追根溯源"DLL技术"木马进程内幕大揭密

　　3.木马的启动

　　DLL不能独立运行，所以无法在启动项目里直接启动它。要想让“马儿”顺利地跑起来，就需要一个EXE使用动态嵌入技术让DLL挂上其他正常进程，让被嵌入的进程调用这个DLL的DllMain函数，激活木马运行，最后启动木马的EXE结束运行，木马启动完毕。启动DLL木马的EXE非常重要，它被称为加载（Loader）。所以，一个相对比较成熟的DLL木马会想办法保护它的Loader不会那么容易被发现和毁灭。

　　 Loader可以是多种多样的，Windows的rundll32.exe也被一些DLL木马用来做了Loader，这种木马一般不带动态嵌入技术，它直接挂着rundll32进程运行，用rundll32的方法像调用API一样去引用这个DLL的启动函数激发木马模块开始执行，即使你杀了rundll32，木马本体还是在的，一个最常见的例子就是3721中文实名，虽然它不是木马。

　　注册表的AppInit_DLLs键也被一些木马用来启动自己，如求职信病毒。利用注册表启动，就是让系统执行DllMain来达到启动木马的目的。因为它是kernel调入的，对这个DLL的稳定性有很大要求，稍有错误就会导致系统崩溃，所以很少看到这种木马。有一些更复杂点的DLL木马通过svchost.exe启动，这种DLL木马必须写成NT-Service，入口函数是ServiceMain，一般很少见，但是这种木马的隐蔽性也不错，而且Loader有保障。

　　 4.寥寥无几

　　 由于DLL木马挂着系统进程运行，如果它本身写得不好，例如没有防止运行错误的代码或者没有严格规范用户的输入，DLL就会很容易出错并崩溃。但是DLL崩溃会导致它挂着的程序跟着遭殃，别忘记它挂接的可是系统进程啊，结局就是……惨不忍睹。所以写一个能公布的DLL木马，在排错检查方面做的工作要比一般的EXE木马多，甚至写得多了连编写者自己都会烦躁不已！

　　六、DLL木马的发现和查杀

　　经常看看启动项有没有多出莫名其妙的项目，这是Loader的所在。而DLL木马本体比较难发现，，在Loader里查找DLL名称，或者从进程里看有没有挂接什么陌生的DLL！但是，对于一些计算机的初级用户来说，这样的发现过程是非常困难的！因此，最简单的方法：杀毒软件和防火墙！