Gh0st.exe分析入门

说到远程控制木马，Gh0st绝对算得上是恶意软件圈子里的“老前辈”。现在市面上很多同类型的木马，底层代码都脱胎于它，甚至直接拿过来改改就用。它采用经典的客户端/服务器（C/S）架构，服务端跑在攻击者机器上发号施令，客户端则潜伏在目标机器上乖乖听话。通信上常监听80端口，伪装得像普通网页流量。为了让系统重启后还能赖着不走，它习惯依附于系统进程svchost.exe——要么替换现有服务，要么自己注册一个新服务，启动后就能长期隐蔽控制。下面我们从安装开始，一步步拆解这个木马的工作流程。

1、 安装程序

先跑一遍安装程序，把准备工作做完。安装完成后，就能看到 Gh0st 的操作界面了。这个控制端的功夫相当全面：能拉取受控主机的硬盘信息，浏览目标机器上所有磁盘的目录和文件，实现远程文件管理；还支持键盘记录、摄像头控制、远程桌面监控、命令行操作以及服务管理等一系列常见功能。

3、 用PEID检测壳

接下来先看看 Gh0st.exe 的文件信息。用 PEID 工具打开，发现这个文件没加壳——查壳工具里显示的位置信息很清楚，无壳状态一目了然。

5、 软件未加壳

还得检查一下 Server.exe 的情况。从图里同样能看到，这个软件也没加壳。判断是否加壳，关键就看查壳工具显示的区域信息，这里显示得很清晰。

7、 静态代码检测

确认软件无壳（如果有壳通常需要先脱壳，这里不涉及），就可以对 Server.exe 做静态分析了。用 OLLYDBG 打开文件，入口点地址是 00001EDB，文件偏移是 000012D8。记住这两个关键数值，后续分析就能接上了。

9、 实时解析

动态分析是在静态分析的基础上，利用 IDA 这类工具做程序调试。这里先了解基本流程就行，具体操作细节可以参考相关资料深入学习。

11、 监视运行程序

因为这次只是对木马程序的初步分析，最后还需要用 PCT View 做进程监控，这样才能准确掌握它的运行行为，做出判断。