�??xml version="1.0" encoding="utf-8" standalone="yes"?><rss version="2.0" xmlns:dc="http://purl.org/dc/elements/1.1/" xmlns:trackback="http://madskills.com/public/xml/rss/module/trackback/" xmlns:wfw="http://wellformedweb.org/CommentAPI/" xmlns:slash="http://purl.org/rss/1.0/modules/slash/"><channel><title>&#20037;&#20037;&#22269;&#20135;&#20027;&#25773;&#31934;&#21697;&#44;&#21320;&#22812;&#31934;&#21697;&#20037;&#20037;&#20037;&#20037;&#20037;&#20037;&#20037;&#13;&#44;&#27431;&#32654;&#25104;&#20154;&#20122;&#27954;&#25104;&#20154;&#26085;&#38889;&#25104;&#20154;</title><link>http://www.aygfsteel.com/junky/archive/2006/09/24/71554.html</link><dc:creator>junky</dc:creator><author>junky</author><pubDate>Sun, 24 Sep 2006 05:10:00 GMT</pubDate><guid>http://www.aygfsteel.com/junky/archive/2006/09/24/71554.html</guid><wfw:comment>http://www.aygfsteel.com/junky/comments/71554.html</wfw:comment><comments>http://www.aygfsteel.com/junky/archive/2006/09/24/71554.html#Feedback</comments><slash:comments>0</slash:comments><wfw:commentRss>http://www.aygfsteel.com/junky/comments/commentRss/71554.html</wfw:commentRss><trackback:ping>http://www.aygfsteel.com/junky/services/trackbacks/71554.html</trackback:ping><description><![CDATA[从我上面列�D的方法已�l�差不多可以形成好几�ƾ流氓��Y件了。但是你别高兴太早，因�ؓ�q�些技术只是应用层的，现在出现了一堆驱动层的反���氓软�g工具�Q�譬如超�U�兔子，完美卸蝲�Q�木马克星，雅虎助手�Q�还有现在火热的360安全卫士�?
<p>　　�q�些反流氓��Y件的�Ҏ(gu��)��删除以上���氓软�g软�g���比较简单。优先于���氓软�g启动�Q�截��h��有访问流氓��Y件文件的irp�Q�然后删除注册表��，删除文�g。轻杄���完成了反���氓��d���?/p><p>　　��Z��针对�q�些反流氓��Y�Ӟ�����氓软�g出现了内核层的了�?
</p><table cellspacing="0" cellpadding="0" align="left" border="0"><tbody><tr><td valign="top"></td></tr><tr><td><table><tbody><tr><td></td></tr></tbody></table></td></tr></tbody></table><p>　　1。首先是使用文�g�q���o驱动�Q�保护自��q��文�g�Q�流氓��Y件过滤了create里对于自己文件的所有fileopen外的所有irp和SetInformation下所有的irp�Q�从而有效的保护了自��q��文�g�?/p><p>　　2。内核��hook技术，可hook住所有公开的或者未公开的内核函敎ͼ�譬如zwcreatefile,zwSetInformation,也可以有效的保护文�g�?/p><p>　　3。驱动层下的���氓软�g�q���用内核��hook技术，替换Regdeletekey,RegDeleteValueKey,RegSetValueKey从而有效的保护了注册表</p><p>　　4。利用内核��hook技术还有隐藏进�E�，或者监控进�E�，重�v�q�程�?/p><p>　　对于上面的流氓��Y件的�Ҏ(gu��)��一些驱动层下的反流氓��Y件工具又有点束手无策了。因为同是驱动程序相互拦截irp�{�于大家都无法操作，反流氓��Y件工��L(f��ng)��删除irp会被拦截�Q�或者删除函��C��被替换。删除注册表函数会被替换。虽焉���动的加蝲有先后，但是无法保证能完全的删除���氓软�g�Q�从而出��C��一些更����的反���氓软�g�Q�他直接发删除文件irp到文件系�l?,删除注册表也直接发送到文�g�pȝ��。这�c�L��氓��Y件又能有效的完成了反���氓��d���Q�但是根据我了解�Q�这��L(f��ng)��软�g不多。现在火热的360安全卫士都还只是使用了笨办法�Q�优先于驱动���氓软�g启动�Q�创��Z��个驱动流氓��Y件同讑֤�名的讑֤��Q�，使流氓驱动创��Z��成功。具我了解他优先于流氓驱动启动是把自己创��Z��PNP_TDI�q�个�l�下面，���是���单的ndis���p��优先�?60启动。如果前面的�l�，�?60���束手无�{�了。所以对付这�c�L��氓驱动只能用直接发irp到文件系�l��?/p><p>　　���氓软�g又怎么来防止直接发irp到文件系�l�的反流氓��Y件呢�Q�rootkit,我看很多对于rootkit有误解，很多都认为hook也是rootkit.呵呵�Q�rootkit说白了就是嵌入操作系�l�文件。你不是发irp到文件系�l�吗�Q�，可是我把文�g�pȝ���l�改了，不过rootkit�Ҏ(gu��)��我的观察unix或者linex下比较多�Q�在windows下还是比较少的，因�ؓ需要��用汇�~�了�Q�哎太晚了，不写了，我想如果���氓软�g做到�q�个技术程度，它也没必要做���氓了，直接做操作系�l�得了�?/p><img src ="http://www.aygfsteel.com/junky/aggbug/71554.html" width = "1" height = "1" /><br><br><div align=right><a style="text-decoration:none;" href="http://www.aygfsteel.com/junky/" target="_blank">junky</a> 2006-09-24 13:10 <a href="http://www.aygfsteel.com/junky/archive/2006/09/24/71554.html#Feedback" target="_blank" style="text-decoration:none;">发表评论</a></div>]]></description></item><item><title>���氓软�g及反���氓软�g的技术分�?(�?</title><link>http://www.aygfsteel.com/junky/archive/2006/09/24/71553.html</link><dc:creator>junky</dc:creator><author>junky</author><pubDate>Sun, 24 Sep 2006 05:09:00 GMT</pubDate><guid>http://www.aygfsteel.com/junky/archive/2006/09/24/71553.html</guid><wfw:comment>http://www.aygfsteel.com/junky/comments/71553.html</wfw:comment><comments>http://www.aygfsteel.com/junky/archive/2006/09/24/71553.html#Feedback</comments><slash:comments>0</slash:comments><wfw:commentRss>http://www.aygfsteel.com/junky/comments/commentRss/71553.html</wfw:commentRss><trackback:ping>http://www.aygfsteel.com/junky/services/trackbacks/71553.html</trackback:ping><description><![CDATA[���氓软�g的技术五花八门，��M��一��功能都有可能成为流氓技术，���p��武器�Q�用好了可以伸张正义�Q�用歪了却成为罪恶的帮凶�?
<p>　　首先我从win32下的一些流氓着数分析开始：</p><p>　　1。我惛_����Z��个流氓��Y�Ӟ��首先要做到的是实时运行，譬如在注册表的run下，在boot下增加它的启动。这应该是比较老的�Ҏ(gu��)���Q�以�?3721好象���是在run下，但是现在一般的人都知道了�?/p><p>　　2。作为流氓��Y�Ӟ��已经改变了以前一些木马的�Ҏ(gu��)��了�Q�他没必要��自己一定要实时启动了，而是需要自��q��时候再启动�Q�譬如说打开一个浏览器�H�口�Q�这是一般流氓��Y件的�Ҏ(gu��)���Q�因��Z��需要连上网才能有利益可图，所以浏览器肯定是流氓��Y件必定监控的�q�程�?
</p><table cellspacing="0" cellpadding="0" align="left" border="0"><tbody><tr><td valign="top"></td></tr><tr><td><table><tbody><tr><td></td></tr></tbody></table></td></tr></tbody></table><p>　　3。��用BHO插�g,�q�种技术早先特别流行，�q�是微��Y提供的接口，本意是让IE���览器可以扩充功能。每当一个ie���览器启动的时候，都会调用BHO下必要的插�g�Q�流氓��Y件就是利用这一炏V��监控了���览器所有事件与信息�?/p><p>　　4。还有最�W�的办法���是利用�q�程快照监控�q�程�Q�判断有它自己所监控的进�E�启动，��׃��用atl得到���览器指针，从而监控浏览器所有事件与信息�?/p><p>　　5�Q�还有一�U�方法就是��用spi�Q�这是我在网上看到的。spi是分层协议，当winsock2启动的时候都会调用它的dll,可以监控所有应用层数据包。从而监控用户信息，而且能实时启动�?/p><p>　　6。hook�Ҏ(gu��)���Q�hook技术可以所应用太广泛了�Q�特别是监控斚w��。所以流氓��Y件也不会错过。首先应用的是api函数hook�Q�譬如windows核心�~�程里的apihook�c�，或者微软的detous都可以完成，两者方法其实相同就是修改IDT函数入口地址。api hook钩住createprocess ���可以监控进�E�，比进�E�快照性能更强�Q�可以钩住spi下的函数可以完成spi下的所有功能。还有消息hook�Q�鼠标消息，键盘消息�Q�日子消息等�{�钩子，�Ҏ(gu��)��实在太多�Q�都可以利用�?/p><p>　　上面列�D了一些流氓��Y件的使用�Ҏ(gu��)���Q�但是流氓��Y件的一个特性是他无法卸载。所以它又要使用下面的方法了</p><p>　　因�ؓ上面的很多方法都可以删除注册表卸载他们，那怎么办呢�Q�那��׃��时时监控�Q�它会在它的�q�程�Q�或者线�E�里监控注册表项�Q�设�|�一个��@环监控，发现没了���q���l�安装，增加。我惌���应该是很多流氓��Y件的技术�?/p><p>　　那现在又出现了一个新问题�Q�那���是���氓软�g的进�E�线�E�要是结束掉怎么办呢�Q�？�Q?/p><p></p><p>　　7。一�U�方法就是上面的api hook技术，钩住openprocess ,用自��q��函数判断只要打开的是自己�q�程���p��回正���，使用�q�种�Ҏ(gu��)���Q�用��h��者一般的软�g���无法结束它的进�E�了�?/p><p>　　8。还有一�U�是上面象bho,spi�Ҏ(gu��)��没有�q�程。一般的用户也无法删除他</p><p>　　9。还有一�U�方法是�q�程�U�程�Q�这个技术用的也很普遍，首先是象api hook一样向目标�q�程里申请一�D�内存空��_��然后使用自己映射�q�去�Q�然后��用CreateRemoteThread创徏�q�程�U�程。一般很多流氓��Y件或者以前的一些木马程序，都是把线�E�注入到�pȝ���q�程譬如explorer,service�{�等�Q���用用��h��者一般的杀毒��Y件很隑֤�理或者结束。�?/p><p>　　10。注册成服务后，也可以简单的隐藏�q�程。还有更可笑的是把自��q���q�程名跟一些系�l�进�E�名譬如lsass相同�?也就无法�l�束了�?/p><img src ="http://www.aygfsteel.com/junky/aggbug/71553.html" width = "1" height = "1" /><br><br><div align=right><a style="text-decoration:none;" href="http://www.aygfsteel.com/junky/" target="_blank">junky</a> 2006-09-24 13:09 <a href="http://www.aygfsteel.com/junky/archive/2006/09/24/71553.html#Feedback" target="_blank" style="text-decoration:none;">发表评论</a></div>]]></description></item></channel></rss>                               <footer>
<div class="friendship-link">
<a href="http://www.aygfsteel.com/" title="&#29408;&#29408;&#20037;&#20037;&#20122;&#27954;&#27431;&#32654;&#19987;&#21306;&#95;&#20013;&#25991;&#23383;&#24149;&#20122;&#27954;&#32508;&#21512;&#20037;&#20037;&#50;&#48;&#50;&#95;&#22269;&#20135;&#31934;&#21697;&#20122;&#27954;&#31532;&#20116;&#21306;&#22312;&#32447;&#95;&#26085;&#26412;&#20813;&#36153;&#32593;&#31449;&#35270;&#39057;">&#29408;&#29408;&#20037;&#20037;&#20122;&#27954;&#27431;&#32654;&#19987;&#21306;&#95;&#20013;&#25991;&#23383;&#24149;&#20122;&#27954;&#32508;&#21512;&#20037;&#20037;&#50;&#48;&#50;&#95;&#22269;&#20135;&#31934;&#21697;&#20122;&#27954;&#31532;&#20116;&#21306;&#22312;&#32447;&#95;&#26085;&#26412;&#20813;&#36153;&#32593;&#31449;&#35270;&#39057;</a>

</div>

</footer>


��վ֩���ģ�壺
<a href="http://" target="_blank">�Ļ���</a>|
<a href="http://" target="_blank">�ֶ���</a>|
<a href="http://" target="_blank">�ͼ�����</a>|
<a href="http://" target="_blank">��Է��</a>|
<a href="http://" target="_blank">�㶫ʡ</a>|
<a href="http://" target="_blank">������</a>|
<a href="http://" target="_blank">����</a>|
<a href="http://" target="_blank">Ӫɽ��</a>|
<a href="http://" target="_blank">������</a>|
<a href="http://" target="_blank">�⴨��</a>|
<a href="http://" target="_blank">���</a>|
<a href="http://" target="_blank">˫����</a>|
<a href="http://" target="_blank">�ϰ���</a>|
<a href="http://" target="_blank">������</a>|
<a href="http://" target="_blank">������</a>|
<a href="http://" target="_blank">ʯ̨��</a>|
<a href="http://" target="_blank">»Ȱ</a>|
<a href="http://" target="_blank">��Ϫ��</a>|
<a href="http://" target="_blank">ګ����</a>|
<a href="http://" target="_blank">������</a>|
<a href="http://" target="_blank">������</a>|
<a href="http://" target="_blank">��������</a>|
<a href="http://" target="_blank">��ԭ��</a>|
<a href="http://" target="_blank">��ɽ��</a>|
<a href="http://" target="_blank">������</a>|
<a href="http://" target="_blank">ͬ����</a>|
<a href="http://" target="_blank">������</a>|
<a href="http://" target="_blank">����</a>|
<a href="http://" target="_blank">������</a>|
<a href="http://" target="_blank">�ػʵ���</a>|
<a href="http://" target="_blank">������</a>|
<a href="http://" target="_blank">����</a>|
<a href="http://" target="_blank">��ƽ��</a>|
<a href="http://" target="_blank">֯����</a>|
<a href="http://" target="_blank">лͨ����</a>|
<a href="http://" target="_blank">������</a>|
<a href="http://" target="_blank">SHOW</a>|
<a href="http://" target="_blank">����������</a>|
<a href="http://" target="_blank">�����</a>|
<a href="http://" target="_blank">��ľ����</a>|
<a href="http://" target="_blank">�IJ���</a>|
<script>
(function(){
    var bp = document.createElement('script');
    var curProtocol = window.location.protocol.split(':')[0];
    if (curProtocol === 'https') {
        bp.src = 'https://zz.bdstatic.com/linksubmit/push.js';
    }
    else {
        bp.src = 'http://push.zhanzhang.baidu.com/push.js';
    }
    var s = document.getElementsByTagName("script")[0];
    s.parentNode.insertBefore(bp, s);
})();
</script>
</body>