网络对抗原理课程设计

特洛伊木马摘要随着计算机网络技术的飞速发展，黑客技术也不断更新，它对网络安全构成了极大的威胁。

特洛伊木马作为黑客工具中重要的一员，其技术日新月异，破坏力之大是绝不容忽视的。

因此，对木马技术的研究刻不容缓。

木马本质上是一种经过伪装的欺骗性程序，他通过将自身伪装吸引用户下载执行，从而破坏或窃取使用者的重要文件和资料。

本文介绍了木马的结构、行为特征、功能、分类以及木马的发展现状和发展趋势以及木马的伪装，木马程序的隐藏技术，木马的自启动以及木马的通信技术等。

关键词：木马，Socket，远程控制1 第一章绪论 (3)1.1木马的研究背景 (3)1.2木马的定义 (3)1.3课设研究的意义和目的 (3)2 第二章木马技术基础 (4)2.1木马系统结构 (4)2.1.1 硬件部分 (4)2.1.2 软件部分 (4)2.1.3 具体连接部分 (4)2.2木马的基本特征 (4)2.3木马的功能 (5)2.3.1 窃取数据 (5)2.3.2 接受非法授权操作的指令 (5)2.3.3 篡改文件和数据 (5)2.3.4 删除文件和数据 (5)2.3.5 施放病毒 (5)3 第三章概要设计 (6)3.1硬件部分 (6)3.2软件部分 (6)3.3建立连接的必要元素 (6)4 第四章：详细设计 (7)4.1.建立套接字 (7)4.1对客户端程序进行分析设计 (7)4.3服务端 (8)5 第五章结束语 (9)6 参考文献 (10)第一章绪论1.1木马的研究背景木马由于它的隐蔽性、远程可植入性和可控制性等技术特点，已成为黑客攻击或不法分子入侵网络的重要工具，目前，不断发生的互联网安全事故中，大部分都有木马的身影。

计算机病毒猖獗的背后是巨大的经济利益。

据中国国家计算机网络应急处理中心估计，目前木马黑色产业链的年产值己超过2.38亿元人民币，造成的损失则超过76亿元。

木马经济产业化的一个重要表现就是：制造木马、传播木马、盗窃账户信息、销赃、洗钱，分工明确，形成了一个非常完善的流水性作业程序，这个流水作业程序就是一条黑色产业链[3]。

木马程序使得远程的黑客能够享有系统的控制权。

“知己知彼，百战不殆”，如果想找出防御木马攻击的有效途径，就必须认真地研究木马攻击的技术。

在研究木马攻防的过程中，如果能够理清木马攻击手段的发展脉络，就有可能进一步找出木马发展的趋势，并提早思考应对策略。

1.2木马的定义木马本质上是一种经过伪装的欺骗性程序，他通过将自身伪装吸引用户下载执行，从而破坏和窃取使用者的重要文件和资料。

木马程序与一般的病毒不同，他不会自我繁殖。

他只是一种后台控制程序，他的主要作用是向施种木马者打开被种者电脑的门户，时期可以任意毁坏，窃取被种者的文件，甚至远程操控其电脑。

1.3课设研究的意义和目的由于木马活动的猖獗和其实现技术的不断更新，木马的防范工作也必须与时俱进。

只要了解木马的工作原理，借助协议分析工具，就能及时发现蛛丝马迹，降低木马带来的危害；只要熟悉木马的隐藏方法，就能快速找到并彻底清除木马，甚至找到入侵者；如果能够预先了解木马攻击手段，就可以有针对性防范木马主动入侵或攻击。

第二章木马技术基础2.1木马系统结构一个完整的木马系统由硬件部分、软件部分和具体的连接部分组成。

硬件部分，建立木马连接所必须的硬件实体，分为控制端和服务端。

2.1.1硬件部分控制端是对服务进行远程控制的一方；服务端是被控制端远程控制的一方；Internet是控制段对服务端进行远程控制，数据传输的网络载体。

2.1.2软件部分软件部分，即为实现远程控制所必须的软件程序。

控制端程序，控制端用以远程控制服务端的程序。

木马程序，潜入服务端内部，获取其操作权限的程序。

木马配置程序，设置木马的端口号，触发条件，木马名称等，并使其在服务端隐藏的更隐蔽的程序。

2.1.3具体连接部分即通过Internet在服务端和控制端之间建立一条木马通道所必须的一条元素。

控制端IP和服务端IP，即控制端和服务端的网络地址，也是木马进行数据传输的目的地。

控制端端口和木马端口，即控制端和服务端的数据入口，通过这个端口，数据可以直达控制端程序或木马程序。

2.2木马的基本特征综合现在流行的木马程序，它们都具有以下基本特征：1、隐蔽性木马必须有能力长期潜伏于目标机器中而不被发现。

一个隐蔽性的木马往往不会很容易暴露自己，进而被杀毒软件，这样将使得这类木马变得毫无价值。

因此可以说隐蔽性是木马的生命。

2、自动运行性木马程序是一个系统启动即自动运行的程序，所以它可能嵌入在启动配置文件或注册表中。

3、欺骗性木马经常类似以常见的文件名或扩展名的名字或者仿制一些不易被人区分的文件名或者伪装成常见的文件图标。

以骗取用户的信任，达到长期欺骗的目的。

4、顽固性木马顽固性就是指有效清除木马的难易程度。

若一个木马在检查出来之后，仍然无法将其一次性有效清除，那么该马就具有较强的顽固性。

很多木马程序中的功能模块已不再是单一的文件组成，而是将文件分别存储在不同的位置。

这些分散的文件可以相互恢复，因此难以清除。

5、易植入性任何木马必须首先能够进入目标机器（植入操作），因此易入性就成为木马有效性的先决条件。

欺骗性是自木马诞生起最常见的植入手段因此各种好用的小功能软件就成为木马常用的栖息地。

利用系统漏洞进行木马入也是木马入侵的一类重要途径。

目前木马技术与蠕虫技术的结合使得木马具类似蠕虫的传播性，这也就极大提高了木马的易植入性。

2.3木马的功能木马的功能可以概括为以下内容：2.3.1窃取数据以窃取数据为目的，本身不破坏计算机的文件和数据，不妨碍系统的正常工作，它以系统使用者难以察觉的方式向外传送数据。

2.3.2接受非法授权操作的指令当网络中的木马被激活后，它可以获取网络服务器系统管理员的权限，随心所欲地窃取密码和各类数据，逃避追踪，同时不会留下任何痕迹。

2.3.3篡改文件和数据对系统文件和数据有选择地进行篡改，使计算机处理的数据产生错误的结果，导致作出错误的决策。

有时也对数据进行加密。

2.3.4删除文件和数据将系统中的文件和数据有选择地删除或者全部删除。

2.3.5施放病毒将原先埋伏在系统中但出于休眠状态的病毒激活，或从外界将病毒导入计算机系统，使其感染并实施破坏。

2.3.6使系统自毁包括改变时钟频率、使芯片热崩溃而损坏、造成系统瘫痪等。

第三章概要设计有木马的远程控制原理可知：在对木马进行设计时，必须考虑的有：硬件部分和软件部分。

3.1硬件部分建立木马连接所必须的硬件实体。

控制端：对服务端进行远程控制的一方。

服务端：被控制端远程控制的一方。

INTERNET：控制端对服务端进行远程控制，数据传输的网络载体。

3.2软件部分实现远程控制所必须的软件程序。

控制端程序：控制端用以远程控制服务端的程序。

木马程序：潜入服务端内部，获取其操作权限的程序。

木马配置程序：设置木马程序的端口号，触发条件，木马名称等，使其在服务端藏得更隐蔽的程序。

3.3建立连接的必要元素通过INTERNET在服务端和控制端之间建立一条木马通道所必须的元素。

控制端IP，服务端IP：即控制端，服务端的网络地址，也是木马进行数据传输的目的地。

控制端端口，木马端口：即控制端，服务端的数据入口，通过这个入口，数据可直达控制端程序或木马程序。

第四章：详细设计4.1.建立套接字：DWORD startSock() //建立套接字功能模块{WSADATA WSAData; //将WSAData的数据类型声明为WSADATAif(WSAStartup(MAKEWORD(2,2),&WSAData)!=0){//MAKEWORD(2,2)预定义Winsock版本，初始化套接字printf("sock init fail");return(-1);}sock1 = WSASocket(AF_INET, SOCK_STREAM, IPPROTO_TCP, NULL, 0, 0);//建立套接字,为TCP/IP、流式格式struct sockaddr_in serverAddr; //保存套接字地址的结构体serverAddr.sin_family = AF_INET; //规定使用IPv4协议serverAddr.sin_port = htons(RECV_PORT); //响应端口serverAddr.sin_addr.s_addr=ADDR_ANY;//建立IP地址,ADDR_ANY可使用任意IP地址连接g1=bind(sock1,(sockaddr *)&serverAddr,sizeof(serverAddr));//绑定端口与套接字g1=listen(sock1,5);//等待监听，最大可接受5个连接请求int serverAddrSize = sizeof(serverAddr);sock2=accept(sock1,(sockaddr *)&serverAddr,&serverAddrSize);return 1;}4.2对客户端程序进行分析设计利用bind（）函数绑定套接字，地址及端口。

同时用connect函数与服务端连接，现实控制指令菜单，根据控制指令，向服务端发出控制命令，再有服务端根据接收到的指令对其进行处理。

主要函数如下：in t main(int argc, char *argv[]){int numbyte;char buf[MAXSIZE]; //传送数据的缓冲区char ip[100];cout<<"请输入要连接的IP地址"<<endl;cin>>ip;startSock();//调用建立套接字功能函数ClientAddr.sin_family = AF_INET; //协议类型是INETClientAddr.sin_port = htons(SEND_PORT); //连接对方2000端口ClientAddr.sin_addr.s_addr = inet_addr(ip); //连接对方的IP地址connect(sock, (struct sockaddr *)&ClientAddr,sizeof(struct sockaddr));while(1){buf[0] = '\0';scanf("%s",buf);//输入控制指令int iLen = strlen(buf);buf[iLen] = 0xa;buf[iLen+1] = '\0';//要求控制指令串最后为回车符,以示结束numbyte=send(sock, buf, strlen(buf), 0);//发出控制指令if(numbyte==SOCKET_ERROR){closesocket(sock);break;}numbyte=recv(sock, buf, MAXSIZE, 0);//接收服务端发来的提示符if(numbyte==SOCKET_ERROR){closesocket(sock);break;}buf[numbyte] = '\0';printf("%s",buf); //显示服务端发来的提示符if(strcmp(buf, "quit") == 0 ){closesocket(sock);return 0;}}return 0;}4.3服务端：首先修改自启动方式，确保木马可以自行启动，同时利用accept（）接收来自客户端的命令，并对其进行处理。