欢迎来到天天文库
浏览记录
ID:44418533
大小:319.56 KB
页数:8页
时间:2019-10-21
《攻用WinRAR捆绑木马技巧与防范》由会员上传分享,免费在线阅读,更多相关内容在工程资料-天天文库。
1、攻用WinRAR捆绑木马技巧与防范攻用WinRAR拥绑木马技巧与防范作者•:五月整理出处:天极安全随着人们安全意识的提高,木马的生存越来越成为问题,木马种植者当然不甘心木马就这样被人所发觉,于是他们想出许多办法来伪装隐藏自己的行为,利用WinRAR捆绑木马就是其中的手段之-。那么我们怎么才能识别出其中藏有木马呢?本文讲述的正是这个问题。攻击者可以把木马和莫他可执行文件,比方说Flash动画放在同一个文件夹下,然后将这两个文件添加到档案文件中,并将文件制作为cxc格式的自释放文件,这样,当你双击这个口释放文件时,就会在启动Flash动画等文件的同时悄悄地运行木马文
2、件!这样就达到了木马种植者的目的,即运行木马服务端程序。而这一招效果乂非常好,令对方很难察觉到,因为并没有明显的征兆存在,所以冃前使用这种方法来运行木马非常普遍。为戳穿这种伪装,了解其制作过程,做到知己知彼,下面我们来看一个实例。下面我们以一个实例來了解这种捆绑木马的方法。目标是将一个Flash动画(l.swf)和木马服务端文件(l.exe)捆绑在一起,做成自释放文件,如果你运行该文件,在显示Flash动画的同时就会中木马!具体方法是:把这两个文件放在同一个目录下,按住Ctrl键的同时用鼠标选中l.swf和l.exe,然后点击鼠标右键,在弹出菜单中选择“添加到档
3、案文件”,会出现一个标题为“档案文件名字和参数”的对话框,在该对话框的“档案文件名”栏中输入任意一个文件名,比方说暴笑三国.exe(只要容易吸引别人点击就可以)。注意,文件扩展名一定得是.exe(也就是将“创建自释放格式档案文件”勾选上),而默认情况下为.rar,要改过來才行,否则无法进行下-•步的工作。接下來点击“高级”选项卡,然后单击“SFX选项”按钮,会出现“高级自释放选项”对话框,在该对话框的“释放路径”栏中输入C:Windowsemp,其实“释放路径”可以随便填,就算你设定的文件夹不存在也没冇关系,因为在自解压时会自动创建该目录。在“释放后运行”中输入
4、l.exe,也就是填入攻击者打算隐蔽运行的木马文件的名字。下一步,请点击“模式”选项卡,在该选项卡中把“全部隐藏”和“覆盖所有文件”选上,这样不仅安全,而且隐蔽,不易为人所发现。如果你愿总的话,还可以改变这个自释放文件的窗口标题和图标,点击“文字和图标”,在该选项卡的“自释文件窗门标题”和“显示用于自释文件窗II的文木"屮输入你想显示的内容即可,这样更具备欺骗性,更容易使人上当。最后,点击“确定”按钮返回到“档案文件名字和参数”对话框。下面请你点击“注释”选项卡,你会看到如图所示的内容,这是WinRAR根据你前面的设定自动加入的内容,其实就是自释放脚木命令。其中
5、,C:Windowsemp代表自解压路径,Setup二1.exe表示释放后运行1.exe文件即木马服务端文件。而Silent和Overwrite分别代表是否隐藏和覆盖文件,赋值为1则代表“全部隐藏”和“覆盖所有文件”。一•般说来,给你下木马的人为了隐蔽起见,会修改上面的自释放脚本命令,比如他们会把脚本改为如下内容:Path=c:windowsempSetup=1.exeSetup二explorer・exe1.swfSilent-1Overwrite=l仔细看,Jt实就是加上了Setup=explorer.exe1.swf这一行,点击“确定”按钮后就会生成一个名为
6、暴笑三国.exe的自解压文件,现在只要有人双击该文件,就会打开1.swf这个动iffli文件,而当人们津津有味的欣赏漂亮的Flash动画时,木马程序l.exe已经悄悄地运行了!更可怕的是,还可以在WinRAR中就可以把自解压文件的默认图标换掉,如果换成你熟悉的软件的图标,对人家来说是不是更危险?利用WinRAR制作的自解压文件,不仅可以用來加载隐蔽的木马服务端程序,还可以用來修改对方的注册表。比方说,攻击者可以编写一个名为change,reg的文件。接下來用“实例”中的办法将这个文件制作成自解压文件,保存为del.exe文件即可。注意在制作过程中要在“注释”中写
7、上如下内容:Path^c:WindowsSetup二regedit/schange・regSilent二1Overwrite=l完成后按“确定”按扭,就会建立出一个名为dcl.exe的Winrar口解压程序,双击运行这个文件,将不会有导入注册表时的捉示信息(这就是给regedit加上“/s”参数的原因)就修改了注册表键值,并把change,reg拷贝到C:Windows文件夹下。此时你的注册表己经被修改了!不仅如此,攻击者还可以把这个自解压文件del.cxe和木马服务端程序或硬盘炸弹等用WinRAR捆绑在起,然后制作成自解压文件,那样对大家的威胁将更大!因为它不
8、仅能破坏注册表,还会破坏
此文档下载收益归作者所有