線程守衛
前幾天看雜志時看到了講進程守衛技術，讀完之后發現也并不是很難，自己就根據作者提供的代碼自己試著寫了下，在原作者的基礎上將原代碼進行了以下小的擴充，使之應用范圍大些。（原文參考<黑客防線>83期第84頁冷風的那篇文章,如有侵權請見諒）.
所謂進程守衛顧名思義就是一個進程保衛另一個進程，如果被保衛的進程被終止的話則守衛進程會自動重新啟動被保衛進程。這項技術在病毒木馬中應用的很廣泛。如果想要結束病毒進程的話，必須先要結束其守衛進程，而大多數木馬病毒會采用線程注入技術，將守衛模塊注入像explorer,IE等系統信任進程中，如果貿然結束這些系統進程的話很容易造成系統的癱瘓，這對查殺造成很大困難。
其實就線程守衛技術本身而言并無多大難度，主要是利用了線程注入技術。實現操作也就分兩步走
<1>將線程守衛函數寫入宿主進程空間。
<2>CreateRomoteThread啟動遠程線程.
代碼我貼出來了，主要的函數就是CreateRemoteGuardThead，利用此函數就能隨意創建守護進程，或守護自身，或守護其他進程。
/**//*遠程線程函數參數結構體*/
typedef struct _remotestruct
{
DWORD rpOpenProcess;//OpenProcess函數地址
DWORD rpWinExec;//WinExec函數地址
DWORD rpWaitForSingleObject;//WaitForSingleObjiect函數地址
HANDLE rpProcessHandle;//被保護的進程的句柄
DWORD rpProcessId;//被保護的進程ID
TCHAR szFileName[MAX_PATH];//當被保護的進程結束是啟動的程序路徑
}REMOTESTRUCT,*PREMOTESTRUCT;
/** *//*************************************************************************/
/**//* 遠程線程函數 */
/**//*函數功能:于遠程線程創建，監視被保護進程，如果別保護進程結束則立即創建 */
/** *//*************************************************************************/
DWORD WINAPI Remote(LPVOID lpParam)
{
PREMOTESTRUCT rp=(PREMOTESTRUCT)lpParam;
typedef HANDLE (WINAPI * EOpenProcess) (DWORD,BOOL,DWORD);
typedef UINT (WINAPI *EWinExec) (LPCSTR,UINT);
typedef DWORD (WINAPI *EWaitForSingleObject) (HANDLE,DWORD);
//在遠程進程中重定位所用的函數的地址
EOpenProcess tOpenProcess=(EOpenProcess)rp->rpOpenProcess;
EWinExec tWinExec=(EWinExec)rp->rpWinExec;
EWaitForSingleObject tWaitForSingleobject=(EWaitForSingleObject)rp->rpWaitForSingleObject;
//獲取被保護的進程的句柄
rp->rpProcessHandle=tOpenProcess(PROCESS_ALL_ACCESS,TRUE,rp->rpProcessId);
//等待被保護的進程，若被保護的進程被終止則重新創建
tWaitForSingleobject(rp->rpProcessHandle,INFINITE);
//創建被保護的進程
tWinExec(rp->szFileName,SW_SHOW /**//* SW_HIDE 隱藏創建 */);
return 0;
}//End_Remote
/** *//*******************************************************************************/
/**//* 封裝創建遠程線程的函數 */
/**//*打開寄生進程，寫進遠程線程函數與此函數參數，然后創建遠程線程啟動函數進行守護 */
/**//*函數調用失敗返回0，成功返回遠程線程句柄 */
/** *//*******************************************************************************/
HANDLE CreateRemoteGuardThead(
LPTSTR szGuardProcessName,//寄生進程名
DWORD GuardedProcessId,//守護進程Id
LPTSTR ExecPath//當守護進程終止時啟動的進程名
)
{
DWORD GuardProcessId=0;//寄生進程ID
HANDLE GuardProcessHandle=NULL;//寄生進程句柄
TCHAR FileName[MAX_PATH]={0};//自身路徑
TCHAR *FuncAddr;//遠程線程中函數地址
TCHAR *ParamAddr;//遠程線程函數參數地址
HMODULE Kernel32Handle;//kernel32模塊句柄
HANDLE hRemoteThread=NULL;//遠程線程函數地址
//獲取寄生進程ID
GuardProcessId=GetProcessIdByName(szGuardProcessName);
if(0==GuardProcessId)
{
printf("無法依據進程名獲取進程的ID.可能目標進程未啟動.");
return 0;
}
//打開寄生進程
GuardProcessHandle=OpenProcess(
PROCESS_CREATE_THREAD|PROCESS_VM_OPERATION|PROCESS_VM_WRITE,
TRUE,
GuardProcessId
);
if(NULL==GuardProcessHandle)
{
printf("打開進程發生錯誤.");
return 0;
}
//將遠程線程函數代碼寫入寄生進程中
int cb=sizeof(TCHAR)*4*1024;
FuncAddr=(TCHAR*)VirtualAllocEx(GuardProcessHandle,NULL,cb,MEM_COMMIT,PAGE_EXECUTE_READWRITE);
if(NULL==FuncAddr)
{
printf("申請遠程線程函數空間失敗.");
CloseHandle(GuardProcessHandle);
return 0;
}
if(FALSE==WriteProcessMemory(GuardProcessHandle,FuncAddr,(LPVOID)Remote,cb,NULL))
{
printf("寫入遠程線程函數失敗.");
CloseHandle(GuardProcessHandle);
return 0;
}
//將遠程線程函數的參數寫入寄生進程
REMOTESTRUCT rp;
memset((char*)&rp,0,sizeof(REMOTESTRUCT));
Kernel32Handle=GetModuleHandle("kernel32.dll");
rp.rpProcessId =GuardedProcessId;
rp.rpOpenProcess =(DWORD)GetProcAddress(Kernel32Handle,"OpenProcess");
rp.rpWinExec =(DWORD)GetProcAddress(Kernel32Handle,"WinExec");
rp.rpWaitForSingleObject=(DWORD)GetProcAddress(Kernel32Handle,"WaitForSingleObject");
strcpy(rp.szFileName,ExecPath);
cb=sizeof(TCHAR)*sizeof(rp);
ParamAddr=(TCHAR*)VirtualAllocEx(GuardProcessHandle,NULL,cb,MEM_COMMIT,PAGE_EXECUTE_READWRITE);
if(NULL==ParamAddr)
{
printf("申請遠程線程函數參數空間失敗.");
CloseHandle(GuardProcessHandle);
return 0;
}
if(FALSE==WriteProcessMemory(GuardProcessHandle,ParamAddr,(LPVOID)&rp,cb,NULL))
{
printf("寫入遠程線程函數參數失敗.");
CloseHandle(GuardProcessHandle);
return 0;
}
//開啟遠程線程，執行遠程線程函數
hRemoteThread=CreateRemoteThread(GuardProcessHandle,NULL,0,(LPTHREAD_START_ROUTINE)FuncAddr,ParamAddr,0,NULL);
if(NULL==hRemoteThread)
{
printf("遠程線程函數創建失敗.");
CloseHandle(GuardProcessHandle);
return 0;
}
else
{
printf("遠程線程函數創建成功.");
}
return hRemoteThread;
}//End_CreateRemoteGuardThead
/**//*輔助函數，用于根據進程名得到進程ID*/
DWORD GetProcessIdByName(LPCTSTR name)
{
PROCESSENTRY32 pe;
DWORD id = 0;
HANDLE hSnapshot = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS,0);
pe.dwSize = sizeof(PROCESSENTRY32);
BOOL PF=FALSE;
for(PF=Process32First(hSnapshot,&pe);PF;PF=Process32Next(hSnapshot,&pe))
{
if(strcmpi(pe.szExeFile,name) == 0)
{
id = pe.th32ProcessID;
break;
}
}
CloseHandle(hSnapshot);
return id;
}
posted on 2008-06-14 09:42
楊彬彬 閱讀(540)
評論(0) 編輯 收藏 引用 所屬分類:
Windows編程