搜索

[11409] 2017-06-01_分享一种可关闭大多数杀软的技术（对360安全卫士已验证成功）

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2017-06-01_分享一种可关闭大多数杀软的技术（对360安全卫士已验证成功） 分 享 一 种 可 关 闭 大 多 数 杀 软 的 技 术 （ 对 3 6 0 安 全 卫 士 已 验 证 成 功 ） e x p s k y   F r e e B u f   2 0 1 7 - 0 6 - 0 1 声 明 ： 本 文 由 e x p s k y @ M S 5 0 9 T e a m 原 创 ， 仅 用 于 技 术 交 流 分 享 ， 禁 止 将 相 关 技 术 应 用 到 不 当 途 径 。   木 马 与 杀 软 的 对 抗 从 未 停 止 ， 这 样 的 对 抗 客 观 上 也 促 进 了 安 全 技 术 的 进 步 与 发 展 。 病 毒 、 木 马 除 了 本 身 的 功 能 以 外 ， 最 重 要 一 部 分 就 是 与 杀 软 的 对 抗 ， 这 也 是 技 术 难 点 所 在 。 试 想 一 下 如 果 在 一 台 没 装 杀 软 的 电 脑 上 ， 病 毒 木 马 不 需 要 什 么 注 入 、 白 加 黑 、 r o o t k i t 技 术 来 隐 藏 进 程 ， 不 需 要 用 什 么 高 深 未 公 开 的 方 式 来 实 现 自 启 动 ， 不 需 要 精 心 构 造 隐 秘 通 道 实 现 C & C 通 信 ， 不 需 要 加 密 混 淆 来 躲 避 静 态 查 杀 ， 也 不 用 担 心 调 用 了 跨 进 程 内 存 读 写 或 者 注 册 表 敏 感 位 置 读 写 、 磁 盘 扇 区 读 写 、 驱 动 加 载 等 被 杀 软 主 防 列 为 的 危 险 A P I … … . 只 需 一 个 十 多 年 前 的 简 单 木 马 就 可 以 为 所 欲 为 。 关 闭 杀 软 ， 是 病 毒 木 马 追 求 的 最 理 想 状 态 ， 但 能 做 到 这 点 只 有 极 少 数 的 特 种 木 马 或 r o o t k i t 型 木 马 能 办 到 ， 绝 大 部 分 木 马 也 只 是 通 过 各 种 技 术 手 段 来 绕 过 杀 软 的 部 分 功 能 ， 少 有 听 说 能 关 掉 杀 软 的 木 马 。 真 有 能 关 掉 杀 软 的 技 术 手 段 吗 ？ 原 理 思 路 我 们 尝 试 用 模 拟 真 实 用 户 的 操 作 ， 来 关 闭 杀 软 。 这 里 用 3 6 0 安 全 卫 士 目 前 最 新 版 作 为 实 验 对 象 。 是 否 能 成 功 ， 我 们 一 起 往 下 看 。 （ 声 明 ： 本 人 并 不 刻 意 针 对 3 6 0 ， 而 正 是 认 可 3 6 0 在 国 内 安 全 行 业 具 有 的 代 表 性 ， 并 且 该 技 术 思 路 可 以 适 用 于 其 余 绝 大 部 分 杀 软 ） 要 模 拟 真 实 用 户 关 闭 3 6 0 安 全 卫 士 的 流 程 如 下 ： 1 ） 鼠 标 右 键 点 击 桌 面 右 下 角 3 6 0 卫 士 的 系 统 托 盘 图 标 2 ） 在 弹 出 的 托 盘 菜 单 中 点 击 【 退 出 】 按 钮
3 ） 在 弹 出 的 3 6 0 卫 士 退 出 窗 口 中 点 击 【 继 续 退 出 】 按 钮 完 成 以 上 步 骤 后 3 6 0 安 全 卫 士 就 会 被 关 闭 。 接 下 来 就 是 如 何 用 程 序 自 动 模 拟 完 成 这 些 动 作 。 技 术 实 现
点 击 相 关 窗 口 的 按 钮 是 通 过 对 应 的 窗 口 类 名 得 到 相 应 的 窗 口 句 柄 ， 然 后 实 现 点 击 。 通 过 “ 彗 星 小 助 手 ” 的 窗 口 S P Y 功 能 可 以 找 出 需 要 的 窗 口 类 名 ， 而 通 过 窗 口 类 名 找 出 窗 口 句 柄 是 常 规 w i n d o w s 编 程 的 知 识 ， 本 文 就 不 再 累 述 这 里 需 要 注 意 的 是 ， 系 统 3 6 0 卫 士 托 盘 图 标 可 能 直 接 显 示 在 桌 面 右 下 角 的 系 统 托 盘 上 ， 也 可 能 在 隐 藏 的 系 统 托 盘 区 域 。 两 种 情 况 都 需 要 考 虑 到 系 统 托 盘 的 窗 口 类 S h e l l _ T r a y W n d       > >       T r a y N o t i f y W n d       > >       T o o l b a r W i n d o w 3 2   通 过 这 样 的 窗 口 关 系 找 出 系 统 托 盘 而 隐 藏 区 域 的 系 统 托 盘 窗 口 类 名 是 N o t i f y I c o n O v e r f l o w W i n d o w 3 6 0 卫 士 托 盘 菜 单 窗 口 类 名 ： Q 3 6 0 T r a y M e n u C l a s s 3 6 0 卫 士 退 出 窗 口 类 名 ： Q 3 6 0 H I P S C l a s s
到 此 就 可 以 定 位 到 所 有 需 要 的 窗 口 ， 我 们 还 需 要 定 位 到 窗 口 上 的 两 个 【 退 出 】 按 钮 这 里 需 要 注 意 的 是 ， 按 钮 实 际 上 也 是 一 个 子 窗 口 ， 普 通 的 w i n d o w s 按 钮 通 过 彗 星 小 助 手 可 以 直 接 定 位 识 别 ， 但 现 在 很 多 软 件 包 括 这 里 的 3 6 0 卫 士 ， 按 钮 都 是 自 绘 出 来 的 ， 不 是 传 统 的 按 钮 控 件 ， 不 能 直 接 识 别 。 不 过 也 有 办 法 ， 因 为 【 退 出 】 按 钮 相 对 于 父 窗 口 的 位 置 是 固 定 ， 通 过 父 窗 口 的 位 置 与 【 退 出 】 按 钮 的 相 对 位 置 ， 就 可 以 分 别 定 位 到 两 个 需 要 点 击 的 【 退 出 】 按 钮 ， 模 拟 鼠 标 点 击 就 可 以 自 动 关 闭 3 6 0 安 全 卫 士 定 位 3 6 0 卫 士 托 盘 菜 单 的 【 退 出 】 按 钮 位 置 ： x 坐 标   =   托 盘 菜 单 的 x 坐 标   +   托 盘 菜 单 的 宽 度 （ 2 6 0 ） -   2 0 y 坐 标   =   托 盘 菜 单 的 y 坐 标   +   托 盘 菜 单 的 高 度 （ 5 6 0 ） -   1 0 说 明 ： - 2 0 和 - 1 0   即 为 【 退 出 】 按 钮 相 对 窗 口 右 下 角 的 位 置 定 位 3 6 0 卫 士 退 出 窗 口 上 的 【 继 续 退 出 】 按 钮 位 置 ： x 坐 标   =   3 6 0 退 出 窗 口 x 坐 标   +   3 6 0 退 出 窗 口 的 宽 度 （ 6 0 0 ） -   1 2 0 y 坐 标   =   3 6 0 退 出 窗 口 y 坐 标   +   3 6 0 退 出 窗 口 的 高 度 （ 4 0 0 ） -   4 0 说 明 ： - 1 2 0 和 - 4 0   即 为 【 继 续 退 出 】 按 钮 相 对 窗 口 右 下 角 的 位 置 真 实 演 示 “ 空 谈 误 国 ， 实 干 兴 邦 ” ， 理 论 讲 得 再 好 ， 实 现 不 了 还 是 等 于 零 。 所 以 按 照 上 面 的 技 术 思 路 我 实 现 了 一 个 演 示 工 具 ， 成 功 关 闭 了 3 6 0 卫 士 。 大 概 1 秒 钟 左 右 3 6 0 安 全 卫 士 就 被 关 闭 了 。
从 上 面 的 动 图 可 以 看 出 ， 关 闭 过 程 中 会 有 窗 口 闪 动 。 因 为 实 现 原 理 本 来 就 是 模 拟 用 户 的 实 际 操 作 ， 所 以 用 户 真 实 关 闭 3 6 0 卫 士 会 出 现 的 窗 口 这 里 都 会 出 现 。 有 人 可 能 会 质 疑 这 样 不 是 就 被 用 户 发 现 了 吗 ， 其 实 这 已 经 不 重 要 了 ， 木 马 已 经 在 没 有 防 护 的 环 境 下 植 入 用 户 电 脑 ， 相 关 恶 意 代 码 已 经 成 功 执 行 。 结       尾   如 何 防 御 这 种 攻 击 手 段 ， 通 常 的 做 法 是 在 关 闭 安 全 软 件 的 时 候 要 求 输 入 验 证 码 ， 确 保 是 人 的 真 实 操 作 ， 但 验 证 码 这 种 方 式 会 影 响 用 户 使 用 体 验 ， 也 不 是 最 佳 的 方 案 。 要 想 找 到 一 个 特 别 理 想 的 方 案 不 是 太 容 易 ， 做 安 全 很 多 时 候 都 是 不 得 不 去 牺 牲 一 些 其 他 代 价 由 于 本 演 示 程 序 具 有 危 害 ， 所 以 这 里 就 不 提 供 源 码 了 ， 但 本 文 已 经 把 这 个 原 理 以 及 相 关 的 窗 口 类 名 称 等 重 要 信 息 说 的 很 清 楚 ， 熟 悉 w i n d o w s 编 程 的 话 很 容 易 自 己 就 可 以 实 现 。 唯 一 还 有 一 个 小 点 需 要 注 意 的 是 在 系 统 托 盘 里 如 何 定 位 到 3 6 0 卫 士 图 标 的 位 置 ， 我 是 通 过 图 像 识 别 的 方 法 来 实 现 的 ， 也 许 还 有 其 他 更 好 的 办 法 。 本 文 的 目 的 不 是 宣 扬 去 攻 击 安 全 软 件 ， 而 是 想 说 明 攻 防 的 博 弈 永 远 没 有 尽 头 ， 而 攻 击 者 对 安 全 技 术 研 究 的 深 度 、 广 度 、 还 有 脑 洞 的 大 小 ， 都 会 使 得 各 种 新 型 攻 击 方 式 出 现 ， 安 全 从 业 人 员 不 能 放 松 警 惕 。 * 本 文 作 者 ： e x p s k y ， 转 载 请 注 明 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理