实验八 木马病毒清除实验
病毒查找及清除实验
病毒查找及清除实验应用场景计算机病毒是一个程序，一段可执行码,对计算机的正常使用进行破坏，使得电脑无法正常使用甚至整个操作系统或者电脑硬盘损坏。
就像生物病毒一样，计算机病毒有独特的复制能力。
计算机病毒可以很快地蔓延，又常常难以根除。
它们能把自身附着在各种类型的文件上。
当文件被复制或从一个用户传送到另一个用户时，它们就随同文件一起蔓延开来。
这种程序不是独立存在的，它隐蔽在其他可执行的程序之中，既有破坏性，又有传染性和潜伏性。
轻则影响机器运行速度，使机器不能正常运行；重则使机器处于瘫痪，会给用户带来不可估量的损失。
通常就把这种具有破坏作用的程序称为计算机病毒。
除复制能力外，某些计算机病毒还有其它一些共同特性：一个被污染的程序能够传送病毒载体。
当你看到病毒载体似乎仅仅表现在文字和图像上时，它们可能也已毁坏了文件、再格式化了你的硬盘驱动或引发了其它类型的灾害。
若是病毒并不寄生于一个污染程序，它仍然能通过占据存贮空间给你带来麻烦，并降低你的计算机的全部性能。
病毒往往会利用计算机操作系统的弱点进行传播，提高系统的安全性是防病毒的一个重要方面，但完美的系统是不存在的，过于强调提高系统的安全性将使系统多数时间用于病毒检查，系统失去了可用性、实用性和易用性，另一方面，信息保密的要求让人们在泄密和抓住病毒之间无法选择。
病毒与反病毒将作为一种技术对抗长期存在，两种技术都将随计算机技术的发展而得到长期的发展。
一般正常的程序都是由用户调用，再由系统分配资源，完成用户交给的任务，其目的对用户是可见的、透明的。
而病毒则隐藏在正常的程序中，当用户在调用正常程序时窃取到系统的控制权，先于正常程序执行，病毒的动作、目的对用户来说是未知的，是未经允许的。
一般病毒都具有以下一些特征：1.传染性。
正常的计算机程序一般是不会将自身的代码强行连接到其它程序之上的，而病毒却能使自身的代码强行传染到一切符合其传染条件的未受到传染的程序之上。
是否具有传染性是判别一个程序是否为计算机病毒的最重要的判断依据。
计算机病毒分析实验08-病毒防范-挽救带毒文档
1、学生单击实验拓扑按钮，进入实验场景，进入目标主机，（第一次启动目标主机，还需要安装java空间），如图所示：
2、学生输入账号administrator，密码123456，登录到实验场景中的目标主机。如图所示：
3、进入到D:\tools文件夹下。如图所示:
4、打开“千兆以太网证劵行业.doc”文档。如图所示：
7、点击工具栏“搜索->查找”输入D0CF11E0A1B11AE10000000000000000查找word文件编码头。如图所示：
8、点击“下一个”即可跳转到word21B11AE10000000000000000”以上的16进制编码，然后保存并双击打开“千兆以太网证劵行业”。如图所示：邢_唷?
对16进制的文件直接修改字节指定直接的内容。
对文件全体内容或选定内容进行整体的操作，比如转换格式、内容等。
对文件的字符、词数量进行统计。
对一个文本文件或源代码文件组成的项目进行操作。
实验内容
1、了解部分文件文件头编码
2、了解10进制与16进制之间的转换
3、了解UltraEdit软件的使用
4、了解如何挽救带毒文件
软件描述
1、学生机要求安装java环境
2、安装windows xp的系统
实验环境描述
1、学生机与实验室网络直连;
2、VPC1与实验室网络直连;
3、学生机与VPC1物理链路连通；
预备知识
基于文件头的文件类型验证类
'dw4' => '4F7B',
'pgm' => '50350A',
'pax' => '504158',
实验八-木马攻击实验
实验八木马攻击实验一、实验目的通过学习冰河木马远程控制软件的使用，熟悉使用木马进行网络攻击的原理和方法。
二、实验内容1、在计算机A上运行冰河木马客户端，学习其常用功能；2、在局域网内另一台计算机B上种入冰河木马（服务器），用计算机A控制计算机B；3、手动删除冰河木马，修改注册表和文件关联。
三、实验要求1、合理使用冰河木马，禁止恶意入侵他人电脑和网络；2、了解冰河木马的主要功能；3、记录实验步骤、实验现象、实验过程中出现的意外情况及解决方法；4、总结手动删除冰河木马的过程。
四、实验过程作为一款流行的远程控制工具，在面世的初期，冰河就曾经以其简单的操作方法和强大的控制力令人胆寒，可以说达到了谈冰色变的地步。
鉴于此，我们就选用冰河完成本次实验。
若要使用冰河进行攻击，则冰河的安装（是目标主机感染冰河）是首先必须要做的。
冰河控制工具中有两个文件：G_Client.exe，以及G_Server.exe。
G_Client.exe是监控端执行程序，可以用于监控远程计算机和配置服务器。
G_Server.exe是被监控端后台监控程序（运行一次即自动安装，开机自启动，可任意改名，运行时无任何提示）。
运行G_Server.exe 后，该服务端程序直接进入内存，并把感染机的7626端口开放。
而使用冰河客户端软件（G_Client.exe）的计算机可以对感染机进行远程控制。
1、入侵目标主机：首先运行G_Client.exe，扫描主机。
查找IP地址：在“起始域”编辑框中输入要查找的IP地址，本实验搜索IP地址“219.219.68.***”网段的计算机，点“开始搜索”按钮，在右边列表框中显示检测到已经在网上的计算机的IP地址。
搜索框内有显示状态为ERR的主机，是因为这些主机上没有种马，即没有安装服务器。
2、在命令控制台中操作：口令类命令：系统命令及口令历史口令击键记录控制类命令：抓捕屏幕发送信息进程管理窗口管理系统控制鼠标控制其他控制网络类命令：网络信息---查看共享文件类命令：文件复制注册表读写：键值读取设置类命令：服务器端配置读取服务器配置修改服务器配置删除“冰河”木马的方法：A．客户端的自动卸载功能，在“控制命令类”中的“系统控制”里面就有自动卸载功能，执行这个功能，远程主机上的木马就自动卸载了。
实验八 脚本病毒
实验八脚本病毒实验八脚本病毒实验八脚本病毒一、实验目的1.了解脚本病毒的工作原理；2.观察病毒感染现象，手动检查并杀灭病毒。
二、实验环境1.本练习由小组中的一个人进行。
2．首先使用“快照x”恢复windows系统环境。
三、实验原理恶意脚本是指一切以制造危害或者损害系统功能为目的而从软件系统中增加、改变或删除的任何脚本。
VBS病毒是用VBScript编写的。
脚本语言非常强大。
它们利用windows系统的开放特性，通过调用一些现成的windows对象和组件，可以直接控制文件系统和注册表。
2000年5月4日，在欧美爆发了“爱虫”网络蠕虫病毒，造成了比“美丽莎”病毒破坏性更大的经济损失。
这个病毒是通过microsoftoutlook电子邮件系统传播的，邮件的主题为“iloveyou”，并包含一个附件。
一旦在microsoftoutlook里打开这个邮件，系统就会自动复制并向地址簿中的所有邮件电址发送这个病毒。
这个病毒属于vbs脚本病毒，可以通过html，irc，email进行大量的传播。
斯维尔。
VBS病毒具有“爱虫”病毒的某些功能。
它是一种基于“爱虫”病毒的模拟病毒，可以降低其破坏性，并将感染范围控制在一定范围内。
四、实验步骤1.网页恶意代码（1）新建记事本hostilitycode1.txt，在文本中编写如下代码，保存代码并退出，更改扩展名.txt为.html，双击hostilitycode1.html页面，观察页面效果。
（如果打开页面时出现安全警告，单击右键选择“允许阻止的内容”）页面效果：。
并说明其实现原理：。
(2)恶意网页2创建一个新的记事本hostilitycode2 Txt，在文本中写入以下代码，保存代码并退出，并将扩展名Txt更改为HTML，双击hostilitycode2 HTML页面，观察页面效果。
页面效果：。
并解释其实施原则：。
2.svir.vbs病毒专杀工具设计(1)观察svir.vbs病毒感染现象① 查看要被病毒感染和修改的目标项目。
木马病毒攻击实验
访问以后看你的计算机是否开始注销或者关闭了。
八、实验数据及结果分析：
由于这个脚本是针对IE的漏洞进行设计的，因此对于Windows2000和Windows Xp，这个木马都有效。当然对于已经打了补丁的系统，这个脚本就无能为力了。另外由于已经对木马加密了，所以在一定程度上这个木马脚本还有一定免查杀能力，在某些实验环境下杀毒软件没有任何提示，因为现在的杀毒软件多数都是根据的病毒的特征码来查杀病毒的，而加密以后就不在具有病毒的特征码描述的特征了。
步骤2改为访问http://localhost/jstrojan/breed/index.html
通过命令行查看用户目录，然后到用户目录去看一下，是否有很多可执行文件生成（最多可以达到30000个，我们限制了数量），检查这些可执行文件是否有自我们繁殖功能。
实验三
通过木马关闭计算机
步骤基本和实验一相同
十一、对本实验过程及方法、手段的改进建议：
我们在实验中使用的木马功能其实并不够强大，也就是只有演示功能，其实我们完全可以把远程控制功能加到木马写木马中，这样才能够算是真正意义上的木马，一旦用户访问了我们指定的页面，该计算机就会被我们所控制。
报告评分：分
指导教师签字：
o.Fields("a").Value="这里是HTA的代码"
hta代码在IE临时文件夹内找到bbs003302.css并且改成可执行文件，然后修改成AUTOEXEC.BAT隐藏运行.这里HTA是指HTML Application(关于它的信息请参考Windows的帮助文档)
四、跨域运行HTA的实现.
计算机病毒及防治实验报告081310128王晨雨
南京航空航天大学计算机病毒及防治上机实验报告学院：理学院专业：信息与计算科学学号：081310128姓名：王晨雨授课老师：薛明富二〇一六年十二月实验一：引导型病毒实验 (2)【实验目的】 (2)【实验平台】 (2)【试验内容】 (2)实验二：Com病毒实验 (6)【实验目的】 (6)【实验平台】 (6)【试验内容】 (6)实验三：PE文件格式实验 (9)实验四：32位文件型病毒实验 (11)实验五：简单的木马实验 (14)实验七：木马病毒清除实验（选做） (19)实验八：Word宏病毒实验（一） (22)实验目的 (22)实验所需条件和环境 (22)实验内容和分析 (23)实验九：Word宏病毒实验（二） (27)清除宏病毒 (29)实验十：Linux脚本病毒实验（选做） (32)实验十二：基于U盘传播的蠕虫病毒实验 (33)实验十三：邮件型病毒实验 (36)实验十四：Web恶意代码实验 (39)实验一： (39)实验二： (39)实验一：引导型病毒实验【实验目的】通过实验，了解引导区病毒的感染对象和感染特征，重点学习引导病毒的感染机制和恢复感染病毒文件的方法，提高汇编语言的使用能力。
实验内容引导阶段病毒由软盘感染硬盘实验。
通过触发病毒，观察病毒发作的现象和步骤，学习病毒的感染机制：阅读和分析病毒的代码。
DOS运行时病毒由硬盘感染软盘的实现。
通过触发病毒，观察病毒发作的现象和步骤，学习病毒的感染机制：阅读和分析病毒的代码。
【实验平台】VMWare Workstation 12 PROMS-DOS 7.10【试验内容】第一步：环境安装安装虚拟机VMWare，在虚拟机环境内安装MS-DOS 7.10环境。
第二步：软盘感染硬盘1)运行虚拟机，检查目前虚拟硬盘是否含有病毒，图1表示没有病毒正常启动硬盘的状态。
2)在附书资源中复制含有病毒的虚拟软盘virus.img3)将含有病毒的软盘插入虚拟机引导，可以看到闪动的字符*^_^*，如图2所示，按任意键进入图3。
个人分享木马病毒查杀总结
一、前言《病毒木马查杀》系列以真实的病毒木马（或统称为恶意程序）为研究对象，通过现有的技术手段对其分析，总结出它的恶意行为，进而制定出相应的应对方法（如编写专杀工具），对其彻底查杀。
当然，本系列更多地是讨论如何应对某一个特定的病毒，而不涉及广义的杀毒软件的编写。
因为如今杀软的原理非常复杂，并不是一个人就能够完成的，加之我个人水平有限，因此不会涉及杀软编写的问题。
不过，我会在以后的文章中在理论层面对此进行分析。
在本系列的文章中，对于某一个病毒或木马，我可能会从以下三个方面进行查杀：手动查杀、监测恶意行为编写专杀工具或通过逆向分析其反汇编代码进行彻底查杀。
这几种方式通过对病毒的不断深入分析，从而更有效地对抗恶意程序。
需要说明的是，手动查杀病毒是比较粗浅的，难以彻底清除病毒，但是有些时候却是快速而有效的。
而通过行为对恶意程序进行监测，虽说比手动查杀的效果要好很多，但是有些时候往往也会有些遗漏。
所以其实最好的还是通过逆向分析来了解恶意程序，只是这样往往耗时较多。
希望本系列的文章能够起到科普作用，让大家打消对病毒木马的恐惧感，使得每一位读者都能成为反病毒的专家。
二、病毒分析方法一般来说，除非是感染型病毒，否则是不需要对病毒进行逆向分析的，只需要对病毒进行行为分析就可以编写专杀工具。
而如果是感染型病毒，由于需要修复被病毒感染的文件，那么就不能仅仅简单地分析病毒的行为，而必须对病毒进行逆向分析，从而修复被病毒所感染的文件。
因此，实际中的分析方法有以下两种：1、行为分析。
恶意程序为了达到目的，都有自己的一些特殊的行为，这些特殊的行为是正常的应用程序所没有的。
比如把自己复制到系统目录下，或把自己添加进启动项，或把自己的某个DLL文件注入到其它进程中去……这些行为都不是正常的行为。
我们拿到一个病毒样本后，通常就是将病毒复制到虚拟机中，然后打开监控工具，比如Process Monitor。
将各种准备工作做好以后，在虚拟机中把病毒运行起来，看病毒对注册表、对文件进行了哪些操作，连接了哪个IP地址、创建了哪些进程等。
木马软件、间谍软件的清除
实验六木马软件、间谍软件的清除班级：学号：姓名：一、目的1、了解木马软件、间谍软件的危害、传播方式2、学会使用spybot-search&destory软件来查找和清除间谍软件3 、学会使用木马克星来查找和清除木马4、学会使用SREng来维护系统的自动启动项目和注册表修复二、课时/场所2/网络实训室/互联网计算机三、内容1、通过internet了解常见的木马软件和间谍软件，以及它们的危害和传播方式，。
2、下载软件spybot-search&destory，然后安装。
a)运行软件spybot-search&destory对系统进行扫描，并分析扫描结果，进行处理。
b)对spybot-search&destory软件进行升级，再次扫描，与上次扫描结果进行比较。
c)对扫描的结果有选择的修复d)如果修复后，电脑出现异常，如何恢复？3、下载软件木马克星，并安装、运行a)扫描内存，查看并分析扫描结果b)扫描硬盘并清除扫描到的木马c)如果清除木马后电脑出现异常，如何恢复？d)对软件进行升级操作，是否能够正常升级？分析原因？4、下载软件SREng，安装a)运行SREng，查看系统有哪些启动项目？b)分析这些启动项目，对一些无关紧要的项目取消自动启动c)查看系统修复包括哪些内容？d)利用SREng软件来修复ie的默认主页为about :blanke)利用软件SREng来查看系统的文件关联是否有错，如果有进行修复操作f)查看浏览器有哪些加载项？5、简单的命令检查电脑是否被安装木马一些基本的命令往往可以在保护网络安全上起到很大的作用，下面几条命令的作用就非常突出。
检测网络连接如果你怀疑自己的计算机上被别人安装了木马，或者是中了病毒，但是手里没有完善的工具来检测是不是真有这样的事情发生，那可以使用Windows自带的网络命令来看看谁在连接你的计算机。
具体的命令格式是：netstat -an这个命令能看到所有和本地计算机建立连接的IP，它包含四个部分——proto(连接方式)、local address(本地连接地址)、foreign address(和本地建立连接的地址)、state(当前端口状态)。
信息安全专业 木马病毒 实习报告
xxxx大学计算机科学与工程学院专业实习报告学生姓名：学号：专业：班级：指导教师：实习时间： 2015.6.27-2015.7.1完成日期： 2015年7月1日病毒木马攻击原理研究与简单实践实习时间：2015年6月27日至2015年7月1日实习地点：软件实验室实验环境：装有win8系统计算机一台vmware虚拟机C++软件学习目的：了解木马病毒的原理、特征、种类、伪装、挂马及其防范等，利用已学的专业课程，探究木马病毒的原理和方式，为毕业设计中实现模拟病毒木马的攻击与防范流程的心得体会打基础。
实习进程及具体内容：实习的过程中我听从指导老师的建议由木马和病毒的定义和基本原理入手，通过上网查阅资料、虚拟机模拟操作等手段逐步拨开迷雾，对木马病毒的运作、传播、隐藏等行为进行了深度的研究与总结，从而理解了从病毒入侵到病毒清除和防御的每个步骤及原理，并能够对整体过程进行剖析。
具体内容如下:1 木马病毒的概述及概述1.1木马的的定义木马的全称是“特洛伊木马”，是一种新型的计算机网络病毒程序，是一种基于远程控制的黑客工具，它利用自身具有的植入功能，或依附具有传播功能的病毒，进驻目标机器监听、修改。
窃取文件。
1.2木马的基本特征1、隐蔽性是其首要的特征当用户执行正常程序时，在难以察觉的情况下，完成危害影虎的操作，具有隐蔽性。
它的隐蔽性主要体现在6个方面：1.不产生图标、2.文件隐藏、3.在专用文件夹中隐藏、4.自动在任务管理其中隐形、5.无声无息的启动、6.伪装成驱动程序及动态链接库2、它具有自动运行性它是一个当你系统启动时即自动运行的程序，所以它必需潜入在你的启动配置文件中，如win.ini、system.ini、winstart.bat以及启动组等文件之中。
3、木马程序具有欺骗性木马程序要达到其长期隐蔽的目的，就必需借助系统中已有的文件，以防被你发现，它经常使用的是常见的文件名或扩展名，如“dll\win\sys\explorer 等字样，或者仿制一些不易被人区别的文件名，如字母“l”与数字“1”、字母“o”与数字“0”，常修改基本文件中的这些难以分辨的字符，更有甚者干脆就借用系统文件中已有的文件名，只不过它保存在不同路径之中。
网络攻防—木马实验报告
综合实验报告( 2012 -- 2013 年度第二学期)名称：网络攻防系统实验题目：木马院系：计算机系班级：信息安全1001班学号：************学生姓名：***指导教师：***设计周数： 2成绩：日期：2013年7月10日网络攻防实验任务书一、目的与要求1．目的1.1 培养学生的动手实践能力1.2 深入理解计算机网络应用程序工作原理1.3 更加深入学习网络攻防的基本步骤。
1.4 掌握网络攻击软件的编写能力。
1.5把前期学习阶段的知识和方法系统化，来解决实际问题，为毕业设计做准备。
2. 要求2.1 运用所学的知识和方法采用最佳的解决问题思路，完成本次实验。
2.2 根据任务书所规定的程序能查找相关资料，学习相关开发技术和理论知识。
2.3对要完成的内容进行详细的分析和设计，画出系统执行的流程图和系统构架图。
2.4 认真书写实验报告，包括实验过程中遇到的问题，解决办法，也包括实验后的新的体会及队本次实验的建议和意见。
二、主要内容编写一个针对Windows的木马程序，该木马可以作为各种入侵程序的伪装外壳，保证信息窃探工作的顺利完成，基本程序功能如下：1、在主程序中要求将程序拷贝到系统盘\windows\目录下并更名为taskmgr.exe，同时复制第二份到系统盘\windows\system32目录下并更名为explorer.exe。
用以混淆用户对木马的第一判断。
2、程序建立两个windows进程，每个进程每一个时钟周期检查另外一个进程是否正在运行。
如果存在弹出对话框“I’m still here!”,如果不存在启动另一个进程并弹出对话框“I’m still here!”。
3、将拷贝好的两个病毒程序添加到注册表起动项中。
（software\\microsoft\\windows\\currentversion\\run）。
每个时钟程序在运行的时候都要向注册表中添加此信息。
三、进度计划四、设计（实验）成果要求1．完成规定的实验任务，保质保量；2．完成综合实验报告，要求格式规范，内容具体而翔实，应体现自身所做的工作，注重对实验思路的归纳和对问题解决过程的总结。
木马攻击实验报告
木马攻击实验报告
《木马攻击实验报告》
近年来，随着网络技术的不断发展，网络安全问题也日益凸显。
其中，木马攻击作为一种常见的网络安全威胁方式，给网络系统的安全运行带来了严重的威胁。
为了深入了解木马攻击的原理和特点，我们进行了一次木马攻击实验，并撰写了本次实验报告。
实验背景：本次实验旨在通过模拟网络环境，了解木马攻击的实际效果和防范措施。
我们选择了一个虚拟网络环境，搭建了一台主机作为攻击者，一台主机作为受害者，以及一台主机作为监控者。
实验过程：首先，我们在受害者主机上安装了一个虚拟的木马程序，并设置了相应的触发条件。
然后，攻击者主机通过网络连接到受害者主机，利用木马程序对其进行攻击。
在攻击的过程中，我们观察到受害者主机的系统出现了异常现象，包括文件被删除、系统崩溃等。
最后，我们通过监控者主机对攻击进行了记录和分析。
实验结果：通过实验，我们发现木马攻击具有隐蔽性强、破坏性大的特点。
一旦受害者主机感染了木马程序，攻击者可以远程控制受害者主机，窃取敏感信息，甚至对系统进行破坏。
同时，我们也发现了一些防范木马攻击的方法，包括加强网络安全意识、定期更新系统补丁、安装杀毒软件等。
结论：木马攻击是一种严重的网络安全威胁，对网络系统的安全稳定造成了严重的影响。
通过本次实验，我们深入了解了木马攻击的原理和特点，为今后的网络安全防范工作提供了重要的参考。
我们也呼吁广大网络用户加强网络安全意识，共同维护网络安全。
计算机病毒防护技术病毒检测及清除实验
5、检测中毒后的系统
6、得出实验结论
3.2、威金病毒的检测
1、备好病毒样本
2、先准备一张含有威金病毒的软盘或光盘，或带有威金病毒的U盘。
3、运行VMWare虚拟机软件。
4、为了整个计算机本身的安全或整个实验室系统的安全，让实验在虚拟的环境下进行，
5、检测干净系统
6、种植威金病毒
插入含有威金病毒的U盘、光盘或者软盘，点击含有威金病毒文件夹下的威金文件，这时就将威金病毒种植到计算机系统中了。
3、实验步先准备一张含有熊猫烧香病毒的软盘或光盘，或带有熊猫烧香病毒的U盘。
2、运行VMWare虚拟机软件。
为了整个计算机本身的安全或整个实验室系统的安全，让实验在虚拟的环境下进行，
3、检测干净系统
4、种植熊猫烧香病毒
插入含有熊猫烧香病毒的U盘、光盘或者软盘，点击含有熊猫烧香病毒文件夹下的setup.exe文件，这时就将熊猫烧香病毒种植到计算机系统中了。
IPARMOR.EXE
Ravmond.exe
9、病毒尝试利用以下命令终止相关杀病毒软件：net stop "Kingsoft AntiVirus Service"
10、发送ICMP探测数据"Hello,World"，判断网络状态，网络可用时，枚举内网所有共享主机，并尝试用弱口令连接IPC$、admin$等共享目录，连接成功后进行网络感染。
木马攻击实验报告
木马攻击实验报告木马攻击实验报告引言：在当今数字化时代，网络安全问题变得日益严峻。
木马攻击作为一种常见的网络攻击手段，给个人和企业的信息安全带来了巨大威胁。
为了更好地了解木马攻击的原理和防范方法，我们进行了一系列的实验并撰写本报告。
一、实验背景1.1 木马攻击的定义和特点木马攻击是一种通过在目标计算机上植入恶意软件的方式，以获取目标计算机的控制权或者窃取敏感信息的行为。
与其他病毒相比，木马病毒更加隐蔽，不容易被发现和清除，给受害者带来的损失更大。
1.2 实验目的通过实验，我们旨在深入了解木马攻击的原理和过程，掌握常见木马的特征和防范方法，并提高对网络安全的意识和保护能力。
二、实验过程2.1 实验环境搭建我们搭建了一个包含受害机、攻击机和网络设备的实验环境。
受害机是一台运行Windows操作系统的计算机，攻击机则是一台具备攻击能力的计算机。
两台计算机通过路由器连接在同一个局域网中。
2.2 木马攻击实验我们选择了常见的典型木马病毒进行实验，包括黑客常用的远程控制木马、键盘记录木马和数据窃取木马。
通过在攻击机上模拟黑客行为，我们成功地将这些木马病毒传输到受害机上，并获取了受害机的控制权和敏感信息。
2.3 实验结果分析通过实验，我们发现木马病毒的传播途径多种多样，包括电子邮件附件、下载软件、网络漏洞等。
木马病毒一旦感染到目标计算机，往往会在后台默默运行，窃取用户的隐私信息或者利用受害机进行更大范围的攻击。
三、实验反思3.1 实验中的不足之处在实验过程中，我们发现自身的网络安全意识和知识储备还有待提高。
在木马攻击的防范方面，我们对于防火墙、杀毒软件等防护工具的使用和配置还不够熟练，需要进一步学习和实践。
3.2 实验的启示和收获通过本次实验，我们深刻认识到了木马攻击的危害性和普遍性。
我们意识到加强网络安全意识和技术防范的重要性，不仅要保护自己的计算机和信息安全，还要积极参与到网络安全的维护中。
四、防范木马攻击的建议4.1 加强网络安全意识提高个人和企业对网络安全的重视程度，定期进行网络安全培训，学习常见的网络攻击手段和防范方法。
木马实验的实验总结
木马实验的实验总结木马实验是计算机安全领域中经常进行的一种实验，通过模拟木马攻击来测试系统的安全性和对抗能力。
本文将对木马实验进行总结和分析，以便更好地理解木马攻击的原理和防范措施。
木马实验是一种模拟攻击的实验方法，旨在测试系统的安全性。
通过模拟真实的木马攻击行为，可以评估系统的抵抗能力和安全性水平。
实验过程中，攻击者会利用木马程序来入侵目标系统，获取敏感信息或者控制系统。
而被攻击的系统则需要及时发现并阻止这种入侵行为，保障系统的安全。
木马实验的目的是为了测试系统的防御能力。
通过模拟木马攻击，可以检验系统的反病毒、入侵检测和安全防护等功能是否有效。
实验者可以利用各种类型的木马程序，观察系统的反应和应对措施，从而评估系统的安全性能。
如果系统能够及时发现并阻止木马攻击，那么说明系统的安全防护措施是有效的。
木马实验中，攻击者会选择合适的木马程序进行攻击。
木马程序通常隐藏在合法的程序中，具有潜伏性和隐蔽性。
攻击者通过各种途径将木马程序传播到目标系统中，例如通过网络传输、邮件附件或者可移动存储介质等。
一旦木马程序成功运行并取得系统的控制权，攻击者就可以进行各种恶意操作，如窃取个人信息、破坏系统文件或者进行远程控制等。
针对木马攻击，系统需要采取一系列的防范措施。
首先，及时更新操作系统和应用程序的补丁，以修复已知漏洞。
其次，安装可靠的防病毒软件，并定期更新病毒库。
第三，限制系统的访问权限，避免非授权人员对系统进行操作。
第四，加强网络安全防护，设置防火墙、入侵检测系统等。
此外，还可以对系统进行加固，如禁用不必要的服务、设置强密码、定期备份数据等。
在木马实验过程中，需要注意保护系统和数据的安全。
实验者在进行木马攻击时，应确保攻击范围仅限于实验环境，避免对其他系统造成损害。
同时，实验者需要遵守相关法律法规，不得利用木马攻击进行非法活动。
另外，实验完成后，应及时清除木马程序和相关痕迹，以免留下安全隐患。
木马实验是一种测试系统安全性的重要方法。
实验八报告(木马病毒2冰河木马)解析
计算机病毒实验报告姓名：学号:老师：一、实验目的学会使用冰河软件控制远端服务器，执行后门攻击。
了解木马的危害和攻击手段，为将来的防御和系统评估带来更高的认知度。
二、实验内容在实验环境下，完成冰河病毒体验实验。
三、实验环境● 硬件设备1) 小组PC（WIN2003系统）一台，用于远程控制2) 防火墙一台3) 机架服务器（WIN2003系统）一台，用于使其受控● 软件工具1) 冰河软件（程序包，含客户端、服务端）用于实现控制2) WireShark我所使用的PC终端IP地址是：192.168._1__._ 2_被分配的Windows2003 服务器对象地址是： 192.168.1.251本实验可单人或两人合作完成，从PC终端发起控制指令，使埋在服务器上的木马程序运行并连接到PC终端控制台上，完成整个实验过程。
并通过该远程控制程序研究如果引诱放置并执行该受控程序，同时也须研究如何防御封堵此类危险的远程控制行为。
四、实验步骤本实验由我和同学利用两台主机合作完成。
Step1：获取被控制主机的IP。
将G_server.exe程序放置一台主机(被控制的主机，即IP为192.168.1.1的主机)上并运行之。
在C盘中建立222.txt文件。
Step2：在终端PC 上，打开控制端程序：G_CLIENT.EXE。
在冰河主窗口下，选择扫描图标。
Step3：在起始域中选择<192.168.1>，在起始地址为1，终止地址为50，单击开始。
Step4：扫描成功，单击关闭。
在G_CLIENT中打开一添加的计算机。
或在G_CLIENT中直接添加计算机。
添加成功，可以看到被控制主机中的所有文件。
可以看到被控制主机中在C盘建立的222.txt文件。
复制到桌面。
打开查看内容。
Step5:点击冰河主界面空白部分，选择上传文件自，将一恶意网页病毒文件上传至被控制主机的C盘。
被控制端可以看到C盘中多了1.html 文件。
在控制端选择1.html文件，远程打开。
计算机病毒分析实验08-病毒免杀实验-UPX加壳分析
类别
内容
ቤተ መጻሕፍቲ ባይዱ实验课题名称
木马攻击-UPX加壳实验
实验目的与要求
1、了解UPX软件原理
2、掌握UPX软件使用
3、了解加壳原理
实验环境
VPC1(虚拟PC）
操作系统类型：windows网络接口：本地连接
VPC1连接要求
PC网络接口，本地连接与实验网络直连
软件描述
1、学生机要求安装java环境
2、安装windows 2003的系统
4、打开“UPX压缩与解压器”软件。
图4
5、点击UPX压缩与解压器软件中的“打开”，找到notepad.exe程序,把其中的一个.exe放到文件名位置,并打开。如图5所示：
图5
6、点击打开以后，UPX自动进入如图6所示页面：
图6
7、去掉“解压”前面勾选项，点击“执行”按钮，将对notepad.exe进行操作，执行以后结果，如图7所示：
图7
8、找到PEiD.exe，使用软件PEid测试notepad.exe是否加壳，打开PEid软件。进入PEid软件页面。如图8所示：
图8
9、点击软件中“...”按钮，选择notepad.exe软件放置到file选项中。如图9所示：
图9
10、Notepad.exe放到PEid软件中，自动检测。如图10所示：
UPX（the Ultimate Packer for eXecutables）是一个免费且开源的软件，支持很多种不同操作系统上的文件格式。
UPX使用一种叫做UCL的压缩算法，这是一个对有部分专有算法的NRV（Not Really Vanished）算法的一个开源实现。
UCL被设计的足够简单使得解压缩只需要数百字节的额外代码。UCL在解压缩过程中不需要额外的内存，这最大的好处就意味着经过UPX压缩的可执行文件执行时通常也不需要额外的内存。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
实验八木马病毒清除实验1.实验目的(1)熟悉BO2K木马的源代码。
(2)熟悉BO2K木马的原理和用法2.实验所需条件和环境1、硬件HPDX23582、Windows32操作系统，Visual Studio 7.0 编译环境3.实验步骤1、从随书资源目录\Experiment\Antitrojan\,文件为Antitrojan.sln为工程文件，使用Antitrojan.exe观察效果。
2、设计思路：1. 设计1.1功能本程序利用开放主机端口号和各个木马程序使用端口的对应关系，判断主机是否已中木马，中了何种木马（目前能查找一百余种），并能根据所中木马的类型，对其中的二十几种进行杀灭。
此外，用户可自行追加数据库，增加能查找病毒的种类。
1.2程序流程1.3核心数据结构本程序的数据文件Trojan.txt使用了TROJAN结构来保存木马的名称，对应打开端口号和查杀代码：TROJAN：字段名称字段类型字段说明nPort 数字该木马所使用的端口号。
TroName 字符串该木马的名称。
nKillno 数字该木马的查杀号，杀除函数调用。
pnext 指针用于构成链表结构指针在Trojan.txt中，每行为一个木马项，格式为2. 关键技术2.1技术背景一般情况下，特定木马在运行时都会打开特定的端口和主控端进行通信，利用木马的这个特征，我们可以通过建立一个已知木马的名称和其使用端口的对应数据库来检测主机是否感染了木马，一旦得知了木马名称，就可以调用针对此木马的杀灭手段进行消除。
本程序就是利用了木马这样的特性进行编写，在windows系统中，netstat命令可以很轻松的取得本地打开端口的列表，我们可以在程序中用system函数调用此命令，并读取保存的结果，就可以取得主机所有打开的端口（包括tcp和udp）。
对于杀除木马，通常通过以下一系列手段进行：消灭主机中运行的木马进程。
消灭主机中存在的木马文件。
删除木马在主机注册表中添加的项。
删除木马在其他文件中添加的自启动项。
2.2技术细节netstat命令有一个很强大的参数-a，使用了这个参数，我们可以获得主机所有开放的端口，包括tcp端口和udp端口，也包括活动的和非活动的端口。
通过在VC中使用system("netstat -a >c:\\log.txt")函数，我们可以将netstat命令获得结果保存在c:\log.txt中，随即读取此文件，通过数据过滤，得到本地主机所有的开放端口。
在过滤log.txt数据的过程中，由于保存的格式都是：所以我们要调用gethostbyaddr函数来获得主机名返回的HOSTENT就包括主机名，当传入的地址是空指针时，函数就返回本地主机的名称。
而当我们取得主机名后，就可以根据log.txt的格式获的各个打开得端口了。
在杀除木马的部分，我们首先要做的是消灭主机中运行的木马进程，只有杀灭了木马进程，随后的清理工作才会有意义，否则木马重新在注册表和系统文件中添加自启动项。
消除木马进程的过程分为三步：提升本程序权限，使其能够杀除木马进程，主要是通过AdjustTokenPrivileges函数来完成。
当DisableAllPrivileges设为FALSE，而且NewState中的属性为SE_PRIVILEGE_ENABLED时，我们就可以提升权限了。
枚举进程，获得木马进程的进程号码。
我们首先通过EnumProcesses函数来枚举系统中所有运行的进程。
当获得所有进程的进程号以后，枚举每一个进程所包含的模块，这里使用EnumProcessModules函数：通过返回的模块信息，我们可以利用GetModuleFileNameEx来取得此模块调用文件的文件名：杀除木马进程：如果取得文件名和木马的名称一样，则调用TerminateProcess函数杀除木马进程。
在杀除木马的进程以后，就可以删除木马文件，删除注册表项和删除文件中的自启动项的操作了，其中涉及到几个注册表操作函数：1．RegOpenKeyEx：用来打开注册表项。
2．RegQueryValueEx：用来查询特定注册表项中的键值3．RegDeleteValue：当我们查找到的键名和其含有的键值与木马添加的内容一致时，就可以调用该函数删除此键。
对于木马文件，本程序调用DeleteFile函数来删除。
3. 附录（本程序能杀灭的木马及杀除方法）1．AttackFTP清除步骤：打开win.ini文件在[WINDOWS]下面有load=wscan.exe删除wscan.exe ，正确是load=保存退出win.ini。
打开注册表Regedit，点击目录至：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run删除Reminder="wscan.exe /s"关闭Regedit，重新启动到MSDOS系统中删除C:\windows\system\wscan.exe2．BackDoor v2.00 - v2.03清除步骤：打开注册表Regedit，点击目录至：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run删除右边的‘c:windowsnotpa.exe /o=yes‘关闭Regedit，重新启动到MSDOS系统中删除c:windowsnotpa.exe注意：不要删除真正的notepad.exe笔记本程序3．BladeRunner清除木马的步骤：打开注册表Regedit，点击目录至：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run可以找到System-Tray = "c:\something\something.exe"右边的路径可能是任何东西，这时不需要删除它，因为木马会立即自动加上，只要记下木马的名字与目录，然后退回到MS-DOS下，找到此木马文件并删除掉。
重新启动计算机，然后重复第一步，在注册表中找到木马文件并删除此键。
4．DeepThroat v1.0 - 3.1 + Mod (Foreplay)清除木马的步骤：打开注册表Regedit，点击目录至：HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run版本1.0删除右边的项目‘System32‘=c:windowssystem32.exe版本2.0-3.1删除右边的项目‘SystemTray‘= ‘Systray.exe‘保存Regedit，重新启动Windows版本1.0：删除c:\windows\system32.exe版本2.0-3.1：删除c:\windows\system\systray.exe5．Doly v1.1 - v1.5这几个木马版本的木马程序放在三处，增加二个注册项目，还增加到Win.ini项目。
首先，进入MS-DOS方式，删除三个木马程序，但V1.35版本多一个木马文件mdm.exe。
把下列各项全部删除：C:\WINDOWS\SYSTEM\tesk.sysC:\Program Files\MStesk.exeC:\Program Files\Mdm.exe重新启动Windows。
接着，打开win.ini文件，找到[WINDOWS]下面load=c:windowssystemtesk.exe项目，删除路径，改变为load=，保存win.ini文件。
最后，修改注册表Regedit找到以下两个项目并删除它们：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run下Ms tesk = "C:\Program Files\MStesk.exe"HKEY_USER\./Default\Software\Microsoft\Windows\CurrentVersion\Run下Ms tesk = "C:\Program Files\MStesk.exe"再寻找到HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ss 这个组是木马的全部参数选择和设置的服务器，删除这个ss组的全部项目。
关闭保存Regedit。
还有打开C:AUTOEXEC.BAT文件，删除@echo off copy c:\sys.lon c:\windows\StartMenu\Startupdel c:win.reg关闭保存autoexec.bat。
6．GateCrasher清除步骤：打开注册表Regedit ，点击目录至：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 删除右边的项目：Explore=‘c:\windows\explore.exe‘关闭保存Regedit，重新启动Windows然后，删除相应的木马程序。
7．Girlfriend v1.3x (Including Patch 1 and 2)清除步骤：打开注册表Regedit，点击目录至：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 删除右边的项目：Windll.exe ="C:\windows\windll.exe"Regedit里也保存着服务器的数据HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\General删除General项目标题关闭保存Regedit，重新启动Windows然后，找到相应的木马程序，并删除。
8．Hack99 KeyLogger清除步骤：打开注册表Regedit，点击目录至：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 删除右边的项目：HKeyLog = "C:\Windows\System\HKeyLog.exe"关闭保存Regedit，重新启动Windows删除C:\Windows\System\HKeyLog.exe9．iniKiller v1.2 - 3.2 Pro清除步骤：打开注册表Regedit，点击目录至：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 删除右边的项目：Explore="C:\windows\bad.exe "关闭保存Regedit，重新启动Windows删除C:\windows\bad.exe10．Masters Paradise清除步骤：打开注册表Regedit，点击目录至：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run删除右边的项目：SYSEDIT = c:\windows\sysedit.exeHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices 删除右边的项目：Explorer = c:\......agent.exe关闭保存Regedit，重新启动Windows，查找到木马程序，并删除它们。