搜索

[10822] 2016-12-13_史上最全的njRAT通信协议分析

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2016-12-13_史上最全的njRAT通信协议分析 史 上 最 全 的 n j R A T 通 信 协 议 分 析 菠 菜   F r e e B u f   2 0 1 6 - 1 2 - 1 3 * 本 文 原 创 作 者 ： 菠 菜 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 N j r a t , 又 称 又 称 B l a d a b i n d i ， 该 木 马 家 族 使 用 ， 该 木 马 家 族 使 用 . N E T 框 架 编 写 ， 是 一 个 典 型 的 框 架 编 写 ， 是 一 个 典 型 的 R A T 类 程 序 ， 通 过 控 制 端 可 以 操 作 受 控 端 的 文 件 、 进 类 程 序 ， 通 过 控 制 端 可 以 操 作 受 控 端 的 文 件 、 进 程 、 服 务 、 注 册 表 内 容 ， 也 可 以 盗 取 受 控 端 的 浏 览 器 的 保 存 的 密 码 信 息 等 内 容 。 此 外 ， 还 具 有 远 程 屏 幕 抓 取 ， 木 马 客 户 端 程 、 服 务 、 注 册 表 内 容 ， 也 可 以 盗 取 受 控 端 的 浏 览 器 的 保 存 的 密 码 信 息 等 内 容 。 此 外 ， 还 具 有 远 程 屏 幕 抓 取 ， 木 马 客 户 端 升 级 等 功 能 。 升 级 等 功 能 。 N j r a t 采 用 了 插 件 机 制 ， 通 过 使 用 不 同 的 插 件 来 扩 展 新 的 木 马 功 能 。 本 文 涉 及 到 n j r a t 的 三 款 插 件 ， 分 别 为 : s c 2 . d l l , c h . d l l 和 p w . d l l ， 其 中 的 c h . d l l 用 来 实 现 与 受 控 端 的 聊 天 对 话 功 能 。 p w . d l l 用 来 实 现 对 受 控 端 密 码 内 容 的 抓 取 ， s c 2 . d l l 用 来 实 现 远 程 桌 面 功 能 。 当 受 控 端 上 线 时 ， 主 控 端 会 弹 出 提 示 信 息 如 下 所 示 ： 控 制 端 ： 控 制 端 ： 木 马 配 置 选 项 如 下 ： 控 制 界 面 如 下 图 木 马 程 序 木 马 程 序 总 体 的 代 码 结 构 ： 总 体 的 代 码 结 构 ：
对 于 被 控 端 代 码 （ 也 就 是 木 马 程 序 ） 的 总 体 代 码 结 构 如 下 图 ： 木 马 的 M a i n 函 数 入 口 只 是 调 用 了 O k 类 的 k o 方 法 。 确 保 单 实 例 运 行 确 保 单 实 例 运 行 通 过 互 斥 体 来 实 现 单 实 例 运 行 。 互 斥 体 名 称 为 “ f 8 7 8 2 a 0 1 3 a 2 0 6 1 0 e 0 9 2 1 6 f 2 1 b 7 0 5 d 8 5 6 ” 。
拷 贝 自 身 ， 设 置 注 册 表 ， 加 启 动 项 ： 拷 贝 自 身 ， 设 置 注 册 表 ， 加 启 动 项 ： 1 . 判 断 是 不 是 在 t e m p 目 录 下 2 . 如 果 不 在 t e m p 目 录 下 , 判 断 t e m p 目 录 下 是 否 有 样 本 文 件 存 在 3 . 如 果 样 本 文 件 存 在 ， 刚 将 样 本 文 件 删 除 4 . 重 新 拷 贝 自 己 到 临 时 目 录 下 5 . 运 行 t e m p 目 录 下 的 程 序 设 置 注 册 表 ： 添 加 防 火 墙 规 则 ： 添 加 启 动 项 ， 与 主 控 端 设 置 相 关 ： 添 加 的 注 册 表 中 启 动 项 位 置
添 加 的 启 动 项 的 名 称 键 盘 记 录 功 能 ： 键 盘 记 录 功 能 ： 开 启 线 程 键 盘 记 录 键 盘 记 录 线 程 函 数 ：
键 盘 记 录 到 的 内 容 ： 通 信 过 程 通 信 过 程 通 信 中 的 关 键 数 据 使 用 b a s e 6 4 加 密 的 数 据 。 通 信 命 令 各 部 分 之 间 使 用 | ’ | ' | 分 隔 。
开 启 线 程 ， 与 主 控 端 通 信 通 信 过 程 的 内 容 主 要 分 为 四 部 分 ： 第 一 部 分 ： 命 令 类 型 如 E x ， u n , d i v , r n , r e t 等 第 二 部 分 为 ： 命 令 的 子 类 型 ， 如 p r o c , t c p , R G , r s , s r v 第 三 部 分 为 ： 操 作 命 令 ， 如 ~ 表 示 查 看 ， k 表 示 杀 掉 第 四 部 分 为 ： 操 作 命 令 对 应 的 参 数 。 如 要 杀 死 的 进 程 名 ， 要 启 动 的 服 务 名 ， 要 关 闭 的 网 络 连 接 等 以 下 对 于 常 用 功 能 的 通 信 命 令 进 行 详 细 分 析 。 文 件 管 理 命 令 文 件 管 理 命 令 网 络 连 接 查 看 命 令 网 络 连 接 查 看 命 令 命 令 格 式 为 ： 注 册 表 查 看 命 令 注 册 表 查 看 命 令 命 令 格 式 为 ： 远 程 远 程 s h e l l 命 令 命 令 服 务 查 看 命 令 服 务 查 看 命 令 进 程 命 令 进 程 命 令 E x | ' | ' | f m | ' | ' | ~ 命 令 类 型 为 E x , 命 令 子 类 型 为 f m 操 作 命 令 类 型 如 下 ： ! 对 应 打 开 文 件 内 容 ， d l 删 除 文 件 r a r 表 示 压 缩 文 件 n m 表 示 重 命 名 文 件 E x | ' | ' | t c p | ' | ' | 操 作 命 令 | ' | ' | 操 作 参 数 操 作 命 令 中 ： ! 表 示 断 开 连 接 , ~ 表 示 显 示 连 接 列 表 E x | ' | ' | t c p | ' | ' | ~ | ' | ' |   表 示 显 示 所 有 的 网 络 连 接 列 表 E x | ' | ' | R G | ' | ' | 操 作 命 令 | ' | ' | 操 作 参 数 操 作 命 令 包 括 ： ~ 表 示 查 看 命 令 ， ! 表 示 新 建 命 令 ， @ 表 示 删 除 注 册 表 内 容 命 令 E x | ' | ' | R G | ' | ' | ! | ' | ' | H K E Y _ C U R R E N T _ U S E R | ' | ' | a a a a | ' | ' | b b b | ' | ' | 1 表 示 在 H K E Y _ C U R R E N T _ U S E R 注 册 表 下 新 建 名 字 为 a a a a , 内 容 为 b b b ， 类 型 为 1 的 注 册 表 项 E x | ' | ' | R G | ' | ' | @ | ' | ' | H K E Y _ C U R R E N T _ U S E R | ' | ' | a a a a 删 除 a a a a 的 键 值 E x | ' | ' | R G | ' | ' | ~ | ' | ' | H K E Y _ C U R R E N T _ U S E R   查 看 注 册 表 H K E Y _ C U R R E N T _ U S E R 下 的 内 容 命 令 格 式 为 ： E x | ' | ' | r s | ' | ' | 操 作 命 令 | ' | ' | 操 作 参 数 操 作 命 令 包 括 ： ~ 表 示 打 开 远 程 s h e l l 命 令 ， ! 表 示 远 程 执 行 命 令 E x | ' | ' | r s | ' | ' | ~   表 示 显 示 远 程 s h e l l 窗 口 命 令 格 式 为 ： E x | ' | ' |   s r v   | ' | ' | 操 作 命 令 | ' | ' | 操 作 参 数 操 作 命 令 包 括 ： ~ 对 应 显 示 列 表 命 令 ， @ 对 应 的 暂 停 命 令 ， ！ 对 应 的 停 止 命 令 ， # 对 应 开 启 服 务 命 令
对 木 马 文 件 的 操 作 命 令 对 木 马 文 件 的 操 作 命 令 命 令 格 式 为 ： u n   | ’ | ' |   p r o c | ’ | ' | 操 作 命 令 操 作 命 令 包 括 ： 操 作 命 令 包 括 ： 卸 载 木 马 程 序 主 要 进 行 下 面 的 操 作 升 级 木 马 客 户 端 升 级 木 马 客 户 端 下 载 执 行 下 载 执 行 被 控 端 接 收 到 下 载 执 行 的 命 令 ， 解 析 出 命 令 参 数 ， 使 用 W e b C l i e n t 的 D o w n l o a d D a t a 方 法 下 载 ， 下 载 成 功 后 执 行 脚 本 执 行 与 本 地 执 行 ： 脚 本 执 行 与 本 地 执 行 ： 主 控 端 的 脚 本 的 内 容 会 使 用 Z I P 压 缩 后 ， 再 封 装 成 命 令 包 发 送 ， 控 制 端 接 收 到 命 令 后 ， 会 使 用 压 缩 算 法 解 压 后 ， 将 内 容 写 入 到 临 时 目 录 下 的 指 定 的 扩 展 名 ( 扩 展 名 也 由 主 控 端 发 送 确 定 ) 后 ， 执 行 。 与 下 载 执 行 的 数 据 包 内 容 不 同 之 处 在 于 ， 脚 本 执 行 与 本 地 执 行 数 据 包 的 头 两 个 字 节 为 0 0 1 f 命 令 格 式 为 ： E x | ' | ' |   p r o c   | ' | ' | 操 作 命 令 | ' | ' | 操 作 参 数 操 作 命 令 包 括 ： ~ 对 应 显 示 列 表 命 令 ， k 杀 死 指 定 进 程 E x | ' | ' | p r o c | ' | ' | ~   显 示 进 程 列 表 ！ 结 束 木 马 端 的 运 行 ， @ 重 新 启 动 木 马 客 户 端 ,   ~ 卸 载 木 马 程 序 使 用 u p   命 令 有 两 种 升 级 方 式 ： 本 地 磁 盘 文 件 升 级 和 在 线 升 级 使 用 在 线 升 级 的 数 据 包 内 容 为 ： u p | ' | ' | 木 马 升 级 包 地 址 本 地 升 级 数 据 包 内 容 为 ：
获 取 密 码 ： 获 取 密 码 ： 主 控 端 向 受 控 端 发 送 r e t 指 令 ， 受 控 端 接 收 到 指 令 后 ， 加 载 注 册 表 中 保 存 的 p w 插 件 ， 使 用 插 件 获 取 到 密 码 后 发 送 给 主 控 端 主 控 端 发 送 的 命 令 为 ： 主 控 端 发 送 的 命 令 为 ： 聊 天 通 信 的 实 现 ： 聊 天 通 信 的 实 现 ： 从 注 册 表 中 得 到 c h 的 组 件 ， 大 小 为   0 × 3 0 0 0 。 r e t | ' | ' | b 8 8 e c e 4 c 0 4 f 7 0 6 c 9 7 1 7 b b e 6 f b d a 4 9 e d 2 | ' | ' | ( 其 中 的 b 8 8 e c e 4 c 0 4 f 7 0 6 c 9 7 1 7 b b e 6 f b d a 4 9 e d 2 表 示 p w 插 件 保 存 在 注 册 表 中 的 位 置
屏 幕 图 像 的 通 信 ： 屏 幕 图 像 的 通 信 ： 这 里 的 通 信 并 不 是 “ 远 程 桌 面 ” 的 效 果 ， 而 是 下 图 中 的 缩 略 图 的 通 信 内 容 通 过 C o p y F r o m S c r e e n 得 到 屏 幕 截 图 保 存 到 图 片 格 式 ， 随 后 将 此 次 生 成 的 图 像 与 上 次 生 成 的 图 像 进 行 m d 5 比 较 ， 如 果 m d 5 不 一 致 , 则 发 送 这 次 的 截 图 数 据 。 通 过 m d 5 来 对 比 图 像 是 为 了 减 少 重 复 传 输 多 次 相 同 内 容 的 图 像 。 通 信 的 数 据 包 内 容 为 ： 表 示 向 受 控 端 请 求 的 图 像 是 用 来 显 示 在 主 控 端 的 缩 略 图 中 C A P | ' | ' | 3 5 | ' | ' | 2 3
远 程 桌 面 的 通 信 ： 远 程 桌 面 的 通 信 ： 远 程 桌 面 的 效 果 图 ： 通 信 的 数 据 包 命 令 为 ： d i v 木 马 端 会 根 据 控 制 端 传 送 的 数 据 包 ， 判 断 注 册 表 下 是 不 是 有 对 应 的 插 件 ， 如 果 没 有 ， 发 送 反 馈 包 给 控 制 端 ， 随 后 控 制 端 会 发 送 一 个 经 过 压 缩 的 s c 2 . d l l 的 插 件 给 受 控 端 ， 受 控 端 随 后 启 用 插 件 进 行 远 程 桌 面 的 通 信 。 并 将 插 件 写 入 到 注 册 表 中 。 结 论 结 论 N j r a t   是 近 年 来 最 为 活 跃 的 木 马 家 族 之 一 。 这 一 方 面 是 因 为 木 马 简 单 易 学 ， 在 网 上 随 处 可 见 配 置 木 马 的 文 章 ， 另 一 方 面 ， 其 强 大 的 远 控 功 能 满 足 了 网 络 犯 罪 的 需 要 ， 甚 至 网 络 江 湖 中 有 传 闻 ， 极 端 组 织 I S I S 也 曾 使 用 n j R A T 作 为 重 要 的 网 络 武 器 。 本 文 只 是 对 n j R a t 使 用 的 各 种 远 控 功 能 的 数 据 通 话 进 行 了 梳 理 与 罗 列 ， 只 做 技 术 学 习 交 流 。 安 全 厂 商 可 根 据 自 身 需 要 在 其 网 络 安 全 设 备 中 加 入 相 应 的 检 测 与 防 护 策 略 ， 共 同 抵 抗 n j r a t 的 入 侵 。 * 本 文 原 创 作 者 ： 菠 菜 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理