“广外女生”木马的分析（2）

经过前面的分析我们已经了解了“广外女生”这种木马的工作方式，现在我们就来清除它。下面就是彻底清除“广外女生”的方法，注意：这个步骤的次序不能颠倒，否
则可能无法完全清除掉此木马。

1.按“开始”菜单，选择“运行”，输入regedit，按确定。打开下面键值：
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile\shell\open\command\，但是先不要修改，因为如果这时就修改注册表的话，DIAGCFG.EXE进程仍然会立刻把它改回来的。

2.打开“任务管理器”，找到DIAGCFG.EXE这个进程，选中它，按“结束进程”来关掉这个进程。注意，一定也不要先关进程再打开注册表管理器，否则执行regedit.exe时
就又会启动DIAGCFG.EXE。

3.把HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile\shell\open\command\的键值由原来的C:\WINNT\System32\DIAGCFG.EXE "%1" %*改为"%1" %*。

4.这时就可以删除C:\WINNT\System32\目录下的DIAGCFG.EXE了。切记万万不可首先删除这个文件，否则的话就无法再系统中运行任何可执行文件了。由于我们下面还打算进一步
深入分析这个木马，所以现在不删除它，而是把它拷贝到其他的目录以便研究。

四、深入研究

　　我们已经知道了“广外女生”的基本工作原理、启动流程以及如何彻底清除它了，但是还有一点我们没有彻底弄清楚，那就是它是如何对付“天网防火墙”或“金山毒霸”的。要深入了解这一点，我们必须要去看“广外女生”的代码，这个木马并没有公布源代码，但是我们仍然可以通过反汇编它来看个究竟。

　　“广外女生”的服务器端只有96K，显然是使用了压缩软件进行了加壳的，我们首先就要确定它到底加了什么壳。通过使用FileInfo这个小工具就可以侦测出来。现在我们就把
前面分析过的那个DIAGCFG.EXE复制到FileInfo的目录下，然后在命令行下fi.exe，然后按回车，就会显示：

　　FileInfo v2.45a (c) 1997-2001 from JUN-06-2001

FileInfo v2.45a (c) 1997-2001 by Michael Hering - herinmi@tu-cottbus.de

C:\TOOL\FI\
═─*
ASPack v1.06b A.Solodovnikov .data　　 DIAGCFG.EXE .....98304 01.01.1997
aPack v0.98/0.99 (Jibz) {short} ....... EXETOOLS.COM .......895 10.11.2000 !
aPack v0.98/0.99 (Jibz) ............... FI.EXE　....135458 06.06.2001 !
...................................... FILE_ID.DIZ ......1088 06.06.2001 !
?7-bit text ........................... REG.BAT　.......280 06.06.2001 !
...................................... SUMMER.KEY　　.......157 06.06.2001 !

* detected 4/6 files in 110 ms

──═ FileInfo summary ═──── Date: Mi,01.01.1997 ─ Time: 21:32:15 ─

scan path: C:\TOOL\FI
file mask: *.*
all size: 236182 Bytes = 230 KB

　　 4/6 files in 110 ms (18.33 ms/file)

　　FileInfo就已经检测出DIAGCFG.EXE是使用了ASPack v1.06b进行加壳。知道了它的加密方法我们就可以使用ProcDump来把它脱壳了。

　　运行ProcDump，点击Unpack按钮，因为我们要脱ASPack v1.06b的壳，所以就在其中选中Aspack<108，然后按OK。这时它会让你打开要脱壳的文件，我们就选DIAGCFG.EXE，打开。然后稍微等几秒种后按“确定”，ProcDump就会把DIAGCFG.EXE脱壳，然后会出个对话框要你把脱壳过的文件存盘，我们就把它存为gwns.exe。

　　注意：这时候，木马又在你的系统上运行了一次，所以必须按照前面的清除步骤重新把它清除掉。由于前面已经写过清除方法，这里就不再赘述了。

　　好了，现在我们已经得到了这个木马加壳前的原始文件了，看看脱壳过的gwns.exe，有194k之大，比原来的程序大了一倍还多，这就是加壳软件的功劳了。现在就可以使用反汇编程序对其进行反汇编，然后看它的汇编程序代码了。

　　我们就用IDA来反汇编它，顺便说一句，这个IDA是个超强的反汇编工具，是cracker以及Windows hacker所必备的工具。下面我们就来看看部分反汇编过的代码：

0042B1AC　　 push　　offset aKernel32_dll ; "kernel32.dll"
0042B1B1　　 call　　j_LoadLibraryA
0042B1B6　　 mov　　 [ebx], eax
0042B1B8　　 push　　offset aRegisterservic ; "RegisterServiceProcess"
0042B1BD　　 mov　　 eax, [ebx]
0042B1BF　　 push　　eax
0042B1C0　　 call　　j_GetProcAddress
0042B1C5　　 mov　　 ds:dword_42EA5C, eax
0042B1CA　　 cmp　　 ds:dword_42EA5C, 0
0042B1D1　　 jz　　 short loc_42B1E1
0042B1D3　　 push　　1
0042B1D5　　 call　　j_GetCurrentProcessId
0042B1DA　　 push　　eax
0042B1DB　　 call　　ds:dword_42EA5C

　　木马首先加载了kernel32.dll，然后利用GetProcAddress来得到RegisterServiceProcess这个API的地址，木马首先需要把自己注册为系统服务，这样在Win9x下运行时就不容易被任务管理器发现。然后它会GetCommandLineA来得到运行参数，如果参数是可执行文件的话就调用Winexec来运行。

0042B271　　 mov　　 eax, ds:dword_42EA80
0042B276　　 mov　　 edx, offset aSnfw_exe ; "snfw.exe"
0042B27B　　 call　　sub_403900
0042B280　　 jz　　 short loc_42B293
0042B282　　 mov　　 eax, ds:dword_42EA80
0042B287　　 mov　　 edx, offset aKav9x_exe ; "kav9x.exe"

　　然后木马会查找snfw.exe和kav9x.exe的进程，也就是“天网防火墙”或“金山毒霸”的进程，然后将其杀掉。（待续）