識(shí)別系統(tǒng)的僵尸服務(wù)

當(dāng)黑客入侵一臺(tái)主機(jī)后，為了不讓這臺(tái)“肉雞”跑掉，經(jīng)常會(huì)在肉雞上種下木馬。木馬通常會(huì)在啟動(dòng)項(xiàng)和注冊表中動(dòng)手腳，以跟隨系統(tǒng)一同啟動(dòng)，這樣很容易暴露自己。因此，黑客就想出了更為陰險(xiǎn)的辦法，那就是將一個(gè)正常的系統(tǒng)服務(wù)替換為木馬的服務(wù)，由于人們在檢查系統(tǒng)時(shí)一般不會(huì)深入到系統(tǒng)服務(wù)，因此黑客就達(dá)到長期控制主機(jī)的目的。本文將帶大家深入了解這種技術(shù)，教大家找出隱藏在系統(tǒng)中的木馬服務(wù)。

在Windows 2000/XP/2003系統(tǒng)中，服務(wù)是指執(zhí)行指定系統(tǒng)功能的程序、例程或進(jìn)程，以便支持其它程序，尤其是底層(接近硬件)的程序。網(wǎng)絡(luò)提供服務(wù)時(shí)，服務(wù)可以在Active Directory(活動(dòng)目錄)中發(fā)布，從而促進(jìn)了以服務(wù)為中心的管理和使用。木馬如果用服務(wù)來啟動(dòng)自身，不僅會(huì)很隱蔽，而且更為穩(wěn)定和安全。

雖然有些木馬默認(rèn)就以服務(wù)的方式啟動(dòng)，但是多一項(xiàng)服務(wù)就會(huì)增加被暴露的幾率，因此替換系統(tǒng)本身就有的服務(wù)成了木馬隱蔽自己的最好選擇。那么黑客是如何替換系統(tǒng)服務(wù)的呢?

說到替換服務(wù)，就不得不提到SC這款著名的服務(wù)管理工具，它幾乎可以完成對服務(wù)的所有操作，正因?yàn)樗δ軓?qiáng)大，因此也成為了黑客的最愛。用它來替換系統(tǒng)的服務(wù)簡直就是小菜一碟。

替換服務(wù)首先要找到一個(gè)目標(biāo)服務(wù)，這個(gè)服務(wù)一定要是用戶不太會(huì)用到的服務(wù)，這樣在替換服務(wù)后才不至于導(dǎo)致系統(tǒng)出現(xiàn)問題。比如ClipBook服務(wù)(剪切板查看器)，相信很少有人會(huì)用到；Event Log(日志記錄)，同樣也鮮有人去查看系統(tǒng)日志。有很多服務(wù)都是我們平常用不到的，這些就成了黑客替換服務(wù)的目標(biāo)。

找到目標(biāo)服務(wù)后，就可以動(dòng)手了。以ClipBook服務(wù)為例，在命令提示符中運(yùn)行SC程序，輸入命令“SC qcClipSrv”，其中“ClipSrv”是服務(wù)名，回車后即可查看該服務(wù)的信息。在“START_TYPE”一欄中的參數(shù)為“DEMAND START”，即表示服務(wù)的啟動(dòng)方式為手動(dòng)，如果要讓木馬隨系統(tǒng)啟動(dòng)，這里當(dāng)然不能是手動(dòng)，因此我們來把它改為自動(dòng)，輸入命令“sc config clipsrv start=auto”，回車后該服務(wù)的啟動(dòng)方式就被設(shè)為自動(dòng)了。

從sc的qc命令中我們可以得知ClipBook服務(wù)的可執(zhí)行文件路徑為C:\\windows\\system32\\clipsrv.exe，我們將木馬文件放置于c:\\windows\\system32目錄，這樣做的目的是為了增強(qiáng)木馬文件的隱蔽性。繼續(xù)在命令提示符中輸入命令“sc config clipsrv binpath=\"c:\\winnt\\system32\\muma.exe”回車后，ClipBook服務(wù)的可執(zhí)行文件就被換成了muma.exe，我們可以再次使用qc命令確認(rèn)。至此，系統(tǒng)服務(wù)的替換就完成了。

如果你對服務(wù)不是很了解，并不代表就對黑客替換的系統(tǒng)服務(wù)無能為力，借助一些安全工具，還是可以將被替換的服務(wù)找出來的。我們可以借助“超級巡警”這款安全工具查找被替換的服務(wù)。運(yùn)行程序，點(diǎn)擊工具欄上的“高級”按鈕，接著打開“服務(wù)管理”標(biāo)簽，如果系統(tǒng)中有服務(wù)被替換，在這里會(huì)以黃色的條目標(biāo)出，哪些服務(wù)有問題一眼便知。找出被替換的服務(wù)后，用右鍵點(diǎn)擊它，選擇“編輯服務(wù)”，將可執(zhí)行文件的路徑改回來即可，最后別忘了將藏在系統(tǒng)中的木馬刪除喲。