远程线程跳板---实现木马的深度隐藏技术!!!!!!!!!!!!!!!!

木马程藏在一个*.gif或*.bmp图像中,在运行时会从这些图像中解码中木马启动程序放在XXXXXXX.XXX文件中，这个文件名是随机的，然后在wininti.ini设定c:\windows\yyyyyyyyyy\启动\trojan.exe=xxxxxxx.xxx，然后再下一次启动电脑时会自动在启动目录内生成trojan.exe文件，并自动启动,启动玩成后自动删除trojan.exe文件，而xxxxxxx.xxx文件名是不断变化的，他只是启动木马，真正的木马功能在另一个文件中，想通运分析xxxxxxx.xxx的内容来发现木马的工作原理是不可能的哟:)

解决方案 »

  1.   

    在2k下用CreateRemoteThread在Explorer.exe进程空间中分配内存,然后创建新的线程,在新的线程函数中搜索Explorer.exe在内存中的函数地址输入表,然后,呵呵,将你要用的函数都找出来,没有的用loadlibrary来调,这样你的木马可以为所欲为,但他不是个*.exe,也不调用木马*.dll模快,他只是一个Explorer.exe的线程,查进程程方法,只是看他explorer.exe中多了个线程,但谁知道他是木马线程呢:)
      

  2.   

    在关机前修改win.com文件，让他来启动你的木马，木马启动后把win.com改回来,或修改wininit.exe文件，或关机前修改注删表,开机后删注册表，也可以几个方法联用加强保险度, 也可以修改notepad.exe或很多常用程序，用他们来调用木马的启动模块
      

  3.   

    怎么一点公德心都没有　？
    而且我觉得你的所谓新技术也一般般我hook CreateRemoteThread，让他每次调用都先请示我同意
    一劳永逸
      

  4.   

    在 Windows 9X/Me 下呢？
      

  5.   

    不知这样行不行
    先基于shellhook做一个COM。将其二进制代码做为资源写到一个EXE文件中。。
    该EXE文件在执行时行将二进制代码写入一个DLL。再将其注册。使其寄生于explorer进程中。
    呵呵。。这样每次用户执行本机上的程序都会被些COM栏截也就是说这个DLL是常驻内存中，当然用进程管理器看不到。。system目录下那么多DLL。该DLL也可在其中内嵌一个EXE文件的二进制码。在发现内存中无此进程将其写入硬盘中执行，这样随便他们怎么删除了。DLL在内存中是删除不了的除非将其反注册重启。。
    有点说不清了。。呵呵。反正我这样实现了一部份代码。。那个shellhook的COM在msdn中有相关介绍大家可以看一下。
      

  6.   

    用ICPM协议进行通信就可以实现“不开端口进行通信”，我已经实现了这个功能！
      

  7.   

    其实匿名管道也可能不用开端口。。
    好像小榕的NTCMD就是这样做的。。
    他的原型是一个叫xcmd的东西
    远程安装一个服务。开一个匿名管道。。
      

  8.   

    codeguru上面有个Xcmd的源码。具体的实现思路是这样的：
    在NT或2000取得admin权限后，远程写一个文件到远程机器。当然，可以用admin$这个路径，也可以远程开个共享，我那个letshare就可以开在程序中实现最好。再远程将文件安装成服务，启动。开一个匿名管道，客户端与其连接，在其中实现了一个Telnet服务；，，
    呵呵。。当然，匿名管道也有缺点。就是不能用在NT外的环境下了。如果是做为黑网站后的后门是最好了。可以将一些不常用但是是MS的服务卸掉，将其作为木马安装进去，，，
      

  9.   

    to njhhack：
    你有更详细的资料吗？我需要！
      

  10.   

    怪了，既然是木马就要产生点破坏……你在干吗啊？玩捉迷藏？要是这样的木马在我的机子上我也不怕……喜欢藏着就永远藏着吧，只要你乖乖地不给我开个某端口发个什么PAS的就可以……只要你动动我的端口……我就立刻禁止……见过没有瓶口的瓶子里的水嘛？这种新技术也不错。演变以后就有人把水装在玻璃球里……然后配上几根水草……炒个好价钱……终于有一天你想看看这里面的水到底是怎么样的？于是把玻璃球狠狠地摔在底上，碎了，水却乱七八糟地溅了一地，什么都没有看到……倒是有几根水草也一会就干枯了。采用摔玻璃球的方法开那么多端口是挺好，但恐怕没有人喜欢那样折腾自己的电脑……
      

  11.   

    木马的共性：1。执行它的SERVER端的时候，他会有改名、删除操作，也会有ini文件、reg启动部分的写操作；2。在某个时刻，偷偷往某个信箱发信，或者开放某个端口；3。用一些通用exe绑定软件绑到贺卡或着FLASH上的；4。会调用操作系统命令行；掌握住这些，可以很快揪出木马来，而不用管他用什么复杂的技术编出来的。
      

  12.   

    利用packet.drv可以在混杂模式下获取网络数据，这样木马可以不开任何端口，只要把相应的数据送到相应服务的端口上，远程控制程序就可以取得数据