Windows映像劫持利用

动画大小：

7.27 MB

添加时间：

2008-07-27

动画性质：

无声演示

录制工具：

屏幕录象专家

游戏外挂：

Wg.anqn.com

VIP 会员：

VIP.anqn.com

动画评级：

动画介绍：什么是映像劫持？
“映像劫持”，也被称为“IFEO”（Image File Execution Options，其实应该称为“Image Hijack”，至少也应该称为IFEO Hijack而不是只有“IFEO”自身！），它的存在自然有它的理由，在WindowsNT架构的系统里，IFEO的本意是为一些在默认系统环境中运行时可能引发错误的程序执行体提供特殊的环境设定，系统厂商之所以会这么做，是有一定历史原因的，在Windows NT时代，系统使用一种早期的堆栈Heap，由应用程序管理的内存区域）管理机制，使得一些程序的运行机制与现在的不同，而后随着系统更新换代，厂商修改了系统的堆栈管理机制，通过引入动态内存分配方案，让程序对内存的占用更为减少，在安全上也保护程序不容易被溢出，但是这些改动却导致了一些程序从此再也无法运作，为了兼顾这些出问题的程序，微软以“从长计议”的态度专门设计了“IFEO”技术，它的原意根本不是“劫持”，而是“映像文件执行参数”！
IFEO 设定了一些与堆栈分配有关的参数，当一个可执行程序位于IFEO的控制中时，它的内存分配则根据该程序的参数来设定，那么如何使一个可执行程序位于IFEO 的控制中呢？答案很简单，Windows NT架构的系统为用户预留了一个交互接口，位于注册表的“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options”内，使用与可执行程序文件名匹配的项目作为程序载入时的控制依据，最终得以设定一个程序的堆栈管理机制和一些辅助机制等，大概微软考虑到加入路径控制会造成判断麻烦与操作不灵活的后果，也容易导致注册表冗余，于是IFEO使用忽略路径的方式来匹配它所要控制的程序文件名，例如IFEO指定了对一个名为“AAA.EXE”的可执行程序文件进行控制，那么无论它在哪个目录下，只要它名字还叫“AAA.EXE”，它就只能在IFEO的五指山里打滚了。
说了半天都只是纯粹的概念，那么IFEO到底是怎么样发挥作用的呢？例如有一个程序文件名为“lk007.exe”，由于使用了旧的堆栈管理机制，它在新系统里无法正常运行甚至出现非法操作，为了让系统为其提供旧的堆栈管理机制，我们需要IFEO来介入，则需执行以下步骤：
1. 确保在管理员状态下执行regedit.exe，定位到以下注册表项：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options
2. 在“Image File Execution Options”下建立一个子键，名为“lk007.exe”，不区分大小写。现在确保位于HKEY_LOCAL_MACHINE\SOFTWARE\ Microsoft\Windows NT\CurrentVersion\Image File Execution Options\lk007.exe\下，建立一个字符串类型的注册表项，名为“DisableHeapLookAside”，值为“1”
3. 再次运行lk007.exe查看运行情况，如果真的是由于堆栈管理机制引发的问题，则程序得以正常运行，否则该程序问题不属于IFEO能够干涉的范围，或者需要尝试搭配其他的参数使用。
目前已知的IFEO参数有：
ApplicationGoo
Debugger
PageHeapFlags
DisableHeapLookAside
DebugProcessHeapOnly
PageHeapSizeRangeStart
PageHeapSizeRangeEnd
PageHeapRandomProbability
PageHeapDllRangeStart
PageHeapDllRangeEnd
GlobalFlag
BreakOnDllLoad
ShutdownFlags
说白了，IFEO本质是系统厂商为某些可能以早期设计模式运行的软件提供一种保全措施而设计出来的产物，并对其加以扩充形成了一套可用于调试程序的简易方案，如“BreakOnDllLoad”参数可设定在载入某个DLL时设置断点，便于程序员调试ISAPI接口；带有“Range”字样的几个参数则用于限制堆的大小等。
而里面有一个导致了今天这种局面的参数：Debugger。或许微软当初的用意是便于程序员能够通过双击某个设置了IFEO控制列表的执行体文件来直接调用调试器对其进行调试，而不用再通过繁琐的打开调试器再进行文件载入来实现调试，提高了工作效率。
为了使得IFEO能够影响到任何一个程序启动请求，NT架构中将IFEO的优先权设置得很高，基本上，当用户要求执行某个程序时，系统首先判断该程序文件是否可执行体，然后就到IFEO的入口项进行文件名配对了，直到通过IFEO这一步后，进程才真正开始申请内存创建起来。
如果系统在IFEO程序列表里匹配了当前运行的文件名，它就会读取文件名下的参数，这些参数在未被人为设置之前均有个默认值，而且它们也具备优先权，“Debugger”的优先权是最高的，所以它是第一个被读取的参数，如果该参数未被设置，则默认不作处理，如果设置了这个参数，情况就变得复杂了……
三. 罪魁祸首“Debugger”
前面大家应该都了解IFEO的本质了，从实际现象来说，把IFEO直接称为“映像劫持”未免有点冤枉它了，因为里面大部分参数并不会导致今天这种局面的发生，惹祸的参数只有一个，那就是“Debugger”，将IFEO视为映像劫持，大概是因为国内一些人直接套用了“Image File Execution Options”的缩写罢，在相对规范的来自Sysinternals的专业术语里，利用这个技术的设计漏洞进行非法活动的行为应该被称为“Image Hijack”，这才是真正字面上的“映像劫持”！
Debugger参数，直接翻译为“调试器”，它是IFEO里第一个被处理的参数，其作用是属于比较匪夷所思的，系统如果发现某个程序文件在IFEO列表中，它就会首先来读取Debugger参数，如果该参数不为空，系统则会把Debugger参数里指定的程序文件名作为用户试图启动的程序执行请求来处理，而仅仅把用户试图启动的程序作为Debugger参数里指定的程序文件名的参数发送过去！光是这个概念大概就足够一部分人无法理解了，所以我们放简单点说，例如有两个客人在一起吃自助餐，其中一个客人（用户）委托另一个客人（系统）去拿食物时顺便帮自己带点食物回来（启动程序的请求），可是系统在帮用户装了一盘子食物并打算回来时却发现另一桌上有个客人（Debugger参数指定的程序文件）居然是自己小学里的暗恋对象！于是系统直接端着原本要拿给用户的食物放到那桌客人那里共同回忆往事去了（将启动程序请求的执行文件映像名和最初参数组合转换成新的命令行参数……），最终吃到食物的自然就是Debugger客人（获得命令行参数），至此系统就忙着执行Debugger客人的启动程序请求而把发出最初始启动程序请求的用户和那盘食物（都送给Debugger客人做命令行参数了）给遗忘了。
在系统执行的逻辑里，这就意味着，当一个设置了 IFEO项Debugger参数指定为“notepad.exe”的“iexplore.exe”被用户以命令行参数“-nohome bbs.nettf.net”请求执行时，系统实际上到了IFEO那里就跑去执行notepad.exe了，而原来收到的执行请求的文件名和参数则被转化为整个命令行参数“C:\Program Files\Internet Explorer\IEXPLORE.EXE - nohome bbs.nettf.net”来提交给notepad.exe执行，所以最终执行的是“notepad.exe C:\Program Files\Internet Explorer\IEXPLORE.EXE - nohome bbs.nettf.net”，即用户原来要执行的程序文件名iexplore.exe被替换为notepad.exe，而原来的整串命令行加上 iexplore.exe自身，都被作为新的命令行参数发送到notepad.exe去执行了，所以用户最终看到的是记事本的界面，并可能出现两种情况，一是记事本把整个iexplore.exe都作为文本读了出来，二是记事本弹出错误信息报告“文件名不正确”，这取决于iexplore.exe原来是作为光杆司令状态请求执行（无附带运行命令行参数）的还是带命令行参数执行的。

安全中国特别推荐：网友作品专用上传FTP地址，每天及时更新收录。

下载地址：

安全中国anqn.com下载

加入安全中国终身VIP会员待遇：
永久学习已开设的所有培训班课程和以后新开培训班课程
赠送可申请密码保护的免费6位ＱＱ
赠送终身VIP会员独享光盘工具包第一版和第二版
为终身VIP会员推荐安排工作就业

安全中国网友投稿专用上传FTP空间：
Ftp服务器：download.anqn.com
Ftp端口：21
用户名：anqn
密码：anqn.com

相关动画

学习软件编程开发技术，推荐加入以下软件编程培训班：
易语言软件编程培训班（简单易学）　　Delphi软件编程培训班　　VC++软件编程培训班
VB软件编程培训班　　JAVA高端编程就业研发班

学习网站开发制作技术，推荐加入以下网站开发培训班：
ASP.net网站开发项目实战班　　ASP语言网站建设培训班

学习网络安全入侵防护技术，推荐加入以下技术培训班：
大型网络安全入侵防护班　　网站脚本程序全方位安全检测班

学习网络管理、网吧运营维护技术（网管），推荐加入以下培训班：
大型网吧技术管理人才特训班　　Linux网络嵌入架构工程师培训班

学习专项特殊技术，推荐加入以下专项技术培训班：
软件与游戏外挂脱壳破解班（逆向工程）　　赚钱王道-网赚技能培训班　　Flash动画设计师就业特训班