搜索

[14670] 2019-10-06_基于网络启动和系统服务劫持的渗透技术研究

文档创建者：s7ckTeam
浏览次数：41
最后更新：2025-01-18
2019-10-06_基于网络启动和系统服务劫持的渗透技术研究 基 于 网 络 启 动 和 系 统 服 务 劫 持 的 渗 透 技 术 研 究 g a e a r r o w   F r e e B u f   2 0 1 9 - 1 0 - 0 6 笔 者 受 光 盘 启 动 笔 者 受 光 盘 启 动 W i n P E 系 统 修 复 主 机 原 系 统 启 发 ， 设 计 并 开 展 了 以 网 络 启 动 传 输 定 制 操 作 系 统 ， 实 施 自 动 化 文 系 统 修 复 主 机 原 系 统 启 发 ， 设 计 并 开 展 了 以 网 络 启 动 传 输 定 制 操 作 系 统 ， 实 施 自 动 化 文 件 替 换 ， 劫 持 关 键 系 统 服 务 的 渗 透 技 术 方 案 研 究 ， 实 现 了 在 内 网 环 境 下 预 置 攻 击 程 序 的 自 主 启 动 。 件 替 换 ， 劫 持 关 键 系 统 服 务 的 渗 透 技 术 方 案 研 究 ， 实 现 了 在 内 网 环 境 下 预 置 攻 击 程 序 的 自 主 启 动 。 引 言 引 言 服 务 程 序 具 有 权 限 高 、 自 启 动 和 隐 蔽 性 强 等 多 项 特 点 ， 恶 意 工 具 经 常 劫 持 服 务 程 序 ， 但 是 采 用 服 务 函 数 或 注 册 表 函 数 修 改 服 务 注 册 表 项 的 劫 持 方 法 ， 不 仅 对 权 限 要 求 高 ， 同 时 还 会 触 发 安 全 防 护 软 件 报 警 。 本 文 设 计 的 利 用 网 络 启 动 定 制 操 作 系 统 实 施 对 原 系 统 关 键 服 务 文 件 进 行 自 动 化 替 换 的 渗 透 方 案 ， 不 仅 不 会 触 发 任 何 报 警 ， 同 时 在 攻 击 过 程 中 ， 不 会 在 操 作 系 统 上 留 下 任 何 攻 击 痕 迹 。 图 1 所 示 为 关 键 技 术 攻 击 示 意 图 。 图   1     关 键 技 术 攻 击 关 系 示 意 图 网 络 启 动 服 务 网 络 启 动 服 务 网 络 启 动 服 务 主 要 由 提 供 地 址 分 配 服 务 的 D H C P 服 务 和 提 供 文 件 传 输 服 务 的 T F T P 服 务 两 部 分 组 成 。 为 降 低 开 发 代 价 ， 网 络 启 动 服 务 基 于 成 熟 开 源 工 具 T F T P D 3 2 源 代 码 修 改 定 制 实 现 。 2 . 1   预 启 动 执 行 环 境 预 启 动 执 行 环 境 P X E （ P r e b o o t   E x e c u t e   E n v i r o n m e n t ， 预 启 动 执 行 环 境 ） 是 由 I n t e l 公 司 开 发 的 技 术 ， 工 作 于 C l i e n t / S e r v e r 的 网 络 模 式 ， 支 持 主 机 通 过 网 络 从 远 端 服 务 器 下 载 系 统 映 像 并 启 动 。 因 其 简 便 的 安 装 方 式 和 架 构 ， 很 快 得 到 了 业 内 人 士 的 认 可 和 广 泛 应 用 。
图   2   P X E 网 络 启 动 过 程 时 序 图 P X E 网 络 启 动 过 程 时 序 图 如 图   2 所 示 。 具 体 介 绍 如 下 ： （ 1 ） P X E   C l i e n t 利 用 D H C P 协 议 向 P X E   S e r v e r 请 求 分 配 I P 地 址 和 p x e l i n u x 启 动 程 序 的 位 置 ； （ 2 ） P X E   C l i e n t 利 用 T F T P 协 议 向 P X E   S e r v e r 请 求 p x e l i n u x . 0 启 动 程 序 ； （ 3 ） P X E   C l i e n t 执 行 p x e l i n u x . 0 启 动 程 序 ， 并 请 求 对 应 配 置 文 件 ； （ 4 ） P X E   C l i e n t 请 求 L i n u x 内 核 （ v m l i n u z ） 和 镜 像 （ i n i t r d . i m g ） ； （ 5 ） P X E   C l i e n t 启 动 l i n u x 系 统 。 从 以 上 网 络 启 动 过 程 中 可 以 看 到 ， P X E   S e r v e r 不 仅 需 要 提 供 I P 地 址 分 配 的 D H C P 服 务 器 和 提 供 文 件 传 输 服 务 的 T F T P 服 务 器 ， 还 需 要 提 供 网 络 启 动 程 序 （ p x e l i n u x . 0 ） 及 相 应 配 置 文 件 （ p x e l i n u x . c f g ） 、 L i n u x 内 核 （ v m l i n u z ） 和 镜 像
（ i n i t r d . i m g ， 不 同 配 置 支 持 不 同 的 格 式 ） 。 其 中 L i n u x 内 核 定 制 编 译 和 系 统 镜 像 定 制 封 装 将 放 在 3 定 制 操 作 系 统 中 进 行 介 绍 。 2 . 2   D H C P 和 和 T F T P 服 务 实 现 服 务 实 现 D H C P 的 前 身 是 同 样 基 于 C / S 模 式 的 B O O T P ， 它 主 要 用 于 向 客 户 主 机 动 态 指 定 I P 并 配 置 相 关 参 数 。 T F T P （ T r i v i a l F i l e   T r a n s f e r   P r o t o c a l ） ， 又 称 简 单 文 件 传 输 协 议 ， 是 T C P / I P 协 议 族 中 用 于 在 客 户 机 与 服 务 器 之 间 进 行 简 单 文 件 传 输 的 应 用 层 协 议 ， 主 要 提 供 基 于 U D P 的 不 复 杂 、 开 销 小 的 文 件 传 输 服 务 ， 端 口 号 为 6 9 。 D H C P 报 文 主 要 由 如 表   1 所 示 四 种 类 型 组 成 。 T F T P 协 议 共 定 义 了 五 种 类 型 的 报 文 ， 不 同 类 型 由 “ 操 作 码 ” 字 段 指 示 。 五 种 报 文 功 能 如 表   2 所 示 ， 报 文 格 式 如 图   3 所 示 。 D H C P 和 T F T P 服 务 实 现 活 动 图 如 图   4 和 图   5 所 示 。 由 于 此 部 分 非 本 文 实 现 ， 因 此 不 再 做 更 详 细 介 绍 。 表   1   D H C P 报 文 主 要 类 型 类 类   型 型 功 功   能 能 源 地 址 源 地 址 方 方   式 式 D H C P D I S C O V E R 全 网 段 搜 索 D H C P 服 务 器 D H C P   C l i e n t 广 播 D H C P O F F E R 响 应 搜 索 ， 回 复 分 配 I P D H C P   C l i e n t 广 播 D H C P R E Q U E S T 全 网 段 声 明 分 配 的 I P D H C P   C l i e n t 广 播 D H C P A C K 确 认 分 配 I P 成 功 D H C P   C l i e n t 广 播 表   2   T F T P 报 文 类 型 类 类   型 型 功 功   能 能 操 作 码 操 作 码 读 文 件 请 求 报 文 （ R e a d   R e q u e s t ， R R Q ）   |   用 于 建 立 客 户 端 到 服 务 器 读 数 据 的 连 接   |     1   | |   写 文 件 请 求 报 文 （ W r i t e   R e q u e s t ， W R Q ）   |   用 于 建 立 客 户 端 到 服 务 器 写 数 据 的 连 接   |   2   | |   文 件 数 据 报 文 （ D a t a ， D A T A ）   |   用 于 客 户 端 和 服 务 器 间 传 递 数 据 块   |   3   | |   回 应 报 文 （ A c k n o w l e d g e m e n t ， A C K ）   |   用 于 确 认 已 收 到 的 数 据 块   |   4   | |   错 误 报 文 （ E r r o r ， E R R O R ）   |   用 于 R R Q 、 W R Q 的 错 误 响 应     |   5   | |   选 项 确 认 报 文 （ O p t i o n   A c k n o w l e d g e ， O A C K ）   |   用 于 服 务 器 超 时 通 知 客 户 端   |   6   |
图   3     T F T P 报 文 格 式
图   4     D H C P 服 务 器 实 现 活 动 图
图   5     T F T P 服 务 器 实 现 活 动 图 2 . 3   启 动 程 序 编 译 配 置 启 动 程 序 编 译 配 置 S Y S L I N U X 是 一 个 功 能 强 大 的 主 引 导 记 录 启 动 程 序 套 装 ， 它 包 含 几 个 独 立 的 系 统 ， 比 如 用 来 从 C D - R O M   I S O   9 6 6 0 文 件 系 统 启 动 的 I S O L I N U X ， 用 来 从 搭 建 了 P X E 预 启 动 执 行 环 境 的 网 络 服 务 器 启 动 的 P X E L I N U X ， 用 来 从 L i n u x 的 e x t 2 / e x t 3 / e x t 4 或 B t r f s 文 件 系 统 启 动 的 E X T L I N U X 等 。 P X E L I N U X 系 统 编 译 生 成 的 p x e l i n u x . 0 启 动 程 序 是 网 络 启 动 过 程 所 需 的 必 备 文 件 。 （ 1 ） 编 译 启 动 程 序 ： 本 文 采 用 S Y S L I N U X   4 . 0 4 版 本 编 译 生 成 p x e l i n u x . 0 启 动 程 序 ， 通 过 阅 读 说 明 文 件 ， 在 C e n t O S   6 . 4 系 统 基 础 上 安 装 了 N A S M （ v 2 . 0 7 ） 工 具 ， 使 用 m a k e 指 令 ， 完 成 了 p x e l i n u x . 0 启 动 程 序 （ . / c o r e / p x e l i n u x . 0 ） 的 编 译 过 程 。 （ 2 ） 配 置 启 动 程 序 ： 通 过 分 析 S Y S L I N U X 源 代 码 ， 跟 踪 定 位 屏 蔽 了 p x e l i n u x . 0 在 执 行 过 程 中 的 输 出 代 码 ， 实 现 了 较 好 的 隐 蔽 执 行 ， 同 时 修 改 配 置 文 件 的 默 认 路 径 和 名 称 ， 提 高 了 该 系 统 的 隐 蔽 性 。 其 中 涉 及 到 的 关 键 文 件 包 括 p x e . c 、 p x e l i n u x . a s m 和 R u n K e r n e l . i n c 。 2 . 4   启 动 程 序 配 置 文 件 启 动 程 序 配 置 文 件 启 动 程 序 配 置 文 件 是 p x e l i n u x . 0 启 动 程 序 执 行 时 所 需 的 重 要 文 件 。 参 考 配 置 介 绍 ， 通 过 反 复 测 试 精 简 ， 确 定 如 下 配 置 内 容 （ 假 设 将 L i n u x 内 核 命 名 为 u p d a t e ， L i n u x 系 统 封 装 文 件 命 名 为 p x e . b i n ） 。 定 制 操 作 系 统 定 制 操 作 系 统 定 制 操 作 系 统 是 实 施 文 件 替 换 的 关 键 ， 定 制 过 程 需 要 解 决 的 主 要 问 题 ： 一 是 屏 蔽 启 动 过 程 中 的 屏 幕 提 示 信 息 ； 二 是 提 供 对 磁 盘 的 读 写 访 问 支 持 ； 三 是 自 动 化 完 成 关 键 服 务 文 件 替 换 。 3 . 1   屏 蔽 提 示 信 息 屏 蔽 提 示 信 息 在 网 络 启 动 过 程 中 屏 幕 显 示 的 内 容 有 ： P X E 客 户 端 提 示 信 息 （ P X E 客 户 端 代 码 嵌 入 在 主 机 芯 片 ， 无 法 控 制 修 改 ） ， p x e l i n u x . 0 启 动 程 序 提 示 信 息 （ 屏 蔽 方 法 已 经 在 2 . 3 节 介 绍 ） 和 定 制 操 作 系 统 启 动 运 行 信 息 。 其 中 定 制 操 作 系 统 启 动 运 行 信 息 可 以 通 过 重 新 定 制 编 译 L i n u x 内 核 实 现 。 （ 1 ） 编 译 内 核 ： 内 核 编 译 过 程 在 C e n t O S   6 . 4 系 统 上 完 成 ， 所 需 要 的 内 容 包 括 内 核 源 代 码 （ l i n u x - 3 . 8 . 1 3 - p a t c h e d . t x z ） 和 编 译 选 项 配 置 文 件 （ c o n f i g - 3 . 8 . 1 3 - t i n y c o r e ） ， 两 者 都 可 以 从 T i n y C o r e 官 方 网 站 （ w w w . t i n y c o r e l i n u x . n e t ） 下 载 。 通 过 查 阅 官 方 资 料 和 源 代 码 说 明 文 件 ， 按 如 图   6 所 示 步 骤 完 成 编 译 过 程 。 默 认 启 动 L A B E L 为 u p d a t e 中 标 记 的 内 容 ： D e f a u l t   u p d a t e 配 置 名 称 为 u p d a t e 的 启 动 选 项 ： L A B E L   u p d a t e 启 动 内 核 名 称 为 u p d a t e ： K E R N E L   u p d a t e 追 加 给 内 核 的 参 数 ： A P P E N D   i n i t r d = p x e . b i n
图   6     内 核 编 译 过 程 活 动 图 （ 2 ） 定 制 内 核 ： 定 制 操 作 系 统 在 启 动 过 程 中 的 屏 幕 显 示 又 可 以 划 分 成 两 个 阶 段 ， 一 是 内 核 启 动 的 提 示 信 息 ， 二 是 内 核 启 动 后 操 作 系 统 的 提 示 信 息 。 针 对 不 同 的 阶 段 需 要 采 取 不 同 的 措 施 进 行 修 改 定 制 。 对 于 内 核 启 动 的 提 示 信 息 ， 采 用 跟 踪 定 位 删 除 内 核 源 代 码 输 出 代 码 （ . / c o m p r e s s e d   / m i s c . c ） 进 行 屏 蔽 ； 对 于 内 核 启 动 后 的 系 统 提 示 信 息 ， 采 用 禁 用 L i n u x 内 核 中 显 示 驱 动 进 行 屏 蔽 。 3 . 2   磁 盘 读 写 支 持 磁 盘 读 写 支 持 N T F S （ N e w   T e c h n o l o g y   F i l e   S y s t e m ， 新 技 术 文 件 系 统 ） 是 W i n d o w s   N T 以 及 之 后 操 作 系 统 的 标 准 文 件 系 统 。 N T F S 取 代 了 文 件 分 配 表 （ F A T ） 文 件 系 统 ， 对 F A T 和 高 性 能 文 件 系 统 （ H P F S ） 作 了 若 干 改 进 ， 例 如 ， 支 持 元 数 据 ， 使 用 高 级 数 据 结 构 改 善 性 能 、 可 靠 性 和 磁 盘 空 间 利 用 率 等 。 N T F S 的 详 细 定 义 属 于 商 业 秘 密 ， 且 M i c r o s o f t 已 经 将 其 注 册 为 知 识 产 权 产 品 ， 因 此 L i n u x 系 统 无 法 对 N T F S 直 接 提 供 良 好 的 读 写 支 持 。 文 件 替 换 攻 击 需 要 对 目 标 主 机 原 操 作 系 统 中 的 关 键 文 件 进 行 替 换 ， 这 就 要 求 实 施 攻 击 的 L i n u x 系 统 必 须 提 供 对 N T F S 的 读 写 支 持 。 采 用 第 三 方 提 供 的 n t f s - 3 g 驱 动 软 件 可 以 满 足 该 需 求 。 为 了 整 合 n t f s - 3 g 驱 动 程 序 ， 还 必 须 了 解 T i n y c o r e   L i n u x 系 统 基 本 情 况 和 解 压 封 装 方 法 。 （ 1 ） 系 统 解 压 封 装 T i n y   C o r e   L i n u x 系 统 主 要 由 L i n u x 内 核 和 使 用 C P I O （ C P I O 是 U N I X 操 作 系 统 的 一 个 文 件 备 份 程 序 及 文 件 格 式 ） 归 档 的 系 统 文 件 构 成 。 通 过 参 考 T i n y   C o r e   L i n u x 官 方 文 档 ， 使 用 如 图   7 所 示 过 程 可 以 对 C P I O 归 档 文 件 进 行 解 压 和 重 新 封 装 。
图   7     解 压 和 封 装 C P I O 活 动 图 （ 2 ） 驱 动 程 序 加 载 驱 动 程 序 加 载 的 基 础 是 对 T i n y   C o r e   L i n u x 系 统 文 件 启 动 脚 本 进 行 修 改 。 该 启 动 脚 本 名 称 为 b o o t l o c a l . s h ， 位 于 系 统 文 件 根 目 录 的 o p t 目 录 下 。 该 启 动 脚 本 是 T i n y   C o r e   L i n u x 系 统 为 用 户 灵 活 扩 展 系 统 功 能 而 设 计 的 ， 系 统 启 动 后 会 自 动 调 用 该 脚 本 执 行 。 通 过 该 脚 本 不 仅 可 以 直 接 安 装 驱 动 ， 同 时 可 以 自 动 化 运 行 预 定 的 命 令 。 通 过 将 n t f s - 3 g 驱 动 文 件 添 加 进 操 作 系 统 中 指 定 目 录 ， 配 合 以 下 命 令 可 以 完 成 驱 动 程 序 自 动 加 载 。 3 . 3   文 件 替 换 实 现 文 件 替 换 实 现 文 件 替 换 的 基 本 原 理 与 3 . 2 中 的 驱 动 程 序 加 载 相 同 ， 只 需 将 待 替 换 的 任 意 程 序 添 加 进 操 作 系 统 中 指 定 目 录 ， 配 合 以 下 命 令 （ 以 W i n d o w s 7 为 例 ） 可 以 完 成 文 件 替 换 操 作 和 自 动 关 机 。 劫 持 服 务 程 序 劫 持 服 务 程 序 M i c r o s o f t   W i n d o w s 服 务 （ 以 前 的 N T 服 务 ） 是 由 系 统 管 理 的 在 后 * * 成 任 务 的 应 用 程 序 。 与 一 般 应 用 程 序 最 大 的 区 别 是 它 们 都 是 在 “ 后 台 ” 运 行 的 ， 且 一 般 具 有 更 高 （ 甚 至 最 高 ） 的 系 统 权 限 ， 因 此 恶 意 程 序 经 常 将 自 己 写 成 一 个 服 务 安 装 在 系 统 中 ， 对 操 作 系 统 进 行 更 持 久 的 控 制 。 s u   - C   “ t c e - l o a d   - i   / t m p / n t f s - 3 g . t c z ”   t c s u   - C   “ t c e - l o a d   - i   / t m p / s a m b a - c l i e n t . t c z ”   t c #   提 权 加 载 磁 盘 s u d o   m o u n t   / d e v / s d a 1 #   删 除 目 标 文 件 ， 被 劫 持 服 务 后 文 有 介 绍 r m   - r f   / m n t / s d a 1 / W i n d o w s / S y s t e m 3 2 / s p o o l s v . e x e #   实 现 文 件 替 换 c p   / t m p / s p o o l s v . e x e   / m n t / s d a 1 / W i n d o w s / S y s t e m 3 2 / s p o o l s v . e x e #   植 入 木 马 服 务 程 序 c p   / t m p / s v c h o s t . e x e   / m n t / s d a 1 / W i n d o w s / s v c h o s t . e x e #   系 统 自 动 关 机 s u d o   p o w e r o f f   - d   5
典 型 的 服 务 程 序 由 三 部 分 组 成 ， 第 一 部 分 是 S e r v i c e   C o n t r o l   M a n a g e r （ S C M ） 。 S C M 存 在 于 S e r v i c e . e x e 中 ， 在 W i n d o w s 启 动 的 时 候 会 自 动 运 行 。 S C M 包 含 一 个 储 存 着 已 安 装 的 服 务 和 驱 动 程 序 信 息 的 数 据 库 ， 通 过 S C M 可 以 统 一 地 、 安 全 地 管 理 这 些 信 息 ， 因 此 一 个 服 务 程 序 的 安 装 过 程 就 是 将 自 身 的 信 息 写 入 这 个 数 据 库 。 第 二 部 分 是 服 务 本 身 。 一 个 服 务 拥 有 能 从 S C M 收 到 信 号 和 命 令 所 必 须 的 特 殊 代 码 ， 并 且 能 够 在 处 理 后 将 它 的 状 态 回 传 给 S C M 。 第 三 部 分 是 S e r v i c e   C o n t r o l   D i s p a t c h e r （ S C P ） 。 它 是 一 个 拥 有 用 户 界 面 ， 允 许 用 户 开 始 、 停 止 、 暂 停 、 继 续 ， 并 且 控 制 一 个 或 多 个 安 装 在 计 算 机 服 务 的 W i n 3 2 应 用 程 序 。 4 . 1   服 务 劫 持 基 本 原 理 服 务 劫 持 基 本 原 理 服 务 安 装 的 本 质 是 将 服 务 信 息 记 录 在 注 册 表 指 定 路 径 下 ， 在 该 路 径 下 还 保 存 了 若 干 个 子 键 ， 每 个 子 键 对 应 一 个 服 务 。 子 键 名 就 是 服 务 名 ， 该 子 键 下 存 在 很 多 键 值 ， 不 同 键 值 表 示 服 务 的 类 型 、 启 动 方 式 、 关 联 程 序 等 信 息 ， 在 W i n d o w s   7 3 2 位 系 统 上 打 印 后 台 处 理 服 务 的 键 值 信 息 如 图   8 所 示 。 图   8     打 印 后 台 处 理 服 务 注 册 表 键 值 信 息 注 册 表 中 的 一 个 服 务 通 常 包 含 如 表   3 所 示 键 值 。 其 中 比 较 重 要 的 是 I m a g e P a t h 、 S t a r t 和 T y p e 三 项 。 S t a r t 指 定 的 服 务 启 动 方 式 通 常 有 四 个 值 。 值 为 1 表 示 由 系 统 加 载 器 启 动 ， 通 常 用 于 启 动 内 核 驱 动 服 务 ； 值 为 2 表 示 伴 随 系 统 启 动 由 S C M 自 动 启 动 ； 值 为 3 表 示 手 动 启 动 ， 通 常 需 要 人 工 使 用 服 务 管 理 器 启 动 ； 值 为 4 表 示 服 务 被 禁 用 。 T y p e 指 定 了 服 务 的 类 型 ， 用 户 层 独 立 进 程 的 服 务 该 值 为 1 6 ， 用 户 层 共 享 进 程 的 服 务 该 值 为 3 2 ， 内 核 驱 动 服 务 该 值 为 1 ， 文 件 过 滤 驱 动 服 务 该 值 为 2 。 表   3   服 务 关 键 键 值 信 息 键 值 名 称 键 值 名 称 信 信     息 息 D i s p l a y N a m e 服 务 管 理 器 中 显 示 的 名 字 D e s c r i p t i o n 描 述 信 息 I m a g e P a t h 对 应 的 应 用 程 序 路 径 S t a r t 启 动 方 式 T y p e 服 务 类 型 服 务 劫 持 的 基 本 原 理 就 是 将 服 务 对 应 的 应 用 程 序 替 换 成 恶 意 程 序 ， 将 启 动 方 式 设 置 为 自 启 动 ， 再 修 正 服 务 类 型 ， 即 可 实 现 每 次 系 统 启 动 ， 恶 意 程 序 随 之 启 动 。 由 于 操 作 系 统 对 运 行 中 的 服 务 程 序 ， 尤 其 是 系 统 关 键 服 务 程 序 保 护 的 十 分 严 格 ， 通 常 意 义 的 服 务 劫 持 只 能 采 用 修 改 注 册 表 中 的 键 值 信 息 来 实 现 。 而 修 改 注 册 表 又 有 两 种 具 体 实 现 方 法 ： 一 是 利 用
注 册 表 操 作 函 数 （ R e g S e t V a l u e E x 函 数 ） ， 二 是 利 用 服 务 A P I （ C h a n g e S e r v i c e C o n f i g 函 数 ） 。 两 种 方 法 的 执 行 不 仅 需 要 管 理 员 权 限 ， 同 时 还 会 触 发 常 见 安 全 防 护 软 件 报 警 。 笔 者 利 用 发 送 到 目 标 主 机 的 T i n y   C o r e   L i n u x 实 施 对 原 系 统 关 键 服 务 程 序 的 直 接 替 换 劫 持 ， 由 于 原 操 作 系 统 始 终 未 启 动 ， 被 劫 持 的 服 务 程 序 默 认 启 动 方 式 为 自 启 动 ， 因 此 劫 持 过 程 不 会 触 发 任 何 报 警 、 留 下 任 何 痕 迹 ， 劫 持 服 务 程 序 可 以 随 系 统 启 动 而 启 动 。 通 过 精 心 构 造 劫 持 服 务 程 序 的 服 务 信 息 ， 文 件 大 小 可 以 进 一 步 提 高 劫 持 过 程 的 隐 蔽 性 。 4 . 2   被 劫 持 服 务 选 择 被 劫 持 服 务 选 择 基 于 功 能 性 和 隐 蔽 性 的 双 重 考 虑 ， 被 劫 持 服 务 的 选 择 依 据 包 括 以 下 三 个 方 面 ： 一 是 该 服 务 默 认 启 动 方 式 为 自 启 动 ； 二 是 该 服 务 使 用 率 非 常 低 或 几 乎 不 会 被 使 用 ； 三 是 该 服 务 是 系 统 安 装 服 务 ， 不 是 用 户 安 装 服 务 ； 打 印 后 台 处 理 服 务 （ P r i n t   S p o o l e r ） 位 于 C : W i n d o w s S y s t e m 3 2 目 录 下 ， 进 程 名 为 s p o o l s v . e x e 。 该 服 务 用 于 管 理 所 有 本 地 和 网 络 打 印 队 列 及 控 制 所 有 的 打 印 工 作 ， 是 W i n d o w s   X P 和 W i n d o w s   7 系 统 默 认 安 装 服 务 ， 且 启 动 方 式 为 自 启 动 。 当 主 机 不 使 用 打 印 机 进 行 打 印 作 业 时 ， 该 服 务 将 不 会 被 调 用 。 因 此 打 印 后 台 处 理 服 务 可 以 较 好 的 满 足 新 型 服 务 劫 持 要 求 ， 笔 者 选 择 打 印 后 台 处 理 服 务 为 被 劫 持 服 务 。 4 . 3   劫 持 服 务 实 现 劫 持 服 务 实 现 服 务 程 序 一 般 包 含 最 基 本 的 三 个 重 要 函 数 ： 服 务 程 序 入 口 函 数 、 服 务 入 口 回 调 函 数 和 服 务 控 制 回 调 函 数 。 服 务 程 序 入 口 函 数 的 作 用 主 要 是 负 责 初 始 化 整 个 过 程 ， 通 知 S C M 在 可 执 行 文 件 中 包 含 几 个 服 务 ， 并 且 给 出 每 一 个 服 务 入 口 回 调 函 数 的 地 址 。 服 务 入 口 回 调 函 数 就 是 入 口 函 数 通 知 给 S C M 的 每 个 服 务 启 动 的 函 数 。 服 务 控 制 回 调 函 数 的 作 用 是 配 合 S C M 改 变 服 务 状 态 。 劫 持 服 务 程 序 实 现 活 动 图 如 图   9 所 示 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理