文档介绍：阻止恶意远程线程
在WIN2000/XP/2003里,远程线程只有在建立新进程时,系统会用远程线程调用新进程的入口
函数,除此之外,建立远程线程的一般是恶意程序,如何发现这些恶意程序并找到建立恶意程序
的执行文件呢?下面本人提供一个最近完工的小程序。
先说原理:
在WIN2000/XP/2003里,,
只不过是如果建立本地线程,则进程句柄是-1,反之则是目标进程的句柄(一个大于0且小于0xffffffff
的具体数字)。而本程序先驻留ntdll+800h处的空隙,之后拦截NtCreateThread,如果是建立本地
线程则跳过,如果是建立远程线程,就跟踪到目标进程,在目标进程分配4K内存,把自身复制到
目标进程,并且把远程线程的入口改为跟踪代码,经过跟踪代码的判断,而决定是否让远程线程执行。
判断规则是:如果远程线程所处的模块没有MZ头和PE头,则拒绝;如果远程线程的入口是LoadLibrary
函数的地址,也拒绝;其他的就放行。
由于要抢先拦截NtCreateThread函数,所以采用驱动的形式。
编译方法:
***@ml /c /coff /Cp %
***@link /subsystem:native /driver:wdm /release /align:16 /base:0x10000 /section:.text,RWE /out:% %
***@del %
安装驱动的方法:
copy/y %systemroot%/system32/drivers
sc create artwdm binpath= %systemroot%/system32/drivers/ type= kernel error= ignore start= system
sc start artwdm
下面是源代码:
.586p
.model flat,stdcall
option casemap:none
assume fs:nothing
assume gs:nothing
includelib ;必须从WIN2000 DDK复制到MASM的INCLUDE目录
NtQuerySystemInformation proto :dword,:dword,:dword,:dword
.const
align 4
szdll db '',0
align 4
szNtQueryVirtualMemory db 'NtQueryVirtualMemory',0
align 4
szNtAllocateVirtualMemory db 'NtAllocateVirtualMemory',0
align 4
szNtWriteVirtualMemory db 'NtWriteVirtualMemory',0
align 4
szNtCreateThread db 'NtCreateThread',0
align 4
szMyLdrLoadDll db 'LdrLoadDll',0
.data?
dwTempVar dd ?
szTempBuffer db 10000h dup(?)
.code
start:
;int 3
nop
nop
nop
nop
pushad
call _GetNtdllHandle ;
mov ebx,eax
mov hntdll,eax
.if !eax
jmp _exit
.endif
push offset szMyLdrLoadDll ;
push ebx
call _GetProcAddress
mov lpLdrLoadDll,eax
.if !eax
jmp _exit
.endif
push offset szNtQueryVirtualMemory ;
push ebx
call _GetProcAddress
mov lpNtQueryVirtualMemory,eax
.if !eax
jmp _exit
.endif
push offset szNtAllocateVirtualMemory ;
push ebx
call _GetProcAddress
mov