事实：启示：教您如何从DLL技术开始检测和杀死DLL木马

做什么

”的意思，所以让我们回到几年前DOS系统流行的年代。那时，编写程序是一项繁琐的任务，因为每个程序的代码都是独立的，并且为了实现功能，为此必须编写大量代码。后来，随着编程技术的发展，程序员将许多常用的代码集合（通用代码）放入一个单独的文件中，并将此文件称为“库”。 ），在编写程序时，将此库文件添加到编译器中，就可以使用该库中包含的所有功能，而无需自己编写大量代码。此技术称为“静态链接”（S）。静态链接技术减轻了程序员的疲劳，一切似乎都很美。但是事实证明，美好的事物不会长期存在，因为静态链接就像一个粗鲁的推销员，无论您是否想要传单，这些东西都塞在了您的手中。编写程序时，您只想使用库文件中包含的特定图形效果。因此，您必须将库文件携带的所有图形效果添加到程序中并保留下来。它们用作花瓶，这并不重要，但是这些花瓶阻碍了道路静态链接技术，使最终程序成为现实。这是很大的一部分，因为编译器还会计算整个库文件。时代在发展，静态链接技术由于其固有的缺点而无法满足程序员的需求。人们开始寻找一种更好的方法来解决代码重复的问题。后来，Wi ws系统出现了，那个时代的分水岭终于出现了。

Wi ws系统使用一种新的链接技术。这种称为“动态链接”（Dy）的新技术也使用库文件。 Microsoft将其称为“动态链接库”（Dy就是这种情况）。来。动态链接本身和静态链接之间没有区别。它还将通用代码写入一些独立的文件中，但是在编译方面，Microsoft绕了一个圈，没有采取向程序中添加库文件的方法，而是使库文件成为编译后的程序文件的交换接口。数据。当程序员编写程序时，一旦要使用库文件的功能，系统便会将库文件传输到内存中并连接到程序以占用它。程序的任务处理，然后执行程序使用的功能函数，并将结果返回给程序进行显示。我们认为，它就像程序本身的功能。完成所需的功能后，DL停止运行，整个调用过程结束。 Microsoft允许这些库文件被多个程序调用，并实现完美的共享。无论程序员想要编写哪种程序，只要将相关的DL添加到代码中，它就永远不会让您有多余的花瓶。这将是您想要的任何东西。它不会给您您不想要的东西。这样，编写的程序将不再携带大量垃圾-它永远不会让您把剩菜带回家，否则将被。这是自助餐。 （静态链接和动态链接）DL ws为我们提供了数千个功能接口，足以满足大多数程序员的需求。

此外，Wi ws系统本身由数千个DL文件组成，这些DL ws系统。如果Wis使用静态链接技术，它将有多大？我不敢想。我对AP技术进行了粗略的分析。我在其中提到了“接口”。这是什么？因为不能像静态库文件一样将DL填充到程序中，所以如何让程序知道实现该功能的代码和文件成为一个问题。 Microsoft已为DL文件（如奶酪）打开了许多小孔，并且每个孔都标记在内部。存储函数的名称，只要程序根据标准规范找到相关的孔，它就可以得到想要的美味。这个孔是“应用程序接口”（Ap是一个工具箱，您可以根据需要取出螺丝刀和扳手，然后使用它。将它们放回原位。在Wis中，三个最基本的DL共同构成了基本的DL是编译后的代码，与普通程序没有太大区别，只是它不能独立运行并且需要程序调用，因此，DL的代码与其他程序几乎相同，只是接口和启动方式不同，只需更改代码条目，DL条目的EXE即可，并且DL的功能可以视为程序的几个功能模块DL具有完整的Trojan horse功能，这就是DL Trojan horse的概念。有人可能会问，既然相同的代码可以实现Trojan horse功能，那么直接编写程序就可以了，为什么需要将它作为DL运行时直接挂在调用中来编写呢？ ，没有其他过程，因此与传统的E XE木马相比，很难找到。

DL ws在加载DL XE mas时必须找到并执行DL导出，但这是一个内部功能。 Dl功能仍然可以使用。这是因为Wi ws将在找不到Dl时找到一个默认的Dl函数，该函数不会从其他运行时库执行任何操作。 DL方法不是很好吗？尽管这是事实，但DL Trojan木马并不像某些人想象的那样容易编写。要编写可用的DL Trojan马，请不要像AP库一样编​​写Trojan马模块。这不是WINAP开发的木马。可以导出几个辅助功能，但是必须有一个负责代码主要执行的过程，否则这个DL功能就更不用说工作了。如果涉及一些通用代码，则可以在DL中编写一些内部函数供您自己的代码使用，而不是将所有代码开放为接口，因此很难单独调用，并且更不可能播放角色。由DL Trojan马运行的代码，或指向DL动态嵌入技术Wi ws的代码，每个进程都有自己的私有内存空间，不允许其他进程在此私有区域上运行，但是实际上，我们仍然可以使用各种该方法输入并处理进程的私有内存。这是动态嵌入，这是一种在运行过程中嵌入自己的代码的技术。动态嵌入有很多种，最常见的是钩子和AP木马使用远程线程技术将自己挂在正常的系统进程中。实际上，动态嵌入并不少见。 Logitech的Mo远程线程技术是通过在另一个进程中创建远程线程（Remo）来进入该进程的内存地址空间。

在DL Trojan木马类别中，此技术也称为“注入”。当运营商在注入的进程中创建远程线程并命令其加载DL时，木马会挂起并执行，并且不会生成新进程。如果要停止木马，挂接木马DL的唯一方法是启动木马。有些人可能不愿意说仅仅将这个DL添加到系统启动项目中是不够的。答案是不。如前所述，DL无法独立运行，因此无法在启动项目中直接启动。如果要运行木马，则需要使用E XE来使用动态嵌入技术，以使DL赶上其他正常进程，并让嵌入式进程调用此DL函数来刺激木马运行。最终，木马的EXE结束，木马开始。完成。启动DL Trojan的EXE是重要角色。它被称为L Trojan，很烂。因此，成熟的DL不会轻易被破坏。还记得尴尬的故事吗？ DL参数]）就像调用AP的启动函数来触发木马模块开始执行一样，即使您杀死r，木马也仍然存在。最常见的示例之一是3个启动项。）注册表中的Ap密钥也被某些木马用来启动自己，例如自荐信病毒。使用注册表启动是对使系统执行Dl稳定性有很高的要求，稍有错误就会导致系统崩溃，因此这种木马很少见。 Wi ws中有一些更复杂的DL动态嵌入技术，每个进程都有其自己的私有内存空间，不允许其他进程在此私有域上运行，但实际上，我们仍然可以使用各种方法来输入和操作进程的私有内存，这是动态嵌入，它是在运行的进程中嵌入自己的代码的技术。

动态嵌入有很多种，最常见的是钩子和AP木马都使用远程线程技术将自己挂在正常的系统进程中。实际上，动态嵌入并不少见。 Logitech的Mo远程线程技术是通过在另一个进程中创建远程线程（Remo）来输入该进程的内存地址空间。在DL木马类别中，此技术也称为“注入”。当运营商在注入的进程中创建远程线程并指示其加载DL时，木马会挂断并执行。没有新的过程产生。停止木马的唯一方法是挂接木马DL。有些人可能会急于说直接将此DL添加到系统启动项目中是不够的。答案是不。如前所述，DL无法独立运行，因此无法在启动项目中直接启动。如果要运行木马，则需要使用动态嵌入技术的E XE，以使DL赶上其他正常进程，并让嵌入式进程调用此DL函数来刺激木马运行。最终，木马的EXE结束，木马开始。完成。启动DL Trojan的EXE是重要角色。它被称为L Trojan，非常混乱。因此，成熟的DL不会轻易被破坏。还记得尴尬的故事吗？ DL参数]）就像调用AP的启动函数来触发木马模块开始执行一样，即使您杀死r，木马也仍然存在。最常见的示例之一是3个启动项。）注册表中的Ap密钥也被某些木马用来启动自己，例如自荐信病毒。

使用注册表启动是使系统执行Dl。对系统的稳定性有很高的要求。轻微的错误将导致系统崩溃，因此这种木马很少见。有些更复杂的DL木马是不现实的，因此非常有必要安装能够检测并杀死这种木马的防病毒软件。这里还提醒读者，应及时更新病毒，以确保可以有效地检查和杀死大多数木马病毒。当然，我们也可以在计算机上安装反木马工具，例如Trojan。 。检查是否有未知端口打开并监视端口通信。只要连接了木马，接收/发送数据时端口就会打开。 DL CP / UDP端口的连接以及开放端口的进程标识符也可以由进程端口查看工具直接使用。木马可以使用端口劫持或端口重用。通信，因此仅检查端口是不够的。如有必要，我们可以使用嗅探器来了解开放端口正在传输的数据。文件。安装系统和所有应用程序后，您可以将所有EXE和DL文件信息导出到系统目录下S文件夹中EXE和DL的TXT文件中。以后发现异常时，可以再次使用同一命令进行备份，并使用F命令比较两个EXE文件和DL文件。这样，我们可以找到可疑的EXE和DL文件。同时，我们可以通过文件大小和创建时间来判断是否将DL Trojan插入系统进程。您可以使用一些第三方处理工具来查看该进程调用的DL Trojan木马。

此类查看工具包括进程猎人，进程等。此外，我们还可以使用XP系统随附的命令行工具文件，并将信息导出到TXT文件中以随时保存以进行比较。但是我们必须使用这种木马，因为它更难检测和杀死，因此WS系统中的许多驱动程序和程序都是运行所必需的文件。一般来说，这种类型的文件不能单独运行。必须通过E XE文件调用它。当执行DL XE文件时，被调用的DL文件被隐藏并且难以删除。因此，当前许多流行的木马程序都使用它。将该DL文件加载到正常的系统进程中，以达到隐藏木马进程和保护该木马文件的目的-这就是所谓的DL注入木马。以DL木马“上兴远程控制木马”为例进行说明。运行“ Shangxing Trojan”后，在界面中单击“配置服务器”按钮以打开服务器。在“ DNS域名解析更新I地址”或“动态DNS域名”中，通过输入安装名称生成的服务器DL文件将被注入下面“主机进程名称”中指定的系统进程中，默认值为“ e alert”，无法清除病毒如果将DL Trojan植入系统，将会发生什么？首先，该系统由黑客远程控制，并且发生数据丢失。其次，防病毒软件将警告系统中存在病毒，但无法清除。例如，在计算机上运行上面制成的Shangxing Remote Control木马后，安装在作者计算机上的防病毒软件提示出现病毒，但未能删除DL病毒文件。

即使我们手动删除了病毒文件，由于正在使用DL文件，它也不会被完全删除。即使进入安全模式，您也会得到相同的结果。另外，由于将DL Trojan马插入系统进程中，因此无法通过任务管理器和其他进程工具找到任何Trojan马进程，这给移除Trojan马带来了很大的困难！无法删除病毒文件，无法找到木马程序，那么如何删除DL注入木马程序？尽管木马没有自己的进程，但是存在主机进程。只要终止主机进程并调用DL文件，删除DL Trojan的第一步就是找到该Trojan注入的主机进程。那么，我们如何找到木马注入的宿主进程？让我们仔细看看。以删除“上兴远程控制木马”为例。您已经从防病毒软件的警报提示符中了解了木马DL文件的进程管理工具。查找文件的主机进程。有很多这样的工具。例如，在著名的I CE之后，单击左侧。在侧栏“查看进程”中，您可以在右侧窗口中看到所有进程的列表。右键单击一个进程，然后在弹出菜单中选择“模块信息”命令，以查看该进程调用的所有DL文件。提示：使用DL主机文件时，可以关闭其他不相关的程序，然后依次在这些进程中检查DL文件。但是，一一检查系统过程确实很麻烦。我们如何快速找到木马的宿主进程？您可以使用一个名为“ p”的程序，该程序界面的中间是一个树状的进程关系列表，每个进程的详细信息如下。

单击菜单“ F”命令，打开DL”，然后输入要查找的关键字，在此输入刚才由防病毒软件扫描的DL”按钮，即可看到DL文件被哪个进程调用在下面的列表中。进行小测试，清除DL注入木马的常见过程。对于这两个过程中的大多数，DL。对于这种常见的DL Trojan进程，将很方便清除。如果是DL浏览器进程，那么您需要先关闭所有I文件。只需删除它。如果DL”正在进行中，则将有些麻烦。由于此过程用于显示桌面和资源管理器，因此当“ e”过程通过任务管理器终止时，将无法看到桌面，所有图标桌面消失，所有图标（如“我的电脑”和“网络邻居”）都消失了，同时，我无法打开资源管理器找到要删除的Trojan文件，该怎么办？解决方案也非常简单，在任务管理器中单击菜单“文件新任务运行”，然后打开“创建新任务”对话框，单击“浏览”按钮并浏览对话框以打开DL文件所在的路径然后，选择“文件类型”作为“所有文件”以显示和删除DL文件除了DL Trojan木马之外，还向系统中的关键进程（例如s进程）注入了许多Trojan木马。这些过程无法使用常规方法终止，而是使用特殊工具终止该过程后，可能导致系统崩溃并无法正常运行。对于这些木马，我们可以通过以下两种方法清除它。

该功能非常强大。我们之前已经介绍过。在这里，您可以使用它来卸载已插入到正在运行的系统进程中的DL的进程列表显示窗口，右键单击DL Trojan文件，然后选择“文件”后，单击“强制撤消”命令以卸载该文件。 DL Trojan文件在系统进程中。系统进程中的DL Trojan使用I Trojan文件，但是有些特殊的Trojan木马会在卸载时导致系统崩溃。重启。例如，运行了一个著名的“木马PCS”进程，因为该进程是由Wi ws登录控制的，所以当使用I卸载时，系统将立即异常重启，没有时间清除DL Trojan horse，必须在过程运行之前进行。防止加载DL文件的安全工具-“ S是生产的系统监视软件。它通过监视系统特定的文件（例如注册表等）和应用程序来保护系统安全。该软件功能非常强大，可以协助防火墙和防病毒软件更好地保护系统安全性。运行SM，在程序界面中选择“规则”选项卡，右键单击中间规则列表中的空白，然后选择“添加”命令。将会弹出一个文件浏览窗口。选择浏览文件类型为“ DL”，然后在其中选择指定的文件路径。 C：）”。完成规则设置的添加后，单击“应用设置”按钮，然后重新启动系统。DL将在系统启动时加载并运行。当系统重新启动时，将显示“ S”木马文件。 ，该木马文件将不会被任何程序使用。您可以在硬盘上找到该木马文件并将其直接删除。

DL注入木马不会感染其他文件。只要木马进程结束并且删除病毒文件，木马就不会有害。剩下的工作是删除木马在注册表和其他启动文件中留下的条目。方法很简单，单击“开始”，输入“ r”命令，将打开“注册表编辑器”，使用搜索功能，可以清除注册表中木马留下的垃圾；输入“ ms”命令，您可以打开系统配置实用程序以清除启动文件中木马的踪迹。编辑后版本：Trojans选择注入的系统进程也不同。当遇到这种类型的木马时，我们首先可以考虑文件的宿主进程。找到主机进程后，如果将其注入到正常的终止进程中，则可以在终止主机进程后直接删除DL文件。如果将其注入系统的关键流程，则可以考虑使用I

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/shouji/article-328426-1.html