|
带着疑问学习 “DLL技术”木马进程内幕大揭密(3)
Loader可以是多种多样的，Windows的rundll32.exe也被一些DLL木马用来做了Loader，这种木马一般不带动态嵌入技术，它直接挂着rundll32进程运行，用rundll32的方法像调用API一样去引用这个DLL的启动函数激发木马模块开始执行，即使你杀了rundll32，木马本体还是在的，一个最常见的例子就是3721中文实名，虽然它不是木马。
注册表的AppInit_DLLs键也被一些木马用来启动自己，如求职信病毒。利用注册表启动，就是让系统执行DllMain来达到启动木马的目的。因为它是kernel调入的，对这个DLL的稳定性有很大要求，稍有错误就会导致系统崩溃，所以很少看到这种木马。有一些更复杂点的DLL木马通过svchost.exe启动，这种DLL木马必须写成NT-Service，入口函数是ServiceMain，一般很少见，但是这种木马的隐蔽性也不错，而且Loader有保障。
4.寥寥无几
由于DLL木马挂着系统进程运行，如果它本身写得不好，例如没有防止运行错误的代码或者没有严格规范用户的输入，DLL就会很容易出错并崩溃。但是DLL崩溃会导致它挂着的程序跟着遭殃，别忘记它挂接的可是系统进程啊，结局就是……惨不忍睹。所以写一个能公布的DLL木马，在排错检查方面做的工作要比一般的EXE木马多，甚至写得多了连编写者自己都会烦躁不已！
六、DLL木马的发现和查杀
经常看看启动项有没有多出莫名其妙的项目，这是Loader的所在。而DLL木马本体比较难发现，，在Loader里查找DLL名称，或者从进程里看有没有挂接什么陌生的DLL！但是，对于一些计算机的初级用户来说，这样的发现过程是非常困难的！因此，最简单的方法：杀毒软件和防火墙！
|
