共找到2條詞條名為冰刃的結果 展開

冰刃

軟體

冰刃IceSword適用於Windows 2000/XP/2003操作系統,其內部功能是十分強大,用於查探系統中的幕後黑手—木馬後門,並作出處理。可能您也用過很多類似功能的軟體,比如一些進程工具、埠工具,但是現在的系統級後門功能越來越強,一般都可輕而易舉地隱藏進程、埠、註冊表、文件信息,一般的工具根本無法發現這些"幕後黑手"。IceSword使用了大量新穎的內核技術,使得這些後門躲無所躲。

添加功能


1、進程欄里的模塊搜索(Find Modules)
2、註冊表欄里的搜索功能(Find、Find Next)
3、文件欄里的搜索功能,分別是ADS的枚舉(包括或不包括子目錄)、普通文件查找(Find Files)
上面是要求最多的,確實對查找惡意軟體有幫助
4、BHO欄的刪除、SSDT欄的恢復(Restore)
5、Advanced Scan:第三步的Scan Module提供給一些高級用戶使用,一般用戶不要隨便restore,特別不要restore第一項顯示為"-----"的條目,因為它們或是操作系統自己修改項、或是IceSword修改項,restore後會使系統崩潰或是IceSword不能正常工作。最早的IceSword也會自行restore一些內核執行體、文件系統的惡意inline hook,不過並未提示用戶,覺得像SVV那樣讓高級用戶自行分析可能會有幫助。另外裡面的一些項會有重複(IAT hook與Inline modified hook),偷懶不檢查了,重複restore並沒有太大關係。還有掃描時不要做其它事,請耐心等待。
有朋友建議應該對找到的結果多做一些分析,判斷出修改後代碼的意義,這當然不錯,不過要完美的結果工作很煩瑣——比如我可以用一條指令跳轉,也可以用十條或更多冗餘指令做同樣的工作——沒有時間完善,所以只有JMP/PUSH+RET的判斷。提議下對高級用戶可選的替代方案:記住修改的地址,使用進程欄里的“內存讀寫”中的“反彙編”功能,就先請用戶人工分析一下吧,呵呵。
6、隱藏簽名項(View->Hide Signed Items)。在菜單中選中后對進程、模塊列舉、驅動、服務四欄有作用。要注意選中后刷新那四欄會很慢,要耐心等。運行過程中系統相關函數會主動連接外界以獲取一些信息(比如去crl.microsoft. com獲取證書吊銷列表),一般來說,可以用防火牆禁之,所以選中后發現IS有連接也不必奇怪,M$搞的,呵呵。
7、其他就是內部核心功能的加強了,零零碎碎有挺多,就不細說了。使用時請觀察下View->Init State,有不是“OK”的說明初始化未完成,請report一下。
IceSword是一斬斷黑手的利刃(所以取這土名,有點搞呃,呵呵)。它適用於Windows 2000/XP/2003/Vista操作系統,用於查探系統中的幕後黑手(木馬後門)並作出處理,當然使用它需要用戶有一些操作系統的知識。
在對軟體做講解之前,首先說明第一注意事項:此程序運行時不要激活內核調試器(如softice),否則系統可能即刻崩潰。另外使用前請保存好您的數據,以防萬一未知的Bug帶來損失。
IceSword只為使用32位的x86兼容CPU的系統設計,另外運行IceSword需要管理員許可權。
如果您使用過老版本,請一定注意,使用新版本前要重新啟動系統,不要交替使用二者。
IceSword內部功能是十分強大的。可能您也用過很多類似功能的軟體,比如一些進程工具、埠工具,但是系統級後門功能越來越強,一般都可輕而易舉地隱藏進程、埠、註冊表、文件信息,一般的工具根本無法發現這些“幕後黑手”。IceSword使用大量新穎的內核技術,使得這些後門躲無所躲。
如何退出IceSword:直接關閉,若你要防止進程被結束時,需要以命令行形式輸入:IceSword.exe/c,此時需要Ctrl+Alt+D才能關閉(使用三鍵前先按一下任意鍵)。
如果最小化到托盤時托盤圖標又消失了:此時可以使用Ctrl+Alt+S將IceSword主界面喚出。因為偷懶沒有重繪圖標,將就用吧。
您無須為此軟體付費。該軟體是免費的。

更新說明


1.20:(1)恢復了插件功能,並提供一個文件註冊表的小插件,詳見FileReg.chm;(2)對核心部分作了些許改動,界面部分僅文件菜單有一點變化。
1.20(SubVer 111E3):添加對32位版本Vista(NtBuildNumber:6000)的支持。
1.22:(1)增加普通文件、ADS、註冊表、模塊的搜索功能;(2)隱藏簽名項;(3)添加模塊的HOOK掃描;(4)核心功能的加強。

進程介紹


欲察看當前進程,請點擊“進程”按鈕,在右部列出的進程中,隱藏的進程會以紅色醒目地標記出,以方便查找隱藏自身的系統級後門。1.16中進程欄只納入基本功能,欲使用一些擴展的隱藏進程功能,請使用系統檢查。
右鍵菜單:
1、刷新列表:請再次點擊“進程”按鈕,或點擊右鍵,選擇“刷新列表”。
2、結束進程:點擊左鍵選中一項,或按住Ctrl鍵選擇多項,然後使用右鍵菜單的“結束進程”將它們結束掉。
3、線程信息:在右鍵菜單中選擇“線程信息”。
注意其中的“強制終止”是危險的操作,對一個線程只應操作一次,否則系統可能崩潰。為了盡量通用,裡面註釋掉了大量代碼,因而是不完全的。不過可以應付一些用戶的要求了:終止系統線程與在核心態死循環的線程,雖然可能仍然能看到它們的存在,那只是一些殘留。
4、模塊信息:在右鍵菜單中選擇“模塊信息”。
“卸除”對於系統DLL是無效的,你可以使用“強制解除”,不過強制解除系統DLL必然會使進程掛掉。強制解除后在使用PEB來查詢模塊的工具中仍可看到被解除的DLL,而實際上DLL已經被卸掉了。這是因為我懶得做善後處理了——修改PEB的內容。
5、內存讀寫:在右鍵菜單中選擇“內存讀寫”。
操作時首先填入讀的起始地址和長度,點擊“讀內存”,如果該進程內的指定地址有效,則讀取並顯示,您可以在編輯框中修改後點擊“寫內存”寫入選中的進程。注意此刻的提示框會建議您選“否”即不破除COW機制,在您不十分明白COW之前,請選擇“否”,否則可能寫入錯誤的地址給系統帶來錯誤以至崩潰。
讀出內容后,可以點擊“反彙編”查看反彙編值,某些木馬修改函數入口來hook函數,可由反彙編值分析判斷。

埠功能


此欄的功能是進程埠關聯。它的前四項與netstat -an類似,后兩項是打開該埠的進程。
在“進程ID”一欄中,出現0值是指該埠已關閉,處於“TIME_WAIT”狀態,由於2000上使用技術XP/2003有所不同,所以前者與后二者上的顯示可能些微差別。IceSword破除系統級後門的埠隱藏,只要進程使用windows系統功能打開了埠,就逃不出查找。不過注意因為偷懶,未將隱藏的埠像進程那樣紅色顯示,所以您需要自己對照。

註冊表介紹


與Regedit用法類似,注意它有許可權打開與修改任何子鍵,使用時要小心,不要誤修改(比如SAM子鍵)。
子鍵的刪除、子鍵下項的創建都是在左邊子鍵上點擊右鍵,在菜單中選擇即可,而右邊各項上點擊則出現“刪除所選”的菜單,刪除選中的一項或多項。在右邊雙擊一項則出現修改對話框。

文件管理


文件操作與資源管理器類似,但只提供文件刪除、複製的功能。其特點還是防止文件隱藏,同時可以修改已打開文件(通過複製功能,將複製的目標文件指定為那個已打開文件即可)。

菜單介紹


設置:此欄中各項意義與其名稱一致,具體可見FAQ。
轉儲:“GDT/IDT”在當前目錄保存GDT和IDT的內容入GDT.txt、IDT.txt;
“列表”將當前List(僅對前5項,即:進程、埠、內核模塊、啟動組、服務)中的某些列內容保存在用戶指定的log文件中。比如,要保存進程路徑名入log文件,先點擊“進程”按鈕,再選擇“列表”菜單,指定文件后確定即可。
托盤切換:將Icesword最小化到托盤或反之。

其它功能


內核模塊:即當前系統載入的核心模塊比如驅動程序。
啟動組:是兩個RUN子鍵的內容,懶得寫操作了,請自行更改註冊表。
服務:用於查看系統中的被隱藏的或未隱藏的服務,隱藏的服務以紅色顯示,注意在操作時可能有的服務耗時較長,請稍後手動刷新幾次。
SSDT:即系統服務派發表,其中被修改項會紅色顯示。
消息鉤子:枚舉系統中所註冊的消息鉤子(通過SetWindowsHookEx等),若鉤子函數在exe模塊中則是實際的地址,若在dll模塊中則是相對於dll基址的偏移,具體請自行判斷吧(一般地址值小於0x400000的就是全局鉤子)。
監視進線程創建:顧名思義,進線程的創建紀錄保存在以循環緩衝里,要IceSword運行期間才進行紀錄,您可以用它發現木馬後門創建了什麼進程和線程,尤其是遠線程。紅色顯示的即是進程創建(目標進程TID為0時為進程創建,緊接其後的紅色項是它的主線程的創建)和遠線程創建(應該注意),須注意的是,此欄只顯示最新的1024項內容。
監視進程終止:一般只是監視一個進程結束另一個進程,進程結束自身一般不紀錄。
系統檢查:1.22中有更新
其餘請參考FAQ

問題


問:進程埠工具很多,為什麼要使用IceSword?
答:1、絕大多數所謂的進程工具都是利用Windows的Toolhlp32或psapi再或ZwQuerySystemInformation系統調用(前二者最終也用到此調用)來編寫,隨便一個ApiHook就可輕輕鬆鬆幹掉它們,更不用說一些內核級後門了;極少數工具利用內核線程調度結構來查詢進程,這種方案需要硬編碼,不僅不同版本系統不同,打個補丁也可能需要升級程序,並且有人也提出過防止此種查找的方法。而IceSword的進程查找核心態方案是獨一無二的,並且充分考慮內核後門可能的隱藏手段,可以查出所有隱藏進程。
2、絕大多數工具查找進程路徑名也是通過Toolhlp32、psapi,前者會調用RtlDebug***函數向目標註入遠線程,後者會用調試api讀取目標進程內存,本質上都是對PEB的枚舉,通過修改PEB就輕易讓這些工具找不到北了。而IceSword的核心態方案原原本本地將全路徑展示,運行時剪切到其他路徑也會隨之顯示。
3、進程dll模塊與2的情況也是一樣,利用PEB的其他工具會被輕易欺騙,而IceSword不會弄錯(有極少數系統不支持,此時仍採用枚舉PEB)。
4、IceSword的進程殺除強大且方便(當然也會有危險)。可輕易將選中的多個任意進程一併殺除。當然,說任意不確切,除去三個:idle進程、System進程、csrss進程,原因就不詳述了。其餘進程可輕易殺死,當然有些進程(如winlogon)殺掉后系統就崩潰了。
5、對於埠工具,網上的確有很多,不過網上隱藏埠的方法也很多,那些方法對IceSword可是完全行不通的。其實本想帶個防火牆動態查找,不過不想弄得太臃腫。這裡的埠是指windows的IPv4 Tcpip協議棧所屬的埠,第三方協議棧或IPv6棧不在此列。
問:windows自帶的服務工具強大且方便,IceSowrd有什麼更好的特點呢?
答:因為比較懶,界面使用上的確沒它來的好,不過IceSword的服務功能主要是查看木馬服務的,使用還是很方便的。舉個例子,順便談一類木馬的查找:svchost是一些共享進程服務的宿主,有些木馬就以dll存在,依靠svchost運作,如何找出它們呢?首先看進程一欄,發現svchost過多,記住它們的pid,到服務一欄,就可找到pid對應的服務項,配合註冊表查看它的dll文件路徑(由服務項的第一欄所列名稱到註冊表的services子鍵下找對應名稱的子鍵),根據它是不是慣常的服務項很容易發現異常項,剩下的工作就是停止任務或結束進程、刪除文件、恢復註冊表之類的了,當然過程中需要你對服務有一般的知識。
問:那麼什麼樣的木馬後門才會隱藏進程註冊表文件的?用IceSword又如何查找呢?
答:比如很流行且開源(容易出變種)的hxdef就是這麼一個後門。用IceSword可以方便清除,你直接就可在進程欄看到紅色顯示的hxdef100進程,同時也可以在服務欄中看到紅色顯示的服務項,順便一說,在註冊表和文件欄里你都可發現它們,若木馬正在反向連接,你在埠欄也可看到。殺除它么,首先由進程欄得後門程序全路徑,結束進程,將後門目錄刪除,刪除註冊表中的服務對應項...這裡只是簡單說說,請你自行學習如何有效利用IceSword吧。
問:“內核模塊”是什麼?
答:載入到系統內和空間的PE模塊,主要是驅動程序*.sys,一般核心態后們作為核心驅動存在,比如說某種rootkit載入_root_.sys,前面提到的hxdef也載入了hxdefdrv.sys,你可以在此欄中看到。
問:“SPI”與“BHO”又是什麼?
答:SPI欄列舉出系統中的網路服務提供者,因為它有可能被用來做無進程木馬,注意“DLL路徑”,正常系統只有兩個不同DLL(當然協議比較多)。BHO是IE的插件,全名Browser Help Objects,木馬以這種形式存在的話,用戶打開網頁即會激活木馬。
問:“SSDT”有何用?
答:內核級後門有可能修改這個服務表,以截獲你系統的服務函數調用,特別是一些老的rootkit,像上面提到的ntrootkit通過這種hook實現註冊表、文件的隱藏。被修改的值以紅色顯示,當然有些安全程序也會修改,比如regmon,所以不要見到紅色就慌張。
問:“消息鉤子”與木馬有什麼關係?
答:若在dll中使用SetWindowsHookEx設置一全局鉤子,系統會將其載入入使用user32的進程中,因而它也可被利用為無進程木馬的進程注入手段。
問:最後兩個監視項有什麼用處?
答:“監視進線程創建”將IceSword運行期間的進線程創建調用記錄在循環緩衝里,“監視進程終止”記錄一個進程被其它進程Terminate的情況。舉例說明作用:一個木馬或病毒進程運行起來時查看有沒有殺毒程序如norton的進程,有則殺之,若IceSword正在運行,這個操作就被記錄下來,你可以查到是哪個進程做的事,因而可以發現木馬或病毒進程並結束之。再如:一個木馬或病毒採用多線程保護技術,你發現一個異常進程后結束了,一會兒它又起來了,你可用IceSword發現是什麼線程又創建了這個進程,把它們一併殺除。中途可能會用到“設置”菜單項:在設置對話框中選中“禁止進線程創建”,此時系統不能創建進程或者線程,你安穩的殺除可疑進線程后,再取消禁止就可以了。
問:IceSword的註冊表項有什麼特點?相對來說,RegEdit有什麼不足嗎?
答:說起Regedit的不足就太多了,比如它的名稱長度限制,建一個全路徑名長大於255位元組的子項看看(編程或用其他工具,比如regedt32),此項和位於它後面的子鍵在regedit中顯示不出來;再如有意用程序建立的有特殊字元的子鍵regedit根本打不開。
當然IceSword中添加註冊表編輯並不是為了解決上面的問題,因為已經有了很多很好的工具可以代替Regedit。IceSword中的“註冊表”項是為了查找被木馬後門隱藏的註冊項而寫的,它不受任何註冊表隱藏手法的蒙蔽,真正可靠的讓你看到註冊表實際內容。
問:那麼文件項又有什麼特點呢?
答:同樣,具備反隱藏、反保護的功能。當然就有一些副作用,文件保護工具(移走文件和文件加密類除外)在它面前就無效,如果你的機器與人共用,那麼不希望別人看到的文件就採用加密處理吧,以前的文件保護(防讀或隱藏)是沒有用的。還有對安全的副作用是本來system32\config\SAM等文件是不能拷貝也不能打開的,但IceSword是可以直接拷貝的。不過只有管理員能運行IceSword。最後說一個小技巧:用複製來改寫文件。對一個被非共享打開的文件、或一個正運行的程序文件(比如木馬),你想改掉它的內容(比如想向木馬程序文件寫入垃圾數據使它重啟后無法運行),那麼請選中一個文件(內含你想修改的內容),選“複製”菜單,將目標文件欄中添上你欲修改掉的文件(木馬)路徑名,確定后前者的內容就寫入後者(木馬)從頭開始的位置。
最後提醒一句:每次開機IceSword只第一次運行確認管理員許可權,所以管理員運行程序后,如果要交付機器給低許可權用戶使用,應該先重啟機器,否則可能為低許可權用戶利用。
問:GDT/IDT的轉儲文件里有什麼內容?
答:GDT.log內保存有系統全局描述符表的內容,IDT.log則包含中斷描述符表的內容。如果有後門程序修改它,建立了調用門或中斷門,很容易被發現。
問:轉儲列表是什麼意思?
答:即將顯示在當前列表視中的部分內容存入指定文件,比如轉儲系統內所有進程,放入網上請人幫忙診斷。不過意義不大,IceSword編寫前已假定使用者有一定安全知識,可能不需要這類功能。
問:文件菜單中“重啟並監視”有何用處,如何使用?
答:因為IceSword設計為盡量不在系統上留下什麼安裝痕迹,不過這就不方便監視開機就自啟的程序。比如,一個程序運行後向explorer等進程遠線程注入,再結束自身,這樣查進程就不大方便了,因為僅有線程存在。這時,就可以使用“重啟並監視”監視系統啟動時的所有進線程創建,可輕易發現遠線程注入。
問:“創建進程規則”和“創建線程規則”是什麼意思?
答:它們用來設定創建進線程時的規則。其中要注意的是:總規則是指允許還是禁止滿足該條規則所有條款的進線程創建事件;一條規則中的條款間的關係是與關係,即同時滿足才算匹配這條規則;“規則號”是從零開始的,假設當前有n條規則,添加規則時輸入零規則號即代表在隊頭插入,輸入n規則號則在隊尾插入;如果前面一條規則已經匹配,那麼所有後面的規則就忽略掉了,系統直接允許或禁止這次創建操作。
問:插件有何用處?
答:可以方便地擴充功能而不升級程序,以後可能開放一些介面給用戶自己定製。1.06正式版暫時取消了,因為用戶反饋並不是很有用。
問:協件有何用處?
答:插件的取代品。時間有限,沒有怎麼測試,若覺得不安全,可以在“設置”菜單禁用之。具體見頭文件和示常式序。IsHelp是個小玩具型的協件,提供輔助功能。需要注意的是,協件的運行需要IceSword的支持(IceSword通過進程間通信提供服務)。