溢出植入型木马后门的原型实现.pdf

出植入型木马（后门）的原 型实现 作者：FLASHSKY 邮箱：flashsky@ 站点： 感谢与申明 感谢此文成型中获得的如下人员的讨论与支持 – XUNDI ，大鹰，冰河，ALERT7, BENJURRY,ISNO,REFDOM 给予的 技术讨论和提出了有益的意见 感谢所有到会成员给予的指点 申明： 作者无意实现一个木马，只是提供一种思路：将缓冲区溢出攻击 和木马/ 后门相结合的木马实现手段，通过一个简单的原型来验 证，并展示给大家这种实现方式的一些特点。作者提供关键代码 段的技术实现的文档和演示来验证其实现，但不提供源代码和二 进制程序，任何人都可以利用此文进行自己的技术研究和代码实 现，但是自己负担自己开发程序进行非法行为的法律责任。 基本思路 木马（后门）如何有效的隐蔽？ 出植入型木马 （后门）的思路 出植入型木马 （后门）的优势 木马（后门）如何有效的隐蔽？ 应用/代码本身的隐蔽 应用进程执行的隐蔽 自动启动相关的隐蔽 通讯的隐蔽 当前木马/后门发展的趋势 – 驱动和内核级 – 拦截系统调用服务来实现系统级的隐蔽 存在的问题 – 代码量多 – 影响一定的性能 – 实现需要高的技巧与技能 出植入型木马 （后门）的思路 被动工作式的木马 瘦服务器端的木马 依赖于系统机制进行加载，和执行 出植入型木马 （后门）的优势 为什么会选择溢出植入？ – 溢出漏洞具备通用性 – 溢出漏洞具备非常好的隐蔽性 – 溢出本身就可以实现远程的控制 – 溢出的攻击程序指令是由数据传输的，灵活，不留痕迹 – 在服务内部进行，很容易实现进程，通讯，启动代码的隐藏 – 完 被动方式工作，对性能等影响小。 – 制造一个溢出漏洞比较简单和容易实现。 Recv(s,buf,100,0); Recv(s,buf,200,0); BUF BUF OTHER 被覆盖 （100） （100） 通用 出漏洞的植入 通用化 出漏洞要解决的4个问题 实现植入通用化 出漏洞的思路 植入通用化溢出漏洞的实现 木马（后门）的在W2K下的实现 通用化 出漏洞要解决的4个问题 溢出点定位 JMP ESP代码提供和定位 溢出覆盖后对变量的引用访问违例 溢出覆盖后执行代码对溢出区的修改 实现植入通用化 出漏洞的思路 扩展堆栈 植入某个特定函数的替换转发函数 扩展堆栈 PUSH EBP PUSH EBP MOV EBP ，ESP MOV EBP ，ESP SUB ESP，XXX SUB ESP，YYY （代码执行区） （代码执行区） YYYXXX ADD ESP，XXX ADD ESP，YYY PUSH EBP PUSH EBP 目标BUF