下载文档原格式
实验1 木马攻击与防范一、实验目的通过对木马的练习，使读者理解和掌握木马传播和运行的机制；通过手动删除木马，掌握检查木马和删除木马的技巧，学会防御木马的相关知识，加深对木马的安全防范意识。
二、实验原理木马的全称为特洛伊木马，源自古希腊神话。
木马是隐藏在正常程序中的具有特殊功能的恶意代码，是具备破坏、删除和修改文件、发送密码、记录键盘、实施DoS攻击甚至完全控制计算机等特殊功能的后门程序。
它隐藏在目标计算机里，可以随计算机自动启动并在某一端口监听来自控制端的控制信息。
1．木马的特性木马程序为了实现其特殊功能，一般应该具有以下性质：(1)伪装性：程序将自己的服务器端伪装成合法程序，并且诱惑被攻击者执行，使木马代码会在未经授权的情况下装载到系统中并开始运行。
(2)隐藏性：木马程序同病毒程序一样，不会暴露在系统进程管理器内，也不会让使用者察觉到木马的存在，它的所有动作都是伴随其它程序进行的，因此在一般情况下使用者很难发现系统中有木马的存在。
(3)破坏性：通过远程控制，攻击者可以通过木马程序对系统中的文件进行删除、编辑操作，还可以进行诸如格式化硬盘、改变系统启动参数等恶性破坏操作。
(4)窃密性：木马程序最大的特点就是可以窥视被入侵计算机上的所有资料，这不仅包括硬盘上的文件，还包括显示器画面、使用者在操作电脑过程中在硬盘上输入的所有命令等。
2．木马的入侵途径木马入侵的主要途径是通过一定的欺骗方法，如更改图标、把木马文件与普通文件合并，欺骗被攻击者下载并执行做了手脚的木马程序，就会把木马安装到被攻击者的计算机中。
木马也可以通过Script、ActiveX及ASP、CGI交互脚本的方式入侵，由于微软的浏览器在执行Script 脚本上存在一些漏洞，攻击者可以利用这些漏洞诱导上网者单击网页，这样IE浏览器就会自动执行脚本，实现木马的下载和安装。
木马还可以利用系统的一些漏洞入侵，如微软的IIS服务器存在多种溢出漏洞，通过缓冲区溢出攻击程序造成IIS服务器溢出，获得控制权限，然后在被攻击的服务器上安装并运行木马。
特洛伊木马攻击技术与防范策略敬晓芳（中国工程物理研究院化工材料研究所，绵阳629100）摘要：特洛伊木马是一种程序，它驻留在目标计算机里，随计算机自动启动并在某一端口进行侦听，对接收的数据识别后，对目标计算机执行特定的操作。
其隐蔽性强，种类数量繁多，危害性很大。
本文介绍了木马的攻击原理、常用攻击技术以及防范策略。
关键词：特洛伊木马；驻留；攻击技术；防范策略1引言特洛伊木马（Trojan Horse），简称木马，是一种程序，这种程序被包含在合法的或表面上无害的程序上的恶意程序。
其实质只是一个通过端口进行通信的网络客户/服务程序。
木马具有很强的隐蔽性，而且能够自启动，并进行自我保护。
木马属于“外来代码”的范畴，它表面上提供一些令人感兴趣的有用的功能，但除了用户能看到的功能以外，这种程序还通过内嵌的特殊代码执行一些用户所不知道的恶意的功能。
木马的制造者常常是将一些特殊的代码添加到正常的应用程序代码中来实现这些隐藏的特殊的功能。
对攻击者而言，使用外来代码的关键优势之一就是，通过将非本地代码或二进制代码引入操作系统环境，从而断绝与系统或网络管理员所控制资源的依赖性。
相比较而言，添加或修改系统帐户，或直接操纵其他系统资源，可能被警惕性高的管理员发现，而安装一个“外来代码”则可以在一段时间内不被发现，尤其是通过对操作系统做广泛的修改可使其隐蔽性更好。
随着计算机技术的发展，木马的功能越来越强大，隐蔽性和破坏性不断提高，其数量也在急剧增加。
2木马的原理和种类自木马程序诞生至今，己经出现了多种类型，常见的有玩笑型、破坏型、密码发送型、远程访问型、键盘记录型、代理木马、反弹端口型木马等。
大多数的木马都不是单一功能的木马，它们往往是很多种功能的集成品，因此，此处也只能给出一个大致的分类。
（1）玩笑型玩笑木马程序不造成损坏，但会从计算机的扬声器中发出惹人讨厌的声音，让计算机屏幕看起来七扭八歪，或在屏幕上显示吓人的信息，如“现在正在格式化硬盘！”虽然这类木马程序非常气人，让人厌烦，但它们是无害的，很容易删除。
网络安全：了解黑客攻击和防御技术网络安全作为一门新兴的学科，越来越受到人们的重视。
大众使用互联网的时候很容易被黑客攻击所侵害。
本文将简单地介绍黑客攻击的种类和防御技术，希望能够帮助大家在网络使用时更加安全。
一、黑客攻击种类1. 网络钓鱼（Phishing）网络钓鱼是一种通过伪造合法信息来诱骗用户提供敏感信息（例如用户名、密码、银行卡号等），以实施欺诈或其他不法目的的网络攻击方式。
例如，利用电子邮件、社交媒体、短信等渠道发送虚假消息，引诱用户点击链接或下载文件，从而盗取用户的账户及密码信息。
2. 漏洞攻击（Exploit）漏洞攻击是指黑客通过利用软件或系统上的安全漏洞，实现非法控制计算机、获取或破坏数据的攻击行为。
这种攻击方式通常基于漏洞利用工具，例如Metasploit、Exploitdb等工具，可以扫描网络并利用发现的漏洞进行攻击。
3. 木马攻击（Trojan）木马攻击是指黑客设计的一种恶意程序，通常被伪装成普通的软件或文件，但是其中包含了隐藏的恶意代码。
一旦用户打开了这些文件，就会下载安装木马程序，黑客就可以通过木马程序来控制计算机，获取用户信息或者传播病毒。
4. DDoS攻击DDoS攻击（Distributed Denial of Service Attack）是一种分布式拒绝服务攻击，用大量的请求占用目标服务器的网络带宽和资源，使之失去响应，导致无法提供正常服务的网络攻击方式。
攻击者可以通过控制大量的僵尸网络来发动攻击，造成极大的损失。
二、防御技术1. 信息安全意识教育信息安全意识教育是指通过各种渠道提高用户对信息安全问题的认识和敏感性。
例如，通过向用户发送信息安全警示邮件或短信，强调信息保密、密码安全和谨防网络钓鱼等问题。
加强用户对信息安全的了解和认识，可以有效减少黑客攻击对自己的影响。
2. 加强系统和软件的安全性针对不同的黑客攻击，可以采取相应的防御措施。
例如，可以安装杀毒软件、防火墙等软件；对网络进行加密和认证；增强Web应用程序的安全性等。
关于网络攻击与防御技术实验教程最近有网友想了解下《网络攻击与防御技术实验教程》张玉清写的这本书,所以小编就整理了相关资料分享给大家,具体内容如下.希望大家参考参考!!!《网络攻击与防御技术实验教程》《网络攻击与防御技术实验教程》内容简介网络攻击与防御技术是网络安全的核心和焦点，也是确保网络安全实际动手能力的综合体现。
全书共分11章，第1章介绍如何进行系统安全配置并搭建一个用于网络攻防实验的虚拟机，在接下来的各章中，在回顾理论知识的同时，结合动手实验介绍网络典型攻防技术，这些网络典型攻防技术包括扫描技术、网络监听及防御技术、口令攻击、欺骗攻击及防御、拒绝服务攻击与防范、缓冲区溢出攻击及防御、Web攻击及防范、木马攻击及防御、病毒与蠕虫攻击及防御和典型网络攻击防御技术。
通过这种理论与实践相结合的网络攻防技术的学习，读者会对网络攻击与防御技术有更直观和深刻的理解。
书中各章内容安排方式为：理论知识回顾、基本实验指导和巩固提高型实验。
本书可以作为信息安全、计算机、通信等相关专业研究生、本科生的教材，也可供从事网络安全研发的工程技术人员和热衷网络攻防技术的读者参考。
《网络攻击与防御技术实验教程》前言/序言“知彼知己，百战不殆。
"--孙子兵法网络安全已成为人们在信息空间中生存与发展的重要保证条件，与国家的政治安全、经济安全、军事安全、社会稳定以及人们的日常生活密切相关。
由于兴趣爱好和经济利益的驱使，黑客攻击事件层出不穷。
公司和国家只有积极防御，才能在攻击环境下生存。
攻击与防御是一对相互制约和相互发展的网络安全技术。
本实验教程的目标是帮助安全人员理解黑客的攻击方法和步骤，事实一次又一次地证明，理解敌人的策略、技巧和工具对保护自己是多么的重要。
同时，本教程还让安全人员了解能采取哪些策略来防范各类攻击。
本书可作为《网络攻击与防御技术》的配套实验教程，同时又可自成体系，更注重攻防的实战性。
读者可以通过阅读该教程并动手实践达到提高网络安全技术的目的。
木马的危害与防范木马的危害与防范一、木马的危害木马这个名称来源于古希腊的特洛伊木马神话。
传说希腊人攻打特洛伊城久攻不下，希腊将领奥德修斯献了一计，把一批勇士埋伏在一匹巨大的木马腹内，放在城外，然后佯作退兵。
特洛伊人以为敌兵已退，就把木马作为战利品搬入城中。
到了夜间，埋伏在木马中的勇士跳出来，打开了城门，希腊将士一拥而入攻下了城池。
后来，人们就常用“特洛伊木马”比喻在敌方营垒里埋下伏兵里应外合的活动。
如今借用其名比喻黑客程序，有“一经潜入，后患无穷”的意思。
计算机领域中所谓的木马是指那些冒充合法程序却以危害计算机安全为目的的非法程序。
它是具有欺骗性的文件，是一种基于远程控制的黑客工具，具有隐蔽性和非授权性的特点。
隐蔽性是指木马设计者为了防止木马被发现，会采用多种手段隐藏木马，这样用户即使发现感染了木马，也难以确定其具体位置；非授权性是指一旦木马控制端与服务器端连接后，控制端将获得服务器端很多操作权限，如操作文件、修改注册表、控制外设等。
木马是一种后门程序，就象先前所说的，它进去了，而且是你把它请进去的，要怪也只能怪自己不小心，混进去的希腊士兵打开了特洛伊的城门，木马程序也会在你的系统打开一个“后门”，黑客们从这个被打开的特定“后门”进入你的电脑，就可以随心所欲地摆布你的电脑了。
黑客们通过木马进入你的电脑后能够做什么呢？可以这样说，你能够在自己的电脑上做什么，他也同样可以办到。
你能够写文件，他也可以写，你能够看图片，他也可以看，他还可以得到你的隐私、密码，甚至你鼠标的每一下移动，他都可以尽收眼底!而且还能够控制你的鼠标和键盘去做他想做的任何事，比如打开你珍藏的照片，然后在你面前将它永久删除，或是冒充你发送电子邮件、进行网上聊天、网上交易等活动，危害十分严重。
想到木马，人们就想到病毒，这里要为木马澄清一下，木马确实被杀毒软件认为是病毒，但是，木马本身不是病毒。
反之，病毒也不是木马。
电脑病毒是破坏电脑里的资料数据，而木马不一样，木马的作用是偷偷监视别人的操作和窃取用户信息，比如偷窃上网密码、游戏账号、股票账号、网上银行账号等。
特洛伊⽊马攻防介绍 ⽊马程序⽤“瞒天过海”或“披着⽺⽪的狼”之类的词来形容这类程序⼀点也不为过,直截了当的说法是⽊马有两个程序,⼀个是服务器程序,⼀个是控制器程序,当你的电脑运⾏了服务器程序后下⾯由店铺给你做出详细的特洛伊密码攻防介绍!希望对你有帮助! 特洛伊⽊马攻防介绍： 特洛伊⽊马是什么： ⼀个⽊马要⼯作,那麽其服务器程序必须在⽬标上运⾏,没有⼈会主动要求去运⾏它,但是会有这麽⼀天,有⼈对你抱以和善的微笑说,"我这有⼀个好游戏""我有漂亮的MM屏保和你分享⼀下"等等,当你打开这些所谓的程序时,⼀个宿主程序已经悄悄潜⼊你的机⼦,第⼀步就这样完成了,这完全是我们疏于防范造成的. 然后,⽊马⼀般会在以下三个地⽅安营扎寨:注册表、win.ini、system.ini,因为电脑启动的时候,需要装载这三个⽂件,⼤部分⽊马是使⽤这三种⽅式启动的.也有捆绑⽅式启动的,⽊马phAse 1.0版本和NetBus 1.53版本就可以以捆绑⽅式装到⽬标电脑上,可以捆绑到启动程序上,也可以捆绑到⼀般程序的常⽤程序上.如果捆绑到⼀般的程序上,启动是不确定的,这要看⽬标电脑主⼈了,如果他不运⾏,⽊马就不会进⼊内存.捆绑⽅式是⼀种⼿动的安装⽅式,⼀般捆绑的是⾮⾃动⽅式启动的⽊马.⾮捆绑⽅式的⽊马因为会在注册表等位置留下痕迹,所以,很容易被发现,⽽捆绑⽊马可以由⿊客⾃⼰确定捆绑⽅式、捆绑位置、捆绑程序等,位置的多变使⽊马由很强的隐蔽性. ⽊马的服务器程序⽂件⼀般位置是在c:\windows和c:\windows\system中,为什么要在这两个⽬录下,因为windows的⼀些系统⽂件在这两个位置,如果你误删了⽂件,你的电脑可能崩溃,你不得不重新安装系统. ⽊马的⽂件名更是⼀种学问,⽊马的⽂件名尽量和windows的系统⽂件接近,这样你就会弄糊涂了,⽐如⽊马SubSeven 1.7版本的服务器⽂件名是c:\windows\KERNEL16.DL,⽽windows由⼀个系统⽂件是c:\windows\KERNEL32.DLL,他们之差⼀点点,但是删错了的话,结果可⼤不相同的哦,删除KERNEL32.DLL会让你死翘翘的哦.再⽐如,⽊马phAse 1.0版本,⽣成的⽊马是C:\WINDOWS\System\Msgsrv32.exe,愣是和windows的系统⽂件C:\WINDOWS\System\Msgsrv32.exe⼀模⼀样,只是图标有点两样,你可不要删错了哦.上⾯两个是假扮系统⽂件的类型,我们再来看看⽆中⽣有的类型,⽊马SubSeven 1.5版本服务器⽂件名是c:\windows\window.exe,看清楚了哦,少⼀个s的哦,如果不告诉你这是⽊马,你有胆⼦删吗? 但是⽊马有⼀个致命的缺点,相对固定的端⼝,⿊客要进⼊你的电脑,必须要有通往你电脑的途径,也就是说,⽊马必须打开某个端⼝,⼤家叫这个端⼝为“后门”,⽊马也叫“后门⼯具”.这个不得不打开的后门是很难隐蔽的,只能采取混淆的办法,很多⽊马的端⼝是固定的,让⼈⼀眼就能看出是什么样的⽊马造成的.所以,端⼝号可以改变,这是⼀种混淆的办法.我们知道7306是⽊马netspy的,⽊马SUB7可以改变端⼝号,SUB7默认的端⼝是1243,但是如果把1243端⼝改成了7306呢,呵呵,⼀定会把⽬标电脑的主⼈弄混淆了.有些⼈会问,要是这个端⼝会⾃动改变那该多好呀,每次上⽹端⼝号⾃动改变,呵呵,真聪明,可惜聪明过头了.⽐如,真有这样的⽊马装在我的电脑上,每次上⽹的端⼝均会改变,你是⿊客,你打算怎么进⼊我的电脑呢?你知道这个⽊马现在开放的端⼝号是多少吗?想扫描我的电脑?端⼝⼀共有6万多个,你什么时候扫描完毕?半个⼩时,呵呵,我早发现了,早把你炸死了.即使我是菜鸟⼀个,你这样⾼速度扫描我的电脑,也会导致我的电脑通讯阻塞,谁会在⽹速⾮常慢的情况下在⽹络上待半个⼩时?所以,这基本上是不太可能的事情. ⽊马有很强的隐蔽性,在WINDOWS中,如果某个程序出现异常,⽤正常的⼿段不能退出的时候,采取的办法时按“Ctrl+Alt+Del"键,跳出⼀个窗⼝,找到需要终⽌的程序,然后关闭它.早期的⽊马会在按“Ctrl+Alt+Del"显露出来,现在⼤多数⽊马已经看不到了.所以只能采⽤内存⼯具来看内存中时候存在⽊马. ⽊马还具有很强潜伏的能⼒,表⾯上的⽊马被发现并删除以后,后备的⽊马在⼀定的条件下会跳出来.这种条件主要是⽬标电脑主⼈的操作造成的.我们先来看⼀个典型的例⼦：⽊马Glacier(冰河1.2正式版)现在已经升级到3.0版, 这个⽊马有两个服务器程序,C:\WINDOWS\SYSTEM\Kernel32.exe挂在注册表的启动组中,当电脑启动的时候,会装⼊内存,这是表⾯上的⽊马.另⼀个是C:\WINDOWS\SYSTEM\Sysexplr.exe,也在注册表中,它修改了⽂本⽂件的关联,当你点击⽂本⽂件的时候,它就启动了,它会检查Kernel32.exe是不是存在,如果存在的话,什么事情也不做.当表⾯上的⽊马Kernel32.exe被发现并删除以后,⽬标电脑的主⼈可能会觉得⾃⼰已经删除⽊马了,应该是安全的了.如果⽬标电脑的主⼈在以后的⽇⼦中点击了⽂本⽂件,那么这个⽂件⽂件照样运⾏,⽽Sysexplr.exe被启动了.Sysexplr.exe会发现表⾯上的⽊马Kernel32.exe已经被删除,就会再⽣成⼀个Kernel32.exe,于是,⽬标电脑以后每次启动电脑⽊马⼜被装上了. 说了这麽多,是不是感到很恐怖,很上⽕,别着急,清凉解暑药马上就到. 特洛伊密码攻防办法： 特洛伊密码攻防办法1.必须提⾼防范意识,不要打开陌⽣⼈信中的附件,哪怕他说的天花乱坠,熟⼈的也要确认⼀下来信的原地址是否合法. 特洛伊密码攻防办法2.多读readme.txt.许多⼈出于研究⽬的下载了⼀些特洛伊⽊马程序的软件包,在没有弄清软件包中⼏个程序的具体功能前,就匆匆地执⾏其中的程序,这样往往就错误地执⾏了服务器端程序⽽使⽤户的计算机成为了特洛伊⽊马的牺牲品.软件包中经常附带的readme.txt⽂件会有程序的详细功能介绍和使⽤说明,尽管它⼀般是英⽂的,但还是有必要先阅读⼀下,如果实在读不懂,那最好不要执⾏任何程序,丢弃软件包当然是最保险的了.有必要养成在使⽤任何程序前先读readme.txt的好习惯. 值得⼀提的是,有许多程序说明做成可执⾏的readme.exe形式,readme.exe往往捆绑有病毒或特洛伊⽊马程序,或者⼲脆就是由病毒程序、特洛伊⽊马的服务器端程序改名⽽得到的,⽬的就是让⽤户误以为是程序说明⽂件去执⾏它,可谓⽤⼼险恶.所以从互联⽹上得来的readme.exe最好不要执⾏它. 特洛伊密码攻防办法3.使⽤杀毒软件.现在国内的杀毒软件都推出了清除某些特洛伊⽊马的功能,如KV300、KILL98、瑞星等等,可以不定期地在脱机的情况下进⾏检查和清除.另外,有的杀毒软件还提供⽹络实时监控功能,这⼀功能可以在⿊客从远端执⾏⽤户机器上的⽂件时,提供报警或让执⾏失败,使⿊客向⽤户机器上载可执⾏⽂件后⽆法正确执⾏,从⽽避免了进⼀步的损失,但是要记住,它不是万能的. 特洛伊密码攻防办法4.⽴即挂断.尽管造成上⽹速度突然变慢的原因有很多,但有理由怀疑这是由特洛伊⽊马造成的,当⼊侵者使⽤特洛伊的客户端程序访问你的机器时,会与你的正常访问抢占宽带,特别是当⼊侵者从远端下载⽤户硬盘上的⽂件时,正常访问会变得奇慢⽆⽐.这时,你可以双击任务栏右下⾓的连接图标,仔细观察⼀下“已发送字节”项,如果数字变化成1～3kbps(每秒1～3千字节),⼏乎可以确认有⼈在下载你的硬盘⽂件,除⾮你正在使⽤ftp功能.对TCP/IP端⼝熟悉的⽤户,可以在“MS-DOS⽅式”下键⼊“netstat-a"来观察与你机器相连的当前所有通信进程,当有具体的IP正使⽤不常见的端⼝(⼀般⼤于1024)与你通信时,这⼀端⼝很可能就是特洛伊⽊马的通信端⼝.当发现上述可疑迹象后,你所能做的就是：⽴即挂断,然后对硬盘有⽆特洛伊⽊马进⾏认真的检查. 特洛伊密码攻防办法5.观察⽬录.普通⽤户应当经常观察位于c：\、c：\windows、c：\windows\system这三个⽬录下的⽂件.⽤“记事本”逐⼀打开c：\下的⾮执⾏类⽂件(除exe、bat、com以外的⽂件),查看是否发现特洛伊⽊马、击键程序的记录⽂件,在c：\Windows或c：\Windows\system下如果有光有⽂件名没有图标的可执⾏程序,你应该把它们删除,然后再⽤杀毒软件进⾏认真的清理. 特洛伊密码攻防办法6.在删除⽊马之前,最最重要的⼀项⼯作是备份,需要备份注册表,防⽌系统崩溃,备份你认为是⽊马的⽂件,如果不是⽊马就可以恢复,如果是⽊马你就可以对⽊马进⾏分析.不同的不马有不同的清除⽅法,由于涉及⾯太⼤,这⾥就不详述了. 总之不管你喜欢不喜欢,⽊马总是存在的,你只有去多多少少的了解⼀些⽊马的知识,才不⾄于遭⼈暗算,警惕啊,我的朋友,在茫茫的⼤海中,总有那麽⼀双眼睛在窥视着你.。
木马的防范基本方法一、防范木马应该注意的一些问题1、不到不受信任的网站上下载软件运行2、不随便点击来历不明邮件所带的附件3、及时安装相应的系统补丁程序4、为系统选用合适的正版杀毒软件，并及时升级相关的病毒库5、为系统所有的用户设置合理的用户口令口令设置要求：1.口令应该不少于8个字符；2.不包含字典里的单词、不包括姓氏的汉语拼音；3.同时包含多种类型的字符，比如o大写字母(A,B,C,..Z)o小写字母(a,b,c..z)o数字(0,1,2,…9)o标点符号(@,#,!,$,%,& …)win2000口令设置方法:当前用户口令：在桌面环境下按crtl+alt+del键后弹出选项单，选择其中的更改密码项后按要求输入你的密码（注意：如果以前administrator没有设置密码的话，旧密码那项就不用输入，只需直接输入新的密码）。
其他用户口令：在开始->控制面板->用户和密码->选定一个用户名->点击设置密码二、检查和清除木马可能会使用到命令1、如何进入命令行方式？win98下在开始-->运行中输入command点确定winnt、win2000、winxp下在开始-->运行中输入cmd后点确定2、如何使用netstat命令？netstat是用来显示网络连接、路由表和网络接口信息的命令，使用方法是在命令行下输入netstat -an后回车，输出结果格式如下：Active ConnectionsProto Local Address Foreign Address StateTCP 0.0.0.0:135 0.0.0.0:0 LISTENINGTCP 0.0.0.0:445 0.0.0.0:0 LISTENINGTCP 0.0.0.0:1025 0.0.0.0:0 LISTENINGTCP 0.0.0.0:1026 0.0.0.0:0 LISTENINGUDP 0.0.0.0:445 *:*UDP 0.0.0.0:2967 *:*UDP 0.0.0.0:38037 *:*这其中Proto项代表是协议类型，Local Address项代表的是本地IP地址和端口（冒号后面为端口号），Foreign Address项代表的是外部IP地址和端口,State 表示的是当前状态。
