本文收錄多款經典惡意代碼原始碼片段，包括熊貓燒香變種「仇英」、Cabir手機蠕蟲、Love Letter、Backdoor等，並以WinCE.Dust為例深入剖析Windows CE平台病毒的感染邏輯、API動態導入技術、PE結構解析與繞過系統保護機制的手法。

WinCE.Dust核心技術解析

1. 病毒進入點與堆疊佈局

進入點 virus_start 保存所有暫存器，建立堆疊框架，預留空間儲存導入函數位址（udiv、malloc、free、檔案映射、檔案搜尋、MessageBox等）。

2. 動態導入API：透過序數而非函數名

為相容不同版本coredll.dll，病毒不使用函數名稱，而是掃描記憶體中的模組鏈表（KDataStruct → aInfo[KINX_MODULES]），定位 coredll.dll 模組結構，取得其映像基址與導出表RVA，再依序數解析所需API位址。此技術繞過了WinCE無PE標頭、無SEH的限制。

3. 感染邏輯：查找並感染*.exe檔案

• 呼叫 FindFirstFileW/FindNextFileW 遍歷根目錄（註：原碼因未處理當前目錄路徑，實際僅掃描根目錄）。
• 檔案大小 < 4096 位元組則嘗試感染（infect_file）。
• 感染方式：將病毒體寫入檔案，修改進入點跳轉至病毒碼，執行完畢跳回原始進入點（host_ep）。

4. 相容性與限制

程式碼針對Pocket PC 2003 (WinCE 4.20.0 build 13252) 測試通過。不同版本模組結構偏移可能不同，需動態調整。作者亦嘗試過掃描記憶體尋找「MZ」標頭定位kernel32基址（Win32常用技巧），但WinCE模組無標頭而作罷。

行動惡意代碼演進趨勢

• 從概念驗證（Proof-of-Concept）走向商業化竊取（如Cabir透過藍牙傳播、WinCE.Dust感染可執行檔）。
• 大量採用動態導入、反除錯、加密混淆、Rootkit隱藏技術。
• 目標從單純破壞轉向竊取隱私（通訊錄、簡訊、GPS）、發送付費簡訊、植入廣告、構建行動僵屍網路。

防禦建議

1. 僅從官方應用商店下載應用，避免側載未簽名程式。
2. 保持作業系統與安全補丁最新。
3. 安裝行動端安全軟體，啟用即時掃描與網路防護。
4. 企業部署MDM/EMM方案，強制加密、遠端擦除、應用白名單。

聲明：原始碼僅供學術研究與防禦技術分析，嚴禁用於製造或傳播惡意程式。