特洛伊木马植入新方

１４）为了使木马能够持续正常地运行，必须保证良好的隐蔽性。所以，成功植入木马ＤＬＬ后，方案总流程的“安装后门”这一步骤必不可少。还需要解决与“安装后门”相关的技术问题。

选择获取

Ｉ等待确认小ｊ５投放样序

¨杯进羁！ＩＩ）

‰Ｊ．加载成功，释

ｌ放¨杯进挫…

Ｕ

Ｕ

Ｕ

｛ｆ｜ｉ入小，｝１）１．１．打＂Ｊ｜标进程Ｉｆ）

见陶【ｈ）

巾请访问权

备份后门羁叭ｉ

址（ｈ）

Ｕ

Ｕ

Ｕ

驶Ｗ肝ｒｊ刷序运行小ｉＩ

Ｉ）１．１．

插入远称线鞋

｛ｌｊ＿次激沂条件

Ｕ

Ｕ

Ｕ

安装侨门她｜冬｜（ｃ）

加裁术－０Ｉ）１Ｉ．

ｎ销毁

她（ｃ）

（ａ）总流程

（ｂ）批入木马

（ｃ）安装后ｆ】

圈ｌ木马植入方案实磊柽架

２植入新方案中４个主要环节的剖析

２．１木马程序ＤＬＩｊｌ意块化

通常植入目标主机的木马服务端程序是一个独立的应用程序，和所有应用程序一样，要运行木马程序必须为此创建一个单独的进程。如果以ＤＬＬ模块化的形式实现木马服务端程序，首先，可以避免在目标主机中留下木马进程踪迹，从而达到隐蔽性要求；其次，能够共享宿主进程（调用ＤＬＬ的进程）的资源，进而根据宿主进程在目标主机中的级别未经

授权地访问相应的系统资源。

ＤＬＬ是Ｗｉｎｄｏｗｓ操作系统的基础，它只是一个源代码模块，在ＤＬＬ中通常没有用来处理消息循环或创建窗口的支持代码，这个模块包含了应用程序或另一个ＤＬＬ将要调用的一

组函数。当所有源代码文件编译后，ＤＬＬ就像应用程序那样

被链接程序所链接。一旦ＤＬＬ的文件映像被映射到调用进程的地址空间中，ＤＬＬ的函数就可以供进程中运行的所有线程使用，对于进程中的线程来说，ＤＬＬ的代码和数据看上去就像进程地址空间中的额外代码和数据一样。但ＤＬＬ又不同于应用程序，因为并没有为ＤＬＬ分配独立的进程地址空间，也就是说ＤＬＬ的运行并不需要创建单独的进程，所以从系统的进程列表里是看不见ＤＬＬ的运行踪迹的。

另一方面，每个进程都有它自己的私有地址空间，当使用指针来引用内存时，指针的值将引用进程私有地址空间中的一个内存地址，而该进程不能创建一个其引用属于另一个进程的内存指针。可是ＤＬＬ却有其特殊的属性，即能够动态地将自己插入另一个进程的地址空间，从而可以共享这个进

程的资源。

一个ＤＬＬ可以拥有单个进入点函数，系统在不同时间调

万　

方数据用这个进入点函数：

ＢＯＯＬ

ＷＩＮＡＰＩＤｌｌＭａｉｎ（

ＨＩＮＳＴＡＮＣＥｈｉｎｓｔＤｌｌ．

ＤＷＯＲＤｆｄｗＲｅａｓｏｎ，

ＬＰＶＯＩＤＩｐｖＲｅｓｅｒｖｅｄ）；

参数ｈｉｎｓｔＤｌｌ指明拥有该函数的ＤＬＬ的句柄，ｆｄｗＲｅａｓｏｎ

指明系统调用该函数的原因。当ＤＬＬ被初次映射到进程的地

址空间中时，系统将调用该ＤＬＬ的ＤＩＩＭａｉｎ函数，给它传递

参数ｆｄｗＲｅａｓｏｎ的值ＤＬＬ＿ＰＲＯＣＥＳＳＡＴＴＡＣＨ。当ＤＩＩＭａｉｎ函数处理ＤＬＬＰＲＯＣＥＳＳ＿ＡＴＴＡＣＨ时，可以对进程和线程进行一些初始化工作。利用这个属性，在木马ＤＬＬ的ＤＩＩＭａｉｎ函数中就可以编写相应的代码获取目标进程信息，实现部分木马任务。

２．２远程线程插入木－－马ＤＬＬ的技术

本文通过使用远程线程将木马ＤＬＬ插入到目标进程的地址空问，即利用目标进程中的线程调用ＬｏａｄＬｉｂｒａｒｙ函数加载木马ＤＬＬ，从而实现木马植入。由于除了自己进程中的线程外，我们无法随意地控制其他进程中的线程，因此需要在目标进程中创建一个新线程，对于自己创建的线程就能够控制

它执行什么代码。

３．２．１创建远程线程

在另一个进程中创建我们控制的远程线程需要调用

ＣｒｅａｔｅＲｅｍｏｔｅＴｈｒｅａｄ

ＡＰＩ（应用程序接口）函数：

ＨＡＮＤＬＥ

ＣｒｅａｇｅＲｅｍｏｔｅＴｈｒｅａｄ（

ＨＡＮＤＬＥｈＰｒｏｃｅｓｓ，

ＰＳＥＣＵＲＩＴＹ＿ＡＴＴＲＩＢＵＴＥＳｐｓａ，

ＤＷＯＲＤｄｗＳｔａｃｋＳｉｚｅ，

ＰＴＨＲＥＡＤＳＴＡＲＴ＿ＲＯＵＴＩＮＥｐｆｎＳｔａｒｔＡｄｄｒ，ＰＶＯＩＤｐｖＰａｒａｍ，ＤＷＯＲＤｆｄｗＣｒｅａｔｅ，

ＰＤＷＯＲＤｐｄｗＴｈｒｅａｄｌｄ）；

参数ｈＰｒｏｃｅｓｓ为指向拥有新创建线程的进程（ｅＰ目标进程）的句柄。参数ｐｆｎＳｔａｒｔＡｄｄｒ指明远程线程进入点函数的内存地址，由于是将该线程插入目标进程地址空问中，因此该地址应该是与目标进程地址空间相关的，而不能位于本地进程的地址空间。参数ｐｖＰａｍｍ传递远程线程进入点函数的调

用参数。

在实际调用ＣｒｅａｔｅＲｅｍｏｔｅＴｈｒｅａｄ时还需要预先进行以下

处理工作：

（１）参数ｐｆｎＳｔａｒｔＡｄｄｒ不能使用对ＬｏａｄＬｉｂｒａｒｙ的直接引用，因为这会造成将形实替换程序的地址作为远程线程的起始地址来传递，结果会造成访问违规。因此调用ＣｒｅａｔｅＲｅｍｏｔｅＴｈｒｅａｄ之前需要调用ＧｅｔＰｒｏｃＡｄｄｒｅｓｓ函数，获取ｌ＿ｘ）ａｄＬｉｂｒａｒｙ的准确内存位置：

ＰＴＨＲＥＡＤ——ＳＴＡＲＴ——ＲＯＵＴＩＮＥ

ｐｆｎＴｈｒｅａｄＲｍ２（ＰＴＨＲＥＡＤ—ＳＴＡＲＴ＿ＲＯＵＴＩＮＥ）

ＧｅｔＰｒｏｃＡｄｄｒｅｓｓ

（ＧｅｔＭｏｄｕｌｅＨａｎｄｌｅ（ＴＥＸＴ（”Ｋｅｒｎｅｌ３２”）），“ＬｏａｄＬｉｂｒａｒｙ”）；

（２）参数ｐｆｎＳｔａｒｔＡｄｄｒ也不能直接引用木马ＤＬＬ路径名字符串。因为路径名字符串是在本地进程的地址空间中。该字符串的地址作为远程线程函数的参数被赋予远程线程，当ＬｏａｄＬｉｂｒａｒｙ取消对内存地址的引用时，路径名字符串将不再存在，此时远程线程就会发生访问违规。因此，必须将木马ＤＬＬ的路径名字符串放入目标进程的地址空间，将放置该字符串的相对于目标进程的地址传递给ＣｒｅａｔｅＲｅｍｏｔｅＴｈｒｅａｄ函

一１１】一