病毒木馬(編輯修改稿)
2024-10-10 09:24 本頁面
【文章內容簡介】 rer\ nohome ” ，即用戶原來要執(zhí)行的程序文件名 被替換為，而原來的整串命令行加上 自身，都被作為新的命令行參數發(fā)送到 去執(zhí)行了，所以用戶最終看到的是記事本的界面，并可能出現兩種情況，一是記事本把整個 都作為文本讀了出來，二是記事本彈出錯誤信息報告 “ 文件名不正確 ” ，這取決于 原來是作為光桿司令狀態(tài)請求執(zhí)行（無附帶運行命令行參數）的還是帶命令行參數執(zhí)行的。 Debugger 參數存在的本意是為了讓程序員能夠通過雙擊程序文件直接進入調試器里調試自己的程序，曾經調試 過程序的朋友也許會有一個疑問，既然程序啟動時都要經過 IFEO 這一步，那么在調試器里點擊啟動剛被 Debugger 參數送進來的程序時豈不是又會因為這個法則的存在而導致再次產生一個調試器進程？微軟并不是傻子，他們理所當然的考慮到了這一點，因此一個程序啟動時是否會調用到 IFEO 規(guī)則取決于它是否 “ 從命令行調用 ” 的，那么“ 從命令行調用 ” 該怎么理解呢？例如我們在命令提示符里執(zhí)行 ，這就是一個典型的 “ 從命令行調用 ”的執(zhí)行請求，而我們在點擊桌面上、普通應用程序菜單里的 時 ， 系 統 都 會 將 其 視 為 由 外 殼 程 序 傳遞過來的執(zhí)行請求，這樣一來，它也屬于“ 從命令行調用 ” 的范圍而觸發(fā) IFEO 規(guī)則了。為了與用戶操作區(qū)分開來，系統自身加載的程序、調試器里啟動的程序，它們就不屬于 “ 從命令行調用 ” 的范圍，從而繞開了 IFEO，避免了這個加載過程無休止的循環(huán)下去。 從編程角度來說明 “ 命令行調用 ” ，那就是取決于啟動程序時 CreateProcess是使用 lpCommandLine（命令行）還是 lpApplicationName（程序文件名）來執(zhí)行，默認情況下大部分程序員編寫的調用 習慣是lpCommandLine—— 命令行調用 BOOL CreateProcess ( LPCTSTR lpApplicationName, LPTSTR lpCommandLine, LPSECURITY_ATTRIBUTES lpProcessAttributes。 LPSECURITY_ATTRIBUTES lpThreadAttributes, BOOL bInheritHandles, DWORD dwCreationFlags, LPVOID lpEnvironment, LPCTSTR lpCurrentDirectory, LPSTARTUPINFO lpStartupInfo, LPPROCESS_INFORMATION lpProcessInformation )。 由于 Debugger 參數的這種特殊作用，它又被稱為 “ 重定向 ” （ Redirection），而利用它進行的攻擊，又被稱為 “ 重定向劫持 ” （ Redirection Hijack），它和“ 映像劫持 ” （ Image Hijack，或 IFEO Hijack）只是稱呼不同，實際上都是一樣的技術手段。 講解完 Debugger 參數的作用，現在我們來看看 “ 映像劫持 ” 到底是怎么一回事，遭遇流行 “ 映像劫持 ”病毒的系統表現為常見的殺毒軟件、防火墻、安全檢測工具等均提示 “ 找不到文件 ” 或執(zhí)行了沒有反應，于是大部分用戶只能去重裝系統了，但是有經驗或者歪打正著的用戶將這個程序改了個名字，就發(fā)現它又能正常運行了，這是為什么？答案就是 IFEO 被人為設置了針對這些流行工具的可執(zhí)行文件名的列表了，而且 Debugger 參數指向不存在的文件甚至病毒本身！ 以超級巡警的主要執(zhí)行文件 為例，首先，有個文件名為 的惡意程序向 IFEO 列表里寫入 項，并設置其 Debugger 指向 ，于是系統就會認為 是 的調試器，這樣每次用戶點擊執(zhí)行 時，系統執(zhí)行的實際上是作為調試器身份的，至于本該被執(zhí)行的 ，此刻只能被當作 的執(zhí)行參數來傳遞而已，而由于 不是調試器性質的程序，甚至惡意程序作者都沒有編寫執(zhí)行參數的處理代碼，所以被啟動的永遠只有 自己一個，用戶每次點擊那些 “ 打不開 ” 的安全工具，實際 上就等于又執(zhí)行了一次惡意程序本體！這個招數被廣大使用 “ 映像劫持 ” 技術的惡意軟件所青睞，隨著 OSO 這款超級 U 盤病毒與 AV 終結者（隨機數病毒、 8 位字母病毒）這兩個滅殺了大部分流行安全工具和殺毒軟件的惡意程序肆虐網絡以后，一時之間全國上下人心惶惶，其實它們最大改進的技術核心就是利用IFEO 把自己設置為各種流行安全工具的調試器罷了，破解之道尤其簡單，只需要將安全工具的執(zhí)行文件隨便改個名字，而這個安全工具又不在乎互斥量的存在，那么它就能正常運行了，除非你運氣太好又改到另一個也處于黑名單內的文件名去了，例如把 改為 。
公司管理相關推薦
鄂ICP備17016276號-1