剖析远程控制木马的编程

《剖析远程控制木马的编程》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、剖析远程控制木马的编程它的参数：ＨＡＮＤＬＥＯｐｅｎＰｒｏｃｅｓｓ？ＩＤＯＲＤｄＤｅｓｉｒｅｄＡｃｃｅｓｓ，／／希望获得的访问权限ＢＯＯＬｂＩｎｈｅｉｔＨａｎｄＩｅ．∥指明是否希望所获得的句柄可以继承ＤＯＲＤｄＰｒｏｃｅｓｓｌｄ／／要访问的进程ＩＤ）：所以在调用ＴｅｒｉｎａｔｅＰｒｏｃｅｓｓ０２７＿前，必先调用ＯｐｅｎＰｒｏｃｅｓｓ０，而ＯｐｅｎＰｒｏｃｅｓｓ０的参数表中的ｄＰｒｏｃｅｓｓｌｄ是在系统范嗣内唯通过这些实现起来就很简单了：ＫｉｌｌＰｒｏＰｒｏｃ（ＣＯＡＮＤｃｏａｎｄ，ＳＯＣＫＥ丁ｃｌｉｅｎｔ）ＣＯＡＮＤｃｄ；ｅｓｅｔ（（ｃｈａｒ‘）＆ｃｄ．０，ｓ

2、ｉｚｅｏｆ《ｃｄ）：ｃｄ．ＩＤ＝ＫｉｔｌＰｒｏ；ＣＳｔｒｉｎｇｓｔｒ；ｓｔｒ＝ｃｏａｎｄ．Ｉｐａｒａ；Ｉｏｎｇａ＝ａｔｏｌ（ｓｔｒ）；ＨＡＮＤＬＥｈｐｒｏｃｅｓｓ；ＵＩＮＴｃｏｄｅ＝１０：ｉｆ（ｈｐｒｏｃｅｓｓ＝：ＯｐｅｎＰｒｏｃｅｓｓ（ＰＲＯＣＥＳＳ＿ＡＬＬ－ＡＣＣＥＳＳ．，‘、｛ｉｆ（：ＴｅｒｉｎａｔｅＰｒｏｃｅｓｓ（ｈｐｒｏｃｅｓｓ，ｃｏｄｅ）｛ｓｔｒｃｐｙ（（ｃｈａｒ。）ｃｄ．Ｉｐａｒａ，＂杀死进程成功！Ｉ）：第7页ｓｅｎｄ（ｃｌｉｅｎｔ，（ｃｈａｒ。）＆ｃｄ，ｓｉｚｅｏｆ（ｃｄ）．Ｏ）：｝ｅｌｓｅ｛ｓｔｒｃｐｙ（（ｃｈａｒ’）ｃｄ．Ｉｐａｒａ，＂杀死

3、进程失败！‘》：ｓｅｎｄ（ｃｌｉｅｎｔ．（ｃｈａｒ＋）＆ｃｄ．ｓｉｚｅｏｆ（ｃｄ），０）：）万方数据｝１结束进程成功就返同“杀死进程成功”的消息，否则返回“杀死进程失败”的消息。‘４．３远程关机、重启、注销重肩、关机、注销在不同的系统下实现的过程是不一样的，一般分为两种情况，具体如下：（１）在ｉｎｄｏｓ９ｘ下实现这些功能非常简单，只需调用ＥｘｉｔｉｎｄｏｓＥｘ蛹数即可。（２）在ｉｎｄｏｓ２０００及其以上系统实现这些功能较为繁琐。因为要调用ＥｘｉｔｉｎｄｏｓＥｘ函数必须具有一定的系统权限。所以在调用ＥｘｉｔｉｎｄｏｓＥｘ之前，必须先获得较高的系统权限。那么有必要

4、来ｒ解几个ＡＰＩ函数：ＥｘｉｔｉｎｄｏｓＥｘ甬数：ＥｘｉｔｉｎｄｏｓＥｘ（ＵＩＮＴｕＦｌａｇｓ，ＤＯＲＤｄＲｅｓｅｒｖｅｄ）；甬数功能：该函数注销当前用户，关闭系统；或者关闭并重新启动系统。此函数发送—ＱＵＥＲＹＥＮＤＳＥＳＳｌ０Ｎ消息给应用程序来确定它们是否能被终止。ＯｐｅｎＰｒｏｃｅｓｓＴｏｋｅｎ函数：第7页要修改一个进程的访问令牌，首ＢＯＯＬＯｐｅｎＰｒｏｃｅｓｓＴｏｋｅｎ（ＨＡＮＤＬＥＰｒｏｃｅｓｓＨａｎｄｌｅ．，，要修改访问权限的进稃句柄ＤＯＲ：ＤＤｅｓｉｒｅｄＡｃｃｅｓｓ胧暂定你要进行的操作类型ＰＨＡＮＤＬＥＴＯｋｅｎＨａｎｄｔｅ∥返回的访问令牌指

5、针）；ＬｏｏｋｕｐＰｒｉｖｉｌｅｇｅＶａｌｕｅ函数：第一个参数是系统的名称，如ＢＯＯＬ‘ＬｏｏｋｕｐＰｒｉｖｉｌｅｇｅｖａｌｕｅ《ＬＰＣＴＳＴＲＩｐＳｙｓｔｅＮａｅ，／／ｓｙｓｔｅｎａｅＬＰＣＴＳＴＲＩｐＮａｅ，／／ｐｒｉｖｉｌｅｇｅｎａｅＰＬＵＩＤＩｐＬｕｉｄ／／ｌｏｃａｌｌｙｕｎｉｕｅｉｄｅｎｔｉｆｉｅｒｋＡｄｉｕｓｔＴｏｋｅｎＰｒｉｖｉｌｅｇｅｓ函数：ＢＯＯＬＡｄｊｕｓｔｌ－０ｋｅｎＰｒｉｖｉｌｅｇｅｓ《ＨＡＮＤＬＥＴｏｋｅｎＨａｎｄｌｅ，／／ｈａｎｄｌｅｔｏｔｏｋｅｎＢＯＯＬＤｉｓａｂＩｅＡ｜ＩＰｒｉｖｉＩｅｇｅｓ，／／ｄｉｓａｂｌｉｎｇｏｐｔｉｏｎＰ

6、ＴＯＫＥＮ——ＰＲＩＶＩＬＥＧＥＳＮｅＳｔａｔｅ，／／ｐｒｉｖｉｌｅｇｅｉｎｆｏｒａｔｉｏｎＤＯＲＤＢｕｆｆｅｒＬｅｎｇｔｈ．／／ｓｉｚｅｏｆｂｕｆｆｅｒ・ＰＴＯＫＥＮ—ＰＲＩＶＩＬＥＧＥＳＰｒｅｖｉｏｕｓＳｔａｔｅ，／／ｏｒｉｇｉｎａｌｓｔａｔｅｂｕｆｆｅｒＰＤＯＲＤＲｅｔｕｒｎＬｅｒＩｇｔｈ／／ｒｅｕｉｒｅｄｂｕｆｆｅｒｓｉｚｅ通过以上函数．实现机制如图５重启系统命令设计：第7页７８５，先要获得进程访问令牌的句柄，这可以通过ＯｐｅｎＰｒｏｃｅｓｓＴｏｋｅｎ得到．函数的原型如下：一确定的。ｖｏｉｄ｛果是本地系统只要指明为ＮＵＬＬ就可以ｒ．第二个参数就是指明了

7、权限的名称．第三个参数就是返回ＬＵＩＤ的指针。ｔｒｕｅ，ａ”）：？。‘。’。‘。’。‘‘。’。’。‘。‘。‘‘。’。‘。。’。‘。。‘。实用第一／智慧密集调用调用调用ＯｐｅｎＰｃｅＴｏｋｖｎＬｏｏｋｕｐＰｒｉｖｅｋｅｇｅＶｅｌｕＡｄｊｕｓｔＴｏｋｅｎＰｒｉｖｅ｜ｅｇｅ函散打开本进程函散修改奉进程又退函散通知系统修改访同信令出系统权限奉进程权限图５重启系统命令设计这样，就实现了远程关机、重启、注销，代码如下：ｖｏｉｄＰｏｅｒＯｆｆＰｒｏｃ（ＣＯＡＮＤｃｏａｎｄ．ＳＯＣＫＥＴｃｌｉｅｎｔ）｛ＨＡＮＤＬＥｈＴｏｋｅｎ；丁ＯＫＥＮ—ＰＲＩＶＩＬＥＧＥＳｔｋｐ；ｉｆ（！

8、ＯｐｅｎＰｒｏｃｅｓｓＴｏｋｅｎ（Ｇｅ