一种另类文件关联方法的研究.pdfVIP

2008 年第2 期 适合读者：编程爱好者 前置知识：VC 一种另类文件关联方法的研究 文/ 图 彭毅 文件关联方法较早由“冰河”程序实现。“冰河”为了达到自我保护目的，进行了TXT 和EXE 文件关联。在普通程序打开后缀名为.txt 和.exe 文件时，首先打开“冰河”程序，执 行完既定功能后，再把相关参数（如要打开的文本文件名）传递给.txt 默认的打开程序（如 notepad.exe ） 。 具 体 实 现 就 是 修 改 注 册 表 项 ： “HKEY_CLASSES_ROOT\txtfile\shell\open\command ”的REG_EXPAND_SZ 类型值。系统 该值默认为：“%SystemRoot%\system32\NOTEPAD.EXE %1 ”，其中“%1 ”即代表需要打开 的文本文件名。“冰河”程序的这种关联方式影响了很多后来的木马后门程序，当然，也成 了杀毒软件重点关注的对象。有没有另外的方法来进行程序的关联操作呢？ Solomon 和Russinovich 的著作：《Windows 2000 内部揭秘》深入的探讨了系统方方面 面的设计和实现问题。在讨论“CreateProcess 流程”一节中，Russinovich 指出，程序通过 CreateProcess 创建进程时，首先第一步是打开要执行的映像（具体参考本书相关章节）。具 线 体就是 CreateProcess 找到合适的 Win32 映像，比如 Win32 程序是 Win32 还是 Win16 、 MS-DOS、POSIX 或者OS/2 等等，进而会选择合适的加载器来进行Win32 映像的加载。找 防 处 到 有 效 的 Win32 可 执 行 映 像 后 ， CreateProcess 会 在 注 册 表 \HKLM\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options 下查看 客 出 是否有一个带有可执行映像的文件名和扩展名的子键（如是否有notepad.exe 表项），如果有， 则CreateProcess 会在该表项中寻找名为Debugger 的值。如果该值非空，则运行该值中描述 黑 明 的字符串（比如你的后门程序backdoor.exe ），并且从阶段1 重新开始。这里的阶段 1 就是 上面我们看到的：CreateProcess 会重新打开要执行的映像，这很重要，后面我们会看到。 注 书中Russinovich 还提到，“如果你偶尔想搞个恶作剧，就可以使用这个行为来迷惑人们， 当它们要运行指定的文件时却运行了另外的文件”。如果你不是想搞恶作剧，而是想程序关 联，那这个位置也是后门木马理想的温床。我们先看一下这个注册表项，如图1 所示，可以 请 看到这个注册表项存在很多项目，这么多项难免可以让我们浑水摸鱼，替换我们需要的程序。 大家可能都用过Russinovich 的进程查看程序Process Explorer （ ），程序 载 中有一个菜单项为“Replace Task Manager ”，也就是替换Windows 系统自带进程查看程序 Task Manager （taskmgr.exe ）。这是怎么做到的呢？其中一个偷梁换柱的技巧就是修改这个注 转 册表项，也就是Russinovich 所说的“恶作剧”程序，如图2 所示。 2008