浅谈计算机木马病毒的解析与防范

５４　福　建　电脑　２０１　１年第３期　

浅谈计算机木马病毒的解析与防范　

刘申晓　，王艳杰　，仝艳艳　（１、黄河科技学院信息工程学院实验教学中心河南郑州４５００００　２、黄河科技学院信息工程学院计算机科学系河南郑州４５００００　３、郑州大学西亚斯国际学院日语系河南新郑４５１１５０）　

【摘要】：随着电脑的普及和网络的迅猛发展，计算机木马病毒呈现愈演愈烈的趋势，严重地干扰了　正常的人类社会生活．给计算机系统带来了巨大的潜在威胁和破坏。为了确保信息的安全与畅通，从木马　的概念入手，分析计算杌木马病毒的内涵及特征，并对计算机木马病毒的发展方向进行分析，最后介绍计　算机常见木马病毒的查杀方法。　【关键词】：计算机木马病毒查杀　一、计算机木马病毒的内涵、特征　木马的全称叫做特洛伊木马，来源于希腊故事：特　洛伊木马。在计算机领域里面．叉被解释为非法命令、　病毒．一套隐藏在合法程序中的命令．指示计算机进行　不合法的运作　木马程序的本质就是一个远程控制软　件。其结构是一个标准的Ｃ／Ｓ（ｃｌｉｅｎｔ／ｓｅｒｖｅｒ）程序，其原　理是一台主机提供服务．另一台主机接受服务。　木马的两大特征：　１．隐蔽性　很多人的对木马和远程控制软件有点分　不清．实际上他们两者的最大区别就是在于其隐蔽性．　木马类的软件的ｓｅｒｖｅｒ端在运行的时候应用各种手段　隐藏自己　２．功能特殊性　木马除了普通的文件操作以外，一　般还具有搜索ｃａｃｈｅ中的口令、设置口令、扫描ｉｐ发现　中招的机器、键盘记录、远程注册表的操作、颠倒屏幕　以及锁定鼠标等功能比较特殊的操作．而远程控制软　件当然不会有这么多的特殊功能。　二、计算机木马病毒的发展方向　１．跨平台性：主要是针对ｗｉｎｄｏｗｓ系统而言，木马　可以在各种ｗｉｎｄＯＷｓ系统上使用．现在的一些木马也　的确做到了这一点。　２．模块化设计：似乎模块化设计是一种潮流，　ｗｉｎａｍｐ就是模块化的典范．现在的木马也有了模块化　设计的概念．象ｂｏ．ｎｅｔｂｕｓ，ｓｕｂ７等经典木马都有一些优　秀的插件在纷纷问世就是一个很好的说明。　３．更新更强的感染模式：传统的修改ｉｎｉ文件和注　册表的手法已经不能适应更加隐秘的需要．目前的很　多的木马的感染方式已经开始在悄悄转变．象病毒一　样感染ｗｉｎｄｏｗｓ下的文件　４．即时通知：现在的木马已经有了即时通知的功　能，如ＥＭＡＩＬ通知等．即：当中招的计算机ｉｐ发生变化　时．木马可以用ＥＭＡＩＬ方式自动通知入侵者。　三、计算机常见木马病毒及其查杀方法　ｌ、冰河　冰河可以说是最有名的木马．冰河的服务器端程　序为Ｇ—ｓｅｒｖｅｒ．ｅｘｅ．客户端程序为Ｇ—ｃｌｉｅｎｔ．ｅｘｅ，默认连　接端口为７６２６　清除方法：　ｆ　１）删除Ｃ：＼Ｗｉｎｄｏｗｓｋｓｙｓｔｅｍ下的Ｋｅｒｎｅｌ３２．ｅｘｅ和　Ｓｙｓｅｘｐｌｒ．ｅｘｅ文件。　（２）冰河会在注册表ＨＫＥＹ—ＬＯＣＡＬ＿ＭＡＣＨＩＮＥ￣ｓｏｆ　ｔｗａｒｅｈｎｉｃｒｏｓｏｆｌ＼ｗｉｎｄｏｗｓ＼ＣｕｒｒｅｎｔＶｅｒｓｉｏｎ＼Ｒｕｎ下扎根，键　值为Ｃ：＼ｗｉｎｄ０Ｗｓ＼ｓｙｓｔｅｍ＼Ｋｅｒｎｅｌ３２．ｅｘｅ，删除它。　（３）在注册表的ＨＫＥＹ＿ＬＯＣＡＬ＿ＭＡＣＨＩＮＥｋｓｏｆｔｗａｒｅ　ｋｍｉｃｒｏｓｏｆｌ＼ｗｉｎｄｏｗｓ＼ＣｕｒｒｅｎｔＶｅｒｓｉｏｎ＼Ｒｕｎｓｅｒｖｉｃｅｓ下。还有　键值为Ｃ：＼ｗｉｎｄｏｗｓｋｓｙｓｔｅｍｋＫｅｍｅ１３２．ｅｘｅ的．也要删除。　（４）最后，改注册表ＨＫＥＹ＿ＣＬＡＳＳＥＳ＿ＲＯＯ＇ＩＸｔｘｔｆｉｌｅ　ｋｓｈｅｌｌ＼ｏｐｅｎ＼ｃｏｍｍａｎｄ下的默认值．由中木马后的Ｃ：　＼ｗｉｎｄｏｗｓｋｓｙｓｔｅｍ　ｙｓｅｘｐｌｒ．ｅｘｅ％１改为正常情况下的Ｃ：　＼ｗｉｎｄｏｗｓｋｎｏｔｅｐａｄ．ｅｘｅ％１．即可恢复ＴＸＴ文件关联功　能　２、广外女生　广外女生是广东外语外贸大学”广外女生”网络小　组的处女作．是一种新出现的远程监控工具。　清除方法：　（１）由于该木马程序运行时无法删除该文件，因此　启动到纯ＤＯＳ模式下．找到Ｓｙｓｔｅｍ目录下的ＤＩＡＧＦＧ．　ＥＸＥ。删除它：　（２）由于ＤＩＡＧＣＦＧ．ＥＸＥ文件已经被删除了，因此　在Ｗｉｎｄ０ｗｓ环境下任何．ｅｘｅ文件都将无法运行。我们　找到Ｗｉｎｄｏｗｓ目录中的注册表编辑器”Ｒｅｇｅｄｉｔ．ｅｘｅ”。将　它改名为”Ｒｅｇｅｄｉｔ．ＣＯＢ”：　（３）回到ＷｉｎｄＯＷｓ模式下，运行Ｗｉｎｄｏｗｓ目录下的　Ｒｅｇｅｄｉｔ．ｃｏｍ程序（就是我们刚才改名的文件）；

　２０１　１年第３期　福建　电脑　５５　（４）找到ＨＫＥＹ　ＣＬＡＳＳＥＳ　ＲＯＯＴ￣ｅｘｅｆｉｌｅ＼ｓｈｅｌｌ＼ｏｐｅｎ＼　ｃｏｍｍａｎｄ．将其默认键值改成”％１”％￥；　ｆ５）找到ＨＫＥＹ　ＬＯＣＡＬ　ＭＡＣＨＩＮＥｋＳ０兀ＷＡＲＥ＼　Ｍｉｃｒｏｓｏｆｔ＼Ｗｉｎｄｏｗｓ＼ＣｕｒｒｅｎｔＶｅｒｓｉｏｎ＼ＲｕｎＳｅｒｖｉｃｅｓ．删除其　中名称为”Ｄｉａｇｎｏｓｔｉｃ　Ｃｏｎｆｉｇｕｒａｔｉｏｎ”的键值：　（６）关掉注册表编辑器，回到Ｗｉｎｄｏｗｓ目录，将”　Ｒｅｇｅｄｉｔ．ｃｏｎ”改回”Ｒｅｇｅｄｉｔ．ｅｘｅ”．即可。　３、黑洞２００１　黑洞２００１是国产木马程序．默认连接端口２００１。　清除方法：　ｆ１　１将ＨＫＥＹ　ＣＬＡＳＳＥＳ　ＲＯＯＴ￣ｔｘｔｆｉｌｅ＼ｓｈｅｌｌ＼ｏｐｅｎ＼ｃｏｍ　ｍａｎｄ下的默认键值由Ｓ　ＳＥＲＶＥＲ．ＥＸＥ％１改为Ｃ：　＼ＷＩＮＤＯＷＳ＼Ｎ０ＴＥＰＡＤ．ＥＸＥ％１　ｆ２１将ＨＫＥＹ　Ｌ０ＣＡＬ　ＭＡＣＨＩＮＥｋＳｏｆｔｗａｒｅ＼ＣＬＡＳＳＥ　Ｓ＼ｔｘｔｆｉｌｅ＼ｓｈｅｌｌ＼ｏｐｅｎ＼ＣＯｍｍａｎｄ下的默认键值由Ｓ　ＳＥＲＶ—　ＥＲ．ＥＸＥ％１改为Ｃ：＼ＷＩＮＤＯＷＳ＼ＮＯＴＥＰＡＤ．ＥＸＥ％１　ｒ３１将ＨＫＥＹ　ＬＯＣＡＬ　ＭＡＣＨＩＮＥｋＳｏｆｔｗａｒｅ＼Ｍｉｃｒｏｓｏｆｌ＼　Ｗｉｎｄｏｗｓ＼ＣｕｒｒｅｎｔＶｅｒｓｉｏｎ＼ＲｕｎＳｅｒｖｉｅｅｓ＼下的串值ｗｉｎ．　ｄｏｗｓ删除　ｆ４１将ＨＫＥＹ　ＣＬＡＳＳＥＳ　ＲＯＯＴ和ＨＫＥＹ　Ｌ０ＣＡＬ　ＭＡＣＨＩＮＥ＼Ｓｏｆｆｗａｒｅ＼ＣＬＡＳＳＥＳ下的Ｗｉｎｖｘｄ主键删除　（５１到Ｃ：＼ＷＩＮＤＯＷＳｋＳＹＳＴＥＭ下，删除ｗｉｎｄｏＷｓ．ｅｘｅ　和Ｓ　Ｓｅｒｖｅｒ．ｅｘｅ这两个木马文件　要注意的是如果已经　中了黑洞２００１．那么ｗｉｎｄｏｗｓ．ｅｘｅ这个文件在ｗｉｎｄｏＷｓ　

（上接第５６页）　环境下是无法直接删除的．这时我们可以在ＤＯＳ方式　下将它删除．或者用进程管理软件终止ｗｉｎｄｏｗｓ．ｅｘｅ这　个进程．然后再将它删除即可。　上面介绍的国内最流行三大木马．都是按默认情　况下来讲的．也就是在服务端没有被配置ｆ服务端配置　后，就可以任意改名、改连接端口、改关联文件……）的　情况下来讲的，但万变不离其宗，掌握了上面的方法，　木马再怎么隐藏也能被发现！从上面我们所讲，不难看　出．木马的隐蔽之所无非就是注册表、Ｗｉｎ。ｉｎｉ、Ｓｙｓｔｅｍ．　ｉｎｉ　Ａｕｔｏｅｘｅｃ．ｂａｔ　Ｃｏｎｇｆｉｇ　ｓｙｓ　Ｗｉｎｓｔａｒｔ　ｂａｔ　Ｗｉｎｉｎｉｔ　ｉｎｉ　启动组等地方，只要你小心仔细．查杀木马也不难！　

参考文献：　［１】韩莜卿．计算机病毒分析与防范大全【Ｍ】．北京：电子工业出版　社．２００６．　【２】吴世昌．清除杀毒软件不能删除的木马病毒．石油工业计算机　应用，２００７，６　【３】谢玉榕．论计算机木马病毒的分析与防治．电脑知识与技术，　２００８，９　【４】张淑萍．浅析木马病毒的清除与防御．计算机与网络，２００９，１　【５】辛淑霞．解析木马病毒及其防范措施．电脑编程技巧与维护，　２０１０．７　

但效率较低，对数据量大的访问不适合。　本地ＡＰＩ驱动方式：这种方式通过加载本地ＡＨ　访问数据库，如图４所示。特点是速度较快，但需要在　客户端装载相应的数据库厂商代码库．难以在网络上　应用。　

图３　ＪＤＢＣ一０ＤＢＣ桥方式　图４本地ＡＰＩ驱动方式　

图５网络协议驱动方式　图６本地协议方式　网络协议驱动：这种方式由客户端提供了一个网　络协议．ＪＤＢＣ驱动通过调用服务器上的中间件将请求　转化为相应的具体ＡＨ调用。如图５所示。其特点通过　服务器可以对多个数据库进行访问，但需要进行配置，　速度不是很快　本地协议驱动：这种方式可以保证客户端和数据　库之间直接通讯，如图６所示。其特点是访问速度快，　可以直接用Ｊａｖａ实现．但对不同的数据库要求使用不　同的驱动程序　５、小结　ＭＤＡＣ技术是微软的统一化数据访问（Ｕｎｉｖｅｒｇａｌ　Ｄａｔａ　Ａｃｃｅｓｓ）解决方案的内核组成；ＡＤＯ．ＮＥＴ　Ｅｎｔｉｔｙ　Ｆｒａｍｅｗｏｒｋ技术是基于微软公司．ＮＥＴ平台．用面向对　象的技术访问数据：ＪＤＢＣ技术是基于Ｊａｖａ平台的数　据库访问技术。这些技术各有特色，保证了程序设计师　在不同环境下对数据库的访问　参考文献：　【１］ｈｔｔｐ：／／ｚｈ．ｗｉｋｉｐｅｄｉａ．ｏｒｇ／ｚｈ—ｃｎ／ＡＤＯ．ＮＥＴ＃＿ｎｏｔｅ一４　【２］ｈｔｔｐ：／／ｓｕｐｐｏｒｔ．ｍｉｃｒｏｓｏＫ．ｃｏｍ／ｋｂ／１　９０４６３／ｚｈ—ｃｎ　［３］曾德胜，基于ＡＤＯ的数据库操作技术研究Ⅱ］，荆楚理工学院　学报。２００９．７，Ｖｏ１．２４　Ｎｏ．７：３２－３５　【４】翁小兰，基于ＡＤＯ．ＮＥＴ的数据库访问技术研究Ⅱ】，石河子　大学学报（自然科学版），２００６．８，Ｖｏ１．２４　Ｎｏ．４：５２１—５２３　【５］ｈｔｔｐ：／／ｍｓｄｎ．ｍｉｃｒｏｓｏｆｔ．ｃｏｍ／ｅｎ－ｕｓ／ｌｉｂｒａｒｙ／ｍｓ

９７３２１７