木马害人计中计连载2

认识线程插入

没过多久，刘鼎发现有人在拍他的肩膀，回头一看，正是公孙先生。于是刘鼎高兴地对着茶博士叫道：“师傅，再沏碗绿茶。”然后恭恭敬敬地问道：“先生最近很少来喝茶吧?好几次都没看见你。”公孙牧坐下后，回道：“前段时间有几家公司让我为他们的网站进行安全检测，所以就没有时间来这里喝茶了哈哈!”刘鼎接着问：“上次先生说黑客的木马欺骗技术有很多，并且为我讲了木马的瞒天过海之计，听得我茅塞顿开，不知先生能否继续讲解?”

公孙牧哈哈笑道：“当然行，今天我就给你说说借尸还魂之计吧!此计原文为‘有用者，不可借；不能用者，求借。借不能用者而用之，匪我求童蒙，童蒙求我。’前面这意思是说，世间许多看上去很有用的东西，往往不容易驾驭为己所用。而有些看似无用的东西，却可以借助它为自己发挥作用。这样不仅可以转不利为有利，有时还能转败为胜。”

公孙牧接着讲道：“在网络安全的运用中，借尸还魂的‘尸’可以看作是系统正常的进程信息，而‘魂’当然就是木马的恶意进程信息。大家都知道，现在的安全软件对小马进程的查杀非常严，而木马就采用线程插入技术，将自身隐藏到正常的系统进程中执行，以躲过安全软件和用户的检查。这就是木马的借尸还魂之计!”

实战初试

刘鼎听后，心里已经有了一个初步的认识，但感觉还是比较抽象，于是就请公孙牧在自己的本本上做―下演示。看来公孙牧今天的心情非常不错，只见他一边演示一边为刘鼎讲解道：“如今主流的木马都采用了线程插入技术，并且很多木马可以隐藏到多个进程之中。比如运行“上兴”木马的客户端程序，点击其工具栏中的‘配置服务端’命令，在弹出窗口中我们可以看到‘使用IE浏览器进程启动服务端’和‘插systern32目录的系统文件’两个选项。‘使用IE浏览器进程启动服务端’选项就是将木马的服务端进程插入IE浏览器的进程中，而‘插system32目录的系统文件’选项就可以让黑客自定义插入的进程。你看这其中包括svchost.exe、calc.exe和cmd.exe等多个常见的系统进程，黑客任意选用其中一个就可以了。”

进阶演练

看着公孙牧的演示，刘鼎不住地点头。突然他问了一个问题：“好像有些知名的木马只有一个进程信息可以设置，比如‘灰鸽子’通常就只能插入到IE浏览器的进程中，那么这个时候是不是就不能更改进程了呢?”公孙牧靠在椅子上听完刘鼎的提问，悠然地回答道：“通过木马本身的配置程序当然不能，但是通过其他方法还是可以的。这里我要用到一款名为C32Asm的反汇编工具。”

刘鼎一听要使用其他工具，连忙问：“要用反汇编工具?难道还需要对木马进行破解不成?操作起来是不是非常困难啊?”一连三个问题，让公孙牧都感到有些措手不及了。公孙牧对他笑道：“其实并没有你想像中的那么困难，我还是一边演示一边跟你讲吧!”前先，只见他运行了反汇编工具C32Asm，点击其“文件”菜单中的“打开十六进制文件”项，导入已生成好的“灰鸽子”服务端。接着，他点击了“搜索”菜单中的“搜索”项。由于“灰鸽子”是插入列IE浏览器的进程中，所以他在弹出窗口中输入了“iexplore.Exe”。开始搜索后，很快就找到一处“：＼Program Files＼InternetExolorer＼lEXPLORE EXE”，这就是“灰鸽子”服务端插入到lE浏览器的路径。

刘鼎喝了口茶，自我解嘲道：“看上去是很简单，呵呵!”此时公孙牧暂停了操作，说道：“现在就可以将‘灰鸽子’服务端插入的IE浏览器进程改成其他常用软件的进程了，比如QQ，exe或Foxmail.exe等。不过，有经验的黑客常常会选择svchost，exe，因为它是Windows重要的系统进程，在Windows XP的进程列表中一般有4个以上，插入其中不容易被用户发现和怀疑。svchost.exe的路径是：＼wINDOWS＼system32＼svchost.EXE，所以在此我只需要选中IE浏览器进程的路径，然后用svchost.exe的路径替换它就行了。”

完成以上操作后，公孙牧又指着屏幕说：“你看，前后两个路径的长度不一样，这里还有一部分原来的路径没有给替换掉。因此现在要选中没有被替换掉的部分，点击鼠标右键选择‘填充’命令，在弹出窗口中点选‘使用16进制填充’，在其框中输入00，完成后点击‘确定’按钮退出。下面我们继续搜索，点击‘搜索’菜单中的‘搜索下一个’，又会找到一个和iexplore.exe相关的信息内容，只是这次没有路径信息而已。按照上面的方法用svchost.exe替换iexplore.exe，并填充没有替换掉的部分。最后，点击‘文件’菜单中的‘保存’命令，将修改好的‘灰鸽子’服务端保存。”此刻刘鼎仿佛大悟，拍桌说道：“如此修改后的‘灰鸽子’木马，犹如使出了奇招，在别人电脑中运行起来就更加隐蔽了。高!实在是高!”

尾声

就这样，在问答和演示之中，时间飞快地流逝着。这时公孙牧准备起身买单，刘鼎急忙拦住，并对茶博士喊道：“师傅，帮忙买单!”然后，对公孙牧说：“先生还是我来吧!”公孙牧也没有推辞。最后，两个人有说有笑地各自回家吃饭去了。天边的晚霞映红了两人的脸庞。欲知后事如何，请看下回分解。