注:本文于07/1月于黑客防线发表版权归黑客防线所有,转载请注明出处
编程查杀ttdianying流氓软件
文/图 冷风[后方网络][东南网安]
最近机房重了一种弹出网页式的流氓软件,毛病倒是不大,只是很讨人厌,每隔几分种就会弹出一次
游戏也玩不安心。如图1示。
用杀毒软件,360安全卫士,超级免子都也查不出个所以然来,上GOOGLE搜索也是哀声一片,并无清除
方法,所以只能自己动手解决了
找出真凶
这类软件一般都是自启动的,就从注册表开始,打开注册表定位到
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run
里面有一个名为svchost的项指向路径C:/WINNT/System32/drivers/svchost.exe
有点古怪,首先系统不需要在这里启动svchost服务,再者svchost.exe也不应该出现在
C:/WINNT/System32/drivers目录里,而雅虎助手也频频提示svchost.exe试图更改IE启动页面
把svchost.exe复制出来好好研究研究
分析程序
为了大体了解此恶意软件的动作,就用SSS跟一下。发现此程序只是更改注册表就运行了程序,
并无线程注入,加载驱动
等其它动作,因此清除起来也方便的多,可按以如下思路清除,首先结束进程,然后删除文件
最后清理注册表,就可以清除此软件了。
因为机房近百台机器,如果一台一台恢复,等我恢复完了怕我也得跟着一块挂掉了,所以写个专杀工具更轻松。
编写程序
通常我们需要通过枚举系统进程来查找流氓软件。流氓软件的进程名为svchost.exe而系统中有好多svchost.exe进程,那么跟据进程名判断是行不通了,不过可以在枚举进程时列出程序路径,
跟据路径定位流氓软件,程序运行效果如图2示。
以下代码在VC6.0+WIN2000 WINXP下通过。
#include<stdio.h>
#include<windows.h>
#include"PSAPI.H"
#pragmacomment(lib,"PSAPI.LIB")
intTerminateProcessFromId(DWORDdwId);//结束进程函数
BOOLEnablePriv();//提升进程权限
intmain(void)
...{
printf("流氓软件ttdianying专杀工具by:冷风袭人 ");
DWORDprocessid[1024],needed,processcount,i;
HANDLEhProcess;
HMODULEhModule;
charpath[256]="";
charname[256]="system32/drivers/svchost.exe";//流氓进程字符串
BOOLret=true;
EnablePriv();//提升进程权限
EnumProcesses(processid,sizeof(processid),&needed);
processcount=needed/sizeof(DWORD);
for(i=0;i<processcount;i++)
...{
hProcess=OpenProcess(PROCESS_QUERY_INFORMATION|PROCESS_VM_READ,false,processid[i]);
EnumProcessModules(hProcess,&hModule,sizeof(hModule),&needed);//枚举进程
GetModuleFileNameEx(hProcess,hModule,path,sizeof(path));//得到进程路径
if(strstr(path,name))//是否包含流氓进程字符串
...{
printf("发现流氓进程... ");
TerminateProcessFromId(processid[i]);//调用结束进程函数
printf("正在删除文件... ");
::DeleteFile(path);
printf("正清理注册表... ");
HKEYkey;
LPCTSTRdata="SOFTWARE/Microsoft/Windows/CurrentVersion/Run";
::RegOpenKeyEx(HKEY_LOCAL_MACHINE,data,0,KEY_WRITE,&key);
::RegDeleteValue(key,"svchost");
::RegCloseKey(key);
printf("软件清理成功... ");
ret=false;
}
}
if(ret)
...{
printf("没有发现流氓软件... ");
}
CloseHandle(hProcess);
CloseHandle(hModule);
return0;
}
intTerminateProcessFromId(DWORDdwId)//结束进程函数
...{
BOOLbRet=FALSE;
HANDLEhProcess=::OpenProcess(PROCESS_ALL_ACCESS,FALSE,dwId);
if(hProcess!=NULL)
...{
bRet=::TerminateProcess(hProcess,0);
}
::CloseHandle(hProcess);
if(bRet)
printf("进程结束成功... ");
else
printf("进程结束失败... ");
return0;
}
BOOLEnablePriv()//提升进程权限
...{
HANDLEhToken;
if(OpenProcessToken(GetCurrentProcess(),TOKEN_ADJUST_PRIVILEGES,&hToken))
...{
TOKEN_PRIVILEGEStkp;
LookupPrivilegeValue(NULL,SE_DEBUG_NAME,&tkp.Privileges[0].Luid);//修改进程权限
tkp.PrivilegeCount=1;
tkp.Privileges[0].Attributes=SE_PRIVILEGE_ENABLED;
AdjustTokenPrivileges(hToken,FALSE,&tkp,sizeoftkp,NULL,NULL);//通知系统修改进程权限
return((GetLastError()==ERROR_SUCCESS));
}
}
好了,如果以后碰到类似的问题,只要把上面的代码稍加修改,你也可以做出自己的专杀工具啦
代码参考了 如何在NT下获取进程的路径一文谢谢原作者
分享到:
相关推荐
流氓软件查杀流氓软件查杀流氓软件查杀流氓软件查杀流氓软件查杀流氓软件查杀流氓软件查杀流氓软件查杀流氓软件查杀
非常好用的流氓软件清理工具,全盘查杀病毒流氓软件,操作简单。
IE病毒专杀工具,我自已中过这个病毒,网上找了很多方法,都太麻烦,修改注册表之类的.很多时候跟本找不到....里面有三个小工具,都可以,我用了vsafe_95125一下就干掉了这个流氓软件.桌面IE图标清理.
此版本采用了最新得查杀引擎,可以检测更多得流氓软件同时也可以把流氓软件清除得更彻底. 注意:清理前请一定备份注册表!以防系统出问题时恢复.软件虽然经过了严格的测试,但不能保证在每台计算机上都能正常清理...
SoftCnKiller是一款非常好用的清理流氓软件的工具,有时候我们遇到一些流氓软件,残留在电脑里很难彻底清除,这个软件可以帮助你彻底清理流氓软件,需要的可以来下载试试。
RogueKiller是一款专业的流氓软件查杀软件。软件的主要作用是扫瞄用户电脑上正在执行的应用程序并删除那些恶意的流氓程序并将其清除。虽然 RogueKiller 将关闭它所不信任的启动处理程序,但不会删除其他文件和系统...
U盘病毒查杀软件U盘病毒查杀软件U盘病毒查杀软件
国外很好的木马查杀软件,支持开机查杀,关键它是免费的啊,我找了很多网站才看到的
查杀木马安全软件 驱动级安全保护 源代码.zip
电脑感染性病毒的查杀 电脑病毒查杀软件.docx
非常强大杀毒软件 几乎可以查杀全部木马和病毒
护卫神·云查杀软件,网页木马查杀工具,查杀网页木马的最好工具,准确率达99%
内含三款病毒查杀工具,都是国外知名软件,国内软件就不推荐了 Lifecalendarworm是一种恶意软件,也被称为"Life Calendar"或"LimeRAT",它是一种后门蠕虫,可以允许攻击者远程控制受感染的计算机。 ...
杀毒软件真实查杀结果统计工具,在杀毒软件查杀前后分别使用本软件(包含bat源代码)创建模板、进行统计,即可得到杀毒软件的真实查杀结果,无需再亲自去比对文件来确认杀毒软件到底修复、删除了多少病毒。
现在网上的流氓软件越来越多,前些日子网络行业协会点名了十大流氓软件,这些软件的特点大多时强制安装,而且不容易卸载....此版本(V1.20)采用了最新得查杀引擎,可以检测更多得流氓软件同时也可以把流氓软件清除得更彻底.
这个文档对于诸位学习编程,尤其在安全方面编程是一个很好的参考资料,同时对于木马查杀,木马编程思想作了很好的阐述,希望对于大家有所帮助。
使用该工具,可以查杀因为U盘乱插入其他主机后,被感染的病毒。
主机恶意软件发现查杀与防文档………………
CAD杀毒软件 ,不多说了,反正还比较管用。