木马演示实验
实验13 木马捆绑与隐藏
木马捆绑与隐藏12.2.1 背景描述木马并不是合法的网络服务程序，如果单纯以本来面目出现，很容易被网络用户识别。
为了不被别人发现，木马制造者必须想方设法改换面貌；为了诱使网络用户下载并执行它，黑客将木马程序混合在合法的程序里面，潜入用户主机。
在受害主机里，为了逃避杀毒软件的查杀，木马也会将自己“乔装打扮”；为了防止用户将其从系统里揪出来，木马则采取一切可能的手法进行隐藏自己。
总之，现在的木马制造者是越来越狡猾，他们常用文件捆绑的方法，将木马捆绑到图像、纯文本等常见的文件中，然后通过网页、QQ、Email 或MSN 等将这些文件传送给受害者，而用户一旦不慎打开这些文件，木马就自动执行了，主机就中木马了。
12.2.2 工作原理1．木马捆绑木马捆绑即是文件捆绑，黑客将木马或者病毒等恶意程序与其它正常文件组合成的一个整体。
这是一种最简单也是最可行和最常用的一种方法，当受害者下载并运行捆绑了木马等恶意程序的文件时，其中的木马等恶意程序就会被激活。
木马捆绑的手段归纳起来共有四种：（1）利用捆绑机软件和文件合并软件捆绑木马；（2）利用WINRAR、WINZIP 等软件制作自解压捆绑木马；（3）利用软件打包软件制作捆绑木马；（4）利用多媒体影音文件传播。
2．木马隐藏隐藏是一切恶意程序生存之本。
以下是木马的几种隐藏手段：（1）进程隐蔽：伪隐藏，就是指程序的进程仍然存在，只不过是让它消失在进程列表里。
真隐藏则是让程序彻底的消失，不以一个进程或者服务的方式工作，做为一个线程，一个其他应用程序的线程，把自身注入其他应用程序的地址空间。
（2）伪装成图像文件：即将木马图标修改成图像文件图标。
（3）伪装成应用程序扩展组件：将木马程序写成任何类型的文件（如dll,ocx等），然后挂在十分出名的软件中。
因为人们一般不怀疑这些软件。
（4）错觉欺骗：利用人的错觉，例如故意混淆文件名中的1（数字）与l（L的小写）、0（数字）与o（字母）或O（字母）。
实验二 网络木马攻击实验
实验二网络木马攻击实验1.实现目的:1.模拟网络木马攻击计算机,并对计算机实施控制;2.理解木马是怎样植入一个计算机;3.了解木马的危害,以及它是怎样挂载的.2.实验步骤1.先启动病毒网站的服务,然后合并好三个后台TXT文件,然后改成.htm格式,放在木马网站的文件夹下;2.修改正常网站的html文件,加入标签,使其访问木马网站;3.被攻击计算机首先设置好自己的协议分析器,对通信进行捕获;4.被攻击计算机运行灰鸽子程序,生成木马网站的服务器程序,并将其与木马网站文件放在同一文件夹下;5.使用被攻击计算机访问攻击计算机,访问了正常的网站时候,会执行包含有木马代码网站文件,至此木马攻击计算机,然后被攻击的一方会被攻击一方控制,如果攻击一方愿意的话.3.实验截图分析1.从端口监控来看,8000号端口已经打开.2.进程监视器中显示了名称的进程,这是黑客,也就是木马进程,说明木马已经开始工作.3.winlogin进程也在进程监控视图中显示,说明有主机访问网站.4.前面的几个截图充分显示了病毒攻击的前奏已经奏响.接下来可以利用植入的木马程序对被攻击的主机进行操作,操作包括文件控制等.以下是修改文件的操作截图.首先,我们可以查看到被攻击的主机上有一个文件.然后,我们可以打开此文件,并输入”this is ok!”.下图是被攻击方的屏幕对比.4.实验体会首先,不得不说一下,真的是第一次终于成功完成了实验要求.能够操作对方的机器真的是非常过瘾,而且还是利用木马的攻击的方法.终于体验到了什么是木马,近距离地看到了木马.因为,以前对于木马的了解只是停留于感性的认识,偶尔的从杀毒软件中查杀到木马,大概了解到世界上还有一种叫木马的东西.可是,自己却不知道什么才是木马,它是怎么工作的,它能带来哪些危害,这一些,在这一次实验课都得到了回答.特别是了解到了木马的基本入侵流程,让我对于安全防范有了进一步的认识.真希望以后可以有更多类似于此的实验内容,或者不仅仅是实验,而是实战.从课本上能学到的毕竟有限,自己以后课堂下也要多多努力.。
《计算机病毒》木马实现技术实验
《计算机病毒》木马实现技术实验实验报告题目：木马实现技术实验姓名：王宇航学号：09283020实验环境：主机：Windows 7 虚拟机：Windows xp操作系统：windows系统XP（√）2003（）其他：软件：visual C++6.0 ，VMware ，远程连接工具：硬件环境：CPU主频（）内存（）实验内容：实验一：木马程序实验将Server程序放到受害者计算机上，然后诱骗他们执行一次木马程序。
在得到目标机的IP后，启动client程序，连接到目标机的777端口，连接成功后，就可以操作目标机，输入命令。
实验二：测试注册表加载型木马door1 用VC++编译door的代码，运行编译的程序，查看注册表[HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run]2 分析代码，给出防御策略实验三：测试服务级木马svchost1 编译代码2 安装、卸载木马程序，观察系统服务状况。
3 分析程序，给出防御策略实验过程：实验一：1 打开给的实验文件，其中SocketListener 目录下是木马Server 端源代码，SocketCommand目录下是木马Client 端源代码。
2 用Visual Studio 6.0 环境分别编译这两部分代码3 运行SocketListener 应用程序，也就是启动了木马被控制端4 运行SocketCommand 应用程序，也就是启动了木马的控制端，可以在控制端执行命令来控制被控制端实验二：测试注册型加载木马door1、编译指定代码后，查看注册表的变化，多了一项door2、可以使用第三方的系统查看工具，例如IceSword 工具，查看启动组，也能发现注册表加载的所有程序。
实验三：测试服务级木马svchost1、编译并运行木马，若安装服务成功，运行windows 服务命令“net start system”查看启动的系统服务或是在“控制面板”的“管理工具”中“服务”查看已经启动的服务。
木马病毒原理及特征分析PPT演示课件
木马程序一般非常小，只有是几K到几十K，如果把木马捆绑到 其它正常文件上，用户是很难发现的，所以，有一些网站被人 利用，提供的下载软件往往捆绑了木马文件，在用户执行这些 下载的文件的同时，也运行了木马
通过一般的病毒和蠕虫传播
通过带木马的磁盘和光盘进行传播
2．记录各种口令信息：包括开机口令、屏保口令、各种共享资源口令及绝大多数在对话框 中出现过的口令信息；
3．获取系统信息：包括计算机名、注册公司、当前用户、系统路径、操作系统版本、当前 显示分辨率、物理及逻辑磁盘信息等多项系统数据；
4．限制系统功能：包括远程关机、远程重启计算机、锁定鼠标、锁定系统热键及锁定注册 表等多项功能限制；
木马病毒的原理及特征分 析
08:47:32
1
特洛伊木马的定义
特洛伊木马(Trojan Horse)，简称木马，是一 种恶意程序，是一种基于远程控制的黑客工具， 一旦侵入用户的计算机，就悄悄地在宿主计算 机上运行，在用户毫无察觉的情况下，让攻击 者获得远程访问和控制系统的权限，进而在用 户的计算机中修改文件、修改注册表、控制鼠 标、监视/控制键盘，或窃取用户信息
08:47:32
18
特洛伊木马技术的发展
木马的发展及成熟，大致也经历了两个阶段 Unix阶段 Windows阶段
木马技术发展至今，已经经历了4代 第一代木马
只是进行简单的密码窃取、发送等，没有什么特别之处
第二代木马
在密码窃取、发送等技术上有了很大的进步，冰河可以说是国内木马 的典型代表之一
Infis作为内核模式驱动程序驻留内存，并且挂钩文件 操作，它能够在文件打开时立即感染该文件。
安装程序把病毒拷贝到系统内存中，并在系统注册表 中添加该病毒的注册项。该病毒把自己的可执行代码 连同自己的PE文件头一起追加到目标文件的末尾， 然后从自己代码中提取出一个名为INF.SYS的独立驱 动程序，把这个程序保存在%SystemRoot%\ system32 \drivers目录下，修改注册表，保证下一次 系统启动时病毒也能够进入运行状态。
实验七 BO2K木马实验
实验七BO2K木马实验1.实验目的(1)熟悉BO2K木马的源代码。
(2)熟悉BO2K木马的原理和用法2.实验所需条件和环境1、硬件HPDX23582、Windows32操作系统，Visual Studio 6.0 编译环境3.实验步骤1、从随书资源目录\Experiment\BO2k,文件为工程文件bo2k.dsw,使用Visual Studio6.0 编译该工程，编译过程中需要修改配置2、链接生成bo2k.exe可执行程序及客户端程序bo_client.exe。
执行bo2k.exe和bo_client.exe观察执行源码观察实验效果。
3、设计思路：1. 设计1.1功能本程序利用开放主机端口号和各个木马程序使用端口的对应关系，判断主机是否已中木马，中了何种木马（目前能查找一百余种），并能根据所中木马的类型，对其中的二十几种进行杀灭。
此外，用户可自行追加数据库，增加能查找病毒的种类。
1.2程序流程1.3核心数据结构本程序的数据文件Trojan.txt使用了TROJAN结构来保存木马的名称，对应打开端口号和查杀代码：TROJAN：字段名称字段类型字段说明nPort 数字该木马所使用的端口号。
TroName 字符串该木马的名称。
nKillno 数字该木马的查杀号，杀除函数调用。
pnext 指针用于构成链表结构指针在Trojan.txt中，每行为一个木马项，格式为2. 关键技术2.1技术背景一般情况下，特定木马在运行时都会打开特定的端口和主控端进行通信，利用木马的这个特征，我们可以通过建立一个已知木马的名称和其使用端口的对应数据库来检测主机是否感染了木马，一旦得知了木马名称，就可以调用针对此木马的杀灭手段进行消除。
本程序就是利用了木马这样的特性进行编写，在windows系统中，netstat命令可以很轻松的取得本地打开端口的列表，我们可以在程序中用system函数调用此命令，并读取保存的结果，就可以取得主机所有打开的端口（包括tcp和udp）。
木马病毒攻击实验
访问以后看你的计算机是否开始注销或者关闭了。
八、实验数据及结果分析：
由于这个脚本是针对IE的漏洞进行设计的，因此对于Windows2000和Windows Xp，这个木马都有效。当然对于已经打了补丁的系统，这个脚本就无能为力了。另外由于已经对木马加密了，所以在一定程度上这个木马脚本还有一定免查杀能力，在某些实验环境下杀毒软件没有任何提示，因为现在的杀毒软件多数都是根据的病毒的特征码来查杀病毒的，而加密以后就不在具有病毒的特征码描述的特征了。
步骤2改为访问http://localhost/jstrojan/breed/index.html
通过命令行查看用户目录，然后到用户目录去看一下，是否有很多可执行文件生成（最多可以达到30000个，我们限制了数量），检查这些可执行文件是否有自我们繁殖功能。
实验三
通过木马关闭计算机
步骤基本和实验一相同
十一、对本实验过程及方法、手段的改进建议：
我们在实验中使用的木马功能其实并不够强大，也就是只有演示功能，其实我们完全可以把远程控制功能加到木马写木马中，这样才能够算是真正意义上的木马，一旦用户访问了我们指定的页面，该计算机就会被我们所控制。
报告评分：分
指导教师签字：
o.Fields("a").Value="这里是HTA的代码"
hta代码在IE临时文件夹内找到bbs003302.css并且改成可执行文件，然后修改成AUTOEXEC.BAT隐藏运行.这里HTA是指HTML Application(关于它的信息请参考Windows的帮助文档)
四、跨域运行HTA的实现.
冰河木马攻击实验报告(3篇)
第1篇一、实验背景随着互联网技术的飞速发展，网络安全问题日益突出。
为了提高网络安全防护能力，本实验旨在通过模拟冰河木马攻击，了解其攻击原理、传播途径以及防护措施。
实验过程中，我们将使用虚拟机环境，模拟真实网络环境下的木马攻击，并采取相应的防护措施。
二、实验目的1. 了解冰河木马的攻击原理和传播途径。
2. 掌握网络安全防护的基本方法，提高网络安全意识。
3. 熟悉网络安全工具的使用，为实际网络安全工作打下基础。
三、实验环境1. 操作系统：Windows 10、Linux Ubuntu2. 虚拟机软件：VMware Workstation3. 木马程序：冰河木马4. 网络安全工具：杀毒软件、防火墙四、实验步骤1. 搭建实验环境（1）在VMware Workstation中创建两个虚拟机，分别为攻击机和被攻击机。
（2）攻击机安装Windows 10操作系统，被攻击机安装Linux Ubuntu操作系统。
（3）在攻击机上下载冰河木马程序，包括GClient.exe和GServer.exe。
2. 模拟冰河木马攻击（1）在攻击机上运行GClient.exe，连接到被攻击机的GServer.exe。
（2）通过GClient.exe，获取被攻击机的远程桌面控制权，查看被攻击机的文件、运行进程等信息。
（3）尝试在被攻击机上执行恶意操作，如修改系统设置、删除文件等。
3. 检测与防护（1）在被攻击机上安装杀毒软件，对系统进行全盘扫描，查杀木马病毒。
（2）关闭被攻击机的远程桌面服务，防止木马再次连接。
（3）设置防火墙规则，阻止不明来源的连接请求。
4. 修复与恢复（1）对被攻击机进行系统备份，以防数据丢失。
（2）修复被木马破坏的系统设置和文件。
（3）重新安装必要的软件，确保系统正常运行。
五、实验结果与分析1. 攻击成功通过实验，我们成功模拟了冰河木马攻击过程，攻击机成功获取了被攻击机的远程桌面控制权，并尝试执行恶意操作。
2. 防护措施有效在采取防护措施后，成功阻止了木马再次连接，并修复了被破坏的系统设置和文件。
实验4-木马及病毒攻击与防范65页
三. 实验环境
三. 实验环境
两台运行windows 2000/XP/2019的计算机， 通过网络连接。通过配置“灰鸽子”木马， 了解木马工作原理并实现对木马的检测和查 杀。
11
四. 实验内容
四. 实验内容
1．灰鸽子介绍
灰鸽子是国内近年来危害非常严重的一种木马程 序。
12
四. 实验内容
4.配置服务端：在使用木马前配置好，一般不改变， 选择默认值。 细节注意如下：监听端口7626可更换（范围 在1024~32768之间）；关联可更改为与EXE文件 关联（就是无论运行什么exe文件，冰河就开始 加载；还有关键的邮件通知设置：如下图!
33
冰河操作(9)
4.配置服务端：
34
冰河操作(10)
第五代木马在隐藏方面比第四代木马又进行了进 一步提升，它普遍采用了rootkit技术，通过 rootkit技术实现木马运行
5
二. 实验原理
二. 实验原理
4．木马的连接方式
一般木马都采用C/S运行模式，它分为两部分， 即客户端和服务器端木马程序。黑客安装木马的 客户端，同时诱骗用户安装木马的服务器端。
RootKit技术
RootKit是一种隐藏技术，它使得恶意程序可以逃避操 作系统标准诊断程序的查找。
9
二. 实验原理
二. 实验原理
6．木马的检测
木马的远程控制功能要实现，必须通过执行 一段代码来实现。为此，木马采用的技术再新， 也会在操作系统中留下痕迹。如果能够对系统中 的文件、注册表做全面的监控，可以实现发现和 清除各种木马的目的。
其生日号。2.2版本后均非黄鑫制作。
21
端口扫描工具
工具下载：远程木马——冰河v6.0GLUOSHI专版 扫描工具——X-way2.5
幼儿科技小制作PPT：摇摆木马
一个物体的各部分都 要受到重力的作用。从 效果上看，我们可以认 为各部分受到的重力作 用集中于一点，这一点 叫做物体的重心。
重心转移的运动
当木马摇动的时候，人体 的重心也随之转移。
1.分别将木马底部的两张纸卡沿折痕向外折 叠成直角。
2.把其中一张折好的木马纸卡头部和尾部 粘上双面胶，然后将它粘贴在另一张折好 的木马纸卡的相对应位置上。
3.在木马底座的粘胶处粘上双面胶，并把粘 贴好的木马粘在底座上。
4.最后把玻璃球放进两个木马中间的凹槽 里，摇摆木马就做好了。你可以试一试， 让它摇摆起来吧!
谢谢
木马攻击实验报告
木马攻击实验报告
《木马攻击实验报告》
近年来，随着网络技术的不断发展，网络安全问题也日益凸显。
其中，木马攻击作为一种常见的网络安全威胁方式，给网络系统的安全运行带来了严重的威胁。
为了深入了解木马攻击的原理和特点，我们进行了一次木马攻击实验，并撰写了本次实验报告。
实验背景：本次实验旨在通过模拟网络环境，了解木马攻击的实际效果和防范措施。
我们选择了一个虚拟网络环境，搭建了一台主机作为攻击者，一台主机作为受害者，以及一台主机作为监控者。
实验过程：首先，我们在受害者主机上安装了一个虚拟的木马程序，并设置了相应的触发条件。
然后，攻击者主机通过网络连接到受害者主机，利用木马程序对其进行攻击。
在攻击的过程中，我们观察到受害者主机的系统出现了异常现象，包括文件被删除、系统崩溃等。
最后，我们通过监控者主机对攻击进行了记录和分析。
实验结果：通过实验，我们发现木马攻击具有隐蔽性强、破坏性大的特点。
一旦受害者主机感染了木马程序，攻击者可以远程控制受害者主机，窃取敏感信息，甚至对系统进行破坏。
同时，我们也发现了一些防范木马攻击的方法，包括加强网络安全意识、定期更新系统补丁、安装杀毒软件等。
结论：木马攻击是一种严重的网络安全威胁，对网络系统的安全稳定造成了严重的影响。
通过本次实验，我们深入了解了木马攻击的原理和特点，为今后的网络安全防范工作提供了重要的参考。
我们也呼吁广大网络用户加强网络安全意识，共同维护网络安全。
科学小制作旋转木马原理课件
科学小制作旋转木马原理课件
一、引言
旋转木马是儿童游乐园中常见的游乐设施，孩子们可在上面尽情玩耍，体验旋转的乐趣。
而今天我们将介绍一种小制作旋转木马的科学原理，让孩子们通过动手制作，更好地理解旋转木马的运转原理。
二、材料准备
准备以下材料： - 一个细木板 - 一个转轴 - 一根绳子 - 一支胶水
三、制作步骤
1.将绳子绕细木板的边缘系好，作为旋转木马的围栏，并用胶水固定。
2.将细木板水平固定在转轴上。
3.将转轴放置在水平位置，并施加力量旋转转轴，观察细木板的运动。
四、原理分析
旋转木马的原理是利用转轴带动木板以一定的速度旋转。
当物体以一定速度旋转时，存在离心力使得物体向外移动，同时也存在向心力使得物体朝中心运动，这两种力平衡时，旋转木马能够稳定旋转。
五、实验效果
通过制作这个小型旋转木马，孩子们不仅可以亲自动手参与制作，更能够亲身体验到旋转木马的运行原理，加深对科学原理的理解。
六、结语
通过今天的制作活动，相信孩子们对旋转木马的运行原理有了更深入的了解。
希望孩子们能够多参加这样的科学小制作活动，激发他们对科学的兴趣，培养动手实践的能力。
让我们一起探索更多科学的奥秘吧！。
网络安全实验六：1.木马攻击实验
⽹络安全实验六：1.⽊马攻击实验步骤⼀：冰河⽊马植⼊与控制分别进⼊虚拟机中PC1与PC2系统。
在PC1中安装服务器端（被攻击者），在PC2中安装客户端（发起攻击者）。
（1）服务器端：打开C:\tool\“⽊马攻击实验“⽂件夹，双击G_SERVER。
因为虚拟机防⽕墙已关闭故不会弹窗，双击即为运⾏成功，⾄此，⽊马的服务器端开始启动（2）客户端：切换到PC2，打开C:\tool\“⽊马攻击实验”⽂件夹，在“冰河”⽂件存储⽬录下，双击G_CLIENT。
双击后未弹窗原因同上，出现如下图所⽰（3）添加主机①查询PC1的ip地址，打开cmd，输⼊ipconfig，如下图，得知IP地址为10.1.1.92②添加PC1主机：切换回PC2，点击如下图所⽰输⼊PC1的ip地址10.1.1.92，端⼝默认7626，点击确定若连接成功，则会显⽰服务器端主机上的盘符，如下图⾄此，我们就可以像操作⾃⼰的电脑⼀样操作远程⽬标电脑.步骤⼆：命令控制台命令的使⽤⽅法（1）⼝令类命令：点击“命令控制台”，然后点击“⼝令类命令”前⾯的“+”即可图界⾯出现如下图所⽰⼝令类命令。
各分⽀含义如下：“系统信息及⼝令”：可以查看远程主机的系统信息，开机⼝令，缓存⼝令等。
可看到⾮常详细的远程主机信息，这就⽆异于远程主机彻底暴露在攻击者⾯前“历史⼝令”：可以查看远程主机以往使⽤的⼝令“击键记录”：启动键盘记录后，可以记录远程主机⽤户击键记录，⼀次可以分析出远程主机的各种账号和⼝令或各种秘密信息（2）控制类命令点击“命令控制台”，点击“控制类命令”前⾯的“+”即可显⽰图所⽰界⾯如下图所⽰控制类命令。
（以”发送信息“为例，发送”nihaoya“）此时切换回PC1查看是否收到信息，如下图⾄此，发送信息功能得到验证各分⽀含义如下：“捕获屏幕”：这个功能可以使控制端使⽤者查看远程主机的屏幕，好像远程主机就在⾃⼰⾯前⼀样，这样更有利于窃取各种信息，单击“查看屏幕”按钮，然后就染成了远程主机的屏幕。
木马攻击实验报告
木马攻击实验报告木马攻击实验报告引言：在当今数字化时代，网络安全问题变得日益严峻。
木马攻击作为一种常见的网络攻击手段，给个人和企业的信息安全带来了巨大威胁。
为了更好地了解木马攻击的原理和防范方法，我们进行了一系列的实验并撰写本报告。
一、实验背景1.1 木马攻击的定义和特点木马攻击是一种通过在目标计算机上植入恶意软件的方式，以获取目标计算机的控制权或者窃取敏感信息的行为。
与其他病毒相比，木马病毒更加隐蔽，不容易被发现和清除，给受害者带来的损失更大。
1.2 实验目的通过实验，我们旨在深入了解木马攻击的原理和过程，掌握常见木马的特征和防范方法，并提高对网络安全的意识和保护能力。
二、实验过程2.1 实验环境搭建我们搭建了一个包含受害机、攻击机和网络设备的实验环境。
受害机是一台运行Windows操作系统的计算机，攻击机则是一台具备攻击能力的计算机。
两台计算机通过路由器连接在同一个局域网中。
2.2 木马攻击实验我们选择了常见的典型木马病毒进行实验，包括黑客常用的远程控制木马、键盘记录木马和数据窃取木马。
通过在攻击机上模拟黑客行为，我们成功地将这些木马病毒传输到受害机上，并获取了受害机的控制权和敏感信息。
2.3 实验结果分析通过实验，我们发现木马病毒的传播途径多种多样，包括电子邮件附件、下载软件、网络漏洞等。
木马病毒一旦感染到目标计算机，往往会在后台默默运行，窃取用户的隐私信息或者利用受害机进行更大范围的攻击。
三、实验反思3.1 实验中的不足之处在实验过程中，我们发现自身的网络安全意识和知识储备还有待提高。
在木马攻击的防范方面，我们对于防火墙、杀毒软件等防护工具的使用和配置还不够熟练，需要进一步学习和实践。
3.2 实验的启示和收获通过本次实验，我们深刻认识到了木马攻击的危害性和普遍性。
我们意识到加强网络安全意识和技术防范的重要性，不仅要保护自己的计算机和信息安全，还要积极参与到网络安全的维护中。
四、防范木马攻击的建议4.1 加强网络安全意识提高个人和企业对网络安全的重视程度，定期进行网络安全培训，学习常见的网络攻击手段和防范方法。
作业-传统木马原理实验报告
传统木马原理实验报告
实验人员:
设备: 交换机;两台电脑
PC1: 192.168.1.133
PC2：192.168.1.169
操作系统: win7
软件：远程控制程序（服务端）
远程控制程序（客户端）
实验步骤：
1在PC1上打开远程控制程序（服务端）
2 在PC2上打开远程控制程序（客户端）
3在远程机IP的地址处填下PC1的IP地址点击“链接远程电脑”
4 在客户端中选择要删除的文件，然后点删除
5 点击关闭对方机器，对方20秒内关机
（20秒内停止程序就可以停止关机）
反转木马原理实验报告
1设置DNS
2 开始监听
3 启动反式链接
4 监听到链接请求
5 被控端被关机
6 操作成功,试验成功。
计算机反病毒 实验6 特洛伊木马
《反病毒技术》实验报告
实验名称特洛伊木马
实验时间实验地点东六E301
专业班级信安0901 学号20092077 姓名赵杨
实验过程记录
特洛伊木马的配置步骤
1）生成服务端
2）发送服务端
将木马服务端发送出去
3）控制服务端
木马受害者上线以后，控制端可以控制木马受害者的文件，远程控制命令，控制注册表，以及屏幕等。
进城控制
截获屏幕
分析思考
1.实验中的木马与现实中的木马有哪些区别?
实验中的木马没有遇到杀毒软件的检测和阻拦，能够轻松的对目标主机发起攻击，取得对目标主机的控制，而现实中，木马需要伪装自己，避免被杀毒软件发现，并通过其他途让目标主机使用者运行该木马程序，这是主要困难。
2.如何预防木马？
一、检测网络连接，如果你怀疑自己的计算机上被别人安装了木马，或者是中了病毒，但是手里没有完善的工具来检测是不是真有这样的事情发生，那可以使用Windows自带的网络命令来看看谁在连接你的计算机。
二、禁用不明服务直接输入“netstart”来查看服务，再用“netstopserver”来禁止服务。
三、经常检查账户，恶意的攻击者非常喜欢使用克隆账号的方法来控制你的计算机。
实验一 木马攻击与防范
实验1 木马攻击与防范一、实验目的通过对木马的练习，使读者理解和掌握木马传播和运行的机制；通过手动删除木马，掌握检查木马和删除木马的技巧,学会防御木马的相关知识，加深对木马的安全防范意识。
二、实验原理木马的全称为特洛伊木马,源自古希腊神话。
木马是隐藏在正常程序中的具有特殊功能的恶意代码，是具备破坏、删除和修改文件、发送密码、记录键盘、实施DoS攻击甚至完全控制计算机等特殊功能的后门程序。
它隐藏在目标计算机里，可以随计算机自动启动并在某一端口监听来自控制端的控制信息.1．木马的特性木马程序为了实现其特殊功能，一般应该具有以下性质：（1)伪装性：程序将自己的服务器端伪装成合法程序，并且诱惑被攻击者执行,使木马代码会在未经授权的情况下装载到系统中并开始运行.（2）隐藏性：木马程序同病毒程序一样,不会暴露在系统进程管理器内，也不会让使用者察觉到木马的存在，它的所有动作都是伴随其它程序进行的，因此在一般情况下使用者很难发现系统中有木马的存在。
(3）破坏性：通过远程控制,攻击者可以通过木马程序对系统中的文件进行删除、编辑操作,还可以进行诸如格式化硬盘、改变系统启动参数等恶性破坏操作。
(4)窃密性:木马程序最大的特点就是可以窥视被入侵计算机上的所有资料，这不仅包括硬盘上的文件，还包括显示器画面、使用者在操作电脑过程中在硬盘上输入的所有命令等.2．木马的入侵途径木马入侵的主要途径是通过一定的欺骗方法，如更改图标、把木马文件与普通文件合并,欺骗被攻击者下载并执行做了手脚的木马程序，就会把木马安装到被攻击者的计算机中。
木马也可以通过Script、ActiveX及ASP、CGI交互脚本的方式入侵,由于微软的浏览器在执行Script 脚本上存在一些漏洞，攻击者可以利用这些漏洞诱导上网者单击网页，这样IE浏览器就会自动执行脚本，实现木马的下载和安装.木马还可以利用系统的一些漏洞入侵,如微软的IIS服务器存在多种溢出漏洞,通过缓冲区溢出攻击程序造成IIS服务器溢出,获得控制权限，然后在被攻击的服务器上安装并运行木马。
木马病毒试验
实验一木马病毒专业班级学号姓名实验学时实验类型实验地点实验时间指导老师实验成绩年月日一实验目的掌握木马病毒的基本原理。
二实验原理用木马程序进行网络入侵，从过程上看大致可分为六步：配置木马(实现伪装和信息反馈)、传播木马(通过 E.mail、病毒和软件等)、运行木马、信息获取、建立连接和远程控制(实现对受害者的控制)。
三预备知识首先要选择熟悉的编程工具，本实验选用VC++为编程语言。
以CSocket 为基类生成进行服务器和控制端的通信，因此需要了解基于Socket 的编程原理。
四实验内容实验内容主要包括程序编译、程序演示两个部分。
（1）程序编译在VC++6.0 环境下编译客户端和服务器端程序。
（2）程序演示首先启动服务器端（被控制端），然后启动客户端（控制端），在控制端输入命令来控制被控制端。
本实验支持的命令参考表 4.1。
试验程序支持的命令列表命令命令含义CMD 执行应用程序!SHUT 退出木马FILEGET 获得远端文件EDTTCONF 编辑配置文件LIST 列目录VIEW 查看文件内容CDOPEN 关CDCDCLOSE 开CDREBOOT 重启计算机五实验环境● VMWar e 5.5.3● Windows XP 操作系统● Visual Studio 6.0 编程环境实验素材：experiments 目录下的simplehorse 目录。
虚拟机：virtualmachine 目录下的WinXPVM 目录。
六实验步骤复制实验文件到实验的计算机上。
其中，SocketListener 目录下是木马Server 端源代码，SocketCommand 目录下是木马Client 端源代码。
程序源代码在虚拟机的“D:\experiment\simplehorse”目录下。
用Visual Studio 6.0 环境分别编译这两部分代码编译。
生成的SocketListener.exe 应用程序时木马被控制端，SocketCommand.exe 应用程序是启动了木马的控制端。
实验4冰河木马实验
实验4冰河木马实验1.实验报告如有雷同,雷同各方当次实验成绩均以0分计。
实验4 冰河木马实验作为一款流行的远程控制工具,在面世的初期,冰河就曾经以其简单的操作方法与强大的控制力令人胆寒,可以说达到了谈冰色变的地步。
若要使用冰河进行攻击,则冰河的安装(就是目标主机感染冰河)就是首先必须要做的。
冰河控制工具中有二个文件:G_Client、exe,以及G_Server、exe。
G_Client、exe就是监控端执行程序,可以用于监控远程计算机与配置服务器。
G_Server、exe就是被监控端后台监控程序(运行一次即自动安装,开机自启动,可任意改名,运行时无任何提示)。
运行G_Server、exe 后,该服务端程序直接进入内存,并把感染机的7626端口开放。
而使用冰河客户端软件(G_Client、exe)的计算机可以对感染机进行远程控制。
冰河木马的主要功能:(1)自动跟踪目标机屏幕变化,同时可以完全模拟键盘及鼠标输入,即在同步被控端屏幕变化的同时,监控端的一切键盘及鼠标操作将反映在被控端屏幕(局域网适用)。
(2)记录各种口令信息:包括开机口令、屏保口令、各种共享资源口令及绝大多数在对话框中出现的口令信息。
(3)获取系统信息:包括计算机名、注册公司、当前用户、系统路径、操作系统版本、当前显示分辨率、物理及逻辑磁盘信息等多项系统数据。
(4)限制系统功能:包括远程关机、远程重启计算机、锁定鼠标、锁定系统热键及锁定注册表等多项功能限制。
(5)远程文件操作:包括创建、上传、下载、复制、伤处文件或目录、文件压缩、快速浏览文本文件、远程打开文件(正常方式、最小化、最大化、隐藏方式)等多项文件操作功能。
(6)注册表操作:包括对主键的浏览、增删、复制、重命名与对键值的读写等所有注册表操作功能。
(7)发送信息:以四种常用图标向被控端发送简短信息。
(8)点对点通讯:以聊天室形式同被控端进行在线交谈等。
【实验步骤】一、攻击1、入侵目标主机首先运行G_Client、exe,扫描主机。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
任务十木马演示
一、实验目的：
通过模拟演示木马程序，加深对恶意代码工作过程的理解，掌握恶意代码防范方法及清除方法。
二、实验环境：
两台预装WindowsXP的主机，通过网络互连
软件工具：冰河木马或灰鸽子木马
三、实验要求：
1.实训要求：使用冰河对远程计算机进行控制
2.实训步骤：
（1）配置服务器程序：冰河的客户端程序为G-client.exe,在冰河的控制端可以对服务器端进行配置，如图1所示：
图1
冰河的安装路径、文件名、监听端口为：<system> ；kernel32.exe ；7626。
冰河在注册表设置的自我保护的内容，就是我们查杀时所要寻找的内容，配置完后生成服务器端程序为G-server.exe。
服务器端一旦运行，该程序就会按照前面的设置在C:\WINNT\system32下生成kernel32.exe和sysexplr.exe，并删除自身。
Kernel32.exe在系统启动时自动加载运行，在注册表中sysexplr.exe和TXT文件关联，如图2所示：
图2
（2）传播木马：通过邮件、QQ等方式传播该木马服务器程序，并诱惑被攻击者运行改程序。
（3）客户端（控制端）操作：冰河的客户端界面如图3所示，冰河的功能是：自动跟踪目标机屏幕变化、记录各种口令信息、获取系统信息、限制系统功能、远程文件操作、注册表操作、发送信息等
图3
（4）冰河木马的防御：中了该木马后，该计算机会主动打开端口等待控制端来连接。
这样很容易被人发现，而安装了防火墙的计算机会阻止该计算机主动对外的连接。
所以安装防火墙是对传统木马的有效防御。
（5）冰河木马的手工清除方法：
A、删除C:\WINNT\system下的kernel32.exe和sysexplr.exe文件
B、删除注册表HKEY_LOCAL_MACHINE\software\microsoft\windows\current version\Run
下键值为C:\WINNT\system\kernel32.exe
C、删除注册表HKEY_LOCAL_MACHINE\software\microsoft\windows\current version\Run
下键值为C:\WINNT\system\sysexplr.exe
D、修改注册表HKEY_CLASSES_ROOT\txtfile\shell\open\command下的默认值，将中木马
后的C:\WINNT\system32\sysexplr.exe%1改为正常的C:\WINNT\notepad.exe%1即可恢复TXT文件关联功能。
3.编写总结报告。