学习笔记-第十二章 恶意代码分析实战

第12章 隐蔽的恶意代码启动

1.启动器
	启动器是一种设置自身或其他恶意代码片段以达到即使或将来秘密运行的恶意代码。
	启动器的目的是安装一些东西，以使恶意行为对用户隐蔽。
	启动器经常包含它要加载的恶意代码。最常见的情况是在它的资源节中包含一个可执行文件或者dll。
	正常情况下，Windows pe文件格式中的资源节是供可执行程序使用的，但并不应该是可执行程序的
	组成代码。正常资源节的内容包括图标，图片，菜单，以及字符串。启动器通常在资源节存储恶意
	代码，当启动器运行时，它在运行嵌入可执行程序或者DLL程序之前，从资源节将恶意代码提取出来。
	
	恶意代码启动器通常需要管理员权限运行，或者通过提取拥有这些权限。普通的用户进程不能执行
	我们本章讨论的技术。

2.进程注入
	隐藏启动最流行技术是进程注入。顾名思义，这种技术是将代码注入到另外一个正在运行的进程中，
	而被注入的进程会不知不觉的运行注入的代码。恶意代码编写者通过进程注入技术隐藏代码的行为，
	有时他们也试图使用通过进程注入技术绕过基于主机的防火墙和那些针对进程的安全机制。
	
	某些Windows api通常被用来执行进程注入。例如，virtualAllocEx函数用来在另外一个进程中分配
	一块内存空间。writeProcessMemorty函数用来向virtualAllocEx函数分配的地址空间写数据。
	
	1.DLL注入，DLL注入是进程注入的一种形式，强迫远程进程加载恶意DLL程序，同时它也是最常
	使用的秘密加载技术。DLL注入代码将代码注入到一个远程进程，并让远程进程调用loadLibrary，
	从而强制远程进程加载一个DLL程序到它的进程上下文。一旦被感染的进程加载了恶意代码，操作
	系统就会自动地调用DLLMain函数，DLLMai'n函数由DLL作者编写。
	
	2.直接注入，同DLL