搜索

[20356] 2020-08-07_恶意代码分析系列-几种常用技术（3）

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2020-08-07_恶意代码分析系列-几种常用技术（3） 恶 意 代 码 分 析 系 列 - 几 种 常 用 技 术 （ 3 ） K h a n 安 全 攻 防 实 验 室   2 0 2 0 - 0 8 - 0 7 以 下 文 章 来 源 于 雷 石 安 全 实 验 室   ， 作 者 雷 石 安 全 实 验 室 介 绍 介 绍 病 毒 木 马 植 入 模 块 成 功 植 入 用 户 计 算 机 之 后 ， 便 会 启 动 攻 击 模 块 来 对 用 户 计 算 机 数 据 实 施 窃 取 和 回 传 等 动 作 。 通 常 植 入 和 攻 击 是 分 开 在 不 同 模 块 之 中 ， 有 些 病 毒 木 马 具 有 模 拟 P E 加 载 器 的 功 能 ， 它 们 把   和   从 内 存 中 直 接 加 载 到 病 毒 木 马 的 内 存 中 执 行 ， 不 需 要   等 现 成 的   函 数 去 操 作 ， 以 此 躲 过 杀 毒 软 件 的 拦 截 检 测 。 几 乎 所 有 的 病 毒 木 马 程 序 都 会 用 到 自 启 动 技 术 ， 当 程 序 感 染 之 后 的 第 一 件 事 往 往 不 是 破 坏 ， 而 是 隐 藏 自 己 和 如 何 执 行 ， 即 使 马 上 启 动 注 入 模 块 发 动 攻 击 依 然 解 决 不 了 永 久 驻 留 的 问 题 ， 在 W i n d o w s 系 统 下 解 决 永 久 驻 留 的 第 一 步 就 是 伴 随 系 统 启 动 而 启 动 ， 即 开 机 自 启 动 。 设 置 为 开 机 自 启 动 之 后 即 使 关 闭 计 算 机 病 毒 程 序 仍 然 可 以 在 下 次 开 机 的 时 候 随 着 系 统 启 动 ， 由 系 统 加 载 到 内 存 中 运 行 ， 从 而 窃 取 用 户 数 据 和 隐 私 。 开 机 自 启 动 技 术 是 病 毒 木 马 至 关 重 要 的 技 术 。 直 接 加 载 内 存 运 行 直 接 加 载 内 存 运 行 很 多 病 毒 木 马 具 有 P E 加 载 器 的 功 能 ， 他 们 把   或 者   等 文 件 直 接 从 内 存 加 载 到 病 毒 木 马 的 内 存 中 执 行 ， 不 需 要 通 过   等 现 成 的   中 去 操 作 ， 以 此 躲 过 杀 毒 软 件 的 拦 截 检 测 。 在 程 序 需 要 动 态 的 调 用   文 件 ， 内 存 加 载 运 行 技 术 可 以 把 这 些   作 为 资 源 直 接 插 入 到 自 己 的 程 序 中 ， 直 接 在 内 存 中 加 载 运 行 即 可 ， 不 需 要 将   释 放 到 本 地 。 内 存 直 接 加 载 运 行 技 术 需 要 对 P E 文 件 结 构 有 较 深 的 认 识 ， 明 白 P E 格 式 中 的 导 入 、 导 出 和 重 定 位 表 的 具 体 操 作 过 程 。 P E 加 载 器 模 拟 P E 文 件 的 加 载 过 程 的 核 心 就 是 对 导 入 、 导 出 和 重 定 位 表 的 操 作 过 程 。 实 现 流 程 1 .   在   文 件 中 ， 根 据 P E 结 构 获 取 其 加 载 映 像 的 大 小   , 并 根 据   在 自 己 的 程 序 中 申 请 可 读 、 可 写 、 可 执 行 的 内 存 ， 那 么 这 块 内 存 的 首 地 址 就 是   的 加 载 基 址 雷 石 安 全 实 验 室 雷 石 安 全 实 验 室   . 雷 石 安 全 实 验 室 以 团 队 公 众 号 为 平 台 向 安 全 工 作 者 不 定 期 分 享 渗 透 、 A P T 、 企 业 安 全 建 设 等 新 鲜 干 货 ， 团 队 公 众 号 致 力 于 成 为 一 个 实 用 干 货 分 享 型 公 众 号 。 D L L e x e L o a d L i b r a r y A P I D L L E X E L o a d L i b r a r y A P I D L L D L L D L L D L L S i z e o f I m a g e S i z e O f I m a g e D L L
2 .   根 据   中 的   结 构 获 取 其 映 像 对 齐 大 小   , 然 后 把   文 件 数 据 按 照   复 制 到 上 述 申 请 的 可 读 、 可 写 、 可 执 行 的 内 存 中 3 .   根 据 P E 结 构 的 重 定 位 表 ， 重 新 对 重 定 位 进 行 修 正 4 .   根 据 P E 结 构 的 导 入 表 ， 加 载 所 需 的   ， 并 获 取 导 入 函 数 的 地 址 并 写 入 导 入 表 中 ， 修 改   加 载 基 址   5 .   根 据 P E 结 构 获 取   的 入 口 地 址 ， 然 后 构 造 并 调 用   函 数 ， 实 现   加 载 。 在 直 接 加 载   文 件 时 ， 不 需 要 构 造   函 数 ， 而 是 根 据 P E 结 构 获 取   的 入 口 地 址 偏 移   并 计 算 出 入 口 地 址 ， 然 后 直 接 跳 转 到 入 口 地 址 执 行 即 可 ， 而 且 对 于   文 件 来 说 重 定 位 表 并 不 是 必 须 的 ， 即 使 没 有 重 定 位 表 ，   也 可 以 正 常 运 行 。 因 为 对 于   进 程 来 说 ， 进 程 最 早 加 载 的 模 块 是   模 块 ， 所 以 它 可 以 按 照 默 认 的 加 载 基 址 加 载 到 内 存 。 对 于 没 有 重 定 位 表 的 程 序 ， 只 能 把 它 加 载 到 默 认 的 加 载 基 址 上 ， 如 果 默 认 加 载 基 址 已 被 占 用 ， 则 直 接 内 存 加 载 运 行 会 失 败 。 关 键 实 现 D L L P E S e c t i o n A l i g n m e n t D L L S e c t i o n A l i g n m e n t D L L D L L I m a g e B a s e D L L D l l M a i n D L L E X E D l l M a i n E X E A d d r e s s O f E n t r y P o i n t E X E E X E E X E E X E / /   模 拟 G e t P r o c A d d r e s s 获 取 内 存 D L L 的 导 出 函 数 L P V O I D   M y G e t P r o c A d d r e s s ( L P V O I D   l p B a s e A d d r e s s ,   P C H A R   l p s z F u n c N a m e ) {     L P V O I D   l p F u n c   =   N U L L ;     / /   获 取 导 出 表     P I M A G E _ D O S _ H E A D E R   p D o s H e a d e r   =   ( P I M A G E _ D O S _ H E A D E R ) l p B a s e A d d r e s s ;     P I M A G E _ N T _ H E A D E R S   p N t H e a d e r s   =   ( P I M A G E _ N T _ H E A D E R S ) ( ( U L O N G 3 2 ) p D o s H e a d e r   +   p D o s H e a d e r - > e _ l f a n e w ) ;     P I M A G E _ E X P O R T _ D I R E C T O R Y   p E x p o r t T a b l e   =   ( P I M A G E _ E X P O R T _ D I R E C T O R Y ) ( ( D W O R D ) p D o s H e a d e r   +   p N t H e a d e r s - > O p t i o n a l H e a d e r . D a t a D i r e c t o r y [ I M A G E _ D I R E C T O R Y _ E N T R Y _ E X P O R T ] . V i r t u a l A d d r e s s ) ;     / /   获 取 导 出 表 的 数 据     P D W O R D   l p A d d r e s s O f N a m e s A r r a y   =   ( P D W O R D ) ( ( D W O R D ) p D o s H e a d e r   +   p E x p o r t T a b l e - > A d d r e s s O f N a m e s ) ;     P C H A R   l p F u n c N a m e   =   N U L L ;     P W O R D   l p A d d r e s s O f N a m e O r d i n a l s A r r a y   =   ( P W O R D ) ( ( D W O R D ) p D o s H e a d e r   +   p E x p o r t T a b l e - > A d d r e s s O f N a m e O r d i n a l s ) ;     W O R D   w H i n t   =   0 ;     P D W O R D   l p A d d r e s s O f F u n c t i o n s A r r a y   =   ( P D W O R D ) ( ( D W O R D ) p D o s H e a d e r   +   p E x p o r t T a b l e - > A d d r e s s O f F u n c t i o n s ) ;     D W O R D   d w N u m b e r O f N a m e s   =   p E x p o r t T a b l e - > N u m b e r O f N a m e s ;     D W O R D   i   =   0 ;
设 置 自 启 动 设 置 自 启 动         注 册 表 注 册 表 注 册 表 相 当 于 操 作 系 统 的 数 据 库 ， 记 录 着 系 统 中 方 方 面 面 的 数 据 ， 其 中 也 不       乏 直 接 或 者 间 接 导 致 开 机 自 启 动 的 数 据 。 下 面 是 R u n 注 册 表 中 添 加 程 序 路 径       的 方 式 ， 实 现 开 机 自 启 。 关 键 函 数     D W O R D   i   =   0 ;     / /   遍 历 导 出 表 的 导 出 函 数 的 名 称 ,   并 进 行 匹 配     f o r   ( i   =   0 ;   i   <   d w N u m b e r O f N a m e s ;   i + + )     {         l p F u n c N a m e   =   ( P C H A R ) ( ( D W O R D ) p D o s H e a d e r   +   l p A d d r e s s O f N a m e s A r r a y [ i ] ) ;         i f   ( 0   = =   : : l s t r c m p i ( l p F u n c N a m e ,   l p s z F u n c N a m e ) )         {             / /   获 取 导 出 函 数 地 址             w H i n t   =   l p A d d r e s s O f N a m e O r d i n a l s A r r a y [ i ] ;             l p F u n c   =   ( L P V O I D ) ( ( D W O R D ) p D o s H e a d e r   +   l p A d d r e s s O f F u n c t i o n s A r r a y [ w H i n t ] ) ;             b r e a k ;         }     }     r e t u r n   l p F u n c ; } / /   修 改 P E 文 件 重 定 位 表 信 息 B O O L   D o R e l o c a t i o n T a b l e ( L P V O I D   l p B a s e A d d r e s s ) {     / /   重 定 位 表 的 结 构 ：     / /   D W O R D   s e c t i o n A d d r e s s ,   D W O R D   s i z e   ( 包 括 本 节 需 要 重 定 位 的 数 据 )     / / 注 意 重 定 位 表 的 位 置 可 能 和 硬 盘 文 件 中 的 偏 移 地 址 不 同 ， 应 该 使 用 加 载 后 的 地 址     P I M A G E _ D O S _ H E A D E R   p D o s H e a d e r   =   ( P I M A G E _ D O S _ H E A D E R ) l p B a s e A d d r e s s ;     P I M A G E _ N T _ H E A D E R S   p N t H e a d e r s   =   ( P I M A G E _ N T _ H E A D E R S ) ( ( U L O N G 3 2 ) p D o s H e a d e r   +   p D o s H e a d e r - > e _ l f a n e w ) ;     P I M A G E _ B A S E _ R E L O C A T I O N   p L o c   =   ( P I M A G E _ B A S E _ R E L O C A T I O N ) ( ( u n s i g n e d   l o n g ) p D o s H e a d e r   +   p N t H e a d e r s - > O p t i o n a l H e a d e r . D a t a D i r e c t o r y [ I M A G E _ D I R E C T O R Y _ E N T R Y _ B A S E R E L O C ] . V i r t u a l A d d r e s s ) ;     / /   判 断 是 否 有   重 定 位 表     i f   ( ( P V O I D ) p L o c   = =   ( P V O I D ) p D o s H e a d e r )     {     / /   重 定 位 表   为 空         r e t u r n   T R U E ;     }     w h i l e   ( ( p L o c - > V i r t u a l A d d r e s s   +   p L o c - > S i z e O f B l o c k )   ! =   0 )   / / 开 始 扫 描 重 定 位 表     {         W O R D   * p L o c D a t a   =   ( W O R D   * ) ( ( P B Y T E ) p L o c   +   s i z e o f ( I M A G E _ B A S E _ R E L O C A T I O N ) ) ;         / / 计 算 本 节 需 要 修 正 的 重 定 位 地 址 的 数 目         i n t   n N u m b e r O f R e l o c   =   ( p L o c - > S i z e O f B l o c k   -   s i z e o f ( I M A G E _ B A S E _ R E L O C A T I O N ) )   /   s i z e o f ( W O R D ) ;         f o r   ( i n t   i   =   0 ;   i   <   n N u m b e r O f R e l o c ;   i + + )         {             i f   ( ( D W O R D ) ( p L o c D a t a [ i ]   &   0 x 0 0 0 0 F 0 0 0 )   = =   0 x 0 0 0 0 3 0 0 0 )   / / 这 是 一 个 需 要 修 正 的 地 址             {                 / /   3 2 位 d l l 重 定 位 ， I M A G E _ R E L _ B A S E D _ H I G H L O W                 / /   对 于 x 8 6 的 可 执 行 文 件 ， 所 有 的 基 址 重 定 位 都 是 I M A G E _ R E L _ B A S E D _ H I G H L O W 类 型 的 。                 D W O R D *   p A d d r e s s   =   ( D W O R D   * ) ( ( P B Y T E ) p D o s H e a d e r   +   p L o c - > V i r t u a l A d d r e s s   +   ( p L o c D a t a [ i ]   &   0 x 0 F F F ) ) ;                 D W O R D   d w D e l t a   =   ( D W O R D ) p D o s H e a d e r   -   p N t H e a d e r s - > O p t i o n a l H e a d e r . I m a g e B a s e ;                 * p A d d r e s s   + =   d w D e l t a ;             }         }         / / 转 移 到 下 一 个 节 进 行 处 理         p L o c   =   ( P I M A G E _ B A S E _ R E L O C A T I O N ) ( ( P B Y T E ) p L o c   +   p L o c - > S i z e O f B l o c k ) ;     }     r e t u r n   T R U E ; } W I N A D V A P I   L S T A T U S A P I E N T R Y
实 现 思 路 在 W i n d o w s 中 提 供 了 专 门 的 开 机 自 启 动 注 册 表 ， 在 每 次 开 机 完 成 后 ， 他 都 会 在 这 个 注 册 表 键 下 遍 历 键 值 ， 以 获 取 键 值 中 的 程 序 路 径 ， 并 创 建 进 程 自 启 动 程 序 ， 所 以 ， 要 想 修 改 注 册 表 实 现 自 启 动 ， 只 需 要 在 这 个 注 册 表 键 下 添 加 想 要 设 置 自 启 动 程 序 的 程 序 路 径 就 可 以 了 ， 这 两 个 路 径 分 别 为 ： 另 外 在 修 改 注 册 表 的 权 限 问 题 上 ， 在 编 程 实 现 上 ， 要 修 改   主 键 的 注 册 表 要 求 程 序 具 有 管 理 员 的 权 限 。 而 修 改   主 键 的 注 册 表 ， 只 需 要 用 户 默 认 权 限 就 可 以 实 现 。 快 速 启 动 目 录 快 速 启 动 目 录 快 速 启 动 目 录 是 一 种 实 现 起 来 最 为 简 单 的 自 启 动 方 法 ， 不 用 修 改 任 何 系 统 数 据 。 函 数 介 绍 R e g O p e n K e y E x W (         _ I n _   H K E Y   h K e y ,     / /   当 前 打 开 或 者 预 定 义 的 键         _ I n _ o p t _   L P C W S T R   l p S u b K e y ,   / /   指 向 一 个 非 中 断 字 符 串 将 要 打 开 键 的 名 称         _ I n _ o p t _   D W O R D   u l O p t i o n s ,     / /   保 留 ， 必 须 设 置 为   0         _ I n _   R E G S A M   s a m D e s i r e d ,         / /   对 指 定 键 希 望 得 到 的 访 问 权 限 进 行 的 访 问 标 记         _ O u t _   P H K E Y   p h k R e s u l t             / /   指 向 一 个 变 量 的 指 针 ， 该 变 量 保 存 打 开 注 册 表 的 句 柄         ) ; W I N A D V A P I   L S T A T U S A P I E N T R Y R e g S e t V a l u e E x W (         _ I n _   H K E Y   h K e y ,     / /   指 定 一 个 已 打 开 项 的 句 柄 ， 或 者 一 个 标 准 项 名         _ I n _ o p t _   L P C W S T R   l p V a l u e N a m e ,   / /   指 向 一 个 字 符 串 的 指 针 ， 该 字 符 串 包 含 了 欲 设 置 值 的 名 称         _ R e s e r v e d _   D W O R D   R e s e r v e d ,         / /   保 留 值 ， 必 须 强 制 为   0         _ I n _   D W O R D   d w T y p e ,                         / /   指 定 将 存 储 的 数 据 类 型         _ I n _ r e a d s _ b y t e s _ o p t _ ( c b D a t a )   C O N S T   B Y T E *   l p D a t a ,           / /   指 向 一 个 缓 冲 区 ， 该 缓 冲 区 包 含 了 为 指 定 名 称 存 储 的 数 据         _ I n _   D W O R D   c b D a t a   / /   指 定 由 l p D a t a 参 数 所 指 向 的 数 据 大 小 ， 单 位 是 字 节         ) ; H K E Y _ C U R R E N T _ U S E R S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n H K E Y _ L O C A L _ M A C H I N E S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n H K E Y _ L O C A L _ M A C H I N E H K E Y _ C U R R E N T _ U S E R B O O L   R e g C u r r e n t U s e r ( c h a r   * l p F i l e N a m e ,   c h a r   * l p V a l u e N a m e ) {     / /   默 认 权 限     H K E Y   h K e y ;     / /   打 开 注 册 表 键     R e g O p e n K e y E x ( H K E Y _ C U R R E N T _ U S E R ,   " S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n " ,   0 ,   K E Y _ W R I T E ,   & h K e y )     / /   修 改 注 册 表 值 ， 实 现 开 机 自 启     R e g S e t V a l u e E x ( h K e y ,   l p s z V a l u e N a m e ,   0 ,   R E G _ S Z ,   ( B Y T E   * ) l p s z F i l e N a m e ,   ( 1   +   l s t r l e n ( l p s z F i l e N a m e ) ) )     / /   关 闭 注 册 表 键     R e g C l o s e K e y ( h K e y ) ;     r e t u r n   T R U E ; } / /   需 管 理 员 权 限 的 路 径 B O O L   R e g L o c a l M a c h i n e ( c h a r   * l p F i l e N a m e ,   c h a r   * l p V a l u e N a m e ) {     / /   管 理 员 权 限     H K E Y   h K e y ;     / /   打 开 注 册 表 键     R e g O p e n K e y E x ( H K E Y _ L O C A L _ M A C H I N E ,   " S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n " ,   0 ,   K E Y _ W R I T E ,   & h K e y )     / /   修 改 注 册 表 值 ， 实 现 开 机 自 启     R e g S e t V a l u e E x ( h K e y ,   l p s z V a l u e N a m e ,   0 ,   R E G _ S Z ,   ( B Y T E   * ) l p s z F i l e N a m e ,   ( 1   +   l s t r l e n ( l p s z F i l e N a m e ) ) )     / /   关 闭 注 册 表 键     R e g C l o s e K e y ( h K e y ) ;     r e t u r n   T R U E ; } B O O L   S H G e t S p e c i a l F o l d e r P a t h A (
实 现 原 理   系 统 有 自 带 的 快 速 启 动 的 文 件 夹 ， 他 是 最 为 简 单 的 自 启 动 方 式 ， 只 要 把 程 序 放 入 到 这 个 快 速 启 动 文 件 夹 中 ， 系 统 在 启 动 时 就 会 自 动 地 加 载 并 运 行 相 应 的 程 序 ， 实 现 开 机 自 启 动 功 能 。 快 速 启 动 目 录 并 不 是 一 个 固 定 地 目 录 ， 每 台 计 算 机 地 目 录 都 不 相 同 ， 但 是 可 以 使 用   函 数 获 取 W i n d o w s 系 统 中 快 速 启 动 目 录 地 路 径 ， 快 速 启 动 目 录 的   标 识 值 为   。 系 统 服 务 系 统 服 务 大 多 数 在 后 台 运 行 的 系 统 服 务 是 随 着 系 统 启 动 而 启 动 的 ， 系 统 进 程 自 启 动 是 通 过 创 建 系 统 服 务 并 设 置 服 务 启 动 类 型 为 自 启 动 来 实 现 的 ， 下 面 来 看 一 下 创 建 系 统 服 务 进 程 的 原 理 和 实 现 。 函 数 介 绍 B O O L   S H G e t S p e c i a l F o l d e r P a t h A (     H W N D     h w n d ,         / /   窗 口 所 有 者 的 句 柄     L P S T R   p s z P a t h ,   / /   返 回 路 径 的 缓 冲 区     i n t       c s i d l ,       / /   系 统 路 径 的 C S I D L 标 识     B O O L     f C r e a t e     / /   指 示 文 件 夹 是 否 要 创 建 ， f a l s e 不 创 建   t r u e 创 建 ) ; W i n d o w s S H G e t S p e c i a l F o l d e r P a t h C S I D L C S I D L _ S T A R T U P B O O L   A u t o R u n _ S t a r t u p ( c h a r   * l p s z S r c F i l e P a t h ,   c h a r   * l p s z D e s t F i l e N a m e ) {     B O O L   b R e t   =   F A L S E ;     c h a r   s z S t a r t u p P a t h [ M A X _ P A T H ]   =   { 0 } ;     c h a r   s z D e s t F i l e P a t h [ M A X _ P A T H ]   =   { 0 } ;     / /   获 取   快 速 启 动 目 录   路 径     b R e t   =   S H G e t S p e c i a l F o l d e r P a t h ( N U L L ,   s z S t a r t u p P a t h ,   C S I D L _ S T A R T U P ,   T R U E ) ;     p r i n t f ( " s z S t a r t u p P a t h = % s n " ,   s z S t a r t u p P a t h ) ;     i f   ( F A L S E   = =   b R e t )     {         r e t u r n   F A L S E ;     }     / /   构 造 拷 贝 的   目 的 文 件 路 径     w s p r i n t f ( s z D e s t F i l e P a t h ,   " % s % s " ,   s z S t a r t u p P a t h ,   l p s z D e s t F i l e N a m e ) ;     / /   拷 贝 文 件 到 快 速 启 动 目 录 下     b R e t   =   C o p y F i l e ( l p s z S r c F i l e P a t h ,   s z D e s t F i l e P a t h ,   F A L S E ) ;     i f   ( F A L S E   = =   b R e t )     {         r e t u r n   F A L S E ;     }     r e t u r n   T R U E ; } W I N A D V A P I   S C _ H A N D L E         / /   建 立 一 个 到 服 务 控 制 管 理 器 的 连 接 ， 并 打 开 指 定 的 数 据 库 W I N A P I   O p e n S C M a n a g e r W (         _ I n _ o p t _           L P C W S T R                 l p M a c h i n e N a m e ,                 / / 指 向 零 终 止 字 符 串 ， 指 定 目 标 计 算 机 的 名 称         _ I n _ o p t _           L P C W S T R                 l p D a t a b a s e N a m e ,               / / 指 向 零 终 止 字 符 串 ， 指 定 将 要 打 开 的 服 务 控 制 管 理 数 据 库 的 名 称     S E R V I C E S _ A C T I V E _ D A T A B A S E         _ I n _                   D W O R D                     d w D e s i r e d A c c e s s         / /   指 向 服 务 访 问 控 制 管 理 器 的 权 限         ) ; W I N A D V A P I   S C _ H A N D L E         / /   创 建 一 个 服 务 对 象 ， 并 将 其 添 加 到 指 定 的 服 务 控 制 管 理 器 数 据 库 中 W I N A P I   C r e a t e S e r v i c e W (         _ I n _                 S C _ H A N D L E         h S C M a n a g e r ,         / /   指 向 服 务 控 制 管 理 器 数 据 库 的 句 柄         _ I n _                 L P C W S T R           l p S e r v i c e N a m e ,     / /   要 安 装 服 务 的 名 称         _ I n _ o p t _         L P C W S T R           l p D i s p l a y N a m e ,     / /   用 户 界 面 用 来 识 别 服 务 的 显 示 名 称         _ I n _                 D W O R D                 d w D e s i r e d A c c e s s ,   / /   对 服 务 的 访 问         _ I n _                 D W O R D                 d w S e r v i c e T y p e ,       / /   服 务 类 型         _ I n _                 D W O R D                 d w S t a r t T y p e ,         / /   服 务 启 动 项         _ I n _                 D W O R D                 d w E r r o r C o n t r o l ,           / /   当 该 服 务 启 动 失 败 时 ， 指 定 产 生 错 误 严 重 程 度 以 及 应 采 取 的 保 护 措 施         _ I n _ o p t _         L P C W S T R           l p B i n a r y P a t h N a m e ,         / /   服 务 程 序 的 二 进 制 文 件 ， 它 完 全 限 定 路 径 。 如 果 路 径 中 包 含 空 格 ， 则 必 须 引 用 它 ， 以 便 能 正 确 地 解 析         _ I n _ o p t _         L P C W S T R           l p L o a d O r d e r G r o u p ,   / /   指 向 加 载 排 序 组 的 名 称         _ O u t _ o p t _       L P D W O R D             l p d w T a g I d ,     / /   指 定 的 组 中 唯 一 的 标 记 值 变 量         _ I n _ o p t _         L P C W S T R           l p D e p e n d e n c i e s ,           / /   空 分 隔 名 称 的 服 务 或 加 载 顺 序 组 系 统 在 这 个 服 务 开 始 之 前 的 双 空 终 止 数 组 的 指 针           _ I n _ o p t _         L P C W S T R           l p S e r v i c e S t a r t N a m e ,   / /   该 服 务 应 运 行 的 账 户 名 称         _ I n _ o p t _         L P C W S T R           l p P a s s w o r d   / /   由 l p S e r v i c e S t a r t N a m e 参 数 指 定 的 账 户 名 的 密 码         ) ; W I N A D V A P I   S C _ H A N D L E         / /   打 开 一 个 已 经 存 在 的 服 务 W I N A P I   O p e n S e r v i c e W (         _ I n _     S C _ H A N D L E     h S C M a n a g e r ,           / /   指 向 S C M 数 据 库 句 柄         _ I n _     L P C W S T R         l p S e r v i c e N a m e ,     / /   要 打 开 服 务 的 名 字         _ I n _     D W O R D             d w D e s i r e d A c c e s s   / /   指 定 服 务 权 限         ) ; W I N A D V A P I   B O O L         / /   启 动 服 务
实 现 思 路           通 过   函 数 打 开 服 务 控 制 管 理 器 数 据 库 并 获 取 数 据 库 的 句               柄         / /   启 动 服 务 W I N A P I   S t a r t S e r v i c e W (         _ I n _                         S C _ H A N D L E                         h S e r v i c e ,         / /   O p e n S e r v i c e 或 者 C r e a t e S e r v i c e 函 数 返 回 的 服 务 句 柄 ， 需 要 有 S E R V I C E _ S T A R T         _ I n _                         D W O R D                                 d w N u m S e r v i c e A r g s ,         / /   下 一 个 形 参 的 字 符 串 个 数         _ I n _ r e a d s _ o p t _ ( d w N u m S e r v i c e A r g s )                                         L P C W S T R                           * l p S e r v i c e A r g V e c t o r s         / /   传 递 给 服 务 S e r v i c e M a i n 的 参 数 ， 如 果 没 有 可 以 为 N U L L         ) ; W I N A D V A P I   B O O L         / /   将 服 务 进 程 的 主 线 程 连 接 到 服 务 控 制 管 理 器 ， 该 线 程 将 作 为 调 用 过 程 的 服 务 控 制 分 派 器 线 程 W I N A P I   S t a r t S e r v i c e C t r l D i s p a t c h e r W (         _ I n _   C O N S T     S E R V I C E _ T A B L E _ E N T R Y W         * l p S e r v i c e S t a r t T a b l e         / /   指 向 S E R V I C E _ T A B L E _ E N T R Y 结 构 的 指 针 ， 其 中 包 含 可 在 调 用 进 程 中 执 行 的 每 个 服 务 的 条 目         ) ; O p e n S C M a n a g e r W I N A D V A P I   S C _ H A N D L E         / /   建 立 一 个 到 服 务 控 制 管 理 器 的 连 接 ， 并 打 开 指 定 的 数 据 库 W I N A P I   O p e n S C M a n a g e r W (         _ I n _ o p t _           L P C W S T R                 l p M a c h i n e N a m e ,                 / / 指 向 零 终 止 字 符 串 ， 指 定 目 标 计 算 机 的 名 称         _ I n _ o p t _           L P C W S T R                 l p D a t a b a s e N a m e ,               / / 指 向 零 终 止 字 符 串 ， 指 定 将 要 打 开 的 服 务 控 制 管 理 数 据 库 的 名 称     S E R V I C E S _ A C T I V E _ D A T A B A S E         _ I n _                   D W O R D                     d w D e s i r e d A c c e s s         / /   指 向 服 务 访 问 控 制 管 理 器 的 权 限         ) ; W I N A D V A P I   S C _ H A N D L E         / /   创 建 一 个 服 务 对 象 ， 并 将 其 添 加 到 指 定 的 服 务 控 制 管 理 器 数 据 库 中 W I N A P I   C r e a t e S e r v i c e W (         _ I n _                 S C _ H A N D L E         h S C M a n a g e r ,         / /   指 向 服 务 控 制 管 理 器 数 据 库 的 句 柄         _ I n _                 L P C W S T R           l p S e r v i c e N a m e ,     / /   要 安 装 服 务 的 名 称         _ I n _ o p t _         L P C W S T R           l p D i s p l a y N a m e ,     / /   用 户 界 面 用 来 识 别 服 务 的 显 示 名 称         _ I n _                 D W O R D                 d w D e s i r e d A c c e s s ,   / /   对 服 务 的 访 问         _ I n _                 D W O R D                 d w S e r v i c e T y p e ,       / /   服 务 类 型         _ I n _                 D W O R D                 d w S t a r t T y p e ,         / /   服 务 启 动 项         _ I n _                 D W O R D                 d w E r r o r C o n t r o l ,           / /   当 该 服 务 启 动 失 败 时 ， 指 定 产 生 错 误 严 重 程 度 以 及 应 采 取 的 保 护 措 施         _ I n _ o p t _         L P C W S T R           l p B i n a r y P a t h N a m e ,         / /   服 务 程 序 的 二 进 制 文 件 ， 它 完 全 限 定 路 径 。 如 果 路 径 中 包 含 空 格 ， 则 必 须 引 用 它 ， 以 便 能 正 确 地 解 析         _ I n _ o p t _         L P C W S T R           l p L o a d O r d e r G r o u p ,   / /   指 向 加 载 排 序 组 的 名 称         _ O u t _ o p t _       L P D W O R D             l p d w T a g I d ,     / /   指 定 的 组 中 唯 一 的 标 记 值 变 量         _ I n _ o p t _         L P C W S T R           l p D e p e n d e n c i e s ,           / /   空 分 隔 名 称 的 服 务 或 加 载 顺 序 组 系 统 在 这 个 服 务 开 始 之 前 的 双 空 终 止 数 组 的 指 针           _ I n _ o p t _         L P C W S T R           l p S e r v i c e S t a r t N a m e ,   / /   该 服 务 应 运 行 的 账 户 名 称         _ I n _ o p t _         L P C W S T R           l p P a s s w o r d   / /   由 l p S e r v i c e S t a r t N a m e 参 数 指 定 的 账 户 名 的 密 码         ) ; W I N A D V A P I   S C _ H A N D L E         / /   打 开 一 个 已 经 存 在 的 服 务 W I N A P I   O p e n S e r v i c e W (         _ I n _     S C _ H A N D L E     h S C M a n a g e r ,           / /   指 向 S C M 数 据 库 句 柄         _ I n _     L P C W S T R         l p S e r v i c e N a m e ,     / /   要 打 开 服 务 的 名 字         _ I n _     D W O R D             d w D e s i r e d A c c e s s   / /   指 定 服 务 权 限         ) ; W I N A D V A P I   B O O L         / /   启 动 服 务 W I N A P I   S t a r t S e r v i c e W (         _ I n _                         S C _ H A N D L E                         h S e r v i c e ,         / /   O p e n S e r v i c e 或 者 C r e a t e S e r v i c e 函 数 返 回 的 服 务 句 柄 ， 需 要 有 S E R V I C E _ S T A R T         _ I n _                         D W O R D                                 d w N u m S e r v i c e A r g s ,         / /   下 一 个 形 参 的 字 符 串 个 数
系 统 服 务 程 序 的 编 写 自 启 动 服 务 程 序 并 不 是 普 通 的 程 序 ， 而 是 要 求 程 序 创 建 服 务 入 口 点 函 数 ， 否 则 ， 不 能 创 建 系 统 服 务 。 调 用 系 统 函 数   将 程 序 的 主 线 程 连 接 到 服 务 控 制 管 理 程 序 ， 服 务 控 制 管 理 程 序 启 动 服 务 后 ， 等 待 服 务 控 制 主 函 数 调 用   函 数 ， 如 果 没 有 调 用 该 函 数 时 设 置 服 务 入 口 点 ， 则 会 报 错 。 服 务 程 序   入 口 函 数 的 代 码 总 结 总 结 关 于 自 启 动 技 术 最 常 见 的 是 第 一 种 注 册 表 ， 下 面 的 相 比 于 第 一 种 有 的 适 用 行 不 是 很 强 ， 或 者 编 写 比 较 麻 烦 。 这 种 技 术 也 是 杀 软 重 点 监 测 的 技 术 ， 对 于 杀 软 来 说 ， 只 要 守 住 “ 入 口 ” ， 就 可 以 将 病 毒 木 马 挡 在 门 外 了 ， 下 一 篇 会 继 续 探 索 一 下 隐 藏 技 术 ， 学 习 一 点 简 单 的 免 杀 。         _ I n _ r e a d s _ o p t _ ( d w N u m S e r v i c e A r g s )                                         L P C W S T R                           * l p S e r v i c e A r g V e c t o r s         / /   传 递 给 服 务 S e r v i c e M a i n 的 参 数 ， 如 果 没 有 可 以 为 N U L L         ) ; W I N A D V A P I   B O O L         / /   将 服 务 进 程 的 主 线 程 连 接 到 服 务 控 制 管 理 器 ， 该 线 程 将 作 为 调 用 过 程 的 服 务 控 制 分 派 器 线 程 W I N A P I   S t a r t S e r v i c e C t r l D i s p a t c h e r W (         _ I n _   C O N S T     S E R V I C E _ T A B L E _ E N T R Y W         * l p S e r v i c e S t a r t T a b l e         / /   指 向 S E R V I C E _ T A B L E _ E N T R Y 结 构 的 指 针 ， 其 中 包 含 可 在 调 用 进 程 中 执 行 的 每 个 服 务 的 条 目         ) ; S t a r t S e r v i c e C t r l D i s p a t c h e r S t a r t S e r v i c e C t r l D i s p a t c h e r S e r v i c e M a i n v o i d   _ _ s t d c a l l   S e r v i c e M a i n ( D W O R D   d w A r g c ,   c h a r   * l p s z A r g v ) {     g _ S e r v i c e S t a t u s H a n d l e   =   R e g i s t e r S e r v i c e C t r l H a n d l e r ( g _ s z S e r v i c e N a m e ,   S e r v i c e C t r l H a n d l e ) ;     T e l l S C M ( S E R V I C E _ S T A R T _ P E N D I N G ,   0 ,   1 ) ;     T e l l S C M ( S E R V I C E _ R U N N I N G ,   0 ,   0 ) ;     w h i l e   ( T R U E )     {         S l e e p ( 5 0 0 0 ) ;         D o T a s k ( ) ;     } }

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理