木馬害人計中計連載４ 偷梁換柱

初識偷梁換柱

一同回到茶館后，二人落座。茶博士說道：“舒坦，今天老板沒在!咱哥倆聊些什么?”劉鼎笑著說：“就聊聊三十六計中的偷梁換柱之計吧!”這時茶館跑堂的上茶來了，他一聽就插嘴：“你們說偷梁換柱啊，我知道，《瘋狂的石頭》不就是用一個假翡翠去換了那個真翡翠嗎?”茶博士見他搶話，“啪”的一聲打在他的頭上：“錯了，明明是用真翡翠換了一個假的。”看來，老板不在，大家活躍了許多。

見他們爭論，劉鼎趕緊打圓場：“還是讓我來說說吧，此計源自古代軍事作戰，原文為‘頻更其陣，抽其勁旅，待其自敗，而后乘之，曳其輪也。’這大意是指，利用偷換的辦法，暗中改變事物的本質和內容，以達到蒙混欺騙的目的，如‘偷天換日’、‘偷龍換鳳’和‘調包計’等都是這個意思。此計中包含爾虞我詐，乘機控制別人的權術，所以除了軍事上，在政治和外交謀略上也用得比較多。”

公孫講計

聽了劉鼎的講解，這兩個人還是一頭霧水，他們問道：“這些都是打仗的事兒，在網絡安全方面如何使用?”劉鼎喝了口茶，用手指從茶碗中拈出一小截茶根，彈了出去，然后說道：“你們知道，殺毒軟件查殺木馬，多是根據木馬體內的特征碼來判斷的。因此在網絡安全的運用中，偷梁換柱是指利用相同的程序代碼，去替換被殺毒軟件認定的特征碼，或者將這些代碼移到其他位置，從而使木馬獲得免殺的能力。這樣，木馬就可以放心地在遠程系統中馳騁，而不怕被殺毒軟件殺掉了。”

“小兄弟真是孺子可教啊!哈哈!”聽到這個爽朗的聲音，劉鼎立即明白是公孫牧來了，心想：“高手就是高手，每次出場都是這么恰到好處。”于是起身回道：“既然公孫先生來了，那就給我們講講偷梁換柱的實際應用吧!”公孫牧笑道：“不急不急，小二來碗綠茶。”茶博士見狀，立馬跑去端來一碗茶并添好熱水。一切就緒后，公孫牧開口：“偷梁換柱應用起來，需要三個步驟。首先分析木馬病毒文件中的特征碼，然后查找并確定特征碼的具體位置，最后進行以免殺為目的的修改。”

實戰操作

這時茶博士有些急了，不停地催促公孫牧：“快講快講，我在江湖上混，學好后還可以給我的小弟們說道說道。”公孫牧一聽，哈哈大笑：“好，那我就先來說道說道。首先，當我們選定一個木馬病毒文件后，就要分析其特征碼所處的位置。這類分析軟件很多，比如常見的CCL、MYCCL和multiCCL等，這里我們就選擇MYCCL吧!運行MYCCL后，首先點擊其‘文件’按鈕導入木馬病毒EXE文件，并勾選‘帶后綴’選項。接著點擊‘目錄’按鈕設置一個分塊目錄，默認為‘OUTPUT’目錄。然后在‘分塊個數’選項中設置分塊的個數為10，即把這個木馬病毒文件分成10塊(以便逐一分析，找出特征碼在哪一個塊中)。設置完成后，點擊‘生成’按鈕，分塊目錄中就生成相應的文件分塊了。”

公孫牧說完，就沉默了，仿佛在思考。劉鼎好奇地問道：“先生怎么不講了啊?”公孫牧回答：“嗯，是這樣的，這個過程有些復雜，我在想怎樣分步驟來講才清楚。現在想好了!首先，啟動殺毒軟件對分塊目錄進行查殺，當它檢測到病毒文件后會對其進行刪除處理。然后，返回MYCCL主界面點擊‘二次處理’按鈕，會出現一個提示框，告知用戶‘程序已經找到一處特征碼，但是可能還存在其他的特征碼，是否繼續生成文件進行分析?’，此時點擊‘是’按鈕。最后，再用殺毒軟件對分塊目錄進行查殺，查殺完成后再次點擊‘二次處理’按鈕，這樣就可以獲得一個很大的特征碼范圍。”

“到此為止，分析特征碼的工作還沒做完。”公孫牧說道，“接下來我們要縮小特征碼的范圍，這樣便于后面偷梁換柱的操作。首先，點擊MYCCL主界面中的‘特征區間’按鈕，在右側的‘填充/特征碼 區間設定’窗口中點選剛才找到的那段特征碼，并在它上面點擊鼠標右鍵并選擇‘復合定位此處特征’命令。接著，在‘分塊個數’選項中設置新的分塊個數，我們這次將其設置為100個!這樣就能有效地縮小特征碼的范圍。然后，點擊‘生成’按鈕，再通過殺毒軟件對目錄里面的新分塊進行查殺。再點擊‘二次處理’按鈕，最后就得到這個木馬病毒文件的特征碼的精確地址，即0009C9FF。”

茶博士聽著公孫牧的講解，感嘆道：“沒想到分析病毒的特征碼這么難啊!”劉鼎也接著問道：“接下來是不是應該查找并修改這些特征碼了呢?”公孫牧點頭稱是，并笑著說：“不難?不難人人都玩木馬病毒了，那網絡還不被大家鬧翻天?現在，運行反編譯軟件C32Asm，載入木馬病毒文件。選擇其鼠標右鍵中的‘跳轉’命令，在彈出窗口的‘OFFSET’處輸入特征碼的精確地址，點擊‘確定’按鈕后就跳轉過去了。找到特征碼以后，點擊鼠標右鍵中的‘對應匯編模式編輯’命令，這樣就到了C32Asm的匯編窗口，可以看到這個特征碼對應的代碼為‘MOV BH.48’。下面點擊右鍵菜單中的“匯編”命令，在彈出窗口中將前面那代碼改為‘mov ah.48’，‘確定’后再輸入‘mov bh.ah’即可。這里僅用兩句代碼偷梁換柱，就完成了讓木馬病毒躲過殺毒軟件的操作，從此這個木馬病毒就再也不怕殺毒軟件了，哈哈!”

尾聲

在聽完公孫牧的講述后，茶館跑堂的先說：“整個操作過程細想下來，還是非常簡單的，茶哥你說對吧?”話一剛落，一個耳光就輕輕地“啪”在了跑堂的臉上，茶博士對他說道：“這段時間我在股市天天割肉，你還嫌我賠得不夠多嗎?從今以后別叫我茶哥(諧音‘割’)，知道嗎?”跑堂的手捂著臉委屈地問：“那我以后怎么稱呼你啊?”茶博士把頭一仰，說道：“兄長。”

聽完跑堂的和茶博士的對話，公孫牧和劉鼎不由得開心大笑，看來這一對茶館活寶很有做喜劇演員的天賦啊!欲知后事如何，請看下回分解。