目录
一、木马概述 (3)
1.木马的定义及特征 (3)
1.1木马的定义 (3)
1.2木马的特征 (3)
2.木马的工作原理 (4)
3.木马的分类 (5)
4.木马的功能 (6)
5.木马的工作过程 (7)
二、木马的传播方式 (8)
三、木马的清除 (9)
四、如何避免木马攻击 (9)
五、结语 (9)
六、参考文献 (10)
前言
木马技术是最常见的网络攻击手段之一，它对网络环境中计算机信息资源造成了很大的危害。文中介绍了木马程序的概念、基本原理和分类，针对常见的木马攻击方式提出了一些防范措施。
木马的危害，在于它能够远程控制你的电脑。当你成为“肉鸡”的时候，别人（控制端）就可以进入你的电脑，偷看你的文件、*密码、甚至用你的QQ发一些乱七八糟的东西给你的好友，木马大量出现，在于它有着直接的商业利益。一旦你的网上银行密码被盗，哭都来不及了。正因为如此，现在木马越繁殖越多，大有“野火烧不尽”之势。木马与病毒相互配合、相得益彰，危害越来越大。
【关键词】：木马程序、攻击手段、防范技术、木马的危害
一、木马概述
1.木马的定义及特征
1.1木马的定义
在古罗马的战争中，古罗马人利用一只巨大的木马，麻痹敌人，赢得了战役的胜利，成为一段历史佳话。而在当今的网络世界里，也有这样一种被称做木马的程序，它为自己带上伪装的面具，悄悄地潜入用户的系统，进行着不可告人的行动。
有关木马的定义有很多种，作者认为，木马是一种在远程计算机之间建立起连接，使远程计算机能够通过网络控制本地计算机的程序，它的运行遵照TCP/IP协议，由于它像间谍一样潜入用户的电脑，为其他人的攻击打开后门，与战争中的“木马”战术十分相似，因而得名木马程序。
木马程序一般由两部分组成的，分别是Server（服务）端程序和Client（客户）端程序。其中Server 端程序安装在被控制计算机上，Client端程序安装在控制计算机上，Server端程序和Client端程序建立起连接就可以实现对远程计算机的控制了。
首先，服务器端程序获得本地计算机的最高操作权限，当本地计算机连入网络后，客户端程序可以与服务器端程序直接建立起连接，并可以向服务器端程序发送各种基本的操作请求，并由服务器端程序完成这些请求，也就实现了对本地计算机的控制。
因为木马发挥作用必须要求服务器端程序和客户端程序同时存在，所以必须要求本地机器感染服务器端程序，服务器端程序是可执行程序，可以直接传播，也可以隐含在其他的可执行程序中传播，但木马本身不具备繁殖性和自动感染的功能。
1.2木马的特征
据不完全统计，目前世界上有上千种木马程序。虽然这些程序使用不同的程序设计语言进行编制，在不同的环境下运行，发挥着不同的作用，但是它们有着许多共同的特征。
（1）隐蔽性
隐蔽性是木马的首要特征。木马类软件的server端在运行时会使用各种手段隐藏自己,例如大家所熟悉的修改注册表和ini文件，以便机器在下一次启动后仍能载入木马程序。通常情况下，采用简单的按“Alt+Ctrl+Del”键是不能看见木马进程的。
还有些木马可以自定义通信端口，这样就可以使木马更加隐秘。木马还可以更改server端的图标，让它看起来象个zip或图片文件，如果用户一不小，就会让当。
（2）功能特殊性
通常，木马的功能都是十分特殊的，除了普通的文件操作以外，还有些木马具有搜索目标计算机中的口令，设置口令，扫描IP发现中招的机器，记录用户事件，远程注册表的操作，以及颠倒屏幕，锁定鼠标等功能。
（3）自动运行性
木马程序通过修改系统配置文件或注册表的方式，在目标计算机系统启动时即自动运行或加载。
（4）欺骗性
木马程序要达到其长期隐蔽的目的，就必需借助系统中已有的文件，以防被用户发现。木马程序经常使用的是常见的文件名或扩展名，如“dll\win\sys\explorer等字样，或者仿制一些不易被人区别的文件名，如字母“l”与数字“1”、字母“o”与数字“0”。还有的木马程序为了隐藏自己，把自己设置成一个ZIP文件式图标，当你一不小心打开它时，它就马上运行。木马编制者还在不断地研究、发掘欺骗的手段，花样层出不穷，让人防不胜防。
（5）自动恢复性
现在，很多的木马程序中的功能模块已不再是由单一的文件组成，而是具有多重备份，可以相互恢复。计算机一旦感染上木马程序，想单独靠删除某个文件来清除，是不太可能的。
2.木马的工作原理
特洛伊木马（其名称取自希腊神话的特洛伊木马记，以下简称木马）的英文为“Trojan Horse”，是一种基于远程控制的黑客工具程序。因此，查杀木马最关键的还是要知道木马的工作原理。
常见的普通木马一般是客户端/服务端（Client/Server,C/S）模式，客户端/服务端之间采用TCP/UDP的通信方式，攻击者控制的相应的客户端程序，服务端程序是木马程序，木马程序被植入到毫不知情的用户的计算机中。以“里应外和”的工作方式，服务端通过打开特定的端口并进行监听，这些端口好像“后门”一样，所以，也有人把特洛伊木马叫做后门工具。攻击者所掌握的客户端程序向该端口发出请求（Connect Request），木马便与其连接起来。攻击者可以使用控制器进入计算机，通过客户端程序
命令达到控制服务器端的目的。这类木马的一般工作模式如下图所示。
3.木马的分类
根据木马程序对计算机的具体动作方式，可以把现在存在的木马程序分为以下的几类。
1、远程访问型木马
远程访问型木马是现在最广泛的特洛伊木马。这种木马起着远程控制的功能，用起来非常简单，只需一些人运行服务端程序，同时获得他们的IP地址，控制者就能任意访问被控制端的计算机。这种木马可以使远程控制者在本地机器上做任意的事情，比如键盘记录、上传和下载功能、发射一个“截取屏幕”等等。这种类型的木马有著名的BO （Back Office）、国产的冰河等。
2、密码发送型木马
密码发送型木马的目的是找到所有的隐藏密码，并且在受害者不知道的情况下把它们发送到指定的信箱。大多数的这类木马程序不会在每次Windows重启时都自动加载，它们大多数使用25端口发送电子邮件。
3、键盘记录型木马
键盘记录型木马是非常简单的，它们只做一种事情，就是记录受害者的键盘敲击，并且在LOG文件里做完整的记录。这种木马程序随着Windows的启动而启动，知道受害者在线并且记录每一个用户事件，然后通过邮件或其他方式发送给控制者。
4、毁坏型木马
大部分木马程序只窃取信息，不做破坏性的事件，但毁坏型木马却以毁坏并且删除文件为己任。它们可以自动地删除受控制者计算机上所有的.dll或.ini或.exe文件，甚至远程格式化受害者硬盘。毁坏型木马的危害很大，一旦计算机被感染而没有即时删除，系统中的信息会在顷刻间“灰飞烟灭”。
5、FTP型木马
FTP型木马打开被控制计算机的21端口（FTP所使用的默认端口），使每一个人都可以用一个FTP 客户端程序来不用密码连接到受控制端计算机，并且可以进行最高权限的上传和下载，窃取受害者的机密文件。
6、DoS攻击木马
随着D o S 攻击越来越广泛的应用，被用作D o S 攻击的木马也越来越流行起来。当黑客入侵一台机器后，给他种上DoS 攻击木马，那么日后这台计算机就成为黑客DoS 攻击的最得力助手了。黑客控制的肉鸡数量越多，发动D o S 攻击取得成功的机率就越大。所以，这种木马的危害不是体现在被感染计算机上，而是体现在黑客利用它来攻击一台又一台计算机，给网络造成很大的伤害和带来损失。
还有一种类似DoS 的木马叫做邮件炸弹木马，一旦机器被感染，木马就会随机生成各种各样主题的信件，对特定的邮箱不停地发送邮件，一直到对方瘫痪、不能接受邮件为止。
7、反弹端口型木马
木马开发者在分析了防火墙的特性后发现：防火墙对于连入的链接往往会进行非常严格的过滤，但是对于连出的链接却疏于防范。与一般的木马相反，反弹端口型木马的服务端（被控制端）使用主动端口，客户端（控制端）使用被动端口。木马定时监测控制端的存在，发现控制端上线立即弹出端口主动连结控制端打开的被动端口；为了隐蔽起见，控制端的被动端口一般开在80，即使用户使用扫描软件检查自己的端口时，发现类似TCPUserIP:1026 Controller IP:80 ESTABLISHED 的情况，稍微疏忽一点，就会以为是自己在浏览网页，因为浏览网页都会打开80 端口的。
8、代理木马
黑客在入侵的同时掩盖自己的足迹，谨防别人发现自己的身份是非常重要的，因此，给被控制的肉鸡种上代理木马，让其变成攻击者发动攻击的跳板就是代理木马最重要的任务。通过代理木马，攻击者可以在匿名的情况下使用Telnet，ICQ，IRC 等程序，从而隐蔽自己的踪迹。
9、程序杀手木马
上面的木马功能虽然形形色色，不过到了对方机器上要发挥自己的作用，还要过防木马软件这一关才行。常见的防木马软件有ZoneAlarm,Norton Anti-Virus 等。程序杀手木马的功能就是关闭对方机器上运行的这类程序，让其他的木马更好地发挥作用
4.木马的功能
木马程序的危害是十分大的，它能使远程用户获得本地机器的最高操作权限，通过网络对本地计算机进行任意的操作，比如删添程序、锁定注册表、获取用户保密信息、远程关机等。木马使用户的电脑完全暴露在网络环境之中，成为别人操纵的对象。
就目前出现的木马来看，大致具有以下功能：
1、自动搜索已中木马的计算机；
2、对对方资源管理，复制文件、删除文件、查看文件内容、上传文件、下载文件等；
3、远程运行程序；
4、跟踪监视对方屏幕；
5、直接屏幕鼠标控制，键盘输入控制；
6、监视对方任务且可以中止对方任务；
7、锁定鼠标、键盘和屏幕；
8、远程重新启动计算机、关机；
9、记录、监视按键顺序、系统信息等一切操作；
10、随意修改注册表；
11、共享被控制端的硬盘；
12、乱屏等耍弄人操作。
5.木马的工作过程
1. 配置木马
一般来说，一个设计成熟的木马都有木马配置程序，从具体的配置内容看，主要是为了实现以下两个功能。
（1）木马伪装。木马配置程序为了在服务器端尽可能隐藏好，会采用多种伪装手段，如修改图标、捆绑文件、定制端口、自我销毁等。
（2）信息反馈。木马配置程序会根据信息反馈的方式或地址进行设置，如设置信息反馈的邮件地址、IRC号、ICQ号等。
2. 传播木马
配置好木马后，就要传播过去。木马的传播方式主要有：控制端通过E-mail将木马程序以附件的形式夹在邮件中发送出去，收信人只要打开附件就会感染木马；软件下载，一些非正规的网站以提供软件下载为名义，将木马捆绑在软件安装程序上，下载后，只要运行这些程序，木马就会自动安装；通过QQ等通信软件进行传播；通过病毒的夹带把木马传播出去。
3. 启动木马
木马程序传播给对方后，接下来是启动木马。一种方式是被动地等待木马或捆绑木马的程序被主动运行，这是最简单的木马。大多数首先将自身复制到Windows的系统文件夹中（C:\WINNT,C:\WINNT\system32或C:\WINNT\temp目录下），然后写入注册表启动组，非启动组中设置好木马的触发条件，这样木马的安装就完成了。一般系统重新启动
时木马就可以启动，然后木马打开端口，等待连接。
4.建立连接
一个木马连接的建立必须满足两个条件：一是服务器端已安装了木马程序；二是控制端、服务器端都要在线。在此基础上控制端可以通过木马端口与服务器端建立连接。控制端可以根据提前配置的服务器地址、定制端口来建立连接；或者是用扫描器，根据扫描结果中检测哪些计算机的某个端口开放，从而知道该计算机里某类木马的服务器端在运行，然后建立连接；或者根据服务器端主动发回来的信息知道服务器端的地址、端口，然后建立连接。
5.远程控制
前面的步骤完成之后，就是最后的目的阶段，对服务器端进行远程控制，实现窃取密码、文件操作、修改注册表、锁住服务器端以及系统操作等。
二、木马的传播方式
⒈系统漏洞
一个新安装的系统在没有安装任何系统补丁和防火墙程序时,它遭受木马种植的危险机率非常大.众所周知,Windows系统的漏洞非常多,即使你不做任何事只要系统连接上了网络,黑客们就可以通过网络扫描程序来找到你的电脑,然后再通过系统漏洞直接进入你的电脑,然后在你的系统中偷偷安装上木马程序,让你在不知不觉间就中了招,成为了别人的肉鸡.
⒉文件捆绑
这是黑客种植木马最常用的手段之一.将木马程序捆绑在正常的程序或文件中,当别人下载并运行后,被捆绑木马的程序和文件可以正常运行,但在运行过程中,木马程序也已经悄悄运行了,这起到了很好的迷惑作用.黑客通常会将木马程序捆绑到一个广为传播的热门软件上来诱使他人下载,并把它放到下载网站或网站论坛中使其在网络上传播.
⒊文件伪装
将木马程序伪装成其它文件是黑客种植木马最简单也是最常用的手段.比如修改木马程序的图标,文件名或后缀名,使它看起来与另外一个正常文件别无二样,而且为了让人容易接受,常常会伪装成热门文件来诱使对方打开.伪装木马最常用的传播方式就是通过电子邮件和QQ等即时通讯软件来传播.很多朋友对电子邮件的附件或QQ好友发送的文件会毫不犹豫的点击接受,就这样因为一时粗心大意中了木马.有的黑客在第一次发送伪装的木马程序给对方后,如果对方运行后发现有疑问时,他就会解释说程序坏了或是发错了,然后重新发送正常的程序给对方来消除对方的疑虑,而此时木马程序已经在运行了.
⒋网页木马
网页木马是通过网页浏览传播的一种木马种植方式,此方法非常隐蔽,常常让人在不
知不觉间中招.黑客会将制作好的木马程序放到网页中,当人们在浏览这些网页时,木马程序会通过系统或软件的漏洞自动安装,或是以浏览该网页必须的插件等名义诱骗用户点击安装等等。方式偷偷进驻到别人的电脑中,让人防不胜防.
三、木马的清除
四、如何避免木马攻击
避免木马攻击需要技术支持和较强的安全意识和良好的操作习惯。
1，个人感觉要安全上完。首先要找一个优秀的杀毒软件，安装防火墙
2.保持良好的个人上网习惯。
3.对系统有一定的认识。可辨别正常的系统进程和服务（专业杀毒软件在使用的时候有这个选择。比如卡巴kis 带防火墙）
4.经常的清理系统残余垃圾信息。
5.不要在网站上随便透露个人信息
五、结语
通过本次实验，我们发现学到了不少新的知识，了解到了木马工作的原理和工作过程。木马技术涉及的知识方面十分广泛，要深入的了解木马技术，掌握木马的工作原理和防范方法，不但要对网络知识十分熟悉，还要掌握每一方面的知识，通过大量的实验和实践，不断学习新的知识，提高自己的网络安全技术的意识。
六、参考文献
实验四木马的攻击与防范 1.实验目的 通过对木马的练习，使读者理解和掌握木马传播和运行的机制；通过手动删除木马，掌握检查木马和删除木马的技巧，学会防御木马的相关知识，加深对木马的安全防范意识。 2.实验原理 “木马”与计算机网络中常常要用到的远程控制软件有些相似，但由于远程控制软件是“善意”的控制，因此通常不具有隐蔽性；“木马”则完全相反，木马要达到的是“偷窃”性的远程控制，如果没有很强的隐蔽性的话，那就是“毫无价值”的。 它是指通过一段特定的程序（木马程序）来控制另一台计算机。木马通常有两个可执行程序：一个是客户端，即控制端；另一个是服务端，即被控制端。植入被种者电脑的是“服务器”部分，而所谓的“黑客”正是利用“控制器”进入运行了“服务器”的电脑。运行了木马程序的“服务器”以后，被种者的电脑就会有一个或几个端口被打开，使黑客可以利用这些打开的端口进入电脑系统，安全和个人隐私也就全无保障了！木马的设计者为了防止木马被发现，而采用多种手段隐藏木马。木马的服务一旦运行并被控制端连接，其控制端将享有服务端的大部分操作权限，例如给计算机增加口令，浏览、移动、复制、删除文件，修改注册表，更改计算机配置等。 1>.入侵原理 一个完整的特洛伊木马套装程序含了两部分：服务端（服务器部分）
和客户端（控制器部分）。植入对方电脑的是服务端，而黑客正是利用客户端进入运行了服务端的电脑。运行了木马程序的服务端以后，会产生一个有着容易迷惑用户的名称的进程，暗中打开端口，向指定地点发送数据（如网络游戏的密码，即时通信软件密码和用户上网密码等），黑客甚至可以利用这些打开的端口进入电脑系统。 特洛伊木马程序不能自动操作，一个特洛伊木马程序是包含或者安装一个存心不良的程序的，它可能看起来是有用或者有趣的计划（或者至少无害）对一不怀疑的用户来说，但是实际上有害当它被运行。特洛伊木马不会自动运行，它是暗含在某些用户感兴趣的文档中，用户下载时附带的。当用户运行文档程序时，特洛伊木马才会运行，信息或文档才会被破坏和遗失。特洛伊木马和后门不一样，后门指隐藏在程序中的秘密功能，通常是程序设计者为了能在日后随意进入系统而设置的。 3.实验环境 两台运行windows2000/XP的计算机，通过网络连接，使用“冰河”木马作为练习工具。 4.实验内容和任务 任务一“冰河”木马的使用
实验指导5 木马攻击与防范实验 1.实验目的 理解和掌握木马传播和运行的机制，掌握检查和删除木马的技巧，学会防御木马的相关知识，加深对木马的安全防范意识。 2.预备知识 2.1木马及木马技术的介绍 （1）木马概念介绍 很多人把木马看得很神秘，其实，木马就是在用户不知道的情况下被植入用户计算机，用来获取用户计算机上敏感信息（如用户口令，个人隐私等）或使攻击者可以远程控制用户主机的一个客户服务程序。这种客户/服务模式的原理是一台主机提供服务（服务器），另一台主机使用服务（客户机）。作为服务器的主机一般会打开一个默认的端口并进行监听（Listen），如果有客户机向服务器的这一端口提出连接请求（Connect Request），服务器上的相应守护进程就会自动运行，来应答客户机的请求。通常来说，被控制端相当于一台服务器，控制端则相当于一台客户机，被控制端为控制端提供预定的服务。 （2）木马的反弹端口技术 由于防火墙对于进入的链接往往会进行非常严格的过滤，但是对于连出的链接却疏于防范。于是，与一般的木马相反，反弹端口型木马的服务端(被控制端)使用主动端口，客户端(控制端)使用被动端口。木马定时监测控制端的存在，发现控制端上线立即弹出端口主动连结控制端打开的主动端口；为了隐蔽起见，控制端的被动端口一般开在80，这样，即使用户使用端口扫描软件检查自己的端口，发现的也是类似TCP UserIP:1026ControllerIP:80 ESTABLISHED的情况，稍微疏忽一点，你就会以为是自己在浏览网页。 （3）线程插入技术 木马程序的攻击性有了很大的加强，在进程隐藏方面，做了较大的改动，不再采用独立的EXE可执行文件形式，而是改为内核嵌入方式、远程线程插入技术、挂接PSAPI等。这样木马的攻击性和隐藏性就大大增强了。 2.2木马攻击原理 特洛伊木马是一个程序，它驻留在目标计算机里，可以随计算机自动启动并在某一端口进行侦听，在对接收的数据识别后，对目标计算机执行特定的操作。
山东华宇工学院 《网络攻击与防御》 课程教学大纲 适用专业：计算机网络工程 编制单位：网络教研室 编制日期：2017年7月20日 电子信息工程学院制
《网络攻击与防御》课程教学大纲 一、教学目标 《网络攻击与防御》通过本课程的教学，使学生能熟练掌握信息安全的基本概念、框架和技术，使学生掌握常见的信息安全技术、加密技术、防火墙技术、入侵检测与预警技术、防病毒技术、拒绝服务攻击、欺骗攻击、常见的系统漏洞等安全方面的内容。通过学习，学生能够主动构建信息安全框架，并从内容安全和管理安全的角度掌握信息安全的方法和技术。通过该课程的学习，学生可以了解到信息安全的发展现状和网络安全的各种相关技术，通过实验还可以学会有关网络安全方面的分析与设计。 二、本课程与专业人才培养目标的关系——网络工程专业 三、学时安排
课程内容与学时分配表 四、课程教学内容与基本要求 第一章信息安全概述 教学目的与要求：通过本章的学习，了解信息的概念，性质与功能会计的产生、信息技术与信息安全的关系、息安全主要事件及形势的严峻性、信息安全的含义。 主要知识点： 1.信息与信息技术概述 2.网络体系结构与协议基础 3.信息安全的重要性与严峻性 4.信息安全的目标 教学重点与难点：信息与信息技术概述、信息安全的目标 第二章攻击信息安全的行为分析 教学目的与要求：通过本章的学习，了解信息安全问题的起源及常见威胁、了解影响信息安全的人员分析、理解网络攻击的手段与步骤、熟悉常见的网络攻击技术、熟悉网络
防御与信息安全保障的相关知识。 主要知识点： 1.信息安全问题的起源和常见威胁 2.影响信息安全的人员分析 3.网络攻击的手段与步骤 4.网络攻击技术 5.网络防御与信息安全保障 教学重点与难点：网络攻击的手段与步骤、网络攻击技术 第三章信息安全体系结构 教学目的与要求：熟悉开放系统互连安全体系结构，了解安全体系框架三维图、了解信息安全技术的相关知识、了解信息安全的等级划分及认证方法。 主要知识点： 1.开放系统互连安全体系结构 2.信息安全体系框架 3.信息安全技术 4.信息安全的产品类型 5.信息系统安全等级保护与分级认证 教学重点与难点：信息安全体系框架、信息系统安全等级保护与分级认证 第四章物理安全技术 教学目的与要求：了解物理安全的定义，掌握计算机房场地环境的安全要求，掌握电源安全技术的实现方法，掌握电磁防护的常用方法，理解通信线路安全的概念和保护方法。 主要知识点： 1.物理安全概述 2.物理安全等级要求 3.设备安全技术要求 4.环境安全技术要求 5.系统物理安全技术要求 教学重点与难点：物理安全等级要求 第五章灾难备份与恢复技术 教学目的与要求：掌握灾难恢复的关键技术，熟悉灾难恢复的规划与实施，了解灾难备
摘要 随着计算机技术的发展和互联网的扩大。计算机已成为人们生活和工作中所依赖的重要工具。但与此同时，计算机病毒对计算机及网络的攻击与日俱增。而且破坏性日益严重。计算机病毒就像人类的病毒一样，目的是感染尽可能多的计算机。计算机一旦感染病毒，它就会发病。轻则冲击内存，影响运行速度，重则破坏硬盘数据、摧毁系统．甚至计算机硬件。本文全面分析“震荡波”病毒给用户带来的不便以及此病毒的症状，并提供防范方法和清除手段。 关键词：震荡波；Lsass蠕虫病毒；网络安全；网络攻击。
目录 摘要 (1) 目录 (11) 第一章绪论 (3) 1.1开发历史...................................................................................... 错误！未定义书签。 1.2病毒的简介 (2) 1.2.1宏病毒 (2) 1.2.2 CIH病毒 (3) 1.2.3蠕虫病毒 (3) 1.2.4木马病毒 (3) 第二章蠕虫的基础知识 (3) 2.1 基础知识深悉 (4) 2.2蠕虫的工作原理 (5) 第三章震荡波的工作原理及用法 (6) 3.1震荡波简介 (6) 3.2震荡波的原理 (6) 3.3震荡波的传播途径及危害 (8) 3.3.1震荡波的传播途径 (8) 3.3.2震荡波的三大危害 (8) 3.4震荡波与冲击波的对比 (9) 3.4.1背景介绍............................................................................ 错误！未定义书签。 3.4.2两大恶性病毒的四大区别10错误！未定义书签。 第四章震荡波的防御 (11) 4.1快速识别震荡波病毒 (11) 4.2清除震荡波病毒 (11) 4.3震荡波病毒的预防 (12) 第五章结束语 (13) 5.1 论文心得 (13) 5.2感谢 (13)
17 攻击性分析和防范措施 国家计算机网络应急技术处理协调中心（ＣＮＣＥＲＴ／ＣＣ） 崔 翔 陈明奇 窃密型木马 近两年，网络犯罪趋向于能够给攻击者带来直接或间接的经济利益，不同于此前以追求纯技术为目的。随着黑客技术和黑客工具的普及，网络犯罪的技术门槛降低，许多不法分子利用这些技术进行非法牟利。其中，窃密型木马（Ｔｒｏｊａｎ－ＰＳＷ）是表现尤为突出且对用户影响很大的一类安全威胁。 窃密型木马通过各种各样的方式植入用户电脑，从中搜索自己需要的资料或者直接截取用户输入的信息，记录后通过某种方式发送给攻击者，攻击者利用盗取的资料非法牟利。 窃密型木马使个人用户面临隐私信息泄漏和经济损失的危险，也给银行、证券、金融、电子商务等带来安全隐患，所以有必要重视这类木马的原理和防范措施。 如何植入用户主机 相对于蠕虫来说，木马缺乏主动传播性，木马的传播行为一般都有人参与，而且经常利用“社会工程学”的技巧，窃密型木马也不例外，其主要传播方式和途径如下： １． 利用系统漏洞直接传播 用户电脑本身存在漏洞，如操作系统漏洞或者是ＩＥ浏览器漏洞等，都可以被不法分子利用，直接将木马程序复制或者下载到用户电脑并运行。 ２． 利用蠕虫或僵尸网络传播 自２００１年红色代码蠕虫出现以后，很多蠕虫感染用户主机后，会从某些服务器下载木马，对用户主机实施进一步控制。同样，感染僵尸程序的主机下载木马运行也很常见。 ３． 利用即时聊天工具诱惑传播 木马通过发送一段具有诱惑性内容的消息，附带一个链接，诱使用户点击访问。一旦访问，就会自动将木马程序下载到用户机器并运行。 ４． 利用网站、论坛欺骗传播 木马程序所有者通常会在一些音乐网站或者知名论坛发布一些虚假消息，欺骗用户说可以获取某种利益，引诱用户使用一些小工具或者访问恶意网站地址，这其中就安放了木马程序，等待用户下载运行。 ５． 利用电子邮件传播 木马所有者发送附带木马程序的电子邮件，邮件主题通常比较吸引人，诱使用户浏览附件，从而感染木马。 主要窃取哪些信息 经统计，当前的窃密型木马窃取的重点信息包括以下７类信息： １． 银行帐号类 工商银行、交通银行、花旗银行、汇丰银行等国内外知名银行和Ｖｉｓａ、ＭａｓｔｅｒＣａｒｄ等银行卡和信用卡卡号和密码。 ２． 交易帐号类 盗取证券或股票交易系统的交易帐号和密码。 ３． 网游帐号类 随着网络游戏近几年的飞速发展，游戏玩家越来越多，游戏所制造的网上财富也日益增加，卖出玩家人物角色，或出售玩家高级装备，从而利的交易市场也出现。因此，玩家的游戏帐号和密码也成为了重要目标。 ４． 网络帐号类 通常指一些论坛或者电子邮箱的登陆帐号和密码，窃取这些帐号后，能够获得其中的有价值资源，或者冒充被盗人进 热点追踪
Computer Science and Application 计算机科学与应用, 2015, 5(12), 429-435 Published Online December 2015 in Hans. https://www.doczj.com/doc/407073863.html,/journal/csa https://www.doczj.com/doc/407073863.html,/10.12677/csa.2015.512054 Study of Trojans Detection and Prevention Technology Shaohua Wu, Yong Hu College of Electronics and Information Engineering, Sichuan University, Chengdu Sichuan Received: Dec. 5th, 2015; accepted: Dec. 25th, 2015; published: Dec. 28th, 2015 Copyright ? 2015 by authors and Hans Publishers Inc. This work is licensed under the Creative Commons Attribution International License (CC BY). https://www.doczj.com/doc/407073863.html,/licenses/by/4.0/ Abstract Based on reverse analysis of many current popular Windows’ Trojans behavior, the new technolo-gies used by Trojans were summarized, including program hidden, process hidden, communica-tion pattern and means to avoid killing. Combined with the current mainstream security software to detect the Trojan, some new technologies and opinions against the Trojan threat were present. Keywords Trojan, Masquerading Technology, Process Hidden, Communication Protocol, Avoid Killing, Trojan Detection 木马检测与防护技术的发展 吴少华，胡勇 四川大学电子信息学院，四川成都 收稿日期：2015年12月5日；录用日期：2015年12月25日；发布日期：2015年12月28日 摘要 通过对大量当前流行的windows木马程序进行逆向，分析木马在伪装技术、程序隐藏方式、进程隐藏方
第2章网络攻击与防范 练习题 1. 单项选择题 （1）在短时间内向网络中的某台服务器发送大量无效连接请求，导致合法用户暂时无法访问服务器的攻击行为是破坏了（ C ）。 A．机密性B．完整性 C．可用性D．可控性 （2）有意避开系统访问控制机制，对网络设备及资源进行非正常使用属于（ B ）。 A．破环数据完整性B．非授权访问 C．信息泄漏D．拒绝服务攻击（3）( A )利用以太网的特点，将设备网卡设置为“混杂模式”，从而能够接受到整个以太网内的网络数据信息。 A．嗅探程序B．木马程序 C．拒绝服务攻击D．缓冲区溢出攻击（4）字典攻击被用于( D )。 A．用户欺骗B．远程登录 C．网络嗅探D．破解密码 （5）ARP属于( A )协议。 A．网络层B．数据链路层 C．传输层D．以上都不是 （6）使用FTP协议进行文件下载时（ A ）。 A．包括用户名和口令在内，所有传输的数据都不会被自动加密 B．包括用户名和口令在内，所有传输的数据都会被自动加密 C．用户名和口令是加密传输的，而其它数据则以文明方式传输 D．用户名和口令是不加密传输的，其它数据则以加密传输的 （7）在下面4种病毒中，( C )可以远程控制网络中的计算机。 A．worm.Sasser.f B．Win32.CIH C．Trojan.qq3344 D．Macro.Melissa
2. 填空题 （1）在以太网中，所有的通信都是____广播____________的。 （2）网卡一般有4种接收模式：单播、_____组播___________、_______广播_________、______混杂__________。 （3）Sniffer的中文意思是_____嗅探器___________。 （4）____DDoS____________攻击是指故意攻击网络协议实现的缺陷，或直接通过野蛮手段耗尽被攻击对象的资源，目的是让目标计算机或网络无法提供正常的服务或资源访问，使目标系统服务系统停止响应甚至崩溃， （5）完整的木马程序一般由两个部分组成：一个是服务器程序，一个是控制器程序。中了木马就是指安装了木马的_______服务器端_________程序。 3. 综合应用题 木马发作时，计算机网络连接正常却无法打开网页。由于ARP木马发出大量欺骗数据包，导致网络用户上网不稳定，甚至网络短时瘫痪。根据要求，回答问题1至问题4，并把答案填入下表对应的位置。 【问题1】 ARP木马利用（1）协议设计之初没有任何验证功能这一漏洞而实施破坏。 （1）A．ICMP B．RARP C．ARP D．以上都是 【问题2】 在以太网中，源主机以（2）方式向网络发送含有目的主机IP地址的ARP请求包；目的主机或另一个代表该主机的系统，以（3）方式返回一个含有目的主机IP地址及其MAC 地址对的应答包。源主机将这个地址对缓存起来，以节约不必要的ARP通信开销。ARP协议（4）必须在接收到ARP请求后才可以发送应答包。 备选答案： （2）A．单播B．多播C．广播D．任意播 （3）A．单播B．多播C．广播D．任意
《网络攻击与防御》复习题 一、判断题 1.防火墙构架于内部网与外部网之间，是一套独立的硬件系统。（×） 2.非法访问一旦突破数据包过滤型防火墙，即可对主机上的软件和配置漏洞进行攻击。（×） 3. GIF和JPG格式的文件不会感染病毒。（×） 4.发现木马，首先要在计算机的后台关掉其程序的运行。（√） 5.公钥证书是不能在网络上公开的，否则其他人可能假冒身份或伪造数字签名。（×） 6.复合型防火墙防火墙是内部网与外部网的隔离点，起着监视和隔绝应用层通信流的作用，同时也常结合过滤器的功能。（√） 7.只是从被感染磁盘上复制文件到硬盘上并不运行其中的可执行文件不会使系统感染病毒。（×） 8.入侵检测被认为是防火墙之后的第二道安全闸门，它在不影响网络性能的情况下对网络进行监测，仅提供对外部攻击的实时保护。（×） 二、单选题 1．黑客窃听属于（B）风险。 A.信息存储安全 B.信息传输安全 C.信息访问安全 D.以上都不正确 2．通过非直接技术攻击称作（B）攻击手法 A.会话劫持 B.社会工程学 C.特权提升 D.应用层攻击 3．拒绝服务攻击（A）。 A.用超出被攻击目标处理能力的海量数据包水泵可用系统、带宽资源等方法的攻击 B.全称是Distributed Denial of Service C.拒绝来自一个服务器所发送回应请求的指令 D.入侵控制一个服务器后远程关机 4．下列叙述中正确的是（D）。 A.计算机病毒只感染可执行文件 B.计算机病毒只感染文本文件 C.计算机病毒只能通过软件复制的方式进行传播 D.计算机病毒可以通过读写磁盘或网络等方式进行传播 5．数字签名技术是公开密钥算法的一个典型应用，在发送端，采用（B）对要发送的信息进行数字签名。 A.发送者的公钥 B.发送者的私钥 C.接收者的公钥 D.接收者的私钥 6．数字证书采用公钥体制时，每个用户庙宇一把公钥，由本人公开，用其进行（A）。 A.加密和验证签名 B.解密和签名 C.加密 D.解密 7．对企业网络最大的威胁是（ D ）。 A. 黑客攻击 B. 外国政府 C. 竞争对手 D. 内部员工的恶意攻击
目录 一、木马概述 (3) 1.木马的定义及特征 (3) 1.1木马的定义 (3) 1.2木马的特征 (3) 2.木马的工作原理 (4) 3.木马的分类 (5) 4.木马的功能 (6) 5.木马的工作过程 (7) 二、木马的传播方式 (8) 三、木马的清除 (9) 四、如何避免木马攻击 (9) 五、结语 (9) 六、参考文献 (10)
前言 木马技术是最常见的网络攻击手段之一，它对网络环境中计算机信息资源造成了很大的危害。文中介绍了木马程序的概念、基本原理和分类，针对常见的木马攻击方式提出了一些防范措施。 木马的危害，在于它能够远程控制你的电脑。当你成为“肉鸡”的时候，别人（控制端）就可以进入你的电脑，偷看你的文件、*密码、甚至用你的QQ发一些乱七八糟的东西给你的好友，木马大量出现，在于它有着直接的商业利益。一旦你的网上银行密码被盗，哭都来不及了。正因为如此，现在木马越繁殖越多，大有“野火烧不尽”之势。木马与病毒相互配合、相得益彰，危害越来越大。 【关键词】：木马程序、攻击手段、防范技术、木马的危害
一、木马概述 1.木马的定义及特征 1.1木马的定义 在古罗马的战争中，古罗马人利用一只巨大的木马，麻痹敌人，赢得了战役的胜利，成为一段历史佳话。而在当今的网络世界里，也有这样一种被称做木马的程序，它为自己带上伪装的面具，悄悄地潜入用户的系统，进行着不可告人的行动。 有关木马的定义有很多种，作者认为，木马是一种在远程计算机之间建立起连接，使远程计算机能够通过网络控制本地计算机的程序，它的运行遵照TCP/IP协议，由于它像间谍一样潜入用户的电脑，为其他人的攻击打开后门，与战争中的“木马”战术十分相似，因而得名木马程序。 木马程序一般由两部分组成的，分别是Server（服务）端程序和Client（客户）端程序。其中Server 端程序安装在被控制计算机上，Client端程序安装在控制计算机上，Server端程序和Client端程序建立起连接就可以实现对远程计算机的控制了。 首先，服务器端程序获得本地计算机的最高操作权限，当本地计算机连入网络后，客户端程序可以与服务器端程序直接建立起连接，并可以向服务器端程序发送各种基本的操作请求，并由服务器端程序完成这些请求，也就实现了对本地计算机的控制。 因为木马发挥作用必须要求服务器端程序和客户端程序同时存在，所以必须要求本地机器感染服务器端程序，服务器端程序是可执行程序，可以直接传播，也可以隐含在其他的可执行程序中传播，但木马本身不具备繁殖性和自动感染的功能。 1.2木马的特征 据不完全统计，目前世界上有上千种木马程序。虽然这些程序使用不同的程序设计语言进行编制，在不同的环境下运行，发挥着不同的作用，但是它们有着许多共同的特征。 （1）隐蔽性
黑客攻击与防范技术 目录 摘要 ........................................................................................................................................... - 2 - 绪论 ........................................................................................................................................... - 3 - 1.认识黑客................................................................................................................................... - 4 - 1.1黑客是什么.................................................................................................................... - 4 - 1.2黑客的分类.................................................................................................................... - 5 - 2.黑客攻击的常见方法............................................................................................................... - 6 - 2.1 木马............................................................................................................................... - 6 - 2.2 协议欺骗....................................................................................................................... - 7 - 2.3 口令攻击....................................................................................................................... - 7 - 3.黑客攻击的预防措施............................................................................................................... - 8 - 3.1隐藏IP ........................................................................................................................... - 8 - 3.2邮件自动回复功能需谨慎使用.................................................................................... - 8 - 3.3防止垃圾邮件................................................................................................................ - 9 - 4.黑客技术的应用思考............................................................................................................... - 9 - 总结 ........................................................................................................................................... - 10 - 参考文献.................................................................................................................................... - 11 -
《网络攻击与防御》课程教学大纲 一、课程说明 二、课程的地位及作用 《网络攻击与防御》课程是网络工程本科专业四年级第一学期开设的一门专业方向课程，共32学时。 随着计算机技术和网络通信技术的飞速发展，Internet的规模正在不断增长。Internet的迅猛发展不仅带动了信息产业和国民经济的快速增长，也为企业的发展带来了勃勃生机，但随着计算机网络的广泛应用，与 Internet 有关的安全事件也越来越多，安全问题日益突出，各种计算机犯罪层出不穷，越来越多的组织开始利用Internet 处理和传输敏感数据，Internet 上也到处传播和蔓延入侵方法与脚本程序，使得连入 Internet 的任何系统都处于将被攻击的风险之中。因此如何保障网络与信息资源的安全就一直是人们关注的焦点，如何对各种网络攻击手段进行检测和预防，是计算机安全中的重中之重。 面对严峻的网络安全形势，国家明确提出要大力加强信息安全专门人才的培养，以满足社会对信息安全专门人才日益增长的需求，目前大多数高等院校都陆续开设了信息安全方面的课程，了解和掌握网络攻防知识具有重要的现实意义。一方面，研究网络攻击，是因为网络安全防范不仅要从正面去进行防御，还要从反面入手，从攻击者的角度设计更坚固的安全保障系统。另一方面，攻击方法的不断演进，防范措施也必须与时俱进。随着网络安全新技术的出现，有助于加强传统安全技术的防御功能，提升网络安全的等级。 三、课程教学目标 本课程从原理与应用两个角度掌握网络攻击与防御技术，通过实践使学生进一步理解网络攻击与防御的基本理论、方法、技术和基本知识。通过本课程教学，学习者应达到下列教学目标： 1.了解和掌握现代各种网络攻击与防御技术和主要发展方向，掌握网络攻击与防御的基本思想、基本概念与分析方法；
10计科罗国民 201030457115 网络安全与维护实验报告 实验四：木马攻击与防范 一、实验目的 通过对木马的练习，使读者理解和掌握木马传播和运行的机制；通过手动删除木马，掌握检查木马和删除木马的技巧，学会防御木马的相关知识，加深对木马的安全防范意识。 二、实验要求 通过实验了解木马攻击的原理，了解如何防范木马的入侵。 三、实验原理及内容 木马是隐藏在正常程序中的具有特殊功能的恶意代码，是具备破坏、删除和修改文件、发送密码、记录键盘、实施DOS攻击甚至完全控制计算机等特殊功能的后门程序。它隐藏在目标的计算机里，可以随计算机自动启动并在某一端口监听来自控制端的控制信息。 1、木马的特性 木马程序为了实现某特殊功能，一般应该具有以下性质： （1）伪装性: 程序把自己的服务器端伪装成合法程序，并且诱惑被攻击者执行，使木马代码会在未经授权的情况下装载到系统中并开始运行。 （2）隐藏性：木马程序同病毒一样，不会暴露在系统进程管理器内，也不会让使用者察觉到木马的存在，它的所有动作都是伴随其它程序进行的，因此在一般情况下使用者很难发现系统中有木马的存在。 （3）破坏性：通过远程控制，攻击者可以通过木马程序对系统中的文件进行删除、编辑操作，还可以进行诸如格式化硬盘、改变系统启动参数等个性破坏操作。 （4）窃密性：木马程序最大的特点就是可以窥视被入侵计算机上的所有资料，这不仅包括硬盘上的文件，还包括显示器画面、使用者在操作电脑过程中在硬盘上输入的所有命令等。 2、木马的入侵途径 木马入侵的主要途径是通过一定的欺骗方法，如更改图标、把木马文件与普通文件合并，欺骗被攻击者下载并执行做了手脚的木马程序，就会把木马安装到被攻击者的计算机中。木马也可以通过Script、ActiveX及ASP、CGI交互脚本的方式入侵，由于微软的浏览器在执行Script脚本上存在一些漏洞，攻击者可以利用这些漏洞又到上网者单击网页，这样IE浏览器就会自动执行脚本，实现木马的下载和安装。木马还可以利用系统的一些漏洞入侵，如微软的IIS 服务存在多种溢出漏洞，通过缓冲区溢出攻击程序造成IIS服务器溢出，获得控制权县，然后在被攻的服务器上安装并运行木马。 3、木马的种类 （1）按照木马的发展历程，可以分为四个阶段：第一代木马是伪装型病毒，将病毒伪装成一合法的程序让用户运行。第二代木马是网络传播型木马，它具备伪装
实验 1 木马攻击与防范 一、实验目的 通过对木马的练习，使读者理解和掌握木马传播和运行的机制；通过手动删除木马，掌握检查木马和删除木马的技巧，学会防御木马的相关知识，加深对木马的安全防范意识。 二、实验原理 木马的全称为特洛伊木马，源自古希腊神话。木马是隐藏在正常程序中的具有特殊功能的恶意代码，是具备破坏、删除和修改文件、发送密码、记录键盘、实施DoS 攻击甚至完全控制 计算机等特殊功能的后门程序。它隐藏在目标计算机里，可以随计算机自动启动并在某一端口监听来自控制端的控制信息。 1．木马的特性 木马程序为了实现其特殊功能，一般应该具有以下性质： (1) 伪装性：程序将自己的服务器端伪装成合法程序，并且诱惑被攻击者执行，使木马代码会在未经授权的情况下装载到系统中并开始运行。 (2) 隐藏性：木马程序同病毒程序一样，不会暴露在系统进程管理器内，也不会让使用者察觉到木马的存在，它的所有动作都是伴随其它程序进行的，因此在一般情况下使用者很难发现系统中有木马的存在。 (3) 破坏性：通过远程控制，攻击者可以通过木马程序对系统中的文件进行删除、编辑操作，还可以进行诸如格式化硬盘、改变系统启动参数等恶性破坏操作。 (4) 窃密性：木马程序最大的特点就是可以窥视被入侵计算机上的所有资料，这不仅包括硬盘上的文件，还包括显示器画面、使用者在操作电脑过程中在硬盘上输入的所有命令等。 2．木马的入侵途径木马入侵的主要途径是通过一定的欺骗方法，如更改图标、把木马文件与普通文件合并，欺骗被攻击者下载并执行做了手脚的木马程序，就会把木马安装到被攻击者的计算机中。木马也可以通过Script 'ActiveX及ASRCGI交互脚本的方式入侵，由于微软的浏览器在执行Script 脚本上存在一些漏洞，攻击者可以利用这些漏洞诱导上网者单击网页，这样IE 浏览器就会自动执行脚本，实现木马的下载和安装。木马还可以利用系统的一些漏洞入侵，如微软的IIS 服务器存在多种溢出漏洞，通过缓冲区溢出攻击程序造成IIS 服务器溢出，获得控制权限，然后在被攻击的服务器上安装并运行木马。 3．木马的种类 (1) 按照木马的发展历程，可以分为4 个阶段：第1 代木马是伪装型病毒，将病毒伪装成一 个合法的程序让用户运行，例如1986年的PC-Write 木马；第 2 代木马是网络传播型木马，它具备伪装和传播两种功能，可以进行密码窃取、远程控制，例如B02000和冰河木马；第3代木 马在连接方式上有了改进，利用了端口反弹技术，例如灰鸽子木马；第 4 代木马在进程隐藏方面做了较大改动，让木马服务器端运行时没有进程，网络操作插入到系统进程或者应用进程中完成，例如广外男生木马。 (2) 按照功能分类，木马又可以分为：破坏型木马，主要功能是破坏并删除文件；密码发送 型木马，它可以找到密码并发送到指定的邮箱中；服务型木马，它通过启动FTP服务或者建立 共享目录，使黑客可以连接并下载文件；DoS攻击型木马，它将作为被黑客控制的肉鸡实施DoS 攻击；代理型木马，可使被入侵的计算机做为黑客发起攻击的跳板；远程控制型木马，可以使攻击者利用客户端软件进行完全控制。 4．木马的工作原理下面简单介绍一下木马的传统连接技术、反弹端口技术和线程插入技术。
贵州大信息安全原理与技术实验报告 学院：计算机学院专业：信息安全班级：信息121
g）关闭所有磁盘的自动播放功能，避免带毒优盘，移动硬盘的感染 h）经常去相关安全网站了解新出的木马，做到有所预防。 2.修改系统设置 a）把windows\system(32)\mshta.exe文件改名，将windows\command\debug.exe 和windows\command\ftp.exe都改名或者删除 b）注册表中HKEY_CURRENT_USER\Software\Microsoft\Windows\Internet Explorer\ActiveX Compatibility\下为Active Setup controls创建一个基于CLISID的新键值{6E44963_11CF_AAFA_00AA00 B6015C}，然后在新值下创建一个REG_DWORD类型的键值Compatibility{0x00000400} 3.把个人防火墙设置好安全等级，防止位置程序向外传送数据；选择安全性较高的 浏览器和电子邮件客户端软件；使用IE时，安装卡卡安全助手，防止恶意网站在自己计算机上安装不明软件和浏览器插件，以免被木马侵入。 4.“DLL木马”：dll文件是不能单独执行的，它需要一个Loder（一般为exe文件），该木马可以直接注入Loder中。 “DLL木马”防御方法：用户经常查看系统启动项（Loder）中有无多出莫名的项目，或在进程中找陌生的dll。（国外的防火墙软件tiny、SSM等对dll文件加载时附加提醒） 实验仪器安装windows 2003 sever的两台电脑（虚拟机中完成）木马程序：网络公牛、冰河、灰鸽子 实验步骤及实验内容一、网络公牛 控制端： 1.首先运行peep.exe,打开菜单"配置服务器",找到peepserver.exe打开,填写你 的IP通知
实验1 木马攻击与防范 一、实验目的 通过对木马的练习，使读者理解和掌握木马传播和运行的机制；通过手动删除木马，掌握检查木马和删除木马的技巧，学会防御木马的相关知识，加深对木马的安全防范意识。 二、实验原理 木马的全称为特洛伊木马，源自古希腊神话。木马是隐藏在正常程序中的具有特殊功能的恶意代码，是具备破坏、删除和修改文件、发送密码、记录键盘、实施DoS攻击甚至完全控制计算机等特殊功能的后门程序。它隐藏在目标计算机里，可以随计算机自动启动并在某一端口监听来自控制端的控制信息。 1．木马的特性 木马程序为了实现其特殊功能，一般应该具有以下性质： (1)伪装性：程序将自己的服务器端伪装成合法程序，并且诱惑被攻击者执行，使木马代码会在未经授权的情况下装载到系统中并开始运行。 (2)隐藏性：木马程序同病毒程序一样，不会暴露在系统进程管理器内，也不会让使用者察觉到木马的存在，它的所有动作都是伴随其它程序进行的，因此在一般情况下使用者很难发现系统中有木马的存在。 (3)破坏性：通过远程控制，攻击者可以通过木马程序对系统中的文件进行删除、编辑操作，还可以进行诸如格式化硬盘、改变系统启动参数等恶性破坏操作。 (4)窃密性：木马程序最大的特点就是可以窥视被入侵计算机上的所有资料，这不仅包括硬盘上的文件，还包括显示器画面、使用者在操作电脑过程中在硬盘上输入的所有命令等。 2．木马的入侵途径 木马入侵的主要途径是通过一定的欺骗方法，如更改图标、把木马文件与普通文件合并，欺骗被攻击者下载并执行做了手脚的木马程序，就会把木马安装到被攻击者的计算机中。木马也可以通过Script、ActiveX及ASP、CGI交互脚本的方式入侵，由于微软的浏览器在执行Script 脚本上存在一些漏洞，攻击者可以利用这些漏洞诱导上网者单击网页，这样IE浏览器就会自动执行脚本，实现木马的下载和安装。木马还可以利用系统的一些漏洞入侵，如微软的IIS服务器存在多种溢出漏洞，通过缓冲区溢出攻击程序造成IIS服务器溢出，获得控制权限，然后在被攻击的服务器上安装并运行木马。 3．木马的种类 (1)按照木马的发展历程，可以分为4个阶段：第1代木马是伪装型病毒，将病毒伪装成一个合法的程序让用户运行，例如1986年的PC-Write木马；第2代木马是网络传播型木马，它具备伪装和传播两种功能，可以进行密码窃取、远程控制，例如B02000和冰河木马；第3代木马在连接方式上有了改进，利用了端口反弹技术，例如灰鸽子木马；第4代木马在进程隐藏方面做了较大改动，让木马服务器端运行时没有进程，网络操作插入到系统进程或者应用进程中完成，例如广外男生木马。 (2)按照功能分类，木马又可以分为：破坏型木马，主要功能是破坏并删除文件；密码发送型木马，它可以找到密码并发送到指定的邮箱中；服务型木马，它通过启动FTP服务或者建立共享目录，使黑客可以连接并下载文件；DoS攻击型木马，它将作为被黑客控制的肉鸡实施DoS 攻击；代理型木马，可使被入侵的计算机做为黑客发起攻击的跳板；远程控制型木马，可以使攻击者利用客户端软件进行完全控制。 4．木马的工作原理 下面简单介绍一下木马的传统连接技术、反弹端口技术和线程插入技术。
网络安全 项目实战报告 2012年5月9日 目录 目录 论文摘要 (2) 一、网络现状分析 ............................................................ 错误！未定义书签。 二、木马病毒的危害........................................................... 错误！未定义书签。 三、冰河木马的具体功能………………………………………………………………………… 四、模拟实验过程 .............................................................. 错误！未定义书签。 4.1环境配置 (4) 4.2实验过程 (5) 4.3删除冰河木马程序文件.......................................... 错误！未定义书签。 五、冰河木马的防御 (17) 六、结论 (20)
论文摘要 “计算机病毒”最早是由美国计算机病毒研究专家F.Cohen博士提出的。“计算机病毒”有很多种定义，国外最流行的定义为：计算机病毒，是一段附着在其他程序上的可以实现自我繁殖的程序代码。在《中华人民共和国计算机信息系统安全保护条例》中的定义为：“计算机病毒是指编制或者在计算机程序中插入的破坏计算机功能或者数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码”。 随着当今社会的发展和科技的日益进步，网络安全问题已成为信息时代人类共同面临的挑战，国内的网络安全问题也日益突出.具体表现为：计算机系统受病毒感染和破坏的情况相当严重；电脑黑客活动已形成重要威胁；信息基础设施面临网络安全的挑战；信息系统在预测、反应、防范和恢复能力方面存在许多薄弱环节；网络政治颠覆活动频繁.因此，黑客软件显得更是火热。在众多黑客软件中“灰鸽子”无疑是其中的佼佼者. 冰河木马开发于1999年，在设计之初，开发者的本意是编写一个功能强大的远程控制软件。但一经推出，就依靠其强大的功能成为了黑客们发动入侵的工具，并结束了国外木马一统天下的局面，成为国产木马的标志和代名词，在2006年之前，冰河在国内一直是不可动摇的领军木马，在国内没用过冰河的人等于没用过木马，由此可见冰河木马在国内的影响力之巨大。 一、网络现状分析 近年来随着Internet的飞速发展，计算机网络的资源共享进一步加强，随之而来的信息安全问题日益突出。据美国FBI统计，美国每年网络安全问题所造成的经济损失高达75亿美元。而全球平均每20秒钟就发生一起Internet计算机侵入事件。在Internet/Intranet的大量应用中，Internet/Intranet安全面临着重大的挑战，事实上，资源共享和安全历来是一对矛盾。在一个开放的网络环境中，大量信息在网上流动，这为不法分子提供了攻击目标。而且计算机网络组成形式多样性、终端分布广和网络的开放性、互联性等特征更为他们提供便利。他们利用不同的攻击手段，获得访问或修改在网中流动的敏感信息，闯入用户或政府部门的计算机系统，进行窥视、窃取、篡改数据。不受时间、地点、条件限制的网络诈骗，其“低成本和高收益”又在一定程度上刺激了犯罪的增长。使得针对计算机信息系统的犯罪活动日益增多。 从人为（黑客）角度来看，常见的计算机网络安全威胁主要有：信息泄露、完整性破坏、拒绝服务、网络滥用。 信息泄露：信息泄露破坏了系统的保密性，他是指信息被透漏给非授权的实体。常见的，能够导致信息泄露的威胁有：网络监听、业务流分析、电磁、射频截获、人员的有意或无意、媒体清理、漏洞利用、授权侵犯、物理侵入、病毒、木马、后门、流氓软件、网络钓鱼。 完整性破坏：可以通过漏洞利用、物理侵犯、授权侵犯、病毒，木马，漏洞来等方式实现。