|
揪出系统中秘密隐藏的木马（下）(1) 控制面板中的木马
控制面版是Windows的基本组件，控制面板中的各个选项实际上是以cpl为后缀名的文件单独存在的，根据操作系统的不同这些文件所在的位置也有所不同，Windows 9x/Me下这些cpl文件位于Windows安装目录下的System子目录中，而Windows NT/2000/XP下则位于Windows安装目录下的System32子目录中。这些cpl文件再加上Windows安装目录中的control.exe和control.ini文件，就是控制面板的全部组成部分。
每一个cpl文件都对应“控制面版”中的一个选项，例如desk.cpl对应“桌面属性”、inetcpl.cpl对应“Internet属性”等等。由于.cpl文件的特殊性，需要使用RunDll32.exe来启动该文件，换句话说，控制面板中的任何一个选项都可以通过RunDll32.exe调用。RunDll32.exe是Windows动态连接库(DLL)管理工具，可以用来在命令行下执行动态链接库中的某个函数或者功能模块（DLL是Windows系统的另外一种可执行文件，是Dynamic Link Library的缩写。DLL是Windows的基础，所有的API函数都是在DLL中实现的。它本身并没有程序逻辑，只是由多个功能函数构成，不能独立运行，必须由其它进程加载并调用）。另外Windows安装文件夹下还有一个RunDll.exe，也是动态连接库理工具。虽然不同版本的Windows都提供RunDll.exe和RunDll32.exe文件，但是在Windows NT/2000/XP下却只支持32位的RunDll32.exe，只有Windows 9x/Me这种16位和32位混合使用的操作系统才同时对二者提供支持。
下面我们看一个利用RunDll32.exe调用shell32.dll中的Control_RunDLL，来打开desk.cpl的第一个属性页的例子。点击“开始”菜单，选择“运行”，输入：RunDll32 shell32.dll,Control_RunDLL desk.cpl,,0（注意是两个逗号），回车后，将打开“显示 属性”对话框的“背景”窗口（图3）！这说明这些.cpl文件是可执行的。换个思路想一想，如果用户把一个可执行的类似动态连接库DLL的.cpl文件放入System子目录中，则在控制面板中可以看到其这个cpl文件的图标，并且是可以执行的！这里说的“类似动态连接库DLL的.cpl文件”是指这类cpl文件可以像DLL文件那样被其它进程加载并调用，就像我们刚刚看到的那里例子一样。
用RunDll32.exe调用控制面板程序的格式如下：在“开始”菜单的“运行”中或命令行下输入：RunDll32 shell32.dll,Control_RunDLL *.cpl,,X，其中shell32.dll为被调用的DLL文件，意思为调用shell32.dll中的Control_RunDLL来打开desk.cpl文件。而“*.cpl”为你想调用的cpl文件的路径和文件名。最后的“X”为对应cpl文件的页数：从0开始，0为第一页（如desk.cpl,,0代表“显示 属性”的“背景”），1为第二页（如desk.cpl,,1代表“显示 属性”的“屏幕保护程序”），依此类推。 要注意的是：shell32.dll和Control_RunDLL两者之间只能以“,”分隔，逗号之后不能有空格，如果这里出错的话，不会得到任何提示。
根据上面的原理，就可以自己写一个无窗口或隐藏窗口的控制面板程序，将其写进注册表的启动项，使之可以自启动。如果你编写的控制面板程序是木马的话，则不仅中木马者感到不知所然，就连木马克星等软件也会不知所措！
|
