`
peizhiinfo
  • 浏览: 1417569 次
文章分类
社区版块
存档分类
最新评论

使用DLL技术的木马分析

 
阅读更多
"木马"大家都不陌生,给我们的系统安全带来很大的危害。而且现在的木马采用的技术越来越高,开始采用以".exe或.com"为后缀的可执行文件,但这种技术隐蔽性很差,将木马进程注册为系统服务后,虽然在WINDOWS98系统中可以隐藏,但在基于WINNT内核的系统中却一览无遗,用WINDOWS任务管理器很容易发现它们,为了达到隐藏的目的,DLL技术是广泛使用的一种手段,这种木马的隐蔽性很强,难以发现。

DLL是Dynamic Link Library(动态链接库)的缩写,DLL文件是Windows系统的基础,DLL文件没有程序逻辑,是由多个功能函数构成,它并不能独立运行,一般都是由进程加载并调用的。因为DLL文件不能独立运行,所以在进程列表中并不会出现DLL文件,这样木马利用DLL文件的这种特性,把自身的木马功能部分解压缩到DLL库文件中,就可以很有效的隐藏自己,那DLL文件不能独立运行,木马怎么才能运行呢?

运行DLL文件最简单的方法是利用Rundll32.exe,Rundll32者,顾名思义,执行Dll(动态链接库)也,是Windows用来调用32位DLL函数时所使用的命令(16位的DLL文件使用rundll.exe),Rundll32的使用方法如下:

  “rundll32.exe 动态链接库名 ,函数名, 参数名”

下面就以“Win32.Lovgate.H新变体”木马病毒为例,看看他们如何通过调用Rundll32命令来实现自身的加载。

“Win32.Lovgate.H新变体”木马病毒会把自身的木马功能部分解压缩到一个个DLL库文件中,以便此木马以一个单独程序来运行,“reg678.dll”和“Task688.dll ”就是这样的文件,然后把木马的DLL文件添加到启动项中以及注册成服务,如下修改注册表:
“HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run”中,添加键名为“Remote Procedure Call Locator”的启动项,其值为“RUNDLL32.EXE reg678.dll ondll_reg”(图一)。
另外它还做以下修改:
HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/ll_reg
"ImagePath" = "RUNDLL32.EXE Task688.dll ondll_reg"
HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/NetMeeting Remote Desktop (RPC) Sharing,
"ImagePath" = "RUNDLL32.EXE Task688.dll ondll_reg"


这样在WINDOWS任务管理器就没办法发现它,因为“Win32.Lovgate.H新变体”是使用Rundll32程序调用的,进程列表中根本不存在木马进程,是不是很诡秘。即使你在注册表启动项看到“RUNDLL32.EXE reg678.dll ondll_reg”,也会以为是RUNDLL32.EXE调用系统DLL文件,怎么想到这就是木马,太可怕了。
另外,还有一种情况更为诡秘,就是把木马的DLL文件替换成系统常用的DLL文件,如把木马写成wsock32.dll文件,替换掉原先的wsock32.dll,将原先的DLL文件重命名为wsockold.dll,这种方法隐蔽性更强,很难发现。


那我们怎么来防范这些使用DLL技术的木马呢?下面就介绍一些经验。

1、安装病毒木马防火墙
现在的用户都很注意病毒木马的防范,但要经常升级病毒数据库,这样就可以有效的查杀绝大部分木马病毒,另外,很多网站提供免费的在线杀毒,这就更方便用户查杀木马,比如3721提供的”安博士“在线杀毒(http://assistant.3721.com/),使用就相当方便,可以有效的查杀木马。另外建议大家使用专门针对木马的查杀软件,如木马克星。



2、使用进程/内存模块查看器
DLL木马对于进程管理器来说是隐藏的,所以我们既不能用进程管理器来查找,也无法直接将它停止运行,因此,我们不能指望NT自带的进程管理器了,需要使用一些附加的工具。
为了能发现DLL木马,我们必须能查看内存中“RUNDLL32.EXE”运行的DLL文件,大家可以使用WINDOWS优化大师自带的”进程管理器“(图二),来查看DLL文件使用的情况,看看是否有异常,当然这需要用户对WINDOWS系统有一定的了解才行。另外还要注意,可能木马的DLL文件替换了系统常用的DLL文件,这时,就要查看DLL文件的大小是否变化,如果它的大小和正常情况有很大出入,那么就要小心了。


3、查看注册表启动项有无异常键名
单击”开始-->运行“,在运行对话框中输入”msconfig",然后切换到“启动”选项页,这里要注意启动项中有无异常键名,如“Win32.Lovgate.H新变体”木马病毒会在启动项中添加”rundll32“项目,其值为“RUNDLL32.EXE reg678.dll ondll_reg”(msconfig图片),遇到这种类似情况大家一定要留心,WINDOWS2000不自带“msconfig”程序,将WINDOWS XP下的msconfig文件拷贝过去即可。
另外,还可以在运行对话框中输入”regedit"命令,依次展开“HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run”,这种方法也是一样的。


当然还可以使用端口进程关联软件、嗅探器等进行查找,这里就不在详细介绍了,有兴趣的朋友可以查看有关技术资料,进行深入研究。
分享到:
评论

相关推荐

    基于DLL 的特洛伊木马隐藏技术研究

    隐藏技术一直是木马设计人员研究的重要...提出了使用动态链接库( DLL) 与线程技术相结合的木马进程隐藏方案, 用动态链接库编程技术 代替传统木马程序, 并用线程嫁接技术将其植入目标进程, 具有很好的隐蔽性和灵活性。

    论文研究-基于模拟加载法的DLL木马检测模型设计.pdf

    针对DLL木马不能直接运行的特性和高隐蔽性带来的检测难度,设计了一个基于模拟加载技术的DLL木马检测模型,并基于该模型实现了一个DLL木马检测系统。介绍了检测系统的总体结构图,阐述了检测系统的模块架构,给出了...

    隐藏木马检测技术的研究

    在分析了目前Windows系统中采用DLL技术的木马程序的检测技术,并在该基础上,提出了一种检测基于DLL转发机制木马的新技术

    易语言DLL劫持生成 最新劫持技术-易语言

     一些木马或病毒也会利用DLL劫持技术搞破坏,因此当在应用程序目录下发现系统一些DLL文件存在时,如lpk.dll ,应引起注意。 思路: 我们拿winmm.dll劫持做演示,通常的劫持技术是导出和winmm.dll同样的函数并提供...

    如何查杀运行状态下的EXE、DLL病毒

     目前的一些高级病毒或木马程序,采用进程插入技术,隐藏了进程,将其DLL动态链接库文件插入现有的系统进程中,常见的插入explorer.exe和winlogon.exe中,目前杀毒软件针对这种动态链接库的病毒查杀,效果都不理想...

    论网络攻击技术与网络安全(全文).docx

    还有的通过代码注入和dll插入技术,埋伏在系统进程如svchost.exe 或explorer.exe 中,从防火墙的监控日论网络攻击技术与网络安全(全文)全文共6页,当前为第3页。论网络攻击技术与网络安全(全文)全文共6页,当前为第3...

    lpk-usp10病毒恢复工具

    系统分析,可以分析出您机器中所存在的可疑启动项、文件,便于交给网友、技术人员帮您查杀木马。 5.自定义脚本扫描,巨盾给用户提供一些简单易用的接口,基于非常流行的LUA语法,让您可以来自已来定义如何查杀某一...

    云端,云端将未来十大IT技术之一的应用虚拟化,全球第一家引入个人用户领域,创造软件使用崭新方式:不安装、不重装、无垃圾。

    4、操作系统保护 云端提供的虚拟化环境,极大的避免了软件安装使用和软件安装过多带来的操作系统出错、系统运行缓慢等,有效去除了软件卸载不干净而残留的注册表、dll文件等系统垃圾。降低了重装系统的频率,保护...

    病毒实验报告

    有关病毒方面课程的实验内容 实验一 PE结构分析及DOS病毒感染与清除 一、实验目的 1.熟悉PE文件结构 ...2)实现远程线程动态嵌入技术的木马并验证; 3)实现木马远程监视/控制; 4)修复被上述病毒感染的系统

    Windows应用程序捆绑核心编程光盘代码

    第15章 特洛伊木马与反木马技术 348 15.1 引言 348 15.2 常见的木马种类 349 15.3 木马的载入方式 350 15.4 木马采用的伪装方法 351 15.5 Windows 2K/XP中无法删除文件的常用解决办法 352 15.6 一种木马病毒的...

    【专题四】Rootkit的学习与研究

    对于rootkit的研究,涉及到的内容比较多,需要在充分学习理解这些技术的前提下,透过目前网络上出现的一些rootkit病毒,木马来进行分析,做到活学活用。因此,对于本版块的思路很清晰,首先是基础技术理论的研究,...

    冰刃 IceSword

    在“进程ID”一栏中,出现0值是指该端口已关闭,处于“TIME_WAIT”状态,由于2000上使用技术XP/2003有所不同,所以前者与后二者上的显示可能些微差别。IceSword破除系统级后门的端口隐藏,只要进程使用windows系统...

    内存不为read的修复工具

    解决方法:Win XP的“预读取”技术这种最佳化技术也被用到了应用程序上,系统对每一个应用程序的前几次启动情况进行分析,然后新增一个描述套用需求的虚拟“内存映像”,并把这些信息储存到Windows\Prefetch文件夹。...

    狙剑V2008-0224

     PcShare木马采用反弹连接技术、HTTP隧道技术等,而且还使用了驱动隐藏模块,这样就可以更方便地隐藏和保护服务端程序。  首先查找PcShare木马的进程,因为无论是木马程序还是流氓病毒,只要查找到启动项和相关...

    游戏画面就弹出内存不能为read修复工具

    解决方法:Win XP的“预读取”技术这种最佳化技术也被用到了应用程序上,系统对每一个应用程序的前几次启动情况进行分析,然后新增一个描述套用需求的虚拟“内存映像”,并把这些信息储存到WindowsPrefetch文件夹。...

    如何编写批处理文件批处理文件批处理文件

    简明批处理教程22009年10月20日 星期二 下午 05:35 最近对于批处理技术的探讨比较热,也有不少好的批处理程序发布,但是如果没有一定的相关知识恐怕不容易看懂和理解这些批处理文件,也就更谈不上自己动手编写了,古...

    网吧维护技术资料 合集

    7235 网吧维护\资料\WINDOWS 2000中蓝屏死机之停止信息分析.TXT 10321 网吧维护\资料\WINDOWS 2000光盘探秘.TXT 7337 网吧维护\资料\WINDOWS 2003 激活和优化.TXT 6071 网吧维护\资料\WINDOWS 98 奇 招 酷 集!!!....

    您可能没有权限使用网络资源。请与这台服务器的管理员联系以查明您是否有访问权限。拒绝访问解决方法

    rundll32 netplwiz.dll,UsersRunDll 将打开“用户帐户”页面,这个可不是我们平常在“控制面板”中的看到的那个“用户帐户”。在“用户帐户”的“用户”选项卡下先选中Guest 用户,然后再点下面的“重设密码”。好了...

    WIN XP蓝屏代码大全

    这种信息多数很简洁, 但停机码可以作为搜索项在微软知识库和其他技术资料中使用 2.推荐操作 蓝屏第二部分是推荐用户进行的操作信息. 有时, 推荐的操作仅仅是一般性的建议(比如: 到销售商网站查找BIOS的更新等); ...

    Reversing:逆向工程揭密

    8.1.3 特洛伊木马 275 8.1.4 后门 276 8.1.5 移动代码 276 8.1.6 广告软件和间谍软件 276 8.2 粘人的软件(Sticky 8.2 Software) 277 8.3 未来的恶意软件 278 8.3.1 盗取信息的蠕虫 278 8.3.2 BIOS/固件恶意软件 ...

Global site tag (gtag.js) - Google Analytics