http://club.cat898.com/newbbs/dispbbs.asp?boardid=1&id=2856764 5*G%IR@@LK @ 4UxRp6+ [转贴]过滤软件绿坝 高手全破解
JN[0L : 文章提交者：justwit 加帖在 猫眼看人 【凯迪网络】
http://www.kdnet.net "J19*<~ srmKaa| 价值4000万的过滤软件，绿坝分析报告
|NMO__l@ {fz$Z!8- 开场白就免了，直接进入正题。
S; /. % dM]#WBOP y h;M3yTM- 这价值4000万的神秘软件究竟是个什么样，让我们看看。
YfDWM7x7, |g_g8[@`} 软件版本为3.17
eegx'VSX4 C`K^L=8`{ 绿坝采用打包式安装程序，安装程序的EXE文件被执行之后，会在temp目录下随机生成临时文件夹，释放安装文件。
E1*QdCV2 GozPvR^/ - Show quoted text -
?R
'Y? b 然后调用该目录下setup.exe开始安装。
n=!uN u 7 绿坝安装在system32目录下，安装共写入包括windows、system32、inf、drivrs等系统关键目录在内的12个目录110个文件,文件列表如下：
2@Lb fo A TFH
&(_b ,1,system32RunAfterSetup.exe,9,0,32
h9CIZU[Nh ,2,system32sys.dat,9,0,32
8 ws$k\> ,3,system32poppo.dll,1,0,32
O W5t[~y] ,4,system32sysEx.dat,1,0,32
*'8Ln tZf ,5,system32appface.dll,1,0,32
qL
5>o>J ,6,system32xabout.dat,1,0,32
Ge \["`;i ,7,system32x100.dat,1,0,32
Oh; Jw ,8,system32x200.dat,1,0,32
n Wa NT- ,9,system32x300.dat,1,0,32
p>kq+mP2bc ,10,system32x400.dat,1,0,32
=G${[V \ ,11,system32xnet2_lang.ini,9,0,32
APSgnf ,12,system32bnrfil.dat,1,0,32
hIU(P Dl4 ,13,system32bsnlst.dat,1,0,32
r>|-2}{N/ ,14,system32csnews.dat,1,0,32
H3O @ 9YU ,15,system32gdwfil.dat,1,0,32
O4|2|sA ,16,system32TrustUrl.dat,1,0,32
;y1Q6eN ,17,system32wfileu.dat,1,0,32
G0d&@okbFC ,18,system32xwordh.dat,1,0,32
S!Jh2tsg`- ,19,system32xwordl.dat,1,0,32
p 2 ! FcFi ,20,system32xwordm.dat,1,0,32
f8n
V=AQ ,21,system32auctfil.dat,1,0,32
,=P Kd&
,22,system32chtfil.dat,1,0,32
HW 6.O|3
,23,system32cultfil.dat,1,0,32
}Dfwm)]Q ,24,system32entfil.dat,1,0,32
j1U 5~%^ ,25,system32finfil.dat,1,0,32
r>n"
51* ,26,system32fmfil.dat,1,0,32
1>pe&n/ ,27,system32fshrfil.dat,1,0,32
erFv(eaDK ,28,system32gblfil.dat,1,0,32
&ab|2*3?X ,29,system32gnfil.dat,1,0,32
Q{y{ rC2P ,30,system32hatfil.dat,1,0,32
;ojiJ ?jU ,31,system32iawfil.dat,1,0,32
;Icixu'O ,32,system32imgfil.dat,1,0,32
}[!92WS/ee ,33,system32jbfil.dat,1,0,32
ls
|LCQPx ,34,system32lgwfil.dat,1,0,32
1W,(\'^R ,35,system32movfil.dat,1,0,32
6X_\Ve ,36,system32mp3fil.dat,1,0,32
x` /) g( ,37,system32nvgamfil.dat,1,0,32
bB 6[Xj{ ,38,system32perfil.dat,1,0,32
A Eg(m<t ,39,system32picsfil.dat,1,0,32
SbT5u3,' ,40,system32pkmon.dat,1,0,32
WUoOGbA ` ,41,system32popfil.dat,1,0,32
i[nF .I5*f ,42,system32psyfil.dat,1,0,32
Y A&`&$ ,43,system32sporfil.dat,1,0,32
WES#ZYtT ,44,system32swfil.dat,1,0,32
kgW @RD| ,45,system32tafil.dat,1,0,32
I VjU`ij ,46,system32tapfil.dat,1,0,32
j^SZnMQf ,47,system32vgamfil.dat,1,0,32
b"CA Kl ,48,system32viofil.dat,1,0,32
j8$Zv%Ca% ,49,system32wrestfil.dat,1,0,32
w{,4rk;Hr ,50,system32wzfil.dat,1,0,32
Poy^RpnX ,51,system32adwfil.dat,1,0,32
cxP&^,~ ,52,system321.urf,1,0,32
& m'kI ,53,system322.urf,1,0,32
#&Is GyU ,54,system323.urf,1,0,32
? Rr2/W#F ,55,system324.urf,1,0,32
?IhB-fd>@ ,56,system325.urf,1,0,32
_8fA?q= ,57,system326.urf,9,0,32
p*qPcuAA ,58,system327.urf,9,0,32
" ;NRzY ,59,system32goldlock.exe,9,0,32
b{cU<;G)y. ,60,system32filtport.dat,9,0,32
P3o @g kXP ,61,system32x100.jpg,9,0,32
~~qWI>. 4 ,62,system32x200.jpg,9,0,32
p] &j ;H. ,63,system32x300.jpg,9,0,32
Sycw %k ,64,system32x400.jpg,9,0,32
jna;0 ) ,65,system32x500.jpg,9,0,32
GjT#%GBF ,66,system32win2kspi.reg,9,0,32
!m y8AWO' ,67,system32winxpSpi.reg,9,0,32
^DAu5 |--R ,68,system32Win98Spi.reg,9,0,32
MDO$m g ,69,system32adwapp.dat,9,0,32
eSy(~Y ,70,system32XFimage.xml,9,0,32
|m* .LTO ,71,system32FImage.dll,9,0,32
-_0?_Cb ,72,system32Xtool.dll,9,0,32
5ukp^O xE ,73,system32Xcv.dll,9,0,32
b bN%$/d ,74,system32xcore.dll,9,0,32
fi%r<]@ ,75,system32x600.jpg,9,0,32
pGGmA;TC1 ,76,system32wfile.dat,9,0,32
Fx W&8 9G ,77,system32winvista.reg,9,0,32
%s=Dj2+ ,78,system32IPGate.dll,9,0,32
QU5Sy oL[ ,79,system32gn.exe,29,0,32
8OFj0S1r` ,80,system32looklog.exe,29,0,32
jAhP>
t: ,81,system32lookpic.exe,29,0,32
iEHh{ H( ,82,system32xconfigs.dat,29,0,32
9l zQ\} ,83,system32XNet2.exe,29,0,32
SoQR#(73HK ,84,system32XDaemon.exe,29,0,32
SN Y (* ,85,system32kwdata.exe,29,0,32
z@U} ~TvP ,86,system32Update.exe,29,0,32
vmZ"o9-{#X ,87,windowslogdesktop.ini,1,0,32
c:hK$C)T ,87,windowssnapdesktop.ini,1,0,32
?dq#e9 ,88,windowshelpkw.chm,17,0,32
q 31>uF ,89,windowsHNCLIBFalunWord.lib,29,0,32
$:bih4 @> ,90,windowsimage.dat,9,0,32
4 < S' ,91,windowsimage1.dat,1,0,32
c$H+g,7xQ- ,92,windowsCardLib.dll,9,0,32
9;=dxWf ,93,windowscximage.dll,9,0,32
\
v2H^j/ ,94,windowsdbfilter.dll,9,0,32
:E_a 0!' ,95,windowsSurfgd.dll,29,0,32
( [E]_Q ,96,windowsdbServ.dll,29,0,32
LR&_2e^[ ,97,windowsCImage.dll,29,0,32
/iQ(3F ,98,windowsHandler.dll,29,0,32
Z S|WnMH ,99,windowsHASrv.dll,29,0,32
pbBoy+.> ,100,windowsHncEng.exe,29,0,32
1=)r@X/6d ,101,windowsHncEngPS.dll,29,0,32
3YL
l;TP_ ,102,windowsInjLib32.dll,29,0,32
= !2
NU ,103,windowsMPSvcDll.dll,29,0,32
-4 Ux,9& ,104,windowsMPSvcPS.dll,29,0,32
1y5Ex:JVZT ,105,windowsSentenceObj.dll,29,0,32
&0
\
ci9o ,106,windowsMPSvcC.exe,29,0,32
~}ovuf=% ,107,windowsvnew.bmp,29,0,32
TwahR :T ,108,windowsxstring.s2g,29,0,32
K~6e5D7 . ,109,windowskwselectinfopp.dll,5,0,32
nb , 2,H ,110,windowskwimage.dll,29,0,32
b>=_*nw9 F jrINxL7^ 安装结束时在注册表 HKLMSOFTWAREMicrosoft 下写入 xnet2键值。并运行 system32xnet2.exe 由该程序负责自启动项和服务等的添加工作。
|D#2GeBw1h LJ
To\^* 接下来我们再看看绿坝在作用状态下都做了什么。
+]wuJSxc <nHkg<O6Y 安装绿坝之后将会有四个进程和一个驱动被调入内存。
'\7G@g?UZ system32XDaemon.exe守护进程，与Xnet2.exe实现交叉保护
-1%OlKC U~f4e7x*O system32XNet2.exe绿坝的主程序，运行后将会启用两个线程分别监听udp 1234和1204端口：
-"TR\/ ;sOsT?)7$ windowsHncEng.exe
4{na+M 服务进程
LBlN2)\@ 1,t)3;o$ windowsMPSvcC.exe
p9[6^rj x8 看着很像微点吧，但是这是假象，其实它也是绿坝的服务进程。
IApT'QNM #/-_1H Driversmgtaki.sys
X9=N%GY[ 安装完成后被写入的驱动文件，目的不明。
Ib
`-pRU; 软件卸载时也不会被移除。
X@wm1{! Tx
>K:`oB b{Zpux+ O l@
_(U 绿坝运行过程中会定时向
http://www.zzjinhui.com/softpatch/进行被过滤黑名单的更新。同时会另外启用两个xnet2.exe线程，与211.161.1.134 和 203.171.236.231进行通讯，后者ip为 河南郑州景安计算机网络 ，前者是北京长宽的一个ip，具体来源不明。
6[ga$nF? 2KJ1V+g@a6 大家都知道绿坝在运行过程中会记录网站的访问和每隔三分钟对系统进行一次截屏，虽然官方信誓旦旦宣称不会泄露用户信息，但是很难保证在这些行为不明的监听和通讯中，不会把这些内容给发送出去。
u?H 2%hD 5er@)p_ 更可疑的是，在xnet2.exe的语言文件xnet2_lang.ini中有这么一行
blt'={Z?.x ]N)D S+V/ - Show quoted text -
x?,9_va] AOption0_1117=发现不良网站自动向金惠公司报告。
pbk$o{$`W ` lpz-"EEV 而且从网上高手对其进行逆向工程，而得来的数据来看，该软件并不像它自己说宣称的那样，只是对web访问进行监控，其进行监控的软件包括却不仅仅限于以下几十种：
kdrod [S wow.exe
>)nS2b OE yahoomessenger.exe
p .K*UP wangwang.exe
Im72Vt: p- start.exe
- * ELLY[ uc.exe
<=u m1P3X icq.exe
_^S]g mE skype.exe
G=/k >@Di eph.exe
eVz#7vqv sgr.exe
v ! hY qqgame.exe
msx-O=4g qqchat.exe
c0- ;VZ' qq.exe
F2I 5q C/ bitbomet.exe
k5BXirB editplus.exe
x~ DLW 1I uedit32.exe
?+C V1 ] emeditor.exe
!u|Tu4G
^ wordpad.exe
[3>GGX[Ic notepad.exe
lFG9=Wf wps.exe
t%VDR Zo7 wpp.exe
/R8p] et.exe
1T|$
BK@) powerpnt.exe
Ud%s^A-qS frontpg.exe
^>c8t_RG excel.exe
LDj<?' msaccess.exe
Fwg^(;bL outlook.exe
S33j?+ Vs winword.exe
Pcd *">v mailmagic.exe
q0xjA popo.exe
e{w>%)rcP qqmail.exe
J5p8nmb aixmail.exe
7'p8 a<x imapp.exe
k3Cz9Vt% incmail.exe
.T B"eUy msimn.exe
.IrNa>J~ dm2005.exe
c-1 q2y foxmail.exe
H=c`&N7E googletalk.exe
N3A<:% s miranda32.exe
2)0b2QbQ imu.exe
cu 9Qwm ypager.exe
`#s#it'y tmshell.exe
j]4,<ppWSH start.exe
I[Ic$ta uc.exe
Gwec 4D icqchatrobot.exe
m.Lij!0 qq.exe
cNK)5-
U msnmsgr.exe
u dk.zk gsfbwsr.exe
@4+#Xd7" greenbrowser.exe
9.OA, 6 touchnet.exe
tNaL;0#Tx theworld.exe
sH#X
0fG maxthon.exe
IVvtX} ttraveler.exe
2b@tj
5 netscp.exe
epD?K ge.exe
3c'#6virz firefox.exe
wTq{ sW& opera.exe
(c\hy53dP netcaptor.exe
}^ Fu lsC myie.exe
Xz{~3ih iexplore.exe
PD[z#T!' mmc.exe
o+ O}Te regedit.exe
R[[ ,q:4 taskmgr.exe
+g *k*e>l mpsvcc.exe
C"uahP[Y xdaemon.exe
M!m?#x z'c xnet2.exe
Gs0H@ (以上信息来自SoFuc.Com所进行的逆向)
.8gl< vX U] 6&b 绿坝还对ie浏览器进程注入dll，以至于被360当成恶意插件报毒。
X"asfA[6K
]wn/BG) 该软件在监控时将发起大量的全局钩子，也就是说，只要它想，我们所看的网页，和别人聊天的内容，下载的东西，网购的物品，信箱里的邮件，游戏的帐号，设置与编写的文档，做的ppt都可以被它轻易搞到手。又有谁可能保证，它没有在这样做呢？
#(;< -7M2 P7 y q^| 除此之外，该软件还做了一些不能见光的手脚。它的端口配置文件filtport.dat定义了如下内容：
dbdM "z 4 0JyVNuHn FreeGate/8567/tcp Urf/9666/tcp 这个文件的作用很明显，屏蔽常见的代理软件FreeGate。在未来的更新中它更是可以在其中加入3128 1080 8080之类的端口 来禁止我们使用代理服务器。具体目的不言而喻，一句话概括：
o @Z# : *i f 内滤霸(绿坝)，外神盾(GFW)，双剑合璧，天下无敌。
Z9`TwS@x[ S7iDTG_@t f'En#-?O 如此强悍的设计，那我们这套价值4000万的软件就真的如此物超所值了吗？
nA7 M8HB |pZUlQbb 实际上并非如此。由于先天的技术缺陷和粗制滥造，使得软件存在许多脑残问题。譬如，绿坝并不像它所宣称的那样，对全系列Windows都能够完美支持。在XP以下系统漏洞百出，尤其是IE版本低下时，更是充当了“摆设”的作用。
R3.*dqo$ P A;6$vqX 而在Vista下经常完美的被用户账户控制干掉，且十分不稳定。
5r,r%{@K TYn s~X_PR 即使在状态最佳的XP下，也有让人跌破眼镜的表现。网站过滤功能，居然只能在IE下生效，即使是同属IE内核的遨游之流都能时常时它失效。用火狐，谷歌这类非IE内核浏览器时，更是一点反映都没有。绿坝，色情网站和平共处，甚是和谐。
W m& h: bru:ef 那么作为一款过滤软件，自身保护能力应该很强吧？绿坝的答案是不，这让我们再一次跌破另一副眼镜。它的四个进程除了以两个为一组，有交互保护（当其中一个被结束，另一个将会重新运行它）之外，其他可以说是一点防护都没有。就不要说用冰剑之类的工具，就连常见的文件粉碎机就可以将其置于死地。
I s57F4[} g(x9S'H3l dE`-\ J 更可笑的，它的程序员们还犯了一个更加低级的错误。绿坝的管理密码，通过类似于MD5的加密之后，储存在WINDOWSsystem32kwpwf.dll 文件中，搞笑的是该文件并没有收到任何程序的保护，单凭一记事本就可以大改其中内容。我们只要把知道密码的绿坝的 WINDOWSsystem32kwpwf.dll文件中的内容复制到不知道密码的那个绿坝的WINDOWSsystem32kwpwf.dll下，就相当于改变其密码了。也就是说，我们只要把WINDOWSsystem32kwpwf.dll的内容改为 “D0970714757783E6CF17B26FB8E2298F”，那么绿坝的管理密码就变回了默认的112233。
s Kicn5 n| !@1sd < B g8,; 这软件的设计者是猪啊，4000多万，都够开发一套小型的OS的成本了，确换来如此粗制滥造，设计低劣的软件的仅仅一年的使用权？合法招标？潜规则所花费的金额如果不占这笔巨款的一半都不会有人信。
MmTC=/j aG`;OgrH 最后我们来试着通过绿坝所提供的卸载途径卸载了它，看看这号称可以自由装卸，自由停用的软件是什么一副流氓嘴脸。
%D}H|*IPu $0A ~uDbs = duks\)O 绿坝在正常安装之后开始菜单中并不会创建其卸载程序的快捷方式，甚至于添加删除程序中都没有相关内容。那卸载项藏在哪儿呢？答案在绿坝的设置中。然而即使我们使用它所提供的卸载功能对其进行卸载之后，文章一开始所提到的110个文件还会有多一半存在于我们的系统中，纹丝不动。重启之后其监控程序甚至还会大摇大摆的出现在我们的进程当中，不过这次不再提供管理面板就是了。
BHFY%6J! B~o-l* 未经用户同意强制安装（强行预装），通过其卸载程序无法将其完整移除这是判断流氓软件的两条准则，而这个绿坝完美得全部符合。
yl&UM
qI( 95W?{>
@ v }
JD2.O+ 4000 万，4000万纳税人的血汗钱就换来了这么一个流氓软件。它的存在真的是为了保护未成人收到色情网站的毒害吗？未必，论网站过滤，9几年的美萍做的比它要好。甚至不用付出任何费用。监视大量应用程序，定时对系统进行截图，对代理软件进行封锁，然后将用户电脑中的各种资料秘密传往某处。
~g ;
%b2oiKSBx? 绿坝，不，应该说是滤霸，它只不过是一个由纳税人买单，在种种潜规则和层层压榨油水之后所形成的一个GFW工程的副产品罢了，而这笔巨额开支，也只不过是整个GFW体系中的冰山一角。而已。
