木马各种隐藏技术全方位大披露--中华网--科技频道

新闻 | 军事 | 论坛 | 汽车 | 科　技 | 游戏 | 娱乐 | 女人 | 时尚 | 留学 | 旅游 | 购车 | 食品 | 文化 | ３Ｇ | 教育 | 音乐 | 邮箱 | 公益 | 求医
财经 | 军史 | 博客 | 搜车 | 实拍 | 网游 | 明星 | 城市 | 篮球 | 数码 | 智游 | 亲子 | 社会 | 文史 | 健康 | 图库 | 电影 | 问答 | 评论 | 时尚

木马各种隐藏技术全方位大披露(3)

中华网科技 http://tech.china.com 2005-07-08 11:22:05

【进入BBS】【进入聊天室】【推荐给朋友】【浏览字号：大中小】【关闭窗口】

　　
　　3.如何插入进程

　　(1)使用注册表插入DLL

　　早期的进程插入式木马的伎俩，通过修改注册表中的[HKEY_LOCAL_MACHINESoftwareMicrosoftWindows NTCurrentVersionWindowsAppInit_DLLs]来达到插入进程的目的。缺点是不实时，修改注册表后需要重新启动才能完成进程插入。

　　(2)使用挂钩(Hook)插入DLL

　　比较高级和隐蔽的方式，通过系统的挂钩机制(即“Hook”，类似于DOS时代的“中断”)来插入进程(一些盗QQ木马、键盘记录木马以Hook方式插入到其他进程中“偷鸡摸狗”)，需要调用SetWindowsHookEx函数(也是一个Win32 API函数)。缺点是技术门槛较高，程序调试困难，这种木马的制作者必须具有相当的Win32编程水平。

　　你知道吗——什么是API

　　Windows中提供各种功能实现的接口称为Win32 API(Application Programming Interface，即“应用程序编程接口”)，如一些程序需要对磁盘上的文件进行读写，就要先通过对相应的API(文件读写就要调用文件相关的API)发出调用请求，然后API根据程序在调用其函数时提供的参数(如读写文件就需要同时给出需要读写的文件的文件名及路径)来完成请求实现的功能，最后将调用结果(如写入文件成功，或读取文件失败等)返回给程序(见图3 应用程序、Win32 API、系统的关系图)。

(3)使用远程线程函数(CreateRemoteThread)插入DLL

　　在Windows 2000及以上的系统中提供了这个“远程进程”机制，可以通过一个系统API函数来向另一个进程中创建线程(插入DLL)。缺点很明显，仅支持Windows 2000及以上系统，在国内仍有相当多用户在使用Windows 98，所以采用这种进程插入方式的木马缺乏平台通用性。

　　木马将自身作为DLL插入别的进程空间后，用查看进程的方式就无法找出木马的踪迹了，你能看到的仅仅是一些正常程序的进程，但木马却已经偷偷潜入其中了。解决的方法是使用支持“进程模块查看”的进程管理工具(如“Windows优化大师”提供的进程查看)，木马的DLL模块就会现形了。

　　不要相信自己的眼睛:恐怖的进程“蒸发”

　　严格地来讲，这应该算是第2.5代的进程隐藏技术了，可是它却比前几种技术更为可怕得多。这种技术使得木马不必将自己插入到其他进程中，而可以直接消失！

　　它通过Hook技术对系统中所有程序的进程检测相关API的调用进行了监控，“任务管理器”之所以能够显示出系统中所有的进程，也是因为其调用了EnumProcesses等进程相关的API函数，进程信息都包含在该函数的返回结果中，由发出调用请求的程序接收返回结果并进行处理(如“任务管理器”在接收到结果后就在进程列表中显示出来)。

　　而木马由于事先对该API函数进行了Hook，所以在“任务管理器”(或其他调用了列举进程函数的程序)调用EnumProcesses函数时(此时的API函数充当了“内线”的角色)，木马便得到了通知，并且在函数将结果(列出所有进程)返回给程序前，就已将自身的进程信息从返回结果中抹去了。就好比你正在看电视节目，却有人不知不觉中将电视接上了DVD，你在不知不觉中就被欺骗了。

　　所以无论是“任务管理器”还是杀毒软件，想对这种木马的进程进行检测都是徒劳的。这种木马目前没有非常有效的查杀手段，只有在其运行前由杀毒软件检测到木马文件并阻止其病毒体的运行。当时还有一种技术是由木马程序将其自身的进程信息从Windows系统用以记录进程信息的“进程链表”中删除，这样进程管理工具就无法从“进程链表”中获得木马的进程信息了。但由于缺乏平台通用性而且在程序运行时有一些问题，所以没有被广泛采用。

首页上页 | 1 | 2 | 3 | 4 | 下页尾页共 4 页

50款最具性价比数码相机/MP3推荐！

作者：电脑爱好者/熊猫盼盼　来源：　

发表言论：

笔　　名：

查看评论

﹣相关报道
﹣上网无忧用木马清道夫扫清病毒障碍 (2005-07-05 11:14:28) ﹣网游帐号被盗最新解决方案 (2005-07-01 13:17:19) ﹣小心“博客杀手”入侵你的计算机 (2005-06-23 09:51:20) ﹣小心被黑!木马生成器碰不得! (2005-06-20 10:26:05) ﹣秘技：个人电脑的安全防护 (2005-06-14 14:15:02) ﹣PHP木马的攻击的防御之道 (2005-06-14 14:06:10) ﹣IP安全策略对战特洛伊木马 (2005-05-26 10:54:12)