怎么使用winrar编程软件(利用WinRAR来捆绑木马2贴)
怎么使用winrar编程软件(利用WinRAR来捆绑木马2贴)
2024-11-26 02:58:15  作者:寒号鸟  网址:https://m.xinb2b.cn/tech/dyv398441.html


主题1,识破用WinRAR捆绑的木马随着人们安全意识地提高,木马的生存越来越成为问题,木马种植者当然不甘心木马就这样被人所发觉,于是他们想出许多办法来伪装隐藏自己的行为,利用WinRAR捆绑木马就是其中的手段之一。那么我们怎么才能识别出其中藏有木马呢?本文讲述的正是这个问题。攻击者可以把木马和其他可执行文件,比方说Flash动画放在同一个文件夹下,然后将这两个文件添加到档案文件中,并将文件制作为exe格式的自释放文件,这样,当你双击这个自释放文件时,就会在启动Flash动画等文件的同时悄悄地运行木马文件!这样就达到了木马种植者的目的,即运行木马服务端程序。而这一招效果又非常好,令对方很难察觉到,因为并没有明显的征兆存在,所以目前使用这种方法来运行木马非常普遍。为戳穿这种伪装,了解其制作过程,做到知己知彼,下面我们来看一个实例。下面我们以一个实例来了解这种捆绑木马的方法。目标是将一个Flash动画(1.swf)和木马服务端文件(1.exe)捆绑在一起,做成自释放文件,如果你运行该文件,在显示Flash动画的同时就会中木马!具体方法是:把这两个文件放在同一个目录下,按住Ctrl键的同时用鼠标选中1.swf和1.exe,然后点击鼠标右键,在弹出菜单中选择“添加到档案文件”(图1),会出现一个标题为“档案文件名字和参数”的对话框,在该对话框的“档案文件名”栏中输入任意一个文件名,比方说暴笑三国.exe(只要容易吸引别人点击就可以)。注意,文件扩展名一定得是.exe(也就是将“创建自释放格式档案文件”勾选上),而默认情况下为.rar,要改过来才行,否则无法进行下一步的工作(图2)


(图1)


(图2)接下来点击“高级”选项卡,然后单击“SFX选项”按钮(图3),会出现“高级自释放选项”对话框,在该对话框的“释放路径”栏中输入C:\Windows\temp(图4),其实“释放路径”可以随便填,就算你设定的文件夹不存在也没有关系,因为在自解压时会自动创建该目录。在“释放后运行”中输入1.exe,也就是填入攻击者打算隐蔽运行的木马文件的名字。


(图3)


(图4)下一步,请点击“模式”选项卡,在该选项卡中把“全部隐藏”和“覆盖所有文件”选上(图5),这样不仅安全,而且隐蔽,不易为人所发现。如果你愿意的话,还可以改变这个自释放文件的窗口标题和图标,点击“文字和图标”(图6),在该选项卡的“自释文件窗口标题”和“显示用于自释文件窗口的文本”中输入你想显示的内容即可,这样更具备欺骗性,更容易使人上当。最后,点击“确定”按钮返回到“档案文件名字和参数”对话框。


(图5)


(图6)下面请你点击“注释”选项卡,你会看到如图所示的内容(图7),这是WinRAR根据你前面的设定自动加入的内容,其实就是自释放脚本命令。其中,C:\Windows\temp代表自解压路径,Setup=1.exe表示释放后运行1.exe文件即木马服务端文件。而Silent和Overwrite分别代表是否隐藏和覆盖文件,赋值为1则代表“全部隐藏”和“覆盖所有文件”。一般说来,给你下木马的人为了隐蔽起见,会修改上面的自释放脚本命令,比如他们会把脚本改为如下内容:


(图7)

Path=c:\windows\tempSetup=1.exeSetup=explorer.exe 1.swfSilent=1Overwrite=1

仔细看,其实就是加上了Setup=explorer.exe 1.swf这一行,点击“确定”按钮后就会生成一个名为暴笑三国.exe的自解压文件,现在只要有人双击该文件,就会打开1.swf这个动画文件,而当人们津津有味的欣赏漂亮的Flash动画时,木马程序1.exe已经悄悄地运行了!更可怕的是,还可以在WinRAR中就可以把自解压文件的默认图标换掉,如果换成你熟悉的软件的图标,对大家来说是不是更危险?利用WinRAR制作的自解压文件,不仅可以用来加载隐蔽的木马服务端程序,还可以用来修改对方的注册表。比方说,攻击者可以编写一个名为change.reg的文件。接下来用“实例”中的办法将这个文件制作成自解压文件,保存为del.exe文件即可。注意在制作过程中要在“注释”中写上如下内容:

Path=c:\WindowsSetup=regedit /s change.regSilent=1Overwrite=1

完成后按“确定”按钮,就会建立出一个名为del.exe的Winrar自解压程序,双击运行这个文件,将不会有导入注册表时的提示信息(这就是给regedit加上“/s”参数的原因)就修改了注册表键值,并把change.reg拷贝到C:\Windows文件夹下。此时你的注册表已经被修改了!不仅如此,攻击者还可以把这个自解压文件del.exe和木马服务端程序或硬盘炸弹等用WinRAR捆绑在一起,然后制作成自解压文件,那样对大家的威胁将更大!因为它不仅能破坏注册表,还会破坏大家的硬盘数据,想想看是不是很可怕?从上面的实例中不难看出,WinRAR的自解压功能真的是太强大了,它能使得不会编程的人也能在短时间内制作出非常狠毒的恶意程序。而且对于含有木马或恶意程序的自解压文件,目前许多流行的杀毒软件和木马查杀软件竟无法查出其中有问题存在!不信的话,大家可以做个试验,就知道结果了。那么该怎样识别用WinRAR捆绑过的木马呢?只要能发现自释放文件里面隐藏有多个文件,特别是多个可执行文件,就可以判定其中含有木马!那么怎样才能知道自释放文件中含有几个文件,是哪些文件呢?一个简单的识别的方法是:用鼠标右击WinRAR自释放文件,在弹出菜单中选择“属性”,在“属性”对话框中你会发现较之普通的EXE文件多出两个标签,分别是:“档案文件”和“注释”(图8),单击“注释”标签,看其中的注释内容,你就会发现里面含有哪些文件了,这样就可以做到心中有数,这是识别用WinRAR捆绑木马文件的最好方法。


(图8)最后再告诉大家一个防范方法,遇到自解压程序不要直接运行,而是选择右键菜单中的“用WinRAR打开”,这样你就会发现该文件中到底有什么了。主题2,用WinRAR解析木马的捆绑原理今天朋友突然向我求救,说网络游戏传奇世界的号被盗了,由于朋友是在家上网,排除了在公共场所帐号和密码被别他人瞟视的可能。据朋友所说,在被盗的前一个多小时,在网上下载了一个网友的照片,并打开浏览器,但是出现的确实是网友的照片,并且是用“Windows 图片和传真查看器”(朋友家是XP系统)打开的,这也可以肯定一定是图片文件。朋友还告诉笔者后缀名是.gif,很显然是图片文件,朋友的电脑也没有安装杀毒软件,并且最重要的是那个文件还没有删。  笔者便让朋友把那个文件通过QQ发了过来,发送的时候笔者在qq显示文件名中发现了那个文件并不是gif文件,而是exe文件,文件名是:我的照片.gif.exe,并且它的图标也是图片文件的图标,见图1。笔者认为朋友的电脑应该打开了“隐藏已知文件类型的扩展名”(大家可以在“我的电脑”菜单中“工具→文件夹选项→查看→高级设置”中设置,见图2,所以告诉我后缀名是gif。笔者无意中右点了下这个文件,发现可以用“WinRAR打开”,于是笔者就用WinRAR打开了,发现里面含有两个文件——我的照片.gif和server.exe,可以肯定这server.exe就是木马,也就是朋友盗传奇世界号的罪魁祸首。


图一


图二  由于可以直接用WinRAR打开,笔者断定它就是由WinRAR制作的,现在笔者就开始解密它的制作过程。首先要有图片文件的ico(图标)文件(可以使用其他软件提取,笔者就不在这里讲述详细过程了),如图3。把图片文件和木马都选定,右点,选择“添加到档案文件”(WinRAR的选项),见图4,在“档案文件名”那输入压缩后的文件名,比如:我的照片.gif.exe,后缀如果为.exe就可以直接执行,如果不是.rar就会打开WinRAR,所以这里最后的后缀为.exe,根据自己的需要选择“压缩方式”,然后点击“高级”标签,选择“SFX 选项”,见图5,在“释放路径”中填入你需要解压的路径,笔者这里填的是“%systemroot%\temp”(不包括引号),表示解压缩到系统安装目录下的temp(临时文件)文件夹下,并且在“安装程序”的“释放后运行”输入“server.exe”(不包括引号),在“释放前运行”输入“我的照片.gif”(不包括引号)。


图三


图四


图五  这样在解压缩前将会打开我的照片.gif这个文件,造成朋友对文件判断的假象,会认为它就是一个图片文件,而释放完以后便会自动运行木马(即server.exe)。在“模式”标签的“缄默模式”中选择“全部隐藏”,“覆盖方式”中选择“覆盖所有文件”,在“文字和图标”标签的“自定义SFX图标”,载入刚才所准备的图片文件的ico文件,然后点击“确定”即可,这样即天衣无缝的制作了一个捆绑图片的木马。当打开这个文件时,会先运行图片文件,再自动打开木马文件,中间不会出现任何提示。  注:希望广大朋友不要进行非法用途,在这里解密木马捆绑是希望大家了解其原理。主题3,用WinRAR解析木马的捆绑-补遗朋友们看了《用WinRAR解析木马的捆绑》可能会有一个疑问:有时遇到的WinRAR自解压缩文件,自解压以后同时运行了多个文件(《用WinRAR解析木马的捆绑》一文中介绍的是自解压以后同时运行了一个文件。),比如有的木马运行了客户端,还会同时运行几个破坏程序,查杀起来也比较麻烦。  其实自解压以后同时运行了多个文件也很简单的。先按《用WinRAR解析木马的捆绑》一文制作以后,再在”档案文件名称和参数”对话框中,选择”注释”,然后输入:

Setup=a.exe  Setup=b.exe  Setup=c.exe

  (不包含引号。如图。)。其中”a.exe”,”b.exe”,”c.exe”就是自解压缩以后同时运行的程序,但是它们必须在自解压缩文件包内。当然,也可以不是程序,任何文件都可以(比如:图像文件「.jpg,.gif.bmp」,动画文件「.swf」,文本文件「.txt」,网页文件「.htm,.html,.shtml」等等。)。当然也不限制同时运行文件的数量,只要你想运行多少就添加几个”Setup=”即可。点击”确定”即开始制作自解压缩文件。


  其实也可以使多个文件(用快捷方式也不错哦!)合并为同一个自解压缩文件,但运行时只需运行一个自解压缩文件,却同时运行了多个文件,”懒人”可以试试哦,搞个恶作剧也不错哦

  • 漫画中的那些不可告人的画面(让所有天津人破防)
  • 2024-11-26让所有天津人破防2022年1月8日起天津疫情受到全国关注在这样一个带着些许紧张日子里一张天津姑娘创作的漫画让所有天津网友破防了!网友们纷纷表示:太温暖了希望下一次排队我们是去买煎饼果子......天津姑娘画漫画为家乡。
  • 绒组词(绒怎么组词)
  • 2024-11-26绒怎么组词丝绒、用蚕丝和人造丝为原料织成的丝织品,表面起绒毛,色泽鲜艳、光亮,质地柔软,供制妇女服装、帷幕、装饰品等绒毛、人或动物身体表面和某些器官内壁长的短而柔软的毛驼绒、骆驼的绒毛,用来织衣料或毯子,也可以。
  • 哈弗h6起步时有顿挫感(哈弗H6起步无力没劲怎么办)
  • 2024-11-26哈弗H6起步无力没劲怎么办车辆概况:兄弟的2019款哈弗H6,是新车刚出来的时候买的,至今也已经有2年了行驶了将近40000公里,期间没有发生过事故,车子状况比较好故障描述:最近1个多月,总感觉提速的时候顿挫,加速的时候,发动。
  • dos启动项设置命令(DOS命令-如何进行系统配置)
  • 2024-11-26DOS命令-如何进行系统配置由于软件的增多,而不同软件所需的系统配置并不相同,致使我们需要经常改变配置,如果每次都改写config.sys是相当麻烦的,于是DOS设计了菜单式多重任务选择的配置,就方便多了,比如有些游戏无需扩展内。
  • 2022梦幻西游新区五开攻略(梦幻西游2022低成本五开攻略)
  • 2024-11-26梦幻西游2022低成本五开攻略不多BB,直接正题,有不懂的再问第一:门派组合2大唐1普陀1无底1盘丝选2大唐的理由:号便宜,经脉风刃超级好用,横扫50%获得风魂,只需要配置一把必中刀经脉自带小罗汉,起后发能抗能回血有输出普通副本任。
  • 坦克世界t95比e3好玩(玩出花来的T95酋长)
  • 2024-11-26玩出花来的T95酋长《坦克世界》的老玩家们,在看待Y系坦克的问题上,其实都有着高度一致的态度:会用的一直用,不会用的干脆别用这主要是因为Y系坦克的短板和优势都太过于明显,轻坦还好,速度和火力都非常优秀,最多只是装甲薄,皮。
  • 酸辣木瓜丝怎么做(酸辣木瓜丝的做法)
  • 2024-11-26酸辣木瓜丝的做法用料:大蒜2瓣剁椒酱2勺青木瓜半个酱油少许白醋少许盐1小勺食用油少许青木瓜切丝,蒜瓣切末,备用热锅,倒入少许油,润一遍锅底就行油热后,改小火,下蒜末炒一下,下剁椒酱,跟着蒜末一起炒香下木瓜丝,翻炒,加。
  • 大光圈镜头使用技巧图解(两款入门大光圈标头对比)
  • 2024-11-26两款入门大光圈标头对比入门标头,可谓是大家在摄影之路上的必经之选说起各家用户量最大的定焦镜头,那么无疑就是50mmf/1.8了而佳能和索尼都在近两年升级了自己的标头,那么这两款如今人气颇高的50mm镜头究竟孰能更好地成为入。
  • 春秋宋国皇帝排序(宋国历代君主的在位时间和事迹)
  • 2024-11-26宋国历代君主的在位时间和事迹宋国宋国在周朝是一个比较特殊的诸侯国,与周为客,而非臣子,被周天子尊为“三恪”之一,还被封为公爵,后成为春秋五霸之一,公元前1036年,商纣王的长兄微子启,被周成王封于商丘,建立宋国,公元前286年,。
  • 世界上有趣吉尼斯世界纪录(快来看这些超好玩的吉尼斯世界纪录)
  • 2024-11-26快来看这些超好玩的吉尼斯世界纪录说到吉尼斯世界纪录,你的脑袋中是不是冒出了:一分钟做最多个仰卧起坐的人、做平板支撑最长时间的人……这些只存在于想象中、普通人却无法企及的世界纪录?打住打住,今天这场吉尼斯世界纪录挑战赛跟大家想象的可不。
  • 霍建华心里是怎样想的(是娱乐圈的清醒)
  • 2024-11-26是娱乐圈的清醒最近,有人曝光了霍建华的偷拍视频镜头中,他与友人聚餐,相谈甚欢,42岁笑得犹如18岁的阳光少年聚餐之后,他又独自逛超市,顺便溜了狗仔8公里网友调侃:跟他的狗仔一向都很命苦,永远都只能拍到吃吃喝喝瞎闲逛。
  • 尔康和永琪打的第一仗(尔泰那么喜欢小燕子为啥说放弃就放弃了)
  • 2024-11-26尔泰那么喜欢小燕子为啥说放弃就放弃了也许小燕子永远都不知道,尔泰也是曾经喜欢过她的永琪为了小燕子确实放弃了不少,但是在第三部中,他始终是背叛了小燕子,娶了知画还生了儿子,虽说最后带着小燕子定居云南,但那也是晴儿让他看透了知画地真面目之后。