY hKey, //當前打開的鍵的句柄 

LPCTSTR lpValueName, //指向非空的包含要查詢的值名稱的字符串指針 

DWORD Reserved, //保留值，必須為NULL 

DWORD dwType,//鍵值類型，比如REG_SZ、REG_DWORD等 

CONST BYTE * lpData , //指向鍵值數(shù)據(jù)的指針，注意此變量類型，不是LPCTSTR！ 

DWORD cbData//指向保存設定值長度變量的指針，以字節(jié)為單位 

);

當然也可以用函數(shù)RegDeleteValue()來刪除鍵值。操作完畢后別忘了用函數(shù)RegCloseKey()來Close。

使用這些函數(shù)很簡單，只要把相應的參數(shù)換為你要刪除或修改注冊表的相應數(shù)值，唯一值得注意的是RegSetValueEx()函數(shù)中第5個參數(shù)的類型是BYTE而不是LPCTSTR！通過這些就可以很方便刪除指定啟動項以及恢復文件關聯(lián)，為了便于大家理解，我舉個修復EXE文件關聯(lián)的例子，大家修改相應的參數(shù)就可以適用其它鍵值的修改，換用RegDeleteValue函數(shù)就可以實現(xiàn)刪除自啟動項。

復制代碼代碼如下:

HKEY hKey; 

LPCTSTR data1="/"%1/" %*";//EXE文件默認的open方式，”%1/"表EXE文件本身 

DWORD lResult=RegOpenKeyEx(HKEY_CLASSES_ROOT,"exefile//shell//open//command",0,KEY_WRITE,&hKey); 

if(lResult==ERROR_SUCCESS) 

RegSetValueEx(hKey,"",NULL,REG_SZ,(LPBYTE)data1,9);//修改鍵值 

RegCloseKey(hKey);

到這里，一個病毒專殺工具的模型就已初步完成了，大家自己編寫時只需把文中函數(shù)的形參換為你要殺的目標病毒的相應特征數(shù)據(jù)編譯即可。這個是個簡單的專殺工具，只能對付普通的木馬、蠕蟲等病毒，大家應具體情況具體分析，根據(jù)具體情況擴充該程序功能，比如有些木馬是通過修改win.ini、system.ini來實現(xiàn)自動運行,我們就需操作文件刪除相應數(shù)據(jù)，除此之外，有時還需添加終止服務、卸載DLL模塊、進入RING0操作等功能。總之，我相信大家一定能自己寫出病毒木馬專殺工具的！呵呵，是不是很有成就感呢！

希望本文所述對大家的VC程序設計有所幫助。

您可能感興趣的文章:

C語言實現(xiàn)猜拳游戲
這篇文章主要為大家詳細介紹了C語言實現(xiàn)猜拳游戲，文中示例代碼介紹的非常詳細，具有一定的參考價值，感興趣的小伙伴們可以參考一下
2020-02-02
C++ 的三種訪問權限與三種繼承方式
我們知道C++中的類，有三種訪問權限(也稱作訪問控制)，它們分別是public、protected、private，C++中繼承的方式還有多種。下面通過本文給大家詳細介紹，對c++中的訪問權限和繼承方式感興趣的朋友一起看看吧
2016-11-11
C++計算任意權值的單源最短路徑（Bellman-Ford）
這篇文章主要為大家詳細介紹了C++計算任意權值的單源最短路徑，文中示例代碼介紹的非常詳細，具有一定的參考價值，感興趣的小伙伴們可以參考一下
2020-04-04
C++實現(xiàn)從數(shù)組中同時取出最大最小元素算法示例
這篇文章主要介紹了C++實現(xiàn)從數(shù)組中同時取出最大最小元素算法,結合具體實例形式分析了C++通過數(shù)組的遍歷、排序獲取最大與最小元素的相關操作技巧,需要的朋友可以參考下
2017-09-09
Qt基礎開發(fā)之Qt文件操作類QFile讀寫文件的詳細方法與實例及QDataStream的使用方法
這篇文章主要介紹了Qt基礎開發(fā)之Qt文件操作類QFile讀寫文件的詳細方法與實例,需要的朋友可以參考下
2020-03-03
C語言中 printf 函數(shù)輸出格式
這篇文章主要介紹了C語言中 printf 函數(shù)簡介,通過實例代碼給大家介紹Printf輸出格式的相關知識，需要的朋友可以參考下
2021-08-08
Swift編程中的泛型解析
這篇文章主要介紹了Swift編程中的泛型解析,是Swift入門學習中的基礎知識,需要的朋友可以參考下
2015-11-11
vscode使用官方C/C++插件無法進行代碼格式化問題
這篇文章主要介紹了vscode使用官方C/C++插件無法進行代碼格式化問題,本文通過截圖實例代碼相結合給大家介紹的非常詳細，對大家的學習或工作具有一定的參考借鑒價值，需要的朋友可以參考下
2020-04-04
windows系統(tǒng)下C++調用matlab程序的方法詳解
這篇文章主要給大家介紹了關于在windows系統(tǒng)下C++調用matlab程序的方法，文中通過示例代碼介紹的非常詳細，對大家學習或者使用C++具有一定的參考學習價值，需要的朋友們下面跟著小編來一起學習學習吧。
2017-08-08
C++內存池兩種方案解析
這篇文章主要詳情介紹了C++內存池兩種方案做對比，對此感興趣的小伙伴一起來看看吧
2021-08-08