不在恐惧入侵者 DLL后门完全清除方法.docVIP

不在恐惧入侵者 DLL后门完全清除方法 　　　前言　　说到后门!我相信这个词对您来说一定不陌生，它的危害不言而喻，随着人们的安全意识逐渐增强，再加上杀毒软件的大力支持，使传统的后门无法再隐藏自己，任何稍微有点计算机知识的人，都知道查端口看进程，以便发现一些蛛丝马迹。所以，后门的编写者及时调整了思路，把目光放到了动态链接程序库上，也就是说，把后门做成DLL文件，然后由某一个EXE做为载体，或者使用Rundll32.exe来启动，这样就不会有进程，不开端口等特点，也就实现了进程、端口的隐藏。本文以DLL的原理DLL的清除DLL的防范为主题展开论述，旨在能让大家对DLL后门快速上手，不再恐惧DLL后门。OK，现在进入我们的主题。　　一、DLL的原理　　1，动态链接程序库　　动态链接程序库，全称ynamic Link Library，简称LL，作用在于为应用程序提供扩展功能。应用程序想要调用DLL文件，需要跟其进行动态链接;从编程的角度，应用程序需要知道DLL文件导出的API函数方可调用。由此可见，DLL文件本身并不可以运行，需要应用程序调用。正因为DLL文件运行时必须插入到应用程序的内存模块当中，这就说明了LL文件无法删除。这是由于Windows内部机制造成的:正在运行的程序不能关闭。所以，DLL后门由此而生!　　2，DLL后门原理及特点　　把一个实现了后门功能的代码写成一个DLL文件，然后插入到一个EXE文件当中，使其可以执行，这样就不需要占用进程，也就没有相对应的PID号，也就可以在任务管理器中隐藏。DLL文件本身和EXE文件相差不大，但必须使用程序(EXE)调用才能执行DLL文件。DLL文件的执行，需要EXE文件加载，但EXE想要加载DLL文件，需要知道一个DLL文件的入口函数(既DLL文件的导出函数)，所以，根据DLL文件的编写标准:EXE必须执行DLL文件中的DLLMain()作为加载的条件(如同EXE的mian())。做DLL后门基本分为两种:)把所有功能都在DLL文件中实现;2)把DLL做成一个启动文件，在需要的时候启动一个普通的EXE后门。　　常见的编写方法:　　(1)，只有一个DLL文件　　这类后门很简单，只把自己做成一个DLL文件，在注册表Run键值或其他可以被系统自动加载的地方，使用Rundll32.exe来自动启动。Rundll32.exe是什么?顾名思意，执行32位的DLL文件。它的作用是执行DLL文件中的内部函数，这样在进程当中，只会有Rundll32.exe，而不会有DLL后门的进程，这样，就实现了进程上的隐藏。如果看到系统中有多个Rundll32.exe，不必惊慌，这证明用Rundll32.exe启动了多少个的DLL文件。当然，这些Rundll32.exe执行的DLL文件是什么，我们都可以从系统自动加载的地方找到。　　现在，我来介绍一下Rundll32.exe这个文件，意思上边已经说过，功能就是以命令行的方式调用动态链接程序库。系统中还有一个Rundll.exe文件，他的意思是执行16位的DLL文件，这里要注意一下。在来看看Rundll32.exe使用的函数原型:　　其命令行下的使用方法为:Rundll32.exe DLLname,Functionname [Arguments]Void CALLBACK FunctionName (HWND hwnd,HINSTANCE hinst,LPTSTR lpCmdLine,Int nCmdShow);　　DLLname为需要执行的DLL文件名;Functionname为前边需要执行的DLL文件的具体引出函数;[Arguments]为引出函数的具体参数。　　(2)，替换系统中的DLL文件　　这类后门就比上边的先进了一些，它把实现了后门功能的代码做成一个和系统匹配的DLL文件，并把原来的DLL文件改名。遇到应用程序请求原来的DLL文件时， DLL后门就启一个转发的作用，把参数传递给原来的DLL文件;如果遇到特殊的请求时(比如客户端)，DLL后门就开始，启动并运行了。对于这类后门，把所有操作都在DLL文件中实现最为安全，但需要的编程知识也非常多，也非常不容易编写。所以，这类后门一般都是把DLL文件做成一个启动文件，在遇到特殊的情况下(比如客户端的请求)，就启动一个普通的EXE后门;在客户端结束连接之后，把EXE后门停止，然后DLL文件进入休息状态，在下次客户端连接之前，都不会启动。但随着微软的数字签名和文件恢复的功能出台，这种后门已经逐步衰落。　　提示:　　在WINNT\system32目录下，有一个dllcache文件夹，里边存放着众多DLL文件(也包括一些重要的EXE文件)，在DLL文件被非法修改之后，系统就从