C/C++編程筆記：那些不為人知的"惡意代碼"（二）切記小心使用

2020-12-15 21:46 作者:C語言編程__Plus 0人讀過 | 我要投稿

惡意代碼的分類包括計算機病毒、蠕蟲、木馬、后門、Rootkit、流氓軟件、間諜軟件、廣告軟件、僵尸(bot) 、Exploit等等！上次我們分享了惡意代碼的第一部分，現(xiàn)在我們來分享剩下的部分，繼續(xù)來看看吧！

4、后門

后門常以套件的形式存在，用于將受害者信息發(fā)送給攻擊者或者傳輸惡意可執(zhí)行程序（下載器），最常用的功能是接收攻擊端傳送過來的命令，執(zhí)行某些操作。

Windows系統(tǒng)中有很多WIN32 API可以執(zhí)行CMD命令，例如system Winexe CreateProcess等。這里介紹通過匿名管道實現(xiàn)遠程CMD。

具體過程

1、初始化匿名管道的SECURITY_ATTRIBUTES結(jié)構(gòu)體，調(diào)用CreatePipe創(chuàng)建匿名管道，獲取管道數(shù)據(jù)讀取句柄和寫入句柄。

2、初始化STARTUPINFO結(jié)構(gòu)體，隱藏進程窗口，并把管道數(shù)據(jù)寫入句柄賦值給新進程控制臺窗口的緩存句柄。

3、調(diào)用CreateProcess函數(shù)創(chuàng)建進程，執(zhí)行CMD命令并調(diào)用WaitForSingleObject等待命令執(zhí)行完。

4、調(diào)用ReadFile根據(jù)匿名管道的數(shù)據(jù)讀取句柄從匿名管道的緩沖區(qū)中讀取數(shù)據(jù)。

5、關(guān)閉句柄，釋放資源。

源代碼：

5、文件監(jiān)控

全局鉤子可以實現(xiàn)系統(tǒng)監(jiān)控，Windows提供了一個文件監(jiān)控接口函數(shù)ReadDirectoryChangesW該函數(shù)可以對計算機上所有文件操作進行監(jiān)控。在調(diào)用。

ReadDirectoryChangesW設(shè)置監(jiān)控過濾條件之前，需要通過CreateFile函數(shù)打開監(jiān)控目錄，獲取監(jiān)控目錄的句柄，之后才能調(diào)用ReadDirectoryChangesW函數(shù)設(shè)置監(jiān)控過濾條件并阻塞，直到有滿足監(jiān)控過濾條件的操作，ReadDirectoryChangesW才會返回監(jiān)控數(shù)據(jù)繼續(xù)往下執(zhí)行。

具體過程

1、打開目錄，獲取文件句柄，調(diào)用CreateFile獲取文件句柄，文件句柄必須要有FILE_LIST_DIRECTORY權(quán)限。

2、調(diào)用ReadDirectoryChangesW設(shè)置目錄監(jiān)控。

3、判斷文件操作類型，只要有滿足過濾條件的文件操作，ReadDirectoryChangesW函數(shù)會立馬返回信息，并將其返回到輸出緩沖區(qū)中，而且返回數(shù)據(jù)是按結(jié)構(gòu)體FILE_NOTIFY_INFORMATION返回的。

調(diào)用一次ReadDirectoryChangesW函數(shù)只會監(jiān)控一次，要想實現(xiàn)持續(xù)監(jiān)控，則需要程序循環(huán)調(diào)用ReadDirectoryChangesW函數(shù)來設(shè)置監(jiān)控并獲取監(jiān)控數(shù)據(jù)，由于持續(xù)的目錄監(jiān)控需要不停循環(huán)調(diào)用ReadDirectoryChangesW函數(shù)進行設(shè)置監(jiān)控和獲取監(jiān)控數(shù)據(jù)，所以如果把這段代碼放在主線程中則會導(dǎo)致程序阻塞，為了解決主線程阻塞的問題，可以創(chuàng)建一個文件監(jiān)控子線程，把文件監(jiān)控的實現(xiàn)代碼放到子線程中。

源代碼：