木马攻击技术的概述

目录

一、木马概述 (3)

1.木马的定义及特征 (3)

1.1木马的定义 (3)

1.2木马的特征 (3)

2.木马的工作原理 (4)

3.木马的分类 (5)

4.木马的功能 (6)

5.木马的工作过程 (7)

二、木马的传播方式 (8)

三、木马的清除 (9)

四、如何避免木马攻击 (9)

五、结语 (9)

六、参考文献 (10)

前言

木马技术是最常见的网络攻击手段之一，它对网络环境中计算机信息资源造成了很大的危害。文中介绍了木马程序的概念、基本原理和分类，针对常见的木马攻击方式提出了一些防范措施。

木马的危害，在于它能够远程控制你的电脑。当你成为“肉鸡”的时候，别人（控制端）就可以进入你的电脑，偷看你的文件、*密码、甚至用你的QQ发一些乱七八糟的东西给你的好友，木马大量出现，在于它有着直接的商业利益。一旦你的网上银行密码被盗，哭都来不及了。正因为如此，现在木马越繁殖越多，大有“野火烧不尽”之势。木马与病毒相互配合、相得益彰，危害越来越大。

【关键词】：木马程序、攻击手段、防范技术、木马的危害

一、木马概述

1.木马的定义及特征

1.1木马的定义

在古罗马的战争中，古罗马人利用一只巨大的木马，麻痹敌人，赢得了战役的胜利，成为一段历史佳话。而在当今的网络世界里，也有这样一种被称做木马的程序，它为自己带上伪装的面具，悄悄地潜入用户的系统，进行着不可告人的行动。

有关木马的定义有很多种，作者认为，木马是一种在远程计算机之间建立起连接，使远程计算机能够通过网络控制本地计算机的程序，它的运行遵照TCP/IP协议，由于它像间谍一样潜入用户的电脑，为其他人的攻击打开后门，与战争中的“木马”战术十分相似，因而得名木马程序。

木马程序一般由两部分组成的，分别是Server（服务）端程序和Client（客户）端程序。其中Server 端程序安装在被控制计算机上，Client端程序安装在控制计算机上，Server端程序和Client端程序建立起连接就可以实现对远程计算机的控制了。

首先，服务器端程序获得本地计算机的最高操作权限，当本地计算机连入网络后，客户端程序可以与服务器端程序直接建立起连接，并可以向服务器端程序发送各种基本的操作请求，并由服务器端程序完成这些请求，也就实现了对本地计算机的控制。

因为木马发挥作用必须要求服务器端程序和客户端程序同时存在，所以必须要求本地机器感染服务器端程序，服务器端程序是可执行程序，可以直接传播，也可以隐含在其他的可执行程序中传播，但木马本身不具备繁殖性和自动感染的功能。

1.2木马的特征

据不完全统计，目前世界上有上千种木马程序。虽然这些程序使用不同的程序设计语言进行编制，在不同的环境下运行，发挥着不同的作用，但是它们有着许多共同的特征。

（1）隐蔽性

隐蔽性是木马的首要特征。木马类软件的server端在运行时会使用各种手段隐藏自己,例如大家所熟悉的修改注册表和ini文件，以便机器在下一次启动后仍能载入木马程序。通常情况下，采用简单的按“Alt+Ctrl+Del”键是不能看见木马进程的。

还有些木马可以自定义通信端口，这样就可以使木马更加隐秘。木马还可以更改server端的图标，让它看起来象个zip或图片文件，如果用户一不小，就会让当。

（2）功能特殊性

通常，木马的功能都是十分特殊的，除了普通的文件操作以外，还有些木马具有搜索目标计算机中的口令，设置口令，扫描IP发现中招的机器，记录用户事件，远程注册表的操作，以及颠倒屏幕，锁定鼠标等功能。

（3）自动运行性

木马程序通过修改系统配置文件或注册表的方式，在目标计算机系统启动时即自动运行或加载。

（4）欺骗性

木马程序要达到其长期隐蔽的目的，就必需借助系统中已有的文件，以防被用户发现。木马程序经常使用的是常见的文件名或扩展名，如“dll\win\sys\explorer等字样，或者仿制一些不易被人区别的文件名，如字母“l”与数字“1”、字母“o”与数字“0”。还有的木马程序为了隐藏自己，把自己设置成一个ZIP文件式图标，当你一不小心打开它时，它就马上运行。木马编制者还在不断地研究、发掘欺骗的手段，花样层出不穷，让人防不胜防。

（5）自动恢复性

现在，很多的木马程序中的功能模块已不再是由单一的文件组成，而是具有多重备份，可以相互恢复。计算机一旦感染上木马程序，想单独靠删除某个文件来清除，是不太可能的。

2.木马的工作原理

特洛伊木马（其名称取自希腊神话的特洛伊木马记，以下简称木马）的英文为“Trojan Horse”，是一种基于远程控制的黑客工具程序。因此，查杀木马最关键的还是要知道木马的工作原理。

常见的普通木马一般是客户端/服务端（Client/Server,C/S）模式，客户端/服务端之间采用TCP/UDP的通信方式，攻击者控制的相应的客户端程序，服务端程序是木马程序，木马程序被植入到毫不知情的用户的计算机中。以“里应外和”的工作方式，服务端通过打开特定的端口并进行监听，这些端口好像“后门”一样，所以，也有人把特洛伊木马叫做后门工具。攻击者所掌握的客户端程序向该端口发出请求（Connect Request），木马便与其连接起来。攻击者可以使用控制器进入计算机，通过客户端程序

命令达到控制服务器端的目的。这类木马的一般工作模式如下图所示。

攻击者掌握被控制端

3.木马的分类

根据木马程序对计算机的具体动作方式，可以把现在存在的木马程序分为以下的几类。

1、远程访问型木马

远程访问型木马是现在最广泛的特洛伊木马。这种木马起着远程控制的功能，用起来非常简单，只需一些人运行服务端程序，同时获得他们的IP地址，控制者就能任意访问被控制端的计算机。这种木马可以使远程控制者在本地机器上做任意的事情，比如键盘记录、上传和下载功能、发射一个“截取屏幕”等等。这种类型的木马有著名的BO （Back Office）、国产的冰河等。

2、密码发送型木马

密码发送型木马的目的是找到所有的隐藏密码，并且在受害者不知道的情况下把它们发送到指定的信箱。大多数的这类木马程序不会在每次Windows重启时都自动加载，它们大多数使用25端口发送电子邮件。

3、键盘记录型木马

键盘记录型木马是非常简单的，它们只做一种事情，就是记录受害者的键盘敲击，并且在LOG文件里做完整的记录。这种木马程序随着Windows的启动而启动，知道受害者在线并且记录每一个用户事件，然后通过邮件或其他方式发送给控制者。

4、毁坏型木马

大部分木马程序只窃取信息，不做破坏性的事件，但毁坏型木马却以毁坏并且删除文件为己任。它们可以自动地删除受控制者计算机上所有的.dll或.ini或.exe文件，甚至远程格式化受害者硬盘。毁坏型木马的危害很大，一旦计算机被感染而没有即时删除，系统中的信息会在顷刻间“灰飞烟灭”。

5、FTP型木马