前言
在github上闲逛，发现国人写的一款远控木马。于是决定利用源代码分析此款木马客户端与服务端之间的通讯机制。
在这里感谢远控的作者，给我这次学习的机会。
一、运行效果
把源码下载，搭建好虚拟机后，编译并运行，效果如图：
配置客户端和服务端，如图：
客户端可以正常上线。
我们首先分析下客户端：
二、客户端数据包发送
我们从客户端程序入口main()函数开始
main()函数前半部分是实现客户端的隐藏性，运行前将自己拷贝到一个较隐蔽的目录，此处我们略过。
main()后半部分的StartConnect()函数，是客户端进行启动反弹连接的函数。在分析这个函数前我们看一个StartHearbeat()心跳函数。这里为了提高程序的响应，StartHearbeat()心跳函数单独用一个线程执行。
我们进入StartHearbeat()心跳函数
下面这两端代码不断地发送一个心跳包，具体如何发送我们后面会详细分析。
byte[] packet = CodecFactory.Instance.EncodeOject(ePacketType.PACKET_HEART_BEAR, null);
oServer.Send(packet);
当发生异常时，下面两段代码启动了客户端的重连机制。
Console.WriteLine(“心跳发送异常，” + ex.Message);
StartConnect();
好了，StartHearbeat()心跳函数我们就分析到这里。
StartHearbeat()心跳函数的作用就是不断发送心跳包，当连接错误时，调用StartConnect()函数启动客户端的重连机制。
接下来我们开始分析启动连接的StartConnect()函数。
进入StartConnect()函数，
下面两段代码是启动连接，这里可以看出使用了socket套接字,用了TCP协议，主动向服务端发出连接申请。
oServer = new Socket(AddressFamily.InterNetwork, SocketType.Stream, ProtocolType.Tcp);
oServer.Connect(clientParameters.GetIPEndPoint());
连接成功后，StartRecvData（）函数就开始接收数据包
我们进入StartRecvData（）函数，在接收数据包前，客户端首先向外发送了一个数据包。根据变量名我们可以猜出是发送主机名、程序执行目录、以及一个OnlineAvatar（暂时不知道是什么）。我们姑且管他们叫”主机信息数据”。下面我们看它如何发送的这个“主机信息数据”包。
session.Send(ePacketType.PACKET_GET_HOST_NAME_RESPONSE, resp);
我们进入这个send()函数
发现里面又调用了 this.SocketObj.Send(CodecFactory.Instance.EncodeOject(packetType, obj));
我们继续进入SocketObj.Send（）函数，发现无法进入了，原来这里已经是调用了socket套接字的send()函数。
我们看看msdn的文档
我们通过文档知道，socket套接字的send()函数只能发送字节数据。所以真正的数据包构建应该在这里。
CodecFactory.Instance.EncodeOject(packetType, obj)
我们进到CodecFactory.Instance.EncodeOject(packetType, obj)函数看一下。
我们知道参数obj代表了”主机信息数据”。也就是主机名、程序执行目录、以及一个OnlineAvatar。如下：
resp.HostName = Dns.GetHostName();
resp.AppPath = Application.ExecutablePath;
resp.OnlineAvatar = clientParameters.OnlineAvatar;
进入到函数ToJsonBytes（obj）是把”主机信息数据”转换成json格式的字节数据，存入bodyBytes字节数组中。
string json = JsonConvert.SerializeObject(obj); 包数据转成json格式
return System.Text.Encoding.UTF8.GetBytes(json); //编码后数组
我们在进入Encode(packetType, bodyBytes)函数，我们在这里终于发现了真正封装数据包的函数
result字节数组里面存放的才是真正发送的数据包。
result字节数组数据包都包括了什么
int packetLength = bodyData.Length + 1 + 4;
result.AddRange(BitConverter.GetBytes(packetLength)); // 包长
result.Add((byte)packetType); //包类型
result.AddRange(bodyData); // 包数据主体
这里出现了一个包类型packetType，我管它叫包头，它代表了不同数据。我们看下它的定义
我们到这里大概已经猜出了发送数据包包括了3部分：包长 包头 和包数据
这里包长是 int packetLength = bodyData.Length + 1 + 4;
因为包长被定义成了一个整型，也就是4字节。包头是1字节，最后还要加上包数据的长度。
我们根据上面画出客户端发送数据包的构成图：
包长：4字节（本身）+1字节（包头）
包头：PACKET_GET_HOST_NAME_RESPONSE
包数据：主机信息数据
三、服务端数据包接送
我们的服务端程序入口首先选择自动按钮，这是因为我们通过点击这个按钮，实现了与客户端的连接
自动上线 按钮（toolstripbutton4）单击事件对应的函数 如下：
服务端首先获取了自己的IP地址和从配置文件中获取了监听端口。
List<string> ips = RSCApplication.GetLocalIPV4s();
int iServerPort = Settings.CurrentSettings.ServerPort;
最后通过Start（）函数启动了监听
RSCApplication.oRemoteControlServer.Start(ips, iServerPort);
我们进入Start（）函数
发现了socket套接字启动监听的过程，bing()、listen()和accept()
接着进入StartServerAccept(oServer);
client = server.Accept(); 等待客户端上线，每个客户端上线后，建立一个新的连接，都会单独开一个线程
创建会话对象SocketSession session = new SocketSession(client.RemoteEndPoint, client); 也就是新的连接
连接建立后，开始接收数据StartClientRecv(session)
我们进入StartClientRecv(session)
byte[] buffer = new byte[1024]; 应用程序的缓存定义为1kb
recvSize = session.SocketObj.Receive(buffer); 调用socket的receiver（）函数将接收的数据包全部复制到data字节数组中。
接下来就应该是对数据包进行处理，因为我们前面已经知道数据包并不仅仅包含包数据，还包括包长和包头。
我们进入数据包处理函数DoRecvBytes(），在这个函数中，发现数据包被传给了DecodeObject（）函数
我们接着进入DecodeObject(）函数。真正的处理数据包的函数马上就要来了，发现就是Decode（）函数。
我们进入Decode（）函数，具体的拆解数据包由如下三段代码完成。
int packetLength = BitConverter.ToInt32(packetData, 0); //从0开始，获取4字节的包长度
packetType = (ePacketType)packetData[4]; //第5个字节表示的是1字节的包头
bodyData = new byte[packetLength – 4 – 1]; //获取包数据
四、验证
我们在FromJsonBytes（）函数中将接收的包数据打印出来，发现果然是json格式的”主机信息数据”
我们把接收的包头打印出来，发现启动连接后，客户端首先会发过来一个”主机信息数据”包 ，接下来客户端不断地发送”心跳包”。
五、继续分析
接下来，服务端还需要把接收到的”主机信息数据”,显示出来，那么显示在哪里呢？我们继续分析。
我们发现数据包被处理后，被作为参数输入到PacketReceived(this, args); 那么这个函数是什么呢？
PacketReceived(this, args);是一个事件
当有数据包被处理完后，会触发PacketReceived(this, args)事件，事件触发后，调用RemoteControlServer_PacketReceived(object sender, PacketReceivedEventArgs e){}
RemoteControlServer_PacketReceived（）函数根据数据包中的包头，对数据进行不同的处理和使用。
比如对”主机信息数据”包处理，它的包头是PACKET_GET_HOST_NAME_RESPONSE，所以”主机信息数据”中的主机名数据就会显示在toolStripTextBox2框内
下图红线框就是toolStripTextBox2控件。
private System.Windows.Forms.ToolStripTextBox toolStripTextBox2;
六、结论
1）客户端和服务端的通讯数据包构成有一定的格式
2）数据包格式设计如下：
组包：包长（本身的4字节+包头1字节+包数据长度）、包头、报数据
拆包：首先获取4字节的包长 ，然后获取1字节的包头 ，最后获取（包长-4-1）的包数据长度
3）数据包通讯流程大概如下：
七 、个人看法
1 ，没发现有考虑不同cpu大小端存储的问题，因为我测试的两台机器都用的intelCPU，所以数据才能正常接收。
2、数据包明文在网络中的传输
3、 使用自定义端口，穿透力有限 。
所以此木马如果想用在实战中，还需做进一步处理。