实验指导5：木马攻击与防范实验指导书

实验指导5 木马攻击与防范实验

1.实验目的

理解和掌握木马传播和运行的机制，掌握检查和删除木马的技巧，学会防御木马的相关知识，加深对木马的安全防范意识。

2.预备知识

木马及木马技术的介绍

（1）木马概念介绍

很多人把木马看得很神秘，其实，木马就是在用户不知道的情况下被植入用户计算机，用来获取用户计算机上敏感信息（如用户口令，个人隐私等）或使攻击者可以远程控制用户主机的一个客户服务程序。这种客户/服务模式的原理是一台主机提供服务（服务器），另一台主机使用服务（客户机）。作为服务器的主机一般会打开一个默认的端口并进行监听（Listen），如果有客户机向服务器的这一端口提出连接请求（Connect Request），服务器上的相应守护进程就会自动运行，来应答客户机的请求。通常来说，被控制端相当于一台服务器，控制端则相当于一台客户机，被控制端为控制端提供预定的服务。

（2）木马的反弹端口技术

由于防火墙对于进入的链接往往会进行非常严格的过滤，但是对于连出的链接却疏于防范。于是，与一般的木马相反，反弹端口型木马的服务端 (被控制端)使用主动端口，客户端 (控制端)使用被动端口。木马定时监测控制端的存在，发现控制端上线立即弹出端口主动连结控制端打开的主动端口；为了隐蔽起见，控制端的被动端口一般开在80，这样，即使用户使用端口扫描软件检查自己的端口，发现的也是类似TCP UserIP:1026 ControllerIP:80 ESTABLISHED 的情况，稍微疏忽一点，你就会以为是自己在浏览网页。

（3）线程插入技术

木马程序的攻击性有了很大的加强，在进程隐藏方面，做了较大的改动，不再采用独立的EXE可执行文件形式，而是改为内核嵌入方式、远程线程插入技术、挂接PSAPI等。这样木马的攻击性和隐藏性就大大增强了。

木马攻击原理

特洛伊木马是一个程序，它驻留在目标计算机里，可以随计算机自动启动并在某一端口进行侦听，在对接收的数据识别后，对目标计算机执行特定的操作。

木马，其实质就是一个通过端口进行通信的网络客户/服务程序。

（1）基本概念

网络客户/服务模式的原理是一台主机提供服务(服务器)，另一台主机接受服务(客户机)。作为服务器的主机一般会打开一个默认的端口并进行监听(Listen)，如果有客户机向服务器的这一端口提出连接请求(Connect Request)，服务器上的相应程序就会自动运行，来应答客户机的请求，这个程序称为守护进程(UNIX的术语，不过已经被移植到了MS系统上)。对于特洛伊木马，被控制端就成为一台服务器，控制端则是一台客户机，是守护进程， G_client 是客户端应用程序。

（2）实现木马的控制功能

由于Win98开放了所有的权限给用户，因此，以用户权限运行的木马程序几乎可以控制一切，下面仅对木马的主要功能进行简单的概述，主要是使用Windows API函数。

①远程监控(控制对方鼠标、键盘，并监视对方屏幕)

keybd_event模拟一个键盘动作。

mouse_event模拟一次鼠标事件

mouse_event(dwFlags，dx，dy，cButtons，dwExtraInfo)dwFlags:

MOUSEEVENTF_ABSOLUTE 指定鼠标坐标系统中的一个绝对位置

MOUSEEVENTF_MOVE 移动鼠标

MOUSEEVENTF_LEFTDOWN 模拟鼠标左键按下

MOUSEEVENTF_LEFTUP 模拟鼠标左键抬起

MOUSEEVENTF_RIGHTDOWN 模拟鼠标右键按下

MOUSEEVENTF_RIGHTUP 模拟鼠标右键按下

dx，dy:MOUSEEVENTF_ABSOLUTE中的鼠标坐标。

②记录各种口令信息

keylog begin：将击键记录在一个文本文件里，同时还记录执行输入的窗口名。

③获取系统信息

a.取得计算机名 GetComputerName

b.更改计算机名 SetComputerName

c.当前用户 GetUserName

d.系统路径

e.取得系统版本

f.当前显示分辨率

④限制系统功能

a.远程关机或重启计算机，使用WinAPI中的如下函数可以实现。

ExitWindowsEx(UINT uFlags，DWORD dwReserved)当uFlags=EWX_LOGOFF 中止进程，然后注销

=EWX_SHUTDOWN 关掉系统但不关电源

=EWX_REBOOT 重新引导系统

=EWX_FORCE强迫中止没有响应的进程

=EWX_POWERDOWN 关掉系统及关闭电源

b.锁定鼠标，ClipCursor(lpRect As RECT)可以将指针限制到指定区域，或者用ShowCursor(FALSE)把鼠标隐藏起来也可以，RECT是定义的一个矩形。

c.让对方掉线 RasHangUp

d.终止进程 ExitProcess

e.关闭窗口利用FindWindow函数找到窗口并利用SendMessage函数关闭窗口

⑤远程文件操作

删除文件：File delete

拷贝文件：File copy

共享文件：Export list（列出当前共享的驱动器、目录、权限及共享密码）

⑥注册表操作

在VB中只要Set RegEdit=CreateObject（"")就可以使用以下的注册表功能：

删除键值: RegKey

增加键值: RegKey，RegValue

获取键值: (Value)

木马的防范建议

A.不要随意打开来历不明的邮件

现在许多木马都是通过邮件来传播的，当你收到来历不明的邮件时，请不要打开，应尽快删除。并加强邮件监控系统，拒收垃圾邮件。

B.不要随意下载来历不明的软件

最好是在一些知名的网站下载软件，不要下载和运行来历不明的软件。在安装软件的同时最好用杀毒软件查看有没有病毒，之后才进行安装。

C.及时修补漏洞和关闭可疑的端口