关于查杀木马

背景

今天在yuange的微博中看到一些关于查杀木马的技巧，原文“这些都是些实战经验，还有dlllist过滤0x10000000地址查木马，vc默认模块地址0x10000000,微软为了加快加载地址不冲突自己的模块都错开分配好了的，而绝大多数木马开发者不懂这些，简单工具就过滤90%以上木马。再配合我的独门绝技打开Dnsrslvr.log记录DNS，基本上简单的手工就可以查出起码95%以上木马。”

其中提到dlllist过滤0x10000000地址查木马和打开Dnsrslvr.log记录DNS两点。碰巧yuange又提到一个例子，说到文章作者的方法比较麻烦：清除以服务启动DLL插入型木马

看了这篇文章后，再加上yuange的说法有些小收获

1. dll加载列表

在”开始”->”运行”里输入msinfo32.exe，紧接着片打开了一个程序窗口，接着按照下面的方式进行建立，在左侧下拉列表菜单中选择”软件环境”->”加载的模块”，就可以查看到所有进程加载的模块。 接着可以在顶部的下拉菜单中选择”文件”->”导出”，将当前的列表导出为文本文件。这样就完成了备份，由于服务器配置完毕后很少在进行其他的软件安装，也很少更改当前的配置，所以这些被加载模块的名称一般是不变的。
感觉这种方法类似做一个白名单，在刚配置好系统环境的可信初期，建立这么一个列表，有助于以后发现恶意加载的dll.
当然了yuange认为这种方法比较麻烦，在上述文章后面的分析中，用冰刃，通过分析业务关闭时的特殊对外端口，找到特殊进程，再在进程中找到可疑加载模块。而这时，我看到这个可疑加载模块的base正是0x10000000。这应该也就是yuange提到的那个方法，直接找base是0x10000000的dll可能很快就能发现木马。

究其原因，貌似一般系统进程加载的正常模块都是0x50000000以上，这个自己开发的模块在不做调整的情况下文件基址一般都是0x10000000，即“vc默认模块地址0x10000000,微软为了加快加载地址不冲突自己的模块都错开分配好了的”，这些还有待深入研究。

2. Dnsrslvr log

在网上搜了一下，在这篇关于windows log的文章中看到

1.3. DNS Client service

The DNS Client service does not log by default. However, if a file named %systemroot%\system32\dnsrslvr.log is manually created, this file is used by the service to log debug information:

C:\WINDOWS\system32>echo “” > dnsrslvr.log
In Windows XP and Windows Server 2003, NTFS write permissions for the NETWORK SERVICE SID must be explictly given:

C:\WINDOWS\system32>cacls dnsrslvr.log /E /G “NETWORK SERVICE”:W
Table 3. DNS Client service

Filename Service or program Windows version Description
%systemroot%\system32\dnsrslvr.log Dnscache service W2K, WXP, W2K3 DnsCache service debug log

总而言之，它应该是windows DNS客户端的log，默认是不开启的，我在自己的电脑上也确实没有找到这个文件，只找到了Dnsrslvr.dll这应该是它相关的动态库。也就是说，如果打开了这个功能，DNS的请求应该会留下相关的DNS记录，这样，木马外连时，应该就会留下痕迹，不得不说，yuange对windows的了解还是很深入的。这种方法应该不适用于外连直接用IP地址的情况，也不太适用于外连一个知名网站，然后在上面取目标IP的情况。不过这种情况应该不多，确实是一个简单有效的方法。

后来在自己机子（win7）上试着想打开这个log，但是敲命令后没有感觉，文件没有内容进来。后来在百度上没找到啥，google后看到个别人也在问，看了半天也没找到方法，后来看到微软的网站上有人写
“Perform the following procedures to install and enable DNS diagnostic logging on Windows Server 2012 R2. To install DNS diagnostic logging, the computer must be running the DNS Server role service.”
貌似要装什么服务才行，我觉得应该没这么麻烦，以后有空再弄吧。