用远线程实现文件自删除

http://www.titilima.cn/readblog.php?id=138

点这里下载示例代码

实现文件自删除不是一个特别新的话题了，不过貌似一直没有特别完美的解决方式。从早先Gary Nebbett的堆栈溢出版本到后来的批处理、临时文件等方式，无不存在着各样瑕疵：如堆栈溢出不支持XP，临时文件（批处理）不够优雅等等。

当然，还有用驱动发IRP的方式，不过这只是一个自删除，杀鸡焉用牛刀？于是这个方案在我这儿亦不讨论。

李马讨论的，只是一个2005年的老调重提：远线程注入。2005年李马提到的DLL远程注入技术只是远线程的最简单应用，局限很多，能做的事情很少；下面的自删除示例，则是如何让远线程能够做更多的事，也可以说是一个补充材料，不必记入原创文档了吧就。

言归正传。首先，我们假定这个线程函数是这样的：

DWORDWINAPIDelProc(LPVOIDlpParam)
{
Sleep(50);
DeleteFileA((LPCSTR)lpParam);
return0;
}

解释一下，先用Sleep等待要删除的程序结束，之后调用DeleteFile删除目标文件。

现在，你可以在VC的Project Settings->C/C++->Category: Listing Files->Listing file type中，设置输出文件的类型为“Assembly, Machine Code, and Source”或“Assembly with Machine Code”，这样就会在编译完成后生成带有汇编代码和指令机器码的附属文件供你下一步对照。——当然，如果你极熟悉汇编，这一步可以跳过。

在查看附属文件后，我们可以提取出对我们有用的汇编代码：

push 50
call Sleep

mov eax, [esp + 4]
push eax
call DeleteFileA
ret 4

之后，对照着对应的机器码，构造下面的结构：

#pragmapack(push,1)
typedefstruct_tagDeleteStruct{
BYTEbyPush;
DWORDdwTime;
BYTEwCall1;
DWORDdwSleep;
DWORDdwMov;
BYTEbyPushEax;
BYTEwCall2;
DWORDdwDeleteFileA;
BYTEbyRet;
WORDw4;
CHARszFile[1];
}DELETESTRUCT,*PDELETESTRUCT;
#pragmapack(pop)

最后的szFile域，就是用来放置文件名的。其余的就不解释了，因为下面就要填充它了。远线程函数还是很模式化的代码，改造自两年前我的RemoteLoadLibrary：

BOOLRemoteDel(DWORDdwProcessID,LPCSTRlpszFileName,DWORDdwTime)
{
//打开目标进程
HANDLEhProcess=OpenProcess(
PROCESS_CREATE_THREAD|PROCESS_VM_OPERATION|PROCESS_VM_WRITE,FALSE,
dwProcessID);
if(NULL==hProcess)
returnFALSE;

//向目标进程地址空间写入删除信息
DWORDdwSize=sizeof(DELETESTRUCT)+lstrlenA(lpszFileName);
PDELETESTRUCTpDel=(PDELETESTRUCT)GlobalAlloc(GPTR,dwSize);

HMODULEhKernel32=GetModuleHandle(_T("kernel32.dll"));
//pushdwTime
pDel->byPush=0x68;
pDel->dwTime=dwTime;
//callSleep
pDel->wCall1=0xe8;
pDel->dwSleep=(DWORD)GetProcAddress(hKernel32,"Sleep");
//moveax,[esp+4]
pDel->dwMov=0x0424448b;
//pusheax
pDel->byPushEax=0x50;
//callDeleteFileA
pDel->wCall2=0xe8;
pDel->dwDeleteFileA=(DWORD)GetProcAddress(hKernel32,"DeleteFileA");
//ret4
pDel->byRet=0xc2;
pDel->w4=0x0004;
lstrcpyA(pDel->szFile,lpszFileName);

LPVOIDlpBuf=VirtualAllocEx(hProcess,NULL,dwSize,MEM_COMMIT,
PAGE_READWRITE);
if(NULL==lpBuf)
{
GlobalFree((HGLOBAL)pDel);
CloseHandle(hProcess);
returnFALSE;
}

//修正近调用
pDel->dwSleep-=(DWORD)lpBuf+offsetof(DELETESTRUCT,dwMov);
pDel->dwDeleteFileA-=(DWORD)lpBuf+offsetof(DELETESTRUCT,byRet);
DWORDdwWritten;
WriteProcessMemory(hProcess,lpBuf,(LPVOID)pDel,dwSize,&dwWritten);

//创建线程，远程删除！
DWORDdwID;
HANDLEhThread=CreateRemoteThread(hProcess,NULL,0,
(LPTHREAD_START_ROUTINE)lpBuf,
(LPVOID)((DWORD)lpBuf+offsetof(DELETESTRUCT,szFile)),0,&dwID);

GlobalFree((HGLOBAL)pDel);
CloseHandle(hThread);
CloseHandle(hProcess);
returnTRUE;
}

至于为什么最后不用VirtualFreeEx释放资源，那是因为注入的远程代码在执行的时候目标exe就已经消失了，所以这里的寄主程序肯定存在着内存泄露，真是造孽啊。

最后说三点。第一，RemoteDel是要挑选一个寄主程序的，这个程序应该始终运行并存在于当前的系统中，我在示例中挑选的是explorer.exe；并且，打开这个进程是需要调试权限的，提权的代码也一并加入在示例代码中，算是弥补了2005年的缺失。第二，为了方便定位，我修改了远程代码中的调用，也就是call ds:xxx（FF 15 xxx）改为了call near xxx（E8 xxx）。第三，自己手写机器码的做法的确不如纯汇编代码重定位来的优雅，但是我认为这里填充并定位Sleep和DeleteFile的片断也是纯汇编的办法无法比拟的。