不提供、不協助編寫、不傳播任何惡意代碼 (木馬、病毒、勒索軟件、後門等)。本文從防禦視角分析典型 C 語言惡意代碼特徵，指導合法安全研究。
| 特徵 | 描述 | 檢測手段 |
|---|---|---|
| 自我複製/感染 | 掃描特定擴展名文件，注入自身代碼 | 特徵碼匹配、行為監控 (文件寫入) |
| 隱藏技術 | Rootkit、進程注入、DLL 劫持、時間戳竄改 | 完整性校驗、內存掃描、EDR 行為分析 |
| 持久化 | 註冊表 Run 鍵、計劃任務、服務安裝、啟動項 | Autoruns 掃描、註冊表監控 |
| 命令控制 (C2) | HTTP/DNS/ICMP 隧道、域名生成算法 (DGA)、加密通訊 | 流量分析、DNS 監控、威脅情報匹配 |
| 權限提升 | 內核漏洞利用、令牌竊取、UAC 繞過 | 補丁管理、最小權限原則、HIPS |
| 反分析 | 加殼、反調試、虛擬機檢測、代碼混淆、控制流平坦化 | 沙箱動態分析、去殼、符號執行 |
// 典型病毒感染邏輯框架 (僅結構說明，非可用代碼)
int virus() {
struct ffblk ffblk; // 文件查找結構 (DOS/舊 API)
FILE *in, *out, *read;
char *virus = "virus.c"; // 自身源文件名
char buf[50][80]; // 緩衝區存受害文件行
// ... 查找 *.c 文件
// ... 讀取受害文件內容
// ... 尋找 main 函數位置
// ... 插入 virus() 調用
// ... 寫回受害文件
// ... 複製自身代碼到受害文件
}
關鍵惡意行為：遍歷文件系統 → 解析源碼結構 → 注入調用 → 複製傳播。屬於源碼級病毒，針對 C 源文件感染。
