邪恶八进制信息安全团队技术讨论组 » 论坛原创{ Original Paper } » [原创]阻止删除文件(文件占坑)

风泽 2008-4-3 20:08

[原创]阻止删除文件(文件占坑)

信息来源：邪恶八进制信息安全团队（[url]www.eviloctal.com[/url]）
作者：Written by 风泽(EvilHsu)[E.S.T] 真正的技术作者是DebugMan上《ring3文件占坑大法》的作者。

介绍:
dhfile是参考《ring3文件占坑大法》一文制造出的一款利用DuplicateHandle函数防止文件被删除、改名等操作的软件，同时也提供卸载、查找、搜索打开的文件句柄。当程序运行后，再使用这款工具将程序句柄复制到其他进程中，达到防删除目的，不影响正在运行程序的正常运行。至于这款软件想怎么去利用，就要看你们的想象力了。

注：
感谢《ring3文件占坑大法》的作者。

用法:
dhfile.exe [ /p | /f | /c | /l ] [PID] [FileName]

例子:
1. dhfile.exe /l 868
   搜索PID为868的进程打开的所有文件
2. dhfile.exe /f text.exe
   搜索打开text.exe句柄的进程
3. dhfile.exe /c 868 text.exe
   卸载进程ID为868中text.exe文件句柄
4. dhfile.exe /p 868 c:\text.exe
   将text.exe句柄复制到PID为868的进程中，达到防止删除text.exe文件的目的。

[color=Red]关键代码[/color][code]
BOOL DupFile( LPCTSTR lpFileName , int pid )
{
    BOOL    bRedup;
    HANDLE  hFile,hProcess;
    HANDLE  hTargetHandle;
   
    EnablePrivilege(SE_DEBUG_NAME,TRUE);

    if(ProcessList(pid)) printf("Process Name: %s\n",szProcessName);

    hProcess = OpenProcess( PROCESS_DUP_HANDLE, FALSE, pid);

    if ( hProcess == NULL )
       {
           printf("PROCESS_DUP_HANDLE Error\n");     
           return FALSE;
       }

    hFile = CreateFile( lpFileName,
                      GENERIC_READ,
                      0,
                      NULL,
                      OPEN_ALWAYS,
                      FILE_ATTRIBUTE_NORMAL,
                      NULL);

    if ( hFile == INVALID_HANDLE_VALUE )
    {
        printf("CreateFile Error\n");
        CloseHandle( hProcess );
        return FALSE;
    }

    bRedup = DuplicateHandle( GetCurrentProcess(),
                              hFile,
                              hProcess,
                              &hTargetHandle,
                              0,
                              FALSE,
                              DUPLICATE_SAME_ACCESS|DUPLICATE_CLOSE_SOURCE);

    CloseHandle( hProcess );

    return bRedup;
}
[/code][attach]11390[/attach]程序如有BUG请提示，如果有空偶会修改滴！

[[i] 本帖最后由 风泽 于 2008-4-3 20:23 编辑 [/i]]

sudami 2008-4-3 22:45

汗一个. yiyikingking牛估计要说 风泽大牛你偷代码了:lol:

代码很X很XXX,不错不错~~~~~

[[i] 本帖最后由 sudami 于 2008-4-3 22:48 编辑 [/i]]

风泽 2008-4-4 08:11

这个也不算偷吧？说明技术作者是他撒。。我只是一个书写者。。。把一系列的功能实现了。。。
修正了他DuplicateHandle中的一个参数。。。不改会造成文件损坏，也许是他故意的哈？呵呵~~好技术大家学习。。。
DuplicateHandle这个函数也被用烂了。。只是yiyikingking大牛的思路比较独特。
整个软件的代码yiyikingking的代码只占10%。。。。

再次感谢yiyikingking大牛~包括那个俄罗斯的。。。哈哈

[[i] 本帖最后由 风泽 于 2008-4-4 08:15 编辑 [/i]]

风泽 2008-4-5 10:52

yiyikingking大牛的代码的确淫荡~~哈哈~
不然偶也不会把这个工具给完善起来。
各位具体了解一下工具的使用方法，看这个工具到底能用在哪些地方，产生其他效果。
有思路及时跟帖，好东西大家分享撒~~

doking 2008-4-5 20:18

好象原作者说过：一个程序开机启动，删除xxxxx软件的某个重要文件，然后生成同名的占坑，短时间内无敌！
忘了在哪儿看到的这句话＾＆

风泽 2008-4-5 23:51

[quote]原帖由 [i]doking[/i] 于 2008-4-5 20:18 发表 [url=https://forum.eviloctal.com/redirect.php?goto=findpost&pid=140899&ptid=32738][img]images/common/back.gif[/img][/url]
好象原作者说过：一个程序开机启动，删除xxxxx软件的某个重要文件，然后生成同名的占坑，短时间内无敌！
忘了在哪儿看到的这句话＾＆ [/quote]

这样做目的在于什么?阻止XXXXX软件自我恢复那个重要文件?那就是破坏XXXXX软件的完整性了?
不错的思路!

dayang1718 2008-4-6 16:14

虽然可以做到自己不能被菜鸟删除，但是有个问题，就是如果做成U盘病毒的话，例如已经打开U盘中了病毒，现在程序已经启动了，如果再把U盘关闭的话，再打开U盘，程序不能再运行第二次，此时U盘就无法被打开，其他盘也是同样的原理

dayang1718 2008-4-6 16:17

说下，在U盘病毒中加了双击U盘，能打开U盘的代码，第一次打开U盘是病毒先启动，然后病毒把U盘打开的，第二次再打开U盘，病毒程序将无法再运行第二次，U盘也就打不开了

风泽 2008-4-6 21:09

[quote]原帖由 [i]dayang1718[/i] 于 2008-4-6 16:17 发表 [url=http://forum.eviloctal.com/redirect.php?goto=findpost&pid=140948&ptid=32738][img]images/common/back.gif[/img][/url]
说下，在U盘病毒中加了双击U盘，能打开U盘的代码，第一次打开U盘是病毒先启动，然后病毒把U盘打开的，第二次再打开U盘，病毒程序将无法再运行第二次，U盘也就打不开了 ... [/quote]

首先感谢您对这个问题的阐述,但不知道你有没有写代码测试过,当U盘拔出来后,你复制到别的进程的句柄就自动关闭了,所以不存在再次插上U盘打不开文件的问题.如果程序被复制,再次打开U盘无法成功...这个我没有测试,但从病毒的角度考虑的话病毒首先应该自己把自己的主体释放到系统目录中才是最安全的做法.

为什么给你的回复加威望?因为你这个问题引出了思路.
可以在本机上利用该功能防止U盘病毒感染本地磁盘,就是开机把建立的空autorun.inf复制到系统进程,防止病毒改写autorun.inf要防止U盘上病毒的运行还需要利用其他技术,比如在打开U盘之前把他里面存在的autorun.inf复制到任意进程,这样打开U盘的时候就不会运行病毒了,因为autorun.inf无法运行了.

[[i] 本帖最后由 风泽 于 2008-4-6 21:15 编辑 [/i]]

dayang1718 2008-4-8 10:03

首先感谢风泽对我的关照，呵呵！
我是拿U盘举例而已，不一定只是用autorun.inf感染U盘的，应该是感染所有的本地磁盘，这样本地磁盘如何用本程序自己再打开又是个问题。
另外在其他的地方转了个代码
PVOID buf = malloc(200000);
WCHAR path [MAX_PATH] ;
ZeroMemory(buf , 200000);

GetSystemDirectoryW(path , MAX_PATH);
wcscpy((wchar_t *)buf , L"\\\\?\\C:\\test");
CreateDirectoryW((wchar_t *)buf , 0);
ULONG i ;

for ( i = 0 ; i < 1023 ; i ++)
{
wcscat((wchar_t *)buf , L\\test);
CreateDirectoryW((wchar_t *)buf , 0);

}
wcscat((wchar_t *)buf , L\\test.exe);
wcscat(path , L"\\calc.exe");
CopyFileW(path , (wchar_t *)buf , FALSE);

return ;
本人很菜，看不明白C的，希望能有delphi的，呵呵

洋洋洒洒 2008-4-8 10:18

DuplicateHandle
可以用这个过卡吧8主防

风泽 2008-4-8 11:51

[quote]原帖由 [i]dayang1718[/i] 于 2008-4-8 10:03 发表 [url=http://forum.eviloctal.com/redirect.php?goto=findpost&pid=140996&ptid=32738][img]images/common/back.gif[/img][/url]
首先感谢风泽对我的关照，呵呵！
我是拿U盘举例而已，不一定只是用autorun.inf感染U盘的，应该是感染所有的本地磁盘，这样本地磁盘如何用本程序自己再打开又是个问题。
[/quote]

对于这个问题我上面已经说过了，你感染到U盘或者是其他盘的病毒只是一个母体，释放文件再运行释放的文件并把文件句柄复制，不是一个很清晰的思路？再开个进程监视，如果发现程序不在运行了就到目标进程把句柄释放掉后再开启程序撒~~

[[i] 本帖最后由 风泽 于 2008-4-9 11:31 编辑 [/i]]

风泽 2008-4-8 12:00

[quote]原帖由 [i]洋洋洒洒[/i] 于 2008-4-8 10:18 发表 [url=http://forum.eviloctal.com/redirect.php?goto=findpost&pid=140998&ptid=32738][img]images/common/back.gif[/img][/url]
DuplicateHandle
可以用这个过卡吧8主防 [/quote]

等有空自己动手搞搞~~用咔吧8的用户现在应该不多，至于KIS7 把SSDT恢复一下世界就安静了~

dayang1718 2008-4-8 21:07

现在修复SSDT的代码，貌似只有C的，如果有个delphi的，就好了，呵呵

delphiscn 2008-4-8 21:33

[quote]原帖由 [i]dayang1718[/i] 于 2008-4-8 21:07 发表 [url=http://forum.eviloctal.com/redirect.php?goto=findpost&pid=141022&ptid=32738][img]images/common/back.gif[/img][/url]
现在修复SSDT的代码，貌似只有C的，如果有个delphi的，就好了，呵呵 [/quote]

这里有一个例
用DDDK编写驱动,修改SSDT表HOOK NTDebugActiveProcess函数
[url]http://forum.eviloctal.com/thread-31008-1-1.html[/url]

风泽 2008-4-9 11:32

[quote]原帖由 [i]dayang1718[/i] 于 2008-4-8 10:03 发表 [url=http://forum.eviloctal.com/redirect.php?goto=findpost&pid=140996&ptid=32738][img]images/common/back.gif[/img][/url]
PVOID buf = malloc(200000);
WCHAR path [MAX_PATH] ;
ZeroMemory(buf , 200000);

GetSystemDirectoryW(path , MAX_PATH);
wcscpy((wchar_t *)buf , L"\\\\?\\C:\\test");
CreateDirectoryW((wchar_t *)buf , 0);
ULONG i ;

for ( i = 0 ; i < 1023 ; i ++)
{
wcscat((wchar_t *)buf , L\\test);
CreateDirectoryW((wchar_t *)buf , 0);

}
wcscat((wchar_t *)buf , L\\test.exe);
wcscat(path , L"\\calc.exe");
CopyFileW(path , (wchar_t *)buf , FALSE);

return ;
[/quote]

才发现这个代码很淫荡的说~~没那么简单，MJ0011的确YD啊，哈哈~~有空测试一下。。。。。

[[i] 本帖最后由 风泽 于 2008-4-9 11:34 编辑 [/i]]

evilsir 2008-4-10 12:52

MJ的代码just kidding...
DuplicateHandle其实只要XX了XX的handle table,NtDuplicateObject上过滤强悍点,也不是没可能喀嚓.至于其他的,只能说kblab的人都很懒很爱面子...


===========
我咋成未验证会员了呢?

[[i] 本帖最后由 evilsir 于 2008-4-10 13:03 编辑 [/i]]

风泽 2008-4-13 14:16

没有东西是绝对滴~~只要挂了NtDuplicateObject这个就完蛋了撒~
这个程序里面本来就提供喀嚓的功能，呵呵~~
咔吧LAB。。。不了解，没什么好评论的~

dayang1718 2008-4-16 21:52

请教下，以dhfile.exe /p 868 c:\text.exe为例子，是如何实现取消的。要代码的，呵呵。。

dayang1718 2008-4-16 21:58

实现卸载占坑文件的代码能否发下，呵呵

风泽 2008-4-17 08:53

楼上的，你可以参考如下文章。
[quote]在Ring3上实现文件碎甲（解锁）功能

作者：cbns888
一．概述：
如果一个病毒文件被植入正在运行的进程中，我们想要清除它时系统总会提供无法删除；有时编辑文件的进程被意外中止而文件句柄没有正确释放，导致此文件无法进行改写操作。现在我们会使用Unlocker之类的小工具去解锁，但在编写程序的可能会需要把这些功能包含在自己的代码中，本文就是自己写代码实现”如何关闭已经被加载的DLL或是正在使用的文件”功能，使用文章中的方法能很方便的完成文件解锁功能。
按最初的想法准备在ring0中完成这些功能,但在查找资料的过程中发现既然我们能在ring3中做,为什么不让这些方法更通用一些呢。其实功能实现并不难，主要是前期从哪里入手比较麻烦。
我们知道无论是动态库或是文件在加载到进程中时，总会有一个指向它的指针，如果让进程释放这段指针，那么这些文件就不会被系统锁定。下面将是我们的需要实现文件解锁功能而分解出的步骤
1.    枚举当前系统所有进程；
2.    查找进程中打开的文件句柄和加载的动态库句柄；
3.    通知进程关闭这些句柄。
二．详细设计
2．1查找进程加模的动态库模块
Let’s go,我们来分步完成它吧。对于枚举当前系统所有进程，在这里就不给出代码了，相信实现的方法很多。下面的代码段完成查找指定进程加载动库信息的功能(在这里使用了Jeffrey在《Windows核心编程》一书中提供的CToolhelp类，用它可以完成进程加载信息的分析功能，感谢Jeffrey，我一直在使用它)

// 自定义结构，保存打开句柄的的信息
typedef struct _UNFILE_INFO    {
    int nFileType;
    DWORD dwHandle;
    char *strFileName;
} UNFILE_INFO, *PUNFILE_INFO;
//////////////////////////////////////////////////////////////////////////
// 通过PID号取得PID打开的文件句柄信息
//////////////////////////////////////////////////////////////////////////
void
GetModules(DWORD dwProcessID, CList<PUNFILE_INFO, PUNFILE_INFO> &plsUnFileInfo)
{
    CToolhelp::EnableDebugPrivilege(TRUE);
    CToolhelp th(TH32CS_SNAPALL, dwProcessID);
    // 显示进程的详细资料
    MODULEENTRY32 me = { sizeof(me) };
    BOOL fOk = th.ModuleFirst(&me);
    for (; fOk; fOk = th.ModuleNext(&me))
    {
        PVOID pvPreferredBaseAddr = NULL;
        pvPreferredBaseAddr =GetModulePreferredBaseAddr(dwProcessID, me.modBaseAddr);
        // 取得进程模块信息
        PUNFILE_INFO pUnFileInfo = new UNFILE_INFO;
        // 模块地址
        pUnFileInfo->dwHandle = (DWORD)me.modBaseAddr;
        // 模块类型
        pUnFileInfo->nFileType = UNTYPE_DLL;
        // 模块名称
        pUnFileInfo->strFileName = new char[strlen(me.szExePath)+1];
        memset( pUnFileInfo->strFileName, 0, strlen(me.szExePath)+1);
        strcpy( pUnFileInfo->strFileName, me.szExePath);
        // 保存打开的模块信息
        plsUnFileInfo.AddTail( pUnFileInfo);
    }
}

上面功能完成了枚举进程加载的模块功能，我们把得到的枚举信息加入了链表中，以备后面使用。
2．2枚举进程打开的文件信息
下面将分段说明如何枚举指定进程打开的文件句柄。在这里我们需要使用两个DDK中提供的函数：
NTSTATUS
ZwQuerySystemInformation(
    IN SYSTEM_INFORMATION_CLASS SystemInformationClass,
    OUT PVOID SystemInformation,
    IN ULONG SystemInformationLength,
    OUT PULONG ReturnLength OPTIONAL
);
NTSTATUS
  ZwQueryInformationFile(
    IN HANDLE  FileHandle,
    OUT PIO_STATUS_BLOCK  IoStatusBlock,
    OUT PVOID  FileInformation,
    IN ULONG  Length,
    IN FILE_INFORMATION_CLASS  FileInformationClass
);
ZwQuerySystemInformation是个未公开函数，通过它的SYSTEM_INFORMATION_CLASS结构，我们能完成许多进程和线程的操作，下面是它的部分内容,在这时我们使用它的SystemHandleInformation(0x10)，来完成文件句柄的操作。
typedef enum _SYSTEM_INFORMATION_CLASS {
    SystemBasicInformation,                 // 0
    SystemProcessorInformation,             // 1
    SystemPerformanceInformation,             // 2
…
    SystemHandleInformation,                 // 16
…
    SystemSessionProcessesInformation        // 53
} SYSTEM_INFORMATION_CLASS;
ZwQueryInformationFile可以根据参数FileInformationClass的不同值来返回不同的类型，在这里我们使用FileInformationClass=FileInformationClass来得到FILE_NAME_INFORMATION，从而得到文件句柄指向的文件名，下面是它的结构定义。
typedef struct _FILE_NAME_INFORMATION {
  ULONG  FileNameLength;
  WCHAR  FileName[1];
} FILE_NAME_INFORMATION, *PFILE_NAME_INFORMATION;

因为需要在Ring3上使用DDK提供的函数，我们需要导出这些两个函数，下面是导出函数的示例代码：
{
    g_hNtDLL = LoadLibrary( "ntdll.dll" );
    if ( !g_hNtDLL )
    {
        return FALSE;
    }

    ZwQuerySystemInformation =
    (ZWQUERYSYSTEMINFORMATION)GetProcAddress( g_hNtDLL, "ZwQuerySystemInformation");
    if( ZwQuerySystemInformation == NULL)
    {
        return FALSE;
    }

    ZwQueryInformationFile =
    (ZWQUERYINFORMATIONFILE)GetProcAddress( g_hNtDLL, "ZwQueryInformationFile");
    if( ZwQueryInformationFile == NULL)
    {
        return FALSE;
    }
}
我们先来使用ZwQuerySystemInformation函数枚举系统中打开的所有文件的句柄，枚举出的信息将包含如下结构：
typedef struct _SYSTEM_HANDLE_INFORMATION {
    ULONG  ProcessId;
    UCHAR  ObjectTypeNumber;
    UCHAR  Flags;
    USHORT  Handle;
    PVOID  Object;
    ACCESS_MASK  GrantedAccess;
} SYSTEM_HANDLE_INFORMATION, *PSYSTEM_HANDLE_INFORMATION;
ObjectTypeNumber定义了句柄所属对像的类型，文件的ObjectType对不同的操作系统是不同的，所以需要先找到当前操作系统所定义的ObjectType值，这样才能在枚举出的众多句柄信息中找到哪些是文件句柄信息。通用的方法是我们CreateFile打开空设备NUL，记下它的句柄，用来比较。
UCHAR GetFileHandleType()
{
  HANDLE                     hFile;
  PSYSTEM_HANDLE_INFORMATION Info;
  ULONG                      r;
  UCHAR                      Result = 0;

  hFile = CreateFile("NUL", GENERIC_READ, 0, NULL, OPEN_EXISTING, 0, 0);

  if (hFile != INVALID_HANDLE_VALUE)
  {
    Info = GetInfoTable(SystemHandleInformation);

    if (Info)
    {
      for (r = 0; r < Info->uCount; r++)
      {
        if (Info->aSH[r].Handle == (USHORT)hFile &&
                                    Info->aSH[r].uIdProcess == GetCurrentProcessId())
        {
          Result = Info->aSH[r].ObjectType;
          break;
        }
      }
      HeapFree(hHeap, 0, Info);
    }
    CloseHandle(hFile);
  }
  return Result;
}
现在知道了句柄的类型就可以枚举系统中打开的文件了。首先用句柄获取打开的文件名：
typedef struct _NM_INFO
{
  HANDLE  hFile;
  FILE_NAME_INFORMATION Info;
  WCHAR Name[MAX_PATH];
} NM_INFO, *PNM_INFO;

// 因为在在线程中取得文件名
DWORD WINAPI
  GetFileNameThread(PVOID lpParameter)

{
  PNM_INFO        NmInfo = lpParameter;
  IO_STATUS_BLOCK IoStatus;
  int r;

  NtQueryInformationFile(NmInfo->hFile, &IoStatus, &NmInfo->Info,
                       sizeof(NM_INFO) - sizeof(HANDLE), FileNameInformation);

  return 0;
}

void CFileProcess::GetFileName(HANDLE hFile, PCHAR TheName)
{

    HANDLE   hThread;
    PNM_INFO Info = new NM_INFO;
    char namebuf[2000] = {0};
    Info->Info = (PFILE_NAME_INFORMATION)namebuf;

    Info->hFile = hFile;
    Info->nRet = 0x00;
   
    // 在对打开的句柄调用ZwQueryInformationFile时,调用线程会等待PIPE中的消息
    // 如果PIPE中没有消息时,线程可能会永久挂起,所以使用一个等待超时来打开句柄
    hThread = CreateThread(NULL, 0, GetFileNameThread, Info, 0, NULL);
    if (WaitForSingleObject(hThread, 100) == WAIT_TIMEOUT)
        TerminateThread(hThread, 0);
    CloseHandle(hThread);
    // 调用句柄失败
    if( Info->nRet == 0x00)
    {
        delete Info;
        return ;
    }
   
    // 加上盘符
    wchar_t volume = GetVolumeName(hFile);
    if (volume != L'!')
    {
        wchar_t outstr[1000] = L"A:";
        outstr[0] = volume;
        memcpy(&outstr[2], Info->Info->FileName, Info->Info->FileNameLength);
        outstr[2+Info->Info->FileNameLength] = 0;
        WideCharToMultiByte(CP_ACP, 0, outstr, 2+Info->Info->FileNameLength, TheName, MAX_PATH, NULL, NULL);
    }
    delete Info;
    return ;
}

下面代码片段用来枚举打开的文件：
{
    // 取得操作系统文件句柄定义类型
    UCHAR ObFileType = GetFileHandleType();
    // 取得系统中打开的文件句柄列表
    PULONG buf = GetHandleList();
    if (buf == NULL)
        return ;
    Info = (PSYSTEM_HANDLE_INFORMATION)&buf[1];
    if (Info)
    {
        for (r = 0; r < buf[0]; r++, Info++)
        {
            if (Info->ObjectTypeNumber == ObFileType && Info->ProcessId == dwProcessID)
            {
                hProcess = OpenProcess(PROCESS_DUP_HANDLE, FALSE, Info->ProcessId);

                if (hProcess)
                {
                    // 复制句柄到当前进程中,这样方便对当前进程句柄取出文件名
                    // 因为共享一个FileObject,这两个文件句柄对像将由两个进程共享
                    if ( DuplicateHandle( hProcess, (HANDLE)Info->Handle,
                    GetCurrentProcess(), &hFile, 0, FALSE, DUPLICATE_SAME_ACCESS))
                    {
                        GetFileName(hFile, Name);
                        // 取得文件信息到链表中
                        if( strlen( Name)>0)
                        {
                            AfxTrace("PID=%d FileHandle %d FileName=%s", Info->ProcessId, Info->Handle, Name);
                            // 在这里加入你要保存的文件句柄信息
                        }

                        CloseHandle(hFile);
                    }
                    CloseHandle(hProcess);
                }
            }
        }
    }
}
2．3使用远线程方法关闭进程加载的模块和打开的文件
通过枚举进程加载的模块信息和打开的文件信息，我们已经得到系统中加载的DLL和文件名信息，以下是我们在链表中保存的信息：
{
DWORD    ProcessID    // 进程PID
BYTE    nHandleType    // 句柄类型是文件还是加载的DLL
Char strFileName[MAX_PATH]    // 文件名
}
如果我们需要关闭正在打开的文件，只需要在这个链表中以文件名进行查找，即得到打开文件的进程PID。怎么才能通知别的进程关闭相应的句柄呢，我们通过跨进程去关闭句柄是很困难的，不如直接注入代码到需要的进程中,然后直接关闭句柄就行了。
需要再遍写一个DLL用来注入到进程中通知进程关闭文件句柄。这个DLL不需要做别的处理，只需要在加载的地方根据不同的句柄类型使用不同的方法进行关闭即可。下面是注入到进程的DLL执行的关闭句柄函数：
Void CloseHandel( PVOID pHandle, BYTE nHandleType)
{
    If(HandleType = HANDLE_FILE)
FreeLibrary((HMODULE)pHandle);
    else
        CloseHandle((HANDLE)pHandle);
}
在DllMain中调用关闭句柄的函数：
DllMain(HINSTANCE hInstance, DWORD dwReason, LPVOID lpReserved)
{
    // Remove this if you use lpReserved
    UNREFERENCED_PARAMETER(lpReserved);

    if (dwReason == DLL_PROCESS_ATTACH)
    {
        DWORD nHandle=0;
        BYTE nType=0;
        TRACE0("MOPER.DLL Initializing!\n");
        AfxMessageBox("MOPER.DLL Initializing!");
        // 从碎甲程序所生成的文件句柄映射文件中取出要关闭的句柄信息
        // 方法很多我在这里直接用共享文件实现的，就不写出代码了
        GetHandle( nHandle, nType)
        // 关闭句柄            
        CloseHandel((PVOID)nHandle, nType);
...
    }
...
}
下面示例取出通过文件句柄链表中的PID,使用远程注入的方法向进程注入关闭句柄的DLL
{
    HANDLE hRemoteProcess = OpenProcess(PROCESS_CREATE_THREAD | //允许远程创建线程
            PROCESS_VM_OPERATION | //允许远程VM操作
            PROCESS_VM_WRITE,//允许远程VM写
            FALSE, dwProcessId);
    if( hRemoteProcess == NULL)
        return FALSE;

    PTHREAD_START_ROUTINE pfnStartAddr = (PTHREAD_START_ROUTINE)GetProcAddress(GetModuleHandle("Kernel32"), "LoadLibraryA");
    int nLen = (strlen( pszLibFile)+1)*sizeof(char);
    char * pszLibFileRemote = (char *) VirtualAllocEx( hRemoteProcess, NULL, nLen, MEM_COMMIT, PAGE_READWRITE);
    if( pszLibFileRemote != NULL &&
        pfnStartAddr !=NULL)
    {
        if( WriteProcessMemory(hRemoteProcess, pszLibFileRemote, (PVOID) pszLibFile, nLen, NULL))
        {
            HANDLE hThread = CreateRemoteThread( hRemoteProcess, NULL, 0, pfnStartAddr, pszLibFileRemote, 0, NULL);
            if( !hThread)
            {
                WaitForSingleObject(hThread, INFINITE);
                bRet = TRUE;
                CloseHandle(hThread);
            }
        }
        VirtualFreeEx(hRemoteProcess, pszLibFileRemote, 0, MEM_RELEASE);
    }
    CloseHandle( hRemoteProcess);
}
三．备注
对查找文件句柄的方法，参考了鄙人拙译（[url]http://greatdong.blog.edu.cn[/url]）的“如何操作被占用文件”在此表示感谢。
使用了Jeffrey在《Windows核心编程》一书中提供的CToolhelp类，用它可以完成进程加载信息的分析功能，感谢Jeffrey。[/quote]

dayang1718 2008-4-17 12:49

风老大，我刚开始接触DELPHI，对C的很是头疼，呵呵，能否提炼出实现卸载占坑文件的代码，呵呵，照顾下小菜！

风泽 2008-4-17 17:18

回复 22楼 dayang1718 的帖子

不好意思，偶没学过DELPHI，看看还可以写的话就不会了。
如果你刚开始学的话我建议你学C

dayang1718 2008-4-17 21:24

晕，你提取段能删除的C的代码就行，呵呵，没让老大你写delphi的呀，呵呵

洋洋洒洒 2008-4-17 22:33

回复 24楼 dayang1718 的帖子

看附件体积这么小...可想而知里面的东东跟直接看代码一样...

风泽 2008-4-18 08:29

回复 25楼 洋洋洒洒 的帖子

无壳 无花~~IDA F5........:lol:

[[i] 本帖最后由 风泽 于 2008-4-18 08:30 编辑 [/i]]

风泽 2008-4-20 15:02

靠`~F5真TMD强大啊...和源代码基本符合...看来以后写程序要加点花...[code]int __cdecl sub_401770(int a1, char *Str, char *Str1)
{
  LPVOID v3; // eax@1
  void *v4; // edi@1
  int v5; // esi@3
  void *v6; // ebp@7
  int v7; // eax@9
  CHAR *v8; // ebx@10
  int v9; // eax@15
  char *v10; // ST18_4@17
  unsigned int v12; // eax@2
  HANDLE v13; // eax@7
  HANDLE v14; // eax@8
  HANDLE v15; // ST14_4@13
  HANDLE v16; // ecx@15
  BOOL v17; // ST14_4@16
  DWORD v18; // ST10_4@16
  HANDLE v19; // eax@16
  char v20; // cf@22
  int v21; // [sp+Ch] [bp-114h]@1
  int v22; // [sp+Bh] [bp-115h]@1
  void *v23; // [sp+18h] [bp-108h]@1
  int v24; // [sp+14h] [bp-10Ch]@2
  HANDLE hObject; // [sp+10h] [bp-110h]@8
  CHAR MultiByteStr; // [sp+1Ch] [bp-104h]@9

  v21 = 0;
  hHeap = GetProcessHeap();
  v22 = (unsigned __int8)sub_401520();
  v3 = sub_401480(16);
  v4 = v3;
  v23 = v3;
  if ( v3 )
  {
    v12 = *(_DWORD *)v3;
    v24 = 0;
    if ( v12 > 0 )
    {
      v5 = (int)((char *)v4 + 10);
      do
      {
        if ( *(_BYTE *)(v5 - 2) == (_BYTE)v22 )
        {
          if ( *(_DWORD *)(v5 - 6) == a1 || !strnicmp(Str1, "/f", 2u) )
          {
            v13 = OpenProcess(0x40u, 0, *(_DWORD *)(v5 - 6));
            v6 = v13;
            if ( v13 )
            {
              v14 = GetCurrentProcess();
              if ( DuplicateHandle(v6, (HANDLE)*(_WORD *)v5, v14, &hObject, 0, 0, 2u) )
              {
                sub_4015F0((int)hObject, &MultiByteStr);
                v7 = mbsrchr(&MultiByteStr, 92);
                if ( v7 )
                  v8 = (CHAR *)(v7 + 1);
                else
                  v8 = &MultiByteStr;
                if ( strnicmp(Str1, "/l", 2u) )
                {
                  if ( !strnicmp(v8, Str, strlen(Str) - 1) )
                  {
                    v16 = (HANDLE)*(_WORD *)v5;
                    ++v21;
                    printf("Process:%d Handle: %d .... FileName: %s\n", *(_DWORD *)(v5 - 6), v16, &MultiByteStr);
                    v9 = strnicmp(Str1, "/c", 2u);
                    if ( !v9 )
                    {
                      v17 = v9;
                      v18 = v9;
                      v19 = GetCurrentProcess();
                      if ( DuplicateHandle(v6, (HANDLE)*(_WORD *)v5, v19, &hObject, v18, v17, 1u) )
                        v10 = "Close Files Handle....Success\n";
                      else
                        v10 = "Close Files Handle....Failure\n";
                      printf(v10);
                    }
                  }
                }
                else
                {
                  v15 = (HANDLE)*(_WORD *)v5;
                  ++v21;
                  printf("Handle: %d .... FileName: %s\n", v15, &MultiByteStr);
                }
                CloseHandle(hObject);
                v4 = v23;
              }
              CloseHandle(v6);
            }
          }
        }
        v5 += 16;
        v20 = (unsigned int)(v24++ + 1) < *(_DWORD *)v4;
      }
      while ( v20 );
    }
    HeapFree(hHeap, 0, v4);
    if ( !v21 )
      printf("Not found File: %s \n", Str);
  }
  return 0;
}
[/code]

7个b 2008-4-24 14:02

DuplicateHandle复制句柄大法果然很强大...
把句柄复制到Winlogon.exe或csrss.exe,这个世界流氓了...
那有什么方法解除不? :sad:

风泽 2008-4-24 18:40

[quote]原帖由 [i]7个b[/i] 于 2008-4-24 14:02 发表 [url=http://forum.eviloctal.com/redirect.php?goto=findpost&pid=141782&ptid=32738][img]images/common/back.gif[/img][/url]
DuplicateHandle复制句柄大法果然很强大...
把句柄复制到Winlogon.exe或csrss.exe,这个世界流氓了...
那有什么方法解除不? :sad: [/quote]

这个程序自身就带有 查看句柄、复制句柄、搜索句柄、卸载句柄功能。。。。

查看完整版本: [原创]阻止删除文件(文件占坑)

© 1999-2008 EvilOctal Security Team