文档介绍：溢出植入型木马(后门)的原
型实现
作者:FLASHSKY
邮箱:flashsky@
站点:
感谢与申明
•感谢此文成型中获得的如下人员的讨论与支持
– XUNDI,大鹰,冰河,ALERT7, BENJURRY,ISNO,REFDOM给予的
技术讨论和提出了有益的意见
•感谢所有到会成员给予的指点
申明:
作者无意实现一个木马,只是提供一种思路:将缓冲区溢出攻击
和木马/后门相结合的木马实现手段,通过一个简单的原型来验
证,并展示给大家这种实现方式的一些特点。作者提供关键代码
段的技术实现的文档和演示来验证其实现,但不提供源代码和二
进制程序,任何人都可以利用此文进行自己的技术研究和代码实
现,但是自己负担自己开发程序进行非法行为的法律责任。
基本思路
•木马(后门)如何有效的隐蔽?
•溢出植入型木马(后门)的思路
•溢出植入型木马(后门)的优势
木马(后门)如何有效的隐蔽?
•应用/代码本身的隐蔽
•应用进程执行的隐蔽
•自动启动相关的隐蔽
•通讯的隐蔽
•当前木马/后门发展的趋势
–驱动和内核级
–拦截系统调用服务来实现系统级的隐蔽
•存在的问题
–代码量多
–影响一定的性能
–实现需要高的技巧与技能
溢出植入型木马(后门)的思路
•被动工作式的木马
•瘦服务器端的木马
•依赖于系统机制进行加载,和执行
溢出植入型木马(后门)的优势
•为什么会选择溢出植入?
–溢出漏洞具备通用性
–溢出漏洞具备非常好的隐蔽性
–溢出本身就可以实现远程的控制
–溢出的攻击程序指令是由数据传输的,灵活,不留痕迹
–在服务内部进行,很容易实现进程,通讯,启动代码的隐藏
–完全被动方式工作,对性能等影响小。
–制造一个溢出漏洞比较简单和容易实现。
Recv(s,buf,100,0); Recv(s,buf,200,0);
BUF BUF
OTHER 被覆盖
(100) (100)
通用溢出漏洞的植入
•通用化溢出漏洞要解决的4个问题
•实现植入通用化溢出漏洞的思路
•植入通用化溢出漏洞的实现
•木马(后门)的在W2K下的实现
通用化溢出漏洞要解决的4个问题
•溢出点定位
• JMP ESP代码提供和定位
•溢出覆盖后对变量的引用访问违例
•溢出覆盖后执行代码对溢出区的修改
实现植入通用化溢出漏洞的思路
•扩展堆栈
•植入某个特定函数的替换转发函数