搜索

[12157] 2017-12-24_聊一聊万恶的锁首

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2017-12-24_聊一聊万恶的锁首 聊 一 聊 万 恶 的 锁 首 原 创   S m i l i n g C a t   F r e e B u f   2 0 1 7 - 1 2 - 2 4 当 手 持 当 手 持 8 倍 镜 的 倍 镜 的 9 8 K 都 不 能 在 使 用 程 序 时 干 掉 万 恶 的 锁 首 时 ， 内 心 是 十 万 头 羊 驼 奔 跑 的 场 景 ， 那 我 们 就 来 聊 一 聊 都 不 能 在 使 用 程 序 时 干 掉 万 恶 的 锁 首 时 ， 内 心 是 十 万 头 羊 驼 奔 跑 的 场 景 ， 那 我 们 就 来 聊 一 聊 市 面 上 常 见 的 锁 首 方 式 。 市 面 上 常 见 的 锁 首 方 式 。 ①   : 设 置 O p e n H o m e P a g e 、 I n t e r n e t   E x p l o r e r M a i n 等 注 册 表 选 项 ②   : 修 改 桌 面 快 捷 方 式 后 缀 ③   : 锁 定 C o m m a n d L i n e 的 值 ( 修 改 桌 面 快 捷 方 式 其 实 也 是 锁 定 C o m m a n d L i n e 的 一 种 形 式 ) ④   : 针 对 使 用 C E F 核 的 浏 览 器 H o o k   C r e a t e B r o w s e r 来 过 滤 和 替 换 指 定 U R L ⑤   : 注 入 E x p l o r e r . e x e ⑥   : H t t p / H t t p s 本 地 代 理 ( 中 间 人 ) … … 方 法 手 段 各 异 其 他 更 多 方 法 就 不 再 赘 述 , 笔 者 大 概 总 结 了 1 5 种 以 上 的 方 法 可 以 修 改 主 页 , 但 是 由 于 存 在 和 其 他 锁 首 程 序 的 对 抗 ( 主 要 是 锁 定 时 机 的 问 题 ) , 其 他 方 法 就 不 再 赘 述 , 如 果 感 兴 趣 我 们 可 以 一 起 讨 论 。 我 们 这 里 就 大 概 聊 一 下 上 面 几 种 方 法 的 优 缺 点 , 主 要 是 锁 定 时 机 的 掌 握 , 以 及 简 单 谈 一 谈 对 抗 锁 首 的 代 码 实 现 和 一 些 个 人 想 法 。 最 早 的 时 候 我 们 看 到 的 大 部 分 都 是 设 置 注 册 表 来 锁 定 主 页 , 但 是 这 个 方 法 很 容 易 被 杀 软 盯 死 , 并 且 别 的 程 序 也 可 以 容 易 的 修 改 你 设 置 过 的 值 .   方 法 一 就 跳 过 . ( 方 法 二 ) 紧 跟 其 后 的 便 是 修 改 桌 面 快 捷 方 式 的 后 缀   , 本 来 我 们 干 干 净 净 的 快 捷 方 式 大 概 是 酱 紫 的 ” C : P r o g r a m F i l e s ( x 8 6 ) G o o g l e C h r o m e A p p l i c a t i o n c h r o m e . e x e ” .   然 后 恶 心 人 的 事 情 就 来 了   , 一 不 小 心 突 然 就 变 成 了 ” C : P r o g r a m F i l e s ( x 8 6 ) G o o g l e C h r o m e A p p l i c a t i o n c h r o m e . e x e ” h t t p : / / w w w . x x x x . c o m / ? i d = 1 2 3 4 x x x   , 这 种 方 法 在 目 前 网 吧 环 境 使 用 还 是 特 别 多 。 其 实 我 们 用 P r o c M o n 看 一 下 或 者 O D 调 一 下 就 能 看 到 方 法 一 二 三 其 实 原 理 都 是 一 样 的 : 早 先 的 时 候 浏 览 器 ( I E ,   C h r o m e 或 者 是 国 产 的 个 版 本 浏 览 器 ) 在 启 动 之 后 会 去 主 动 调 用 G e t C o m m a n d L i n e A / W , 来 确 认 要 展 示 给 用 户 的 第 一 个 网 页 是 什 么 ( 并 不 是 第 一 个 访 问 的 i p 地 址 , 后 面 会 继 续 提 到 ) . 我 们 知 道 前 三 种 方 法 原 理 都 一 样 的 时 候 我 就 能 确 认 一 个 目 标 了 : 就 是 谁 在 最 后 修 改 C o m m a n d L i n e , 谁 就 掌 控 了 主 动 权 , 是 的 你 没 看 错 , 就 是 越 晚 越 好 . 为 什 么 这 样 呢 ? 比 如 程 序 A 修 改 了 C o m m a n d L i n e , 但 是 在 程 序 B 在 程 序 A 修 改 之 后 , 在 浏 览 器 调 用 ( G e t C o m m a n d L i n e A / W ) 访 问 网 页 之 前 又 再 次 修 改 了 C o m m a n d L i n e 的 值 , 那 么 A 修 改 的 就 无 效 了 。 所 以 针 对 C o m m a n d L i n e 时 机 的 抢 占 , 在 应 用 层 做 是 做 好 的 , 毕 竟 越 晚 修 改 越 好 嘛 。 再 看 方 法 四 , 由 于 国 内 厂 商 很 多 套 用 C E F , 所 以 我 们 也 可 以 通 过 H o o k   C r e a t e B r o w s e r 来 修 改 第 一 个 要 访 问 的 U R L , 但 是 由 于 l i b C E F 各 版 本 不 同 , 做 兼 容 很 麻 烦 . 这 里 也 就 只 当 是 一 个 思 路 跳 过 了 。 笔 者 曾 经 分 析 过 市 面 一 款 免 费 的 锁 首 工 具 ( 一 X 锁 业 ) , 发 现 他 虽 然 是 进 内 核 修 改 程 序 的 C o m m a n d L i n e , 虽 然 能 够 干 掉 很 多 通 过 修 改 注 册 表 来 锁 首 的 程 序 , 但 是 却 有 一 个 致 命 的 错 误 , 他 是 在 浏 览 器 O E P 代 码 执 行 之 前 就 修 改 了 C o m m a n d L i n e 的 值 ( 时 机 太 早 了 ) , 那 么 我 们 要 对 抗 他 的 锁 首 就 非 常 简 单 了 .
既 然 是 在 O E P 之 前 就 修 改 了 C o m m a n d L i n e , 那 么 我 们 在 他 修 改 完 之 后 再 修 改 回 正 常 的 U R L 就 行 了 , 这 里 要 考 虑 的 就 是 执 行 代 码 的 时 机 问 题 了 , 这 里 我 想 到 了 2 个 可 以 在 O E P 之 前 执 行 我 们 自 己 代 码 的 方 法 1 : A p p I n i t _ D L L s   注 册 表 注 入 , 让 K e r n e l 3 2 : : L o a d A p p I n i t D l l s 去 L o a d 我 的 D L L , 然 后 修 改 浏 览 器 的 命 令 行 参 数 2 : 自 写 一 个 简 易 的 调 试 器 , 接 管 浏 览 器 的 O E P , 来 修 改 U R L 大 部 分 的 杀 毒 软 件 也 是 非 常 细 心 的 , H o o k 了 G e t C o m m a n d L i n A / W , 来 过 滤 U R L , 发 现 试 图 有 锁 首 的 U R L 就 咔 咔 提 着 4 0 米 长 的 大 刀 上 去 了 . 于 是 也 就 衍 生 了 通 过 跳 转 来 躲 避 杀 软 的 首 页 保 护 , 比 如 先 跳 到 一 个 白 名 单 U R L ( 例 如 : B A T 这 样 的 大 厂 . c o m   然 后 再 3 6 0 度 转 体 再 跳 回 来 ) , 这 样 杀 软 就 不 敢 修 改 了 . 这 其 中 还 有 部 分 浏 览 器 自 带 U R L 过 滤 , 例 如 某 四 个 数 字 牌 子 的 浏 览 器 . 这 种 方 法 到 目 前 为 止 还 是 行 之 有 效 的 , 但 需 要 锁 首 作 者 细 细 研 究 了 . 笔 者 曾 经 遇 到 过 2 个 甚 至 是 3 个 程 序 同 时 抢 占 C o m m a n d L i n e 的 情 况 , 于 是 , 就 发 生 了 惨 烈 的 一 幕 : 例 如 我 启 动 I E , 程 序 A 发 现 U R L 不 是 他 的 计 费 I D 就 眼 疾 手 快 结 束 了 E x p l o r e r 创 建 的 I E 进 程 , 然 后 重 新 C r e a t e P r o c e s s 修 改 了 浏 览 器 的 C o m m a n d L i n e . 哇 , 这 个 时 候 程 序 B 看 不 下 去 了 , 我 的 设 置 的 小 尾 巴 你 竟 然 敢 修 改 掉 , 二 话 不 说 , 干 掉 了 程 序 A 创 建 的 I E 进 程 , 再 次 C r e a t e P r o c e s s . 就 这 么 来 来 回 回 半 个 小 时 , I E 被 蹂 躏 了 N 次 , 用 户 都 能 看 到 浏 览 器 界 面 长 什 么 样 子 . 只 能 弱 弱 喊 一 句 : ” 网 管 ! ! ! ” 那 么 你 骚 任 你 骚 , 我 补 我 的 刀 . 你 强 任 你 强 , 我 艹 我 的 羊 . 你 锁 首 程 序 最 终 还 是 要 让 浏 览 器 访 问 网 络 吧 ? 你 再 骚 也 不 能 给 用 户 骚 个 4 0 4 出 来 吧 ? 那 么 下 文 我 们 再 回 到 第 六 种 方 法 那 么 下 文 我 们 再 回 到 第 六 种 方 法 . 我 们 可 不 可 以 过 滤 网 络 访 问 的 请 求 ? 答 案 是 可 以 的 . 为 了 兼 容 X P 笔 者 这 里 使 用 的 T D I . H t t p 部 分 部 分 : 假 想 情 况 假 想 情 况 : 假 想 我 们 电 脑 被 锁 定 的 主 页 为 h t t p : / / w w w . 2 3 4 x . c o m ? / i d = 1 2 3 4 5 6 , 我 们 想 让 他 变 成 干 净 的 w w w . 2 3 4 x . c o m 当 我 们 通 过 T D I 在 内 核 中 收 到 H t t p 的 8 0 端 口 请 求 时 , 这 个 时 候 我 们 就 能 做 事 了 . 1 : 判 断 当 前 访 问 8 0 端 口 的 进 程 是 不 是 要 过 滤 的 进 程 2 : 检 查 i n _ a d d r 是 不 是 要 过 滤 的 i p ( 黑 白 名 单 ) ( 这 里 要 特 别 注 意 的 是 一 个 网 站 多 个 对 应 I P 的 情 况 ) 3 : 真 假 时 机 ( 部 分 浏 览 器 会 在 浏 览 器 启 动 时 先 访 问 b a i d u 或 h a o 1 2 3 等 网 站 , 提 前 加 载 . 这 个 时 候 如 果 你 修 改 了 网 络 访 问 , 也 是 无 效 的 , 等 浏 览 器 的 程 序 界 面 展 示 出 来 的 时 候 还 可 能 是 带 上 计 费 I D 的 U R L ) 4 : 检 查 重 入 问 题 ( 这 个 特 别 关 键 , 如 果 不 加 判 断 , 那 么 你 就 永 远 只 能 停 留 在 主 页 上 了 , 需 要 适 时 放 过 , 具 体 更 多 的 细
节 就 不 写 了 , 如 果 你 有 需 要 自 行 研 究 吧 . ) 5 : 修 改 目 标 I P , 将 I P 地 址 指 向 1 2 7 . 0 . 0 . 1   和 修 改 目 标 端 口 ,   将 端 口 指 向 本 地 监 听 端 口 当 上 面 的 问 题 都 考 虑 之 后 我 们 在 C o n n e c t F i l t e r 里 面 就 能 这 样 做 了 . 内 核 部 分 内 核 部 分 : 1 : 判 断 端 口 判 断 端 口 2 : 检 查 检 查 i n _ a d d r ( 部 分 代 码 部 分 代 码 )
3 : 白 名 单 进 程 判 断 白 名 单 进 程 判 断 这 里 不 贴 代 码 了 , 适 当 合 理 的 检 查 可 以 很 大 程 序 增 加 过 滤 效 率 和 误 判 率 4 : 白 名 单 白 名 单 I P 过 滤 过 滤 ( 重 入 判 断 重 入 判 断 ) 这 里 的 白 名 单 过 滤 并 不 是 为 了 放 过 某 些 A d d r , 而 是 为 了 解 决 重 入 问 题 , 例 如 当 我 们 打 开 百 度 或 其 他 搜 索 引 擎 之 后 , 根 据 过 滤 规 则 我 们 可 能 会 过 滤 掉 带 计 费 I D 的 U R L , 然 后 我 们 在 搜 索 框 中 输 入 了 ” H e l l o W o r l d ” 去 搜 索 , 这 个 时 候 由 于 我 么 已 经 修 正 过 了 U R L , 所 以 当 浏 览 器 再 次 发 起 H t t p / H t t p s 请 求 的 时 候 就 需 要 直 接 放 过 了 , 不 能 再 修 正 U R L 了 , 如 果 不 放 过 请 求 , 你 将 永 远 停 留 在 搜 索 主 界 面 . 5 : 修 正 修 正 I P 到 到 1 2 7 . 0 . 0 . 1 , 修 正 目 标 端 口 到 本 地 应 用 程 程 序 监 听 的 端 口 修 正 目 标 端 口 到 本 地 应 用 程 程 序 监 听 的 端 口
然 后 到 这 里 内 核 的 工 作 就 做 完 了 . 应 用 层 部 分 应 用 层 部 分 : 1 : 启 动 一 个 启 动 一 个 T C P 监 听 并 将 端 口 发 送 给 内 核 监 听 并 将 端 口 发 送 给 内 核 启 动 一 个 T C P 监 听 , 用 来 响 应 内 核 修 改 完 I P 和 P o r t 之 后 , 浏 览 器 发 起 的 c o n n e c t 内 核 层 将 目 标 端 口 修 改 为 三 环 传 入 的 指 定 端 口 2 : 设 置 相 应 的 跳 转 设 置 相 应 的 跳 转 U R L 例 如 : 将 w w w . 2 3 4 x . c o m / ? i d = 1 2 3 4 5 6 跳 到 w w w . 2 3 4 x . c o m 2 : 三 环 程 序 在 a c c e p t 之 后 给 浏 览 器 发 送 3 0 2 , 将 w w w . 2 3 4 x . c o m 发 送 给 浏 览 器 然 后 三 环 事 情 就 做 完 了 . 接 下 来 的 事 情 就 又 到 了 内 核 层 处 理 重 入 问 题 了 内 核 层 处 理 重 入 问 题 了 ( 内 核 部 分 步 骤 内 核 部 分 步 骤 4 ) , 这 个 时 候 浏 览 器 将 继 续 访 问 2 3 4 x 的 i p 和 8 0 / 4 4 3 端 口 . 整 个 流 程 最 重 要 的 重 入 处 理 就 不 再 多 写 了 ( 我 是 很 痛 恨 锁 首 的 , 好 气 … ) . 以 上 就 是 修 正 H t t p 的 流 程 , 但 现 在 很 多 锁 主 页 的 程 序 开 发 人 员 都 将 U R L 指 定 为 H t t p s 了 , 那 么 H t t p s 的 我 们 应 该 怎 么 办 呢 ? 依 旧 是 上 面 的 假 设 要 修 正 2 3 4 x 的 首 页 . 内 核 部 分 内 核 部 分 : 参 照 H t t p 处 理 流 程 , 流 程 相 同 应 用 层 部 分 应 用 层 部 分 : 相 比 H t t p 的 跳 转 , H t t p s 多 了 一 个 加 解 密 的 过 程 , 但 是 事 实 上 我 们 如 果 只 做 首 页 修 正 而 不 是 做 搜 索 的 计 费 I D 修 正 , 解 密 的 部 分 我 们 是 不 用 关 心 的 . 我 们 要 做 的 依 旧 就 是 在 三 环 等 待 内 核 修 改 浏 览 器 要 访 问 的 i p 和 端 口 之 后 , 给 浏 览 器 发 送 加 密 后 的 3 0 2 数 据 . 1 : 生 成 本 地 生 成 本 地 w w w . 2 3 4 x . c o m 的 证 书 的 证 书 具 体 过 程 可 自 行 百 度 o p e n s s l , 不 再 赘 述 2 : s s l 初 始 化 初 始 化 , 导 入 证 书 导 入 证 书 , 与 与 s o c k e t 绑 定 等 绑 定 等
3 : 同 同 H t t p 应 用 层 部 分 应 用 层 部 分 , 在 在 a c c e p t 之 后 之 后 S S L _ w r i t e 给 浏 览 器 发 送 给 浏 览 器 发 送 3 0 2 T D I 过 滤 的 利 与 弊 过 滤 的 利 与 弊 :
弊 弊 : 笔 者 在 搜 集 了 市 面 几 种 锁 首 之 后 通 过 T D I 过 滤 网 络 请 求 , 基 本 都 干 掉 了 多 款 使 用 以 上 1 2 3 4 5 种 方 法 锁 首 的 程 序 . 但 并 不 是 完 美 的 . 还 存 在 一 个 致 命 的 问 题 就 是 C h r o m e 和 F i r e F o x 加 入 了 证 书 检 测 , 在 使 用 中 间 人 的 时 候 浏 览 器 会 提 示 证 书 错 误 , 禁 止 访 问 网 络 ( 当 然 用 户 可 以 选 择 信 任 , 继 续 访 问 ) . 当 然 , 部 分 锁 首 作 者 可 能 会 去 使 用 N D I S 。 利 利 : 当 然 我 们 最 终 的 目 的 是 我 们 可 以 有 一 个 稍 微 干 净 的 上 网 环 境 。 在 不 考 虑 锁 首 程 序 在 应 用 层 甚 至 是 在 内 核 层 为 修 改 C o m m a n d L i n e 而 争 的 头 破 血 流 的 情 况 下 , 使 用 T D I 修 正 首 页 访 问 还 是 很 安 逸 的 , 我 们 可 以 将 浏 览 器 的 首 页 访 问 强 制 修 正 为 干 净 的 清 爽 的 不 带 肮 脏 交 易 的 U R L 上 去 。 结 语 结 语 : 我 想 有 一 个 干 净 的 上 网 环 境 ！ 谢 谢 ！ * 本 文 作 者 ： S m i l i n g C a t ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理