《信息系统安全计算机病毒解析实验l002003013windows下手工木马检测解析》由会员分享，可在线阅读，更多相关《信息系统安全计算机病毒解析实验l002003013windows下手工木马检测解析（13页珍藏版）》请在金锄头文库上搜索。
1、课程编写类别内容实验课题名称L002003013-windows下手工木马检测实验目的与要求1、检查网络连接情况2、查看目前运行的服务3、检查系统启动项4、检查系统帐户实验环境VPC1(虚拟PC）操作系统类型：windows，网络接口：eth0VPC1连接要求PC网络接口，与实验室网络相连实验环境描述1、学生机与实验室网络直连;2、VPC1与实验室网络直连;3、学生机与VPC1物理链路连通预备知识“木马”与计算机网络中常常要用到的远程控制软件有些相似，但由于远程控制软件是“善意”的控制，因此通常不具有隐蔽性；“木马”则完全相反，木马要达到的是“偷窃”性的远程控制，如果没有很强的隐蔽性的话，那就
2、是“毫无价值”的。它是指通过一段特定的程序（木马程序）来控制另一台计算机。木马通常有两个可执行程序：一个是客户端，即控制端；另一个是服务端，即被控制端。植入被种者电脑的是“服务器”部分，而所谓的“黑客”正是利用“控制器”进入运行了“服务器”的电脑。运行了木马程序的“服务器”以后，被种者的电脑就会有一个或几个端口被打开，使黑客可以利用这些打开的端口进入电脑系统，安全和个人隐私也就全无保障了！ 木马的设计者为了防止木马被发现，而采用多种手段隐藏木马。木马的服务一旦运行并被控制端连接，其控制端将享有服务端的大部分操作权限，例如给计算机增加口令，浏览、移动、复制、删除文件，修改注册表，更改计算机配置等
3、。随着病毒编写技术的发展，木马程序对用户的威胁越来越大，尤其是一些木马程序采用了极其狡猾的手段来隐蔽自己，使普通用户很难在中毒后发觉。那么，我们在不依赖杀毒软件的时候，作为一名信息安全员，我们该如何去检测计算机中，是否中了木马呢！那就跟我一起来看看吧！ 相信你一定有不少收获。实验内容1、检查网络连接情况2、查看目前运行的服务3、检查系统启动项4、检查系统帐户实验步骤l学生登录实验场景的操作1、学生单击“网络拓扑”进入实验场景，单击windows2003中的“打开控制台”按钮，进入目标主机。2.登陆系统，输入账号administrator，密码1234563.检查网络连接情况由于不少木马会主动侦
4、听端口，或者会连接特定的IP和端口，所以我们可以在没有正常程序连接网络的情况下，通过检查网络连情情况来发现木马的存在。具体的步骤是点击“开始”-“运行”-“cmd”，然后输入netstat-an这个命令能看到所有和自己电脑建立连接的IP以及自己电脑侦听的端口，它包含四个部分-proto(连接方式)、local address(本地连接地址)、foreign address(和本地建立连接的地址)、state(当前端口状态)。通过这个命令的详细信息，我们就可以完全监控电脑的网络连接情况。4.查看目前运行的服务服务是很多木马用来保持自己在系统中永远能处于运行状态的方法之一。我们可以通过点击“开始”
5、-“运行”-“cmd”，然后输入“net start”来查看系统中究竟有什么服务在开启，如果发现了不是自己开放的服务，我们可以进入“服务”管理工具中的“服务”，找到相应的服务，停止并禁用它。5.检查系统启动项由于注册表对于普通用户来说比较复杂，木马常常喜欢隐藏在这里。检查注册表启动项的方法如下:点击“开始”-“运行”-“regedit”，然后检查HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion下所有以“run”开头的键值;检查HKEY_CURRENT_USERS/software/Microsoft/Windows/Cur
6、rentVersion下所有以“run”开头的键值;检查HKEY-USERS/.Default/Software/Microsoft/Windows/CurrentVersion下所有以“run”开头的键值。Windows安装目录下的System.ini也是木马喜欢隐蔽的地方。打开这个文件看看， 打开C盘下的windows目录，找到System.ini文件。在该文件的boot字段中，是不是有shell=Explorer.exe file.exe这样的内容，如有这样的内容，那这里的file.exe就是木马程序了!6.检查系统帐户恶意的攻击者喜在电脑中留有一个账户的方法来控制你的计算机。他们采用的
7、方法就是激活一个系统中的默认账户，但这个账户却很少用的，然后把这个账户的权限提升为管理员权限，这个帐户将是系统中最大的安全隐患。恶意的攻击者可以通过这个账户任意地控制你的计算机。针对这种情况，可以用以下方法对账户进行检测。点击“开始”-“运行”-“cmd”，然后在命令行下输入net user，查看计算机上有些什么用户，然后再使用“net user用户名”查看这个用户是属于什么权限的，一般除了Administrator是administrators组的，其他都不应该属于administrators组，如果你发现一个系统内置的用户是属于administrators组的，那几乎可以肯定你被入侵了。快
8、使用“net user用户名/del”来删掉这个用户吧!7.如果检查出有木马的存在，可以按以后步骤进行杀木马的工作。1、运行任务管理器，杀掉木马进程。2、检查注册表中RUN、RUNSERVEICE等几项，先备份，记下可以启动项的地址， 再将可疑的删除。3、删除上述可疑键在硬盘中的执行文件。4、一般这种文件都在WINNT，SYSTEM，SYSTEM32这样的文件夹下，他们一般不会单独存在，很可能是有某个母文件复制过来的，检查C、D、E等盘下有没有可疑的.exe，.com或.bat文件，有则删除之。5、检查注册表HKEY_LOCAL_MACHINE和HKEY_CURRENT_USERSOFTWAR
9、EMicrosoftInternet ExplorerMain中的几项(如Local Page)，如果被修改了，改回来就可以。6、检查HKEY_CLASSES_ROOTtxtfileshellopencommand和HKEY_CLASSES_ROOTxtfileshellopencommand等等几个常用文件类型的默认打开程序是否被更改。这个一定要改回来。很多病毒就是通过修改.txt文件的默认打开程序让病毒在用户打开文本文件时加载的。8、实验完毕，关闭网络拓扑图，实验完毕。古今名言敏而好学，不耻下问孔子业精于勤，荒于嬉；行成于思，毁于随韩愈兴于诗，立于礼，成于乐孔子己所不欲，勿施于人孔子读书破
10、万卷，下笔如有神杜甫读书有三到，谓心到，眼到，口到朱熹立身以立学为先，立学以读书为本欧阳修读万卷书，行万里路刘彝黑发不知勤学早，白首方悔读书迟颜真卿书卷多情似故人，晨昏忧乐每相亲于谦书犹药也，善读之可以医愚刘向莫等闲，白了少年头，空悲切岳飞发奋识遍天下字，立志读尽人间书苏轼鸟欲高飞先振翅，人求上进先读书李苦禅立志宜思真品格，读书须尽苦功夫阮元非淡泊无以明志，非宁静无以致远诸葛亮熟读唐诗三百首，不会作诗也会吟孙洙唐诗三百首序书到用时方恨少，事非经过不知难陆游问渠那得清如许，为有源头活水来朱熹旧书不厌百回读，熟读精思子自知苏轼书痴者文必工，艺痴者技必良蒲松龄 声明访问者可将本资料提供的内容用于个人学习、研究或欣赏，以及其他非商业性或非盈利性用途，但同时应遵守著作权法及其他相关法律的规定，不得侵犯本文档及相关权利人的合法权利。谢谢合作！
