灰鴿子真相大揭底 專家為你執行個體剖析

灰鴿子，一個自誕生以來，就被各殺毒廠商一致喊打的木馬程式，儘管其作者在軟體許可中辯稱自己是遠端管理軟體。

“三尺長的大砍刀，刃上帶鋸齒，邊上有血槽，刀柄裡藏著幾十發暴雨梨花針，還隨刀附送淬毒所需全部材料和裝置，現在貼個標拿出來賣，說自己是菜刀，你還真有才~~~~”這是網友對灰鴿子2007的評價

2007年2月21日，灰鴿子2007beta2版本發布。該版本可以對遠端電腦進行如下操作：編輯註冊表；上傳下載檔案；查看系統資訊、進程、服務；查看操作視窗、記錄鍵盤、修改共用、開啟Proxy 伺服器、命令列操作、監視遠程螢幕、操控遠程語音視頻裝置、關閉、重啟機器等。

從功能上看，該軟體的確滿足了遠端管理的需求。問題是，作為網管，你會用它來做遠端管理軟體嗎？筆者電話訪問了10個網管朋友，其中5個在用pcanywhere，3個用遠端桌面，2個用radmin。再問你會不會使用灰鴿子做遠端管理時，全部都說“不”，其中一個朋友還說，網管用灰鴿子管伺服器，那就是腦袋進水。

本文簡單列舉一下灰鴿子客戶端和服務端的功能，和真正的網管軟體做個比較，試圖給讀者揭露灰鴿子軟體的真實意圖，看這個軟體是否真如其作者所辯稱的那樣，僅是一款遠端管理軟體。

遠端管理軟體一般有服務端（被控端）和用戶端（控制端）兩部分組成。管理員先在需要管理的伺服器上安裝啟用服務端程式，服務端就開啟相應網路連接埠，等待接受用戶端的指令，用戶端串連服務端指定連接埠後即可完成遠端管理任務。所有管理員都知道遠端管理的風險，只有具備遠端管理許可權的用戶端才能正常建立串連。並且，所有的管理操作，在服務端，都會提供串連日誌，以便管理員進行管理維護。有興趣的朋友盡可以拿windows遠端桌面和PcAnyWhere來實驗。

而灰鴿子服務端，不是等待用戶端串連，而是系統一啟動，服務端就會去自動上線串連控制端，控制端的操作人員隨時可以完成他想要的操作，而這一切，服務端的管理員可能毫不知情。

佈建服務端自動上線

圖1

服務端程式運行後自行刪除，並且可以選擇完全隱藏服務端表徵圖，即使有服務端表徵圖，和其它正常的遠端管理軟體不同的是，這個表徵圖完全沒有任何用處，你只是知道它存在而已，想關閉也很難辦。

配置即將種植在肉雞上的病毒名

圖2

配置病毒自動載入啟動項

服務名稱可任意定製，這意味著非常多的人會被虛假資訊矇騙，這一項可以取消，這樣配置出來的服務端，運行msconfig進行啟動項管理，也不會發現木馬的痕迹。

圖3

配置Proxy 伺服器

這樣，中灰鴿子的機器就不明不白的為第三方提供網路連接服務了。使用Proxy 伺服器作跳板對第三方目標發起攻擊，是駭客最愛乾的事兒，一旦有人追查，這些Proxy 伺服器，就成了真正駭客的替罪羊。

圖4