现在的位置: 首页 > 综合 > 正文

基于visual c++之windows核心编程代码分析（43）剿灭病毒编程

2013年10月18日 ⁄ 综合 ⁄ 共 19760字 ⁄ 字号 小 中 大 ⁄ 评论关闭

编制或者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码被称为计算机病毒（Computer Virus）。具有破坏性，复制性和传染性。

我们如何编程干掉病毒呢，有的病毒很拽很得瑟。

看我们来实践干掉病毒

提升权限

[cpp]
view plaincopyprint?
  1. //                   函数功能：提升权限                            // 
  2. //      参数：lpszPrivilege：权限名  bEnablePrivilege：是否允许    // 
  3. ///////////////////////////////////////////////////////////////////// 
  4. BOOL SetPrivilege(LPCTSTR lpszPrivilege,BOOL bEnablePrivilege) 
  5. { 
  6.     TOKEN_PRIVILEGES tp; 
  7.     LUID luid; 
  8.     HANDLE hProcessToken=NULL;   
  9.     if(!OpenProcessToken(GetCurrentProcess(),TOKEN_ALL_ACCESS,&hProcessToken)) 
  10.         return -1; 
  11.     if(!LookupPrivilegeValue(NULL,lpszPrivilege,&luid)) 
  12.         return FALSE; 
  13.     tp.PrivilegeCount = 1; 
  14.     tp.Privileges[0].Luid=luid; 
  15.     if(bEnablePrivilege) 
  16.         tp.Privileges[0].Attributes =SE_PRIVILEGE_ENABLED; 
  17.     else 
  18.         tp.Privileges[0].Attributes =0; 
  19.     //Enable the privilege or disable all privilege 
  20.     AdjustTokenPrivileges(hProcessToken,FALSE,&tp,sizeof(TOKEN_PRIVILEGES),(PTOKEN_PRIVILEGES)NULL,(PDWORD)NULL); 
  21.     if(GetLastError()!=ERROR_SUCCESS) 
  22.         return FALSE; 
  23.     if(hProcessToken!=NULL) 
  24.         CloseHandle(hProcessToken); 
  25.     return TRUE; 
  26. } 

删除病毒让病毒不能自己启动

[cpp]
view plaincopyprint?
  1. ///                    函数功能：删除自启动项                            /// 
  2. //////////////////////////////////////////////////////////////////////////// 
  3. VOID DeleteRunouceRegistry() 
  4. {    
  5.     HKEY hTestKey; 
  6.     CHAR szBuf[128]; 
  7.     if(RegOpenKeyEx(HKEY_LOCAL_MACHINE,"SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run",0,KEY_READ|KEY_WRITE,&hTestKey)==ERROR_SUCCESS) 
  8.     { 
  9.         if(RegDeleteValue(hTestKey,"Runouce")!=ERROR_SUCCESS) 
  10.         { 
  11.             sprintf(szBuf,"%d",GetLastError()); 
  12.             MessageBox(NULL,szBuf,NULL,MB_OK); 
  13.         } 
  14.     } 
  15. } 

批处理调用

[cpp]
view plaincopyprint?
  1. ////              使用说明：将批处理放在程序同一个文件夹中，然后调用下面的代码    //// 
  2. ////                        将kill.bat改成相应的文件名                            //// 
  3. //////////////////////////////////////////////////////////////////////////////////////                     
     
  4. GetModuleFileName(NULL,szPath,MAX_PATH); //获取程序的路径 
  5. lstrcpy( _tcsrchr(szPath, _T('\\') ) + 1, _T("kill.bat") );//然后去掉程序名加上kill.bat 
  6. strcpy(szCmdLine,"cmd.exe /c start ");//WinExec的命令行 
  7. strcat(szCmdLine,szPath); 
  8. WinExec(szCmdLine,SW_SHOWNORMAL); 

对抗病毒镜像劫持

[cpp]
view plaincopyprint?
  1. ///                     函数功能：对抗映像劫持                           /// 
  2. //////////////////////////////////////////////////////////////////////////// 
  3. VOID DeleteRunouceRegistry()//这里以任务管理器为例 
  4. {    
  5.     HKEY hTestKey; 
  6.     CHAR szBuf[128]; 
  7.     if(RegOpenKeyEx(HKEY_LOCAL_MACHINE,"SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\taskmgr",0,KEY_READ|KEY_WRITE,&hTestKey)==ERROR_SUCCESS) 
  8.     { 
  9.         if(RegDeleteValue(hTestKey,"Debugger")!=ERROR_SUCCESS) 
  10.         { 
  11.             sprintf(szBuf,"%d",GetLastError()); 
  12.             MessageBox(NULL,szBuf,NULL,MB_OK); 
  13.         } 
  14.     } 
  15. } 

删除顽固文件

[cpp]
view plaincopyprint?
  1. ///                 函数功能：强删顽固文件                /// 
  2. ///   使用说明：将\\??\\E:\\autorun.inf改成相应的文件名   /// 
  3. ///////////////////////////////////////////////////////////// 
  4. #include <windows.h> 
  5. #include <stdio.h> 
  6. #include <stdlib.h> 
  7.   
  8. typedef unsigned long NTSTATUS; 
  9. typedef unsigned
    short USHORT; 
  10. typedef unsigned long
    ULONG; 
  11. typedef unsigned
    long DWORD; 
  12. typedef long
    LONG; 
  13. typedef __int64
    LONGLONG; 
  14.   
  15. typedef struct UNICODE_STRING{ 
  16.     USHORT Length; 
  17.     USHORT MaxLen; 
  18.     USHORT *Buffer; 
  19. } UNICODE_STRING,*PUNICODE_STRING; 
  20.   
  21. #define OBJ_INHERIT             0x00000002L 
  22. #define OBJ_PERMANENT           0x00000010L 
  23. #define OBJ_EXCLUSIVE           0x00000020L 
  24. #define OBJ_CASE_INSENSITIVE    0x00000040L 
  25. #define OBJ_OPENIF              0x00000080L 
  26. #define OBJ_OPENLINK            0x00000100L 
  27. #define OBJ_KERNEL_HANDLE       0x00000200L 
  28. #define OBJ_FORCE_ACCESS_CHECK 0x00000400L 
  29. #define OBJ_VALID_ATTRIBUTES    0x000007F2L 
  30.   
  31. #define FILE_ATTRIBUTE_NORMAL               0x00000080 
  32. #define FILE_SHARE_DELETE                   0x00000004 
  33. #define FILE_OPEN_IF                        0x00000003 
  34. #define FILE_SYNCHRONOUS_IO_NONALERT        0x00000020 
  35. #define GENERIC_WRITE                       (0x40000000L) 
  36. #define SYNCHRONIZE                         (0x00100000L) 
  37. #define GENERIC_READ                        (0x80000000L) 
  38.   
  39. typedef struct _OBJECT_ATTRIBUTES{ 
  40.     ULONG Length; 
  41.     HANDLE RootDirectory; 
  42.     PUNICODE_STRING ObjectName; 
  43.     ULONG Attributes; 
  44.     PVOID SecurityDescriptor; 
  45.     PVOID SecurityQualityOfService; 
  46. } OBJECT_ATTRIBUTES, *POBJECT_ATTRIBUTES; 
  47. typedef CONST OBJECT_ATTRIBUTES *PCOBJECT_ATTRIBUTES; 
  48.   
  49. typedef NTSTATUS (__stdcall *ZWDELETEFILE)( 
  50.         IN POBJECT_ATTRIBUTES ObjectAttributes); 
  51.   
  52. typedef VOID (__stdcall *RTLINITUNICODESTRING)( 
  53.         IN OUT PUNICODE_STRING DestinationString, 
  54.         IN PCWSTR SourceString); 
  55.   
  56. typedef struct _IO_STATUS_BLOCK{ 
  57.         DWORD Status; 
  58.         ULONG Information; 
  59. } IO_STATUS_BLOCK, *PIO_STATUS_BLOCK; 
  60.   
  61. typedef NTSTATUS (__stdcall *ZWCREATEFILE)( 
  62.     OUT PHANDLE FileHandle, 
  63.     IN ACCESS_MASK DesiredAccess, 
  64.     IN POBJECT_ATTRIBUTES ObjectAttributes, 
  65.     OUT PIO_STATUS_BLOCK IoStatusBlock, 
  66.     IN PLARGE_INTEGER AllocationSize OPTIONAL, 
  67.     IN ULONG FileAttributes, 
  68.     IN ULONG ShareAccess, 
  69.     IN ULONG CreateDisposition, 
  70.     IN ULONG CreateOptions, 
  71.     IN PVOID EaBuffer OPTIONAL, 
  72.     IN ULONG EaLength); 
  73.   
  74. typedef VOID (NTAPI *PIO_APC_ROUTINE) ( 
  75.    IN PVOID ApcContext, 
  76.    IN PIO_STATUS_BLOCK IoStatusBlock, 
  77.    IN ULONG Reserved); 
  78.   
  79. typedef NTSTATUS (__stdcall *ZWWRITEFILE)( 
  80.     IN HANDLE FileHandle, 
  81.     IN HANDLE Event OPTIONAL, 
  82.     IN PIO_APC_ROUTINE ApcRoutine OPTIONAL, 
  83.     IN PVOID ApcContext OPTIONAL, 
  84.     OUT PIO_STATUS_BLOCK IoStatusBlock, 
  85.     IN PVOID Buffer, 
  86.     IN ULONG Length, 
  87.     IN PLARGE_INTEGER ByteOffset OPTIONAL, 
  88.     IN PULONG Key OPTIONAL); 
  89.   
  90. typedef NTSTATUS (__stdcall *ZWCLOSE)( 
  91.     IN HANDLE Handle); 
  92.   
  93. int main() 
  94. { 
  95.     HINSTANCE hNtDll; 
  96.     ZWDELETEFILE ZwDeleteFile; 
  97.     RTLINITUNICODESTRING RtlInitUnicodeString; 
  98.     ZWCREATEFILE ZwCreateFile; 
  99.     ZWWRITEFILE ZwWriteFile; 
  100.     ZWCLOSE ZwClose; 
  101.   
  102.     hNtDll = LoadLibrary ("NTDLL"); 
  103.     if (!hNtDll) 
  104.        return 0; 
  105.   
  106.     ZwDeleteFile = (ZWDELETEFILE)GetProcAddress (hNtDll,"ZwDeleteFile"); 
  107.     RtlInitUnicodeString = (RTLINITUNICODESTRING)GetProcAddress (hNtDll,"RtlInitUnicodeString"); 
  108.     ZwCreateFile = (ZWCREATEFILE)GetProcAddress (hNtDll,"ZwCreateFile"); 
  109.     ZwWriteFile = (ZWWRITEFILE)GetProcAddress (hNtDll,"ZwWriteFile"); 
  110.     ZwClose = (ZWCLOSE)GetProcAddress (hNtDll,"ZwClose"); 
  111.   
  112.     UNICODE_STRING ObjectName; 
  113.     RtlInitUnicodeString(&ObjectName,L"\\??\\E:\\autorun.inf");//记得这里是要有\\??\\在前面的,WDK说的. 
  114.   
  115.     OBJECT_ATTRIBUTES ObjectAttributes = { 
  116.         sizeof(OBJECT_ATTRIBUTES),         
    // Length 
  117.         NULL,                              
    // RootDirectory     
  118.         &ObjectName,                        // ObjectName 
  119.         OBJ_CASE_INSENSITIVE,              
    // Attributes     
  120.         0,                                  // SecurityDescriptor 
  121.         NULL,                              
    // SecurityQualityOfService     
  122.     }; 
  123.   
  124.     HANDLE hFile; 
  125.     PVOID content =
    "ForZwFileTest"; 
  126.     IO_STATUS_BLOCK IoStatusBlock; 
  127.   
  128.     ZwCreateFile(&hFile, 
  129.         GENERIC_WRITE|SYNCHRONIZE|GENERIC_READ, 
  130.         &ObjectAttributes, 
  131.         &IoStatusBlock, 
  132.         0, 
  133.         FILE_ATTRIBUTE_NORMAL, 
  134.         FILE_SHARE_DELETE, 
  135.         FILE_OPEN_IF, 
  136.         FILE_SYNCHRONOUS_IO_NONALERT, 
  137.         NULL, 
  138.         0); 
  139.     ZwWriteFile(hFile, 0, 0, 0, &IoStatusBlock, content, 12, NULL, NULL); 
  140.     ZwClose(hFile); 
  141.   
  142.     ZwDeleteFile(&ObjectAttributes); 
  143.   
  144.     FreeLibrary (hNtDll); 
  145.     return 0; 
  146. } 

多进程保护终结者

[cpp]
view plaincopyprint?
  1. ////                     功能：对抗多进程保护                              ////// 
  2. ////       主程序里调用EnumProcessAndSuspendProcess()和                    ////// 
  3. ////    EnumProcessAndTerminateProcess()就能将病毒程序结束掉               ////// 
  4. ///////////////////////////////////////////////////////////////////////////////// 
  5.  
  6. typedef DWORD (WINAPI *PFSuspendProcess)(HANDLE hProcess); 
  7.  
  8. PFSuspendProcess SuspendProcess;  //挂起进程的API，在ntdlll.dll中 
  9. //函数功能：挂起进程   参数：进程ID 
  10. VOID SuspendProc(DWORD dwPID) 
  11. { 
  12.   HMODULE hNtDllLib=LoadLibrary("ntdll.dll");
    //加载ntdll.dll，获得dll句柄 
  13.   SuspendProcess=(PFSuspendProcess)GetProcAddress(hNtDllLib,"ZwSuspendProcess"); 
  14. //获取ZwSuspendProcess的地址 
  15.   if (SuspendProcess) 
  16.   { 
  17.       HANDLE hProcess=OpenProcess(PROCESS_ALL_ACCESS,FALSE,dwPID); 
  18.       //获取指定进程ID的句柄 
  19.       SuspendProcess(hProcess); //挂起进程 
  20.   } 
  21.   FreeLibrary(hNtDllLib);//释放dll 
  22. } 
  23. VOID TerminateProc(DWORD dwPID) 
    //函数功能：结束进程  参数：进程ID 
  24. { 
  25.   HANDLE hProcess=OpenProcess(PROCESS_ALL_ACCESS,FALSE,dwPID); 
  26.   TerminateProcess(hProcess,0);   
  27. } 
  28.  
  29. //函数功能：枚举进程并挂起进程 
  30. VOID WINAPI EnumProcessAndSuspendProcess() 
  31. { 
  32.     HANDLE hProcessSnap; 
  33.     PROCESSENTRY32 pe32; 
  34.     // Snapshot 
  35.     hProcessSnap = CreateToolhelp32Snapshot( TH32CS_SNAPPROCESS, 0 ); 
  36.     if( hProcessSnap == INVALID_HANDLE_VALUE ) 
  37.     { 
  38.          printf( "CreateToolhelp32Snapshot (of processes) error!\n"); 
  39.         return ; 
  40.     } 
  41.     // 设置输入参数，结构的大小 
  42.     pe32.dwSize = sizeof( PROCESSENTRY32 ); 
  43.      
  44.     // 开始列举进程 
  45.     if( !Process32First( hProcessSnap, &pe32 ) ) 
  46.     { 
  47.         printf( "Process32First error!\n" ); 
    // 出错信息 
  48.         CloseHandle( hProcessSnap ); 
  49.         return ; 
  50.     } 
  51.     do 
  52.     {    
  53.         //枚举进程然后将病毒进程挂起 
  54.         if (stricmp(pe32.szExeFile,"Global.exe")==0) 
  55.         { 
  56.            SuspendProc(pe32.th32ProcessID); 
  57.         } 
  58.         ...   
  59.         //在这里添加要结束的进程名 
  60.     } while( Process32Next( hProcessSnap, &pe32 ) ); 
  61.      
  62.     CloseHandle( hProcessSnap );    //关闭句柄 
  63.     return ; 
  64. } 
  65. //函数功能：枚举进程并结束进程 
  66. VOID WINAPI EnumProcessAndTerminateProcess() 
  67. { 
  68.     HANDLE hProcessSnap; 
  69.     PROCESSENTRY32 pe32; 
  70.     // Snapshot 
  71.     hProcessSnap = CreateToolhelp32Snapshot( TH32CS_SNAPPROCESS, 0 ); 
  72.     if( hProcessSnap == INVALID_HANDLE_VALUE ) 
  73.     { 
  74.         printf( "CreateToolhelp32Snapshot (of processes) error!\n"); 
  75.         return ; 
  76.     } 
  77.     // 设置输入参数，结构的大小 
  78.     pe32.dwSize = sizeof( PROCESSENTRY32 ); 
  79.      
  80.     // 开始列举进程 
  81.     if( !Process32First( hProcessSnap, &pe32 ) ) 
  82.     { 
  83.         printf( "Process32First error!\n" ); 
    // 出错信息 
  84.         CloseHandle( hProcessSnap ); 
  85.         return ; 
  86.     } 
  87.     do 
  88.     {   //枚举进程然后将病毒进程结束 
  89.         if (stricmp(pe32.szExeFile,"Global.exe")==0) 
  90.         { 
  91.             TerminateProc(pe32.th32ProcessID); 
  92.         } 
  93.         ... 
  94.         //在这里添加要结束的进程名 
  95.     } while( Process32Next( hProcessSnap, &pe32 ) ); 
  96.      
  97.     CloseHandle( hProcessSnap );    //关闭句柄 
  98.     return ; 
  99. } 

卸载被远程注射的dll

[cpp]
view plaincopyprint?
  1. /////                     函数功能：卸载掉注入的dll  参数；dll名                      ///// 
  2. /////////////////////////////////////////////////////////////////////////////////////////// 
  3. int KillDLL(char *DllName) 
  4. { 
  5.      // 解除所有进程中某DLL模块的加载 
  6.     HANDLE hProcess=NULL; 
  7.     if(!SetPrivilege(SE_DEBUG_NAME,TRUE)) 
  8.     { 
  9.         return -2; 
  10.     } 
  11.     DWORD aProcesses[1024],cbNeeded,cProcesses; 
  12.     unsigned int i; 
  13.     //计算目前有多少进程，aerocesses[]用来存放有效的进程PIDs 
  14.         if(!EnumProcesses(aProcesses,sizeof(aProcesses),&cbNeeded))  
  15.              return -11; 
  16.     cProcesses=cbNeeded/sizeof(DWORD); 
  17.     //按有效的PID遍历所有的进程 
  18.     for(i= 0;i<cProcesses;i++) 
  19.     { 
  20.     if((hProcess=OpenProcess(PROCESS_ALL_ACCESS,FALSE,aProcesses[i]))==NULL) 
  21.         { 
  22.             continue; 
  23.         } 
  24.         // 由目标进程地址空间写入DLL名称 
  25.         DWORD dwSize,dwWritten; 
  26.         dwSize=strlen(DllName)+1; 
  27.         LPVOID lpBuf=VirtualAllocEx(hProcess,NULL,dwSize,MEM_COMMIT,PAGE_READWRITE); 
  28.             if(lpBuf=NULL) 
  29.             { 
  30.                 CloseHandle(hProcess); 
  31.                 continue; 
  32.             } 
  33.     //向其中写入dll的名称 
  34.         if(WriteProcessMemory(hProcess,lpBuf,(LPVOID)DllName,dwSize,&dwWritten)) 
  35.         {    
  36.                    // 若写入字节数与实际写入字节数不相等，仍属失败 
  37.             if(dwWritten!=dwSize) 
  38.             { 
  39.                 VirtualFreeEx(hProcess,lpBuf,dwSize,MEM_DECOMMIT); 
  40.                 CloseHandle(hProcess); 
  41.                 continue; 
  42.             } 
  43.         } 
  44.                          
  45.         else 
  46.         {  
  47.              CloseHandle(hProcess); 
  48.               continue;  
  49.         } 
  50.         //使目标进程调用GetModuleHandIe,获得DLL在进程中的句柄 
  51.         DWORD dwHandle,dwID; 
  52.         LPVOID pFunc= GetModuleHandleA; 
  53.         HANDLE hThread = CreateRemoteThread(hProcess,NULL,0,(LPTHREAD_START_ROUTINE)pFunc,lpBuf,0,&dwID); 
  54.         //等待GetModuleHandle运行完毕 
  55.         WaitForSingleObject(hThread,INFINITE); 
  56.         //获得GetModuleHandle的返回值 
  57.         GetExitCodeThread(hThread,&dwHandle); 
  58.         // 释放目标进程中申请的空间 
  59.         VirtualFreeEx( hProcess,lpBuf,dwSize,MEM_DECOMMIT); 
  60.         CloseHandle(hThread); 
  61.         //使目标进程调用FreeLibrary,卸载DLL 
  62.         pFunc=FreeLibrary; 
  63.         hThread= CreateRemoteThread(hProcess,NULL,0,(LPTHREAD_START_ROUTINE)pFunc,(LPVOID)dwHandle,0,&dwID); 
  64.         //等待FreeLibrary卸载完毕 
  65.          WaitForSingleObject(hThread,INFINITE); 
  66.          CloseHandle(hThread); 
  67.         CloseHandle(hProcess); 
  68.     } 
  69.       if(hProcess!=NULL) 
  70.           CloseHandle(hProcess); 
  71.        return 0;  
  72. } 
  73. 原文地址：http://blog.csdn.net/yincheng01/article/details/7214394
返回
【上篇】
【下篇】

作者:

抱歉!评论已关闭.

返回首页

Copyright © 2013-2018 学步园  保留所有权利.
软文销售 QQ客服：2265327166 点击这里给我发消息（其他合作也可洽谈）
必威体育
必威电竞