网络安全实验报告冰河木马实验

实验5：网络攻击与防范实验一、实验目的1、了解常见的木马程序进行远程控制的使用方法，掌握木马传播和运行的机制；2、掌握防范木马、检测木马以及手动删除木马的方法；二、实验环境..Windows操作系统，局域网环境，“冰河”、“灰鸽子”木马实验软件。

...实验每两个学生为一组：互相进行攻击或防范。

三、实验原理.木马是隐藏在正常程序中的具有特殊功能的恶意代码。

它可以随着计算机自动启动并在某一端口监听来自控制端的控制信息。

.. 木马的传统连接技术：一般木马都采用C/S运行模式，即分为两部分：客户端和服务器端木马程序。

当服务器端程序在目标计算机上执行后会打开一个默认端口监听，而客户端向服务器端主动提出连接请求。

木马的反弹端口技术：它的特点是使服务器端程序主动发起对外连接请求，再通过一定方式连接至木马的客户端，客户端是被动的连接。

四、实验内容和步骤任务一：练习“冰河”木马的攻击与防范..“冰河”木马采用木马的传统连接技术，包含两个文件：G_Client.exe和win32。

G_Client.exe是监控端执行程序，可以用于监控远程计算机和配置服务器，win32是被监控端后台监控程序。

打开控制端，弹出“冰河”主界面。

分组角色：学生A运行冰河木马程序的客户端，学生B运行服务器端。

步骤一，攻击方法：（1）采用IPC$漏洞入侵的方法，将冰河木马服务器端运行程序植入学生B的主机上，并使用计划任务命令使目标主机运行木马服务器端程序G_Server.exe。

（2）学生A启动G_Client.exe,利用快捷栏的添加主机按钮，将学生B主机的IP地址添加至主机列表。

（3）“确定”后，可以看到主机面上添加了学生B的主机。

单击主机名，如连接成功，则会显示服务器端主机上的盘符。

（4）尝试使用冰河客户端的控制功能对目标主机进行控制，使用口令类命令查看系统信息及口令；使用控制类命令进行捕获屏幕、发送信息、进程管理、窗口管理、鼠标控制操作；使用文件类命令进行添加目录，复制目录等操作。

实验报告一：黑客攻击方法及木马防范一、实验目的一、实验目的1、 了解常见的黑客攻击方法了解常见的黑客攻击方法2、 掌握常见的黑客软件的使用方法掌握常见的黑客软件的使用方法3、 掌握木马等恶意代码的防范方法掌握木马等恶意代码的防范方法二、实验内容二、实验内容1、 本机上构建虚拟机系统，在虚拟计算机上安装“冰河”服务器端，本地计算机中安装“冰河”客户端。

试用“冰河”的客户端控制服务器端计算机，记录试验步骤。

装“冰河”客户端。

试用“冰河”的客户端控制服务器端计算机，记录试验步骤。

2、 在安装冰河服务器端的计算机中，下载并安装“木马克星”，并对计算机扫描，记录扫描及查杀效果。

录扫描及查杀效果。

3、 使用“流光”扫描远程终端服务端口是否开放，记录开放的端口号，分析可能的入侵方法。

侵方法。

三、实验小结三、实验小结实验报告二：入侵检测及ＷＥＢ安全技术一、实验目的一、实验目的1、了解入侵检测方法、了解入侵检测方法2、了解WEB 安全技术安全技术2、掌握常用入侵检测软件的使用方法、掌握常用入侵检测软件的使用方法3、掌握服务器的安全配置方法、掌握服务器的安全配置方法二、实验内容二、实验内容1、Snort Snort 的使用的使用的使用1.1、在网站上下载Snort Snort，并安装，并安装，并安装1.2、Snort Snort 探测规则的设置探测规则的设置探测规则的设置1.3、Snort Snort 的使用的使用的使用1.4、练习Snort 的不同运行模式的不同运行模式1.5、Snort 的日志分析的日志分析2、Web 安全技术安全技术2.1.1.配置配置Windows 2000 Server 的帐号、端口、的帐号、端口、IIS IIS IIS、安全日志、目录和文件权限等。

、安全日志、目录和文件权限等。

2.2.2.配置配置Windows 2000 NT 系统的安全。

系统的安全。

2.3.3.配置拥护管理的安全。

配置拥护管理的安全。

实验二木马攻击与防范一、实验目的铜鼓对木马的练习，是人们掌握木马传播和运行的机制，通过对木马的手动删除，掌握检查和删除木马的技巧，学会防御木马的相关知识，加深对木马的防范意识。

二、实验原理1、木马是隐藏在正常程序中的具有特殊功能的恶意代码，是具备破坏、删除和修改文件、发送密码、记录键盘、实施Dos攻击甚至完全控制计算机等特殊功能的后门程序。

它隐藏在目标计算机里，可以随计算机的启动而自己启动并在某一端口监听来自监控端的控制信息。

2、木马工作原理是：一般木马都采用C/S运行模式，因此它分为两部分，即客户端和服务端木马程序，原理是，当服务器端程序在目标计算机上被执行后，一般会打开一个默认的端口进行监听，当客户端向服务器端主动提出链接请求，服务器端的木马程序就会自动运行，来应答客户端的请求，从而建立连接。

三、实验环境两台联网的win7计算机，和木马工具。

四、实验内容和步骤1、冰河木马的使用（使用冰河木马对远程计算机进行控制）我们在一台主机上植入木马，在此主机上运行G_server,作为服务器端；在另一台主机上运行G_client,作为控制端。

（1）、添加目标主机打开控制端程序如下图，单击“添加主机”按钮如下。

添加相应信息（注意访问口令必须为空）后单击确定，如果添加成功，点击主机名则会出现主机的盘名，如下图所示监控目标主机的屏幕，点击会在桌面上显示目标主机的桌面信息，如下图控制目标主机屏幕，点击出现如下界面就可一远程控制目标主机通过冰河信使和目标主机通信，如下（2）、熟悉和使用命令控制台的相应命令，点击“命令控制台”显示如下命令下面熟悉各种口令的使用1）、口令类口令，展开“口令类口令”，单击“系统信息及口令”就可以查看目标主机（服务器端）的系统信息、开机口令、缓存口令等，如下图所示2）、单击“历史口令”得到如下信息：可以查看目标主机以往的使用过的口令3）单击“击键记录“得到如下信息，得到目标主机的击键记录信息后就可以分析得到目标主机的各种账号及其口令，或者其他秘密信息4）、控制类命令，单击“控制类命令”单击“捕获屏幕”得到如下图所示信息单击“发送信息”单击“进程管理”就可以通过点击“查看进程”和“终止进程”对目标主机的进程实施操作点击“窗口进程管理”得到如下信息，可以通过点击相应按钮对目标主机的屏幕实施刷新，最大化、最小化、激活、隐藏等操作。

网络后门实验报告班级：10网工三班学生姓名：谢昊天学号：1215134046实验目的和要求：1、了解网络后门的原理。

2、掌握几种后门工具的使用。

3、掌握冰河木马的使用。

实验内容与分析设计：1.远程启动Telnet服务利用工具RTCS.vbe远程开启对方主机的Telnet服务。

2.建立Web服务和Telnet服务利用工具软件Wnc.exe在对方主机上开启Web服务和Telnet 服务，其中Web服务的端口是808，Telnet服务的端口是707。

3.使用“冰河”进行远程控制“冰河”包含两个程序文件，一个是服务器端程序，另一个是客户端程序。

将服务器端程序在远程计算机上执行后，通过客户端来控制远程服务器。

写出使用“冰河”进行远程控制的具体步骤。

实验步骤与调试过程：1．远程启动Telnet服务。

2．在运行窗口中输入tlntadmn.exe命令启动本地Telnet服务。

3．在启动dos窗口中输入“4”启动本Telnet服务。

利用工具RTCS.vbe远程开启对方主机的Telnet服务。

使用命令是“cscript rtcs.vbe 172.168.174.129 administration123456 1 23”然后执行完成对反的主机的Telnet服务就开启了。

4．在dos提示符下，登陆目标主机Telnet服务，首先输入命令“Telnet 172.168. ”，输入字符“y”，进入Telnet地登录界面，此时输入主机地用户名和密码。

如果用户名和密码没有错误将进入对方的主机命令行。

5．建立Web服务和Telnet服务6．利用工具软件Wnc.exe在对方主机上开启Web服务和Telnet服务，其中Web服务的端口是808，Telnet服务的端口是707。

在对方主机命令行下执行一次Wnc.exe即可。

执行完后，利用命令“netstat -an”来查看开启的808端口和707端口。

7．此时可以下载对方任意地文件，可以到winnt/temp目录下查看对方地密码修改记录文件。

10计科罗国民 201030457115网络安全与维护实验报告实验四：木马攻击与防范一、实验目的通过对木马的练习，使读者理解和掌握木马传播和运行的机制；通过手动删除木马，掌握检查木马和删除木马的技巧，学会防御木马的相关知识，加深对木马的安全防范意识。

二、实验要求通过实验了解木马攻击的原理，了解如何防范木马的入侵。

三、实验原理及内容木马是隐藏在正常程序中的具有特殊功能的恶意代码，是具备破坏、删除和修改文件、发送密码、记录键盘、实施DOS攻击甚至完全控制计算机等特殊功能的后门程序。

它隐藏在目标的计算机里，可以随计算机自动启动并在某一端口监听来自控制端的控制信息。

1、木马的特性木马程序为了实现某特殊功能，一般应该具有以下性质：（1）伪装性: 程序把自己的服务器端伪装成合法程序，并且诱惑被攻击者执行，使木马代码会在未经授权的情况下装载到系统中并开始运行。

（2）隐藏性：木马程序同病毒一样，不会暴露在系统进程管理器内，也不会让使用者察觉到木马的存在，它的所有动作都是伴随其它程序进行的，因此在一般情况下使用者很难发现系统中有木马的存在。

（3）破坏性：通过远程控制，攻击者可以通过木马程序对系统中的文件进行删除、编辑操作，还可以进行诸如格式化硬盘、改变系统启动参数等个性破坏操作。

（4）窃密性：木马程序最大的特点就是可以窥视被入侵计算机上的所有资料，这不仅包括硬盘上的文件，还包括显示器画面、使用者在操作电脑过程中在硬盘上输入的所有命令等。

2、木马的入侵途径木马入侵的主要途径是通过一定的欺骗方法，如更改图标、把木马文件与普通文件合并，欺骗被攻击者下载并执行做了手脚的木马程序，就会把木马安装到被攻击者的计算机中。

木马也可以通过Script、ActiveX及ASP、CGI交互脚本的方式入侵，由于微软的浏览器在执行Script脚本上存在一些漏洞，攻击者可以利用这些漏洞又到上网者单击网页，这样IE浏览器就会自动执行脚本，实现木马的下载和安装。

目录简介 (1)工作原理 (1)步骤流程 (5)功能 (18)清除方法 (19)结论 (20)简介冰河木马开发于1999年，在设计之初，开发者的本意是编写一个功能强大的远程控制软件。

但一经推出，就依靠其强大的功能成为了黑客们发动入侵的工具，并结束了国外木马一统天下的局面，成为国产木马的标志和代名词。

在2006年之前，冰河在国内一直是不可动摇的领军木马，在国内没用过冰河的人等于没用过木马，由此可见冰河木马在国内的影响力之巨大。

目的：远程访问、控制。

选择：可人为制造受害者和寻找"养马场"，选择前者的基本上可省略扫描的步骤。

从一定程度上可以说冰河是最有名的木马了，就连刚接触电脑的用户也听说过它。

虽然许多杀毒软件可以查杀它，但国内仍有几十万中冰河的电脑存在！作为木马，冰河创造了最多人使用、最多人中弹的奇迹！现在网上又出现了许多的冰河变种程序，我们这里介绍的是其标准版，掌握了如何清除标准版，再来对付变种冰河就很容易了。

冰河的服务器端程序为G-server.exe，客户端程序为G-client.exe，默认连接端口为7626。

一旦运行G-server，那么该程序就会在C:/Windows/system目录下生成Kernel32.exe和sysexplr.exe，并删除自身。

Kernel32.exe在系统启动时自动加载运行，sysexplr.exe和TXT文件关联。

即使你删除了Kernel32.exe，但只要你打开TXT 文件，sysexplr.exe就会被激活，它将再次生成Kernel32.exe，于是冰河又回来了！这就是冰河屡删不止的原因。

工作原理冰河木马是用C++Builder写的，为了便于大家理解，我将用相对比较简单的VB来说明它，其中涉及到一些WinSock编程和Windows API的知识，如果你不是很了解的话，请去查阅相关的资料。

一、基础篇（揭开木马的神秘面纱）无论大家把木马看得多神秘，也无论木马能实现多么强大的功能，木马，其实质只是一个网络客户/服务程序。

实验4冰河木马实验1.实验报告如有雷同，雷同各方当次实验成绩均以0分计。

2.在规定时间内未上交实验报告的，不得以其他方式补交，当次成绩按0分计。

实验4 冰河木马实验【实验原理】作为一款流行的远程控制工具，在面世的初期，冰河就曾经以其简单的操作方法和强大的控制力令人胆寒，可以说达到了谈冰色变的地步。

若要使用冰河进行攻击，则冰河的安装（是目标主机感染冰河）是首先必须要做的。

冰河控制工具中有二个文件：G_Client.exe ，以及G_Server.exe 。

G_Client.exe 是监控端执行程序，可以用于监控远程计算机和配置服务器。

G_Server.exe 是被监控端后台监控程序（运行一次即自动安装，开机自启动，可任意改名，运行时无任何提示）。

运行G_Server.exe 后，该服务端程序直接进入内存，并把感染机的7626端口开放。

而使用冰河客户端软件（G_Client.exe ）的计算机可以对感染机进行远程控制。

冰河木马的主要功能：（1）自动跟踪目标机屏幕变化，同时可以完全模拟键盘及鼠标输入，即在同步被控端屏幕变化的同时，监控端的一切键盘及鼠标操作将反映在被控端屏幕（局域网适用）。

（2）记录各种口令信息：包括开机口令、屏保口令、各种共享资源口令及绝大多数在对话框中出现的口令信息。

（3）获取系统信息：包括计算机名、注册公司、当前用户、系统路径、操作系统版本、当前显示分辨率、物理及逻辑磁盘信息等多项系统数据。

（4）限制系统功能：包括远程关机、远程重启计算机、锁定鼠标、锁定系统热键及锁定注册表等多项功能限制。

（5）远程文件操作：包括创建、上传、下载、复制、伤处文件或目录、文件压缩、快速浏览文本文件、远程打开文件（正常方式、最小化、最大化、隐藏方式）等多项文件操作功能。

（6）注册表操作：包括对主键的浏览、增删、复制、重命名和对键值的读写等所有注册表操作功能。

（7）发送信息：以四种常用图标向被控端发送简短信息。

实验三、网络安全后门
一、实验目的：
本次实验以冰河为例，介绍黑客如何在已攻破的电脑上种植后门。

为了防止自己的入侵痕迹被对方管理员发现，黑客入侵完毕后要清除自己的入侵痕迹。

二、实验环境与设备：
安装有vmware软件的计算机。

三、实验考核：
按照实验手册的步骤，通过截图的方式完成实验报告。

四、实验步骤：
1、“冰河”的安装和使用
1．“冰河”包含两个程序文件，一个是服务器端，另一个是客户端。

“冰河”得文件列表如图所示。

2．列出客户端的主界面。

3. 将服务器程序种到对方主机之前需要对服务器程序做一些设置，比如连接端口，连接密码等。

选择菜单栏“设置”下的菜单项“配置服务器程序”。

4．在出现的对话框中选择服务器端程序g_server.exe进行配置，并填写访问服务器端程序的口令。

5．点击按钮“确定”以后，将“冰河”的服务器配置好了。

将此配置好的服务器程序拷贝到目标计算机，并在命令行下执行完g_server.exe文件以后，系统看上去没有任何反应，其实中了冰河。

6．目标主机中了冰河了，可以利用客户端程序来连接服务器端程序。

在客户端添加主机的地址信息，这里的密码是就是刚才设置的密码。

7．点击按钮“确定”以后，查看对方计算机的基本信息了，对方计算机的目录列表列出如图。

8．从图中可以看出，可以在对方计算机上进行任意的操作。

除此以外还可以查看并控制对方的屏幕等等。

冰河⽊马的使⽤⼊侵检测试验实验名称:_ 冰河⽊马的使⽤1．实验⽬的本次实验学习冰河⽊马远程控制软件的使⽤，通过实验可以了解⽊马和计算机病毒的区别，熟悉使⽤⽊马进⾏⽹络攻击的原理和⽅法。

2．实验原理⽊马程序是⽬前⽐较流⾏的病毒⽂件，与⼀般的病毒不同，它不会⾃我繁殖，也并不刻意地去感染其他⽂件，它通过将⾃⾝伪装吸引⽤户下载执⾏，向施种⽊马者提供打开被种者电脑的门户，使施种者可以任意毁坏、窃取被种者的⽂件，甚⾄远程操控被种者的电脑。

⽊马与计算机⽹络中常常要⽤到的远程控制软件有些相似，但由于远程控制软件是善意的控制，因此通常不具有隐蔽性；⽊马则完全相反，⽊马要达到的是偷窃性的远程控制。

它是指通过⼀段特定的程序（⽊马程序）来控制另⼀台计算机。

⽊马通常有两个可执⾏程序：⼀个是客户端，即控制端，另⼀个是服务端，即被控制端。

植⼊被种者电脑的是服务器部分，⽽⿊客正是利⽤控制器进⼊运⾏了服务器的电脑。

运⾏了⽊马程序的服务器以后，被种者的电脑就会有⼀个或⼏个端⼝被打开，使⿊客可以利⽤这些打开的端⼝进⼊电脑系统，安全和个⼈隐私也就全⽆保障。

⽊马的设计者为了防⽌⽊马被发现，⽽采⽤多种⼿段隐藏⽊马。

⽊马的服务⼀旦运⾏并被控制端连接，其控制端将享有服务端的⼤部分操作权限，例如给计算机增加⼝令，浏览、移动、复制、删除⽂件，修改注册表，更改计算机配置等。

随着病毒编写技术的发展，⽊马程序对⽤户的威胁越来越⼤，尤其是⼀些⽊马程序采⽤了极其狡猾的⼿段来隐蔽⾃⼰，使普通⽤户很难在中毒后发觉。

3．实验环境装有Windows 2000/XP系统的计算机，局域⽹或Internet，冰河⽊马软件（服务器和客户端）。

4. 实验步骤（⼀）、解压冰河⽊马，得到两个⽂件，其中G_Server.exe为服务器端程序，放在被攻击的主机上，g_client.exe为客户端软件，⽤于操作⽬标主机：（⼆）、在⽬标主机放置G_Server.exe后，打开g_client.exe程序，主界⾯如下图：（三）、查看本机所在⽹段：（四）、在冰河主程序中点击“⽂件-⾃动搜索”，打开如下界⾯：（五）、在“起始域”中输⼊本机所在⽹段，点击“开始搜索”：(六)、搜索完毕，结果如下：（七）、选择⼀台⽬标主机，向其D盘放置⼀个⽂件名为“冰河实验⽤”的txt⽂件：（⼋）、在⽬标主机打开D盘，查看是否拷贝成功：（九）、选择⼀个⽬标主机，点击“⽂件-屏幕控制”，成功控制：。

实验项目：冰河木马测试实验一、实验目的通过在虚拟机上的实验，测试冰河木马的功能，并通过适当的方式对冰河木马的感染及清除过程进行实验。

二、实验原理冰河控制工具中有三个文件：Readme.txt，G_Client.exe，以及G_Server.exe。

Readme.txt简单介绍冰河的使用。

G_Client.exe是监控端执行程序，可以用于监控远程计算机和配置服务器。

G_Server.exe是被监控端后台监控程序（运行一次即自动安装，开机自启动，可任意改名，运行时无任何提示）。

运行G_Server.exe后，该服务端程序直接进入内存，并把感染机的7626端口开放。

而使用冰河客户端软件（G_Client.exe）的计算机可以对感染机进行远程控制。

三、实验环境VMvare Workstation中建立的Windows2003操作系统。

四、实验内容冰河木马的感染、使用及卸载。

五、实验步骤1、冰河木马的感染将G_Server.exe文件复制到一台虚拟机中，使其运行，在另一台虚拟机中运行G_Client.exe文件，进入到冰河木马控制界面。

2、搜索计算机，找到已经感染木马的虚拟机。

3 、配置访问口令4、屏幕控制5、弹窗、发送消息6、进程控制7、冰河信使9、卸载冰河木马六、分析总结计算机木马的概念，我们都还局限在很窄的层面，通过对冰河木马的学习并使用它完成本次实验，认识到木马是怎样侵入到我们的计算机并获得所需要的信息的。

在本次实验中，我们直接将木马植入目标主机中，在现实中，我们可以通过其它途径使目标更容易感染木马，如下载运行隐藏病毒文件等。

对木马病毒的防护建议：及时下载系统补丁，修补系统漏洞；提高防范意识，不要打开陌生人的可以邮件和附件，其中可能隐藏病毒；如果电脑出现无故重启、桌面异常、速度变慢等情况，注意检查是否已中病毒；使用杀毒软件和防火墙，配置好运行规则。