精华区 [关闭][返回]

当前位置:网易精华区>>讨论区精华>>电脑技术>>● 电脑病毒>>★请不要忘记KV逻辑炸弹★>> KV300的报复(2)(转贴)

主题: KV300的报复(2)(转贴)
发信人: wl()
整理人: jia(1998-08-12 12:47:25), 站内信件
# From : Junyi Zhang, 6:650/27 (Fri, 27 Jun 97 07:47)
# To   : All
# Subj : 王江民的报复㈡
 发信人: bluesea (蓝海), 信区: Virus
标  题: KV300炸弹─KV300 L++破坏行为的初步分析
发信站: BBS 水木清华站 (Thu Jun 26 05:52:00 1997)
                                                                                
KV300炸弹─KV300 L++破坏行为的初步分析
======================================

    【警告】在使用 http://av-china.base.org 的MK300V4 制作的磁盘上
启动KV300 L++ 版本,计算机硬盘数据将可能受到重度破坏。至少包括计算
机从软盘引导失败、逻辑 C: 盘数据丢失。有无其他伴生现象,如病毒等尚
未验证。关于其他问题参见“对 KV300逻辑炸弹的责任分析”一文。

    【结论】KV300 L++ 版本程序本身包含对用户计算机实施破坏的代码和
潜在的能力。由于 mk300v4 在制作 Key盘后不参与试验的进行, 并且可以
确认 Key盘指纹等数据不包括可执行的代码,因此 Key盘只是激发条件之一。
经过下面严格的的验证,KV300 L++ 已经满足逻辑炸弹的定义,本文命名其
为“kv300炸弹”。由于下面的原因,KV300 L++对无辜用户有潜在的威胁:
(1) 用户购买 KV300 商品无法识别真伪;
(2) 对于非商业性的研究和破解可能要付出额外的代价;
(3) 由于磁盘的不稳定和离散性,不排除正版用户被误判的可能。

    由于病毒的定义包括自传播机制,我本人对下面的研究没有时间彻底完
成,因此,无法下病毒的结论,但实施破坏作用是事实。希望其他朋友补充。
由于是满足一定条件而实施破坏,暂定名为“KV300炸弹”。

    【背景】我第一次得到这个消息是 97年6月25日早晨,在水木清华 BBS
的病毒讨论区,看到有BBS 成员从其他BBS 转载文章。该文及后文已经被我
做了文摘标记并放入该讨论区精华区的待处理目录。

    随即,我立刻通过 Internet 到北京江民新技术有限责任公司的网点:
http://www2.east.cn.net/~wjm/ 下载了KV300 L++ 版本,压缩卷文件名
kv300laa.zip,文件大小316832 bytes。

    mk300v4 我已经下载过,为确认,我从http://av-china.base.org (实
际该地址指向http://www.geocities.com/SiliconValley/Vista/8237)再次
下载该文件,并比较没有变化。mk300v4 制作的Key盘在使用KV300 L+ 和先
前版本时,未见BBS 等讨论区有异常反映。我本人也试验过,没有发现安全
性问题。                                                                        

    我在 6月25日晚找了台计算机开始做准备和试验。                                
    【试验环境】486-Dx2/66 兼容机,Award BIOS 4.50G, 一大一小双软
驱,BIOS 设置软驱 Swap 为 Off,3.5"软驱为B:,启动顺序为C:,A:。硬盘
为 540MBytes,选用Normal(非LBA),平分为C、D两个MS-DOS分区。 安装的
MS-DOS 6.22。KV300 正版磁盘升级到 L++一张,空软盘若干。

    【准备工作】根据网上文章叙述、和历来的讨论,我猜想可能和今年一
月科大发生的“KV300 病毒”相似,该病毒后被江民公司命名为“8888变形
鬼魂”与“合肥一号”,具体是谁所为没有得到确认。通常的说法有两个,
一是王江民编写或指使,制作了两个 B版KV300 ,其中一个版本对使用盗版
的计算机实施破坏;另一个说法是科大学生解密KV300 后加进去一个病毒。
到目前为止尚没有听到公安部门对上述两者之一实行判决。因此我个人不能
确定是否是上述说法或第三中说法。

    所谓准备,至多是在数据恢复不了的情况下,计算机还得能启动。根据
我的知识,病毒软件不可能计算机硬件。
                                                                                
(1) 用mk300v4.2a制作 Key盘,并将 kv300laa.zip 解压缩至软盘并拨开写
    保护使其有效,该盘代号为 LAAD。
                                                                                

(3) 制作 MS-DOS 6.22 3.5" 启动工具盘一张,包括下面内容:
    基本系统文件:   io.sys msdos.sys command.com drvspace.bin
    MS-DOS 外部命令:debug.exe fdisk.exe format.com sys.com
                     chkdsk.exe scandisk.exe attrib.exe
    Norton9实用程序:diskedit.exe diskedit.hlp
    该盘代号为 BOOTSYS。并启动检验成功。
(4) 用 HD-COPY复制 BOOTSYS,用 pctools编辑 io.sys (40774bytes)
    查找 b9 01 00 cd 13,只有一处,
    改为 b9 10 00 cd 13。该磁盘代号为 BOOTPRO。
    该盘的意义在于修改 MS-DOS ,使得在引导区处于特殊数据结构时状态
    时仍然可以通过软盘引导计算机。

(5) 妥善备份硬盘数据。格式化软盘存放数据,代号为 SAVEDATA。

    【试验过程】

(6) 该硬盘每柱面 63 扇区,经 diskedit 检查发现首 63 扇区中间有垃圾
    (不是病毒),设法清成零,选择 0,0,1 ~ 0,1,0(柱/头/扇,下同),共
    64个扇区,存成软盘文件 Good64.dat 于 SAVEDATA。
                                                                                
(7) 用 LAAO 检查 LAAD,报告没有病毒,排除 KV300 由于江民公司失误而
    感染一种已知病毒的可能。

(8) 在 B: 插入 LAAD,运行 KV300,两个软驱交替寻道后系统死机。

(9) 抽出软盘,按 Reset 按钮令系统复位,硬盘启动失败,未出现
    Starting MS-DOS... 字样。再重复两次,结果相同。

(10)按 Reset 按钮令系统复位,修改 BIOS Setup(CMOS RAM),将磁盘引导
    顺序改为 A:,C:,并 Swap 软驱使 3.5"软驱为 A:。

(11)用 BOOTSYS 插入 A:,引导计算机,启动失败。未出现
    Starting MS-DOS... 字样。再重复两次,结果相同。

(12)用 BOOTPRO 插入 A:,引导计算机,启动成功。列 C: 目录报告为
    Invalid media。                                                             

(13)启动 diskedit,能识别物理硬盘的存在。选择 0,0,1 ~ 0,1,0 并存成
    软盘文件 BAD64 于 SAVEDATA。

(14)重复步骤11,启动成功。【注】“合肥一号”我没有仔细研究过,但上
    述 (8)~(14) 适用于合肥一号。

(15)Chkdsk c:,发现完全紊乱。用 diskedit检查文件分配表表示数据簇的
    部分已经改为 01。文件分配表开始的几个字节没有坏。 此时执行步骤
    (9)必失败。

(16)我的试验没有继续,用 BOOTSYS 插入软驱,Format c: /u /q /s 
    系统恢复,数据没有直接恢复,从原备份恢复。

(17)经过比较Good64.dat 和 Bad64.dat,中间的62扇区都为0,没有变化。
    KV300 除修改了硬盘主引导记录和分区表 (MBR, 0,0,1)外, 还将逻辑
    C 盘的引导记录替换成未知的数据。( 我没有仔细分析其结构以及能否
    由此恢复硬盘数据)

(18)我发现这台试验用机,LAAD 的 KV300 在 A: 能够启动成功,而在 B:
    时则实施破坏。反复几此如是。

    【结论】KV300 L++ 版本程序本身包含对用户计算机实施破坏的代码和
潜在的能力。由于 mk300v4 在制作 Key盘后不参与试验的进行, 并且可以
确认 Key盘指纹等数据不包括可执行的代码,因此 Key盘只是激发条件之一。
经过上面的严格验证,KV300 L++ 已经满足逻辑炸弹的定义,本文命名其为
“kv300炸弹”。由于下面的原因,KV300 L++对无辜用户有潜在的威胁:
(1) 用户购买 KV300 商品无法识别真伪;
(2) 对于非商业性的研究和破解可能要付出额外的代价;
(3) 由于磁盘的不稳定和离散性,不排除正版用户被误判的可能。

(19)关于“KV300病毒”、“合肥一号”的相关内容参见水木清华 BBS 病毒
    讨论区精华区。                                                              

    【附录】试验结果 Good64.dat 和 Bad64.dat 被压缩在 KVBOMB.ZIP文
件中,可以到 telnet://bbs.net.tsinghua.edu.cn 水木清华的病毒讨论区
精华区来下载。                                                                  


===============================================================================

--
※ 来源:·Netease BBS nease2.gznet.com·[FROM: 202.96.161.115]

[关闭][返回]