Windows用户层技术工具与源码分享
Windows用户层技术工具与源码分享
文章目录
最近看了《Windows黑客编程技术详解》一书，结合《****核心原理》中的一些知识，我把Windows用户层的编程技术编写成了一个工具，其中涉及到系统安全和恶意代码的一些技术功能，在这分享出来与大家学习交流一下。
工具是用MFC写得，这程序分为两个版本，32位和64位的，有些功能只能32用，有些只能64位用，界面如下：
一、注入与隐藏
1.窗口界面介绍
首先使用遍历进程的技术，遍历所有进程显示在MFC列表控件上。
其次我还写了分辨出32位程序和64位程序的功能，在执行注入的时候，方便观察了，因为32位注入程序难以注入64位，反之亦然。
还有PID 和 SESSION两拦。PID我就不介绍了，SESSION就是会话ID， 该ID为0则表示系统进程，非零是用户进程。默认情况下，这两种进程是不能互相通信的，所以要注入SESSION位的0的进程，需要使用特殊方法。
还有一个要点，我写了一个模块栏窗口，这样就方便查看是否注入了可以DLL了。
2.远程线程注入
利用关键函数CreateRemoteThread，最常见的注入功能，将dllt拖拽或者打开，右键点击注入就OK了。
3.APC注入
利用关键函数QueueUserAPC 在APC线程队列中注入DLL，值得注意的是，用这种方法注入DLL后，进程的大多数线程都挂钩了DLL，所以卸载的时候，需要多卸载几次才能完全把DLL卸载。
4.突破SESSION0隔离的远程注入
这种注入过程原理与远程线程注入完全一样，就是创建远程线程时调用的更底层的API ZwCreateRemoteThread。
这种注入方法能将DLL注入进SESSION ID为0的进程，其他方法是很难注入的。
5.代码注入
代码注入原理也和远程线程类似，只是注入的DLL换成了注入代码。原理就是开辟一块内存空间存放代码，创建一个远线程执行它。详情请参考《****核心原理》。
我这里的代码是固定的，我构造了一段shellcode ，功能就是弹窗加确定后关闭程序。
如下图，我代码注入了一个截图软件，当我点击确定后，该截图软件会被关闭。
6.全局注入DLL
先创建快照遍历进程，然后分别对每个进程都进行远程线程注入。
7.全局卸载DLL
先创建快照遍历进程，然后分别对每个进程都进行卸载DLL。
8.单个卸载DLL
首先把DLL拖进窗口，用FreeLibrary 远程线程卸载DLL，注意卸载APC注入的程序时，需要卸载多次才能卸载干净。
9.全局消息钩子技术
全局钩子我用在了隐藏进程和保护进程功能当中，还有全局钩子卸载也一样。保护进程只支持32位，64位的方法我还没研究出来…
10.隐藏进程
使用全局消息钩子技术，自动注入进会遍历进程的程序当中，比如说任务管理器。我这里只写了注入64位程序的功能，因为WIN10打开任务管理器，默认都是64位。
效果展示，首先打开64位任务管理器（默认的），注意观察，可以看到QQ窗口在应用栏里显示着，当我全局钩子注入后，QQ就消失了。当卸载后，QQ又变回来了。
11.伪装进程
在内存中修改进程信息，使用procexp64打开观察时，发现图标、描述、路径被伪装成explorer.exe 程序，当然，程序名没改，那需要在PE文件上修改。
12.傀儡进程
只支持32位，傀儡内容同样是弹窗加关闭程序，而且我傀儡的进程是固定的，就是32位的 svchost.exe。这是一个系统文件，傀儡原理就是，打开该程序直接修改指令寄存器EIP，让EIP直接跳转到我们的shellcode上面，这样打着是系统程序的名义，却执行的是恶意代码。
13.模块窗口DLL高亮显示
当注入了DLL，而DLL文件被拖拽到了窗口，目标程序中的该DLL就会高亮显示。如下图，我注入了扫雷外挂DLL，结果DLL高亮呈红色
二、自动启动功能
1.界面展示
2.注册表自启动
将程序路径添加到注册表自启动的项里面就行了。首先打开程序，点击相应按钮就行，我还贴心的写了打开注册表和快速启动目录的功能，这样当添加自启动后，就可以在对应窗口看到他。比如我添加一个注册表自启：
3.快速启动目录
将程序复制或者将程序快捷图标复制到快速启动目录，就能实现自动启动。我这里使用方法是找到程序，然后创建该程序的快捷图标到快速启动目录。点击打开启动目录如下：
4.计划任务
将程序添加到任务计划程序里面，就实现开机自启，要注意的是，这个技术需要管理员权限。
5.系统服务自启
创建系统服务程序，这个程序再来打开我们需要自启动的程序。
这种方法比较复杂，同时也需要管理员权限启动，而且系统服务进程与用户层的通信比较困难，比如我让他弹个窗都要写十多行代码，但正是因为种种困难，这才是较为高级的一种方法。
三、提权与加壳
因为本工具本身就涉及到好几个提权的地方，有兴趣的看一下代码就行了。
至于加壳我就不介绍了，对加壳有兴趣的请看书《黑客免杀攻防》结合我之前的C++写壳基础篇和高级篇，相信就能写出一个比较让自己满意的加密/压缩壳。
四、Hash与加密
1.Hash信息
使用Windows自导的API实现，直接拖拽文件到窗口中，即刻显示文件Hash信息。
2.AES加密
使用Windows自带Crypt系列的API进行AES加密，AES是一种对称加密，逆向时能够得到**，想要**不难。它的有点就是加密解密速度超快，而且也不会造成程序体积过度的膨胀。
3.RSA加密
使用Windows自待Crypt系列的API进行RSA加密
RSA使用的是一种非对称加密算法，首先会获取公钥和私钥，公钥负责对别人加密，私钥就自己藏着，所以安全性非常高。使用RSA加密，%99.99的情况下都不能被**。当然暴力**也能**成功，不过当咱们入土为安的时候，不知道电脑有没有计算完毕…
但是RSA加密有个重要的缺点，加密速度极慢，用时是AES加密的1000倍以上，而且会造成数据膨胀。所以使用RSA加密，一般都只加密关键数据段。
友情提示：正因为以上两种方法的优缺点，勒索病毒一般使用的加密方式为 AES+RSA 混合加密，也称为数字信封！
我这加密了程序的路径字符串，展示如下：
五、VS垃圾清理
其中涉及到了文件遍历、文件删除技术。可以自定义要删除的文件类型，这个功能对于喜欢VS编译器的朋友比较友好，用于清理VS项目中的垃圾文件，方便把源代码上传或者发送给别人。
六、技术功能
1.压缩与解压
压缩库推荐Zlib，aPlib，这两个库都有个优点就是压缩慢，解压却是秒解，常用于加壳程序。压缩率能达到一半以上！
我使用的aPlib库压缩，只支持32位，因为Zlib有3M多，而aPlib只有14K。
2. 桌面截屏
点击了之后就是在相对路径下生成一张图片，这就不展示了。
3. 按键记录
提起按键记录，我就想起了我当年被盗过的N个QQ号，那些病毒木马可能就是这样盗了我的号！
会显示在哪个窗口上，按了哪些键，我展示一下我写的的按键记录：
4.远控CMD
我感觉这才是技术功能里面的重头戏。
远控首先涉及到网络通讯知识，我这里使用的是socket 的TCP通讯。
原理就是服务端安装在目标电脑上，客户端就是我们这些控制者。通过远程命令，操作别人的电脑。
演示：我开启了一个win10虚拟机，把服务端在虚拟机上启动，让真机通过cmd操控虚拟机，并且会返回数据，显示在真机的客户端程序上。
我输入了ipconfig指令，让虚拟机的IP地址显示到了真机上。我还在真机上操作，让虚拟机在C盘里创建了一个名为“九阳道人”的文件夹
5.文件监控
监控一个目录或者根目录下的文件是否被赠删查改。我监控了自己的d:\图片\这个目录，当我操作文件时，实时显示操作文件的结果。如下图：
6.U盘监控
当插入或者拔出U盘时，得到插入拔出的是哪个盘，并提示我们。
7.程序自杀
我写了两种程序自杀，一种需要重启电脑才能删除，而且这种需要管理员权限。
一种是批处理的删除，因为批处理能立马删除，所以我演示批处理的程序自杀，这个不需要管理权限，更好用一点，我设置了等待5秒的时间就自杀，展示如下：
七、便捷功能
还有些功能我没提及，比如释放资源、创建互斥体执行单一运行、创建信号量用来传递PID、读取配置文件读取存档等，都写在了源码里面。有兴趣的可以在源码里面翻来看看。
1.贴边隐藏
这个软件我自己每天都在用它，让它成为开机自启的程序，它开机自启后，会像QQ一样，靠在边上隐藏起来，等待主人的召唤。这个效果开机也会自动显示，这是使用了读档与存档的功能来实现的。
2.电源操作
最后我还写了电源的一些常用操作，如睡眠、休眠、关机、重启。
睡眠、休眠、重启是我经常用，每天都要用好几次的功能，但是每次都要移动鼠标，然后点击再点击，浪费力气得很。所以我可就给他们设置了全局的快捷键，我用着特别方便，自我感觉非常好用，半秒不到就关机！
八、声明与提示
本工具与源码仅供交流与学习，下载后请在24小时之内删除。
根据国家法律规定，任何利用黑客技术攻击他人计算机的行为都属于违法行为，开发外挂营销也属于违法行为，希望朋友们不要使用本工具与源码的内容做坏事，否则后果自负。
九、工具与源码下载地址
点击我的上传，我上传到CSDN资源里面了，或者进入看雪下载。连接在下面：
https://bbs.pediy.com/thread-263360.htm