找寻盗号木马的踪迹。

这一段时间，我在找盗号木马的踪迹，这是我的记录及心得。请大佬绕步。

我的系统是windows11系统。找盗号木马，用的是这个命令。

netstat -p TCP -anb

最后的-b参数能显示进程名。

根据进程找可疑ip可以定位木马。。。

这段代码通过进程名获得pid.

1. #写一段hook指定进程的程序
   
2. 
   
3. 
   
4. import psutil
   
5. 
   
6. def hook_process(process_name):
   
7.     for proc in psutil.process_iter():
   
8.         try:
   
9.             pinfo = proc.as_dict(attrs=['pid', 'name', 'cmdline'])
   
10.         except psutil.NoSuchProcess:
    
11.             pass
    
12.         else:
    
13.             if pinfo['name'] == process_name:
    
14.                 print(pinfo)
    
15.                 return pinfo['pid']
    
16.                
    
17. if __name__ == '__main__':
    
18.     pid = hook_process('SearchHost.exe')
    
19.     if pid:
    
20.         print('hook process success')
    
21.     else:
    
22.         print('hook process failed')
    

复制代码

我在SearchHost进程中找到了CoreMessaging.dll模块，里面的PostMessageW函数可疑。下面是我的hook代码。。。

1. #根据进程pid钩住CoreMessaging.dll模块的PostMessagew函数
   
2. 
   
3. 
   
4. from ctypes import *  
   
5. from ctypes.wintypes import HWND, UINT, WPARAM, LPARAM  
   
6.   
   
7. # Load DLL  
   
8. dll = windll.LoadLibrary("CoreMessaging.dll")  
   
9.   
   
10. # Get PostMessage function from DLL  
    
11. PostMessage = dll.PostMessageW  
    
12.   
    
13. # Set argument types and return type of PostMessage  
    
14. PostMessage.argtypes = [HWND, UINT, WPARAM, LPARAM]  
    
15. PostMessage.restype = BOOL  # According to the documentation, PostMessage returns a BOOL  
    
16.   
    
17. # Create a handle to a window (HWND)  
    
18. hwnd = c_int(6224)  # You should replace this with the actual window handle you want to send the message to  
    
19.   
    
20. # Define the message you want to send (UINT) and the parameters for the message (WPARAM and LPARAM)  
    
21. message = 0x100  # You should replace this with the actual message you want to send  
    
22. wparam = 0  
    
23. lparam = 0  
    
24.   
    
25. # Call PostMessage with the given arguments  
    
26. #result = PostMessage(hwnd, message, wparam, lparam)  
    
27. result = PostMessage(6224, message, wparam, lparam)
    
28. if result == 0:  
    
29.     print("Failed to post message")  
    
30. else:  
    
31.     print("Message posted successfully")

复制代码

我将这两个文件发上来。同时还有相关工具。。。
来自圈子: 中国红客联盟第五战区

上面两个图是用压缩包里的string64这个文件操作的。

1. stings64 SearchHost.exe
   
2. 
   
3. strings64 CoreMessaging.dll

复制代码

找模块时，打开procexp64.exe文件。然后双击其中的SearchHost进程。
看他的Threads选项卡。在这里找到有关网络的dll模块和函数。

还可以用dbgview64看模块。有网络操作。

emm

😪迟了