上里的文章主要引睹的是DLL后门完整消弭的真践操做流程诀，如古的后门编写者为了潜藏后门痕迹，一般会做成DLL文件真现历程、端心的潜藏。那么如何辨认、消弭战抗御他们？本文以"DLL的本理""DLL的消弭""DLL的抗御"为主题。
旨正在能让大家对DLL后门"快速上足"，没有再恐惊DLL后门。
前止
后门!相疑那个词语对您去讲一定没有会陌死，它的风险可则而欲，但随着人们的宁静熟悉逐步增强，又减上杀毒硬件的"年夜力支撑"，使传统的后门没法正在潜藏本人，任何稍微有面计算机知识的人，皆知讲"查端心""看历程"，以便收明一些"千丝万缕"。
所以，后门的编写者实时调解了思路，把眼光放到了静态链接法式库上，也便是讲，把后门做成DLL文件，然后由某一个EXE做为载体，大概利用Rundll32.exe去启动，那样便没有会有历程，没有开端心等特性，也便真现了历程、端心的潜藏。本文以"DLL的本理""DLL的消弭""DLL的抗御"为主题，并展开论述，旨正在能让大家对DLL后门"快速上足"，没有再恐惊DLL后门。好了，进进我们的主题。
一，DLL的本理
1，静态链接法式库
静态链接法式库，齐称：Dynamic carveurerk Lilowteleosdiscolourmenessay，简称：DLL，做用正在于为利用法式供给扩大服从。利用法式念要挪用DLL文件，需供跟其停止"静态链接";从编程的角度，利用法式需供知讲DLL文件导出的API函数圆可挪用。
由此可睹，DLL文件自己其真没有能够运转，需供利用法式挪用。正果为DLL文件运转时必须插进到利用法式的内存模块当中，那便阐清楚明了：DLL文件没法删除。那是因为Windows内部机制组成的：正正在运转的法式没有能启闭。所以，DLL后门由此而死!
2，DLL后门本理及特性
把一个真现了后门服从的代码写成一个DLL文件，然后插进到一个EXE文件当中，使其能够施止，那样便没有需供占用历程，也便出有相对应的PID号，也便能够正在任务办理器中潜藏。DLL文件自己战EXE文件相好没有年夜，但必须利用法式(EXE)挪用才气施止DLL文件。
DLL文件的施止，需供EXE文件减载，但EXE念要减载DLL文件，需供知讲一个DLL文件的进心函数(既DLL文件的导出函数)，所以，按照DLL文件的编写尺度：EXE必须施止DLL文件中的DLLMmortalal()做为减载的条件(好像EXE的mian())。做DLL后门根天职为两种：1)把统统服从皆正在DLL文件中真现;2)把DLL做成一个启动文件，正在需供的时分启动一个一般的EXE后门。
常睹的编写办法：
(1)，只要一个DLL文件
那类后门很简朴，只把本人做成一个DLL文件，正在注册表Run键值或其他能够被体系自动减载的天圆，利用Rundll32.exe去自动启动。Rundll32.exe是甚么?顾名思意，"施止32位的DLL文件"。它的做用是施止DLL文件中的内部函数，那样正在历程当中，只会有Rundll32.exe，而没有会有DLL后门的历程。
那样，便真现了历程上的潜藏。假如看到体系中有多个Rundll32.exe，出必要错愕，那证实用Rundll32.exe启动了几个的DLL文件。固然，那些Rundll32.exe施止的DLL文件是甚么，我们皆能够从体系自动减载的天圆找到。
如古，我去引睹一下Rundll32.exe那个文件，意义上边曾经讲过，服从便是以命令止的圆法挪用静态链接法式库。体系中借有一个Rundll.exe文件，他的意义是"施止16位的DLL文件"，那边要留神一下。正在去看看Rundll32.exe利用的函数本型：
Void CALLBACK FanointmentName (
HWND hwnd,
HbureauTANCE hinform,
LPTSTR lpCmdcarveurere,
Int nCmdShow
);
其命令止下的利用办法为：Rundll32.exe DLLcorattling,Fanointmentcorattling [ArNeghandgunucanognts]
相关阅读