说起木马没有人不知道吧,想必各位大哥的灰鸽子里都有数也数不清,让我等小菜羡慕不已的肉鸡吧,本人天生愚钝,
怎么也用不明白这个灰鸽子,又要域名又要FTP的.还好在下学过点编程,既然别人的不好用自己写一个得了,自己写的
不应该不会用了吧,哪我们就开始我们的木马之旅吧.
1.通信技术
几乎所有的网络程序都要涉及到socket的编程,然而socket到底是什么呢?
socket是在Unix系统上提出来的,一开始主要用于本地进程通信,但很快用到了C/S(client/server)体系中用于网络中两台主机之间的
通信.说的形像点,socket像一个管子(或许有点不太恰当),你用它把两台主机连接起来,然后在管子的一头放东西,在另外一头就可以
接收这些东西了.有了这个管子当然我们还要有操作这个管子的工具,这些工具就是socket函数.基本的socket函数如下:
int socket(int family, int type, int protocol);
int closesocket(int socket);
int bind(int s, const struct sockaddr * name, int namelen);
int listen(int s, int backlog);
int accept(int s, struct sockaddr *addr, int *addrlen);
int connect(int s, struct sockaddr *name, int namelen);
int send(int s, const char *buf, int len, int flags);
int sendto(int s, const char *buf, int len, int flags, const struct sockaddr *to, int tolen);/* 用于UDP */
int recv(int s, char *buf, int len, int flasg);
int recvfrom(int s, char *buf, int len, int flags, struct sockaddr *from, int *fromlen);/* 用于UDP */
基本函数就这些了,是不是很少呀,原来哪么厉害的木马就是用这么几个函数写成的呀,嘿嘿
好了下面我就以一个例子给大家介绍一个这几个函数的用法,木马程序应该算是比较典型的C/S体系,所以下面将有两个程序,
一个server,一个client
server端的流程如下(括号内为使用的socket函数):
生成socket(socket)->
将生成的socket与本地的IP地址和指定端口绑定(bind)->
在此socket上监听(listen)->
接受来自客户端的连接请求(accept : accept将会返回一个新的socket,以后的通信都在此socket上进行)->
开始用accept新生成的socket上进行通信(send, sendto, recv, recvfrom)->
通信完毕关闭连接(closesocket : accept生成的socket和原始的监听socket都要关闭)
client端的流程如下:
生成socket(socket)->
与指定的服务端(connect : 指定了IP地址和端口)->
开始通信(send, sendto, recv, recvfrom)->
通信结束关闭连接(closesocket)
当然这只是最基本的一些东西,写在这里只是想告诉哪些没有学习过网络编程的人,其实很简单的.
(如果有时间不要总想着搞别人机子,好好学习天天向上,嘿嘿)
有了以上的基础,我们已经可以写出最简单的木马了,只要我们把想执行的命令发给服务端然后
服务端执行就可以了,怎么发挥就看你自己了.
2.自启动技术
我们的木马可以通信了,但总不能让受害人自己去执行吧(哪有这么傻的人呀,也介绍我一个)
2.1 加到开始菜单的启动里.
2.2 加到计划任务里并设成每次启动时执行.
2.3 加到注册表的启动里,以下为涉及到的键值.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Runservices
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\currentversion\runonce
HKEY_CURRENT_USER\SOFTWARE\Microsoft\windowsnt\currentversion\windows
建一个字符串名为load键值为自启动程序的路径但是要注意短文件名规则
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\windowsNT\CurrentVersion\Winlogon
2.4 写成Windows的服务,并设为自动.(提供示例代码)
2.5 替换windows的正常但无实际用处的服务或程序.
2.6 利用autorun.inf,现在U盘病毒最常用的方法.以下为一个autorun.inf文件内容
[AutoRun]
open=要执行的文件名
shellexecute=要执行的文件名
shell\Auto\command=要执行的文件名
shell=Auto
2.7 利用文件关联,
正常情况下txt文件的打开方式为Notepad.exe文件,如果一旦中了文件关联类的木马,这样打开一个txt文件,
原本应该用Notepad打开该文件的,现在却变成了启动木马程序了
HKEY_CLASSES_ROOT\exefile\shell\open\command,这里是exe文件的打开方式,默认键值为:”%1″%*.
如果把默认键值改为horse.exe “%1″%*,您每次运行exe文件,这个horse.exe文件就会被执行,其它的类似
以下注册表键也涉及到文件关联
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts
2.8 利用windows启动文件
可以利用的文件有Win.ini,system.ini,Autoexec.bat,Config.sys
3.隐藏技术
木马的泛滥也提高的人们的安全意识,人们都会打开任务管理器看看有没有什么可疑进程,又或者用netstat -an看看有没有什么可疑端口
3.1 进程的隐藏
1.起一个好名字,不要叫什么MyDoor,MyHorse什么的傻子都看出来了不是什么好东西,比如叫什么svchost呀,rundll32,这样就会好的多了
2.写DLL木马,直接用rundll32启动,这样只会多一个rundll32进程而已.
其命令行下的使用方法为:Rundll32.exe DLLname,Functionname [Arguments]
DLLname为需要执行的DLL文件名;Functionname为前边需要执行的DLL文件的具体引出函数;[Arguments]为引出函数的具体参数.
这里要注意三点:
1.Dll文件名中不能含有空格,比如该文件位于c:\Program Files\目录,你要把这个路径改成c:\Progra～1\;
2.Dll文件名与Dll入口点间的逗号不能少,否则程序将出错并且不会给出任何信息!
3.这是最重要的点:Rundll不能用来呼叫含返回值参数的Dll,例如Win32API中的GetUserName(),GetTextFace()等.
3.用DLL直接插入系统进程比如explorer,svchost等等(以前的,提供例程)
4.编写驱动,进行内核级进程的隐藏.(学习中…提供示例和网页)
3.2 端口的隐藏
1.用一个周知口,但前题是这个端口没有在主机上被使用,比如7.21.22.23……
2.使用嗅探型木马,既监听所有数据包再进行分析.(提供例程)
3.3 文件隐藏
1.和进程隐藏一样起一个好点的名字.
2.把文件属性设为系统 隐藏
3.在windows下无法以设备名来命名文件或文件夹,这些设备名主要有aux、com1、com2、prn、con、nul等,但windows2000/XP
有个漏洞可以以设备名来命名文件或文件夹,让木马可以躲在那里而不被发现.
具体方法是:用命令提示符窗口,然后输入md c:con\命令,可以建立一个名为con的目录.默认请况下,windows是无法建立这
类目录的,正是利用了windows的漏洞我们才可以建立此目录.
4.利用NTFS流
首先用记事本新建两个文本文档,分别名为“1.txt”“2.txt”,其内容为“正常文件、数据流文件”,打开CMD命令行窗口,
进入两个文件所在文件夹,输入 type 2.txt>1.txt: shujuliu.txt,回车.即可将文件2.txt的内容加入1.txt,
内容以数据流方式保存,该数据流名为shujuliu.txt.在资源管理器中查看宿主文件1.txt,发现文件的修改日期和文件大小
都无变化,现在删除2.txt,执行命令:notepad 1.txt:shujuliu.txt ,即可查看数据流文件中的文件内容了.(提供例程)
资源文件列表
codefans.net/TwoCare/Client/AboutForm.cs , 3762
codefans.net/TwoCare/Client/AboutForm.Designer.cs , 10467
codefans.net/TwoCare/Client/AboutForm.resx , 49723
codefans.net/TwoCare/Client/Client.csproj , 8692
codefans.net/TwoCare/Client/Client.csproj.user , 502
codefans.net/TwoCare/Client/CmdForm.cs , 1087
codefans.net/TwoCare/Client/CmdForm.Designer.cs , 2804
codefans.net/TwoCare/Client/CmdForm.resx , 9474
codefans.net/TwoCare/Client/ConfigForm.cs , 590
codefans.net/TwoCare/Client/ConfigForm.Designer.cs , 2660
codefans.net/TwoCare/Client/ConfigForm.resx , 5814
codefans.net/TwoCare/Client/DeviceSelector.cs , 1729
codefans.net/TwoCare/Client/DeviceSelector.Designer.cs , 5041
codefans.net/TwoCare/Client/DeviceSelector.resx , 5814
codefans.net/TwoCare/Client/File.cs , 34594
codefans.net/TwoCare/Client/FontForm.cs , 929
codefans.net/TwoCare/Client/FontForm.Designer.cs , 2943
codefans.net/TwoCare/Client/FontForm.resx , 6008
codefans.net/TwoCare/Client/img/1.ico , 22486
codefans.net/TwoCare/Client/img/1.png , 24503
codefans.net/TwoCare/Client/img/10.png , 25471
codefans.net/TwoCare/Client/img/11.png , 24430
codefans.net/TwoCare/Client/img/12.png , 23476
codefans.net/TwoCare/Client/img/2.ico , 23558
codefans.net/TwoCare/Client/img/2.png , 24834
codefans.net/TwoCare/Client/img/3.ico , 1078
codefans.net/TwoCare/Client/img/3.png , 23841
codefans.net/TwoCare/Client/img/4.ico , 23558
codefans.net/TwoCare/Client/img/4.png , 23440
codefans.net/TwoCare/Client/img/5.ico , 22486
codefans.net/TwoCare/Client/img/5.png , 22906
codefans.net/TwoCare/Client/img/6.png , 24840
codefans.net/TwoCare/Client/img/7.png , 22734
codefans.net/TwoCare/Client/img/8.png , 23070
codefans.net/TwoCare/Client/img/9.png , 22899
codefans.net/TwoCare/Client/img/gates.gif , 7835
codefans.net/TwoCare/Client/img/logo.ico , 2238
codefans.net/TwoCare/Client/img/pai.gif , 609
codefans.net/TwoCare/Client/img/quan.gif , 358
codefans.net/TwoCare/Client/img/Thumbs.db , 37888
codefans.net/TwoCare/Client/img/user.ico , 25214
codefans.net/TwoCare/Client/imgfile/1.png , 21886
codefans.net/TwoCare/Client/imgfile/10.png , 21723
codefans.net/TwoCare/Client/imgfile/11.png , 21326
codefans.net/TwoCare/Client/imgfile/12.png , 21482
codefans.net/TwoCare/Client/imgfile/13.png , 23112
codefans.net/TwoCare/Client/imgfile/14.png , 23016
codefans.net/TwoCare/Client/imgfile/15.png , 20805
codefans.net/TwoCare/Client/imgfile/2.png , 22729
codefans.net/TwoCare/Client/imgfile/3.png , 21384
codefans.net/TwoCare/Client/imgfile/4.png , 21634
codefans.net/TwoCare/Client/imgfile/5.png , 20921
codefans.net/TwoCare/Client/imgfile/6.png , 21487
codefans.net/TwoCare/Client/imgfile/7.png , 21548
codefans.net/TwoCare/Client/imgfile/8.png , 21613
codefans.net/TwoCare/Client/imgfile/9.png , 21632
codefans.net/TwoCare/Client/imgfile/disk.ico , 22486
codefans.net/TwoCare/Client/imgfile/left.ico , 1406
codefans.net/TwoCare/Client/imgfile/log.gif , 402
codefans.net/TwoCare/Client/imgfile/msg.gif , 1000
codefans.net/TwoCare/Client/imgfile/parse.ico , 1406
codefans.net/TwoCare/Client/imgfile/pc.ico , 29926
codefans.net/TwoCare/Client/imgfile/REG_OTHER.png , 21892
codefans.net/TwoCare/Client/imgfile/REG_SZ.png , 20910
codefans.net/TwoCare/Client/imgfile/right.ico , 1406
codefans.net/TwoCare/Client/imgfile/ring.ico , 22486
codefans.net/TwoCare/Client/imgfile/Thumbs.db , 40960
codefans.net/TwoCare/Client/imgfile/tool.ico , 1758
codefans.net/TwoCare/Client/imgfile/user.ico , 25214
codefans.net/TwoCare/Client/logo.ico , 22486
codefans.net/TwoCare/Client/logo1.ico , 2238
codefans.net/TwoCare/Client/MainForm.cs , 48454
codefans.net/TwoCare/Client/MainForm.Designer.cs , 230112
codefans.net/TwoCare/Client/MainForm.resx , 324770
codefans.net/TwoCare/Client/Master.cs , 89694
codefans.net/TwoCare/Client/NewForm.cs , 584
codefans.net/TwoCare/Client/NewForm.Designer.cs , 3913
codefans.net/TwoCare/Client/NewForm.resx , 5814
codefans.net/TwoCare/Client/obj/Client.csproj.FileList.txt , 637
codefans.net/TwoCare/Client/obj/Gates.csproj.FileList.txt , 337
codefans.net/TwoCare/Client/Program.cs , 2995
codefans.net/TwoCare/Client/Properties/AssemblyInfo.cs , 1281
codefans.net/TwoCare/Client/Properties/Resources.Designer.cs , 2839
codefans.net/TwoCare/Client/Properties/Resources.resx , 6414
codefans.net/TwoCare/Client/Properties/Settings.Designer.cs , 1087
codefans.net/TwoCare/Client/Properties/Settings.settings , 249
codefans.net/TwoCare/Client/Regedit.cs , 821
codefans.net/TwoCare/Client/RenameForm.cs , 590
codefans.net/TwoCare/Client/RenameForm.Designer.cs , 5029
codefans.net/TwoCare/Client/RenameForm.resx , 5814
codefans.net/TwoCare/Client/RunCommandForm.cs , 598
codefans.net/TwoCare/Client/RunCommandForm.Designer.cs , 5048
codefans.net/TwoCare/Client/RunCommandForm.resx , 5814
codefans.net/TwoCare/Client/ScreenForm.cs , 10638
codefans.net/TwoCare/Client/ScreenForm.Designer.cs , 6116
codefans.net/TwoCare/Client/ScreenForm.resx , 9827
codefans.net/TwoCare/Client/ShowLogForm.cs , 707
codefans.net/TwoCare/Client/ShowLogForm.Designer.cs , 11531
codefans.net/TwoCare/Client/ShowLogForm.resx , 5814
codefans.net/TwoCare/Client/Socket.cs , 13879
codefans.net/TwoCare/Client/Thumbs.db , 9216
codefans.net/TwoCare/Client/VideoForm.cs , 10865
codefans.net/TwoCare/Client/VideoForm.Designer.cs , 7650
codefans.net/TwoCare/Client/VideoForm.resx , 7730
codefans.net/TwoCare/Client/VideoForm.zh-CHS.resx , 5991
codefans.net/TwoCare/Jackch/Chicken.cs , 6014
codefans.net/TwoCare/Jackch/Chickens.cs , 1840
codefans.net/TwoCare/Jackch/Cmd.cs , 2945
codefans.net/TwoCare/Jackch/DsControl.cs , 8317
codefans.net/TwoCare/Jackch/DsCore.cs , 7450
codefans.net/TwoCare/Jackch/DsDevice.cs , 4961
codefans.net/TwoCare/Jackch/DsExtend.cs , 6326
codefans.net/TwoCare/Jackch/DsUtils.cs , 3123
codefans.net/TwoCare/Jackch/DsUuids.cs , 5819
codefans.net/TwoCare/Jackch/FileIcon.cs , 2635
codefans.net/TwoCare/Jackch/FileTrans.cs , 4188
codefans.net/TwoCare/Jackch/IPScaner.cs , 10362
codefans.net/TwoCare/Jackch/Jackch.csproj , 2858
codefans.net/TwoCare/Jackch/obj/jackch.csproj.FileList.txt , 130
codefans.net/TwoCare/Jackch/Properties/AssemblyInfo.cs , 1319
codefans.net/TwoCare/Jackch/SystemInfo.cs , 4882
codefans.net/TwoCare/Server/Cmd.cs , 2945
codefans.net/TwoCare/Server/FontForm.cs , 929
codefans.net/TwoCare/Server/FontForm.Designer.cs , 2943
codefans.net/TwoCare/Server/FontForm.resx , 6008
codefans.net/TwoCare/Server/Net.cs , 48233
codefans.net/TwoCare/Server/obj/Server.csproj.FileList.txt , 262
codefans.net/TwoCare/Server/Program.cs , 3004
codefans.net/TwoCare/Server/Properties/AssemblyInfo.cs , 1172
codefans.net/TwoCare/Server/Properties/Resources.Designer.cs , 2839
codefans.net/TwoCare/Server/Properties/Resources.resx , 5612
codefans.net/TwoCare/Server/Properties/Settings.Designer.cs , 1087
codefans.net/TwoCare/Server/Properties/Settings.settings , 249
codefans.net/TwoCare/Server/Screen.cs , 4024
codefans.net/TwoCare/Server/Server.cs , 900
codefans.net/TwoCare/Server/Server.csproj , 4280
codefans.net/TwoCare/Server/Server.Designer.cs , 2193
codefans.net/TwoCare/Server/Server.resx , 5814
codefans.net/TwoCare/Server/SystemInfo.cs , 4875
codefans.net/TwoCare/Server/ViewScreen.cs , 2652
codefans.net/TwoCare/TabStrip/BaseClasses/BaseStyledPanel.cs , 2189
codefans.net/TwoCare/TabStrip/Control/FATabStrip.cs , 33193
codefans.net/TwoCare/TabStrip/Control/FATabStrip.resx , 5814
codefans.net/TwoCare/TabStrip/Control/FATabStripCloseButton.cs , 1746
codefans.net/TwoCare/TabStrip/Control/FATabStripItem.cs , 6446
codefans.net/TwoCare/TabStrip/Control/FATabStripItemCollection.cs , 6288
codefans.net/TwoCare/TabStrip/Control/FATabStripMenuGlyph.cs , 2262
codefans.net/TwoCare/TabStrip/Delegates.cs , 1657
codefans.net/TwoCare/TabStrip/Design/FATabStripDesigner.cs , 6144
codefans.net/TwoCare/TabStrip/Design/FATabStripItemDesigner.cs , 2593
codefans.net/TwoCare/TabStrip/Design/ICaptionSupport.cs , 157
最多只能显示150条信息!