程序要实现下面几个功能。
第一，运行时不出现运行界面，当然，在任务管理器里，还是可以看到进程的，道行再深的病毒也不可能无迹可寻。
第二，程序在运行目录下自我复制n份。
第三，采用递归复制的方法，即第一个程序生成第二个程序，第二个程序生成第三个程序，以此类推。
源代码很简单，下面来分析一下：
|
// 不在任务栏显示 |
System.Windows.Forms.Form类封装了一般的Windows窗口程序大部分特性，极大的简化窗口界面的设计过程，上面这两个属性用于隐藏我们的程序的运行状态，第一个ShowInTaskbar属性，设置为否时，程序就不会在状态栏上面显示。第二个Opacity属性，表示窗口的不透明度，取值在0到100之间。0%的不透明度也就是100%透明了。这样，在程序运行时，你就看不见窗体了。
| // 默认复制次数 const int TOTAL = 100; int _count = TOTAL; // 正在运行的程序路径和文件名 string _file = Application.ExecutablePath; // 正在运行的程序路径 string _path = Application.StartupPath; // 正在运行的程序文件名 string _name = _file.Replace(string.Format("{0}//", _path), string.Empty).ToLower(); try { _count = int.Parse(_name.Replace(".exe", string.Empty)); _count--; } catch { } finally { } // 目标文件 string _target = string.Format("{0}//{1}.exe", _path, _count.ToString("000")); |
Application类提供了获取程序运行绝对路径并包括文件名的属性和程序运行绝对路径的文件名属性，竟然不直接提供一个文件名的属性，好奇怪。正规的截取文件名的方法应该根据"/"来判断，这里采用了替换的方法，大家可以思考一下如果用SubString怎么实现。55和56行，如果文件名不是数字，那么从100.exe开始生成，如果你执行了10000.exe的文件，那么狠糟糕，你可能需要注销一下当前用户来终止程序运行，当然，让它运行也不会有多大影响。最后，65行，我们把目标锁定在程序的当前目录下。病毒和流氓软件就没有那么客气了，经常它可能会选择磁盘根目录、C:/Winodws、C:/Windows/System32或者其他重要的系统目录中。而且病毒采用了随机的命名方式或者是模仿系统文件名称的固定命名方式，以达到隐藏自身和迷惑用户的目的。
if ((File.Exists(_file)) && (_count > 0))
{
// 复制
FileStream _fileStream = File.Open(_file, FileMode.Open, FileAccess.Read, FileShare.ReadWrite);
byte[] _buffer = new byte[_fileStream.Length];
_fileStream.Read(_buffer, 0, _buffer.Length);
_fileStream.Close();
// 如果目标已存在，删除
if (File.Exists(_target))
{
File.Delete(_target);
}
// 粘贴
FileStream _writer = File.Open(_target, FileMode.OpenOrCreate, FileAccess.ReadWrite, FileShare.None);
_writer.Write(_buffer, 0, _buffer.Length);
_writer.Close();
// 运行刚复制完成的程序
System.Diagnostics.Process.Start(new System.Diagnostics.ProcessStartInfo(_target));
}
Application.Exit();
最后，我们来完成第三个目标，自我复制并且运行复制好的新程序。前面我们得到了_file程序运行绝对路径并包括文件名，这样，我们就可以打开并读取它了。File是文件操作的静态方法，它只负责打开，关闭，创建和删除文件，对文件的读写，就要由FileStream来操作了。这里只是整个复制文件，非常的简单。病毒的特性是可以附加到别的程序或文件上，整个过程就比较复杂了。首先，需要非常了解可执行文件的结构，把原来的可执行文件分解，并且把自身也进行分解，然后重新组合成一个新的可执行文件，但是执行的次序已经改变了，程序开始会先跳转到病毒代码，保证病毒能够被执行后，再跳转回正常的程序代码，以使病毒能够得以在隐藏的状态下执行。84行调用了新复制完成的程序。以使得新复制的程序能够自动运行，并且进行下一次的复制。同样的道理，现在非常多的软件都提供了自动更新的功能，它的原理基本也是这样，下载升级包，主程序调用升级程序，如果有必要，主程序会先退出，升级程序完成对主程序或者其他文件的复制更新，然后再重新调用主程序。