自己动手清除计算机中隐藏的特洛伊木马程序
- 格式:doc
- 大小:17.00 KB
- 文档页数:3
特洛伊木马病毒的隐藏技术李军丽云南大学信息学院 云南 650031摘要:隐藏技术是木马的关键技术之一,其直接决定木马的生存能力。
本文对木马病毒的隐藏技术从几个方面进行了研究,并对木马病毒的预防和检测提出了自己的一些建议。
关键词:木马病毒;网络安全;隐藏技术0 引言随着计算机网络技术的迅速发展和普及,人们也开始面临着越来越多的网络安全的隐患,特别木马对网络用户的网络数据和隐私安全产生了极大的威胁;据调查,目前在国内,68.26%的用户怀疑受到过木马病毒的攻击,63%的电脑用户曾受到过木马病毒攻击。
隐藏技术是木马的关键技术之一,其直接决定木马的生存能力。
本文对木马病毒的隐藏技术从几个方面进行了研究,并对木马病毒的预防和检测提出了自己的一些建议。
1 木马的隐藏技术木马区别与远程控制程序的主要不同点就在于它的隐蔽性,木马的隐蔽性是木马能否长期存活的关键。
木马的隐藏技术主要包括以下几个方面:本地文件隐藏、启动隐藏、进程隐藏、通信隐藏和内核模块隐藏和协同隐藏等。
1.1 本地文件伪装隐藏木马文件通过将木马文件设置为系统、隐藏或是只读属性来实现木马问的隐藏,或是通过将木马文件命名为和系统文件的文件名相似的文件名,从而使用户误认为系统文件而忽略。
或是将文件的存放在不常用或难以发现的系统文件目录中,或是将木马存放的区域设置为坏扇区。
1.2 木马的启动隐藏方式(1) 本地文件伪装最常用的文件隐藏是将木马病毒伪装成本地文件。
木马病毒将可执行文件伪装成图片或文本----在程序中把图标改成WINDOWS的默认图片图标,再把文件名改为.JPG.EXE。
由于WINDOWS默认设置是不显示已知的文件后缀名,文件将会显示为.JPG.,不注意的人一点击这个图标就在无意间启动了木马程序。
(2) 通过修改系统配置来实现木马的启动隐藏利用配置文件的特殊作用,木马很容易就能在大家的计算机中运行。
像Autoexec.bat和Config.sys。
特洛伊木马的工作原理及清除
白皓
【期刊名称】《气象与环境科学》
【年(卷),期】2003(000)002
【摘要】介绍了特洛伊木马程序的隐藏、加载及清除技术.
【总页数】1页(P42-42)
【作者】白皓
【作者单位】项城市气象局河南项城 466200
【正文语种】中文
【中图分类】TP393.08
【相关文献】
1.特洛伊木马的清除和防范方法 [J], 申文玉;刘宗仁
2.特洛伊木马“清除器” [J], 张涌金;
3.特洛伊木马Setiri的工作原理和防范方法 [J], 吴奇泽
4.特洛伊木马工作原理分析及清除方法 [J], 张慧丽
5.计算机特洛伊木马病毒的攻击与清除 [J], 舒军晓
因版权原因,仅展示原文概要,查看原文内容请购买。
如何预防木马-结合木马的藏身之所,隐藏技术,总结清除木马的方法.如何预防木马?结合木马的藏身之所,隐藏技术,总结清除木马的方法.篇一:《计算机病毒》复习思考题20XX20XX《计算机病毒》复习思考题第一手资料:教材、教学PPT必读参考资料:1.金山毒霸20XX-20XX中国互联网安全研究报告.doc2.中国互联网站发展状况及其安全报告(20XX年).pdf3.瑞星20XX年上半年中国信息安全报告.pdf4.★★★安全防护宝典.各种病毒分析及攻击防御手册.doc5.★★★木马防治之“葵花宝典”.doc6.★★★深层病毒防护指南.doc7.专题:★★★手动杀毒综合篇.doc8.打造安全U盘(实验).doc9.打造安全、流畅、稳定的系统.ppt10.HiPS主机入侵防御系统.ppt11.关于HoSTS文件.doc12.病毒触发条件.doc第一章计算机病毒概述1.简述计算机病毒的定义和特征。
2.如何通过病毒的名称识别病毒的类型?3.计算机病毒有哪些传播途径?查找相关资料,试述计算机病毒发展趋势与特点。
研究计算机病毒有哪些基本原则?搭建病毒分析的环境有哪些方法?第2章预备知识1.硬盘主引导扇区由哪几部分构成?一个硬盘最多可分几个主分区?为什么?Fdisk/mbr命令是否会重写整个主引导扇区?2.低级格式化、高级格式化的功能与作用是什么?高级格式化(FoRmaT)能否清除任何计算机病毒?为什么?3.doS下的EXE文件病毒是如何获取控制权的?感染EXE文件,需对宿主作哪些修改?4.针对PE文件格式,请思考:win32病毒感染PE文件,须对该文件作哪些修改?第3章计算机病毒的逻辑结构与基本机制1.文件型病毒有哪些感染方式?2.计算机病毒的感染过程是什么?3.计算机病毒一般采用哪些条件作为触发条件?试述计算机病毒的逻辑结构。
第4章doS病毒的基本原理与doS病毒分析1.试述引导型病毒的启动过程。
2.编写程序,利用inT13H实现引导区的备份与恢复。
1引言特洛伊木马(简称木马)是指一类伪装成合法程序或隐藏在合法程序中的恶意代码,这些代码或者执行恶意行为,或者为非授权访问系统的特权功能而提供后门。
木马的首要特征是它的隐蔽性,为了提高自身的生存能力,木马会采用各种手段来伪装隐藏以使被感染的系统表现正常。
FredCohen等人[1,2]对病毒进行了深入研究,他们将木马作为病毒的一种特例,并给出了病毒和木马的数学模型,但未对木马的隐藏特征进行分析。
HaroldThimbleby等人[3]对病毒和木马模型框架进行了研究,给出了木马的形式化模型,对木马隐藏的特征进行了描述,但未对木马协同隐藏进行描述和分析。
张新宇等人[4]仅对Linux环境下的木马隐藏(包括协同隐藏)进行了研究,但未涉及Windows环境。
笔者在对木马隐藏技术归纳研究的基础上,深入分析研究了协同隐藏,并针对现有木马对抗实时检测的缺陷和通信隐藏能力的不足,提出两种基于该思想的新型木马结构,深化了协同隐藏思想,提高了木马的隐藏能力和生存能力。
2隐藏技术木马程序与普通远程管理程序的一个显著区别是它的隐藏性。
木马被植入后,通常利用各种手段来隐藏痕迹,以避免被发现和追踪,尽可能延长生存期。
隐藏技术是木马的关键技术之一,笔者从本地隐藏、通信隐藏和协同隐藏3个方面对木马隐藏技术进行分析研究。
2.1本地隐藏本地隐藏是指木马为防止被本地用户发现而采取的隐藏手段,主要包括启动隐藏、文件隐藏、进程隐藏、内核模块隐藏、原始分发隐藏等。
这些手段可以分为三类:(1)将木马隐藏(附着、捆绑或替换)在合法程序中;(2)修改或替换相应的检测程序,对有关木马的输出信息进行隐蔽处理;(3)利用检测程序本身的工作机制或缺陷巧妙地避过木马检测。
2.1.1启动隐藏启动隐藏,是指目标机自动加载运行木马程序,而不被用户发现。
在Windows系统中,比较典型的木马启动方式有:修改系统“启动”项;修改注册表的相关键值;插入常见默认启动服务;修改系统配置文件(Config.sys、Win.ini和System.ini等);修改“组策略”等。
木马的7种分类木马(Trojan Horse)是一种恶意软件,以其隐藏在合法程序背后的方式而得名,就像古希腊传说中的木马一样。
木马程序通常会伪装成一个合法的程序或文件,隐藏着恶意代码,一旦被执行,就会对计算机系统进行破坏或窃取信息。
木马程序在计算机安全攻击中被广泛使用,具有隐蔽性强、攻击范围广、破坏性大等特点。
根据木马程序的功能和特点,可以将木马分为不同的分类。
以下是木马的七种分类:1. 后门木马后门木马是一种黑客利用的最常见的木马程序。
它的作用是在受害者的计算机上开启一个后门,使黑客可以通过这个后门远程控制受害者的计算机。
黑客可以通过远程控制进行窃取信息、监视受害者、植入其他恶意软件等活动。
后门木马通常会隐藏在看似正常的程序中,一旦被执行,就会在计算机系统中建立一个隐藏的后门,使黑客可以远程访问受害者的计算机。
2. 间谍木马间谍木马是一种专门用于窃取用户隐私信息的木马程序。
它可以监视受害者的操作,窃取敏感信息,如账号密码、银行卡号、个人通讯录等。
间谍木马通常会隐藏在一些伪装成有吸引力的软件或文件中,一旦被执行,就会在受害者的计算机上悄悄运行,并开始窃取隐私信息。
3. 下载器木马下载器木马是一种专门用于下载和安装其他恶意软件的木马程序。
它通常会依附在一个合法的程序中,一旦被执行,就会开始下载其他恶意软件,如病毒、蠕虫等到受害者的计算机。
下载器木马可以通过下载其他恶意软件来扩大攻击范围,形成恶意软件的传播链条。
4. 逻辑炸弹木马逻辑炸弹木马是一种在特定条件下触发破坏事件的木马程序。
它通常会在受害者的计算机上设置一个触发条件,一旦触发条件满足,就会执行破坏性的行为,如删除文件、格式化硬盘等。
逻辑炸弹木马通常会在用户不知情的情况下设置触发条件,一旦被触发,就会对计算机系统造成破坏。
5. 拒绝服务木马拒绝服务木马是一种专门用于对目标系统进行拒绝服务攻击的木马程序。
它会利用目标系统的漏洞,通过发送大量的恶意请求来占用目标系统的资源,使其无法正常对外提供服务。
计算机病毒蠕虫和特洛伊木马介绍1. 计算机病毒:计算机病毒是一种能够通过感染文件或程序,在计算机系统中自我复制的恶意软件。
一旦感染,病毒可以破坏数据、使系统变得不稳定,甚至使系统无法正常运行。
计算机病毒可以通过下载不安全的文件、打开感染的电子邮件附件或访问感染的网页而传播。
2. 计算机蠕虫:计算机蠕虫是一种独立的恶意软件,可以在网络上自我传播,它会利用计算机系统中的漏洞来感染其他系统。
与病毒不同的是,蠕虫不需要依赖于宿主文件,它可以通过网络传播,对计算机系统和网络造成广泛的破坏。
3. 特洛伊木马:特洛伊木马是一种伪装成有用软件的恶意软件,一旦被用户下载并安装,它会在系统中植入后门,使攻击者可以远程控制计算机系统。
特洛伊木马通常会窃取用户的个人信息、登录凭据,或者开启摄像头和麦克风进行监视。
为了保护计算机系统免受这些恶意软件的侵害,用户可以使用防病毒软件、防火墙和定期更新操作系统来加强安全措施。
此外,用户还应该避免点击不明来源的链接、下载未知来源的文件,以及定期备份重要数据,以防止数据丢失。
计算机病毒、蠕虫和特洛伊木马是网络安全领域中的三大主要威胁。
它们对个人用户、企业和政府机构造成了严重的风险。
因此,了解这些恶意软件如何传播和运作,以及如何保护计算机系统不受其侵害,对于网络安全非常重要。
计算机病毒、蠕虫和特洛伊木马之间的区别在于它们的传播方式和目标。
计算机病毒依赖于宿主文件,它会将自身复制到其他文件中,并通过共享文件或网络传播。
蠕虫不需要宿主文件,它可以自行传播到其他计算机系统,甚至可以利用网络中的漏洞。
而特洛伊木马通常是伪装成有用软件或文件,一旦被用户下载并安装,就会植入后门,以便攻击者远程控制系统。
这些恶意软件对计算机系统造成的危害包括数据泄露、系统瘫痪、信息窃取,甚至网络攻击。
因此,保护计算机系统免受这些威胁的侵害至关重要。
为了防范计算机病毒、蠕虫和特洛伊木马,用户可以采取一些预防措施,包括使用受信任的防病毒软件和防火墙、定期更新操作系统和应用程序、避免下载和安装来历不明的软件或文件、谨慎点击不明来源的链接和附件,以及定期备份重要数据。
电脑手动杀毒默认分类 2009-07-08 11:47 阅读164 评论0字号:大中小你的电脑安全吗?你的电脑可以防黑吗? 我现在就跟大家说说手动杀毒的几个常用的方法。
你也许会说现在的杀毒软件那么多啊,为你的电脑安全吗?你的电脑可以防黑吗?我现在就跟大家说说手动杀毒的几个常用的方法。
你也许会说现在的杀毒软件那么多啊,为什么我们还要学习用手动来杀毒呢?你想想病毒的产生肯定是比你的杀毒软件的升级快很多的,既然是那个样子的话,我们学习手动杀毒就对我们很有帮助,也可以让我们更加熟悉计算机的进程以及对我们将来学习更多的计算机技术打下很好的基础。
费话多说了,现在我们开始。
因为我使用的是XP操作系统,那这里就以XP的版本先给大家讲解一下。
首先,对于自己的计算机要有洞悉力,说得通俗点就是如果发现什么不对的就要考虑下是什么原因了。
因为是讲手工杀毒那就先讲中毒的几个特别征兆,例如:你的电脑在上网的时候自己会打开不知名的网站(恶意代码也是会这样的啊,我们也把它暂时当病毒吧);你的1.找到病毒进程法:有的病毒在热启动(CTRL+ALT+DEL)就可以看出来,它们总是想隐藏自己成为系统里面的特殊文件,仔细看就可以看出猫腻了。
什么把l(字母)写成1(数字)啦,把O(字母)变成了0的啊,更好笑的是连大小写都出来了,其实只要认真看问题就简单。
如果你对进程不是很了解的话,建议把它名字记下来去百度找找,应该可以找到答案。
特别要注意的是你在用热启动的时候,最好不要开任何文件和软件,这样比较好辨认。
启动法:现在的病毒和木马都会自己随系统而启动,那么我们就可以根据这个把它找到。
开始——运行——输入msconfig在启动选项就可以看到启动的项目和命令还有位置,把你觉得十分可疑的前面的沟去掉就可以了。
记下那些可疑的启动项命令的地址,将来杀的时候能够用到。
这样可就看到病毒了,也可以在运行里面输入regedit(注册表),HKEY_CURRENT_USER/Software/Microsoft/Windows/CurrentVersi on的RunOnce,还有RunServices和Run,还有另外一个HKEY_LOCAL_MACHINE/Software/Microsof t/Windows/CurrentVersion的RunOnce,以及RunServices和Run的可疑的启动文件都删就好。
特洛伊木马是一种恶意程序,它们悄悄地在宿主机器上运行,就在用户毫无察觉的情况下,让攻击者获得了远程访问和控制系统的权限。
一般而言,大多数特洛伊木马都模仿一些正规的远程控制软件的功能,如Symantec的pcAnywhere,但特洛伊木马也有一些明显的特点,例如它的安装和操作都是在隐蔽之中完成。
攻击者经常把特洛伊木马隐藏在一些游戏或小软件之中,诱使粗心的用户在自己的机器上运行。
最常见的情况是,上当的用户要么从不正规的网站下载和运行了带恶意代码的软件,要么不小心点击了带恶意代码的邮件附件。
大多数特洛伊木马包括客户端和服务器端两个部分。
攻击者利用一种称为绑定程序的工具将服务器部分绑定到某个合法软件上,诱使用户运行合法软件。
只要用户一运行软件,特洛伊木马的服务器部分就在用户毫无知觉的情况下完成了安装过程。
通常,特洛伊木马的服务器部分都是可以定制的,攻击者可以定制的项目一般包括:服务器运行的IP端口号,程序启动时机,如何发出调用,如何隐身,是否加密。
另外,攻击者还可以设置登录服务器的密码、确定通信方式。
服务器向攻击者通知的方式可能是发送一个email,宣告自己当前已成功接管的机器;或者可能是联系某个隐藏的Internet交流通道,广播被侵占机器的IP地址;另外,当特洛伊木马的服务器部分启动之后,它还可以直接与攻击者机器上运行的客户程序通过预先定义的端口进行通信。
不管特洛伊木马的服务器和客户程序如何建立联系,有一点是不变的,攻击者总是利用客户程序向服务器程序发送命令,达到操控用户机器的目的。
特洛伊木马攻击者既可以随心所欲地查看已被入侵的机器,也可以用广播方式发布命令,指示所有在他控制之下的特洛伊木马一起行动,或者向更广泛的范围传播,或者做其他危险的事情。
实际上,只要用一个预先定义好的关键词,就可以让所有被入侵的机器格式化自己的硬盘,或者向另一台主机发起攻击。
攻击者经常会用特洛伊木马侵占大量的机器,然后针对某一要害主机发起分布式拒绝服务攻击(Denial of Service,即DoS),当受害者觉察到网络要被异乎寻常的通信量淹没,试图找出攻击者时,他只能追踪到大批懵然不知、同样也是受害者的DSL或线缆调制解调器用户,真正的攻击者早就溜之大吉。
自己动手清除计算机中隐藏的特洛伊木马程序
特洛伊木马是一种基于远程控制的病毒程序,该程序具有很强的隐蔽性和
危害性,它可以在你并不知情的的状态下控制你或者监视你的电脑。下面就讲讲木马经常藏
身的地方和清除方法。
首先查看自己的电脑中是否有木马
1、集成到程序中
其实木马也是一个服务器-客户端程序,它为了不让用户能轻易地把它删除,就常
常集成到程序里,一旦用户激活木马程序,那么木马文件和某一应用程序捆绑在一起,然后
上传到服务端覆盖原文件,这样即使木马被删除了,只要运行捆绑了木马的应用程序,木马
又会被安装上去了。绑定到某一应用程序中,如绑定到系统文件,那么每一次Windows启
动均会启动木马。
2、隐藏在配置文件中
木马实在是太狡猾,知道菜鸟们平时使用的是图形化界面的操作系统,对于那些已
经不太重要的配置文件大多数是不闻不问了,这正好给木马提供了一个藏身之处。而且利用
配置文件的特殊作用,木马很容易就能在大家的计算机中运行、发作,从而偷窥或者监视大
家。不过,现在这种方式不是很隐蔽,容易被发现,所以在Autoexec.bat和Config.sys中加
载木马程序的并不多见,但也不能因此而掉以轻心哦。
3、潜伏在Win.ini中
木马要想达到控制或者监视计算机的目的,必须要运行,然而没有人会傻到自己在
自己的计算机中运行这个该死的木马。当然,木马也早有心理准备,知道人类是高智商的动
物,不会帮助它工作的,因此它必须找一个既安全又能在系统启动时自动运行的地方,于是
潜伏在Win.ini中是木马感觉比较惬意的地方。大家不妨打开Win.ini来看看,在它的[windows]
字段中有启动命令“load=”和“run=”,在一般情况下“=”后面是空白的,如果有后跟程序,比
方说是这个样子:run=c:windowsfile.exe load=c:windowsfile.exe
这时你就要小心了,这个file.exe很可能是木马哦。
4、伪装在普通文件中
这个方法出现的比较晚,不过现在很流行,对于不熟练的windows操作者,很容
易上当。具体方法是把可执行文件伪装成图片或文本----在程序中把图标改成Windows的默
认图片图标, 再把文件名改为*.jpg.exe, 由于Win98默认设置是”不显示已知的文件后缀名”,
文件将会显示为*.jpg, 不注意的人一点这个图标就中木马了(如果你在程序中嵌一张图片就
更完美了)。
5、内置到注册表中
上面的方法让木马着实舒服了一阵,既没有人能找到它,又能自动运行,真是快哉!
然而好景不长,人类很快就把它的马脚揪了出来,并对它进行了严厉的惩罚!但是它还心有
不甘,总结了失败教训后,认为上面的藏身之处很容易找,现在必须躲在不容易被人发现的
地方,于是它想到了注册表!的确注册表由于比较复杂,木马常常喜欢藏在这里快活,赶快
检查一下,有什么程序在其下,睁大眼睛仔细看了,别放过木马哦:
HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersion下所有以“run”开头的
键值;HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersion下所有以“run”开头
的键值;HKEY-USERS.DefaultSoftwareMicrosoftWindowsCurrentVersion下所有以“run”开头
的键值。
6、在System.ini中藏身
木马真是无处不在呀!什么地方有空子,它就往哪里钻!这不,Windows安装目录
下的System.ini也是木马喜欢隐蔽的地方。还是小心点,打开这个文件看看,它与正常文件
有什么不同,在该文件的[boot]字段中,是不是有这样的内容,那就是shell=Explorer.exe
file.exe,如果确实有这样的内容,那你就不幸了,因为这里的file.exe就是木马服务端程序!
另外,在System.ini中的[386Enh]字段,要注意检查在此段内的“driver=路径程序名”,这里
也有可能被木马所利用。再有,在System.ini中的[mic]、[drivers]、[drivers32]这三个字段,
这些段也是起到加载驱动程序的作用,但也是增添木马程序的好场所,现在你该知道也要注
意这里喽。
7、隐形于启动组中
有时木马并不在乎自己的行踪,它更注意的是能否自动加载到系统中,因为一旦木
马加载到系统中,任你用什么方法你都无法将它赶跑(哎,这木马脸皮也真是太厚),因此
按照这个逻辑,启动组也是木马可以藏身的好地方,因为这里的确是自动加载运行的好场所。
动组对应的文件夹为:C:windowsstart menuprogramsstartup,在注册表中的位置:
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersion
ExplorerShellFolders Startup=“C:windowsstart menuprogramsstartup”。要注意经常检查启
动组哦!
8、隐蔽在Winstart.bat中
按照上面的逻辑理论,凡是利于木马能自动加载的地方,木马都喜欢呆。这不,
Winstart.bat也是一个能自动被Windows加载运行的文件,它多数情况下为应用程序及
Windows自动生成,在执行了Win.com并加载了多数驱动程序之后开始执行(这一点可通
过启动时按F8键再选择逐步跟踪启动过程的启动方式可得知)。由于Autoexec.bat的功能可
以由Winstart.bat代替完成,因此木马完全可以像在Autoexec.bat中那样被加载运行,危险
由此而来。
9、捆绑在启动文件中
即应用程序的启动配置文件,控制端利用这些文件能启动程序的特点,将制作好的
带有木马启动命令的同名文件上传到服务端覆盖这同名文件,这样就可以达到启动木马的目
的了。
10、设置在超级连接中
木马的主人在网页上放置恶意代码,引诱用户点击,用户点击的结果不言而喻:开
门揖盗!奉劝不要随便点击网页上的链接,除非你了解它,信任它,为它死了也愿意等等。
下面再看木马的清除方法
1、检查注册表中RUN、RUNSERVEICE等几项,先备份,记下可以启动项的地址,
再将可疑的删除。
2、删除上述可疑键在硬盘中的执行文件。
3、一般这种文件都在WINNT,SYSTEM,SYSTEM32这样的文件夹下,他们一
般不会单独存在,很可能是有某个母文件复制过来的,检查C、D、E等盘下有没有可疑
的.exe,.com或.bat文件,有则删除之。
4、检查注册表HKEY_LOCAL_MACHINE和
HKEY_CURRENT_USERSOFTWAREMicrosoft Internet ExplorerMain中的几项(如Local
Page),如果被修改了,改回来就可以。
5、检查HKEY_CLASSES_ROOTinifileshellopencommand和
HKEY_CLASSES_ROOTxtfileshellopencommand等等几个常用文件类型的默认打开程序是
否被更改。这个一定要改回来。很多病毒就是通过修改.txt,.ini等的默认打开程序让病毒“长
生不老,永杀不尽”的。
6、如果有可能,对病毒的母文件进行反汇编,比如我上次中的那个病毒,通过用
IDA反汇编,发现它还偷窃系统密码并建立 %systemroot%systemmapis32a.dll 文件把密码送
到一个邮箱中,由于我用的是W2K,所以它当然没有得手。
至此,病毒完全删除! 笔者建议有能力的话,时刻注意系统的变化,奇怪端口、
可疑进程等等。 现在的病毒都不象以前那样对系统数据破坏很严重,也好发现的多,所以
尽量自己杀毒(较简单的病毒、木马)。