当前位置：首页 > 实用文档 > 其他范文> 灰鸽子变种远程控制用户机

灰鸽子变种远程控制用户机

时间：2022-04-30 13:09:28 其他范文收藏本文下载本文

“漫步星空的Boy”为你分享6篇“灰鸽子变种远程控制用户机”，经本站小编整理后发布，但愿对你的工作、学习、生活带来方便。

灰鸽子变种远程控制用户机

篇1：灰鸽子变种远程控制用户机

该病毒是灰鸽子变种，属后门类，病毒运行后，释放病毒文件%WINDIR%wincup.exe，属性为隐藏且只读，修改注册表，新建服务，利用服务自启动，以达到随机启动的目的。在任务管理器中病毒进程名为IEXPLORE.EXE，且用户名为SYSTEM，用以迷惑用户。该病毒可远程控制用户机器，进行复制、删除、上传等操作，从而盗取用户的敏感信息。

建议清除方案：

1、使用安天木马防线可彻底清除此病毒

2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。

(1) 使用安天木马防线“进程管理”关闭病毒进程

(2) 删除病毒文件

%WINDIR%wincup.exe

(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRootLEGACY_WIN*670D*52A1000

键值: 字串: “Class ”=“LegacyDriver”

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRootLEGACY_WIN*670D*52A1000

键值: 字串: “ClassGUID ”=“{8ECC055D-047F-11D1-A537-0000F8753ED1}”

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRootLEGACY_WIN*670D*52A1000

键值: 字串: “ConfigFlags ”=“ 0”

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRootLEGACY_WIN*670D*52A1000Control

键值: 字串: “*NewlyCreated*”=“0”

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRootLEGACY_WIN*670D*52A1000Control

键值: 字串: “ActiveService ”=“WIN服务”

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRootLEGACY_WIN*670D*52A1000

键值: 字串: “DeviceDesc ”=“WIN服务”

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRootLEGACY_WIN*670D*52A1000

键值: 字串: “Legacy ”=-“0”

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRootLEGACY_WIN*670D*52A1000

键值: 字串: “Service ”=“WIN服务”

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRootLEGACY_WIN*670D*52A1

键值: 字串: “NextInstance ”=“0”

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServiceskmixerEnum

键值: 字串: “0”=“SW{b7eafdc0-a680-11d0-96d8-00aa0051e51d} {9B365890-165F-11D0-A195-0020AFD156E4}”

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesWIN服务

键值: 字串: “Description ”=“WIN能让你的电脑正常运行这很重要”

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesWIN服务

键值: 字串: “DisplayName ”=“WIN服务”

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesWIN服务Enum

键值: 字串: “0”=“RootLEGACY_WIN*670D*52A1000”

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesWIN服务Enum

键值: 字串: “Count ”=“1”

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesWIN服务Enum

键值: 字串: “NextInstance ”=“1”

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesWIN服务

键值: 字串: “ErrorControl ”=“0”

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesWIN服务

键值: 字串: “ImagePath ”=“C:WINDOWSwincup.exe. ”

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesWIN服务

键值: 字串: “ObjectName ”=“LocalSystem”

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesWIN服务

键值: 字串: “Start”=“2”

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesWIN服务

键值: 字串: “ Type ”=“272”

篇2：灰鸽子远程控制原理

发现好多网友找灰鸽子远程控制原理，这里也总结一下，

一般木马分两个部分，客户端和服务端，客户端是用来控制被中木马的电脑的（你可以理解成遥控器吧）；服务端就是木马啦，这个就是需要传播给其它朋友运行的一个木马。

早期的木马原理是客户端（控制者）--------->服务端（被种木马者）的方式进行控制，详细解释如下：

为了表述方便这里将客户端简称为A，服务端简称为B，A将生成好的木马发给B，B运行后，木马就会自动在电脑上开一个端口，A通过扫描连接验证后就通过这个端口建立一个连接来达到非法控制B。

以上是早期木马的控制方式，应该比较好理解。而现在的木马都是反弹木马，可以穿透内网等功能更加强大，所以原理更为复杂。以一定要理解了上面的原理再来理解下面的。

而灰鸽子的原理就是客户端（控制者）<---------服务端（被种木马者），和老式远程控制木马反过来了。

早期木马的控制流程（为了方便新手更容易理解，给个实现里的比喻，（控制者）简称为A，而中木马者为B。）：

这里我将B比喻一个房子，当A看到B有一扇窗户没关（通过系统漏洞或其它方法），就会偷偷进入B房内种个木马，加个暗门（一般人看不出来），并且会在B房外面做个记号（就是端口，当然还有设置密码），下次再来的B房的时候，如果窗户关了，那么A就可以通过那个暗门再次进入B房啦，

以下说下防火墙和局域网的问题

这个很简单，人家B住在小区，并且小区管理很严，你要进小区需要验证身份才可以进。这里的小区就是代表局域网和防火墙。要进就很难啦。

所以早期木马需要服务端有单独的上网IP，并且没有安装防火墙之类。

通过以上例子应该可以理解了一下木马的原理了吧，真找不到其它比较好的例子了。

以下说下重点，说下最新的灰鸽子原理：

参考上面例子，这次A不是在B加了个暗门，而是放了一个隐形人，每次B开门（开机）时，这个隐形人就会将A所需要的东西送到A的住处。

这时就碰到问题了：这个就要求A需要有一个稳定的住处，如果A常变位置这个隐形人怎么跑到A那里去了，所以使用灰鸽子要求我们的A最好也是ADSL拨号用户即有单独的IP，如果A有防火墙或小区网那么这个隐形人会被档在外面的。因为隐形人长得太像可疑了。

当然实际中，有单独IP的情况很少，一般好多都是小区网络，所有就有很多方法现解决这个问题，而这个问题其实算不上是远程控制木马的问题啦。

原理基本上就是这些，分了两次写，不是专业的作家，所以写得不太好，大家尽量看，有问题直接留言，聪明人会学习原理，学原理的人相当于砍树磨刀，不学原理的人你拿把钝刀虽然最终也可以把树砍到，但是。。。。。。。你砍倒一棵树，人家不知道砍了多少棵了。

篇3：远程控制软件“灰鸽子”是怎么飞的?

灰鸽子远程监控软件分两部分：客户端和服务端， (姑且这么称呼吧)操纵着客户端，利用客户端配置生成出一个服务端程序。服务端文件的名字默认为G_Server.exe，然后通过各种渠道传播这个服务端(俗称种木马)。种木马的手段有很多，比如，可以将它与一张图片绑定，然后假冒成一个羞涩的MM通过QQ把木马传给你，诱骗你运行;也可以建立一个个人网页，诱骗你点击，利用IE漏洞把木马下载到你的机器上并运行;还可以将文件上传到某个软件下载站点，冒充成一个有趣的软件诱骗用户下载……，这正违背了我们开发灰鸽子的目的，所以本文适用于那些让人非法安装灰鸽子服务端的用户，帮助用户删除灰鸽子 Vip 的服务端程序。本文大部分内容摘自互联网。

G_Server.exe运行后将自己拷贝到Windows目录下(98/xp下为系统盘的windows目录，2k/NT下为系统盘的Winnt目录)，然后再从体内释放G_Server.dll和G_Server_Hook.dll到windows目录下。G_Server.exe、G_Server.dll和G_Server_Hook.dll三个文件相互配合组成了灰鸽子服务端，有些灰鸽子会多释放出一个名为G_ServerKey.dll的文件用来记录键盘操作。注意，G_Server.exe这个名称并不固定，它是可以定制的，比如当定制服务端文件名为A.exe时，生成的文件就是A.exe、A.dll和A_Hook.dll。

Windows目录下的G_Server.exe文件将自己注册成服务(9X系统写注册表启动项)，每次开机都能自动运行，运行后启动G_Server.dll和G_Server_Hook.dll并自动退出。G_Server.dll文件实现后门功能，与控制端客户端进行通信;G_Server_Hook.dll则通过拦截API调用来隐藏病毒。因此，中毒后，我们看不到病毒文件，也看不到病毒注册的服务项。随着灰鸽子服务端文件的设置不同，G_Server_Hook.dll有时候附在Explorer.exe的进程空间中，有时候则是附在所有进程中。

灰鸽子的手工检测

由于灰鸽子拦截了API调用，在正常模式下服务端程序文件和它注册的服务项均被隐藏，也就是说你即使设置了“显示所有隐藏文件”也看不到它们。此外，灰鸽子服务端的文件名也是可以自定义的，这都给手工检测带来了一定的困难。

但是，通过仔细观察我们发现，对于灰鸽子的检测仍然是有规律可循的。从上面的运行原理分析可以看出，无论自定义的服务器端文件名是什么，一般都会在操作系统的安装目录下生成一个以“_hook.dll”结尾的文件。通过这一点，我们可以较为准确手工检测出灰鸽子服务端。

由于正常模式下灰鸽子会隐藏自身，因此检测灰鸽子的操作一定要在安全模式下进行。进入安全模式的方法是：启动计算机，在系统进入Windows启动画面前，按下F8键(或者在启动计算机时按住Ctrl键不放)，在出现的启动选项菜单中，选择“Safe Mode”或“安全模式”，

1、由于灰鸽子的文件本身具有隐藏属性，因此要设置Windows显示所有文件。打开“我的电脑”，选择菜单“工具”―》“文件夹选项”，点击“查看”，取消“隐藏受保护的操作系统文件”前的对勾，并在“隐藏文件和文件夹”项中选择“显示所有文件和文件夹”，然后点击“确定”。

2、打开Windows的“搜索文件”，文件名称输入“_hook.dll”，搜索位置选择Windows的安装目录(默认98/xp为C:windows，2k/NT为C:Winnt)。

3、经过搜索，我们在Windows目录(不包含子目录)下发现了一个名为Game_Hook.dll的文件

4、根据灰鸽子原理分析我们知道，如果Game_Hook.DLL是灰鸽子的文件，则在操作系统安装目录下还会有Game.exe和Game.dll文件。打开Windows目录，果然有这两个文件，同时还有一个用于记录键盘操作的GameKey.dll文件。

经过这几步操作我们基本就可以确定这些文件是灰鸽子服务端了，下面就可以进行手动清除。

灰鸽子的手工清除

经过上面的分析，清除灰鸽子就很容易了。清除灰鸽子仍然要在安全模式下操作，主要有两步：1、清除灰鸽子的服务;2删除灰鸽子程序文件。

注意：为防止误操作，清除前一定要做好备份。

一、清除灰鸽子的服务

/XP系统：

1、打开注册表编辑器(点击“开始”-》“运行”，输入“Regedit.exe”，确定。)，打开 HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices注册表项。

2、点击菜单“编辑”-》“查找”，“查找目标”输入“game.exe”，点击确定，我们就可以找到灰鸽子的服务项(此例为Game_Server)。

3、删除整个Game_Server项。

98/me系统：

在9X下，灰鸽子启动项只有一个，因此清除更为简单。运行注册表编辑器，打开HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun项，我们立即看到名为Game.exe的一项，将Game.exe项删除即可。

二、删除灰鸽子程序文件

删除灰鸽子程序文件非常简单，只需要在安全模式下删除Windows目录下的Game.exe、Game.dll、Game_Hook.dll以及Gamekey.dll文件，然后重新启动计算机。至此，灰鸽子VIP 2005 服务端已经被清除干净。

篇4：打造普通用户通过远程桌面连线登陆域控制器

网络中的域控制器服务器由于其角色的重要性，是不充许普通用户通过远程桌面连线登陆的，默认设置（开启远程桌面后）只充许enterprise admins、domain admins及域administrators组成员登陆。

日常工作中，也许会用到普通用户远程桌面连线登陆域制器，应如何做呢？下面就通过图文的方式来与大家分享下配置及使用的过程。

此次测试的环境是：

DC：windows server

RDP:windows vista with sp1、rdp6.1

且vista非域成员。

注意：在windows 2k8以及vista with sp1中，RDP的版本均为6.1，可以支持网络级别的身份验证！

一、确认DC角色，并赋于新建用户rickyfang的拨入网络访问权限

1、下图显示了这台服务器是域contoso.com的域控制器角色：

2、打开开始�D管理工具---Active Directory用户和计算机控制台，并选择USERS项，右键新建普通用户rickyfang，

3、右键rickyfang属性，指向拨入，确保“网络访问权限”为“充许访问”。注意，如果是管理员组成员，这个操作后就应当可以使用远程桌面连线至此DC上了。接下来的操作将验证普通用户登陆将会是一个怎样的情况

4、在vista with sp1此台机器上，使用远程桌面连接至DC，可以看到出现下图的提示界面，这说明此账号并没有远程登录的授权访问！但可以确定的是如果此账号隶属性于开篇所说的管理员组成员时，是肯定可以的，各位可以试下。但为何此处不行呢。这就是DC负责用户验证的角色决定了普通用户是不能登录DC的。那将如何才能做到可以登录呢？

二、在DC上设置普通用户以充许远程桌面登陆DC

一、中的操作，证实了普通用户是不能通过远程桌面连线至DC的，接下来，将通过设置来实现普通用户远程桌面登陆。

1、以充许rickyfang加入到“Remote Desktop Users”。此时再远程桌面连接至DC。

2、连接后仍是没有权限，看来还是要再做点什么操作才行！

3、开始�D运行�Dgpedit.msc，定位到计算机配置�D安全设置�D本地策略---用户权利分配，在右侧控制面板里双击“通过终端服务充许登录”，添加Remote Desktop Users，并确定。

4、在vista with sp1机器上，再次远程桌面连线至DC。OK，确认成功。

篇5：PIC单片机在电话远程控制器中的低功耗设计

PIC单片机在电话远程控制器中的低功耗设计

摘要：结合电话远程控制器的低功耗设计，探讨PIC单片机低功耗的设计方法，并给出设计电路原理图。

关键词：PIC单片机低功耗设计电话远程控制器待机

引言

20世纪90年代以来，随着集成电路特征线宽的持续缩小以及芯片密度和工作频率的相应增加，降低功耗已经成为亚微米和深亚微米超大规模集成电路设计中的一个主要考虑因素。功耗的增加会带来一系列问题，例如电路参数漂移、可靠性下降、芯片封装成本增加等。因此，系统的功耗在整个系统设计中，尤其是在采用电池供电的系统中显得十分重要。

Microchip公司PIC系列的单片机为设计高性能、低功耗的单片机系统提供了很好的解决方案。下面从低功耗设计方法及具体例子来介绍PIC单片机低功耗应用。

1 低功耗设计方法

为使系统工作在低功耗状态，必须正确设置单片机的配置及工作方式。下面结合最常用的PIC12、PIC16等单片机介绍低功耗系统的设计方法。

1.1 基本设计方法

有许多技术可以降低系统的功耗，最常用的是Sleep模式。程序执行一条SLEEP指令，便进入了休眠（Sleep）模式。要Sleep模式下，晶振停止振荡，而此时单片机在3V电源条件下，只有1μA的`电流。系统工作时，单片机可以采用看门狗或外部事件周期性地唤醒单片机，利用电子开关为系统提供电源，以减少系统待机功耗，延长电池使用时间。

单片机的工作频率和功耗的关系也很大，频率越高，功耗越大。在采用32kHz晶振、3V工作电压时，PIC12、PIC16等系列单片机的典型工作电流只有15μA；而采用4MHz晶振、5V工作电压时，单片机的典型工作电流达到几mA。在许多低功耗的场合，采用低速晶振实现低功耗非常有效。如果单片机采用RC振荡，还可以通过I/O口的操作改变振荡电阻，从而改变单片机工作频率，达到节能的目的。如图1所示，1个I/O引脚可以在等待状态下将并联电阻R1去掉，降低单片机工作频率。当单片机需要工作时，可将I/O引脚设置为输出并输出高电平，从而提高振荡频率。

1.2 振荡电路设计

在单片机系统设计中，振荡电路的设计是十分重要的一个环节。PIC系列单片机的典型振荡电路如图2所示。

[1] [2] [3] [4] [5]

篇6：PIC单片机在电话远程控制器中的低功耗设计

PIC单片机在电话远程控制器中的低功耗设计

摘要：结合电话远程控制器的低功耗设计，探讨PIC单片机低功耗的设计方法，并给出设计电路原理图。

关键词：PIC单片机低功耗设计电话远程控制器待机

引言

1低功耗设计方法

为使系统工作在低功耗状态，必须正确设置单片机的配置及工作方式。下面结合最常用的PIC12、PIC16等单片机介绍低功耗系统的设计方法。

1.1基本设计方法

有许多技术可以降低系统的功耗，最常用的是Sleep模式。程序执行一条SLEEP指令，便进入了休眠（Sleep）模式。要Sleep模式下，晶振停止振荡，而此时单片机在3V电源条件下，只有1μA的电流。系统工作时，单片机可以采用看门狗或外部事件周期性地唤醒单片机，利用电子开关为系统提供电源，以减少系统待机功耗，延长电池使用时间。

1.2振荡电路设计

在单片机系统设计中，振荡电路的设计是十分重要的一个环节。PIC系列单片机的典型振荡电路如图2所示。

一般情况下，设计人员按照厂家给出的参数表进行选择。如果系统能够正常工作，也就不再进行改进了。其实，这是不合适的。因为Microchip的单片机根据型号和版本的不同，工作电压在直流2.5～5.5V的范围内，汽车级温度可以在-40～-125℃范围内，而参数表中只给出了有限的几种情况，实际环境参数会对振荡电路的性能产生很大的影响。如高温、低电压可减小振荡环路增益，而从降低振荡频率或者难以启动；低温、高电压可以使环路增益变大，从而使晶振过驱动，产生损坏的潜在危险或者振荡电路工作的高次谐波频率上升，加大系统功耗。因此，如何正确设计系统的振荡电路十分必要。对于PIC系列单片机，一般的设计步骤如下：

①选择晶振。根据系统需要的振荡频率进行晶振的选择。此外，晶振的工作温度和频率稳定度也是十分重要的指标。

②选择振荡器类型。PIC系列单片机有RC、LP、XT、HS等振荡模式。除RC模式外，振荡模式的选择实际上就是环路增益的选择。低增益对应低振荡频率，高增益对应高振荡频率。一般根据实际需要的工作频率可参考数据手册来选择。

图4接口电路

③选择C1、C2。理想的情况是，保证系统在高温和最低工作电压下能够正常工作，使得电容在数据手册推荐的范围内最小。同时选择C2比C1大一些以加大相移，使其有利于振荡电路的上电启动。

④选择Rs。在以上参数都已经选定后需要决定Rs的大小。简单的办法是让系统工作在最低温度和最大电压情况下，此时得到的应该是时钟电路最大输出幅度。用示波器观察引脚OSC2的输出波形（注意，示波器的'探头将给电路引入一个电容，一般为几pF），如果发现正弦波的峰（接收Vdd处）和谷（接收Vss处）被削平或压扁，说明驱动过载，需要在OSC2和C2间加入1个电阻Rs，一般1kΩ左右或小于1kΩ。Rs不宜过大，过大将使得输入和输出产生隔离，从而产生较大的噪声。当发现需要一个较大的Rs才能消除过驱动时，可以增加负载电容C2来补偿。C2一般选择在15～33pF之间。

系统振荡电路的设计对系统

的稳定性、功耗等影响很大。一般情况下，系统从Sleep状态下唤醒时，振荡电路最难启动（尤其系统工作在高温、低压、低频的情况下）。此时，电阻Rs有利于振荡电路的启动，因为廉价的碳膜电阻容易产生白噪声，从而帮助电路起振。此外，选择C2稍大于C1以增大相移，也有利于电路起振。

2具体应用例子

2.1系统组成及框图

系统主要由PIC单片机、双音频解码拔号电路、语音集成电路、接口电路、Vcc电源控制电路、射频发射电路和EEPROM组成，可完成对家用电器的控制和对报警求援语音信息的自动传送，如图3所示。

2.2控制器工作方式

*当与控制器相串闻的电话机（以下称为本地机）处于摘机时，电话线输入电压发生变化，引起CD40106的2脚输出电平变化，输入到CPU的RB0端口产生中断信号，唤醒CPU，控制器进入工作状态。通过本地机的拔号盘对控制器的各种功能进行控制。如控制电视、音响、照明灯等电器电源的开关。

*当控制器接收到振铃信号时，CD40106的4脚输出电平变化，输入CPU的RB6端口产生中断信号，唤醒CPU进入工作状态，并对振铃信号进行计数；达到设定铃声数后，使控制器进入电话接收状态，开始接收远程传输DTMF信号，经MT8880解调得到的信号通过IRQ向单片机发出中断信号，将数据存入寄存器，经CPU运行，对控制器的各种功能进行控制。

*当控制器作为报警器，并处于警备状态时，报警探头时刻检测防范区域的情况；当探头向控制器发出警情信息，输入CPU的RB5中断产生信号，控制器进入工作状态，从EEPROM芯片读出预先设置的报警电话号码，经MT8880转换为DTMF信号，自动拨号，以语音形式将信息传送给用户或直接报警。

2.3应用电路

（1）电话接口电路

电话机与控制器采用控制器在前，电话机在后的串联方式，可实现电话机对控制器各种功能的控制。接口电路由过压保护电路、极性转换电路和中断请求电路组成，如图4所示。

①过压保护电路。在电话线回路上加入了一个压敏电阻R，它的作用是当它两端的电压大于其工作电压时呈短路状态，从而保护后级电路免受高压危害。当加到它的两端的电压小于其工作电压，压敏电阻呈开路状态，对后级电路的工作没有任何影响。在本设计中，压敏电阻的工作电压为220V。

②极性转换电路。由于在电话线上传输的是交流信号，为了使信号的极性固定，在电路中加入电桥，进行全波整流。

③中断请求电路。为延长电池工作时间，CPU在待机时处于休眠的省电状态，在实现远程电话机和本地机对控制器功能控制时，由中断请求电路将CPU唤醒。

（2）语音电路

语音电路如图5所示。它以ISD4000语音芯片为核心，主要是存储报警语音，输出经功率放大后传送到电话线上。

（3）MT8880与PIC单片机的接口电路

MT8880是Mitel公司的DTMF收发器，具有功能强、功耗低、工作稳定、可靠等性高优点，因此在DTMF信号调制的场合得到了广泛的应用。MT8880与PIC单片机的接口电路如图6所示。

①MT8880与单片机的接口电路。D0～D3为4根数据线，MT8880对经过前置处理的DTMF信号进行解调，将解调得的信号存入片内寄存器中，并通过IRQ向单片机发出中断信号。单片机相应中断请求后，在R、W、RS0、RD的控制下，通过D0～D3读出解调出的数据。