http://club.cat898.com/newbbs/dispbbs.asp?boardid=1&id=2856764 _XXK1H x E{T\51V]% [转贴]过滤软件绿坝 高手全破解
YC&iH>jO3 文章提交者：justwit 加帖在 猫眼看人 【凯迪网络】
http://www.kdnet.net Y@KZ:0< yZK1bnYG|I 价值4000万的过滤软件，绿坝分析报告
z A&0H &Xe r#6~ 开场白就免了，直接进入正题。
@ 5
kKMz f Otrn (&PamsV*8 这价值4000万的神秘软件究竟是个什么样，让我们看看。
, 9|% /2>-h-zBjw 软件版本为3.17
^K@r!)We )oTEB# J 绿坝采用打包式安装程序，安装程序的EXE文件被执行之后，会在temp目录下随机生成临时文件夹，释放安装文件。
rRcfZZ~` M w?C _LP - Show quoted text -
u>& \@?( 然后调用该目录下setup.exe开始安装。
D\(,:_ge 绿坝安装在system32目录下，安装共写入包括windows、system32、inf、drivrs等系统关键目录在内的12个目录110个文件,文件列表如下：
[2 2
IF l4U& CA y ,1,system32RunAfterSetup.exe,9,0,32
*I Gxa ,2,system32sys.dat,9,0,32
D> Z>4:EM ,3,system32poppo.dll,1,0,32
Ou2
H~3^PL ,4,system32sysEx.dat,1,0,32
n8[sR;r5f ,5,system32appface.dll,1,0,32
_I~TpH^1K ,6,system32xabout.dat,1,0,32
jm RYL(" ,7,system32x100.dat,1,0,32
G&D N'bp ,8,system32x200.dat,1,0,32
P :lv Z ,9,system32x300.dat,1,0,32
K blOP{I ,10,system32x400.dat,1,0,32
\q3H #1A ,11,system32xnet2_lang.ini,9,0,32
-/x +M-X# ,12,system32bnrfil.dat,1,0,32
J }jK_ ,13,system32bsnlst.dat,1,0,32
m8 0+b8b ,14,system32csnews.dat,1,0,32
H !F'I)1 ,15,system32gdwfil.dat,1,0,32
"1%<IqpU+ ,16,system32TrustUrl.dat,1,0,32
r4 +w?=` ,17,system32wfileu.dat,1,0,32
dadOjl)S) ,18,system32xwordh.dat,1,0,32
_QvyFKAM ,19,system32xwordl.dat,1,0,32
:FG}k Y ,20,system32xwordm.dat,1,0,32
zIF &ZYP ,21,system32auctfil.dat,1,0,32
g ywI@QD%# ,22,system32chtfil.dat,1,0,32
oCy52Bm.! ,23,system32cultfil.dat,1,0,32
`Kym
{og ,24,system32entfil.dat,1,0,32
r{\cm
Ds ,25,system32finfil.dat,1,0,32
:N8D1e-a ,26,system32fmfil.dat,1,0,32
P7egT
,Z ,27,system32fshrfil.dat,1,0,32
kjNA~{ ,28,system32gblfil.dat,1,0,32
ez(4TtT ,29,system32gnfil.dat,1,0,32
:m#vvH ,30,system32hatfil.dat,1,0,32
Da- F(^E ,31,system32iawfil.dat,1,0,32
`6~*kCj5 ,32,system32imgfil.dat,1,0,32
hp -< 8Mf ,33,system32jbfil.dat,1,0,32
m6 h A,li ,34,system32lgwfil.dat,1,0,32
G]P4[#5 ,35,system32movfil.dat,1,0,32
enG6T ,36,system32mp3fil.dat,1,0,32
FAM`+QtNw ,37,system32nvgamfil.dat,1,0,32
Lom%eoH) ,38,system32perfil.dat,1,0,32
U%oI* ,39,system32picsfil.dat,1,0,32
FVY,CeA. ,40,system32pkmon.dat,1,0,32
82$By] Y9 ,41,system32popfil.dat,1,0,32
1Dt"Rcn"4 ,42,system32psyfil.dat,1,0,32
b8b-M]P-= ,43,system32sporfil.dat,1,0,32
{6 #3` ,44,system32swfil.dat,1,0,32
$k'f)E ,45,system32tafil.dat,1,0,32
4c2P%X(
C ,46,system32tapfil.dat,1,0,32
3;>(W ,47,system32vgamfil.dat,1,0,32
rA ` zuYo ,48,system32viofil.dat,1,0,32
^ {6Y7T] ,49,system32wrestfil.dat,1,0,32
15yIPv+5 ,50,system32wzfil.dat,1,0,32
>=U $ s@ ,51,system32adwfil.dat,1,0,32
%M}zi'qQ? ,52,system321.urf,1,0,32
Xid>8 ,53,system322.urf,1,0,32
,9?'Q;20 ,54,system323.urf,1,0,32
dZ%b|CUb ,55,system324.urf,1,0,32
`}zv17wp ,56,system325.urf,1,0,32
`yQHPN0/ ,57,system326.urf,9,0,32
Maa5a ,58,system327.urf,9,0,32
3BY/ &'oX ,59,system32goldlock.exe,9,0,32
wW%I < M ,60,system32filtport.dat,9,0,32
*}/xy
SH3 ,61,system32x100.jpg,9,0,32
Lj~lfO ,62,system32x200.jpg,9,0,32
iS=T/<|? ,63,system32x300.jpg,9,0,32
I,YGm
,64,system32x400.jpg,9,0,32
X[@>1tl ,65,system32x500.jpg,9,0,32
P? 9C BhN ,66,system32win2kspi.reg,9,0,32
IE_@:]K}Ja ,67,system32winxpSpi.reg,9,0,32
]VwAHT&je ,68,system32Win98Spi.reg,9,0,32
"VT5WFj ,69,system32adwapp.dat,9,0,32
jQb=N%5s ,70,system32XFimage.xml,9,0,32
n:*+pL; ,71,system32FImage.dll,9,0,32
7]nPWz1%* ,72,system32Xtool.dll,9,0,32
So`xd
*C! ,73,system32Xcv.dll,9,0,32
_Fz )2h,3 ,74,system32xcore.dll,9,0,32
>E]*5jqU ,75,system32x600.jpg,9,0,32
I]k'0LG*^ ,76,system32wfile.dat,9,0,32
,1~Zqprn ,77,system32winvista.reg,9,0,32
gKYn* ,78,system32IPGate.dll,9,0,32
Phb<##OB ,79,system32gn.exe,29,0,32
o8s&n3mY}y ,80,system32looklog.exe,29,0,32
"*7I~.7U(* ,81,system32lookpic.exe,29,0,32
~B= \![ ,82,system32xconfigs.dat,29,0,32
A:D\!5= ,83,system32XNet2.exe,29,0,32
2$\f !6p ,84,system32XDaemon.exe,29,0,32
<U~P- c
tN ,85,system32kwdata.exe,29,0,32
6,@M0CX ,86,system32Update.exe,29,0,32
d\) v62
P ,87,windowslogdesktop.ini,1,0,32
$hKgT f? ,87,windowssnapdesktop.ini,1,0,32
'h81\SKFK9 ,88,windowshelpkw.chm,17,0,32
W!X#:UM) ,89,windowsHNCLIBFalunWord.lib,29,0,32
Lvp/} /H/ ,90,windowsimage.dat,9,0,32
J&3;6I
& ,91,windowsimage1.dat,1,0,32
r#Pd@ S V ,92,windowsCardLib.dll,9,0,32
PU'v o4 ,93,windowscximage.dll,9,0,32
Ce:R
p? ,94,windowsdbfilter.dll,9,0,32
z?
{# / ,95,windowsSurfgd.dll,29,0,32
Gi<f/xQk> ,96,windowsdbServ.dll,29,0,32
Ev^Xs6 }" ,97,windowsCImage.dll,29,0,32
?5(L.XFm ,98,windowsHandler.dll,29,0,32
dt5gQ9(B ,99,windowsHASrv.dll,29,0,32
whLske- ,100,windowsHncEng.exe,29,0,32
Ys<wWfW ,101,windowsHncEngPS.dll,29,0,32
BbU&e z8P ,102,windowsInjLib32.dll,29,0,32
Ey 6K@@% ,103,windowsMPSvcDll.dll,29,0,32
U!e4_JBR' ,104,windowsMPSvcPS.dll,29,0,32
"Q /3]hc. ,105,windowsSentenceObj.dll,29,0,32
ux =a9 ,106,windowsMPSvcC.exe,29,0,32
I?fE=2}9 ,107,windowsvnew.bmp,29,0,32
PN.6BJvu ,108,windowsxstring.s2g,29,0,32
[;?^DAnK2 ,109,windowskwselectinfopp.dll,5,0,32
3zl!x ,110,windowskwimage.dll,29,0,32
Yt#($}p 61m QJHl. 安装结束时在注册表 HKLMSOFTWAREMicrosoft 下写入 xnet2键值。并运行 system32xnet2.exe 由该程序负责自启动项和服务等的添加工作。
UoLO#C 0i w}YHCh 接下来我们再看看绿坝在作用状态下都做了什么。
>#q|Pjv] iEU(1?m2- 安装绿坝之后将会有四个进程和一个驱动被调入内存。
]$L[3q A. system32XDaemon.exe守护进程，与Xnet2.exe实现交叉保护
S;t ~"87v* ?BLOc;I&a system32XNet2.exe绿坝的主程序，运行后将会启用两个线程分别监听udp 1234和1204端口：
5vpf; 3YLnh@- windowsHncEng.exe
{^\-%3$ 服务进程
1B
1d>V$* bTiw?i+6Dv windowsMPSvcC.exe
+$UfP(XmH 看着很像微点吧，但是这是假象，其实它也是绿坝的服务进程。
B "qG-ci <=zGaU, Driversmgtaki.sys
{'b8;x8h 安装完成后被写入的驱动文件，目的不明。
<;XJ::d 软件卸载时也不会被移除。
SHGO; |hdh4P$+| VKs\b-1 B}M J ?uvA 绿坝运行过程中会定时向
http://www.zzjinhui.com/softpatch/进行被过滤黑名单的更新。同时会另外启用两个xnet2.exe线程，与211.161.1.134 和 203.171.236.231进行通讯，后者ip为 河南郑州景安计算机网络 ，前者是北京长宽的一个ip，具体来源不明。
QqwX Fk /C(L(X 大家都知道绿坝在运行过程中会记录网站的访问和每隔三分钟对系统进行一次截屏，虽然官方信誓旦旦宣称不会泄露用户信息，但是很难保证在这些行为不明的监听和通讯中，不会把这些内容给发送出去。
TgUQD(d^ Wt `D 更可疑的是，在xnet2.exe的语言文件xnet2_lang.ini中有这么一行
{[s<\<~B* w(G(Q>GI - Show quoted text -
ScTqnY$v AOption0_1117=发现不良网站自动向金惠公司报告。
N!m%~},s//
@i`gR% 而且从网上高手对其进行逆向工程，而得来的数据来看，该软件并不像它自己说宣称的那样，只是对web访问进行监控，其进行监控的软件包括却不仅仅限于以下几十种：
z N
t7DK wow.exe
r[,KE.^6~# yahoomessenger.exe
<pE G8_{} wangwang.exe
z)0VP QMT start.exe
Kz<xu ulr uc.exe
y^nR=Q ]_
icq.exe
Tt vS|09p; skype.exe
)8<X6 eph.exe
xv*m K1e sgr.exe
|.S;z"v![ qqgame.exe
.Gv~e!a 8 qqchat.exe
ex| kD*= qq.exe
n - =\n6"P bitbomet.exe
}UO,R ~q~ editplus.exe
+p[~hM6? uedit32.exe
/F4: 1
} emeditor.exe
?k3b\E3 wordpad.exe
Jxvwq uI notepad.exe
,S5#Kk a~a wps.exe
wH`@r?& wpp.exe
1y @ - et.exe
aQG#bh [ powerpnt.exe
?UxY4m%R; frontpg.exe
z=fag'fzM excel.exe
T9$U./69-L msaccess.exe
/Mk) H
d outlook.exe
9F-k:hD | winword.exe
:
1{j& $ mailmagic.exe
y H'\<bT popo.exe
ms{R|vU%b qqmail.exe
|`okIqp aixmail.exe
n (|>7 imapp.exe
=QC^7T incmail.exe
{Q-U =me\ msimn.exe
x'KsQ lI/
dm2005.exe
]S:@=9JB' foxmail.exe
PWmz7*/ googletalk.exe
kzmt'/ L8 miranda32.exe
v] J# SlF imu.exe
y{"E) Y Y ypager.exe
Ya_6Zd4O tmshell.exe
a2 SQ:d start.exe
I,S'zHR uc.exe
O MZT\$9yT icqchatrobot.exe
4w?7AI]E
j qq.exe
j~8+,: msnmsgr.exe
w\
mF2h gsfbwsr.exe
L,ra=SV F greenbrowser.exe
~3%3{a a touchnet.exe
};j&)M theworld.exe
3 (&.[o
Z maxthon.exe
Z\L@5.*ydE ttraveler.exe
4sAshrUf netscp.exe
Z-<u?f8{* ge.exe
"5YdmBy firefox.exe
jg stx3 opera.exe
##5/%#eZ netcaptor.exe
j"V$J 8)[ myie.exe
<2 Q@ ^ iexplore.exe
D=\
|teA& mmc.exe
Ocb2XEF regedit.exe
K$
&wO. taskmgr.exe
G<z)Ydh_ mpsvcc.exe
toWmm(7v xdaemon.exe
7X|r';"?i
xnet2.exe
6Te}"t> (以上信息来自SoFuc.Com所进行的逆向)
xHG oCFB Y; w]u_ 绿坝还对ie浏览器进程注入dll，以至于被360当成恶意插件报毒。
yRznP ) [v`4OQ F/ 该软件在监控时将发起大量的全局钩子，也就是说，只要它想，我们所看的网页，和别人聊天的内容，下载的东西，网购的物品，信箱里的邮件，游戏的帐号，设置与编写的文档，做的ppt都可以被它轻易搞到手。又有谁可能保证，它没有在这样做呢？
y(dS1.5F w|HZI,~ 除此之外，该软件还做了一些不能见光的手脚。它的端口配置文件filtport.dat定义了如下内容：
3/AUV%+ W<4\4 FreeGate/8567/tcp Urf/9666/tcp 这个文件的作用很明显，屏蔽常见的代理软件FreeGate。在未来的更新中它更是可以在其中加入3128 1080 8080之类的端口 来禁止我们使用代理服务器。具体目的不言而喻，一句话概括：
w=`z!x
