恶意代码分析实战学习之windows基础
1、黑客 Windows API
Windows 是一个很大的服务中心，调用这个服务中心的各种服务（每一种服务就是一个函数），可以帮应用程式达到开启视窗、描绘图形、使用周边设备等目的，由于这些函数服务的对象是应用程序（Application）， 所以便称之为 Application Programming Interface，简称 API 函数。
常见Windows API类型
2、句柄
句柄是在操作系统中被打开或被创建的项,比如一个窗口、进程、模块、菜单、文件,等等。
句柄在它们引用一个对象或其他某个内存位置这点上很像指针。然而,和指针不同的是,句柄不能被用来进行数学操作,并且它们不总是表示对象地址。你能对句柄做的唯一的事情,就是保存它,并在后续函数调用中使用它来引用同一个对象。
3、文件系统函数
| 打开文件 | CreateFile | 文件打开成功后会返回一个用于操作的句柄，通过这个句柄可以对文件进行操作。 |
| 关闭文件 | CloseHandle | 对文件操作完成后，需要对打开的文件句柄进行关闭以释放资源。 |
| 删除文件 | DeleteFile | 通过指定文件名字来删除文件。 |
| 读取文件 | ReadFile | 通过CreateFile返回的句柄去操作文件 |
| 写入文件 | WriteFile | 通过CreateFile返回的句柄去操作文件 |
| 即时写入 | FlushFileBuffers | 将指定句柄文件的缓冲区进行清空，使Windows将缓冲区中的文件写入磁盘。 |
| 指定读写 | SetFilePointer | 通过移动文件指针读取指定位置的内容 |
| 逻辑驱动器 | GetLogicalDriveStrings | 获取本地所有逻辑驱动器 |
| 驱动器类型 | GetDriverType | 通过指定驱动器的名字获取指定驱动器类型 |
| 创建目录 | CreateDirectory | 创建目录的函数 |
| 移除目录 | RemoveDirectory | 通过指定目录的名字移除目录的函数 |
4、注册表
4.1 注册表结构
WIN+R -> regedit
| 根键 | 注册表被划分为称为根键的5个顶层节。有时,术语HKEY和储巢也被使用。 |
| 子键 | 一个子键就像是一个文件夹中的子文件夹。 |
| 键 | 一个键是一个注册表中的文件夹,它可以包含额外的文件夹或键值。根键和子键都是键。 |
| 值项 | 一个值项是一个配对的名字和值。 |
| 值或数据 | 值或数据是存储在注册表项中的数据。 |
4.2 根键
| HKEY_LOCAL MACHINE(HKLM) | 保存对本地机器全局设置。 |
| HKEY CURRENT USER(HKCU) | 保存当前用户特定的设置。 |
| HKEY_CLASSES_ROOT | 保存定义的类型信息。 |
| HKEY CURRENT CONFIG | 保存关于当前硬件配置的设置,特别是与当前和标准配置之间不同的。 |
| HKEY_USERS | 定义默认用户、新用户和当前用户的配置。 |
4.3 注册表函数
| 打开注册表 | RegOpenKeyEx | 通过指定根键和子键字符串打开相应子键，返回子键句柄。 |
| 关闭注册表 | RegCloseKey | 通过关闭以打开的注册表句柄以释放资源。 |
| 创建子键 | RegCreateKeyEx | 通过指定根键和子键字符串创建相应子键，返回子键句柄。 |
| 删除子键 | RegDeleteKey | 删除最下一层的子键。 |
| 查询键值项 | RegQueryValueEx | 通过指定子键和键值项字符串查询相应键值。 |
| 写入键值项 | RegSetValueEx | 通过指定子键和键值项字符串写入相应键值。 |
| 删除键值项 | RegDeleteValue | 通过指定子键和键值项字符串删除相应键值。 |
| 枚举子键 | RegEnumKeyEx | 通过指定根键获取其所有子键。 |
| 枚举键值 | RegEnumValue | 通过指定子健获取其所有键值。 |
| 获取值 | RegGetValue | 获取一个键值项的值。 |
5、服务
恶意代码附加代码的另一种方式就是将它作为服务安装。Windows允许通过使用服务,来使任务作为后台应用程序运行,而不需要它们自己的进程或线程；代码被Windows服务管理器调度和运行,但没有用户输入。
常用服务函数
| 打开服务管理器 | OpenSCManager | 通过指定主机名和SCM名打开服务管理器 |
| 关闭服务管理器 | CloseServiceHandle | 可以用来关闭由OpenSCManager和OpenService打开的句柄 |
| 打开指定服务 | OpenService | 通过OpenSCManager指定的句柄和服务名打开服务 |
| 启动服务 | StartService | 通过OpenService指定的句柄启动服务 |
| 停止服务 | ControlService | 通过OpenService指定的句柄停止服务 |
| 枚举服务 | EnumServicesStatus | 可以通过多种方式枚举服务 |
| 创建服务 | CreateService | 创建一个新的服务 |
6、进程
恶意代码也可以通过创建一个新进程,或修改一个已存在的进程,来执行当前程序之外的代码。一个进程是Windows正在执行的程序。每一个进程管理它自己的资源,诸如打开的句柄与内存。一个进程包含一个或多个由CPU执行的线程。传统上,恶意代码包括它自己的独立进程,但更新型的恶意代码则普遍将自身代码作为其他进程的一部分执行。
常用进程函数
| 创建进程 | CreateProcess |
| 结束进程 | ExitProcess |
| 强制结束某个进程 | FindWindow |
| GetWindowThreadProcessId | |
| OpenProcess | |
| TerminateProcess | |
| 枚举进程 | CreateToolhelp32Snapshot |
| Process32First | |
| Process32Next |
7、线程
进程是执行代码的容器,线程才是Windows操作系统真正要执行的内容。线程是被CPU执行的独立指令序列,而不需要等待其他线程。一个进程包含一个或多个线程,它们执行进程中的一部分代码。一个进程中的所有线程共享同样的内存空间,但是每一个有它自己的处理器、寄存器和栈。
线程上下文
当一个线程运行时,它对CPU或CPU核有着完全的控制,并且其他线程不能影响CPU或核的状态,当一个线程改变CPU中某个寄存器的值时,它不会影响任何其他线程,一个操作系统在线程间切换之前,在CPU中的所有值会被保存到一个称为线程上下文的结构体中,然后操作系统加载这个线程上下文到一个新的线程中,并使这个新线程在CPU中执行。
常用线程函数
| 创建线程 | CreateThread |
| 打开线程 | OpenThread |
| 暂停线程 | SuspendThread |
| 回复线程 | ResumeThread |
| 枚举线程 | CreateToolhelp32Snapshot |
| Thread32First | |
| Thread32Next |
8、网络
客户端：socket,connect,send,recv
服务端：socket,bind,listen,accept
9、DLL
动态链接库（DLL）是使用库在多个应用程序之间共享代码的Windows特有方式。DLL文件是可执行文件，符合PE格式，但不能独自运行，依附于EXE文件执行。
DLL的入口函数是DllMain.
10、内核
内核模式操作的一种高特权模式，其中的程序代码能直接访问所有内存（包括所有的用户模式进程和应用程序的地址空间）和硬件。也称为“管理员模式”、“保护模式”或“Ring 0”。