home *** CD-ROM | disk | FTP | other *** search
/ NetNews Usenet Archive 1992 #30 / NN_1992_30.iso / spool / comp / virus / 4711 < prev    next >
Encoding:
Internet Message Format  |  1992-12-16  |  1.8 KB
  1. Path: sparky!uunet!spool.mu.edu!yale.edu!jvnc.net!netnews.upenn.edu!netnews.cc.lehigh.edu!news
  2. From: padgett@tccslr.dnet.mmc.com (A. Padgett Peterson)
  3. Newsgroups: comp.virus
  4. Subject: MS-DOS CHKDSK & why VER /R may not work (& something that might) (PC)
  5. Message-ID: <0013.9212161818.AA12845@barnabas.cert.org>
  6. Date: 14 Dec 92 20:05:17 GMT
  7. Sender: virus-l@lehigh.edu
  8. Lines: 38
  9. Approved: news@netnews.cc.lehigh.edu
  10.  
  11. >From:    Mike Ramey <mramey@u.washington.edu>
  12. >Subject: RE: Dangerous bug in CHKDSK that comes with MS-DOS 5.0 (PC) (fwd)
  13.  
  14. >I called Microsoft and requested the updated version for my computer
  15. >labs, even tho' we have not encountered the failure conditions yet.  I
  16. >was told that in MS-DOS version 5.0a, the date on COMMAND.COM is
  17. >11-11-91.
  18.  
  19. Just tried the VER /R trick after booting from a (relatively) old floppy
  20. with IO.SYS, MS-DOS.SYS, and COMMAND.COM all dated 03-22-91 5:10a. Guess
  21. what the report was:
  22.  
  23. MS-DOS Version 5.00
  24. Revision A
  25. DOS is in low memory
  26.  
  27. Further, COMP finds no difference between this COMMAND.COM and the one I
  28. just expanded from a new set of distribution disks that is dated 11-11-91.
  29.  
  30. However, COMP *does* find a difference between the earlier CHKDSK.EXE and
  31. the one dated 11-11-91, which has a three byte change (to make sure that
  32. the CH value is cleared ?)
  33.  
  34. Assuming that this is causing the problem, DEBUG will find the string: 
  35.  
  36.  8b 4f 0f 8b f9 (MOV CX,[BX+0F] MOV DI,CX) at offset ds:263e in the "old" and
  37.  8b 7f 0f 32 ed (MOV DI,[BX+0F] XOR CH,CH) is at the same offset in the "new"
  38.  
  39. CHKDSK.EXE. Both are 16,200 bytes long.
  40.  
  41. Sounds like there may be more than one revision A  (or why ver /r is
  42. undocumented).
  43.  
  44.                     Warmly,
  45.                         Padgett
  46.  
  47. Note: this was done without any advice/observations from Mircrosoft &
  48.       only represents what I found in minimal testing. Caveat y'all.
  49.