黑客技術(shù)之木馬隱身術(shù)(1)

黑客技術(shù)在廣大的網(wǎng)民心中是一種很專業(yè)很困難的技術(shù)，實(shí)際上正所謂難者不會(huì)，會(huì)者不難。掌握了正確的方式方法，黑客技術(shù)也可以在你的手中實(shí)現(xiàn)。今天的文章，就給大家介紹一種黑客技術(shù)—木馬隱身術(shù)。

最基本的隱藏：不可見(jiàn)窗體＋隱藏文件

黑客技術(shù)無(wú)論如何神秘，但歸根究底，木馬程序仍是Win32平臺(tái)下的一種程序。Windows下常見(jiàn)的程序有兩種：

1.Win32應(yīng)用程序(Win32 Application)，比如QQ、Office等都屬于此行列。

2.Win32控制臺(tái)程序(Win32 Console)，比如硬盤引導(dǎo)修復(fù)程序FixMBR。

其中，Win32應(yīng)用程序通常會(huì)有應(yīng)用程序界面，比如系統(tǒng)中自帶的“計(jì)算器”就有提供各種數(shù)字按鈕的應(yīng)用程序界面。木馬雖然屬于Win32應(yīng)用程序，但其一般不包含窗體或隱藏了窗體(但也有某些特殊情況，如木馬使用者與被害者聊天的窗口)，并且將木馬文件屬性設(shè)置為“隱藏”，這就是最基本的隱藏手段，稍有經(jīng)驗(yàn)的用戶只需打開(kāi)“任務(wù)管理器”，并且將“文件夾選項(xiàng)”中的“顯示所有文件”勾選即可輕松找出木馬，于是便出現(xiàn)了下面要介紹的黑客技術(shù)—“進(jìn)程隱藏”技術(shù)。

第一代進(jìn)程隱藏技術(shù)：Windows 98的后門

在Windows 98中，微軟提供了一種能將進(jìn)程注冊(cè)為服務(wù)進(jìn)程的方法。盡管微軟沒(méi)有公開(kāi)提供這種方法的技術(shù)實(shí)現(xiàn)細(xì)節(jié)(因?yàn)閃indows的后續(xù)版本中沒(méi)有提供這個(gè)機(jī)制)，但仍有高手發(fā)現(xiàn)了這個(gè)秘密，這種技術(shù)稱為RegisterServiceProcess。只要利用此方法，任何程序的進(jìn)程都能將自己注冊(cè)為服務(wù)進(jìn)程，而服務(wù)進(jìn)程在Windows 98中的任務(wù)管理器中恰巧又是不顯示的，所以便被木馬程序鉆了空子。

要對(duì)付這種黑客技術(shù)還算簡(jiǎn)單，只需使用其他第三方進(jìn)程管理工具即可找到其所在，并且采用此技術(shù)進(jìn)行隱藏的木馬在Windows 2000/XP(因?yàn)椴恢С诌@種隱藏方法)中就得現(xiàn)形！中止該進(jìn)程后將木馬文件刪除即可。可是接下來(lái)的第二代進(jìn)程隱藏技術(shù)，就沒(méi)有這么簡(jiǎn)單對(duì)付了。

第二代進(jìn)程隱藏技術(shù)：進(jìn)程插入

在Windows中，每個(gè)進(jìn)程都有自己的私有內(nèi)存地址空間，當(dāng)使用指針(一種訪問(wèn)內(nèi)存的機(jī)制)訪問(wèn)內(nèi)存時(shí)，一個(gè)進(jìn)程無(wú)法訪問(wèn)另一個(gè)進(jìn)程的內(nèi)存地址空間，就好比在未經(jīng)鄰居同意的情況下，你無(wú)法進(jìn)入鄰居家吃飯一樣。比如QQ在內(nèi)存中存放了一張圖片的數(shù)據(jù)，而MSN則無(wú)法通過(guò)直接讀取內(nèi)存的方式來(lái)獲得該圖片的數(shù)據(jù)。這種黑客技術(shù)同時(shí)也保證了程序的穩(wěn)定性，如果你的進(jìn)程存在一個(gè)錯(cuò)誤，改寫了一個(gè)隨機(jī)地址上的內(nèi)存，這個(gè)錯(cuò)誤不會(huì)影響另一個(gè)進(jìn)程使用的內(nèi)存。

你知道嗎——進(jìn)程(Process)是什么

對(duì)應(yīng)用程序來(lái)說(shuō)，進(jìn)程就像一個(gè)大容器。在應(yīng)用程序被運(yùn)行后，就相當(dāng)于將應(yīng)用程序裝進(jìn)容器里了，你可以往容器里加其他東西(如：應(yīng)用程序在運(yùn)行時(shí)所需的變量數(shù)據(jù)、需要引用的DLL文件等)，當(dāng)應(yīng)用程序被運(yùn)行兩次時(shí)，容器里的東西并不會(huì)被倒掉，系統(tǒng)會(huì)找一個(gè)新的進(jìn)程容器來(lái)容納它。
一個(gè)進(jìn)程可以包含若干線程(Thread)，線程可以幫助應(yīng)用程序同時(shí)做幾件事(比如一個(gè)線程向磁盤寫入文件，另一個(gè)則接收用戶的按鍵操作并及時(shí)做出反應(yīng)，互相不干擾)，在程序被運(yùn)行后中，系統(tǒng)首先要做的就是為該程序進(jìn)程建立一個(gè)默認(rèn)線程，然后程序可以根據(jù)需要自行添加或刪除相關(guān)的線程。

1.進(jìn)程插入是什么

獨(dú)立的地址空間對(duì)于編程人員和用戶來(lái)說(shuō)都是非常有利的。對(duì)于編程人員來(lái)說(shuō)，系統(tǒng)更容易捕獲隨意的內(nèi)存讀取和寫入操作。對(duì)于用戶來(lái)說(shuō)，操作系統(tǒng)將變得更加健壯，因?yàn)橐粋�(gè)應(yīng)用程序無(wú)法破壞另一個(gè)進(jìn)程或操作系統(tǒng)的運(yùn)行。當(dāng)然，操作系統(tǒng)的這個(gè)健壯特性是要付出代價(jià)的，因?yàn)橐帉懩軌蚺c其他進(jìn)程進(jìn)行通信，或者能夠?qū)ζ渌M(jìn)程進(jìn)行操作的應(yīng)用程序?qū)⒁щy得多。但仍有很多種方法可以打破進(jìn)程的界限，訪問(wèn)另一個(gè)進(jìn)程的地址空間，那就是“進(jìn)程插入”(Process Injection)。一旦木馬的DLL插入了另一個(gè)進(jìn)程的地址空間后，就可以對(duì)另一個(gè)進(jìn)程為所欲為，比如下文要介紹的黑客技術(shù)就是盜QQ密碼。

2.木馬是如何盜走QQ密碼的

普通情況下，一個(gè)應(yīng)用程序所接收的鍵盤、鼠標(biāo)操作，別的應(yīng)用程序是無(wú)權(quán)“過(guò)問(wèn)”的�？杀I號(hào)木馬是怎么偷偷記錄下我的密碼的呢？木馬首先將1個(gè)DLL文件插入到QQ的進(jìn)程中并成為QQ進(jìn)程中的一個(gè)線程，這樣該木馬DLL就赫然成為了QQ的一部分！然后在用戶輸入密碼時(shí)，因?yàn)榇藭r(shí)木馬DLL已經(jīng)進(jìn)入QQ進(jìn)程內(nèi)部，所以也就能夠接收到用戶傳遞給QQ的密碼鍵入了，這種黑客技術(shù)將木馬和QQ結(jié)合在了一起，正所謂“家賊難防”正是如此。

3.如何插入進(jìn)程

(1)使用注冊(cè)表插入DLL

早期的黑客技術(shù)中進(jìn)程插入式木馬的伎倆，通過(guò)修改注冊(cè)表中的[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs]來(lái)達(dá)到插入進(jìn)程的目的。但這種黑客技術(shù)的缺點(diǎn)是不實(shí)時(shí)，修改注冊(cè)表后需要重新啟動(dòng)才能完成進(jìn)程插入。

(2)使用掛鉤(Hook)插入DLL

這是黑客技術(shù)中比較高級(jí)和隱蔽的方式，通過(guò)系統(tǒng)的掛鉤機(jī)制(即“Hook”，類似于DOS時(shí)代的“中斷”)來(lái)插入進(jìn)程(一些盜QQ木馬、鍵盤記錄木馬以Hook方式插入到其他進(jìn)程中“偷雞摸狗”)，需要調(diào)用SetWindowsHookEx函數(shù)(也是一個(gè)Win32 API函數(shù))。缺點(diǎn)是技術(shù)門檻較高，程序調(diào)試?yán)щy，這種木馬的制作者必須具有相當(dāng)?shù)腤in32編程水平。
如果有需要服務(wù)器的租用與托管的敬請(qǐng)聯(lián)系QQ：１５０１２８１７５８（億恩星辰）　　　聯(lián)系電話：０３７１—６３３２２２２０

服務(wù)器租用/服務(wù)器托管中國(guó)五強(qiáng)！虛擬主機(jī)域名注冊(cè)頂級(jí)提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]