![](https://img-blog.csdnimg.cn/20201014180756923.png?x-oss-process=image/resize,m_fixed,h_64,w_64)
恶意代码
文章平均质量分 91
I still …
这个作者很懒,什么都没留下…
展开
-
恶意代码研究 -- 功能技术类 -- windows PE恶意代码(七)屏幕监控
屏幕监控相关APIGetDesktopWindow函数GetDC函数CreateCompatibleDC函数GetSystemMetrics函数CreateCompatibleBitmap函数SelectObject函数BitBlt函数ICONINFO结构体示例代码运行结果通过对目标计算机进行截屏,并回传截屏数据,有利于黑客通过恶意代码直接了解目标计算机的工作状态,以监控计算机的屏幕。截屏频率够快甚至还能连成一段视频。相关APIGetDesktopWindow函数该函数返回桌面窗口的句柄。桌面窗口覆原创 2021-02-01 22:12:25 · 417 阅读 · 0 评论 -
恶意代码研究 -- 功能技术类 -- windows PE恶意代码(六)U盘监控
U盘监控实现原理相关APIWindowProc函数DEV_BROADCAST_HDR结构体DEV_BROADCAST_VOLUME结构体示例代码总结windows应用程序是由消息(事件)驱动的,任何一个窗体都能接收消息,并可以通过回调函数处理消息。同样,U盘和其它移动设备的插入或者拔出也会有消息对应,这个消息是WM_DEVICECHANGE。若想编程实现对U盘插入拔出的监控,只需要捕获这个消息并对之进行处理就行了。实现原理相关APIWindowProc函数该函数是一个应用程序定义的函数。它处理发送原创 2021-01-31 11:17:31 · 645 阅读 · 0 评论 -
恶意代码研究 -- 功能技术类 -- windows PE恶意代码(五)文件监控
文件监控具体过程相关APICreateFile函数CreateThread函数FILE_NOTIFY_INFORMATION结构体ReadDirectoryChangesW函数示例代码运行结果流程图具体过程打开目录,获取文件句柄,调用CreateFile获取文件句柄,文件句柄必须要有FILE_LIST_DIRECTORY权限。调用ReadDirectoryChangesW设置目录监控。判断文件操作类型,只要有满足过滤条件的文件操作,ReadDirectoryChangesW函数会立马返回原创 2021-01-30 12:24:15 · 344 阅读 · 0 评论 -
恶意代码研究 -- 功能技术类 -- windows PE恶意代码(四)远程cmd
远程CMD流程相关APICreatePipe函数CreateProcess函数WaitForSingleObject函数ReadFile函数示例代码总结windows系统中,cmd相当于在windows窗口中使用dos系统。简单理解就是通过黑乎乎的命令行界面完成键盘鼠标的操作,类似linux下的bash。远程cmd可以看作一种后门,用于将受害者信息发送给攻击者或者传输恶意可执行程序(下载器),最常用的功能是接收攻击端传送过来的命令,执行某些操作。Windows系统中有很多WIN32 API可以执行CM原创 2021-01-28 22:32:11 · 487 阅读 · 0 评论 -
恶意代码研究 -- 功能技术类 -- windows PE恶意代码(三)按键记录
按键记录操作流程注册原始输入设备获取原始输入数据保存按键信息相关APIRegisterRawInputDevices函数RAWINPUTDEVICE结构体GetRawInputData函数RAWINPUT结构体编程实现RawInputTest.hresource.hVirtualKeyToAscii.hRawInputTest.cppMain.cpp运行结果收集用户的所有按键信息,分辨出哪些类似于账号,密码等关键信息进行利用,窃取密码,这里用原始输入模型直接从输入设备上获取数据,记录按键信息。要想接收设原创 2021-01-27 22:16:04 · 474 阅读 · 0 评论 -
恶意代码研究 -- 功能技术类 -- windows PE恶意代码(二)文件遍历
文件遍历相关API函数结构体操作流程示例代码IDA反汇编后的伪代码不管用什么计算机语言写代码,文件遍历都是不可或缺的操作,以便对文件进行批量处理。对恶意代码来说文件读写就是必备功能了,比如说木马病毒窃取机密文件然后开一个隐秘端口将文件内容发送回去。相关API函数这里用到了windows api提供的FindFirstFile和FindNextFile函数。msdn对这两个函数的描述:FindFirstFileFindNextFileWFindFirstFile定义如下:该函数查找指定原创 2021-01-26 22:18:03 · 220 阅读 · 1 评论 -
恶意代码研究 -- 功能技术类 -- windows PE恶意代码(一)进程遍历
恶意代码研究1.进程遍历创建进程快照遍历首次进程遍历下个进程API调用链恶意代码的包括计算机病毒、蠕虫、木马、后门、流氓软件、Exploit等等。恶意代码常见功能技术如下:进程遍历,文件遍历,按键记录,后门,桌面截屏,文件监控,自删除,U盘监控。知己知彼,百战不殆。1.进程遍历进程遍历获取计算机上所有进程的信息(用户进程,系统进程),通常是为了检索受害进程,检测是否运行在虚拟机中,以及是否存在杀软等,有时候反调试技术也会检测进程名。所以在恶意代码中进程遍历很常见。进程遍历的过程如下:创建进程快原创 2021-01-26 11:00:05 · 567 阅读 · 0 评论