揭开木马的神秘面纱之新型木马篇(1)

 在揭开木马的神秘面纱（二）发表后，有很多朋友来信询问新型木马的详细情况，本文会详细的分析Win2000下一种新型木马的内部构造和防御方法。（本文默认的操作系统为Win2000，开发环境为VC++6.0。）

　　大家知道，一般的"古典"型木马都是通过建立TCP连接来进行命令和数据的传递的，但是这种方法有一个致命的漏洞，就是木马在等待和运行的过程中，始终有一个和外界联系的端口打开着，这是木马的阿喀琉斯之踵（参看希腊神话《特洛伊战纪》），也是高手们查找木马的杀手锏之一（Netstat大法）。所谓道高一尺，魔高一丈，木马也是在斗争中不断进步不断成长的，其中一种ICMP木马就彻底摆脱了端口的束缚，成为黑客入侵后门工具中的佼佼者。

　　什么是ICMP呢？ICMP全称是Internet Control Message Protocol（互联网控制报文协议）它是IP协议的附属协议，用来传递差错报文以及其他需要注意的消息报文，这个协议常常为TCP或UDP协议服务，但是也可以单独使用，例如著名的工具Ping（向Mike
Muuss致敬），就是通过发送接收ICMP_ECHO和ICMP_ECHOREPLY报文来进行网络诊断的。

　　实际上，ICMP木马的出现正是得到了Ping程序的启发，由于ICMP报文是由系统内核或进程直接处理而不是通过端口，这就给木马一个摆脱端口的绝好机会，木马将自己伪装成一个Ping的进程，系统就会将ICMP_ECHOREPLY（Ping的回包）的监听、处理权交给木马进程，一旦事先约定好的ICMP_ECHOREPLY包出现（可以判断包大小、ICMP_SEQ等特征），木马就会接受、分析并从报文中解码出命令和数据。

　　ICMP_ECHOREPLY包还有对于防火墙和网关的穿透能力。对于防火墙来说，ICMP报文是被列为危险的一类：从Ping of Death到ICMP风暴到ICMP碎片攻击，构造ICMP报文一向是攻击主机的最好方法之一，因此一般的防火墙都会对ICMP报文进行过滤；但是ICMP_ECHOREPLY报文却往往不会在过滤策略中出现，这是因为一旦不允许ICMP_ECHOREPLY报文通过就意味着主机没有办法对外进行Ping的操作，这样对于用户是极其不友好的。如果设置正确，ICMP_ECHOREPLY报文也能穿过网关，进入局域网。

为了实现发送/监听ICMP报文，必须建立SOCK_RAW（原始套接口），首先，我们需要定义一个IP首部：

typedef struct iphdr {

　unsigned int version:4; // IP版本号，4表示IPV4

　unsigned int h_len:4; // 4位首部长度

　unsigned char tos; // 8位服务类型TOS

　unsigned short total_len; // 16位总长度（字节）

　unsigned short ident; //16位标识

　unsigned short frag_and_flags; // 3位标志位

　unsigned char ttl; //8位生存时间 TTL

　unsigned char proto; // 8位协议 (TCP, UDP 或其他)

　unsigned short checksum; // 16位IP首部校验和

　unsigned int sourceIP; //32位源IP地址

　unsigned int destIP; //32位目的IP地址

}IpHeader;

    然后定义一个ICMP首部：

typedef struct _ihdr {

　BYTE i_type; //8位类型

　BYTE i_code; //8位代码

　USHORT i_cksum; //16位校验和

　USHORT i_id; //识别号（一般用进程号作为识别号）

　USHORT i_seq; //报文序列号

　ULONG timestamp; //时间戳

}IcmpHeader;

　　这时可以同过WSASocket建立一个原始套接口：

SockRaw=WSASocket(

　　　　　　　　　　AF_INET, //协议族

　　　　　　　　　　SOCK_RAW, //协议类型，SOCK_RAW表示是原始套接口

　　　　　　　　　　IPPROTO_ICMP, //协议，IPPROTO_ICMP表示ICMP数据报

　　　　　　　　　　NULL, //WSAPROTOCOL_INFO置空

　　　　　　　　　　0, //保留字，永远置为0

　　　　　　　　　　WSA_FLAG_OVERLAPPED //标志位

　　　　　　　　　　);

　　注：为了使用发送接收超时设置（设置SO_RCVTIMEO, SO_SNDTIMEO），必须将标志位置为WSA_FLAG_OVERLAPPED