DLL后门清除完全篇

37 views

Skip to first unread message

销售一部

unread,

Jan 30, 2007, 8:26:46 AM1/30/07

to IT外包 IT外包

DLL后门清除完全篇

------DLL后门清除完全篇
前言
后门！相信这个词语对您来说一定不会陌生，它的危害不然而欲，但随着人们的安全意识逐步增强，又加上杀毒软件的"大力支持"，使传统的后门无法在隐藏自
己，任何稍微有点计算机知识的人，都知道"查端口""看进程"，以便发现一些"蛛丝马迹"。所以，后门的编写者及时调整了思路，把目光放到了动态链接程
序库上，也就是说，把后门做成DLL文件，然后由某一个EXE做为载体，或者使用Rundll32.exe来启动，这样就不会有进程，不开端口等特点，
也就实现了进程、端口的隐藏。本文以"DLL的原理""DLL的清除""DLL的防范"为主题，并展开论述，旨在能让大家对DLL后门"快速上手"，不
在恐惧DLL后门。好了，进入我们的主题。

一，DLL的原理
1，动态链接程序库
动态链接程序库，全称：Dynamic Link Library，简称：DLL，作用在于为应用程序提供扩展功能。应用程序想要调用DLL文件，需要
跟其进行"动态链接"；从编程的角度，应用程序需要知道DLL文件导出的API函数方可调用。由此可见，DLL文件本身并不可以运行，需要应用程序调
用。正因为DLL文件运行时必须插入到应用程序的内存模块当中，这就说明了：DLL文件无法删除。这是由于Windows内部机制造成的：正在运行的程
序不能关闭。所以，DLL后门由此而生！

2，DLL后门原理及特点
把一个实现了后门功能的代码写成一个DLL文件，然后插入到一个EXE文件当中，使其可以执行，这样就不需要占用进程，也就没有相对应的PID号，也就
可以在任务管理器中隐藏。DLL文件本身和EXE文件相差不大，但必须使用程序（EXE）调用才能执行DLL文件。DLL文件的执行，需要EXE文件加
载，但EXE想要加载DLL文件，需要知道一个DLL文件的入口函数（既DLL文件的导出函数），所以，根据DLL文件的编写标准：EXE必须执行
DLL文件中的DLLMain（）作为加载的条件（如同EXE的mian（））。做DLL后门基本分为两种：1）把所有功能都在DLL文件中实现；2）
把DLL做成一个启动文件，在需要的时候启动一个普通的EXE后门。

常见的编写方法：
(1)，只有一个DLL文件

这类后门很简单，只把自己做成一个DLL文件，在注册表Run键值或其他可以被系统自动加载的地方，使用Rundll32.exe来自动启
动。Rundll32.exe是什么？顾名思意，"执行32位的DLL文件"。它的作用是执行DLL文件中的内部函数，这样在进程当中，只会有
Rundll32.exe，而不会有DLL后门的进程，这样，就实现了进程上的隐藏。如果看到系统中有多个Rundll32.exe，不必惊慌，这证明
用Rundll32.exe启动了多少个的DLL文件。当然，这些Rundll32.exe执行的DLL文件是什么，我们都可以从系统自动加载的地方找
到。

现在，我来介绍一下Rundll32.exe这个文件，意思上边已经说过，功能就是以命令行的方式调用动态链接程序库。系统中还有一个
Rundll.exe文件，他的意思是"执行16位的DLL文件"，这里要注意一下。在来看看Rundll32.exe使用的函数原型：
Void CALLBACK FunctionName (
HWND hwnd,
HINSTANCE hinst,
LPTSTR lpCmdLine,
Int nCmdShow
);

其命令行下的使用方法为：Rundll32.exe DLLname,Functionname [Arguments]
DLLname为需要执行的DLL文件名；Functionname为前边需要执行的DLL文件的具体引出函数；[Arguments]为引出函数的具
体参数。

(2)，替换系统中的DLL文件
这类后门就比上边的先进了一些，它把实现了后门功能的代码做成一个和系统匹配的DLL文件，并把原来的DLL文件改名。遇到应用程序请求原来的DLL文
件时， DLL后门就启一个转发的作用，把"参数"传递给原来的DLL文件；如果遇到特殊的请求时（比如客户端），DLL后门就开始，启动并运行了。对
于这类后门，把所有操作都在DLL文件中实现最为安全，但需要的编程知识也非常多，也非常不容易编写。所以，这类后门一般都是把DLL文件做成一个"启
动"文件，在遇到特殊的情况下（比如客户端的请求），就启动一个普通的EXE后门；在客户端结束连接之后，把EXE后门停止，然后DLL文件进入"休
息"状态，在下次客户端连接之前，都不会启动。但随着微软的"数字签名"和"文件恢复"的功能出台，这种后门已经逐步衰落。

提示：
在WINNTsystem32目录下，有一个dllcache文件夹，里边存放着众多DLL文件（也包括一些重要的EXE文件），在DLL文件被非法修
改之后，系统就从这里来恢复被修改的DLL文件。如果要修改某个DLL文件，首先应该把dllcache目录下的同名DLL文件删除或更名，否则系统会
自动恢复。

北京-IT外包-出租网管-AD
应聘网管-北京AD
详见：
http://www.dfit.com.cn/jlb/jlbpic/view.asp?id=12

请索取详细资料！

单位：北京东方IT电脑救援俱乐部（真诚=服务+软件）
地址：北京市海淀区闵航路5号院（邮编：100089）
电话：010-51667043
手机：13146948557
投诉：010-88466977
联系：毛先生
网址：www.dfit.com.cn；www.dfit.net
E-mail: m...@dfit.net或df...@vip.bbn.cn
MSN： df...@vip.bbn.cn QQ：3255717

上门服务：
软硬件维修，综合布线，门禁与考勤，员工监控，
网站设计建设，网络管理，防黑客攻击，数据备份......

出租网管(IT外包）：
出租兼职网管（30台以下电脑用户），出租专职
网管（30台以上），企事业单位IT外包服务（不限电脑）。

上门急送：微软、诺顿、Redhat linux 企业监控管理、电话
监控、速达ERP软件、SQL Server Autodesk等"万"种软件。

→更多签约客户和成功案例请见： http://www.dfit.com.cn/jlb/jlbal/default.asp

专业技术服务是我们的核心
追求卓越是我们的做事风范
超越客户满意是我们的目标
Providing professional technical support is our core
Seeking excellence is our code
Exceeding customer satisfaction is our aim

东方IT-真诚奉献每一天！
East IT-Devote each day to ...

地址：北京市海淀区闵航路5号院（邮编：100089）
Email：m...@dfit.net或df...@vip.bbn.cn
网站：www.dfit.com.cn
单位：东方IT电脑救援俱乐部
直线电话：010-88466977
手机：13146948557
电话：010-51667043转1015（一部）、1021（二部）、1016（三部）、1014（四部）、1006（五部）。
QQ：3255717
MSN:df...@vip.bbn.cn

本站产品搜索可通过：软件 POS 防火墙杀毒软件 IT外包 ERP IT服务电脑培训创业风险投资监控软件网络监控软件远程监控软
件网络聊天监控软件破解软件最新下载 qq聊天监控软件 MSN聊天监控软件破解软件免费下载邮件监控系统企业管理软件企业网络管理软件
企业办公管理软件免费企业管理软件企业网络监控软件企业电脑监控软件企业电脑管理软件中小企业管理软件网络管理软件下载网络管理监控软
件网络管理员软件 MSN聊天监控 Email监控邮件监控聊天监控软件下载聊天记录监控软件聊天监控软件下载聊天监控软件功能网络聊天
监控软件聊天监控软件聊天记录监控软件聊天内容监控软件电脑监控软件局域网监控软件网吧监控软件网络管理软件最好的监控软件下载远程
监控软件下载网络监控软件下载 qq监控软件聊天记录最新中文监控电脑监控屏幕监控软件监控系统远程监控系统网络监控系统即时监控
聊天监控屏幕监控上网监控免费软件下载网络管理网管软件网站建设主页制作电子商务网络监控软件综合布线局域网上网监控软件建立
自己的网站自己建立网站建立网站做自己的网站办公自动化 OA 免费自己做网站北京虚拟主机虚拟主机 IT外包服务 IT服务管理 it服
务公司 it增值服务虚拟主机租用 it服务供应商北京主机租用 IT咨询服务虚拟主机系统 it客户服务虚拟主机 it技术服务企业it应
用服务虚拟主机管理平台网站推广网站推广工具如何注册域名网络空间租赁办公自动化软件软件批发办公自动化系统 ic卡会员管理 ic卡
会员管理系统 IC卡管理系统 ic管理软件批发管理软件电脑软件批发正版软件批发企业网站邮件服务器 vpn 上网管理宽带主机网络服
务器非接触式IC卡 ID卡北京ic卡 IT外包域名注册空间租赁企业网站建设企业网站管理系统电子邮件服务器 linux 邮件服务
器 VPN服务器电话监控系统电话监控软件 VPN产品 VPN设备租赁空间出租网管网管出租局域网上网管理软件虚拟主机主机托管主
机租用网站建设网络工程师销售工程师虚拟主机管理软件虚拟主机管理网站空间租赁主机虚拟主机管理系统 SAP 用友速达微软产品
Windows Office Exchange SQL PhotoShop Symantec Norton 诺顿 Netscreen 东软
NetEye 天融信中软首信趋势NVW 诺基亚方正方域联想网域易尚金盾 vpn型瑞星 KV 金山毒霸金山词霸
AutoCAD 微软件报价图形图像软件网络防毒软件机械CAD产品影视多媒体设计可视化产品 LINUX系列软件金山杀毒熊猫卫士金
蝶园林辅助设计多媒体教学软件住房公积金新闻采编管理软件广告管理软件方正方正熊猫安全网关启明星辰天清防垃圾邮件系统卓尔
InfoGate EQManager邮件网关管理系统 KILL过滤网关 ThinkSEC反垃圾邮件网关汉邦网络监控审计网络安全审计系统
网御神州网站检测自动修复网站监护综合管理系统汉邦剑鱼苏富特中软防火墙安全管理系统安信安全隔离与信息交换系统国保金泰金电
网安联想网御浪潮网泰天行安全隔离网闸网御神州中网物理隔离网闸产品安氏领信方正入侵检测系统华为三康金诺网安入侵检测系统入侵检
测系统太极亿阳网警友讯东方IT 东方艾替数据恢复卡巴斯基顾问职责网络规划网络建设网络管理网站建设储存和处理网络安全
电子商务虚拟专用网企业资源计划网络营销网管职责行业外包专职网管兼职网管单次服务硬件超市软件超市企业管理网络建设多媒
体安全维护信息应用教育系统政府部门新闻出版法律部门电力系统旅游宾馆物流仓储建筑房产公共事业商业贸易石油化工工商税
务食品餐饮新闻中心信息化顾问解决方案成功案例工作机会网络故障客户求助技术答疑信息录入电脑救援客户满意网管上门签订协
议网络产品网络设备电那网络高价回收专业服务电脑维修电脑医院电脑精修电脑急修财务软件进销存动态网站二手电脑软件开发
数据采集短信群发英文网站路由器交换机防火墙工作站 UPS 综合布线 ADSL 视频会议网络摄像机防火墙工作站机柜控制台集
线器光端机 VPN 安防监控打印服务器转换器收发器 KVM VoIP网关程控交换机组网指南评测试用网络学院技术指南宽带应
用方案案例经销商系统集成系统安全网管天地操作系统财务管理开发软件翻译软件杀毒软件安防入侵 OA自动化办公软件图像软
件辅助设计桌面工具教学软件网页制作多媒体软件加密支票打印通讯软件收费系统数据库及中间件机房布线网络存储行业安全企业
安全电脑安全维修中心入侵检测病毒防范漏洞扫描加密解密访问控制数据安全系统安全邮件安全设备安全 CIO 信息化专家中小企
业安全审网络监控邮件监控上网管理 msn聊天监控上网监控流量控制网页监控邮件备份上网过滤网页过滤管理上网 BT控制流量
控制网络监视上网监视网络监测邮件监测监控MSN 监控QQ 限制上网限制聊天上网限制聊天限制控制上网网络管理软件网络管理程
序限制QQ 限制MSN 封堵QQ 禁止MSN FTP监控 email监控邮件管理网络游戏控制流量监控

Reply all

Reply to author

Forward

0 new messages