《特洛伊木马的运行原理及其防范措施》由会员分享，可在线阅读，更多相关《特洛伊木马的运行原理及其防范措施（10页珍藏版）》请在金锄头文库上搜索。
1、网络安全技术的开发应用学术会议论文集-# -网络安全技术的开发应用学术会议论文集（甘肃省白银市气象局730900）特洛伊木马的运行原理及其防范措施内容轉厂本嫉绍了特洛伊木马的运行原理.行为特征及其危害，介绍了几种防范木马的基本方法与常用工 关键词特洛伊木马TCP/IP网络 远程控制黑客1什么是特洛伊木马?特洛伊木马（以下简称木马），英文叫做Trojan horse,其名称取自希腊神话的特洛伊木马记，它是一种基于远程控制的黑客工具。其本质上属于客户机/服务器应用程序，由两部分 组成，一个是服务器端程序（服务端），一个是客户端程序（控制端）。如果你的电脑受到木 马攻击（即被人偷偷安装了服务器端程序
2、）,黑客便可通过客户端程序经由TCP/IP网络进入并 远程控制你的微机，为所欲为：窃取密码，删除,修改，上传文件，修改注册表，甚至重启.关 闭或锁死你的微机，断开网络连接，控制鼠标，键盘等。因此，一旦被木马控制，你的电脑不 仅将毫无秘密可言，连对电脑的控制权也将丧失殆尽。鉴于木马的巨大危害性.下面本文就木 马的工作原理，运行特证，防范措施等几个方面给予详细介绍，希望大家对特洛伊木马这种攻 击手段有一个较为透彻的了解。2木马是如何进入你的电脑并启动运行的?新安装的电脑是没有木马存在的，一般黑客要想给你安装上木马，一个办法是写信给你， 告诉你有一个很好的软件，你下载并运行该软件但却没有什么反应，这
3、时候，木马已经安装到 你的电脑中了。另一个办法是软件下载，一些非正规的网站以提供软件下载为名义，将木马捆 绑在软件安装程序上，下载后，只要一运行这些程序，木马就会自动安装。木马首先将自身拷 贝到WINDOWS的 系统文件夹中（C:WINDOWS或C:WINDOWSSYSTEM目录下），然后在注 册表的启动组，非启动组中设置好木马的触发条件，这样木马的安装就完成了。一般的程序需要我们点击该程序才会启动，那么木马是怎样启动的呢？木马是由其在安装过程中设定的触发条件启动的。启动木马的条件,大致出现在下面八个地方：注册表:打开 HKEY_LOCAL_MACHINESoftwareMicrosoftWi
4、ndowsCuiTentVersion 卜的 五个以Run和RunServices主键，在箕中寻找可能是启动木马的键值。（2）WININI:C:WINDOWS目录下有一个配置文件win.ini,用文本方式打开，在windows 字段中有启动命令load=和run三在一般情况下是空白的，如果有启动程序,可能是木马。SYSTEM.INI:C:WINDOWS 录下有个配置文件systemJni,用文本方式打开，在 386EnhLmic, drivers32中有命令行，在其中寻找木马的启动命令。Autoexec.bat和Config.sys:在C盘根目录下的这两个文件也可以启动木马。但这种加载方 式一
5、般都需要客户端与服务器端建立连接后，将已添加木马启动命令的同名文件上传到服务 端覆盖这两个文件才行。（5比INI：即应用程序的启动配置文件，控制端利用这些文件能启动程序的特点，将制作好的 带有木马启动命令的同名文件上传到服务端覆盖这同名文件，这样就可以达到启动木马的目的 To注册表:打开HKEY_CLASSES_ROOT文件类型shellopencommand主键,査看其键值。 举个例子，国产木马“冰亦就是修衣HKEY_CLASSES_ROCmtxtfi臥shellopencommand下的 键值，将 “C:WINDOWS NOTEPAD.EXE%1” 该为 “C:WINDOWSSYSTEMS
6、YSEXPLR.EXE %1”，这时你双 击一个TXT文件后，原本应用NOTEPAD打开文件的，现在却变成启动木马 程序了。还要说明的是不光是TXT文件，通过修改HTML, EXE, ZIP等文件的启动命令的 键值都可以启动木马，不同之处只在于“文件类型”这个主键的差别。捆绑文件:实现这种触发条件首先要木马客户端和服务器端已建立连接，然后客户端用丄 具软件将木马文件和某一应用程序捆绑在一起.然后上传到服务端覆盖原文件，这样即使木 马被删除了，只要运行捆绑了木马的应用程序，木马又会被安装上去了。启动菜单:在“开始程序一启动”选项下也可能有木马的触发条件。一旦满足木马启动的触发条件，木马就被激活，
7、进入内存，并开启事先定义的木马端， 准备与客户端建立连接。3木马的运行原理如果木马只是被激活，潜入内存运行，而你没有上网，那么木马是不会对你的微机与信息 构成危害的，但是，你一旦上网，黑客便可通过客户端程序经由TCP/IP网络与在你的微机中运 行的木马建立连接，从而窃取信息，控制机器o具体的连接过程如下：-# -网络安全技术的开发应用学术会议论文集-# -网络安全技术的开发应用学术会议论文集202. 102.47. 56 一 控轴IIP木耳端口農务林口 IK#miP机为服务端，对于A机来说要与B机建立连接必须知道B机如上图所示A机为控制端，的木马端口和IP地址，由于木马端口是A机事先设定的，为
8、已知项，所以最重要的是如何获 得B机的IP地址。获得B机的IP地址的方法主要有两种：信息反馈和IP扫描。所谓信息反馈 是指木马成功安装后会收集一些服务端的软硬件信息，并通过E-mail, irc或ico的方式告 知控制端用户。从这封邮件中可以知道服务端的IP以及一些软硬件信息，包括使用的操作系统， 系统目录，硬盘分区情况，系统口令等。另一种获取IP的方法是IP扫描，由于拨号上网的IP 是动态的.即用户每次上网的IP都是不同的，所以控制端必须通过IP扫描才能确定B机的IP 地址。因为B机装有木马程序，所以它的木马端口 7626是处于开放状态的，所以现在A机只 要扫描IP地址段中7626端口开放的
9、主机就行了，例如图中B机的1P地址是202.96.96,101,当 A机扫描到这个IP时发现它的7626端口是开放的，那么这个IP就会被添加到列表中，这时A 机就可以通过木马的控制端程序向B机发出连接信号，B机中的木马程序收到信号后立即作出 响应，当A机收到响应的信号后，开启一个随机端口 1031与B机的木马端口 7626建立连接， 到这时一个木马连接才算真正建立。值得一提的要扫描整个IP地址段显然费时费力，一般来 说控制端都是先通过信息反馈获得服务端的IP地址。木马连接建立后.控制端端口和木马端口之间将会出现一条通道，控制端上的客户端程序 可藉这条通道与服务端上的木马程序取得联系，并通过木马
10、程序对服务端进行远程控制(也就是 命令木马做事情了。下面介绍一下控制端能够获取的控制权限.IV(1) 窃取密码：一切以明文的形式，形式或缓存在CACHE中的密码都能被木马侦测到，此 外很多木马还提供有击键记录功能，它将会记录服务端每次敲击键盘的动作，所以一旦有木马 入侵，密码将很容易被窃取。(2) 文件操作：控制端可藉由远程控制对服务端上的文件进行删除，新惠修改，上传，下载，运行, 更改属性等一系列操作，基本涵盖了 WINDOWS平台上所有的文件操作功能。、(3)修改注册表：控制端可任意修改服务端注册表.包括删除，新建或修改主键，子键，键 值。有了这项功能控制端就可以禁止服务端软驱，光驱的使用
11、，锁住服务端的注册表，将服务 端上木马的触发条件设置得更隐蔽的一系列高级操作(4)系统操作：这项内容包括重启或关闭服务端操作系统，断开服务端网络连接，控制服务 端的鼠标，键盘，监视服务端桌面操作，査看服务端进程等。4 木马的识别木马被激活后，进入内存，并开启事先定义的木马端口，准备与控制端建立连接。这时可 以在MS-DOS方式下，键入NETSTAT -AN査看端口状态，一般个人电脑在脱机状态下是不会 有端口开放的，如果有端口开放，你就要注意是否感染木马了。在上网过程中要下载软件，发送信件，网上聊天等必然打开一些端口，下面是一些常用的端口:(1) 1-1024之间的端口：这些端口叫保留端口，是专
12、给一些对外通讯的程序用的，如FTP 使用21, SMTP使用25. POP3使用110等。只有很少木马会用保留端口作为木马端口的。(2) 1025以上的连续端口：在上网浏览网站时，浏览器会打开多个连续的端口下载文字，图 片到本地硬盘上，这些端口都是1025以上的连续端口。(3) 4000端口：这是OICQ的通讯端口。(4) 6667端口：这是IRC的通讯端口。除上述的端口基本可以排除在外，如发现还有其它端口打开.尤其是数值比较大的端口， 那就要怀疑是否感染了木马.当然如果木马有定制端口的功能，那任何端口都有可能是木马端 口。每个木马所打开的端口不同，根据端口号，可以识别不同的木马，比如NETS
13、PY木马的端 口是7306, SUB7的端口是1243,但是，有些木马的端口号是可以改变的，比如SUB7,黑客 通过控制器可以将端口号改变成12345等号码。如果有可疑的端口开放，你按照以下步骤进行先记下这个端口号，然后打开ATM软件 看看内存中正在运行那些软件，请把这些软件名称和硬盘位置用笔记到纸上，然后终止某个程 序运行，如果端口还是开放着，那么被你终止运行的程序不是木马，然后继续终止下一个.直 到端口不再开放，就也就找到了木马。5清除木马找到木马以后，需要做的第一件事情就是备份，需要备份注册表，防止系统崩溃，备份有 可能是木马的文件，如果不是木马就可以恢复。备份以后，还需要验证一下究竟是
14、不是木马：新建一个目录，把木马移到这里，运行.看 看端口打开吗？原目录中是不是又生成了这个文件？如果是的话就可以确认为木马。删除木马时，先不要在硬盘上删除该文件！你应该先终止该程序在内存中的运行，保证端 口没有打开。其次，运行REGEDIT,到注册表中去査包含该文件名的键值，如果在启动组中找到就先 用笔记下键值，然后删除。如果在非启动组中找到，你应该设法恢复被木马修改之前的键值， 如果不能恢复，就先用笔记下键值，然后删除。再次，到硬盘上去找包含该木马文件名的INI和EXE或者DLL文件。如果找到INI文件先打开看看是在什么位置，比如是foxmail.ini的话，启动fbxmail看看, 木马是
15、不是进入内存，端口有没有打开，如果是的话，那么是foxmailJni被修改了，帮助木马 启动。修改INI文件，删除与木马有关的部分，就可以了。如果是其他的EXE文件启动，那么运行这个程序，如果木马被装入内存，打开了端口，说 明要么是该文件启动木马程序的，要么是该文件捆绑了木马程序；如果是WINDOWS自带的程 序，可以到安装光盘上去禅放一个出来，覆盖一下就行了；如果是你自己安装的程序，可以到 其他地方弄一个来，重新安装一下；对于DLL文件，方法与EXE文件的一样。另外，还应注 意后缀名是DL的文件J最厉，重新启动你的机器，然后删除硬盘上的木马文件。6识别与清除木马的常用工具用手工判断端口的方法只能识别一部分木马，而且操作多有不便。因此，对付木马你必须 有儿款上手的工具：(l)tcpview：査看端口和线程的有力工具。只要木马在内存中运行，一定会打开某个端口，只要黑客进 入你的电脑，就会有新的线程。下载地址：(http:/ -网络安全技术的开发应用学术会议论文集 ATM：木马在内存中运行，你想终止它运行，ATM是最好的，它被汉化了，而且不用安装的，你 可以在界面上清楚地看到
