我啥都不说，自己看

消音器

http://softbbs.pconline.com.cn/10273556.html


绿X分析报告完整**版！为您解析绿X工作过程
) _1 l: v8 \2 b5 B3 Y; D4 Q# I软件版本为3.17

5 O0 C; O; x) }   绿X采用打包式安装程序，安装程序的EXE文件被执行之后，会在temp目录下随机生成临时文件夹，释放安装文件。

- Show quoted text -
然后调用该目录下setup.exe开始安装。
绿X安装在system32目录下，安装共写入包括windows、system32、inf、drivrs等系统关键目录在内的12个目录110个文件,文件列表如下：
,1,system32RunAfterSetup.exe,9,0,32
,2,system32sys.dat,9,0,32
% A5 t6 P9 c) L- \( J,3,system32poppo.dll,1,0,32
) f( W2 C8 T* r2 g  a! y,4,system32sysEx.dat,1,0,32
,5,system32appface.dll,1,0,32
4 N- {/ U  q  m% o9 E' d; i  [,6,system32xabout.dat,1,0,32
2 a- f. R% h: S( t1 U1 p' }) A,7,system32x100.dat,1,0,32
,8,system32x200.dat,1,0,32
# X  I2 I+ v! D6 w' G,9,system32x300.dat,1,0,32
1 ?3 `0 g, c, A$ K% }2 r,10,system32x400.dat,1,0,32
9 }  T- x& F+ U- {,11,system32xnet2_lang.ini,9,0,32
,12,system32bnrfil.dat,1,0,32
,13,system32bsnlst.dat,1,0,32
,14,system32csnews.dat,1,0,32
,15,system32gdwfil.dat,1,0,32
,16,system32TrustUrl.dat,1,0,32
,17,system32wfileu.dat,1,0,32
+ b% Z# y4 P7 m,18,system32xwordh.dat,1,0,32
7 W: \4 b9 c( z7 N5 G+ N# O,19,system32xwordl.dat,1,0,32
* F3 f1 p* K) r' A4 Q# p' b( Y,20,system32xwordm.dat,1,0,32
$ r5 L# e1 j/ F% {- `; Z4 t8 N,21,system32auctfil.dat,1,0,32
,22,system32chtfil.dat,1,0,32
,23,system32cultfil.dat,1,0,32
,24,system32entfil.dat,1,0,32
,25,system32finfil.dat,1,0,32
  [" ]# C3 u, Y, F,26,system32fmfil.dat,1,0,32
. |5 O1 R8 D/ V) h,27,system32fshrfil.dat,1,0,32
  N& J- N, D5 k0 {7 G2 V,28,system32gblfil.dat,1,0,32
,29,system32gnfil.dat,1,0,32
,30,system32hatfil.dat,1,0,32
,31,system32iawfil.dat,1,0,32
1 o& @  Q/ }: B) Y/ G+ N% S,32,system32imgfil.dat,1,0,32
,33,system32jbfil.dat,1,0,32
,34,system32lgwfil.dat,1,0,32
+ [9 F  `2 m( d,35,system32movfil.dat,1,0,32
' Q4 O& B8 L) L6 \( H1 e, E$ y,36,system32mp3fil.dat,1,0,32
,37,system32nvgamfil.dat,1,0,32
# `6 }* C2 a' \- z,38,system32perfil.dat,1,0,32
8 ?3 _" a: c/ c1 q- M- Y# r4 p,39,system32picsfil.dat,1,0,32
,40,system32pkmon.dat,1,0,32
,41,system32popfil.dat,1,0,32
,42,system32psyfil.dat,1,0,32
,43,system32sporfil.dat,1,0,32
/ N; p2 d# A' r) J4 ]& Y,44,system32swfil.dat,1,0,32
) ~! w. z7 r8 k+ d+ k8 s2 m,45,system32tafil.dat,1,0,32
1 Y& L& ~' c/ K3 C) b8 y,46,system32tapfil.dat,1,0,32
9 G! p3 e/ b6 ?) `% U,47,system32vgamfil.dat,1,0,32
,48,system32viofil.dat,1,0,32
4 z1 l8 |' c' d% m5 q) y( t, ]' G# N,49,system32wrestfil.dat,1,0,32
,50,system32wzfil.dat,1,0,32
7 ]0 S  }* T- x8 t,51,system32adwfil.dat,1,0,32
# H1 ^  h! B; H7 k,52,system321.urf,1,0,32
: E  ~- D  A; R. @,53,system322.urf,1,0,32
,54,system323.urf,1,0,32
" g! e2 t$ r, S& j* S2 N- H" \. @- l' j,55,system324.urf,1,0,32
,56,system325.urf,1,0,32
9 H! p' \8 d3 A8 J+ \,57,system326.urf,9,0,32
,58,system327.urf,9,0,32
, `& F% Y8 Z  q# y  C; z% z,59,system32goldlock.exe,9,0,32
* ^* U" i  Z8 J,60,system32filtport.dat,9,0,32
,61,system32x100.jpg,9,0,32
* I( K3 [0 f8 c  J$ x  |1 {7 Q,62,system32x200.jpg,9,0,32
- D8 \( s0 G* b,63,system32x300.jpg,9,0,32
,64,system32x400.jpg,9,0,32
,65,system32x500.jpg,9,0,32
& S2 G2 }1 ~* \+ I0 }0 V,66,system32win2kspi.reg,9,0,32
& m# P; q$ s: b,67,system32winxpSpi.reg,9,0,32
3 m- M3 ?& L, j  p2 q,68,system32Win98Spi.reg,9,0,32
,69,system32adwapp.dat,9,0,32
,70,system32XFimage.xml,9,0,32
,71,system32FImage.dll,9,0,32
,72,system32Xtool.dll,9,0,32
,73,system32Xcv.dll,9,0,32
, b  b) S3 K8 O7 L$ W3 U,74,system32xcore.dll,9,0,32
, m  K7 X/ z. q8 i; X3 V5 S! ],75,system32x600.jpg,9,0,32
,76,system32wfile.dat,9,0,32
* z% H: y1 s! j7 [,77,system32winvista.reg,9,0,32
,78,system32IPGate.dll,9,0,32
/ n+ ~- V6 o" j. \4 n' M- D% H,79,system32gn.exe,29,0,32
,80,system32looklog.exe,29,0,32
,81,system32lookpic.exe,29,0,32
, p- ?2 x) D, E/ r" [7 y,82,system32xconfigs.dat,29,0,32
,83,system32XNet2.exe,29,0,32
,84,system32XDaemon.exe,29,0,32
,85,system32kwdata.exe,29,0,32
4 u$ x9 `/ z4 N" M+ x,86,system32Update.exe,29,0,32
,87,windowslogdesktop.ini,1,0,32
,87,windowssnapdesktop.ini,1,0,32
% s2 p2 F) `* J# h. a4 u/ D+ C3 x,88,windowshelpkw.chm,17,0,32
,89,windowsHNCLIB**Word.lib,29,0,32
  H& T6 K0 Q' M' P9 B,90,windowsimage.dat,9,0,32
, v% \% y4 d/ l,91,windowsimage1.dat,1,0,32
# o3 L5 o" a1 t" [7 R, E,92,windowsCardLib.dll,9,0,32
,93,windowscximage.dll,9,0,32
,94,windowsdbfilter.dll,9,0,32
,95,windowsSurfgd.dll,29,0,32
,96,windowsdbServ.dll,29,0,32
6 o) }7 x1 w' \; F6 ~0 s,97,windowsCImage.dll,29,0,32
,98,windowsHandler.dll,29,0,32
,99,windowsHASrv.dll,29,0,32
,100,windowsHncEng.exe,29,0,32
7 d' X7 S  O. Z1 b,101,windowsHncEngPS.dll,29,0,32
# V/ ^1 \: }; I& i( a,102,windowsInjLib32.dll,29,0,32
,103,windowsMPSvcDll.dll,29,0,32
& E2 Q" W; {. s! q,104,windowsMPSvcPS.dll,29,0,32
% e7 b8 K% r3 ~' {7 T/ W% E5 P,105,windowsSentenceObj.dll,29,0,32
6 o& a/ q4 N9 e! f1 @& R' |6 m,106,windowsMPSvcC.exe,29,0,32
,107,windowsvnew.bmp,29,0,32
,108,windowsxstring.s2g,29,0,32
,109,windowskwselectinfopp.dll,5,0,32
,110,windowskwimage.dll,29,0,32

7 l; J: r$ Y) A% R; Q5 c5 o+ u- z安装结束时在注册表 HKLMSOFTWAREMicrosoft 下写入 xnet2键值。并运行 system32xnet2.exe 由该程序负责自启动项和服务等的添加工作。
( v) I. C+ x  L' `+ d
接下来我们再看看绿坝都做了什么。

安装绿X之后将会有四个进程和一个驱动被调入内存。
system32XDaemon.exe守护进程，与Xnet2.exe实现交叉保护

system32XNet2.exe绿坝的主程序，运行后将会启用两个线程分别监听udp 1234和1204端口：

# U8 C3 t' ?# c( [windowsHncEng.exe
服务进程
windowsMPSvcC.exe
* ]& d% ?2 U  v
+ Q3 @$ g* V+ o0 q看着很像微点，但是这是假象，其实它也是绿X的服务进程。

' F" k5 X  n3 uDriversmgtaki.sys
/ ^/ x( X' S; _% b安装完成后被写入的驱动文件，目的不明。
3 z# a9 |2 S+ ^  X6 Q3 S+ T软件卸载时也不会被移除。

5 ^$ h/ a) D5 @

: L8 j' Z" a, m& |+ U绿X运行过程中会定时向
3 z9 l5 T, ?6 {- h3 M6 ]7 ^: E: U

进行被过滤黑名单的更新。同时会另外启用两个xnet2.exe线程，与211.161.1.134 和 203.171.236.231进行通讯，后者ip为 河南郑州景安计算机网络 ，前者是北京  长宽的一个ip，具体来源不明。

* ^) k, q% n/ B% f大家都知道绿X在运行过程中会记录网站的访问和每隔三分钟对系统进行一次截屏，虽然官方信誓旦旦宣称不会泄露用户信息，但是很难保证在这些行为不明的监听和通讯中，不会把这些内容给发送出去。

更可疑的是，在xnet2.exe的语言文件xnet2_lang.ini中有这么一行

& B- j: }; V% d- Show quoted text -
" K8 \; `4 E$ U( g+ ~* R/ R0 oAOption0_1117=发现不良网站自动向金惠公司报告。
( C/ W; ~) ~" z6 A* Q
$ B5 Q* Z# d( @9 J" p  ?而且从网上高手对其进行逆向工程，而得来的数据来看，该软件并不像它自己说宣称的那样，只是对web访问进行监控，其进行监控的软件包括却不仅仅限于以下几十种：
wow.exe
: H1 Q: A7 R2 y% \yahoomessenger.exe
% {: H/ I: E. d0 }- ewangwang.exe
( t/ u- U" G' o1 `" a( `" |start.exe
uc.exe
icq.exe
  ?* e5 A! c3 @. M& G% ?6 Wskype.exe
eph.exe
sgr.exe
7 N$ P- P3 w5 I- |* |( B. L& mqqgame.exe
qqchat.exe
) f: d( w6 S/ D& X( q0 jqq.exe
5 v8 ?+ i3 j2 `bitbomet.exe
editplus.exe
uedit32.exe
$ k; ^9 w  u( o. n8 [/ M+ O$ ]emeditor.exe
6 E" E+ X  [! Z. d( Y5 `3 mwordpad.exe
notepad.exe
+ O2 [* h5 G2 Twps.exe
8 |# l( g/ T% Vwpp.exe
5 y- m- T' K0 zet.exe
1 |7 T1 o: K* [8 ~; d2 b% H3 mpowerpnt.exe
frontpg.exe
) R" D7 c) N, g3 @& qexcel.exe
! w- ~6 }( s5 G1 `( T) Z+ kmsaccess.exe
outlook.exe
8 {2 w/ e9 m, N6 ~8 Y/ ?1 ^& r' qwinword.exe
5 O  H% B1 _+ o  @& F. kmailmagic.exe
. j* Z6 d$ \! R0 upopo.exe
' Y" n: i9 i& N! J/ X1 qqqmail.exe
! E% K# S3 }: k4 yaixmail.exe
imapp.exe
+ Q& {, m3 D1 o0 t7 bincmail.exe
, e7 i4 T  n/ J# F; H) P$ J1 Pmsimn.exe
dm2005.exe
foxmail.exe
googletalk.exe
miranda32.exe
' C) E* G$ x5 ^1 ?0 i( s! uimu.exe
7 u4 }" t4 t" e2 Typager.exe
tmshell.exe
start.exe
uc.exe
& v2 G1 `& M6 s; y  Kicqchatrobot.exe
" s* ?  O/ e% R+ q- wqq.exe
msnmsgr.exe
* `$ T3 Q8 W+ i/ |9 U7 k# F- cgsfbwsr.exe
- |! R( `8 N1 F6 ]greenbrowser.exe
& j' u) F7 o4 G+ y- f4 @: otouchnet.exe
8 {4 [5 v, T; V( {theworld.exe
maxthon.exe
ttraveler.exe
( S) z- m! j/ G# wnetscp.exe
ge.exe
firefox.exe
opera.exe
netcaptor.exe
myie.exe
iexplore.exe
mmc.exe
6 X9 p0 z' R/ ?5 Fregedit.exe
taskmgr.exe
& G( _; b6 _  m! C8 ?  ?: J9 A  T/ ?mpsvcc.exe
2 V/ [: y+ \. ?7 k+ d/ L: N/ oxdaemon.exe
xnet2.exe
" Q0 }& c* W4 T0 u; Z: r(以上信息来自SoFuc.Com所进行的逆向)

1 M9 L( Z3 d% D1 x9 b7 V5 y    绿X还对ie浏览器进程注入dll，以至于被360当成恶意插件报毒。

    该软件在监控时将发起大量的全局钩子，也就是说，只要它想，我们所看的网页，和别人聊天的内容，下载的东西，网购的物品，信箱里的邮件，游戏的帐号，设置与编写的文档，做的ppt都可以被它轻易搞到手。又有谁可能保证，它没有在这样做呢？

    除此之外，该软件还做了一些不能见光的手脚。它的端口配置文件filtport.dat定义了如下内容：

' e- t, r6 ?+ `" G* M+ r    FreeGate/8567/tcp Urf/9666/tcp 这个文件的作用很明显，屏蔽常见的代理软件FreeGate。在未来的更新中它更是可以在其中加入3128 1080 8080之类的端口 来禁止我们使用代理服务器。具体目的不言而喻。


    如此强悍的设计，那我们这套价值4000万的软件就真的如此物超所值了吗？

- H6 Y+ p% _7 J    实际上并非如此。由于先天的技术缺陷和粗制滥造，使得软件存在许多脑残问题。譬如，绿X并不像它所宣称的那样，对全系列Windows都能够完美支持。在XP以下系统漏洞百出，尤其是IE版本低下时，更是充当了“摆设”的作用。

9 G2 i' ?: }/ f. n2 @  M4 Y. G    而在Vista下经常完美的被用户账户控制干掉，且十分不稳定。
! t( o) ^) p6 U; o: y4 X即使在状态最佳的XP下，也有让人跌破眼镜的表现。网站过滤功能，居然只能在IE下生效，即使是同属IE内核的遨游之流都能时常时它失效。用火狐，谷歌这类非IE内核浏览器时，更是一点反映都没有。绿X，色情网站和平共处，甚是和谐。
% d: l$ B9 b( C2 W
     那么作为一款过滤软件，自身保护能力应该很强吧？绿X的答案是不，这让我们再一次跌破另一副眼镜。它的四个进程除了以两个为一组，有交互保护(当其中一个被结束，另一个将会重新运行它)之外，其他可以说是一点防护都没有。就不要说用冰剑之类的工具，就连常见的文件粉碎机就可以将其置于死地。
5 A% k! a0 n  |$ I8 {2 Z* P; X

     更可笑的，它的程序员们还犯了一个更加低级的错误。绿X的管理密码，通过类似于MD5的加密之后，储存在WINDOWSsystem32kwpwf.dll文件中，搞笑的是该文件并没有收到任何程序的保护，单凭一记事本就可以大改其中内容。我们只要把知道密码的绿坝的WINDOWSsystem32kwpwf.dll文件中的内容复制到不知道密码的那个绿X的WINDOWSsystem32kwpwf.dll下，就相当于改变其密码了。也就是说，我们只要把WINDOWSsystem32kwpwf.dll的内容改为“D0970714757783E6CF17B26FB8E2298F”，那么绿X的管理密码就变回了默认的112233。
$ U( t/ A6 ~! A) w! @, T

     这软件的设计者是猪啊，4000多万，都够开发一套小型的OS的成本了，确换来如此粗制滥造，设计低劣的软件的仅仅一年的使用权？合法招标？潜规则所花费的金额如果不占这笔巨款的一半都不会有人信。

$ ~: m) {& C! O5 A    最后我们来试着通过绿X所提供的卸载途径卸载了它，看看这号称可以自由装卸，自由停用的软件是什么一副流氓嘴脸。

& b8 u7 }8 B3 D: f6 I
    绿X在正常安装之后开始菜单中并不会创建其卸载程序的快捷方式，甚至于添加删除程序中都没有相关内容。那卸载项藏在哪儿呢？答案在绿X的设置中。然而即使我们使用它所提供的卸载功能对其进行卸载之后，文章一开始所提到的110个文件还会有多一半存在于我们的系统中，纹丝不动。重启之后其监控程序甚至还会大摇大摆的出现在我们的进程当中，不过这次不再提供管理面板就是了。

! h8 D; Q  M+ I- R  }* n# L6 y9 I( m    未经用户同意强制安装(强行预装)，通过其卸载程序无法将其完整移除这是判断流氓软件的两条准则，而这个绿坝完美得全部符合。它的存在真的是为了保护未成人收到色情网站的毒害吗？未必，监视大量应用程序，定时对系统进行截图，对代理软件进行**，然后将用户电脑中的各种资料秘密传往某处。

leehao

...内幕啊！！！且看绿坝怎样下得了台

sunssj

绿叉。。。白痴东西~

wd_hui

“监视大量应用程序，定时对系统进行截图，对代理软件进行**，然后将用户电脑中的各种资料秘密传往某处。”
可以说这个就凭现在天朝那些吃砸碎XXX家，XXX人员想实现还早呢。
$ {* c; _! l4 O+ L9 z0 o绿X这个东西说白了就是某些人赚外快的工具......