DLL后門完全清除_第1頁
DLL后門完全清除_第2頁
DLL后門完全清除_第3頁
DLL后門完全清除_第4頁
DLL后門完全清除_第5頁
全文預(yù)覽已結(jié)束

下載本文檔

版權(quán)說明:本文檔由用戶提供并上傳,收益歸屬內(nèi)容提供方,若內(nèi)容存在侵權(quán),請(qǐng)進(jìn)行舉報(bào)或認(rèn)領(lǐng)

文檔簡介

1、DLL后門清除完全篇 DLL后門清除完全篇! 前言 后門!相信這個(gè)詞語對(duì)您來說一定不會(huì)陌生,它的危害不言而欲,但隨著人們的安全意識(shí)逐步增強(qiáng),又加上殺毒軟件的“大力支持”,使傳統(tǒng)的后門無法在隱藏自己,任何稍微有點(diǎn)計(jì)算機(jī)知識(shí)的人,都知道“查端口”“看進(jìn)程”,以便發(fā)現(xiàn)一些“蛛絲馬跡”。所以,后門的編寫者及時(shí)調(diào)整了思路,把目光放到了動(dòng)態(tài)鏈接程序庫上,也就是說,把后門做成DLL文件,然后由某一個(gè)EXE做為載體,或者使用Rundll32.exe來啟動(dòng),這樣就不會(huì)有進(jìn)程,不開端口等特點(diǎn),也就實(shí)現(xiàn)了進(jìn)程、端口的隱藏。本文以“DLL的原理”“DLL的清除”“DLL的防范”為主題,并展開論述,旨在能讓大家對(duì)DLL

2、后門“快速上手”,不在恐懼DLL后門。好了,進(jìn)入我們的主題。 一,DLL的原理 1,動(dòng)態(tài)鏈接程序庫 動(dòng)態(tài)鏈接程序庫,全稱:Dynamic Link Library,簡稱:DLL,作用在于為應(yīng)用程序提供擴(kuò)展功能。應(yīng)用程序想要調(diào)用DLL文件,需要跟其進(jìn)行“動(dòng)態(tài)鏈接”;從編程的角度,應(yīng)用程序需要知道DLL文件導(dǎo)出的API函數(shù)方可調(diào)用。由此可見,DLL文件本身并不可以運(yùn)行,需要應(yīng)用程序調(diào)用。正因?yàn)镈LL文件運(yùn)行時(shí)必須插入到應(yīng)用程序的內(nèi)存模塊當(dāng)中,這就說明了:DLL文件無法刪除。這是由于Windows內(nèi)部機(jī)制造成的:正在運(yùn)行的程序不能關(guān)閉。所以,DLL后門由此而生! 2,DLL后門原理及特點(diǎn) 把一個(gè)實(shí)現(xiàn)

3、了后門功能的代碼寫成一個(gè)DLL文件,然后插入到一個(gè)EXE文件當(dāng)中,使其可以執(zhí)行,這樣就不需要占用進(jìn)程,也就沒有相對(duì)應(yīng)的PID號(hào),也就可以在任務(wù)管理器中隱藏。DLL文件本身和EXE文件相差不大,但必須使用程序(EXE)調(diào)用才能執(zhí)行DLL文件。DLL文件的執(zhí)行,需要EXE文件加載,但EXE想要加載DLL文件,需要知道一個(gè)DLL文件的入口函數(shù)(既DLL文件的導(dǎo)出函數(shù)),所以,根據(jù)DLL文件的編寫標(biāo)準(zhǔn):EXE必須執(zhí)行DLL 文件中的DLLMain()作為加載的條件(如同EXE的mian()。做DLL后門基本分為兩種:1)把所有功能都在DLL文件中實(shí)現(xiàn);2)把DLL 做成一個(gè)啟動(dòng)文件,在需要的時(shí)候啟動(dòng)一

4、個(gè)普通的EXE后門。 常見的編寫方法: (1),只有一個(gè)DLL文件 這類后門很簡單,只把自己做成一個(gè)DLL文件,在注冊(cè)表Run鍵值或其他可以被系統(tǒng)自動(dòng)加載的地方,使用Rundll32.exe來自動(dòng)啟動(dòng)。 Rundll32.exe是什么?顧名思意,“執(zhí)行32位的DLL文件”。它的作用是執(zhí)行DLL文件中的內(nèi)部函數(shù),這樣在進(jìn)程當(dāng)中,只會(huì)有 Rundll32.exe,而不會(huì)有DLL后門的進(jìn)程,這樣,就實(shí)現(xiàn)了進(jìn)程上的隱藏。如果看到系統(tǒng)中有多個(gè)Rundll32.exe,不必驚慌,這證明用 Rundll32.exe啟動(dòng)了多少個(gè)的DLL文件。當(dāng)然 ,這些Rundll32.exe執(zhí)行的DLL文件是什么,我們都可

5、以從系統(tǒng)自動(dòng)加載的地方找到。 現(xiàn)在,我來介紹一下Rundll32.exe這個(gè)文件,意思上邊已經(jīng)說過,功能就是以命令行的方式調(diào)用動(dòng)態(tài)鏈接程序庫。系統(tǒng)中還有一個(gè) Rundll.exe文件,他的意思是“執(zhí)行16位的DLL文件”,這里要注意一下。在來看看Rundll32.exe使用的函數(shù)原型: Void CALLBACK FunctionName ( HWND hwnd, HINSTANCE hinst, LPTSTR lpCmdLine, Int nCmdShow ); 其命令行下的使用方法為:Rundll32.exe DLLname,Functionname Arguments DLLname為需

6、要執(zhí)行的DLL文件名;Functionname為前邊需要執(zhí)行的DLL文件的具體引出函數(shù);Arguments為引出函數(shù)的具體參數(shù)。 (2),替換系統(tǒng)中的DLL文件 這類后門就比上邊的先進(jìn)了一些,它把實(shí)現(xiàn)了后門功能的代碼做成一個(gè)和系統(tǒng)匹配的DLL文件,并把原來的DLL文件改名。遇到應(yīng)用程序請(qǐng)求原來的DLL 文件時(shí), DLL后門就啟一個(gè)轉(zhuǎn)發(fā)的作用,把“參數(shù)”傳遞給原來的DLL文件;如果遇到特殊的請(qǐng)求時(shí)(比如客戶端),DLL后門就開始,啟動(dòng)并運(yùn)行了。對(duì)于這類后門,把所有操作都在DLL文件中實(shí)現(xiàn)最為安全,但需要的編程知識(shí)也非常多,也非常不容易編寫。所以,這類后門一般都是把DLL文件做成一個(gè)“啟動(dòng)”文件,

7、在遇到特殊的情況下(比如客戶端的請(qǐng)求),就啟動(dòng)一個(gè)普通的EXE后門;在客戶端結(jié)束連接之后,把EXE后門停止,然后DLL文件進(jìn)入“休息”狀態(tài),在下次客戶端連接之前,都不會(huì)啟動(dòng)。但隨著微軟的“數(shù)字簽名”和“文件恢復(fù)”的功能出臺(tái),這種后門已經(jīng)逐步衰落。 提示: 在WINNTsystem32目錄下,有一個(gè)dllcache文件夾,里邊存放著眾多DLL文件(也包括一些重要的EXE文件),在DLL文件被非法修改之后,系統(tǒng)就從這里來恢復(fù)被修改的DLL文件。如果要修改某個(gè)DLL文件,首先應(yīng)該把dllcache目錄下的同名DLL文件刪除或更名,否則系統(tǒng)會(huì)自動(dòng)恢復(fù)。 (3),動(dòng)態(tài)嵌入式 這才是DLL后門最常用的方法

8、。其意義是將DLL文件嵌入到正在運(yùn)行的系統(tǒng)進(jìn)程當(dāng)中。在Windows系統(tǒng)中,每個(gè)進(jìn)程都有自己的私有內(nèi)存空間,但還是有種種方法來進(jìn)入其進(jìn)程的私有內(nèi)存空間,來實(shí)現(xiàn)動(dòng)態(tài)嵌入式。由于系統(tǒng)的關(guān)鍵進(jìn)程是不能終止的,所以這類后門非常隱蔽,查殺也非常困難。常見的動(dòng)態(tài)嵌入式有:“掛接API”“全局鉤子(HOOK)”“遠(yuǎn)程線程”等。 遠(yuǎn)程線程技術(shù)指的是通過在一個(gè)進(jìn)程中創(chuàng)建遠(yuǎn)程線程的方法來進(jìn)入那個(gè)進(jìn)程的內(nèi)存地址空間。當(dāng)EXE載體(或Rundll32.exe)在那個(gè)被插入的進(jìn)程里創(chuàng)建了遠(yuǎn)程線程,并命令它執(zhí)行某個(gè)DLL文件時(shí),我們的DLL后門就掛上去執(zhí)行了,這里不 會(huì)產(chǎn)生新的進(jìn)程,要想讓DLL后門停止,只有讓這個(gè)鏈接

9、DLL后門的進(jìn)程終止。但如果和某些系統(tǒng)的關(guān)鍵進(jìn)程鏈接,那就不能終止了,如果你終止了系統(tǒng)進(jìn)程,那Windows也隨即被終止! 3,DLL后門的啟動(dòng)特性 啟動(dòng)DLL后門的載體EXE是不可缺少的,也是非常重要的,它被稱為:Loader。如果沒有Loader,那我們的DLL后門如何啟動(dòng)呢?因此,一個(gè)好的DLL后門會(huì)盡力保護(hù)自己的Loader不被查殺。Loader的方式有很多,可以是為我們的DLL后門而專門編寫的一個(gè)EXE文件;也可以是系統(tǒng)自帶的Rundll32.exe,即使停止了Rundll32.exe,DLL后門的主體還是存在的。3721網(wǎng)絡(luò)實(shí)名就是一個(gè)例子,雖然它并不是“真正”的后門。 二,DLL

10、的清除 本節(jié)以三款比較有名的DLL后門例,分別為“SvchostDLL.dll”“BITS.dll”“QoServer.dll”。詳細(xì)講解其手工清除方法。希望大家在看過這三款DLL后門的清除方法之后,能夠舉一反三,靈活運(yùn)用,在不懼怕DLL后門。其實(shí),手工清除DLL后門還是比較簡單的,無非就是在注冊(cè)表中做文章。具體怎么做,請(qǐng)看下文。 1,PortLess BackDoor 這是一款功能非常強(qiáng)大的DLL后門程序,除了可以獲得Local System權(quán)限的Shell之外,還支持如“檢測克隆帳戶”“安裝終端服務(wù)”等一系列功能(具體可以參見程序幫助),適用Windows2000/xp /2003等系統(tǒng)。

11、程序使用svchost.exe來啟動(dòng),平常不開端口,可以進(jìn)行反向連接(最大的特點(diǎn)哦),對(duì)于有防火墻的主機(jī)來說,這個(gè)功能在好不過了。 在介紹清除方法之前,我們先來簡單的介紹一下svchost.exe這個(gè)系統(tǒng)的關(guān)鍵服務(wù): Svchost只是做為服務(wù)的宿主,本身并不實(shí)現(xiàn)什么功能,如果需要使用Svchost來啟動(dòng)服務(wù),則某個(gè)服務(wù)是以DLL形式實(shí)現(xiàn)的,該DLL的載體 Loader指向svchost,所以,在啟動(dòng)服務(wù)的時(shí)候由svchost調(diào)用該服務(wù)的DLL來實(shí)現(xiàn)啟動(dòng)的目的。使用svchost啟動(dòng)某個(gè)服務(wù)的DLL 文件是由注冊(cè)表中的參數(shù)來決定的,在需要啟動(dòng)服務(wù)的下邊都有一個(gè)Parameters子鍵,其中的S

12、erviceDll表明該服務(wù)由哪個(gè)DLL文件負(fù)責(zé),并且這個(gè)DLL文件必須導(dǎo)出一個(gè)ServiceMain()函數(shù),為處理服務(wù)任務(wù)提供支持。 呵呵!看了上邊的理論,是不是有點(diǎn)蒙(我都快睡著了),別著急,我們來看看具體的內(nèi)容)。我們可以看到 HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesRpcSs下的Parameters子鍵,其鍵值為%SystemRoot%system32rpcss.dll。這就說明:啟動(dòng)RpcSs服務(wù)時(shí)。Svchost調(diào)用WINNTsystem32目錄下的rpcss.dll。 這是注冊(cè)表的HKEY_LOCAL_MACHINESO

13、FTWAREMicrosoftWindows NTCurrentVersionSvchost,里邊存放著Svchost啟動(dòng)的組和組內(nèi)的各個(gè)服務(wù),其中netsvcs組的服務(wù)最多。要使用 Svchost啟動(dòng)某個(gè)服務(wù),則該服務(wù)名就會(huì) 出現(xiàn)在HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionSvchost下。這里有四種方法來實(shí)現(xiàn): 1, 添加一個(gè)新的組,在組里添加服務(wù)名 2, 在現(xiàn)有組里添加服務(wù)名 3, 直接使用現(xiàn)有組里的一個(gè)服務(wù)名,但是本機(jī)沒有安裝的服務(wù) 4, 修改現(xiàn)有組里的現(xiàn)有服務(wù),把它的ServiceDll指向自己的DLL后門

14、我測試的PortLess BackDoor使用的第三種方法。 好了,我想大家看完了上邊的原理,一定可以想到我們清除PortLess BackDoor的方法了,對(duì),就是在注冊(cè)表的Svchost鍵下做文章。好,我們現(xiàn)在開始。 注:由于本文只是介紹清除方法,使用方法在此略過。 后門的Loader把SvchostDLL.dll插入Svchost進(jìn)程當(dāng)中,所以,我們先打開Windows優(yōu)化大師中的Windows進(jìn)程管理 2.5,查看Svchost進(jìn)程中的模塊信息,SvchostDLL.dll已經(jīng)插入到Svchost進(jìn)程中了,在根據(jù)“直接使用現(xiàn)有組里的一個(gè)服務(wù)名,但是本機(jī)沒有安裝的服務(wù)”的提示,我們可以斷

15、定,在“管理工具”“服務(wù)”中會(huì)有一項(xiàng)新的服務(wù)。證明了我的說法,此服務(wù)名稱為:IPRIP,由 Svchost啟動(dòng),-k netsvcs表示此服務(wù)包含在netsvcs服務(wù)組中。 我們把該服務(wù)停掉,然后打開注冊(cè)表編輯器(開始運(yùn)行-regedit),來到 HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesIPRIP下,查看其Parameters子鍵)。Program鍵的鍵值SvcHostDLL.exe為后門的Loader;ServiceDll的鍵值 C:WINNTsystem32svchostdll.dll為調(diào)用的DLL文件,這正是后門的DLL文件?,F(xiàn)在

16、我們刪除IPRIP子鍵(或者用SC來刪除),然后在來到HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionSvchost下,編輯netsvcs服務(wù)組,把49 00 70 00 72 00 69 00 70 00 00 00刪除,這里對(duì)應(yīng)的就是IPRIP的服務(wù)名。然后退出,重啟。重啟之后刪除WINNTsystem32目錄下的后門文件即可。 2,BITS.dll 這是榕哥的作品,也是DLL后門,和SvchostDLL.dll原理基本一樣,不過這里使用的是上邊介紹的第四種方法,即“修改現(xiàn)有組里的現(xiàn)有服務(wù),把它的ServiceDll指向

17、自己的DLL后門”。換句話說,該后門修改現(xiàn)有的某一個(gè)服務(wù),把其原有服務(wù)的DLL指向自己(也就是 BITS.dll),這樣就達(dá)到了自動(dòng)加載的目的;其次,該后門沒有自己的Loader,而是使用系統(tǒng)自帶的Rundll32.exe來加載。我們還是用 Windows 進(jìn)程管理2.5來查看,從圖7中,我們可以看到bits.dll已經(jīng)插入到Svchost進(jìn)程當(dāng)中。 好,現(xiàn)在我們來看看具體的清除方法,由于該后門是修改現(xiàn)有服務(wù),而我們并不知道具體是修改了哪個(gè)服務(wù),所以,在注冊(cè)表中搜索bits.dll,最后在 HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesRas

18、Auto下搜索到了bits.dll,查看 Parameters子鍵下的ServiceDll,其鍵值為C:WINNTsystem32bits.dll(如 圖8)。原來,該后門把RasAuto 服務(wù)原來的DLL文件替換為bits.dll了,這樣來實(shí)現(xiàn)自動(dòng)加載。知道了原因就好辦了,現(xiàn)在我們把ServiceDll的鍵值修改為RasAuto服務(wù)原有的DLL文件,即%SystemRoot%System32rasauto.dll,退出,重啟。之后刪除WINNTsystem32目錄下的 bits.dll即可。 3,NOIR-QUEEN NOIR-QUEEN(守護(hù)者)是一個(gè)DLL后門&木馬程序,服務(wù)端以

19、DLL文件的形式插入到系統(tǒng)的Lsass.exe進(jìn)程里,由于 Lsass.exe是系統(tǒng)的關(guān)鍵進(jìn)程,所以不能終止。在來介紹清除方法之前,我先介紹一下Lsass.exe進(jìn)程: 這是一個(gè)本地的安全授權(quán)服務(wù),并且它會(huì)為使用Winlogon服務(wù)的授權(quán)用戶生成一個(gè)進(jìn)程,如果授權(quán)是成功的,Lsass就會(huì)產(chǎn)生用戶的進(jìn)入令牌,令牌使用啟動(dòng)初始 的Shell。其他的由用戶初始化的進(jìn)程會(huì)繼承這個(gè)令牌。 從上邊的介紹我們就可以看出Lsass對(duì)系統(tǒng)的重要性,那具體怎么清除呢?請(qǐng)看下文。 后門在安裝成功后,會(huì)在服務(wù)中添加一個(gè)名為QoSserver的服務(wù),并把QoSserver.dll后門文件插入到Lsass進(jìn)程當(dāng)中,使其可以隱藏進(jìn)程并自動(dòng)啟動(dòng)(如圖9)?,F(xiàn)在我們打開注冊(cè)表,來到 HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesQoSserver,直接刪除QoSserver 鍵,然后重啟。重啟之后,我們?cè)趤淼椒?wù)列表中,會(huì)看到QoSserver服務(wù)還在,但沒有啟動(dòng),類別是自動(dòng),我們把他修

溫馨提示

  • 1. 本站所有資源如無特殊說明,都需要本地電腦安裝OFFICE2007和PDF閱讀器。圖紙軟件為CAD,CAXA,PROE,UG,SolidWorks等.壓縮文件請(qǐng)下載最新的WinRAR軟件解壓。
  • 2. 本站的文檔不包含任何第三方提供的附件圖紙等,如果需要附件,請(qǐng)聯(lián)系上傳者。文件的所有權(quán)益歸上傳用戶所有。
  • 3. 本站RAR壓縮包中若帶圖紙,網(wǎng)頁內(nèi)容里面會(huì)有圖紙預(yù)覽,若沒有圖紙預(yù)覽就沒有圖紙。
  • 4. 未經(jīng)權(quán)益所有人同意不得將文件中的內(nèi)容挪作商業(yè)或盈利用途。
  • 5. 人人文庫網(wǎng)僅提供信息存儲(chǔ)空間,僅對(duì)用戶上傳內(nèi)容的表現(xiàn)方式做保護(hù)處理,對(duì)用戶上傳分享的文檔內(nèi)容本身不做任何修改或編輯,并不能對(duì)任何下載內(nèi)容負(fù)責(zé)。
  • 6. 下載文件中如有侵權(quán)或不適當(dāng)內(nèi)容,請(qǐng)與我們聯(lián)系,我們立即糾正。
  • 7. 本站不保證下載資源的準(zhǔn)確性、安全性和完整性, 同時(shí)也不承擔(dān)用戶因使用這些下載資源對(duì)自己和他人造成任何形式的傷害或損失。

評(píng)論

0/150

提交評(píng)論