第9章：木马攻击与防御技术讲解
实验一 木马攻击与防范
实验1 木马攻击与防范一、实验目的通过对木马的练习，使读者理解和掌握木马传播和运行的机制；通过手动删除木马，掌握检查木马和删除木马的技巧，学会防御木马的相关知识，加深对木马的安全防范意识。
二、实验原理木马的全称为特洛伊木马，源自古希腊神话。
木马是隐藏在正常程序中的具有特殊功能的恶意代码，是具备破坏、删除和修改文件、发送密码、记录键盘、实施DoS攻击甚至完全控制计算机等特殊功能的后门程序。
它隐藏在目标计算机里，可以随计算机自动启动并在某一端口监听来自控制端的控制信息。
1．木马的特性木马程序为了实现其特殊功能，一般应该具有以下性质：(1)伪装性：程序将自己的服务器端伪装成合法程序，并且诱惑被攻击者执行，使木马代码会在未经授权的情况下装载到系统中并开始运行。
(2)隐藏性：木马程序同病毒程序一样，不会暴露在系统进程管理器内，也不会让使用者察觉到木马的存在，它的所有动作都是伴随其它程序进行的，因此在一般情况下使用者很难发现系统中有木马的存在。
(3)破坏性：通过远程控制，攻击者可以通过木马程序对系统中的文件进行删除、编辑操作，还可以进行诸如格式化硬盘、改变系统启动参数等恶性破坏操作。
(4)窃密性：木马程序最大的特点就是可以窥视被入侵计算机上的所有资料，这不仅包括硬盘上的文件，还包括显示器画面、使用者在操作电脑过程中在硬盘上输入的所有命令等。
2．木马的入侵途径木马入侵的主要途径是通过一定的欺骗方法，如更改图标、把木马文件与普通文件合并，欺骗被攻击者下载并执行做了手脚的木马程序，就会把木马安装到被攻击者的计算机中。
木马也可以通过Script、ActiveX及ASP、CGI交互脚本的方式入侵，由于微软的浏览器在执行Script 脚本上存在一些漏洞，攻击者可以利用这些漏洞诱导上网者单击网页，这样IE浏览器就会自动执行脚本，实现木马的下载和安装。
木马还可以利用系统的一些漏洞入侵，如微软的IIS服务器存在多种溢出漏洞，通过缓冲区溢出攻击程序造成IIS服务器溢出，获得控制权限，然后在被攻击的服务器上安装并运行木马。
特洛伊木马攻击技术与防范策略
特洛伊木马攻击技术与防范策略敬晓芳（中国工程物理研究院化工材料研究所，绵阳629100）摘要：特洛伊木马是一种程序，它驻留在目标计算机里，随计算机自动启动并在某一端口进行侦听，对接收的数据识别后，对目标计算机执行特定的操作。
其隐蔽性强，种类数量繁多，危害性很大。
本文介绍了木马的攻击原理、常用攻击技术以及防范策略。
关键词：特洛伊木马；驻留；攻击技术；防范策略1引言特洛伊木马（Trojan Horse），简称木马，是一种程序，这种程序被包含在合法的或表面上无害的程序上的恶意程序。
其实质只是一个通过端口进行通信的网络客户/服务程序。
木马具有很强的隐蔽性，而且能够自启动，并进行自我保护。
木马属于“外来代码”的范畴，它表面上提供一些令人感兴趣的有用的功能，但除了用户能看到的功能以外，这种程序还通过内嵌的特殊代码执行一些用户所不知道的恶意的功能。
木马的制造者常常是将一些特殊的代码添加到正常的应用程序代码中来实现这些隐藏的特殊的功能。
对攻击者而言，使用外来代码的关键优势之一就是，通过将非本地代码或二进制代码引入操作系统环境，从而断绝与系统或网络管理员所控制资源的依赖性。
相比较而言，添加或修改系统帐户，或直接操纵其他系统资源，可能被警惕性高的管理员发现，而安装一个“外来代码”则可以在一段时间内不被发现，尤其是通过对操作系统做广泛的修改可使其隐蔽性更好。
随着计算机技术的发展，木马的功能越来越强大，隐蔽性和破坏性不断提高，其数量也在急剧增加。
2木马的原理和种类自木马程序诞生至今，己经出现了多种类型，常见的有玩笑型、破坏型、密码发送型、远程访问型、键盘记录型、代理木马、反弹端口型木马等。
大多数的木马都不是单一功能的木马，它们往往是很多种功能的集成品，因此，此处也只能给出一个大致的分类。
（1）玩笑型玩笑木马程序不造成损坏，但会从计算机的扬声器中发出惹人讨厌的声音，让计算机屏幕看起来七扭八歪，或在屏幕上显示吓人的信息，如“现在正在格式化硬盘！”虽然这类木马程序非常气人，让人厌烦，但它们是无害的，很容易删除。
网络安全：了解黑客攻击和防御技术
网络安全：了解黑客攻击和防御技术网络安全作为一门新兴的学科，越来越受到人们的重视。
大众使用互联网的时候很容易被黑客攻击所侵害。
本文将简单地介绍黑客攻击的种类和防御技术，希望能够帮助大家在网络使用时更加安全。
一、黑客攻击种类1. 网络钓鱼（Phishing）网络钓鱼是一种通过伪造合法信息来诱骗用户提供敏感信息（例如用户名、密码、银行卡号等），以实施欺诈或其他不法目的的网络攻击方式。
例如，利用电子邮件、社交媒体、短信等渠道发送虚假消息，引诱用户点击链接或下载文件，从而盗取用户的账户及密码信息。
2. 漏洞攻击（Exploit）漏洞攻击是指黑客通过利用软件或系统上的安全漏洞，实现非法控制计算机、获取或破坏数据的攻击行为。
这种攻击方式通常基于漏洞利用工具，例如Metasploit、Exploitdb等工具，可以扫描网络并利用发现的漏洞进行攻击。
3. 木马攻击（Trojan）木马攻击是指黑客设计的一种恶意程序，通常被伪装成普通的软件或文件，但是其中包含了隐藏的恶意代码。
一旦用户打开了这些文件，就会下载安装木马程序，黑客就可以通过木马程序来控制计算机，获取用户信息或者传播病毒。
4. DDoS攻击DDoS攻击（Distributed Denial of Service Attack）是一种分布式拒绝服务攻击，用大量的请求占用目标服务器的网络带宽和资源，使之失去响应，导致无法提供正常服务的网络攻击方式。
攻击者可以通过控制大量的僵尸网络来发动攻击，造成极大的损失。
二、防御技术1. 信息安全意识教育信息安全意识教育是指通过各种渠道提高用户对信息安全问题的认识和敏感性。
例如，通过向用户发送信息安全警示邮件或短信，强调信息保密、密码安全和谨防网络钓鱼等问题。
加强用户对信息安全的了解和认识，可以有效减少黑客攻击对自己的影响。
2. 加强系统和软件的安全性针对不同的黑客攻击，可以采取相应的防御措施。
例如，可以安装杀毒软件、防火墙等软件；对网络进行加密和认证；增强Web应用程序的安全性等。
病毒木马的工作原理及其防范
病毒的定义和分类
计算机病毒的特点 1）可执行性 当用户运行正常程序时，病毒伺机窃取到系统的控制 权，得以抢先运行。 2）破坏性 无论何种病毒程序，一旦侵入系统都会对操作系统的 运行造成不同程度的影响。 3）传染性 把自身复制到其他程序中的特性。 是计算机病毒最重要的特征，是判断一段程序代码是 否为计算机病毒的依据。 病毒可以附着在其它程序上，通过磁盘、光盘、计算 机网络等载体进行传染，被传染的计算机又成为病毒的生存 的环境及新传染源。
缓冲区溢出与病毒攻击的原理
二、缓冲区溢出的根源在于编程错误 缓冲区溢出是由编程错误引起的。如果缓冲区被写满，而 程序没有去检查缓冲区边界，也没有停止接收数据，这时缓冲 区溢出就会发生。 缓冲区溢出之所以泛滥，是由于开放源代码程序的本质决 定的。某些编程语言对于缓冲区溢出是具有免疫力的，例如 Perl能够自动调节字节排列的大小，Ada 95能够检查和阻止缓 冲区溢出。但是被广泛使用的C语言却没有建立检测机制。标 准C语言具有许多复制和添加字符串的函数，这使得标准C语 言很难进行边界检查。C++语言略微好一些，但是仍然存在缓 冲区溢出情况。一般情况下，覆盖其他数据区的数据是没有意 义的，最多造成应用程序错误，但是，如果输入的数据是经过 “黑客”或者病毒精心设计的，覆盖缓冲区的数据恰恰是“黑 客”或者病毒的攻击程序代码，一旦多余字节被编译执行， “黑客”或者病毒就有可能为所欲为，获取系统的控制权。
毒。由于通过电子邮件系统传播，宏病毒在短短几天内狂袭
全球数以百万计的电脑。包括微软、Intel等公司在内的众多 大型企业网络系统瘫痪，全球经济损失达数十亿美元。2004 年爆发的“新欢乐时光”病毒也给全球经济造成了巨大损失。
VBS病毒的起源与发展及其危害
关于网络攻击与防御技术实验教程
关于网络攻击与防御技术实验教程最近有网友想了解下《网络攻击与防御技术实验教程》张玉清写的这本书,所以小编就整理了相关资料分享给大家,具体内容如下.希望大家参考参考!!!《网络攻击与防御技术实验教程》《网络攻击与防御技术实验教程》内容简介网络攻击与防御技术是网络安全的核心和焦点，也是确保网络安全实际动手能力的综合体现。
全书共分11章，第1章介绍如何进行系统安全配置并搭建一个用于网络攻防实验的虚拟机，在接下来的各章中，在回顾理论知识的同时，结合动手实验介绍网络典型攻防技术，这些网络典型攻防技术包括扫描技术、网络监听及防御技术、口令攻击、欺骗攻击及防御、拒绝服务攻击与防范、缓冲区溢出攻击及防御、Web攻击及防范、木马攻击及防御、病毒与蠕虫攻击及防御和典型网络攻击防御技术。
通过这种理论与实践相结合的网络攻防技术的学习，读者会对网络攻击与防御技术有更直观和深刻的理解。
书中各章内容安排方式为：理论知识回顾、基本实验指导和巩固提高型实验。
本书可以作为信息安全、计算机、通信等相关专业研究生、本科生的教材，也可供从事网络安全研发的工程技术人员和热衷网络攻防技术的读者参考。
《网络攻击与防御技术实验教程》前言/序言“知彼知己，百战不殆。
"--孙子兵法网络安全已成为人们在信息空间中生存与发展的重要保证条件，与国家的政治安全、经济安全、军事安全、社会稳定以及人们的日常生活密切相关。
由于兴趣爱好和经济利益的驱使，黑客攻击事件层出不穷。
公司和国家只有积极防御，才能在攻击环境下生存。
攻击与防御是一对相互制约和相互发展的网络安全技术。
本实验教程的目标是帮助安全人员理解黑客的攻击方法和步骤，事实一次又一次地证明，理解敌人的策略、技巧和工具对保护自己是多么的重要。
同时，本教程还让安全人员了解能采取哪些策略来防范各类攻击。
本书可作为《网络攻击与防御技术》的配套实验教程，同时又可自成体系，更注重攻防的实战性。
读者可以通过阅读该教程并动手实践达到提高网络安全技术的目的。
木马的危害与防范
木马的危害与防范木马的危害与防范一、木马的危害木马这个名称来源于古希腊的特洛伊木马神话。
传说希腊人攻打特洛伊城久攻不下，希腊将领奥德修斯献了一计，把一批勇士埋伏在一匹巨大的木马腹内，放在城外，然后佯作退兵。
特洛伊人以为敌兵已退，就把木马作为战利品搬入城中。
到了夜间，埋伏在木马中的勇士跳出来，打开了城门，希腊将士一拥而入攻下了城池。
后来，人们就常用“特洛伊木马”比喻在敌方营垒里埋下伏兵里应外合的活动。
如今借用其名比喻黑客程序，有“一经潜入，后患无穷”的意思。
计算机领域中所谓的木马是指那些冒充合法程序却以危害计算机安全为目的的非法程序。
它是具有欺骗性的文件，是一种基于远程控制的黑客工具，具有隐蔽性和非授权性的特点。
隐蔽性是指木马设计者为了防止木马被发现，会采用多种手段隐藏木马，这样用户即使发现感染了木马，也难以确定其具体位置；非授权性是指一旦木马控制端与服务器端连接后，控制端将获得服务器端很多操作权限，如操作文件、修改注册表、控制外设等。
木马是一种后门程序，就象先前所说的，它进去了，而且是你把它请进去的，要怪也只能怪自己不小心，混进去的希腊士兵打开了特洛伊的城门，木马程序也会在你的系统打开一个“后门”，黑客们从这个被打开的特定“后门”进入你的电脑，就可以随心所欲地摆布你的电脑了。
黑客们通过木马进入你的电脑后能够做什么呢？可以这样说，你能够在自己的电脑上做什么，他也同样可以办到。
你能够写文件，他也可以写，你能够看图片，他也可以看，他还可以得到你的隐私、密码，甚至你鼠标的每一下移动，他都可以尽收眼底!而且还能够控制你的鼠标和键盘去做他想做的任何事，比如打开你珍藏的照片，然后在你面前将它永久删除，或是冒充你发送电子邮件、进行网上聊天、网上交易等活动，危害十分严重。
想到木马，人们就想到病毒，这里要为木马澄清一下，木马确实被杀毒软件认为是病毒，但是，木马本身不是病毒。
反之，病毒也不是木马。
电脑病毒是破坏电脑里的资料数据，而木马不一样，木马的作用是偷偷监视别人的操作和窃取用户信息，比如偷窃上网密码、游戏账号、股票账号、网上银行账号等。
特洛伊木马攻防介绍
特洛伊⽊马攻防介绍 ⽊马程序⽤“瞒天过海”或“披着⽺⽪的狼”之类的词来形容这类程序⼀点也不为过,直截了当的说法是⽊马有两个程序,⼀个是服务器程序,⼀个是控制器程序,当你的电脑运⾏了服务器程序后下⾯由店铺给你做出详细的特洛伊密码攻防介绍!希望对你有帮助! 特洛伊⽊马攻防介绍： 特洛伊⽊马是什么： ⼀个⽊马要⼯作,那麽其服务器程序必须在⽬标上运⾏,没有⼈会主动要求去运⾏它,但是会有这麽⼀天,有⼈对你抱以和善的微笑说,"我这有⼀个好游戏""我有漂亮的MM屏保和你分享⼀下"等等,当你打开这些所谓的程序时,⼀个宿主程序已经悄悄潜⼊你的机⼦,第⼀步就这样完成了,这完全是我们疏于防范造成的. 然后,⽊马⼀般会在以下三个地⽅安营扎寨:注册表、win.ini、system.ini,因为电脑启动的时候,需要装载这三个⽂件,⼤部分⽊马是使⽤这三种⽅式启动的.也有捆绑⽅式启动的,⽊马phAse 1.0版本和NetBus 1.53版本就可以以捆绑⽅式装到⽬标电脑上,可以捆绑到启动程序上,也可以捆绑到⼀般程序的常⽤程序上.如果捆绑到⼀般的程序上,启动是不确定的,这要看⽬标电脑主⼈了,如果他不运⾏,⽊马就不会进⼊内存.捆绑⽅式是⼀种⼿动的安装⽅式,⼀般捆绑的是⾮⾃动⽅式启动的⽊马.⾮捆绑⽅式的⽊马因为会在注册表等位置留下痕迹,所以,很容易被发现,⽽捆绑⽊马可以由⿊客⾃⼰确定捆绑⽅式、捆绑位置、捆绑程序等,位置的多变使⽊马由很强的隐蔽性. ⽊马的服务器程序⽂件⼀般位置是在c:\windows和c:\windows\system中,为什么要在这两个⽬录下,因为windows的⼀些系统⽂件在这两个位置,如果你误删了⽂件,你的电脑可能崩溃,你不得不重新安装系统. ⽊马的⽂件名更是⼀种学问,⽊马的⽂件名尽量和windows的系统⽂件接近,这样你就会弄糊涂了,⽐如⽊马SubSeven 1.7版本的服务器⽂件名是c:\windows\KERNEL16.DL,⽽windows由⼀个系统⽂件是c:\windows\KERNEL32.DLL,他们之差⼀点点,但是删错了的话,结果可⼤不相同的哦,删除KERNEL32.DLL会让你死翘翘的哦.再⽐如,⽊马phAse 1.0版本,⽣成的⽊马是C:\WINDOWS\System\Msgsrv32.exe,愣是和windows的系统⽂件C:\WINDOWS\System\Msgsrv32.exe⼀模⼀样,只是图标有点两样,你可不要删错了哦.上⾯两个是假扮系统⽂件的类型,我们再来看看⽆中⽣有的类型,⽊马SubSeven 1.5版本服务器⽂件名是c:\windows\window.exe,看清楚了哦,少⼀个s的哦,如果不告诉你这是⽊马,你有胆⼦删吗? 但是⽊马有⼀个致命的缺点,相对固定的端⼝,⿊客要进⼊你的电脑,必须要有通往你电脑的途径,也就是说,⽊马必须打开某个端⼝,⼤家叫这个端⼝为“后门”,⽊马也叫“后门⼯具”.这个不得不打开的后门是很难隐蔽的,只能采取混淆的办法,很多⽊马的端⼝是固定的,让⼈⼀眼就能看出是什么样的⽊马造成的.所以,端⼝号可以改变,这是⼀种混淆的办法.我们知道7306是⽊马netspy的,⽊马SUB7可以改变端⼝号,SUB7默认的端⼝是1243,但是如果把1243端⼝改成了7306呢,呵呵,⼀定会把⽬标电脑的主⼈弄混淆了.有些⼈会问,要是这个端⼝会⾃动改变那该多好呀,每次上⽹端⼝号⾃动改变,呵呵,真聪明,可惜聪明过头了.⽐如,真有这样的⽊马装在我的电脑上,每次上⽹的端⼝均会改变,你是⿊客,你打算怎么进⼊我的电脑呢?你知道这个⽊马现在开放的端⼝号是多少吗?想扫描我的电脑?端⼝⼀共有6万多个,你什么时候扫描完毕?半个⼩时,呵呵,我早发现了,早把你炸死了.即使我是菜鸟⼀个,你这样⾼速度扫描我的电脑,也会导致我的电脑通讯阻塞,谁会在⽹速⾮常慢的情况下在⽹络上待半个⼩时?所以,这基本上是不太可能的事情. ⽊马有很强的隐蔽性,在WINDOWS中,如果某个程序出现异常,⽤正常的⼿段不能退出的时候,采取的办法时按“Ctrl+Alt+Del"键,跳出⼀个窗⼝,找到需要终⽌的程序,然后关闭它.早期的⽊马会在按“Ctrl+Alt+Del"显露出来,现在⼤多数⽊马已经看不到了.所以只能采⽤内存⼯具来看内存中时候存在⽊马. ⽊马还具有很强潜伏的能⼒,表⾯上的⽊马被发现并删除以后,后备的⽊马在⼀定的条件下会跳出来.这种条件主要是⽬标电脑主⼈的操作造成的.我们先来看⼀个典型的例⼦：⽊马Glacier(冰河1.2正式版)现在已经升级到3.0版, 这个⽊马有两个服务器程序,C:\WINDOWS\SYSTEM\Kernel32.exe挂在注册表的启动组中,当电脑启动的时候,会装⼊内存,这是表⾯上的⽊马.另⼀个是C:\WINDOWS\SYSTEM\Sysexplr.exe,也在注册表中,它修改了⽂本⽂件的关联,当你点击⽂本⽂件的时候,它就启动了,它会检查Kernel32.exe是不是存在,如果存在的话,什么事情也不做.当表⾯上的⽊马Kernel32.exe被发现并删除以后,⽬标电脑的主⼈可能会觉得⾃⼰已经删除⽊马了,应该是安全的了.如果⽬标电脑的主⼈在以后的⽇⼦中点击了⽂本⽂件,那么这个⽂件⽂件照样运⾏,⽽Sysexplr.exe被启动了.Sysexplr.exe会发现表⾯上的⽊马Kernel32.exe已经被删除,就会再⽣成⼀个Kernel32.exe,于是,⽬标电脑以后每次启动电脑⽊马⼜被装上了. 说了这麽多,是不是感到很恐怖,很上⽕,别着急,清凉解暑药马上就到. 特洛伊密码攻防办法： 特洛伊密码攻防办法1.必须提⾼防范意识,不要打开陌⽣⼈信中的附件,哪怕他说的天花乱坠,熟⼈的也要确认⼀下来信的原地址是否合法. 特洛伊密码攻防办法2.多读readme.txt.许多⼈出于研究⽬的下载了⼀些特洛伊⽊马程序的软件包,在没有弄清软件包中⼏个程序的具体功能前,就匆匆地执⾏其中的程序,这样往往就错误地执⾏了服务器端程序⽽使⽤户的计算机成为了特洛伊⽊马的牺牲品.软件包中经常附带的readme.txt⽂件会有程序的详细功能介绍和使⽤说明,尽管它⼀般是英⽂的,但还是有必要先阅读⼀下,如果实在读不懂,那最好不要执⾏任何程序,丢弃软件包当然是最保险的了.有必要养成在使⽤任何程序前先读readme.txt的好习惯. 值得⼀提的是,有许多程序说明做成可执⾏的readme.exe形式,readme.exe往往捆绑有病毒或特洛伊⽊马程序,或者⼲脆就是由病毒程序、特洛伊⽊马的服务器端程序改名⽽得到的,⽬的就是让⽤户误以为是程序说明⽂件去执⾏它,可谓⽤⼼险恶.所以从互联⽹上得来的readme.exe最好不要执⾏它. 特洛伊密码攻防办法3.使⽤杀毒软件.现在国内的杀毒软件都推出了清除某些特洛伊⽊马的功能,如KV300、KILL98、瑞星等等,可以不定期地在脱机的情况下进⾏检查和清除.另外,有的杀毒软件还提供⽹络实时监控功能,这⼀功能可以在⿊客从远端执⾏⽤户机器上的⽂件时,提供报警或让执⾏失败,使⿊客向⽤户机器上载可执⾏⽂件后⽆法正确执⾏,从⽽避免了进⼀步的损失,但是要记住,它不是万能的. 特洛伊密码攻防办法4.⽴即挂断.尽管造成上⽹速度突然变慢的原因有很多,但有理由怀疑这是由特洛伊⽊马造成的,当⼊侵者使⽤特洛伊的客户端程序访问你的机器时,会与你的正常访问抢占宽带,特别是当⼊侵者从远端下载⽤户硬盘上的⽂件时,正常访问会变得奇慢⽆⽐.这时,你可以双击任务栏右下⾓的连接图标,仔细观察⼀下“已发送字节”项,如果数字变化成1～3kbps(每秒1～3千字节),⼏乎可以确认有⼈在下载你的硬盘⽂件,除⾮你正在使⽤ftp功能.对TCP/IP端⼝熟悉的⽤户,可以在“MS-DOS⽅式”下键⼊“netstat-a"来观察与你机器相连的当前所有通信进程,当有具体的IP正使⽤不常见的端⼝(⼀般⼤于1024)与你通信时,这⼀端⼝很可能就是特洛伊⽊马的通信端⼝.当发现上述可疑迹象后,你所能做的就是：⽴即挂断,然后对硬盘有⽆特洛伊⽊马进⾏认真的检查. 特洛伊密码攻防办法5.观察⽬录.普通⽤户应当经常观察位于c：\、c：\windows、c：\windows\system这三个⽬录下的⽂件.⽤“记事本”逐⼀打开c：\下的⾮执⾏类⽂件(除exe、bat、com以外的⽂件),查看是否发现特洛伊⽊马、击键程序的记录⽂件,在c：\Windows或c：\Windows\system下如果有光有⽂件名没有图标的可执⾏程序,你应该把它们删除,然后再⽤杀毒软件进⾏认真的清理. 特洛伊密码攻防办法6.在删除⽊马之前,最最重要的⼀项⼯作是备份,需要备份注册表,防⽌系统崩溃,备份你认为是⽊马的⽂件,如果不是⽊马就可以恢复,如果是⽊马你就可以对⽊马进⾏分析.不同的不马有不同的清除⽅法,由于涉及⾯太⼤,这⾥就不详述了. 总之不管你喜欢不喜欢,⽊马总是存在的,你只有去多多少少的了解⼀些⽊马的知识,才不⾄于遭⼈暗算,警惕啊,我的朋友,在茫茫的⼤海中,总有那麽⼀双眼睛在窥视着你.。
木马攻击原理及防御技术
３ 木马的功能
常见的木马有着各自不同的功能，可以被用作远程控制 器、HTTP 服务器或者键盘记录器，一些大型木马甚至还具 备反侦测的能力，可以隐蔽于各种不起眼的程序中，功能十 分全面。其主要功能如下。
２ 木马的分类
互联网不断发展的今天，已涌现出数以千计的木马，下
作者简介：王超（1988-），男，山东泰安人，本科，助理工程师。研究方向：企业信息化建设、信息化系统安全。
— ４９ —
计算机工程应用技术
3.1 远程文件管理功能
信息与电脑 China Computer&Communication
2016 年第 20 期
式，网络防火墙主要是在网络通信的过程中封锁木马，而杀 毒软件则是识别木马的特征来进行判断。尽管在国内涌现出 形形色色的防火墙和杀毒软件，但是还是不能彻底消除木马， 主要是因为其自身的隐蔽性和非授权性，多数的软件还做不 到完全识别病毒和木马，技术的局限性是无法彻底消灭木马 的主要原因。可以从以下几方面进行防御。 5.1 培养风险意识 互联网上为用户提供了各种免费的、有趣味的、共享的 软件，浏览者应有选择地去正规的网站下载或者浏览软件， 木马程序中很可能就附带在那些吸引眼球的软件或者游戏 中，对于来历不明的软件最好不要在个人的电脑或者企业的 电脑中使用。电脑上要适当安装一些反病毒软件，或者安装 一些性能较好的防火墙，一旦发现电脑在下载软件的过程中 存在异常情况，如蓝屏、死机，就要使用杀毒软件进行查杀， 在第一时间内找到并且努力消灭木马程序，减少因黑客恶意 攻击造成的损失。 5.2 端口扫描和连接检查 木马服务端在系统中监听某个端口，因此，可以利用扫 描端口检查木马的存在，可以有效搜寻到木马的踪迹。在操 作系统内部可以使用 .netstat-na 命令行查看已经正在监听的 端口和已经建立的连接，同时也可以查看连接的远程主机， 一旦出现木马就可以在第一时间搜索到。 5.3 检查系统进程 多数的木马在运行时会产生进程，因此，检查系统进程 也是防御木马的一种有效手段。管理人员要做好平常的监控 系统进程的工作，维护系统的正常运行，一旦系统内部出现 任何情况，都可以在系统进程中发现木马程序。
第9章 网络安全管理技术
网络安全定义：
网络安全是指保护网络系统中的软件、硬件及数 据信息资源，使之免受偶然或恶意的破坏、盗用、暴 露和篡改，保证网络系统的正常运行、网络服务不受
中断而所采取的措施和行为。
对网络的被动攻击和主动攻击
源站
目的站
源站
目的站
源站
目的站 源站
目的站
截获 被动攻击
中断
篡改 主 动 攻 击
伪造
3.网络安全威胁 所谓的安全威胁是指某个实体（人、事件、程序
等）对某一资源可能造成的危害。是某些个别用心的
人通过一定的攻击手段来实现的。
安全威胁可分为故意的（如系统入侵）和偶然的
（如将信息发到错误地址）两类。
(1)基本的安全威胁
2.数字签名原理
签名机制的特征是该签名只有通过签名者的私有 信息才能产生，也就是说，一个签名者的签名只能惟 一地由他自己生成。 当收发双方发生争议时，第三方（仲裁机构）就 能够根据消息上的数字签名来裁定这条消息是否确实 由发送方发出，从而实现抗赖服务。
另外，数字签名应是所发送数据的函数，即签名 与消息相关，从而防止数字签名的伪造和重用。
DSKA ( X )
E 运算
明文 X
加密与解密 签名与核实签名
9.1.3
CA认证与数字凭证
所谓CA（Certificate Authority：证书发行机构）， 是采用PKI（Public Key Infrastructure：公开密钥体系） 公开密钥技术，专门提供网络身份认证服务，负责签发和 管理数字证书，且具有权威性和公正性的第三方信任机构， 它的作用就像颁发证件的部门，如护照办理机构。 由于CA数字证书技术采用了加密传输和数字签名技 术，能够实现上述要求，因此在国内外电子商务中，都得 到了广泛的应用，以数字证书认证来保证交易能够得到正 常的执行。
木马的防范基本方法
木马的防范基本方法一、防范木马应该注意的一些问题1、不到不受信任的网站上下载软件运行2、不随便点击来历不明邮件所带的附件3、及时安装相应的系统补丁程序4、为系统选用合适的正版杀毒软件，并及时升级相关的病毒库5、为系统所有的用户设置合理的用户口令口令设置要求：1.口令应该不少于8个字符；2.不包含字典里的单词、不包括姓氏的汉语拼音；3.同时包含多种类型的字符，比如o大写字母(A,B,C,..Z)o小写字母(a,b,c..z)o数字(0,1,2,…9)o标点符号(@,#,!,$,%,& …)win2000口令设置方法:当前用户口令：在桌面环境下按crtl+alt+del键后弹出选项单，选择其中的更改密码项后按要求输入你的密码（注意：如果以前administrator没有设置密码的话，旧密码那项就不用输入，只需直接输入新的密码）。
其他用户口令：在开始->控制面板->用户和密码->选定一个用户名->点击设置密码二、检查和清除木马可能会使用到命令1、如何进入命令行方式？win98下在开始-->运行中输入command点确定winnt、win2000、winxp下在开始-->运行中输入cmd后点确定2、如何使用netstat命令？netstat是用来显示网络连接、路由表和网络接口信息的命令，使用方法是在命令行下输入netstat -an后回车，输出结果格式如下：Active ConnectionsProto Local Address Foreign Address StateTCP 0.0.0.0:135 0.0.0.0:0 LISTENINGTCP 0.0.0.0:445 0.0.0.0:0 LISTENINGTCP 0.0.0.0:1025 0.0.0.0:0 LISTENINGTCP 0.0.0.0:1026 0.0.0.0:0 LISTENINGUDP 0.0.0.0:445 *:*UDP 0.0.0.0:2967 *:*UDP 0.0.0.0:38037 *:*这其中Proto项代表是协议类型，Local Address项代表的是本地IP地址和端口（冒号后面为端口号），Foreign Address项代表的是外部IP地址和端口,State 表示的是当前状态。
实验指导5：木马攻击与防范实验指导书
实验指导5 木马攻击与防范实验1.实验目的理解和掌握木马传播和运行的机制，掌握检查和删除木马的技巧，学会防御木马的相关知识，加深对木马的安全防范意识。
2.预备知识木马及木马技术的介绍（1）木马概念介绍很多人把木马看得很神秘，其实，木马就是在用户不知道的情况下被植入用户计算机，用来获取用户计算机上敏感信息（如用户口令，个人隐私等）或使攻击者可以远程控制用户主机的一个客户服务程序。
这种客户/服务模式的原理是一台主机提供服务（服务器），另一台主机使用服务（客户机）。
作为服务器的主机一般会打开一个默认的端口并进行监听（Listen），如果有客户机向服务器的这一端口提出连接请求（Connect Request），服务器上的相应守护进程就会自动运行，来应答客户机的请求。
通常来说，被控制端相当于一台服务器，控制端则相当于一台客户机，被控制端为控制端提供预定的服务。
（2）木马的反弹端口技术由于防火墙对于进入的链接往往会进行非常严格的过滤，但是对于连出的链接却疏于防范。
于是，与一般的木马相反，反弹端口型木马的服务端 (被控制端)使用主动端口，客户端 (控制端)使用被动端口。
木马定时监测控制端的存在，发现控制端上线立即弹出端口主动连结控制端打开的主动端口；为了隐蔽起见，控制端的被动端口一般开在80，这样，即使用户使用端口扫描软件检查自己的端口，发现的也是类似TCP UserIP:1026 ControllerIP:80 ESTABLISHED 的情况，稍微疏忽一点，你就会以为是自己在浏览网页。
（3）线程插入技术木马程序的攻击性有了很大的加强，在进程隐藏方面，做了较大的改动，不再采用独立的EXE可执行文件形式，而是改为内核嵌入方式、远程线程插入技术、挂接PSAPI等。
这样木马的攻击性和隐藏性就大大增强了。
木马攻击原理特洛伊木马是一个程序，它驻留在目标计算机里，可以随计算机自动启动并在某一端口进行侦听，在对接收的数据识别后，对目标计算机执行特定的操作。
《木马攻击与防范》课件
# 木马攻击与防范
什么是木马
木马的定义
木马是一种隐藏在正常程序中的恶意软件，通过伪装成合法程序的方式进行潜入和传播。
木马的特点与分类
木马具有隐蔽性和破坏性，常见的木马分类有远程控制木马、数据窃取木马和勒索软件。
木马攻击的方式
1 邮件附件
攻击者通过发送带有木马程序的邮件附件，诱使接收者点击打开，从而实现木马的植入。
2 网络文件下载
攻击者通过欺骗用户下载文件，藉此实施木马的传播和感染。
3 假冒安全软件
攻击者通过制作伪装成安全软件的木马程序，骗取用户下载并安装，实际上是木马的植 入。
木马的危害
1 窃取个人信息
2 控制系统操作
木马可以监控用户的操作、 窃取敏感信息，如账号密 码、银行卡信息以及个人 隐私。
木马常被用来远程控制受 感染的系统，攻击者可以 在背后操控、控制文件操 作，损坏系统或进行非法 活动。
3 加密文件勒索
某些木马会将用户文件加 密，然后勒索用Байду номын сангаас支付赎 金才能解密文件，给用户 带来严重的财产损失。
木马的防范
1 常用安全软件
安装可信赖的安全软件，如杀毒软件、防火 墙和恶意软件清理工具，定期更新并全面扫 描。
3 注意邮件和下载来源
谨慎打开未知发件人的邮件附件，只从可靠 的官方或信任的网站下载文件。
3 系统重装
在严重受感染的情况下， 重新格式化硬盘并重新安 装操作系统。
总结
1 木马的危害与防范
了解木马的危害，采取有 效的安全防范措施以保护 个人信息和系统安全。
2 提高安全意识
加强用户教育和培训，提 高对木马的识别和防范能 力。
简单木马分析与防范
简单木马分析与防范电脑已经走进我们的生活，与我们的生活息息相关，感觉已经离不开电脑与网络，对于电脑安全防范，今天小编在这里给大家推荐一些电脑病毒与木马防范相关文章，欢迎大家围观参考，想了解更多，请继续关注。
一、前言病毒与木马技术发展到今天，由于二者总是相辅相成，你中有我，我中有你，所以它们之间的界限往往已经不再那么明显，相互之间往往都会采用对方的一些技术以达到自己的目的，所以现在很多时候也就将二者直接统称为“恶意代码”。
这次我打算用两篇文章的篇幅来讨论病毒与简单的木马相互结合的分析与防范方法。
本篇也就是第一篇，讨论的是利用只有服务器端的木马程序实现“病毒”的启动。
而在下一篇中，我会讨论既有服务器端又有客户端的木马程序与“病毒”相结合的分析与防范。
二、简单木马的原理由于木马技术与计算机网络息息相关，所以也就离不开Socket套接字编程。
这里我不打算详述Socket套接字编程的细节，这个在MSDN上有非常详细的讲述，无非就是根据套接字的编程的流程，将相应的内容填入“模板”。
而既然要实现通信的效果，就需要遵循一个通信模型，木马一般都是C/S(客户端/服务端)模式的。
本篇文章所要论述的，虽然不涉及客户端的编写，但实际上我只不过是把cmd程序当成了客户端，因此本质上还是C/S模式的。
C/S模型的开发，需要在服务器端(欲攻击的计算机)上绑定一个IP 地址和一个端口号，然后进行监听，等待客户端(攻击方)的连接。
客户端则是向相应的IP地址和端口号发起连接，服务器端接受后，双方就可以开始进行通信，这就是基于TCP协议的通信，也是接下来要用到的方法。
另外还有一种基于UDP协议的方法，这种方法是在服务器端进行相应的绑定后，客户端不需要进行连接直接就可以和服务器进行通信。
可见，TCP要比UDP可靠，而UDP要比TCP效率高。
本篇文章所论述的服务器端编程的基本原理如下：1、打开一通信通道(绑定某个端口)并告知本地主机，它在某一个地址上接收客户请求。
网络安全技术与实践第9章 计算机病毒及恶意软件防范
冰河木马
① 连接自动运行 ② 远程控制 ③ 窃取账号密码 ④ 远程操作 ⑤ 点对点对话 ⑥ 注册表操作 ⑦ 发送信息
冰河木马的原理
一般完整的木马程序由两个部份组成：一是服务器（端）程序，二 是控制器程序。“中了木马”就是指安装了木马的服务器程序，若主机 被安装了服务器程序,则拥有控制器程序的攻击者就可通过网络控制其主 机。冰河木马用C++ Builder编写，服务端程序G- Server.exe一旦被激 活后,将在目标计算机的C:\ Windows \ system目录下自动生成两个可执 行 文 件 ， 分 别 是 Kernel32.exe 和 Sysexplr.exe 。 若 用 户 只 找 到 Kernel32.exe，并将其删除,实际并未完全根除,只要打开任何一个文本文 件 或 可 执 行 程 序 ,Sysexplr.exe 就 会 被 激 活 而 再 次 生 成 一 个 新 的 Kernel32.exe，这就是导致冰河木马的屡删无效的关键原因。
2006年木马仍然是病毒主流，变种层出不穷
一、什么是计算机病毒
—— 1994.2.18 ， 我 国 颁 布 《中华人民共和国计算机信息 系统安全保护条例》，在第28条规定：“计算机病毒，是指 编制或者在计算机程序中插入的破坏计算机功能或者毁坏数 据，影响计算机使用，并能自我复制的一组计算机指令或者 程序代码”。
二、发展简史
（1）计算机病毒的产生 计算机病毒概念的起源比较早，在第一部商用计算机推出前几年，计算机的先驱 者冯·诺依曼（John Von Neumann ）在他的一篇论文《复杂自动装置的理论及组识的 进展》中，已经初步概述了计算机病毒程序的概念。之后，在美国著名的AT&T贝尔实 验室中，三个年轻人在工作之余，编制并玩过一种能够吃掉别人程序的称做“磁芯大 战”（Core war ）的游戏程序，可以互相攻击。从而进一步将病毒程序“感染性”的 概念得以呈现。
木马攻击与防范
1随着人类生活水平的逐渐提升，网络已成为人们生活中必不可少的一个部分，但是网络的安全问题让人们不得不担忧。
尤其是近几年，网络业务越来越多，许许多多的人采用了网络的方式来处理自己的日常生活事务，电子银行、网上购物已成为人们处理事务的常事了。
但是由于一些不法分子企图通过网络的方式来谋取非法的利益，尤其是一些敏感领域及一些数额较大的交易，更是成为了不法分子攻击的目标，给广大的网络用户带来了巨大的安全威胁，并造成了许多难以估计的损失。
黑客和计算机病毒是网络安全最为普遍的威胁。
特洛伊木马就是这样的一种病毒，它没有自我复制能力，但它的特点是伪装成一个实用工具或者一个可爱的游戏，这会诱使用户将其安装在PC或者服务器上。
而完整的木马程序一般由两个部分组成：一个是服务器程序，一个是控制器程序。
“中了木马”就是指安装了木马的服务器程序，若你的电脑被安装了服务器程序，则拥有控制器程序的人就可以通过网络控制你的电脑，为所欲为，这时你电脑上的各种文件、程序，以及在你电脑上使用的帐号、密码就无安全可言了。
而冰河木马是国人编写的木马的经典之作，文章就冰河木马远程控制的实现原理及消除办法进行探讨，揭示木马普遍的工作原理，并提出相关的解决办法，提示人们要时刻注意网络的安全，保证自身利益不要受到侵害，对广大的网络用户而言是具有非常重要的意义的。
2 木马的定义、分类及发展2.1木马的定义“木马”程序是目前比较流行的病毒文件，但它与一般的病毒不同，它究竟与病毒有什么不同之处，有必要认识一下病毒及木马的定义，再对比分析病毒与木马的区别与联系。
2.1.1病毒的定义及特点病毒是“指编制或者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码”。
计算机病毒的特点：计算机病毒是人为的特制程序，具有自我复制能力，具有很强的感染性，一定的潜伏性，特定的触发性和很大的破坏性。
2.1.2木马的定义及特点特洛伊木马，英文叫做"Trojan house",其名称取自希腊神话的特洛伊木马记。
木马攻击
木马攻击是黑客最常用的攻击方法，因此，在本章中我们将使用较大篇幅来介绍木马的攻防技术。
木马的危害性在于它对电脑系统强大的控制和破坏能力、窃取密码、控制系统操作、进行文件操作等，一台计算机一旦被一个功能强大的木马植入，攻击者就可以像操作自己的计算机一样控制这台计算机，远程监控这台计算机上的所有操作。
在使用木马的人群中菜鸟黑客居多，他们往往接触网络不久，对黑客技术很感兴趣，很想向众人和朋友显示一番，但是攻击技术却不高，不能采取别的方法攻击。
于是木马这种半自动的傻瓜式且非常有效的攻击软件成为了他们的最爱，而且随着国产木马的不断出现，多数黑客的入门攻击几乎无一例外都是使用木马。
当然对于那些黑客老手来说他们也并不是不使用木马了，他们通常会在得到一个服务器权限的时候植入自己编写的木马作为后门，以便将来随时方便进出这台服务器。
提示黑客高手们自己编写的木马一般杀毒软件和木马扫描软件都不会认为是木马或病毒，具有很大的危害性。
1、木马的分类常见的木马主要可以分为以下9大类：（1）破坏型这种木马唯一的功能就是破坏并且删除文件，它们非常简单，很容易使用。
能自动删除目标机上的DLL、INI、EXE文件，所以非常危险，一旦被感染就会严重威胁到电脑的安全。
不过，一般黑客不会做这种无意义的纯粹破坏的事，除非你和他有仇。
（2）密码发送型这种木马可以找到目标机的隐藏密码，并且在受害者不知道的情况下，把它们发送到指定的信箱。
有人喜欢把自己的各种密码以文件的形式存放在计算机中，认为这样方便；还有人喜欢用Windows提供的密码记忆功能，这样就可以不必每次都输入密码了。
这类木马恰恰是利用这一点获取目标机的密码，它们大多数会在每次启动Windows时重新运行，而且多使用25号端口上送E-mail。
如果目标机有隐藏密码，这些木马是非常危险的。
（3）远程访问型这种木马是现在使用最广泛的木马，它可以远程访问被攻击者的硬盘。
只要有人运行了服务端程序，客户端通过扫描等手段知道了服务端的IP地址，就可以实现远程控制。
网络安全课件,防范木马、病毒的攻击与防御技术
恶意软件可能导致财务损失，如盗取信用卡信 息、勒索财产。
系统瘫痪
恶意软件可导致系统崩溃，无法正常运行，影 响工作和生活。
影响声誉
遭受木马和病毒攻击可能损害个人或企业的声 誉。
4. 木马和病毒的攻击方式
1
社会工程
通过欺骗和诱导人们提供敏感信息，如钓鱼网站、钓鱼邮件。
2
恶意链接和附件
通过发送包含恶意代码的链接或附件，感染用户的计算机。
一种自我复制的恶意程序，通过感染其他文 件传播自身，对计算机系统造成损害。
2. 木马和病毒的特点及分类
特点
• 木马：隐藏、潜伏、隐蔽 • 病毒：自我复制、感染性、传播能力
分类
• 木马：远控木马、监视木马、金融木马 • 病毒：文件病毒、宏病毒、蠕虫病毒
3. 木马和病毒的危害和影响
个人隐私泄露
木马和病毒可能窃取用户敏感信息，如银行账 号和密码。
作用
监控和限制网络流量，防止未经授权的访问和 攻击。
配置
设置允许和阻止的规则，确保只有合法的数据 流通过防火墙。
7. 杀毒软件的选择和更新
选择
选择可信赖的杀毒软件，具备实时监测、 自动更新和病毒库更新功能。
更新
定期更新杀毒软件和病毒库，以检测和清 除最新的病毒。
8. 系统漏洞的修补和补丁更新
1 修补ห้องสมุดไป่ตู้
3
可执行文件感染
将恶意代码插入可执行文件，当用户运行时感染计算机。
5. 木马和病毒的防御技术
1 实时防护软件
2 定期系统更新
安装杀毒软件、防火墙等 实时监测和防御恶意软件。
及时安装系统补丁和更新 软件，修复已知漏洞。
3 网络安全意识培养
电子商务安全实务课件8-木马攻击与防御-精品文档
木马的分类
（6）代理木马
给被控制的肉鸡种上代理木马，让其变成攻 击者发动攻击的跳板就是代理木马最重要的任务。 通过代理木马，攻击者可以在匿名的情况下使用 Telnet 、 ICQ 、 IRC 等程序，从而隐蔽自己的踪迹 。
实训十：木马攻击与防御技术
3
木马的分类
（7）FTP木马 这种木马是最简单的木马，唯一的功能就是打开 21端口，等待用户连接。 （8）程序杀手木马 程序杀手木马的功能就是关闭对方机器上运行的 防木马程序，让其他的木马更好地发挥作用。
实训十：木马攻击与防御技术
3
木马的分类
（9）反弹端口型木马 弹端口型木马使用的是系统信任的端口，系统会 认为木马是普通应用程序，而不对其连接进行检查。 反弹端口木马定时监测控制端的存在，发现控制端上 线，立即弹出端口主动连结控制端打开的主动端口。 这种反弹端口的木马常常会采用固定IP的第三方 存储设备来进行IP地址的传递，从而使服务端获知控 制端的IP地址。
实训十：木马攻击与防御技术
3
木马的分类
（5）DoБайду номын сангаас攻击木马
当你入侵了一台机器，给他种上DoS攻击木马， 那么日后这台计算机就成为你DoS攻击的最得力助 手了。
这种木马的危害不是体现在被感染计算机上， 而是体现在攻击者可以利用它来攻击一台又一台 计算机，给网络造成很大的伤害和带来损失。
实训十：木马攻击与防御技术
2）控制器程序：用来控制目标主机的部分，它的作用是
连接木马服务器端程序，监视或控制远程计算机。
【相关知识】
1
特洛伊木马概述
原理：
1）直接通信时的木马工作原理
指令 结果 木马 客户端 木马 服务器端
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
2020/10/12
网络入侵与防范讲义
9
RFC1244对特洛伊木马的定义(2)
RFC1244的定义虽然不十分完善，但是 可以澄清一些模糊概念：
首先木马程序并不一定实现某种对用户来 说有意义或有帮助的功能，但却会实现一 些隐藏的、危险的功能；
其次木马所实现的主要功能并不为受害者 所知，只有程序编制者最清楚。
2020/10/12
网络入侵与防范讲义
16
9.1.2 木马的分类
从木马技术发展的历程考虑，木马技术自出现至今， 大致可以分为四代:
第一代木马是伪装型病毒，将病毒伪装成一个合法的 程序让用户运行，例如1986年的PC-Write木马；
第二代木马在隐藏、自启动和操纵服务器等技术上有 了很大的发展，可以进行密码窃取、远程控制，例如 BO2000和冰河木马；
2020/10/12
网络入侵与防范讲义
18
(1).破坏型
惟一的功能就是破坏并且删除文件，如电脑 上的DLL、INI、EXE文件或其它类型文件， 造成系统损坏，用户数据被破坏。
功能简单，容易实现，破坏性强。
第三代木马在连接方式上有了改进，利用端口反弹技 术，例如灰鸽子木马；
第四代木马在进程隐藏方面做了较大的改动，让木马 服务器运行时没有进程，网络操作插入到系统进程或 者应用进程中完成，例如广外男生木马。
2020/10/12
网络入侵与防范讲义
17
9.1.2 木马的分类
从木马所实现的功能角度可分为： (1).破坏型 (2).密码发送型 (3).远程访问型 (4).键盘记录木马 (5).DoS攻击木马 (6).代理木马 (7).FTP木马 (8).程序杀手木马 (9).反弹端口型木马
网络入侵与防范讲义
7
(2).木马的定义
在计算机系统中， “特洛伊木马”指系统中 被植入的、人为设计的程序，目的包括通过 网络远程控制其他用户的计算机系统，窃取 信息资料，并可恶意致使计算机系统瘫痪。
2020/10/12
网络入侵与防范讲义
8
RFC1244对特洛伊木马的定义
RFC1244 (Request for Comments : 1244) 中是这样描述木马的:“木马程序是 一种程序，它能提供一些有用的，或是仅仅 令人感兴趣的功能。但是它还有用户所不知 道的其他功能，例如在你不了解的情况下拷 贝文件或窃取你的密码。”
2020/10/12
网络入侵与防范讲义
3
9.1.1 木马基本概念
木马的来由 木马的定义 木马的危害
2020/10/12
网络入侵与防范讲义
4
(1).木马的来由
木马是“特洛伊木马”（trojan horse）的 简称，据说这个名称来源于希腊神话《木马 屠城记》。
如今黑客程序借用其名，有“一经潜入，后 患无穷”之意。
Hale Waihona Puke 2020/10/12网络入侵与防范讲义
15
(3).木马的危害
木马程序具有很大的危害性，主要表现在:
自动搜索已中木马的计算机； 管理对方资源，如复制文件、删除文件、查看
文件内容、上传文件、下载文件等； 跟踪监视对方屏幕； 直接控制对方的键盘、鼠标； 随意修改注册表和系统文件； 共享被控计算机的硬盘资源； 监视对方任务且可终止对方任务； 远程重启和关闭机器。
城中得知解围的消息后，遂将“木马”作为奇异的战利品拖入城 内，全城饮酒狂欢。
到午夜时分，全城军民尽入梦乡，匿于木马中的将士出来开启城 门及四处纵火，城外伏兵涌入，部队里应外合，彻底攻破了特洛 伊城。
后世称这只大木马为“特洛伊木马”。
2020/10/12
网络入侵与防范讲义
6
2020/10/12
根据传统的数据安全模型的分类，木马程序 的企图可以对应分为三种:
试图访问未授权资源； 试图阻止访问； 试图更改或破坏数据和系统。
2020/10/12
网络入侵与防范讲义
12
(3).木马的危害
目前木马常被用作网络系统入侵的重要工具 和手段。
木马利用自身所具有的植入功能，或依附其 它具有传播能力的程序等多种途径，进驻目 标机器，搜集其中各种敏感信息，并通过网 络与外界通信，发回所搜集到的各种敏感信 息，接受植入者指令，完成其它各种操作， 如修改指定文件、格式化硬盘等。
2020/10/12
网络入侵与防范讲义
14
(3).木马的危害
大型网络服务器也面临木马的威胁，入侵 者可通过对其所植入的木马而偷窃到系统 管理员的口令。
而当一个系统服务器安全性较高时，入侵 者往往会通过首先攻破庞大系统用户群中 安全性相对较弱的普通电脑用户，然后借 助所植入木马获得有效信息（如系统管理 员口令），并最终达到入侵系统目标服务 器的目的。
2020/10/12
网络入侵与防范讲义
5
特洛伊木马的故事
相传在古希腊时期，特洛伊王子帕里斯劫走了斯巴达美丽的王后 海伦和大量的财物。斯巴达国王组织了强大的希腊联军远征特洛 伊，但久攻不下。
有人献计制造一只高二丈的大木马，假装作战马神，让士兵藏匿 于巨大的木马中，同时命令大部队佯装撤退而将木马弃于特洛伊 城下。
第三，这个定义暗示“有效负载”是恶意 的。
2020/10/12
网络入侵与防范讲义
10
大多数安全专家对特洛伊木马的定义
目前，大多数安全专家统一认可的定义 是:“特洛伊木马是一段能实现有用的或必需 的功能的程序，但是同时还完成一些不为人 知的功能。”
2020/10/12
网络入侵与防范讲义
11
(3).木马的危害
第9章 木马攻击与防御技术
本章内容安排
9.1 木马概述 9.2 木马的实现原理与攻击步骤 9.3 木马实例介绍 9.4 木马的防御技术 9.5 木马的发展趋势 9.6 小结
2020/10/12
网络入侵与防范讲义
2
9.1 木马概述
9.1.1 木马基本概念 9.1.2 木马的分类 9.1.3 木马的特点
(3).木马的危害
感染了木马的计算机将面临数据丢失和机密泄 露的危险。
木马往往又被用做后门，植入被攻破的系统， 以便为入侵者再次访问系统提供方便；或者利 用被入侵的系统，通过欺骗合法用户的某种方 式暗中散发木马，以便进一步扩大入侵成果和 入侵范围，为进行其它入侵活动，如分布式拒 绝服务攻击（DDoS）等提供可能。