一、背景介紹
黑客攻擊成功後,常有動作包括:系統的啓動項(註冊表的啓動項)、系統服務(系統服務)、進程線程、DLL注入等,本篇文章主要是遍歷進程信息並通過pid枚舉對應的DLL文件,爲下一步DLL注入做準備。同時如果將啓動項、系統服務及進程線程、DLL信息,利用黃金鏡像形成安全基線,便可以粗粒度的發現電腦中的異常行爲,幫助安全人員快速發現異常問題。
二、核心代碼實現
代碼實現效果圖。
源代碼文件:
// processTestDlg.cpp : 實現文件
//
#include "stdafx.h"
#include "processTest.h"
#include "processTestDlg.h"
#include "afxdialogex.h"
#include <Tlhelp32.h>
#ifdef _DEBUG
#define new DEBUG_NEW
#endif
// 用於應用程序“關於”菜單項的 CAboutDlg 對話框
class CAboutDlg : public CDialogEx
{
public:
CAboutDlg();
// 對話框數據
enum { IDD = IDD_ABOUTBOX };
protected:
virtual void DoDataExchange(CDataExchange* pDX); // DDX/DDV 支持
// 實現
protected:
DECLARE_MESSAGE_MAP()
};
CAboutDlg::CAboutDlg() : CDialogEx(CAboutDlg::IDD)
{
}
void CAboutDlg::DoDataExchange(CDataExchange* pDX)
{
CDialogEx::DoDataExchange(pDX);
}
BEGIN_MESSAGE_MAP(CAboutDlg, CDialogEx)
END_MESSAGE_MAP()
// CprocessTestDlg 對話框
CprocessTestDlg::CprocessTestDlg(CWnd* pParent /*=NULL*/)
: CDialogEx(CprocessTestDlg::IDD, pParent)
{
m_hIcon = AfxGetApp()->LoadIcon(IDR_MAINFRAME);
}
void CprocessTestDlg::DoDataExchange(CDataExchange* pDX)
{
CDialogEx::DoDataExchange(pDX);
DDX_Control(pDX, IDC_LIST2, m_RunList);
DDX_Control(pDX, IDC_LIST3, m_dll_RunList);
}
BEGIN_MESSAGE_MAP(CprocessTestDlg, CDialogEx)
ON_WM_SYSCOMMAND()
ON_WM_PAINT()
ON_WM_QUERYDRAGICON()
ON_BN_CLICKED(IDC_BUTTON1, &CprocessTestDlg::OnBnClickedButton1)
END_MESSAGE_MAP()
// CprocessTestDlg 消息處理程序
BOOL CprocessTestDlg::OnInitDialog()
{
CDialogEx::OnInitDialog();
// 將“關於...”菜單項添加到系統菜單中。
// IDM_ABOUTBOX 必須在系統命令範圍內。
ASSERT((IDM_ABOUTBOX & 0xFFF0) == IDM_ABOUTBOX);
ASSERT(IDM_ABOUTBOX < 0xF000);
CMenu* pSysMenu = GetSystemMenu(FALSE);
if (pSysMenu != NULL)
{
BOOL bNameValid;
CString strAboutMenu;
bNameValid = strAboutMenu.LoadString(IDS_ABOUTBOX);
ASSERT(bNameValid);
if (!strAboutMenu.IsEmpty())
{
pSysMenu->AppendMenu(MF_SEPARATOR);
pSysMenu->AppendMenu(MF_STRING, IDM_ABOUTBOX, strAboutMenu);
}
}
// 設置此對話框的圖標。當應用程序主窗口不是對話框時,框架將自動
// 執行此操作
SetIcon(m_hIcon, TRUE); // 設置大圖標
SetIcon(m_hIcon, FALSE); // 設置小圖標
// TODO: 在此添加額外的初始化代碼
DebugPrivilege();
InitProcessList();
ShowProcess();
return TRUE; // 除非將焦點設置到控件,否則返回 TRUE
}
//獲取進程信息
void CprocessTestDlg::ShowProcess(){
// 清空列表框內容
m_RunList.DeleteAllItems();
// 創建進程快照
//參數:枚舉進程
HANDLE hSnap = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);
if ( hSnap == INVALID_HANDLE_VALUE )
{
AfxMessageBox("CreateToolhelp32Snapshot Error");
return ;
}
PROCESSENTRY32 Pe32 = { 0 };
Pe32.dwSize = sizeof(PROCESSENTRY32);
//返回快照句柄
BOOL bRet = Process32First(hSnap, &Pe32);
int i = 0;
CString str;
// 循環獲取進程快照中的每一項
while ( bRet )
{
m_RunList.InsertItem(i, Pe32.szExeFile);
str.Format("%d", Pe32.th32ProcessID);
m_RunList.SetItemText(i, 1, str);
i ++;
bRet = Process32Next(hSnap, &Pe32);
}
CloseHandle(hSnap);
}
void CprocessTestDlg::InitProcessList(){
// MessageBox("test");
LONG lStyle;
lStyle = GetWindowLong(m_RunList.m_hWnd, GWL_STYLE);//獲取當前窗口style
lStyle &= ~LVS_TYPEMASK; //清除顯示方式位
lStyle |= LVS_EX_GRIDLINES; //設置style
SetWindowLong(m_RunList.m_hWnd, GWL_STYLE, lStyle);//設置style
m_RunList.InsertColumn(0, "進程名");
m_RunList.InsertColumn(1, "進程ID");
m_RunList.SetColumnWidth(0, 150);
m_RunList.SetColumnWidth(1, LVSCW_AUTOSIZE_USEHEADER);
lStyle = GetWindowLong(m_dll_RunList.m_hWnd, GWL_STYLE);//獲取當前窗口style
lStyle &= ~LVS_TYPEMASK; //清除顯示方式位
lStyle |= LVS_EX_GRIDLINES; //設置style
SetWindowLong(m_dll_RunList.m_hWnd, GWL_STYLE, lStyle);//設置style
m_dll_RunList.InsertColumn(0, "DLL名");
m_dll_RunList.InsertColumn(1, "DLL路徑");
m_dll_RunList.SetColumnWidth(0, 150);
m_dll_RunList.SetColumnWidth(1, LVSCW_AUTOSIZE_USEHEADER);
}
void CprocessTestDlg::OnSysCommand(UINT nID, LPARAM lParam)
{
if ((nID & 0xFFF0) == IDM_ABOUTBOX)
{
CAboutDlg dlgAbout;
dlgAbout.DoModal();
}
else
{
CDialogEx::OnSysCommand(nID, lParam);
}
}
// 如果向對話框添加最小化按鈕,則需要下面的代碼
// 來繪製該圖標。對於使用文檔/視圖模型的 MFC 應用程序,
// 這將由框架自動完成。
void CprocessTestDlg::OnPaint()
{
if (IsIconic())
{
CPaintDC dc(this); // 用於繪製的設備上下文
SendMessage(WM_ICONERASEBKGND, reinterpret_cast<WPARAM>(dc.GetSafeHdc()), 0);
// 使圖標在工作區矩形中居中
int cxIcon = GetSystemMetrics(SM_CXICON);
int cyIcon = GetSystemMetrics(SM_CYICON);
CRect rect;
GetClientRect(&rect);
int x = (rect.Width() - cxIcon + 1) / 2;
int y = (rect.Height() - cyIcon + 1) / 2;
// 繪製圖標
dc.DrawIcon(x, y, m_hIcon);
}
else
{
CDialogEx::OnPaint();
}
}
//當用戶拖動最小化窗口時系統調用此函數取得光標
//顯示。
HCURSOR CprocessTestDlg::OnQueryDragIcon()
{
return static_cast<HCURSOR>(m_hIcon);
}
void CprocessTestDlg::OnBnClickedButton1()
{
// TODO: 在此添加控件通知處理程序代碼
int nPid =-1;
//獲取焦點
POSITION Pos = m_RunList.GetFirstSelectedItemPosition();
int nSelect = -1;
while ( Pos )
{
nSelect = m_RunList.GetNextSelectedItem(Pos); //獲取焦點信息
}
char szPid[10] = { 0 };
m_RunList.GetItemText(nSelect, 1, szPid, 10); //獲取PID值
nPid = atoi(szPid);
MODULEENTRY32 Me32 = { 0 };
Me32.dwSize = sizeof(MODULEENTRY32);
// 創建模塊快照
HANDLE hSnap = CreateToolhelp32Snapshot(TH32CS_SNAPMODULE, nPid);
if ( hSnap == INVALID_HANDLE_VALUE )
{
AfxMessageBox("CreateToolhelp32Snapshot 錯誤");
return ;
}
//返回快照句柄
BOOL bRet = Module32First(hSnap, &Me32);
int i = 0;
CString str;
// 循環獲取模塊快照中的每一項
while ( bRet )
{
m_dll_RunList.InsertItem(i, Me32.szModule);
m_dll_RunList.SetItemText(i, 1, Me32.szExePath);
i ++;
bRet = Module32Next(hSnap, &Me32);
}
CloseHandle(hSnap);
}
void CprocessTestDlg::DebugPrivilege()
{
HANDLE hToken = NULL;
BOOL bRet = OpenProcessToken(GetCurrentProcess(),
TOKEN_ALL_ACCESS, &hToken);
if ( bRet == TRUE )
{
TOKEN_PRIVILEGES tp;
tp.PrivilegeCount = 1;
LookupPrivilegeValue(NULL,
SE_DEBUG_NAME,
&tp.Privileges[0].Luid);
tp.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;
AdjustTokenPrivileges(hToken,
FALSE, &tp, sizeof(tp),
NULL, NULL);
CloseHandle(hToken);
}
}