木马病毒隐身穿墙术解密之花指令和终止进程

今天我们要了解的，就是另外两种攻击者喜欢使用的 木马 隐身技术：给 木马 程序加花指令和终止 安全软件 进程。 　一、对 木马 使用花指令 　　花指令就是指程序中包括了跳转指令及一些无用的指令在内的汇编指令段，有加区加花和去头加花两种，通常是用来改变程序的入口点或打乱整个程序的顺序。而一些 杀毒 软件 在进行 木马 查 杀工作时，都是按从程序的开头到结尾的顺序进行检测的，以此来找到与 病毒 库中某一特征码相似的特征。甚至一些 杀 毒软件 就是以程序的入口点作为特征码的。因此，如果 木马 的程序顺序被打乱，或者程序的入口点被修改，那么， 杀毒 软件 也就很难检测出它来，于是就达到了隐身的目的。能完成这些工作的，就是在 木马 程序中使用花指令。 　　要在 木马 程序中使用花指令，可以有两种方式，一种是使用互联网上现成的，另一种是攻击者自己编写或者使用花指令生成 软件 。由于互联网上现成的花指令同样会被 杀毒 软件 厂商所得到，因此不会有什么好的保护效果。对于有一定汇编技术的攻击者来说，就会使用自己编写花指令的方式，还可以使用一些花指令生成 软件 ，如超级加花器和花蝴蝶等。 　　正是由于给 木马 添加不易被检测到的花指令需要高超的 编程 技术，也就很少有普通的攻击者使用这种方式，至少在没有陌生的花指令生成 软件 出现之前，是不太喜欢使用它的。 　　并且，由于对 木马 使用花指令也只是对其可执行文件本身有效，当其加载至内存后，这种隐身方式将失去作用。因此，使用具有内存查 杀功能的 杀毒 软件 ，就能够非常容易地检测到只使用这种隐身方式的 木马 病毒的。 　　在当前具有内存查 杀 功能的 安全 软件 之中，查 杀 花指令保护 木马 比较好的就是EWIDO了。也可以使用Ollydbg程序先将 木马 加入到内存中后再查 杀。同时，还可以使用像“花指令清除器”一类的花指令检测 软件 ，来识别和除去花指令。 二、终止 安全软件 进程 　　现在，几乎所有的 木马 都在使用一种十分有效的、躲避 安全 检测 软件 的方法，就是终止系统中所有 安全软件 的进程，从而达到了不会被查 杀 的目的。 　　而要实现这种功能，只要 木马 能够枚举系统中的所有正在运行的进程，然后从中找到匹配的 安全软件 进程名，通过发送一个终止进程的Windows消息给它，就可以结束这些正在运行的 安全软件 。 　　还可以通过挂起 安全软件 的所有子进程，以此来冻结其父进程。或者通过查找并修改 安全软件 已经加载在内存中的 代码 ，让 安全软件 的进程崩溃而退出运行。 　　有时，为了防止由于终止 安全软件 进程而引起 计算机 用户的注意，会在系统任务栏的托盘区产生与 安全软件 图标相似的图标来欺骗用户，以此来延长在系统中存活的时间。所有的种种，都是为了达到不被查 杀 的目的。 　　要防范这种方式的 木马 攻击。首先， 杀 毒软件 等 安全软件 本身要已经具有忽略来自系统结束任务消息的功能，以防止通过Windows消息来结束 安全 运行进程的攻击。另外，最好的方法就是系统用户自己在平时使用 计算机 过程当中，要不断查看系统中 安全软件 或其它进行的运行情况，一旦发现原本开机启动的 安全软件 没有运行或启动不了，就应该怀疑是否已经有 木马 在系统中运行了。此时，应当检测系统中所有正在运行的进程是否有可疑的，例如使用IceSword和ProceXP这两款 软件 来检测，或通过查看系统日志来发现可疑问题。 三、修改 安全软件 的配置文件 　　每一个 安全软件 ，都会将它的 安全 设置放入到一个配置文件当中，然后在每次系统启动时读取这个文件，并以这个文件中的设置内容来设置保护方式。这些配置文件，对于单机版的 安全软件 来说，一般都是保存在用户系统硬盘当中的某个位置的。因此，在系统中运行的 木马 程序也是可以获得这些 安全软件 的配置文件的，然后就可以对这些文件中的配置内容进行修改。例如修改防 火 墙对所有的程序都放行，修改 杀 毒软件 在任何时候都不进行系统扫描检测。这样就能躲避 杀 毒软件 ，又能穿过防 火 墙与攻击者进行 网络 连接。 　　但是，对于这些配置文件， 安全 软件 也是会对它们进行 加密 的。因此，要修改这些配置文件也不是那么容易就实现的。不过， 木马 还是会通过一些方法来完成修改 安全软件 配置文件的任务的。例如进行反向连接，然后由攻击者通过远程控制修改 安全 软件 的设置。还可以通过对 安全软件 已经加载到内存中与配置相关的位置进行填充或修改等等。尤其是对于哪些将 安全 设置项写入到注册表中的，要修改就更加容易一些了。不过，攻击者不会常用这种方式，毕竟实现起来比其它要麻烦得多。 　　要防止这种 木马 攻击，使用主动防御型 杀毒 软件 (如Mcafee)和防 火墙( 如Tiny Firewall)，能达到一定的预防效果。还可以使用Filemon和Regmon软件对系统文件和注册表进行 监控，以此来提醒用户有某种非法文件修改行为在发生，以及哪些文件和注册表项被修改了。 中国红客安全联盟推荐码：ZN659846 QQ群：7603826

分享到: QQ空间 腾讯微博 腾讯朋友