1. 從“惡搞”到“防御”一次關(guān)于系統(tǒng)邊界的探索最近在社區(qū)里看到不少朋友在討論“C惡搞代碼”或者“無(wú)害病毒模擬”這類話題。作為一個(gè)在Windows平臺(tái)和C領(lǐng)域摸爬滾打了十幾年的老碼農(nóng)我對(duì)這個(gè)話題感觸頗深。這背后反映的其實(shí)是一種普遍的好奇心我們想知道那些看似神秘的“病毒”或惡意程序究竟是如何在系統(tǒng)中“存活”下來(lái)的。是修改注冊(cè)表是添加啟動(dòng)項(xiàng)還是創(chuàng)建計(jì)劃任務(wù)這種探究本身是學(xué)習(xí)系統(tǒng)底層機(jī)制和編程技巧的絕佳途徑。但我們必須劃清一條清晰的界限學(xué)習(xí)原理與實(shí)施破壞是兩件截然不同的事情。本文的目的絕不是提供任何具有實(shí)際破壞性的代碼或方法。恰恰相反我希望通過(guò)拆解那些所謂的“惡搞”或“模擬”程序所依賴的常見(jiàn)系統(tǒng)持久化技術(shù)如啟動(dòng)項(xiàng)、注冊(cè)表、計(jì)劃任務(wù)來(lái)為你構(gòu)建一道清晰的認(rèn)知防線。你會(huì)明白這些技術(shù)本身是中性的是Windows提供給開發(fā)者的正常功能但一旦被濫用就可能構(gòu)成威脅。我們將在一個(gè)絕對(duì)安全、可控的沙盒環(huán)境例如虛擬機(jī)中探討這些技術(shù)的實(shí)現(xiàn)原理、代碼示例以及更重要的是如何識(shí)別和防御它們。這不僅能滿足你的技術(shù)好奇心更能讓你從一個(gè)“攻擊者”的視角理解系統(tǒng)安全從而成為一名更出色的開發(fā)者或系統(tǒng)管理員。2. 核心概念澄清何為“無(wú)害模擬”與真實(shí)威脅在深入技術(shù)細(xì)節(jié)之前我們必須統(tǒng)一認(rèn)知。網(wǎng)絡(luò)上流傳的“惡搞代碼”或“病毒模擬”通常指那些模仿了惡意軟件某些行為特征如自我復(fù)制、彈窗、修改桌面背景、鎖定鼠標(biāo)等但不具備真實(shí)破壞性、不竊取信息、不加密文件、不進(jìn)行網(wǎng)絡(luò)傳播的程序。它們更像是“數(shù)字惡作劇”。而真正的惡意軟件Malware其核心目的是造成損害、牟取利益或竊取控制權(quán)。它們?yōu)閷?shí)現(xiàn)持久化即系統(tǒng)重啟后仍能運(yùn)行和隱蔽性會(huì)系統(tǒng)性地濫用操作系統(tǒng)提供的合法機(jī)制。我們即將探討的啟動(dòng)項(xiàng)、注冊(cè)表Run鍵、計(jì)劃任務(wù)和服務(wù)正是這些機(jī)制的一部分。為什么要在虛擬機(jī)或沙盒中實(shí)驗(yàn)注意任何涉及修改系統(tǒng)關(guān)鍵配置如注冊(cè)表、啟動(dòng)文件夾、任務(wù)計(jì)劃的代碼都必須在完全隔離的虛擬機(jī)如VMware Workstation、VirtualBox或?qū)Ｓ脺y(cè)試機(jī)中進(jìn)行。切勿在你的主力開發(fā)機(jī)或日常使用的電腦上嘗試。一次誤操作可能導(dǎo)致系統(tǒng)不穩(wěn)定、程序無(wú)法開機(jī)自啟甚至需要重裝系統(tǒng)。3. 技術(shù)原理深度拆解Windows程序持久化的四大常見(jiàn)路徑理解惡意軟件如何“賴著不走”是有效防御的第一步。下面我們以C開發(fā)者的視角剖析幾種常見(jiàn)的技術(shù)路徑。請(qǐng)記住這里展示的API和操作都是Windows SDK公開的、合法的功能。3.1 啟動(dòng)文件夾最“古老”的用戶級(jí)自啟這是最簡(jiǎn)單直接的方式。Windows為當(dāng)前登錄用戶和所有用戶提供了專門的啟動(dòng)文件夾。系統(tǒng)登錄時(shí)會(huì)自動(dòng)執(zhí)行該文件夾內(nèi)的快捷方式.lnk或可執(zhí)行文件.exe。原理與實(shí)現(xiàn)通過(guò)SHGetSpecialFolderPath或SHGetKnownFolderPathAPI我們可以獲取到這些文件夾的真實(shí)路徑。當(dāng)前用戶啟動(dòng)文件夾C:\Users\[用戶名]\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup所有用戶啟動(dòng)文件夾C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp一個(gè)模擬程序可能會(huì)在這里創(chuàng)建一個(gè)指向自身的快捷方式。以下是使用Windows Shell API創(chuàng)建快捷方式的核心代碼邏輯#include windows.h #include shlobj.h #include shlwapi.h #include objbase.h #include stdio.h #pragma comment(lib, shlwapi.lib) #pragma comment(lib, ole32.lib) BOOL CreateStartupShortcut() { wchar_t startupPath[MAX_PATH]; wchar_t exePath[MAX_PATH]; wchar_t lnkPath[MAX_PATH]; // 1. 獲取當(dāng)前用戶啟動(dòng)文件夾路徑 if (FAILED(SHGetFolderPathW(NULL, CSIDL_STARTUP, NULL, 0, startupPath))) { return FALSE; } // 2. 獲取自身可執(zhí)行文件路徑 GetModuleFileNameW(NULL, exePath, MAX_PATH); // 3. 構(gòu)建快捷方式路徑 (例如 MyApp.lnk) PathCombineW(lnkPath, startupPath, L我的模擬程序.lnk); // 4. 創(chuàng)建COM對(duì)象并設(shè)置快捷方式屬性此處省略詳細(xì)的COM初始化、IPersistFile等代碼 // 核心是使用 CoCreateInstance 創(chuàng)建 IShellLink 對(duì)象設(shè)置其路徑exePath然后通過(guò) IPersistFile 保存到 lnkPath。 // 由于代碼較長(zhǎng)此處僅描述流程。 // ... // 成功返回 TRUE return TRUE; }防御與檢測(cè)作為用戶你可以直接打開上述文件夾路徑查看是否有可疑的快捷方式。作為安全軟件會(huì)監(jiān)控對(duì)這些文件夾的寫入操作。對(duì)于“模擬”學(xué)習(xí)你可以編寫另一個(gè)程序來(lái)枚舉并列出啟動(dòng)文件夾中的所有項(xiàng)目這本身就是一個(gè)很好的編程練習(xí)。3.2 注冊(cè)表Run鍵更隱蔽的全局自啟注冊(cè)表是Windows的核心數(shù)據(jù)庫(kù)通過(guò)特定的“鍵”來(lái)控制系統(tǒng)行為。Run和RunOnce鍵是程序?qū)崿F(xiàn)自啟的經(jīng)典位置比啟動(dòng)文件夾更隱蔽因?yàn)槠胀ㄓ脩舨粫?huì)經(jīng)常查看注冊(cè)表。常見(jiàn)鍵值位置HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run當(dāng)前用戶HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run所有用戶需要管理員權(quán)限原理與實(shí)現(xiàn)程序在此處創(chuàng)建一個(gè)字符串值REG_SZ名稱任意值為可執(zhí)行文件的完整路徑。系統(tǒng)在登錄時(shí)會(huì)依次加載這些鍵值并執(zhí)行對(duì)應(yīng)的程序。#include windows.h #include tchar.h BOOL SetRegistryAutoRun() { HKEY hKey; TCHAR szExePath[MAX_PATH]; DWORD pathLen; // 獲取自身路徑 GetModuleFileName(NULL, szExePath, MAX_PATH); // 嘗試打開或創(chuàng)建 HKCU 下的 Run 鍵不需要管理員權(quán)限 LONG lResult RegOpenKeyEx(HKEY_CURRENT_USER, _T(Software\\Microsoft\\Windows\\CurrentVersion\\Run), 0, KEY_WRITE, hKey); if (lResult ! ERROR_SUCCESS) { // 如果鍵不存在則創(chuàng)建它 lResult RegCreateKeyEx(HKEY_CURRENT_USER, _T(Software\\Microsoft\\Windows\\CurrentVersion\\Run), 0, NULL, 0, KEY_WRITE, NULL, hKey, NULL); } if (lResult ERROR_SUCCESS) { // 設(shè)置一個(gè)鍵值例如 “MySimulator” lResult RegSetValueEx(hKey, _T(MySimulator), 0, REG_SZ, (BYTE*)szExePath, (DWORD)(_tcslen(szExePath) 1) * sizeof(TCHAR)); RegCloseKey(hKey); return (lResult ERROR_SUCCESS); } return FALSE; }為什么需要管理員權(quán)限修改HKEY_LOCAL_MACHINE下的鍵值通常需要提升的權(quán)限以管理員身份運(yùn)行程序因?yàn)樗绊懻麄€(gè)系統(tǒng)。而HKEY_CURRENT_USER僅影響當(dāng)前用戶通常不需要。惡意軟件會(huì)嘗試各種方法提權(quán)或優(yōu)先使用用戶級(jí)鍵。防御與檢測(cè)你可以通過(guò)運(yùn)行regedit命令打開注冊(cè)表編輯器手動(dòng)檢查上述路徑。安全軟件和系統(tǒng)工具如msconfig或任務(wù)管理器的“啟動(dòng)”選項(xiàng)卡會(huì)監(jiān)控這些鍵值。一個(gè)健壯的“模擬”程序可能會(huì)使用更隱蔽的鍵名或者將數(shù)據(jù)加密后存儲(chǔ)在注冊(cè)表其他位置運(yùn)行時(shí)再解密執(zhí)行這增加了檢測(cè)難度。3.3 計(jì)劃任務(wù)更靈活、更強(qiáng)大的定時(shí)觸發(fā)器計(jì)劃任務(wù)Task Scheduler是一個(gè)功能極其強(qiáng)大的系統(tǒng)組件。它不僅可以實(shí)現(xiàn)登錄時(shí)啟動(dòng)還可以按時(shí)間、按事件如鎖屏、空閑、按周期等復(fù)雜條件觸發(fā)程序運(yùn)行。這為惡意軟件提供了極高的靈活性和隱蔽性。原理與實(shí)現(xiàn)通過(guò)Task Scheduler COM接口ITaskService可以編程方式創(chuàng)建、注冊(cè)和觸發(fā)任務(wù)。一個(gè)典型的“模擬”惡意軟件可能會(huì)創(chuàng)建一個(gè)在用戶登錄后延遲30秒運(yùn)行、或者每天特定時(shí)間運(yùn)行的任務(wù)。// 使用計(jì)劃任務(wù)API需要鏈接 taskschd.lib 并包含頭文件 taskschd.h // 以下為高度簡(jiǎn)化的邏輯描述實(shí)際代碼涉及大量COM對(duì)象初始化與參數(shù)設(shè)置 BOOL CreateScheduledTask() { // 1. 初始化COM庫(kù) CoInitializeEx(NULL, COINIT_MULTITHREADED); // 2. 創(chuàng)建 TaskService 對(duì)象并連接到本地計(jì)劃任務(wù)服務(wù) ITaskService* pService NULL; CoCreateInstance(CLSID_TaskScheduler, NULL, CLSCTX_INPROC_SERVER, IID_ITaskService, (void**)pService); pService-Connect(_variant_t(), _variant_t(), _variant_t(), _variant_t()); // 3. 創(chuàng)建任務(wù)定義ITaskDefinition ITaskDefinition* pTask NULL; pService-NewTask(0, pTask); // 4. 配置任務(wù)觸發(fā)器ITriggerCollection, ILogonTrigger // 例如設(shè)置為用戶登錄時(shí)觸發(fā) ITriggerCollection* pTriggerCollection NULL; pTask-get_Triggers(pTriggerCollection); ITrigger* pTrigger NULL; pTriggerCollection-Create(TASK_TRIGGER_LOGON, pTrigger); ILogonTrigger* pLogonTrigger NULL; pTrigger-QueryInterface(IID_ILogonTrigger, (void**)pLogonTrigger); pLogonTrigger-put_Id(_bstr_t(LTrigger1)); // 可以設(shè)置延遲時(shí)間等屬性... // 5. 配置任務(wù)操作IActionCollection, IExecAction // 設(shè)置要運(yùn)行的程序路徑自身exe IActionCollection* pActionCollection NULL; pTask-get_Actions(pActionCollection); IAction* pAction NULL; pActionCollection-Create(TASK_ACTION_EXEC, pAction); IExecAction* pExecAction NULL; pAction-QueryInterface(IID_IExecAction, (void**)pExecAction); TCHAR szPath[MAX_PATH]; GetModuleFileName(NULL, szPath, MAX_PATH); pExecAction-put_Path(_bstr_t(szPath)); // 6. 注冊(cè)任務(wù)在特定路徑下如“\MySimulatorTasks\” ITaskFolder* pRootFolder NULL; pService-GetFolder(_bstr_t(L\\), pRootFolder); IRegisteredTask* pRegisteredTask NULL; pRootFolder-RegisterTaskDefinition( _bstr_t(LMySimulatorTask), // 任務(wù)名 pTask, TASK_CREATE_OR_UPDATE, _variant_t(), // 用戶憑據(jù) _variant_t(), TASK_LOGON_INTERACTIVE_TOKEN, _variant_t(L), pRegisteredTask); // 7. 釋放所有COM對(duì)象并反初始化 // ... CoUninitialize(); return TRUE; }防御與檢測(cè)計(jì)劃任務(wù)由于其合法性是高級(jí)持續(xù)性威脅APT常用的手段。檢測(cè)需要打開“任務(wù)計(jì)劃程序”taskschd.msc仔細(xì)查看任務(wù)列表特別是那些由非微軟公司發(fā)布、觸發(fā)器設(shè)置異常如隱藏運(yùn)行、高權(quán)限運(yùn)行、或者位于非標(biāo)準(zhǔn)路徑下的任務(wù)。安全軟件會(huì)對(duì)計(jì)劃任務(wù)的創(chuàng)建和修改行為進(jìn)行監(jiān)控。3.4 Windows服務(wù)最高權(quán)限的后臺(tái)守護(hù)者Windows服務(wù)是在后臺(tái)長(zhǎng)期運(yùn)行、不與用戶桌面交互的程序。它們擁有很高的權(quán)限可以作為SYSTEM賬戶運(yùn)行并且在系統(tǒng)啟動(dòng)早期即可加載。這是惡意軟件追求的終極持久化形式之一。原理與實(shí)現(xiàn)創(chuàng)建一個(gè)Windows服務(wù)需要編寫一個(gè)符合服務(wù)控制管理器SCM規(guī)范的程序包含服務(wù)主函數(shù)ServiceMain和控制處理函數(shù)。然后通過(guò)CreateServiceAPI將其注冊(cè)到系統(tǒng)中。#include windows.h #include tchar.h SERVICE_STATUS g_ServiceStatus {0}; SERVICE_STATUS_HANDLE g_StatusHandle NULL; // 服務(wù)控制處理函數(shù) VOID WINAPI ServiceCtrlHandler(DWORD CtrlCode) { switch(CtrlCode) { case SERVICE_CONTROL_STOP: g_ServiceStatus.dwCurrentState SERVICE_STOPPED; break; // ... 處理其他控制碼 } SetServiceStatus(g_StatusHandle, g_ServiceStatus); } // 服務(wù)主函數(shù) VOID WINAPI ServiceMain(DWORD argc, LPTSTR *argv) { g_StatusHandle RegisterServiceCtrlHandler(_T(MySimulatorSvc), ServiceCtrlHandler); g_ServiceStatus.dwServiceType SERVICE_WIN32_OWN_PROCESS; g_ServiceStatus.dwCurrentState SERVICE_RUNNING; g_ServiceStatus.dwControlsAccepted SERVICE_ACCEPT_STOP; SetServiceStatus(g_StatusHandle, g_ServiceStatus); // 這里是服務(wù)的“主循環(huán)”可以執(zhí)行你的模擬邏輯 while (g_ServiceStatus.dwCurrentState SERVICE_RUNNING) { Sleep(5000); // 模擬工作例如每5秒檢查一次 // 注意服務(wù)里不要有GUI或用戶交互 } } // 注冊(cè)和啟動(dòng)服務(wù)的函數(shù)通常由安裝程序調(diào)用 BOOL InstallService() { SC_HANDLE schSCManager OpenSCManager(NULL, NULL, SC_MANAGER_CREATE_SERVICE); if (!schSCManager) return FALSE; TCHAR szPath[MAX_PATH]; GetModuleFileName(NULL, szPath, MAX_PATH); // 關(guān)鍵APICreateService SC_HANDLE schService CreateService( schSCManager, _T(MySimulatorSvc), // 服務(wù)名 _T(我的模擬服務(wù)), // 顯示名 SERVICE_ALL_ACCESS, // 訪問(wèn)權(quán)限 SERVICE_WIN32_OWN_PROCESS, // 服務(wù)類型 SERVICE_AUTO_START, // 啟動(dòng)類型自動(dòng) SERVICE_ERROR_NORMAL, // 錯(cuò)誤控制 szPath, // 二進(jìn)制路徑 NULL, NULL, NULL, NULL, NULL); if (schService) { CloseServiceHandle(schService); CloseServiceHandle(schSCManager); return TRUE; } CloseServiceHandle(schSCManager); return FALSE; }為什么服務(wù)是“雙刃劍”服務(wù)擁有高權(quán)限和強(qiáng)持久性但編寫一個(gè)穩(wěn)定、安全的服務(wù)程序比普通應(yīng)用復(fù)雜得多需要考慮會(huì)話隔離、故障恢復(fù)、與SCM的通信等。一個(gè)編寫拙劣的服務(wù)可能導(dǎo)致系統(tǒng)無(wú)法啟動(dòng)藍(lán)屏。因此惡意軟件有時(shí)會(huì)利用“服務(wù)DLL劫持”或“服務(wù)路徑劫持”等技巧而非直接創(chuàng)建新服務(wù)。防御與檢測(cè)使用services.msc打開服務(wù)管理器檢查所有非微軟、描述可疑、或二進(jìn)制路徑異常的服務(wù)。特別關(guān)注那些“自動(dòng)延遲啟動(dòng)”或“自動(dòng)”類型但公司名稱為空或奇怪的服務(wù)。sc query命令也可以在命令行下查看服務(wù)狀態(tài)。4. 模擬程序?qū)崙?zhàn)構(gòu)建一個(gè)“無(wú)害”的自我復(fù)制與提醒程序現(xiàn)在讓我們將上述知識(shí)整合在一個(gè)虛擬環(huán)境里編寫一個(gè)完全無(wú)害的“模擬程序”。它的功能是自我復(fù)制將自己復(fù)制到系統(tǒng)臨時(shí)目錄的一個(gè)隱蔽位置。多重持久化嘗試通過(guò)注冊(cè)表用戶級(jí)和計(jì)劃任務(wù)兩種方式實(shí)現(xiàn)自啟。無(wú)害行為每次啟動(dòng)時(shí)在屏幕右下角顯示一個(gè)短暫的Toast通知Windows 8及以上提醒用戶“模擬程序已運(yùn)行系統(tǒng)安全”并記錄一條日志到臨時(shí)文件。提供卸載功能通過(guò)命令行參數(shù)/uninstall可以清除所有自己創(chuàng)建的持久化項(xiàng)和副本。這個(gè)程序?qū)⒉贿M(jìn)行任何破壞性操作僅用于演示相關(guān)API的調(diào)用和流程。4.1 項(xiàng)目環(huán)境與基礎(chǔ)框架我們使用Visual Studio 2022創(chuàng)建一個(gè)Win32控制臺(tái)應(yīng)用程序。確保選擇正確的字符集Unicode并添加必要的庫(kù)鏈接。主要步驟創(chuàng)建新項(xiàng)目“控制臺(tái)應(yīng)用”。在項(xiàng)目屬性中將“字符集”設(shè)置為“使用Unicode字符集”。在“鏈接器-輸入-附加依賴項(xiàng)”中添加shlwapi.lib,taskschd.lib,ole32.lib,oleaut32.lib。由于計(jì)劃任務(wù)API需要我們還需在stdafx.h或項(xiàng)目設(shè)置中啟用COM支持。基礎(chǔ)代碼結(jié)構(gòu)// Simulator.cpp #include windows.h #include shlwapi.h #include strsafe.h #include iostream #include fstream // 函數(shù)聲明 BOOL CopySelfToTemp(wchar_t* dstPath, size_t cchDest); BOOL SetRegistryAutoRun(const wchar_t* exePath); BOOL CreateScheduledTask(const wchar_t* exePath); BOOL ShowNotification(const wchar_t* title, const wchar_t* message); BOOL UninstallAll(); int wmain(int argc, wchar_t* argv[]) { // 處理卸載參數(shù) if (argc 1 wcscmp(argv[1], L/uninstall) 0) { if (UninstallAll()) { std::wcout L卸載成功 std::endl; } else { std::wcout L卸載過(guò)程中發(fā)生錯(cuò)誤。 std::endl; } return 0; } // 主邏輯復(fù)制、持久化、顯示通知 wchar_t newPath[MAX_PATH]; if (CopySelfToTemp(newPath, MAX_PATH)) { SetRegistryAutoRun(newPath); CreateScheduledTask(newPath); } ShowNotification(L系統(tǒng)模擬器, L無(wú)害模擬程序正在運(yùn)行。這是一次安全演示。); // 記錄日志可選 wchar_t logPath[MAX_PATH]; GetTempPathW(MAX_PATH, logPath); PathAppendW(logPath, Lsimulator_log.txt); std::wofstream logFile(logPath, std::ios::app); if (logFile.is_open()) { logFile L程序于 [ __TIME__ L] 啟動(dòng)。 std::endl; logFile.close(); } // 如果是原始進(jìn)程可以退出如果是副本進(jìn)程可以進(jìn)入一個(gè)簡(jiǎn)單的循環(huán)或直接退出 // 這里我們讓副本進(jìn)程也直接退出僅通過(guò)持久化機(jī)制反復(fù)啟動(dòng) return 0; }4.2 關(guān)鍵功能模塊實(shí)現(xiàn)1. 自我復(fù)制到臨時(shí)目錄BOOL CopySelfToTemp(wchar_t* dstPath, size_t cchDest) { wchar_t srcPath[MAX_PATH]; wchar_t tempDir[MAX_PATH]; GetModuleFileNameW(NULL, srcPath, MAX_PATH); // 獲取自身路徑 GetTempPathW(MAX_PATH, tempDir); // 獲取臨時(shí)目錄 // 生成一個(gè)隨機(jī)的文件名增加隱蔽性 wchar_t randomName[32]; StringCchPrintfW(randomName, 32, Lsvchost_%d.exe, GetTickCount() % 10000); // 模仿系統(tǒng)進(jìn)程名 PathCombineW(dstPath, tempDir, randomName); // 如果目標(biāo)文件已存在先刪除可選 DeleteFileW(dstPath); // 執(zhí)行復(fù)制 if (CopyFileW(srcPath, dstPath, FALSE)) { // 可選隱藏文件屬性 SetFileAttributesW(dstPath, FILE_ATTRIBUTE_HIDDEN | FILE_ATTRIBUTE_SYSTEM); return TRUE; } return FALSE; }要點(diǎn)使用GetTempPath獲取系統(tǒng)臨時(shí)目錄這是一個(gè)常見(jiàn)的惡意軟件藏身之處。使用svchost這類系統(tǒng)進(jìn)程名的一部分作為文件名是一種簡(jiǎn)單的偽裝技巧。SetFileAttributes可以設(shè)置文件隱藏。2. 注冊(cè)表自啟用戶級(jí)此部分代碼與第3.2節(jié)類似但這里我們使用復(fù)制后的新路徑newPath作為注冊(cè)表值。3. 創(chuàng)建計(jì)劃任務(wù)此部分邏輯與第3.3節(jié)類似但需要將完整的COM代碼封裝成函數(shù)CreateScheduledTask并傳入exePath參數(shù)。注意錯(cuò)誤處理因?yàn)橛?jì)劃任務(wù)API調(diào)用可能因權(quán)限或服務(wù)未運(yùn)行而失敗。4. 顯示W(wǎng)indows Toast通知為了不依賴GUI和控制臺(tái)我們使用Windows Runtime (WinRT) API來(lái)發(fā)送Toast通知這需要Windows 8及以上系統(tǒng)并且項(xiàng)目需配置支持C/WinRT或使用傳統(tǒng)的COM方式。這里提供一個(gè)簡(jiǎn)化的COM實(shí)現(xiàn)思路實(shí)際代碼較復(fù)雜需引入windows.ui.notifications.h等頭文件及相應(yīng)庫(kù)。一個(gè)更簡(jiǎn)單的替代方案是使用MessageBox或系統(tǒng)托盤圖標(biāo)但Toast更貼近現(xiàn)代系統(tǒng)且干擾小。5. 卸載功能實(shí)現(xiàn)UninstallAll函數(shù)需要逆向操作刪除注冊(cè)表項(xiàng)使用RegDeleteKeyValue或RegOpenKeyExRegDeleteValue。刪除計(jì)劃任務(wù)通過(guò)Task Scheduler COM接口的ITaskFolder::DeleteTask方法。刪除臨時(shí)文件副本使用DeleteFile。可選刪除日志文件。BOOL UninstallAll() { BOOL bSuccess TRUE; wchar_t tempDir[MAX_PATH]; GetTempPathW(MAX_PATH, tempDir); wchar_t searchPath[MAX_PATH]; PathCombineW(searchPath, tempDir, Lsvchost_*.exe); // 刪除所有匹配的臨時(shí)副本 WIN32_FIND_DATAW findData; HANDLE hFind FindFirstFileW(searchPath, findData); if (hFind ! INVALID_HANDLE_VALUE) { do { wchar_t filePath[MAX_PATH]; PathCombineW(filePath, tempDir, findData.cFileName); DeleteFileW(filePath); } while (FindNextFileW(hFind, findData)); FindClose(hFind); } // 刪除注冊(cè)表項(xiàng) (HKCU) HKEY hKey; if (RegOpenKeyExW(HKEY_CURRENT_USER, LSoftware\\Microsoft\\Windows\\CurrentVersion\\Run, 0, KEY_WRITE, hKey) ERROR_SUCCESS) { RegDeleteValueW(hKey, LMySimulator); RegCloseKey(hKey); } else { bSuccess FALSE; // 可能不存在不算致命錯(cuò)誤 } // 刪除計(jì)劃任務(wù)需要COM初始化代碼略 // CoInitialize - ITaskService - GetFolder - DeleteTask // ... // 刪除日志文件 wchar_t logPath[MAX_PATH]; PathCombineW(logPath, tempDir, Lsimulator_log.txt); DeleteFileW(logPath); return bSuccess; }5. 從“攻擊”視角學(xué)習(xí)防御檢測(cè)與清理實(shí)戰(zhàn)理解了“如何做”我們就能更好地“如何防”。現(xiàn)在讓我們編寫另一個(gè)工具程序——一個(gè)簡(jiǎn)單的“模擬程序檢測(cè)器”。它不依賴任何殺毒軟件純粹通過(guò)我們已知的惡意軟件常用技術(shù)點(diǎn)進(jìn)行掃描。5.1 檢測(cè)器設(shè)計(jì)思路我們的檢測(cè)器將檢查以下位置當(dāng)前用戶啟動(dòng)文件夾枚舉所有文件。注冊(cè)表Run鍵枚舉HKCU\...\Run和HKLM\...\Run需要管理員權(quán)限下的所有值。計(jì)劃任務(wù)枚舉根目錄下的所有任務(wù)檢查其作者、描述和操作路徑是否可疑。臨時(shí)目錄掃描文件名類似svchost_*.exe或其它可疑模式的可執(zhí)行文件。常見(jiàn)服務(wù)枚舉非微軟的、描述或路徑可疑的服務(wù)需要管理員權(quán)限。5.2 關(guān)鍵檢測(cè)代碼示例枚舉注冊(cè)表Run鍵void ScanRegistryRunKeys() { HKEY hKeys[] { HKEY_CURRENT_USER, HKEY_LOCAL_MACHINE }; LPCWSTR subKey LSoftware\\Microsoft\\Windows\\CurrentVersion\\Run; for (auto hKeyRoot : hKeys) { HKEY hKey; if (RegOpenKeyExW(hKeyRoot, subKey, 0, KEY_READ, hKey) ERROR_SUCCESS) { wprintf(L[掃描注冊(cè)表] %s\\...\\Run\n, (hKeyRoot HKEY_CURRENT_USER) ? LHKCU : LHKLM); DWORD index 0; WCHAR valueName[256]; DWORD valueNameSize; BYTE data[1024]; DWORD dataSize; DWORD type; while (TRUE) { valueNameSize 256; dataSize 1024; LONG ret RegEnumValueW(hKey, index, valueName, valueNameSize, NULL, type, data, dataSize); if (ret ERROR_NO_MORE_ITEMS) break; if (ret ERROR_SUCCESS type REG_SZ) { wprintf(L 發(fā)現(xiàn)項(xiàng): %s - %s\n, valueName, (WCHAR*)data); // 在這里可以添加啟發(fā)式規(guī)則例如路徑包含Temp、文件名隨機(jī)等 std::wstring path((WCHAR*)data); if (path.find(LTemp) ! std::wstring::npos || path.find(Lsvchost) ! std::wstring::npos) { wprintf(L [警告] 此項(xiàng)路徑可疑\n); } } index; } RegCloseKey(hKey); } } }枚舉計(jì)劃任務(wù)通過(guò)Task Scheduler COM接口的ITaskFolder::GetTasks方法可以獲取任務(wù)集合然后遍歷每個(gè)任務(wù)IRegisteredTask獲取其定義ITaskDefinition進(jìn)而查詢作者信息RegistrationInfo和操作Actions。檢查作者是否為已知的微軟發(fā)布者以及操作的可執(zhí)行文件路徑是否在可疑位置。掃描臨時(shí)目錄使用FindFirstFile/FindNextFile遍歷%TEMP%和系統(tǒng)臨時(shí)目錄檢查.exe文件?？梢越Y(jié)合簡(jiǎn)單的規(guī)則如文件大小異常與系統(tǒng)文件不符、數(shù)字簽名無(wú)效使用WinVerifyTrustAPI檢查、文件名包含隨機(jī)字符串等。5.3 構(gòu)建你的個(gè)人安全工具箱這個(gè)檢測(cè)器程序本身就是一個(gè)極佳的學(xué)習(xí)項(xiàng)目。你可以逐步擴(kuò)展它添加哈希值計(jì)算計(jì)算可疑文件的MD5/SHA256并與病毒庫(kù)如VirusTotal的公共API比對(duì)。添加進(jìn)程內(nèi)存掃描使用ReadProcessMemory需適當(dāng)權(quán)限檢查運(yùn)行中進(jìn)程是否加載了可疑模塊。添加網(wǎng)絡(luò)連接監(jiān)控使用GetExtendedTcpTable/GetExtendedUdpTable查看異常的外聯(lián)IP和端口。實(shí)現(xiàn)簡(jiǎn)單的行為沙盒在隔離環(huán)境中運(yùn)行未知程序監(jiān)控其文件、注冊(cè)表和網(wǎng)絡(luò)行為。通過(guò)親手編寫這樣的工具你對(duì)系統(tǒng)底層API的理解、對(duì)惡意軟件行為的洞察以及對(duì)Windows安全架構(gòu)的認(rèn)識(shí)都會(huì)達(dá)到一個(gè)全新的高度。這遠(yuǎn)比單純運(yùn)行一段“惡搞代碼”有價(jià)值得多。6. 深入思考技術(shù)、倫理與職業(yè)發(fā)展當(dāng)我們掌握了這些“雙刃劍”般的技術(shù)后有幾個(gè)問(wèn)題必須認(rèn)真思考。技術(shù)的兩面性本文討論的所有API——文件操作、注冊(cè)表讀寫、計(jì)劃任務(wù)、服務(wù)管理——都是Windows平臺(tái)合法、公開的開發(fā)者接口。它們被用于無(wú)數(shù)正當(dāng)?shù)能浖腥鐨⒍拒浖膶?shí)時(shí)監(jiān)控服務(wù)、云同步客戶端的自啟動(dòng)、系統(tǒng)優(yōu)化工具的計(jì)劃清理任務(wù)。技術(shù)本身無(wú)罪取決于使用者的意圖。作為開發(fā)者我們的責(zé)任是運(yùn)用這些技術(shù)創(chuàng)造價(jià)值、解決問(wèn)題而不是制造麻煩?！盁o(wú)害模擬”的邊界即使你的代碼本意是無(wú)害的在他人不知情或未同意的情況下在其計(jì)算機(jī)上執(zhí)行復(fù)制、持久化等操作在道德和法律上都是站不住腳的。這也是為什么我們必須強(qiáng)調(diào)在虛擬機(jī)中實(shí)驗(yàn)。一個(gè)真正的“無(wú)害”演示程序應(yīng)該像我們?cè)O(shè)計(jì)的那樣包含清晰的卸載功能并且其行為如彈出通知明確告知用戶這是演示程序。對(duì)職業(yè)發(fā)展的真正價(jià)值深入探究這些底層機(jī)制對(duì)于希望從事以下領(lǐng)域的開發(fā)者至關(guān)重要系統(tǒng)安全無(wú)論是攻防研究、惡意軟件分析還是安全產(chǎn)品開發(fā)這都是基礎(chǔ)中的基礎(chǔ)。驅(qū)動(dòng)與內(nèi)核開發(fā)服務(wù)、注冊(cè)表、進(jìn)程交互是內(nèi)核態(tài)與用戶態(tài)通信的常見(jiàn)橋梁。企業(yè)級(jí)應(yīng)用開發(fā)許多后臺(tái)服務(wù)、自動(dòng)化運(yùn)維工具都需要用到計(jì)劃任務(wù)和服務(wù)框架。反病毒/EDR工程師你必須比攻擊者更了解系統(tǒng)的每一個(gè)角落。因此請(qǐng)將你的好奇心和編程能力導(dǎo)向建設(shè)性的方向。嘗試去分析一個(gè)開源的安全工具如Sysinternals Suite中的工具是如何實(shí)現(xiàn)上述檢測(cè)功能的或者嘗試編寫一個(gè)真正有用的系統(tǒng)工具比如一個(gè)開機(jī)啟動(dòng)項(xiàng)管理器、一個(gè)服務(wù)狀態(tài)監(jiān)控器。在這個(gè)過(guò)程中你所學(xué)到的API知識(shí)、系統(tǒng)原理和調(diào)試技巧與編寫“惡搞代碼”時(shí)是完全相同的但產(chǎn)出的價(jià)值卻有天壤之別。在虛擬機(jī)的沙盒里你可以盡情探索、測(cè)試和破壞而不用擔(dān)心后果。當(dāng)你關(guān)閉虛擬機(jī)快照的那一刻一切恢復(fù)如初但留在你腦海中的知識(shí)和對(duì)系統(tǒng)更深層次的理解將成為你職業(yè)生涯中寶貴的財(cái)富。這才是技術(shù)探索應(yīng)有的樣子。