DLL木马的写法.docVIP

DLL木马的写法 木马运行关键是隐藏,神不知鬼不觉才是王道.要隐藏,先要隐藏进程,Windows操作系统中程序以进程的 方式运行,大多数操作系统也是如此.任务管理器就可以看到当前运行的进程,所以有人HOOK相关枚举进程的函 数,让任务管理器不显示木马进程,也有人把自己的木马注册成服务运行,任务管理器不显示服务的.这样做只 是障眼法,进程还是存在的,最好的方法是让进程不存在,让木马作为其他进程的一个线程来运行.Windows操 作系统提出了DLL的概念,其系统API都是通过DLL的形式出现的,应用程序动态链接到DLL来调用API,DLL在 内存中只存在一个副本就可以满足不同应用程序的调用了,因此可以把木马写成DLL文件,让他作为进程的一部 分运行,最好是系统进程的一部分,一般人很难看到一个进程加载了哪些DLL,也就很难发现这种木马(用 IceSword可以看到进程的DLL模块). 一 编写一个DLL木马: 使用IDE : Visual C++ 6.0 Visual Studio.NET 2003/2005都可以. 首先建立一个Win32 Dynamic-Link Library工程.选择 A simple DLL project建立工程,然后就会看到: BOOL APIENTRY DllMain( HANDLE hModule, // 模块句柄. DWORD ul_reason_for_call, // 调用标志. LPVOID lpReserved // 返回数据. ) { return TRUE; } 这个是DLL的入口点函数,只能做一些简单的初始化工作.这个函数和WinMain wWinMain _tWinMain main这四个标准的入口点函数是完全不同的,DllMain会被多次调用,上述四个入口点只被系统调用一次.顺便说一句dll文件结构和exe文件是完全一致的. DWORD ul_reason_for_call, // 调用标志. 这个参数由系统传递,用于判断调用DllMain函数时候的状态.可能是以下四个常量: DLL_PROCESS_ATTACH: DLL被进程第一次使用时,就是进程调用LoadLibrary函数时 DLL_THREAD_ATTACH: DLL_THREAD_DETACH: DLL_PROCESS_DETACH: DLL被释放的时候 MSDN原文: DLL_PROCESS_ATTACH The DLL is being loaded into the virtual address space of the current process as a result of the process starting up or as a result of a call to LoadLibrary. DLLs can use this opportunity to initialize any instance data or to use the TlsAlloc function to allocate a thread local storage (TLS) index. DLL_THREAD_ATTACH The current process is creating a new thread. When this occurs, the system calls the entry-point function of all DLLs currently attached to the process. The call is made in the context of the new thread. DLLs can use this opportunity to initialize a TLS slot for the thread. A thread calling the DLL entry-point function with DLL_PROCESS_ATTACH does not call the DLL entry-point function with DLL_THREAD_ATTACH. Note that a DLLs entry-point function is called with this value only by threads created after the DLL is loaded by the pr