木馬害人計中計連載２

認識線程插入

沒過多久，劉鼎發現有人在拍他的肩膀，回頭一看，正是公孫先生。于是劉鼎高興地對著茶博士叫道：“師傅，再沏碗綠茶。”然后恭恭敬敬地問道：“先生最近很少來喝茶吧?好幾次都沒看見你。”公孫牧坐下后，回道：“前段時間有幾家公司讓我為他們的網站進行安全檢測，所以就沒有時間來這里喝茶了哈哈!”劉鼎接著問：“上次先生說黑客的木馬欺騙技術有很多，并且為我講了木馬的瞞天過海之計，聽得我茅塞頓開，不知先生能否繼續講解?”

公孫牧哈哈笑道：“當然行，今天我就給你說說借尸還魂之計吧!此計原文為‘有用者，不可借；不能用者，求借。借不能用者而用之，匪我求童蒙，童蒙求我。’前面這意思是說，世間許多看上去很有用的東西，往往不容易駕馭為己所用。而有些看似無用的東西，卻可以借助它為自己發揮作用。這樣不僅可以轉不利為有利，有時還能轉敗為勝。”

公孫牧接著講道：“在網絡安全的運用中，借尸還魂的‘尸’可以看作是系統正常的進程信息，而‘魂’當然就是木馬的惡意進程信息。大家都知道，現在的安全軟件對小馬進程的查殺非常嚴，而木馬就采用線程插入技術，將自身隱藏到正常的系統進程中執行，以躲過安全軟件和用戶的檢查。這就是木馬的借尸還魂之計!”

實戰初試

劉鼎聽后，心里已經有了一個初步的認識，但感覺還是比較抽象，于是就請公孫牧在自己的本本上做—下演示。看來公孫牧今天的心情非常不錯，只見他一邊演示一邊為劉鼎講解道：“如今主流的木馬都采用了線程插入技術，并且很多木馬可以隱藏到多個進程之中。比如運行“上興”木馬的客戶端程序，點擊其工具欄中的‘配置服務端’命令，在彈出窗口中我們可以看到‘使用IE瀏覽器進程啟動服務端’和‘插systern32目錄的系統文件’兩個選項。‘使用IE瀏覽器進程啟動服務端’選項就是將木馬的服務端進程插入IE瀏覽器的進程中，而‘插system32目錄的系統文件’選項就可以讓黑客自定義插入的進程。你看這其中包括svchost.exe、calc.exe和cmd.exe等多個常見的系統進程，黑客任意選用其中一個就可以了。”

進階演練

看著公孫牧的演示，劉鼎不住地點頭。突然他問了一個問題：“好像有些知名的木馬只有一個進程信息可以設置，比如‘灰鴿子’通常就只能插入到IE瀏覽器的進程中，那么這個時候是不是就不能更改進程了呢?”公孫牧靠在椅子上聽完劉鼎的提問，悠然地回答道：“通過木馬本身的配置程序當然不能，但是通過其他方法還是可以的。這里我要用到一款名為C32Asm的反匯編工具。”

劉鼎一聽要使用其他工具，連忙問：“要用反匯編工具?難道還需要對木馬進行破解不成?操作起來是不是非常困難啊?”一連三個問題，讓公孫牧都感到有些措手不及了。公孫牧對他笑道：“其實并沒有你想像中的那么困難，我還是一邊演示一邊跟你講吧!”前先，只見他運行了反匯編工具C32Asm，點擊其“文件”菜單中的“打開十六進制文件”項，導入已生成好的“灰鴿子”服務端。接著，他點擊了“搜索”菜單中的“搜索”項。由于“灰鴿子”是插入列IE瀏覽器的進程中，所以他在彈出窗口中輸入了“iexplore.Exe”。開始搜索后，很快就找到一處“：＼Program Files＼InternetExolorer＼lEXPLORE EXE”，這就是“灰鴿子”服務端插入到lE瀏覽器的路徑。

劉鼎喝了口茶，自我解嘲道：“看上去是很簡單，呵呵!”此時公孫牧暫停了操作，說道：“現在就可以將‘灰鴿子’服務端插入的IE瀏覽器進程改成其他常用軟件的進程了，比如QQ，exe或Foxmail.exe等。不過，有經驗的黑客常常會選擇svchost，exe，因為它是Windows重要的系統進程，在Windows XP的進程列表中一般有4個以上，插入其中不容易被用戶發現和懷疑。svchost.exe的路徑是：＼wINDOWS＼system32＼svchost.EXE，所以在此我只需要選中IE瀏覽器進程的路徑，然后用svchost.exe的路徑替換它就行了。”

完成以上操作后，公孫牧又指著屏幕說：“你看，前后兩個路徑的長度不一樣，這里還有一部分原來的路徑沒有給替換掉。因此現在要選中沒有被替換掉的部分，點擊鼠標右鍵選擇‘填充’命令，在彈出窗口中點選‘使用16進制填充’，在其框中輸入00，完成后點擊‘確定’按鈕退出。下面我們繼續搜索，點擊‘搜索’菜單中的‘搜索下一個’，又會找到一個和iexplore.exe相關的信息內容，只是這次沒有路徑信息而已。按照上面的方法用svchost.exe替換iexplore.exe，并填充沒有替換掉的部分。最后，點擊‘文件’菜單中的‘保存’命令，將修改好的‘灰鴿子’服務端保存。”此刻劉鼎仿佛大悟，拍桌說道：“如此修改后的‘灰鴿子’木馬，猶如使出了奇招，在別人電腦中運行起來就更加隱蔽了。高!實在是高!”

尾聲

就這樣，在問答和演示之中，時間飛快地流逝著。這時公孫牧準備起身買單，劉鼎急忙攔住，并對茶博士喊道：“師傅，幫忙買單!”然后，對公孫牧說：“先生還是我來吧!”公孫牧也沒有推辭。最后，兩個人有說有笑地各自回家吃飯去了。天邊的晚霞映紅了兩人的臉龐。欲知后事如何，請看下回分解。