云南龙网

  1. 首页 > 云知道 > >

CHM 详解电子书木马病毒( 二 )

云知道


第三步：
打开HTML Help Workshop，选择File菜单下的Decompile...项，对access.chm进行反编译 。
编译后的目录“G:CHM木马”中可以看到access.hhc（对应帮助文档左侧的“目录”项）和access.hhk（对应帮助文档左侧的“索引”项）；
第四步：
建立一个新的带有木马的电子书；
把“Window 按钮突破专家.exe”，也就是你的木马程序复制到反编译后的目录“G:CHM木马”中，并在此目录下建立一个icyfox.hhp的文件（用记事本即可！），内容如下（注意;号后面的注释不要写上）：
[OPTIONS]
Compatibility=1.1 Or later
Compiled file=access.chm ;把access.chm改为你要生成的电子书名
Default Window=Main
Language=0x804 中文(中国)
[WINDOWS]
Main="辅助选项","access.hhc","access.hhk","icyfox.htm",,,,,,0x420,150,0x104E,,0x0,0x0,,,,,0
把上面的"辅助选项"改为你第一步时得到的标题栏文字，"access.hhc"及"access.hhk"分别改为你第三步得到的文件名
[FILES]
icyfox.htm
Window 按钮突破专家.exe ;把它改为你要嵌入电子书的木马程序名
最后，用HTML Help Workshop打开icyfox.hhp，点击左侧最下面的编译按钮，稍等一会就可以在“G:CHM木马”目录中发现已经编译好的带有木马的电子书access.chm，打开看看！
加入电子书中的程序是不是运行啦？！还和原来的电子书满相似的吧！当然由于我直接用的上面的icyfox.hhp直接来编译出来的，并没有对电子书进行更细致的调整，所以和原来的相比有点差异，当然如果你愿意，做出和原电子书一样的界面也可以的！^:^
当然我直接写出icyfox.hhp这个文件的内容，也决不是为了多赚稿费，一方面免去制作电子书的过程说明，更重要的是因为它对你做一个可以“传染”其他电子书的木马是有作用的，不过鉴于这样做已经具有病毒的传染特性，其危害性过大，所以请不要找我要方法和代码，也请自己想出方法写出程序的各位大哥，不要进行大规模的散发！
看到这里你也许会质问我所说的“优点”中的第四条根本没法实现，因为当“下载站点”的站长打开时同样会运行木马，所以他就不会在为你“免费服务”啦，咋办？
最会，就让我和大家一起解决这点小问题，如何逃过那些“下载站点”的木马检测，而让他们不知不觉的帮助你传播电子书木马！
分析一下，那些“下载站点”一般不会把你提供的电子书进行反编译吧？！所以只要在他们打开你的电子书查看时，不运行你的木马程序，这样他们就会放心的把它放到自己的站点上供其它人下载！我的方法是在icyfox.htm中加入用于判断时间的javascript代码，当大于某日期时，再动态写入运行木马的HTML代码，从而逃过检测，修改后的icyfox.htm如下:








想想，你说这个电子书木马的生存传播效果如何？！
最后，我说一下对这种电子书木马的预防措施：
1.老生常谈，下载电子书在一些比较正规的大的站点进行，因为这里的书籍一般都是他们自己做的；
【CHM 详解电子书木马病毒】2.积极自我防护，修改本地安全属性，使其无法在本地电脑域环境中运行木马程序，相应的注册表键值为：
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionInternet SettingsZones下的1004项的值由原来的０改为十六进制的３，
如果你想详细修改本地电脑域的安全属性，可以把此同分支下的Flags项的值由原来的十六进制２１改为０，再打开ＩＥ浏览器“Internet 选项...”中的的“安全”标签，是不是多了一个“我的电脑”图标，仔细改改它的安全级别吧

推荐阅读


上一篇：防水帆布厚度是多少

下一篇：深两优876简介