无间盗之盗亦有道——轻松搞定文件绑定
无间道——没有时间没有空间……
无间“盗”——……
很多用户对木马或多或少都抱有一种恐怖心理，没中过的也听说过木马的可怕。其实木马并不那么恐怖，别人传给你的文件及Flash动画(EXE格式)，是不是很想打开，可是又心里没底？不用担心！今天我们就来“以彼之道，还施彼身”，以木马卸载木马，并且查出加害你的人的信息。
无间盗I——照片“盗”
场景:陈永仁收到了一个QQ好友(刘建明伪装的MM)传来的照片，陈永仁收回来看了看，确认是图片图标后，他双击打开，没有反应……
话外音:其实这个有着图片图标的文件是一个EXE的可执行文件，而它实际上是个木马服务器端。而所谓的木马其实也就是远程控制软件，所以它必须使用网络，并且能够对系统进行一些控制操作，假如想实现这些功能，就需要调用系统DLL中的APIu函数，那我们就从这里入手……
假如你是陈永仁:推荐你使用Dependency Walker。
Dependency Walker小档案
软件版本:2.1.3623软件大小:415kB
软件性质:免费软件适用平台:Windows 9x/2000/XP
下载地址:http://www.dependencywalker.com/depends21_x86.zip
软件备注:Dependency Walker是一款绿色软件，只要解压缩后直接使用即可。
进入软件后，点击菜单中的“File→Open”，然后陈永仁选择了刘建明传给他的那个图片文件，软件自动进行分析，并显示出该文件所调用的DLL文件。陈永仁慢慢地拖动着滚动条，他发现了KERNEL32.DLL、USER32.DLL、ADVAPI32.DLL、OLEAUT.DLL等DLL文件，就在他要关闭Dependency Walker前，忽然看到了连接网络用的API——WSOCK32.DLL(见图1)。陈永仁笑了笑:“居然用了连接到网络的API，想骗我？没这么轻易!”
结论:先看清扩展名，再进一步分析一张图片里面要这么多DLL文件，实在可疑。同样假如是Flash文件里面有WSOCK32.DLL，也非常值得怀疑。以后不要轻易相信“MM”的话呀。
无间盗II——绑定“盗”
场景:陈永仁又在QQ加入了一个MM(同样是刘建明伪装的MM)，这次是说有个Flash小游戏要传给他，陈永仁当然不会再像前一次那样上当……运行后发现没什么问题，开始Play游戏……
话外音:这时那些“聪明”的黑客就会笑了:“哈哈，上当了吧!我用了捆绑器。”那么什么是捆绑器呢？比如现在有一个木马的服务器端和一个EXE格式的Flash，用捆绑器将两个软件“捆绑”后，当你运行时，看到的只是那个Flash，但木马的服务器端程序已经在后台静静运行了(当然不排除有人将两个木马一起绑定)。
查杀要看原理，那么原理是什么呢？很简单！就是将第二个文件放在第一个文件的文件尾，然后在第一个文件的头部加上一段极小的、释放两个文件的小程序。这样算起来捆绑以后这个程序其实是由三个EXE文件组成的。那要怎么办呢？试试UltraEdit吧。
假如你是陈永仁:
从http://crc.onlinedown.net/down/ultraedit1000c.exe处下载UltraEdit，并安装。
进入UltraEdit，点击菜单中的“文件→打开”，打开那个怀疑被捆绑了木马的程序，这里可以在文件开头，看到“MZ”的标志，这是EXE文件头标志，每个EXE文件都有。在这个文件中，加上头部的释放程序，共有三处有头部标志(就是“MZ”)。下面就可以开始查找。
按Ctrl F组合键，打开“查找”窗口，勾选“查找ACSII”，在“查找内容”中输入“MZ”(不含引号)，果然在3400H处和424fH(根据实际情况会有所不同)处又各发现了一处“MZ”标志(见图2)。可见，捆绑器不见得无敌。
结论:文件头可以帮你判定文件是否被绑定，想不想更简单地知道如何判定文件是否被绑定呢？看看文章最后的小编有话说吧。
无间盗III——盗亦有“盗”
场景:“我找到了”，陈永仁面带微笑、自言自语着，“这下你跑不掉了!我已经知道你的E-mail和密码了，相信你的QQ也是用的这个密码……”
话外音:陈永仁已经知道了刘建明传来的文件是绑定的了，那么他得到刘建明密码的方法是什么呢？其实陈永仁是用UltraEdit将捆绑后的木马释放出来，然后……
假如你是陈永仁:
一般木马被捆绑后通常是文件中第三个MZ开始的位置直至文件尾（因为捆绑器通常枚举并使用第一个被绑文件的图标，因此入侵者都把木马作为第二个被绑文件)，所以选中这段，按Ctrl C组合键复制。
在菜单中选择“文件→新建”，然后按Ctrl V组合键，把刚才拷贝的代码粘贴到这个文件中，接着选择菜单中的“文件→另存为”，把这个文件保存为EXE文件。
大家都知道，为了接收到密码、IP地址等信息，木马服务器端一般带有一个邮箱信息，而得到了服务器端，只要找到对应客户端，就可以干很多事情了。现在陈永仁就要开始获取木马服务端的信息了。这里有两个方法，一种是用各种木马服务端的前10KB与提取出来文件的前10KB的MD5码进行比较，但这是老菜才可能实现的。这里推荐使用第二种方法:文件大小比较法。分离之后的木马服务器端文件假如没有作过非凡处理，大小应该是默认不变的。假如你有爱好，可以去网上找一些木马软件，自己完善这表格。
有关MD5的知识，可以参考本刊2004年第3期《谁动了我的奶酪——文件校验全攻略MD5篇》一文。
在比较大小后，绝大多数情况下（因为有少数资深黑客会将木马修改得面目全非，大小就会随之修改)，你应该已经确定了是何种木马。这时，就可以使用木马的服务端配置工具读取黑客留在里面的信息。
以SUB7为例，打开SUB7服务端配置工具editserver.exe，然后单击“browse”按钮，打开刚才分离出的木马文件(假如没有提示错误就说明判定无误)，再点击“read current settings”按钮读取服务器文件的配置信息。现在就可以在“email notify”里看到黑客所用的信箱了，而右侧“server password”密码栏还会显示出黑客连接用的密码，虽然显示的是“*”号(见图3)，但只要你找个可以看“*”的软件……
你知道吗？
有些用户中了木马后，虽然杀毒软件能查到，但却无法杀掉，有些人可能会说进DOS杀，其实完全可以用“木马来杀木马”，由于杀毒软件一般会告诉你是哪种木马，所以此时就无需检测了，有一部分木马存在着通用的连接密码，假如中的木马没有设置连接密码，则直接用相应的木马客户端连接本机即可(连接本机的IP为127.0.0.1)。连接后使用木马的远程卸载功能，便能完美地卸载木马了。
刘建明死了……
陈永仁死了……
刘建明身败名裂……
陈永仁以身殉职……
小编有话说:不知道这出由小特导演，本文作者编剧的《无间“盗”VI之盗亦有“盗”》大家看后有何感想？其实木马也并不是那么可怕。只要你小心一点，相信，一些初级骇客也会怕了你。另外本文作者还非凡制作了一款小软件——木马捆绑克星，你可以从http://www.newhua.com/cfan/200406/mview.exe处下载该文件。进入软件后，点击“浏览”按钮，打开网友传给你的文件，然后点击“分析”按钮即可(见图4)。
