搜索

[10288] 2016-07-11_文件监控程序V2.0改进版（网站防挂马好手）

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2016-07-11_文件监控程序V2.0改进版（网站防挂马好手） 文 件 监 控 程 序 V 2 . 0 改 进 版 （ 网 站 防 挂 马 好 手 ） 鬼 魅 羊 羔   F r e e B u f   2 0 1 6 - 0 7 - 1 1 前 言 前 言 技 多 不 压 身 ， 多 掌 握 几 种 不 同 的 编 程 语 言 ， 不 但 有 助 于 开 拓 我 们 的 视 野 ， 还 可 以 让 我 们 在 工 作 时 ， 自 己 写 一 些 小 程 序 来 帮 我 们 减 少 工 作 量 。 前 段 时 间 给 一 个 客 户 维 护 服 务 器 ， 服 务 器 总 是 被 挂 马 ， 装 了 个 某 狗 ， 然 后 并 没 有 解 决 问 题 ， 到 不 是 说 安 全 狗 不 行 ， 是 现 在 前 段 时 间 给 一 个 客 户 维 护 服 务 器 ， 服 务 器 总 是 被 挂 马 ， 装 了 个 某 狗 ， 然 后 并 没 有 解 决 问 题 ， 到 不 是 说 安 全 狗 不 行 ， 是 现 在 很 多 防 护 软 件 并 不 贴 心 啊 。 很 多 防 护 软 件 并 不 贴 心 啊 。 下 面 ， 我 举 个 栗 子 下 面 ， 我 举 个 栗 子 目 前 目 前 W A F 用 户 体 验 性 差 用 户 体 验 性 差 某 狗 、 某 网 站 防 护 、 某 主 机 卫 士 ， 只 针 对 文 件 上 传 进 行 拦 截 和 防 护 ， 先 不 说 特 征 库 全 不 全 的 问 题 ， 但 是 ， 如 果 攻 击 者 利 用 远 程 下 载 的 方 式 ， 直 接 下 载 到 服 务 器 ， 或 者 通 过 命 令 执 行 写 进 去 ， 亦 或 者 通 过 其 他 方 式 进 行 创 建 写 入 的 ， 这 些 防 护 软 件 就 没 有 办 法 管 了 。 而 杀 软 对 w e b s h e l l 后 门 貌 似 也 不 是 很 敏 感 ， 所 以 ， 这 就 尴 尬 了 。 摆 在 管 理 员 面 前 的 ， 只 有 手 工 查 杀 或 者 工 具 主 动 扫 描 两 条 路 了 。 但 是 ， 你 真 的 确 定 你 天 天 会 上 去 点 查 杀 么 ？ 好 吧 ， 我 也 遇 到 了 这 样 的 问 题 。 一 天 登 录 服 务 器 千 百 遍 啊 ， 就 是 为 了 点 下 查 杀 按 钮 。 前 段 时 间 给 一 个 客 户 维 护 服 务 器 ， 服 务 器 总 是 被 挂 马 ， 装 了 个 某 狗 ， 然 后 并 没 有 解 决 问 题 ， 到 不 是 说 安 全 狗 不 行 ， 是 现 在 很 多 防 护 软 件 并 不 贴 心 啊 。 解 决 思 路 解 决 思 路 起 初 为 了 解 决 这 个 问 题 ， 用 C # 写 了 个 命 令 行 程 序 ， 对 网 站 目 录 进 行 循 环 检 测 ：
但 是 2 4 0 G 的 源 代 码 ， 跑 完 一 次 需 要 1 个 多 小 时 ， 也 就 是 说 ， 在 这 个 时 间 范 围 内 ， 网 马 可 以 存 活 一 定 时 间 ， 对 于 一 个 黑 客 来 说 ， 一 个 多 小 时 ， 能 做 很 多 事 情 ， 所 以 ， 这 不 是 我 想 要 的 。 之 前 一 直 在 琢 磨 ， 有 没 有 一 个 好 的 方 式 ， 能 够 代 替 人 工 去 监 控 网 站 目 录 文 件 ， 一 旦 出 现 w e b s h e l l ， 就 自 动 进 行 隔 离 呢 。 之 前 写 了 个 小 工 具 ， 但 是 界 面 有 点 小 气 。 从 乌 云 群 里 要 了 个 s h a c k 2 写 的 ， 一 个 “ 超 级 文 件 监 控 ” 工 具 ， 貌 似 是 前 两 年 的 ， 我 就 顺 手 改 了 改 ， 实 现 了 下 这 个 功 能 ， 下 面 详 细 说 下 正 题 。 要 想 实 现 这 个 功 能 ， 首 先 得 解 决 两 个 问 题 。 1 、 针 对 文 件 的 创 建 、 更 改 、 重 命 名 进 行 监 控 ； 2 、 对 触 发 创 建 、 更 改 、 重 命 名 的 文 件 内 容 进 行 判 断 ； 先 说 说 第 一 个 ， 我 是 用 C # 来 写 的 。 程 序 开 始 ， 肯 定 得 先 指 定 文 件 监 控 路 径 。 C # 对 文 件 进 行 监 控 ， 得 用 到 F i l e S y s t e m W a t c h e r 类 。 F i l e S y s t e m W a t c h e r 类 提 供 了 C r e a t e d ,   D e l e t e d , R e n a m e 等 事 件 的 监 控 例 如 s h a c k 2 写 的 文 件 监 控 源 码 ， 我 以 创 建 文 件 为 例 ：   p r i v a t e   v o i d   f i l e C r e a t e _ E v e n t H a n d l e ( O b j e c t   s e n d e r ,   F i l e S y s t e m E v e n t A r g s   e )     / / 文 件 增 删 改 时 被 调 用 的 处 理 方 法                     {                         a d d + + ;                           t h i s . l v w _ l o g . I n v o k e ( n e w   u p d a t e R e s u l t ( a d d N o d e ) ,   n e w   O b j e c t [ ]   {   e ,   " 创 建 "   } )                   } 当 触 发 了 创 建 文 件 操 作 时 ， 将 内 容 输 出 。 当 然 了 ， 除 了 创 建 以 外 ， 还 可 以 用 W a t c h e r C h a n g e T y p e s 来 注 册 其 他 事 件 。 因 为 s h a c k 2 已 经 共 享 了 源 码 ， 这 里 就 不 再 累 述 。 文 件 监 控 这 里 ， 百 度 有 很 多 现 成 的 方 法 ， 这 个 完 全 可 以 复 制 粘 贴 的 ， 重 点 是 第 二 个 问 题 ， 如 何 对 触 发 行 为 的 内 容 进 行 处 理 。 大 致 处 理 思 路 是 ： 触 发 文 件 状 态 （ 如 ： 创 建 ） - - - - > 对 触 发 该 状 态 的 文 件 进 行 检 查 - - - - - - - > 确 定 文 件 内 容 是 否 存 在 可 疑 - - - - - - - > 不 处 理 o r 隔 离 知 道 了 思 路 ， 写 起 来 就 相 对 简 单 些 了 。
先 创 建 个 S c a n H e l p e r 类 ， 这 个 类 ， 主 要 是 写 扫 描 方 法 和 所 关 联 的 特 征 码 ， 也 就 是 表 达 式 。 以 及 文 件 的 处 理 措 施 。 这 里 的 表 达 式 ， 可 以 根 据 需 求 来 自 己 设 定 ， 也 可 以 将 特 定 脚 本 类 型 的 特 征 码 进 行 归 类 。 表 达 式 写 清 楚 了 ， 然 后 就 是 写 文 件 打 开 的 方 法 和 文 件 内 容 的 判 断 。 这 里 使 用   F i l e I n f o   N e x t F i l e   =   n e w   F i l e I n f o ( f i l e P a t h ) ; 判 断 文 件 是 否 存 在   i f   ( N e x t F i l e . E x i s t s ) s t r i n g   F i l e T e x t   =   F i l e . R e a d A l l T e x t ( P a t h . G e t F u l l P a t h ( f i l e P a t h ) ) ; / / 读 取 文 件 内 容   i f   ( R e g S t r i n g . I s M a t c h ( F i l e T e x t )   | |   R e g P a t t e r n . I s M a t c h ( F i l e T e x t )   | |   R e g s j m . I s M a t c h ( F i l e T e x t ) )   / / 如 果 存 在 危 险 字 符 如 果 存 在 设 定 好 的 字 符 ， 则 处 理 文 件 ； 这 里 呢 ， 当 然 不 能 直 接 删 除 ， 通 过 m o v e T o 的 方 式 移 动 到 别 的 地 方 来 处 理 。 N e x t F i l e . M o v e T o ( P a t h . C o m b i n e ( T e m p P a t h ,   N e x t F i l e . N a m e ) ) ; 只 是 判 断 文 件 还 不 行 ， 如 果 文 件 出 现 重 复 ， 依 然 会 出 现 问 题 ， 这 里 ， 需 要 对 文 件 进 行 一 个 处 理 。 比 如 说 ， 当 发 现 1 . a s p 文 件 存 在 问 题 ， 我 们 处 理 以 后 ， 下 次 再 出 现 1 . a s p 文 件 时 ， 则 会 报 错 。 这 里 ， 我 们 需 要 用 到 下 面 的 方 法 来 处 理 下 文 件 重 复 的 问 题 。 当 发 现 文 件 重 复 了 ， 在 新 处 理 的 文 件 名 加 上 . b a k 来 做 区 分 ， 当 再 次 发 现 . b a k 也 重 复 的 时 候 ， 直 接 进 行 删 除 操 作 。 在 处 理 完 这 些 问 题 后 ， 有 一 个 核 心 的 问 题 ， 线 程 占 用 的 情 况 。 也 就 是 说 ， 在 w i n d o w s 文 件 系 统 中 ， 你 创 建 一 个 文 件 时 ， 会 触 发 c r e a t e d 和 c h a n g e d 两 种 操 作 ， 你 修 改 文 件 内 容 时 ， 也 同 样 会 触 发 这 两 个 操 作 ， 这 样 就 会 冲 突 了 。 这 不 是 关 键 ， 关 键 问 题 时 ， 在 执 行 监 控 时 ， 你 还 要 对 文 件 内 容 进 行 判 断 和 处 理 ， 这 样 就 很 容 易 发 生 错 误 。 这 不 是 关 键 ， 关 键 问 题 时 ， 在 执 行 监 控 时 ， 你 还 要 对 文 件 内 容 进 行 判 断 和 处 理 ， 这 样 就 很 容 易 发 生 错 误 。 我 问 过 好 多 C # 大 牛 ， 都 说 不 好 解 决 ， 最 好 的 办 法 ， 是 用 C + + 来 写 ， 通 过 底 层 的 方 式 来 处 理 ， 但 是 坑 的 是 ， 我 还 没 学 C + + ， C # 也 是 才 学 了 2 个 月 吧 ， 如 果 这 样 就 放 弃 了 ， 那 整 个 程 序 就 白 写 了 。 。 后 来 琢 磨 了 好 几 天 ， 想 到 了 一 个 不 是 解 决 办 法 的 解 决 办 法 。 用 t r y   c a t c h 和 T h r e a d . S l e e p 来 解 决 这 个 问 题 。 t r y 执 行 ， 当 文 件 触 发 了 创 建 操 作 ， 就 执 行 文 件 内 容 判 断 和 处 理 的 方 法 。 如 果 线 程 出 错 ， 则 通 过 c a t c h 的 方 式 来 重 复 执 行 ， 但 是 c a t c h 不 再 判 断 文 件 状 态 ， 只 是 判 断 是 文 件 ， 然 后 对 内 容 进 行 检 查 ， 发 现 问 题 ， 则 进 行 下 一 步 处 理 操 作 。 这 里 用 到 了       T h r e a d . S l e e p ( 2 0 0 0 0 ) ; 睡 眠 时 间 ， 是 为 了 让 程 序 在 判 断 的 时 候 ， 有 足 够 的 时 间 释 放 线 程 ， 免 得 出 现 冲 突 ， 而 导 致 程 序 崩 溃 。
当 然 了 ， 界 面 我 没 改 动 ， 还 是 s h a c k 2 得 界 面 ， 我 只 是 在 界 面 上 加 入 了 一 个 隔 离 区 操 作 。 我 把 软 件 贴 出 来 ， 大 家 可 以 玩 玩 。 使 用 方 法 ： 监 控 目 录 输 入 你 要 监 控 的 网 站 目 录 ， 点 击 “ 开 始 监 控 ” 。 隔 离 区 默 认 设 置 在 C : T E M P 目 录 下 ， 凡 是 被 隔 离 的 文 件 ， 均 在 该 目 录 下 。 当 创 建 文 件 、 修 改 文 件 或 者 重 命 名 文 件 时 ， 内 容 中 如 果 含 有 w e b s h e l l 的 关 键 词 或 函 数 ， 则 会 进 行 处 理 。 补 充 说 明 ： 监 控 后 缀 和 跳 过 后 缀 完 全 可 以 忽 略 ， 因 为 这 个 监 控 ， 是 针 对 所 有 文 件 内 容 的 ， 所 以 无 所 谓 监 控 哪 个 或 不 监 控 哪 个 ， 管 它 是 畸 形 文 件 名 还 是 w a r ， 都 会 去 进 行 检 测 。 第 一 次 执 行 时 ， 执 行 可 能 会 有 些 缓 慢 ， 当 执 行 完 一 次 后 ， 会 建 立 索 引 ， 后 面 速 度 则 会 有 提 升 。 软 件 中 已 写 好 了 近 百 种 特 征 ， 共 1 7 0 个 w e b s h e l l 样 本 ， 虽 然 不 一 定 全 ， 但 是 至 少 还 是 有 些 查 杀 能 力 的 。 一 般 同 文 件 名 ， 首 次 上 传 到 被 处 理 ， 存 活 周 期 在 1 0 - 2 0 秒 之 间 。 当 文 件 监 控 到 “ 修 改 ” 操 作 时 ， 其 实 就 已 经 执 行 了 处 理 操 作 ， 只 是 我 把 显 示 的 时 间 延 迟 了 2 0 秒 。
不 管 什 么 软 件 ， 误 杀 的 情 况 是 不 可 避 免 的 ， 假 如 在 使 用 该 软 件 的 时 候 ， 软 件 匹 配 到 特 征 ， 就 会 将 文 件 隔 离 到 c : t e m p 目 录 下 ， 并 不 会 直 接 删 除 当 你 发 现 文 件 是 误 删 除 的 ， 可 以 点 击 “ 停 止 监 控 ” ， 将 文 件 根 据 软 件 下 方 显 示 的 位 置 ， 还 原 到 原 来 的 目 录 ， 再 点 击 监 控 就 可 以 了 ， 这 样 ， 这 个 文 件 就 不 会 查 杀 了 ， 除 非 这 个 文 件 的 名 字 、 内 容 有 了 变 动 ， 则 会 继 续 触 发 规 则 。 因 为 这 段 时 间 要 做 移 动 A P P 安 全 审 计 的 工 作 ， C # 暂 时 先 放 放 ， 准 备 开 始 学 移 动 A P P 这 块 ， 功 能 暂 时 不 做 改 动 了 。 后 面 找 时 间 修 改 ， 计 划 是 把 功 能 修 改 的 更 为 简 洁 ， 把 监 控 的 记 录 完 善 下 ， 增 加 白 名 单 区 域 等 小 功 能 。 有 什 么 问 题 ， 欢 迎 邮 件 或 站 内 信 反 馈 。 欢 迎 测 试 。 下 载 地 址 ： h t t p : / / p a n . b a i d u . c o m / s / 1 k U U o n 7 x 总 结 总 结 顺 便 打 个 广 告 ： 新 版 D 盾 的 不 久 将 会 面 世 ， 据 D 哥 说 ， 除 了 要 支 持 w i n d o w s   2 0 0 8     、 2 0 1 2 ， 还 会 加 入 文 件 内 容 监 控 等 功 能 ， 也 就 是 说 ， 新 版 的 功 能 ， 肯 定 是 网 站 防 护 + w e b s h e l l 查 杀 + 上 传 防 御 + 文 件 内 容 监 控 等 多 个 实 用 功 能 。 坐 等 新 版 D 盾 出 现 吧 。 最 后 ， 再 次 感 谢 s h a c k 2 的 无 私 奉 献 。 点 击 阅 读 原 文 可 查 看 文 中 代 码 。 点 击 阅 读 原 文 可 查 看 文 中 代 码 。 * 本 文 作 者 ： 鬼 魅 羊 羔 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理