先在偏移地址0X10001454设置断点, 查看主程序会从这里跳转到地址0X1000155A, 即进入错误分枝。对第一个拐点位置的局部汇编代码进行分析, 判断程序是如何跳转到错误分枝的。局部位置出现的第一个系统函数是GetLocalTime, 如图4所示, 它可以获取计算机当前系统日期和时间。函数的原型定义为VOID GetLocalTime(LPSYSTEMTIME lpSystemTime), 其中lpSystemTime是一个SYSTEMTIME类型变量, 该变量用来保存函数获取的日期和时间信息。图4显示函数的运行结果保存在内存地址0X100083E0位置, 使用16个字节保存当前系统日期和时间。这一结果表示当前日期时间为“ 2017年4月23日 16点7分10秒750毫秒” , 注意结果中5~6字节保存的是星期几, 0表示星期日。

图4

Fig.4

	Figure Option ViewDownloadNew Window
	图4 时间获取函数分析Fig.4 Time acquisition function and its performing result

图5显示的是时间函数之后的8条汇编指令。第1条指令是将之前获得的日期时间信息中的分钟数据送到ax寄存器（如图5b所示）。第2条汇编指令是将地址0X1000858C位置的2字节数据（图5d）与ax寄存器数值进行比较。

图5

Fig.5

	Figure Option ViewDownloadNew Window
	图5 局部代码分析Fig.5 Analysis of local codes

经过分析, 我们发现0X1000858C地址存储的是上一次检测时记录的分钟数据, 这条指令是将上次记录的分钟值与当前分钟值进行比较, 如两者不同, 认为时间又前进了1 min。在本例中, 前次记录分钟值为6（如图5d所示）, 本次值为7, 两者不同, 程序执行第4条指令, 即将计数器值加以1, 变化前后的计数器值如图5e和图5f所示。第5~8条指令是将计数器值与限定值20 min（如图5g所示）进行比较, 如计数值小于20 min, 即没有达到定时器门限值, 程序跳转到0X1000155A地址, 即进入错误分枝。否则, 定时器达到门限值, 程序进入正确分枝执行。这段程序的功能是限定邮件发送的时间间隔为20 min, 没到达门限值时不触发邮件发送功能。有两种方案可以让程序进入正确的分枝。第一种是直接将图5f内存堆栈中[esp+10]位置的计数值改为20, 达到门限值, 程序跳转到正确分枝。第二种方法是将图5g内存堆栈中的[esp+14]位置的门限值下调, 也能使程序进入正确分枝。这里我们采用第一种方案, 修改EDX寄存器, 将计数值调整为0X00000014, 即达到门限值20 min。之后, 在木马程序第二处拐点位置0X10001471设置第二个断点, 观察程序的执行流向。

如图6所示, 地址0X10001461开始的7条汇编指令是第二处拐点的局部汇编代码。内存地址0X1000858C存储的是另一个内存地址0X7FF80000, 1~4行代码的主要功能是统计从地址0X7FF80000开始的内存区域里有多少个字节数据, 直至0x00结束。第5行指令not ecx执行之后, ecx寄存器中存储的就是前面统计字节个数加1, 由于目前从地址0X7FF80000开始的内存里没有任何数据, 因此ecx寄存器值为1。第6行语句dec ecx指令执行之后, ecx寄存器值为0。因此, 第7行je _Unpacke.1000154B判断之后, 程序跳转到0X1000154B地址, 进入错误分枝。经过分析, 发现实际上地址0X7FF80000开始的内存里存储的是键盘记录信息, 木马会将这些信息发送到黑客指定的电子邮箱。因此, 可以在这一区域任意输入一些文本信息, 木马程序识别出目标内存里存储了文字信息, 会误认为这是窃取到的键盘记录数据, 程序判断信息字符串文本长度（即ecx寄存器数值）大于零, 将跳转到正确分枝继续运行。如图6所示, 从地址0X7FF80000开始填写6个字节“ hello” , ecx寄存器内存储的是字符串长度值加1。因此, 将ecx寄存器值修改为0X00000007。之后在邮件发送函数的起始地址0X100017D0设置断点, 逐步执行邮件发送程序, 通过观察内存和堆栈内参数的变化来了解黑客配置的电子邮箱信息。

图6

Fig.6

	Figure Option ViewDownloadNew Window
	图6 程序执行流向分析Fig.6 Course orientation by program execution

木马程序使用send函数发送数据, 使用recv函数接收数据。从这两个函数的参数里可以获得木马发送和接收的通信数据。Send函数的原型定义如下：int send( SOCKET s, const char FAR* buf, int len, int flags ), 该函数的第一个参数s指定发送端套接字描述符; 第二个参数buf指向一个缓冲区, 存储准备发送的数据内容; 第三个参数len指明实际要发送数据的字节个数; 第四个参数flags一般设置为0。Recv函数的原型定义如下：int recv( SOCKET s, char FAR * buf, int len, int flags), 第二个参数buf指向一个接收缓冲区, 存储通过网络接收到的字节数据。在这两个函数的调用位置设置断点, 可以获得木马发送和接收的所有数据内容。断点设置方法如图7所示。在程序拐点和邮件发送函数起始、结束位置分别设置断点（如有多个结束位置, 则分别设置断点）, 再在send和recv函数上面设置断点。之后按F9键运行程序, 木马程序会多次调用send和recv函数发送接收数据, 每次收发数据都会触发一次中断, 从buf缓存内可以获得收发数据内容。需要注意的是, 在程序运行过程中存储接收和发送数据的缓存地址可能发生切换, 在调试过程中应予以重视。

图7

Fig.7

	Figure Option ViewDownloadNew Window
	图7 设置断点获取电子邮件相关数据Fig.7 Getting email-related data through setting breakpoints

图8为木马程序中断在断点位置时发送和接收缓存内的数据内容, 黑客电子邮箱账户信息, 数据内容采用了base-64编码, 可以使用任何一款base-64解码软件还原。还原之后显示, 账户名为xgt888, 密码为86982480。电子邮件正文内容, 主题是“ 红蜘蛛的礼物” , 内容是“ hello” , 即我们模拟的键盘记录信息。

图8

Fig.8

	Figure Option ViewDownloadNew Window
	图8 提取出的邮件账户信息Fig.8 Extracting the information of one email account

如图3所示, 在地址0X100014F6位置存在第三次拐点, 如果木马程序在这个位置跳转到偏移地址0X10001529, 那么第二次邮件发送行为将不会发生。为了让木马程序进入正确的分枝, 发出第二封电子邮件, 我们先来研究一下第三处拐点附近的局部汇编代码。局部代码如图9所示, 第三条语句执行了一次函数调用, 前面两条语句是使用push命令传入两个参数, 第五条语句使用test命令测试函数的执行结果, 如果执行结果eax值为0, 则程序跳转到0X10001529地址, 进入错误分枝。下面, 我们在第二条语句处设置断点, 来观察函数的执行功能。前两个断点位置的相关参数也要正确设置, 程序才能执行到这个位置。木马程序运行到地址0X100014EB断下, 两个传递参数值如图10所示。

图9

Fig.9

	Figure Option ViewDownloadNew Window
	图9 第三次拐点位置局部汇编代码Fig.9 Local codes assembled at the third inflection point

图10

Fig.10

	Figure Option ViewDownloadNew Window
	图10 调整函数执行参数Fig.10 Adjusting the executed parameters of the modified function

目测是进行字符串比较, 将参数2的前四个字节修改为0XB5 C7 C2 BC, 即汉字“ 登录” , 此时两个参数字符串值相同。函数执行结果存储在EAX寄存器内, 值为0XFFF80000, 即参数2的内存起始地址。至此, 判断出函数功能是进行字符串比较, 不同返回值为0, 相同返回子串在主串中的位置。调整参数之后, 木马程序会沿着正确的路径执行, 发送第二封电子邮件。与第一封邮件相比, 第二封邮件的收件人是redspider119@163.com, 邮件正文内容仍然是“ hello” 。这说明木马程序的作者在木马中预置了一个后门, 木马每窃取到一组账户信息, 先发送到黑客邮箱里一份, 再发送到木马作者邮箱一份。