前言：
可能大家想到病毒，第一反应就是可能是用asm来编写，或者是vbsript，而高级语言如delphi就好象不能编写一样，其实事实并不是这个样子的，只要我们花一些时间，照样可以写出简短而高效的病毒程序来，一点也不输那些用汇编写出来的程序哦。
一个病毒程序首先要短小，我们的目标是经过压缩后控制在30k以下。用过delphi的朋友都知道，如果在uses里面加入forms,classes.....等就会使目标文件非常的大，所以，在我们的程序里，我们要尽可能的不用这些库。我们只用windows,winsock,shellapi,sysutils(这个里面包含了一些常用的函数，比如对文件的操作，对字符串的操作，如果用自己的程序来代替，目标文件会更加的小)

首先，我们知道，一个病毒程序一般都分下面三个模块：
①保护模块；
②感染模块；
③发作模块。
下面我们就从这三个模块开始，分别实现他们的代码。

一)保护模块。
一般，我们都是把自身拷贝到系统的一些目录里，比如%systemroot%
那么，我们首先要取得这些特定的目录的路径
sdk里面给我们提供了一个这样的函数GetSystemDirectory
UINT GetSystemDirectory(
LPTSTR lpBuffer, // 存放返回的字符串的缓冲区
UINT uSize // 上面的缓冲去的长度
);
相关的函数还有GetWindowsDirectory可以得到%windows%的路径

     自磁芯大战以来，病毒从DOS时代的病毒发展到WINDOS系统的病毒，从变形、加密到智能化现在的病毒是让人防不胜防，现在网络上病毒大肆泛滥，给人们带来的很大的危害，本人在此仅做抛砖引玉，介绍病毒的原理，希望大家共同研究交流。（本文参考了网络上的部分文章，并引用了部分内容。）  
要学DOS下的病毒，首先你必须要学会或掌握汇编语言。DOS下病毒一般分为引导型病毒、文件型病毒、混合型病毒等。大部分病毒是感染COM和EXE文件，因此你必须了解COM文件和EXE文件结构。  
一 .COM文件结构及原理  
.COM 文件比较简单，.COM文件包含程序的一个绝对映象―――就是说,为了运行程序准确的处理器指令和内存中的数据，MS-DOS通过直接把该映象从文件拷贝到内存而加载.COM程序，它不作任何改变。为加载一个.COM程序，MS-DOS首先试图分配内存,因为.COM程序必须位于一个64K的段中，所以.COM文件的大小不能超过65,024(64K减去用于PSP的256字节和用于一个起始堆栈的至少256字节)。如果MS-DOS不能为程序、一个PSP、一个起始堆栈分配足够内存，QQ:9750406则分配尝试失败。否则，MS-DOS分配尽可能多的内存(直至所有保留内存)，即使.COM程序本身不能大于64K。在试图运行另一个程序或分配另外的内存之前,大部分.COM程序释放任何不需要的内存。  
分配内存后，MS-DOS在该内存的头256字节建立一个PSP，如果PSP中的第一个FCB含有一个有效驱动器标识符，则置AL为00h,否则为0FFh。MS-DOS还置AH为00h或0FFh，这依赖于第二个FCB是否含有一个有效驱动器标识符。建造PSP后,MS-DOS在PSP后立即开始(偏移100h)加载.COM文件，它置SS,DS和ES为PSP的段地址，接着创建一个堆栈.为创建一个堆栈，MS-DOS置SP为0000h,若已分配了至少64K内存;否则,它置寄存器为比所分配的字节总数大2的值.最后，它把0000h推进栈（这是为了保证与在早期MS-DOS版本上设计的程序的兼容性）。MS-DOS通过把控制传递偏移100h处的指令而启动程序.程序设计者必须保证.COM文件的第一条指令是程序的入口点。注意，因为程序是在偏移100h处加载，因此所有代码和数据偏移也必须相对于100h.汇编语言程序设计者可通过置程序的初值为100h而保证这  
一点(例如通过在原程序的开始使用语句org 100h).  

////////////////////////////
/////// ********.vxd ///////
////////////////////////////

#define DEVICE_MAIN
#include "traceit.h"
Declare_Virtual_Device(TRACEIT)
#undef DEVICE_MAIN

TraceitVM::TraceitVM(VMHANDLE hVM) : VVirtualMachine(hVM) {}

TraceitThread::TraceitThread(THREADHANDLE hThread) : VThread(hThread) {}

//-----------------------------------------
#define HookNo  0x30
#define HookCode 0x30cd

VMMFault_THUNK        thunkVMMFault;
PMFault_THUNK        thunkPMFault;

DWORD m_Address[3];
WORD  m_Code[3];
WORD  m_AppCode;
BOOL  m_bAppFlag;
DWORD m_OEP;

一、如何在图形界面建立隐藏的超级用户
图形界面下适用本地或开3389终端服务的肉鸡上。上面我提到的那位作者说的方法很好，但是较为复杂，还要用到psu.exe(让程序以系统用户身份运行的程序），如果在肉鸡上的话还要上传psu.exe。我说的这个方法将不用到psu.exe这个程序。因为windows2000有两个注册表编辑器:regedit.exe和regedt32.exe。XP中regedit.exe和regedt32.exe实为一个程序，修改键值的权限时在右键中点"权限"来修改。对regedit.exe我想大家都很熟悉，但却不能对注册表的项键设置权限，而regedt32.exe最大的优点就是能够对注册表的项键设置权限。nt/2000/xp的帐户信息都在注册表的HKEY_LOCAL_MACHINESAMSAM键下，但是除了系统用户SYSTEM外，其它用户都无权查看到里面的信息，因此我首先用regedt32.exe对SAM键为我设置为"完全控制"权限。这样就可以对SAM键内的信息进行读写了了。具体步聚如下：
1、假设我们是以超级用户administrator登录到开有终端服务的肉鸡上的，首先在命令行下或帐户管理器中建立一个帐户:hacker$,这里我在命令行下建立这个帐户
net user hacker$ 1234 /add
2、在开始/运行中输入:regedt32.exe并回车来运行regedt32.exe。
3、点"权限"以后会弹出窗口
点添加将我登录时的帐户添加到安全栏内，这里我是以administrator的身份登录的，所以我就将administrator加入，并设置权限为"完全控制"。这里需要说明一下:最好是添加你登录的帐户或帐户所在的组，切莫修改原有的帐户或组，否则将会带来一系列不必要的问题。等隐藏超级用户建好以，再来这里将你添加的帐户删除即可。
4、再点"开始"→"运行"并输入"regedit.exe" 回车,启动注册表编辑器regedit.exe。
打开键：HKEY_LOCAL_MAICHINESAMSAMDomainsaccountusernameshacker$"
5、将项hacker$、00000409、000001F4导出为hacker.reg、409.reg、1f4.reg，用记事本分别打这几个导出的文件进行编辑，将超级用户对应的项000001F4下的键"F"的值复制，并覆盖hacker$对应的项00000409下的键"F"的值,然后再将00000409.reg与hacker.reg合并。

一、什么是windows服务


Windows服务应用程序是一种需要长期运行的应用程序，它对于服务器环境特别适合。它没有用户界面，并且也不会产生任何可视输出。任何用户消息都会被写进Windows事件日志。计算机启动时，服务会自动开始运行。它们不要用户一定登录才运行，它们能在包括这个系统内的任何用户环境下运行。通过服务控制管理器，Windows服务是可控的，可以终止、暂停及当需要时启动。


上面的这些是在网上摘的

我也加上一些个人看法，服务就是windows的内核程序之类的，有很多程序靠它启动，如果你关闭了某些服务，那么Windows的有些功能就会关闭，如系统还原，呵呵，服务也占用内存的，有的大，有的小，关键看是什么服务了哦～现在的流行的一些软件为了防止你误关闭，也在服务中添加了自己的服务项，如杀毒软件，所以你在关闭了杀毒软件的监控后它又会自动启动的,原因就是你没有关闭它的服务。