关于灰鸽子的原理以及制作和清理

《关于灰鸽子的原理以及制作和清理》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、图1“灰鸽子”攻击原理以及制作和清理院别计算机科学与通信工程学院专业计算机科学与技术班级学号4090511姓名唐盼指导教师曲荣欣成绩2012年6月7日图1“灰鸽子”攻击原理以及制作和清理一.灰鸽子简介:“灰鸽子”是一种远程控制软件.最早出现的时候是在模仿前辈“冰河”。“灰鸽子”在2001年出现的，采用Delphi编写，最早并未以成品方式发布，更多的是以技术研究的姿态，采用了源码共享的方式出现在互联网，导致”灰鸽子”迅速发展起来.并且出现了多种不同的版本.“灰鸽子”在出现的时候使用了当时讨论最多的“反弹端口”

2、连接方式，用以躲避大多数个人网络防火墙的拦截。由于服务端都以隐藏方式启动，就奠定了其恶意后门木马的地位.而我个人就是高中时候,在”灰鸽子”最盛行和风靡的时候,开始认识”灰鸽子”和关注网络安全这个话题.这也是我最早认识和接触到一种黑客软件.在伴随着”灰鸽子”的盛行发展的同时,自己的对网络互联网安全问题的兴趣也随着同步提高.在有关黑客攻击和防范领域过程中享受这种成就感.但是对于”灰鸽子”的了解大多都是来自于<<电脑报>>,<<电脑爱好者>>这些杂志.没有深入了学习.但是”灰鸽子”这个概念却深入脑海.一直伴随我成

3、长到如今.如今虽然”灰鸽子”已经不再流行,但是这个在我心底有着深刻影响的软件,已然成了一个黑客软件的代名词.二,灰鸽子基本原理:“灰鸽子”客户端和服务端都是采用Delphi编写。黑客利用客户端程序配置出服务端程序。可配置的信息主要包括上线类型（如等待连接还是主动连接）、主动连接时使用的公网IP（域名）、连接密码、使用的端口、启动项名称、服务名称，进程隐藏方式，使用的壳，代理，图标等等。客户端简易便捷的操作使刚入门的初学者都能充当黑客。当使用在合法情况下时，灰鸽子是一款优秀的远程控制软件。但如果拿它做一些非法

4、的事，灰鸽子就成了很强大的黑客工具。图1　　服务端配置出来的服务端文件文件名为G_Server.exe（这是默认的，当然也可以改变）。然后黑客利用一切办法诱骗用户运行G_Server.exe程序。　　G_Server.exe运行后将自己拷贝到Windows目录下(98/xp下为系统盘的windows目录，2k/NT下为系统盘的Winnt目录,不支持win7系统.在win7做实验没有成功.生成的服务端不能在win7环境下运行).然后再从体内释放G_Server.dll和G_Server_Hook.dll到wi

5、ndows目录下。G_Server.exe、G_Server.dll和G_Server_Hook.dll三个文件相互配合组成了灰鸽子服务端，G_Server_Hook.dll负责隐藏灰鸽子。通过截获进程的API调用隐藏灰鸽子的文件、服务的注册表项，甚至是进程中的模块名。截获的函数主要是用来遍历文件、遍历注册表项和遍历进程模块的一些函数。所以，有些时候用户感觉中了毒，但仔细检查却又发现不了什么异常。有些灰鸽子会多释放出一个名为G_ServerKey.dll的文件用来记录键盘操作。注意，G_Server.exe

6、这个名称并不固定，它是可以定制的，比如当定制服务端文件名为A.exe时，生成的文件就是A.exe、A.dll和A_Hook.dll。Windows目录下的G_Server.exe文件将自己注册成服务（9X系统写注册表启动项），每次开机都能自动运行，运行后启动G_Server.dll和G_Server_Hook.dll并自动退出。G_Server.dll文件实现后门功能，与控制端客户端进行通信；G_Server_Hook.dll则通过拦截API调用来隐藏病毒。因此，中毒后，我们看不到病毒文件，也看不到病毒注册

7、的服务项。随着灰鸽子服务端文件的设置不同，G_Server_Hook.dll有时候附在Explorer.exe的进程空间中，有时候则是附在所有进程中。三;灰鸽子制作实例步骤:准备工具：灰鸽子服务端;IcoSprite图标更改器；SC.exe服务添加删除更改工具；winrar压缩软件用于捆绑生成的程序.图1制作过程：1.首先自己配置一下鸽子服务端，配置时[启动项设置]这里面的都不要填，不要写入注册表，也不要用服务启动。2.用SC创建一个服务运行CMD.EXE在system32的目录下运行执行SC.execre

8、atehuigeziBinPath="%systemroot%system32gezi.exe"type=owntype=interactstart=autoDisplayName="gezi".这句是用SC建立一个服务，服务名为huigezi，路径Binpath为"%systemroot%system32gezi.exe"，类型type为own与interact交互，启动类型start为自动，显示名Di