一个木马的分析

《一个木马的分析》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、startprocnearcallcallcallsub_401481sub_401092sub_4011AEloc_4014C4:callsub_4013D5callsub_40143Fpush0EA60h;dwMillisecondscallSleepjmpshortloc_4014C4startendphObject=dwordptr-4•text:00401481•text:00401481pushebp•text:00401482movebp,esp.text:00401484addesp,OFFFFFFFCh.text:00401

2、487pushoffsetName;“HlNlBot11•text:0040148Cpush0■9blnitialOwner•text:0040148Epush0■flpMutexAttributes.text:00401490callCreateMutexA•text:00401495mov[ebp+hObject]/eax.text:00401498callGetLastError.text:0040149Dempeaxz0B7h•text:004014A2jzshortloc_4014A6调用ExitProcess退出程序■•text:

3、004014A4leave•text:004014A5retn一个木马的分析第一次详细分析木马，不足之处请见谅。这个木马一共4KB,是个比较简单的程序，所以分析起来也不是很难。下面开始正式分析。这是程序的主题函数，一•进來就是三个初始化的call,然后就是一个大的循环，程序就是在这个循环之中不停的运行着。跟进第一个call:函数首先创建了一个hObject变量，用于存放创建的互斥对象句柄。mov[ebp+hObject],eax就是将创建的互斥句柄传送到hObject中。这里是创建了一个名为IUNlBot的互斥对象。然后调用GetLastEr

4、ror得到错误码，这里加入程序已经有一份实例在运行了，则这个互斥对象就是创建过了的，就是得到错误代码为0B7h的值。通过查询msdn发现：Ob7h含义是Cannotcreateafilewhenthatfilealreadyexists.所以这样就防止了木马程序同时打开了多份。当返回值是0B7h的时候，调用ExitProcess退出程序。总结来说这个call就是检查程序是否已经打开，要是打开过了就退出。进入401092的call,山J这个函数代码过多，就不贴详细的代码了。函数定义了两个局部字符串数组ExistingFileName,Strin

5、g2（这电是ida分析给出的名字）和一个文件指针。函数先将这两个数组用零填充，然后调用GetModuleFileNameA得到当前程序的完整路径，并将结果存放在ExistingFileName中。在调用SHGetFolderPathA并将结果存放在String2中。SHGetFolderPathA可以获取系统文件夹，这甲•他的参数值是OxlcoConstCSIDL_LOCAL_APPDATAH1C（用户）木地设置应用程序数据。即如果以administration身份登录获得的是C:DocumentsandSettingsAdminis

6、tratorLocalSettingsApplicatonData路径。然后调用IstrcatA这个函数在String2的后而加上Wwinvv.exeo然后比较String2和ExistingFileName是否相同，不同则把口身复制到ExistingFileName中，故后运行复制过去的文件，口身退出。总体来讲第二个call就是路径检查的。3.进入4011AE的call,这个函数就是实现程序的开机运行，手法也很简单。就是在注册表屮创建键值。位置存SoftwareMicrosoftWindowsCurrentVersionRun

7、,键值叫做WindowsUpdate,其迷惑作用。4.下面我们进入这个木马的核心程序。大循环。4013D5的callsub_4013D5procnearIpString=dwordptr一4pushebpmovebp,espaddesp,-4push40h;fIProtectpush1000h;flAllocationTypepush512;dwSizepush0;IpAddresscallVirtualAlloc;申请内存mov[ebp+lpString]zeax;内存首地址存到局部变量里movdwordptr[eax]r1edom1ad

8、deax,4movdwordptr[eax]z'i&2=1addeax,4movdwordptr[eax]r1tned1addeax,4movbyteptr[eax