【WEB】远程电子数据取证-木马分析(第1题)（驱动级文件隐藏）

谁践踏了优雅 2022-05-16 12:12 468阅读 0赞

# 【原题】 #

[https://www.mozhe.cn/bug/detail/UHpRcDlZV2J0NmxSYXFPR0g2MUxaQT09bW96aGUmozhe][https_www.mozhe.cn_bug_detail_UHpRcDlZV2J0NmxSYXFPR0g2MUxaQT09bW96aGUmozhe]

在wwwroot目录下找不到应该存在的seo文件夹，根据提示，是用了驱动级文件隐藏，使得seo文件夹不可见。

# 【解法】 #

### [驱动级文件隐藏][Link 1]特征 ###

系统目录存在如下文件:  
c:\\WINDOWS\\xlkfs.dat  
c:\\WINDOWS\\xlkfs.dll  
c:\\WINDOWS\\xlkfs.ini  
c:\\WINDOWS\\system32\\drivers\\xlkfs.sys

此驱动级隐藏文件会在服务项增加一个xlkfs的服务

驱动文件路径为：c:\\WINDOWS\\system32\\drivers\\xlkfs.sys

配置文件路径为：c:\\WINDOWS\\xlkfs.ini

![70][]

1、查询服务状态：

**sc qc xlkfs**

![遭遇驱动级文件隐藏 - 成雨 - 成雨s Blog-关注Web信息安全][- _ - _s Blog-_Web]

** **2、停止服务：

**net stop xlkfs**

服务停止以后，经驱动级隐藏的文件即可显现，终于找到了hark.asp

3、删除服务：

**sc delete xlkfs**

![遭遇驱动级文件隐藏 - 成雨 - 成雨s Blog-关注Web信息安全][- _ - _s Blog-_Web 1]

** **4、删除系统目录下面的文件。

（5、重启系统，确认服务已经被清理了。）

![70 1][]

[https_www.mozhe.cn_bug_detail_UHpRcDlZV2J0NmxSYXFPR0g2MUxaQT09bW96aGUmozhe]: https://www.mozhe.cn/bug/detail/UHpRcDlZV2J0NmxSYXFPR0g2MUxaQT09bW96aGUmozhe
[Link 1]: http://hacker-chengyu.lofter.com/post/1d1568f4_a20a2be
[70]: /images/20220516/e889dc3461ab4831bb6d72d6ae4899ff.png
[- _ - _s Blog-_Web]: /images/20220516/423b7ae1ab904084a7d8e0f55205fceb.png
[- _ - _s Blog-_Web 1]: /images/20220516/a1f2b93ef36742abbb19b83883b1c3fb.png
[70 1]: /images/20220516/529c8a68770940aa9d96959747b8c873.png