木马技术攻防探析
合集下载
相关主题
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
［ｏｔ ｈｌ Ｅ ｐｏ ｒｘ 修改为 ［ｏｔ ｈｌ Ｅ ｐ ｒ ． ｅ ｒ ａ． ｅ ｂｏＳ ｅ＝ ｘｌ ｅ． ｅ ］ ｌ ｒ ｅ ｂ ｏＳ ｅ＝ ｘｌ ｅｅ ｔ ｎ ｘ， ］ ｌ ｏ ｒｘ ￣ ｅ
里 的隐藏，当查ቤተ መጻሕፍቲ ባይዱ当前使 用的端 口时， 马打开 的端 口 木 对应 的
进程不是木马本身， 而是被插入 的进程 ， 即一个正常的进程 】 。 常用方 法有以下几种 ：１ 使 用注册 表插入 进程，只需修 改注 ）
一
进程 隐藏 是指木马把 自 身注入其 他安全 的应 用程序 的地
址 空间，一般 情况较 难被查 杀，进程 隐藏包含两 种方式 。一 种是将木 马进程名 字改 为类 似于系统 进程名字，这 种进程 隐
藏方 式 比较简单 ；另一种是 进程插 入 ，即一个 进程访 问另一 个进 程的地址 空 间 ；随着木马技 术 的发展 ，现在 很多木马使
通信的 隐藏并举例介 绍 了几种 常见 的木马 隐藏方 式，最后 针对性的介 绍 了几种有效的木 马防范策略 。
关 键词 ：木 马 ；攻 击技 术 ； 自启动 ；隐藏技术 ；防范策略
中图分类号 ：Ｔ ３ ３ ８ 文献标识码 ：Ａ 文章编号：１７ — １２（ ０ １ ０ — ００ ０ Ｐ ９． ０ ６ １ １２ ２ １ ） ７ ０２ — ３
２ １年第０ 期 ０１ ７
（ 京铁 道 职 业技 术 学 院 苏 州校 区 ， 江 苏 苏 州 ２ ５ ３ 南 ｔ １ １ ７）
摘 要 ：该 文简要 介绍 了木 马技 术的基本特征 ，重 Ａ ａ 分析木 马技 术的攻击手段入手 ，分析 了在植入 、启 ， ， ｄ
动和隐藏 ３ 重要 环节的技 术实现和特征 。该 文详尽地 分析 了木马 隐藏技 术 中的文件 隐藏 、进程 隐藏 、与 外界 个
ｃｎｌ ｉ ， ｅ ａｅ ｖｄｃｄｅｅ ｌｆ ｃｖ ｏ ｎ ｏｓｄｆ ｄ ｇ ｃｃ ￣ ｅｔ． ｏｃ ｓ ｎｔ ｐｒ ｏｕｅ ｖｒ ｅｔ ｅ ｊ ｒ ｅ ｉ ｔｓ ｅｉ ｎｙ ｕｏ ｈ ｐ ｎ ｉ ｓ ａｅ ｉ Ｔ ａ Ｈ ｅ ｅ ｎ ｎ ｔ ｉ ｐ ｎ ｌ ｒ ａ Ｋｅ。 ｒｓ Ｔｏ ｎａ ａｋｎ ｃｎｌｇ ；ｕｏｓ ｒ ｐ ｃｎ ｅｌ ｇ ｅｈ ｏ ｇ ； ｅ ｎ ｉ ａｔ ｓ ｙ 。 ｄ： ｒｊ ；ｔ ｃｉ ｔ ｈ ｏｏｙ ａｔ‘ａ ｕ；ｏ ｃａ ｎ ｃ ｌ ｙ ｄ ｆ ｄｎ Ｔ ｃｃ ｗｏ ａ ｔ ｇｅ ＿ ｔ ｔ ｉ ｔｎ ｏ ｅ ｇ ｉ
种是随计算机系统启动而 自 启动。 自 这种 启动技术有以下三种。
在 Ｗｉｄｗ 的文件系统中 ， ｎｏ ｓ 有一 个专 门存放系统启动后 自
２２１拷贝到系统启 动文件夹 ．．
动运行 程序的文件 夹 ， 用户希望计 算机系统启动时所要启动的 文件可 以通 过这 里 启动 ， 只需把 所需 文件 或其 陕捷 方式 放 入 该 文件 夹中即可。
Ａ ｓ ａｔ Ｔ ｉｐｐｒｎ ｏｕｅ ｅ ａｉｃａ ｃ ｒｏ ｅＴｏａ ｏｓ ｔ ｈｏｏｙｂ ｅ ￣ａｄａａ ｚｄｔ ｂｔ ｃ： ｈｓ ａｅ ｉｒｄ ｃｄｔ ｓ ｈｒ ｔ ｓ ｆｈ ｒ ｎＨ ｒ ｃｎ ｌ ｆ ｆ ｎ ｌ ｅ ｅ ｒ ｔ ｈｂ ｃ ａ ｅ ｔ ｊ ｅｅ ｇ ｉｌ ｎｙ ｈ
ｉ ｌｎａ ｏ ，ｓ ｒｕ ｄｃ ｎ ｅ ｌ ｇ ｉ ｒ ｅｉ ｏ ｎ ｃ ｎｅ ｆｔ ｅ ｈ ｉａ ｍｐｌｍ ｅ ｔｔ ｎ ａ ｄ ｆａｕ ｅ ｙ ａ ｌｚ ｇ ｍｐａ ｔｔ ｎ ｔ ｔｐ ａ ｏ ｃ ａｉ ｔ ｅ ｍｐ ￣ ｔｓ ｅ ｓｏ ｔｃ ｃ ｌｉ ｅ ｎａｉ ｎ ｅ ｔｒ ｓｂ ｎａｙ ｉ ｉ ａ ｎ ｎ ｎ ｈ ｈｅ ｎ ｏ ｎ
在计算机网络安全领域内，以下三类程序代码通常被称作木马 ： ） １ 包含在合法程序的未授权代码 ； ） ２ 执行不为用户所知或
不 希望功能 的程序 ；３ ）能执行隐蔽的或不被用户希望功能的恶意 程序 。常见的木 马可以分为代理木马 、程序杀手木马、反弹 端 口型木马 、Ｆ Ｐ木马 、Ｄ Ｓ攻击型 、破坏型、键盘记 录型、远程访 问型和密码发送 型等九类。 Ｔ ｏ
２２２修改 系统 配置 文件 ＿＿
用动态嵌 入技 术，以 Ｄ Ｌ文件形式 存在 ，将 自己的代码 嵌入 Ｌ 正 在运行 的进程 中的技术 。在 Ｗｉｄ ｗ 中 ， 程都 有私有 内 ｎｏｓ 进 存地址 空间，一旦 木马的 Ｄ Ｌ插入了另一 个进程 的地址空 间 Ｌ 后 ，就可 以对另 一个 进程为所 欲为，同时也实现任 务管 理器
ｔ ｔ ｋ ｇ ａｓ ｆ ｒ ａ ｏ ｅｅｈｏ ｇ．ｈ ｐｒｎｌ ｅ ｅ ｌ ｎｅｌｇｐｏｅｓｏｃａｎ，ｏ ｃａｎ ｈ ａａ ｉ ｎ Ｔｏ ｎ ｒ ｃｎｌ ｙＴ ｅ ａｅａａ ｚｄ ｅ ｃ ｃａ ，ｒｃｓｃｎｅｌｇｃｎｅｌ ｇ ｆ ｅ ｔｃ ｎ ｍｅ ｏ ｊ Ｈ ｓ ｔ ｏ ｐ ｙ ｔ ｆ ｓｏ ｈｉ ｎ ｉ ｉ ｉ ｏ
２木马攻击技术
２１ 马植入 ．木
木马要实现对 目标系统的攻击 ，必 须先植入 到 目标系统，常见的木马植 入方法有 以— 种 ：１ 捆绑 下载。将木马与正常程 Ｌ ） 序捆绑在一起发布到 网站上供 用户下载 ，当用户下载程序并安装后木马的服务端程序就会加载到 目 系统中 ；２ 标 ）电子邮件传播 。
●
收稿时间： ０ 卜（ — （ ２ １ ） １ ５ ）
作者简介： 周钰 （ ９ ２ ） １ ８ 一 ，男，江苏，硕士研 究生，主要研 究方向 ： 计算机应用技 术。
一
一
Ｉ ２ ０
２ １年第０ 期 ０１ ７
将木马作为电子邮件 的附件发 到目标 系统 ，当用户打开木马附 件运行后 ，木 马就会植 人到 目标系统中 ； ）用户浏览 网页。将 ３
Ｉ ｖ ｓｉａｉｎｉｔ ｒｊ ｎＨｏ ｓ ｅｈ ｏｏ ｙ ｎ ｅｔ ｔ ｏＴ ｏ ｒｅ ｃ ｎ ｌｇ ｇ ｏ ｎ ａ Ｔ
ＺＨ０Ｕ Ｙｕ （ ａｊ ｇ ｎｔｕｅ ｆ ａ ｗ ｙＴｃ ｎ ｌ ｙ Ｓ ｚ ｏ Ｃ ｍ ｕ， ｕｈ ｕ ｉｎ ｓ １ １７Ｃ ｉ ） Ｎ ｎｉ Ｉ ｓ ｔｔ ｏ Ｒ ｉ ａ ｅ ｈ ｏｏ ｕｈ ｕ ａ ｐ ｓ Ｓ ｚ ｏ Ｊａ ｇ ｕ ５ ３ ， ｈｎ ｎ ｉ ｌ ｇ ２ ａ
２３２进程隐藏 ．．
２２木 马 自启动 ．
自启动是 木马的基本 特性 之一，木马的自启动特性使木马 不会 因为一次关机而失去生命力，是木马实现系统攻击的首要 条件。木马利用操作系统 的一些特性 来实现 自启动 ，常用的 自 起 动有两种 方式，一种是 附加 或捆绑到系统程序或应 用程序， 用户启动这些程序 时木马跟随启动，这种方式 主要是通过修改 文件关联来实现 自启动，常用的关 联有文本文件关联 、注册表 文件关联、ｅｅ ｘ 文件关联或创建一新类型文件，并与其关联 。另
用户对系统配置文件一般较为陌生，系统配置文件被修改 后用户也不容易发现，木马可 以通过修改 系统配置文件置 Ｗｉ． ｎ ｉｉ ｎ 文件和 Ｓｓ ｍ．ｉ ｙｔ ｉ 文件来实现 自 ｅ ｎ 启动。在 Ｗｉ．ｉ ｎｉ 文件 中设 置： ｎ ［ｉｄｗ ｏｄ ｒ ａ ．ｅ ｒｎ Ｔｏ ｎ ｅｅ ｗｎｏ ￣ｌ ＝ｔ ｎ ｘ ｕ ＝ｒ ａ ．ｘ，或将 Ｓｓ ｍｉｉ ａ ￣ ｅ ｊ ｙ ｅ ． 文件中 ｔ ｎ
木 马运行成功后经常会将 自己复制到 Ｃ＼ ｎ ｏ ｓ ｙｔｍ ２ ： ｄ ｗ＼ ｓ ３ Ｗｉ Ｓ ｅ
等 Ｗｉｄｗ 系统文件夹 中来实现 隐藏文件 的目的，这些文件夹 ｎｏｓ
中包含许多文件 ，用户不容易发现 ，而且 此类 系统 文件 夹中的 文件一 般都 比较重要，用户不 敢轻易删除。为了迷惑用户，木 马制造者经常会起 与系统文件名相类似的文件名，用户很难 辨 别 。常见 的木 马文件 隐藏方式有 ：嵌入到宿主文件 中，或者伪 装成 图片、文本 等非可执行文件 ；或者复制多个副本隐蔽 ；或 者采取文件替换， 即用修改后的 Ｄ Ｌ文件替换系统 Ｄ Ｌ文件 ｝ Ｌ Ｌ 。
Ｏ引言
２ 世纪随着 网络技 术的快速发展 与互联 网的普及，人们的 日 １ 常工作 、生活越来 越离不开互联网。网络给人们带来便 利的同 时，网络安全问题也愈发显现，各种黑 客工具和网络攻击手段 ，使网络 安全问题 已成为人们不可忽视 的问题 。木马攻击 是最常见 的黑 客攻击 手段 ，黑 客通 过在用户系统中植入 木马进行 各种攻击 ， 如监视用户的键 盘，窃取用户的账户信息 、密码 等。木马 已成 为计 算机安全的主要威胁之一 ， 究木马技 术有非常重要 的意义。 研
ｅ ｘｅ
隐藏 进程。运 行 Ｄ Ｌ文件最简单方法是用 Ｒｕ ｄ１２ｅ ｅ Ｌ ｎ ｌ ．ｘ ， ３
以后系统启动时木马将 自 启动 。
２２３注册表启动 ．．
Ｒ ｎ ｌ Ｒ ｎ ｌ ２是 Ｗｉｄ ｗ 自带 的动态链接工具 ，可 以用来 ｕ ｄｌ ｕ ｄ１ ／ ３ ｎｏ ｓ
在命令行下执行 动态链 接库 中的某个 函数 ，Ｒ ｎ ｌ ２ ｕ ｄ１ 命令 的 ３
２３木马隐藏技术 ．
木 马的隐藏技术是木马在被植 入计算机生存的关 键，隐藏 技术是 木马在 目标系统 中不被发 现 的有保 障。木马隐藏 技术 包括文件 的隐藏 、进程的隐藏 、与外界通信 的隐藏 。
２３１文件 隐藏 ．．
木马捆绑在网页中， 如色 隋网页、 中奖等， 使用户打开该 网页 ， 诱
ｃｍ ｎ ａ ｏ ｉ ｔ ｌｎ ｅ ｉ ｗ ｉ ｉ ｒ ｕ ｅ ｍｅ Ｏｉ Ｉ Ｔｏ Ｈ ｒ ｎ ｅ ｌ ｇ ｏ ｅ ｗ ｔ ｅａ ｌ ． ｏ ｍｕ ｉ ｔ ｎｗｔ ｅ ｅ ｉ ｄｔ ｌ ｈ ｅ ｔ ｄ ｃｄｓ Ｆ Ｔ ｎ ｒ ａ ｏｓ ｃ ｃａ ｍ ｄ ｓ ｉ ｍｐ ｓ Ｉ ｃｉ ｈ ｘ ｍａ ａ ， ｌ ｎ ｏ ｏ Ｃ ￣ｏ ｊ ｎ ｅｏ ｎ ｉ ｈｘ ｅ ｎ
册表 ［ Ｌ Ｓ ｆ ａｅＭｉｒｓｆＷｉｄｗ Ｔ Ｃ ｒｅｔ ｅｓ ｎ ＨＫ Ｍ＼ｏ ｗ ｒ＼ ｃｏｏｔ ｎ ｏ ｓＮ ＼ｕｒｎ ｒｉ ＼ ｔ ＼ Ｖ ｏ
Ｗ ｉ ｄ ｗｓＡｐ ｌ ｉ Ｄ Ｌ］ ｎ ｏ ＼ ｐ ｎ ｔ Ｌ ｓ中的键值就可实现
—
；） ２ 使用 Ｒ ｎ ｌ ２ ｕ ｄ１ ． ３
１木 马 概 述
木马是特洛伊木马的简称，该名称来源于古希腊神话 ，传说古希腊 士兵就是藏在特洛伊木马内进入敌方城市并占领敌方城市。 木马是一种与远程计算机之间建立起连接，使远程计算机能够通过 网络控制用户计算机系统并且可能造成 用户的信 息损失、系统损 坏甚至瘫痪的程序 ” 。木马通常包含两部分 ： 一个是服务端 ，即被控制端 ， 另一个是客户端，即控制端。木马实质上是一个客户 ／ 服 务模式 的程序 ， 服务器一般会打开一个默认的端 口进行监听 ， 等待客户机提出连接请求。客户机则指定服务器地址及打开端 口， 使用 Ｓｃｅ 向服务器发送连接请求 ， ｏｋｔ 服务器端监听到客户端的连接请求后接受请求并建立连接 ， 客户端发送命令 ， 如模拟键盘动作 、模拟 鼠标事件 、获取系统信 息、记录各种口令信 息等 ， 服务器接受并执行这些命令 。木马是否可以实现对目标系统的有效攻击与木马存 目 标系统中的生存能力有密切关系， 其生存能力通过木马的隐藏技术来体现， 隐藏技术越高， 生存能力就越强 ， 潜在的危害性就越大。
将木马植入用户系统 ， 这种方式是 目 前最流行的木 马植 人方式；
４ Ｑ ） Ｑ消息链 接。将木马制作成 有诱 惑性的消息 ，当发送 Ｑ Ｑ
消息 时，木 马会 与消息一并发送 ，用户点击 链接后 ， 将木 马植 入 用户系统 ； ） 接植 入。利用系统 漏洞或用户的防范不足， ５ 直 直接操 纵用户系统 ，植 入木马。
里 的隐藏，当查ቤተ መጻሕፍቲ ባይዱ当前使 用的端 口时， 马打开 的端 口 木 对应 的
进程不是木马本身， 而是被插入 的进程 ， 即一个正常的进程 】 。 常用方 法有以下几种 ：１ 使 用注册 表插入 进程，只需修 改注 ）
一
进程 隐藏 是指木马把 自 身注入其 他安全 的应 用程序 的地
址 空间，一般 情况较 难被查 杀，进程 隐藏包含两 种方式 。一 种是将木 马进程名 字改 为类 似于系统 进程名字，这 种进程 隐
藏方 式 比较简单 ；另一种是 进程插 入 ，即一个 进程访 问另一 个进 程的地址 空 间 ；随着木马技 术 的发展 ，现在 很多木马使
通信的 隐藏并举例介 绍 了几种 常见 的木马 隐藏方 式，最后 针对性的介 绍 了几种有效的木 马防范策略 。
关 键词 ：木 马 ；攻 击技 术 ； 自启动 ；隐藏技术 ；防范策略
中图分类号 ：Ｔ ３ ３ ８ 文献标识码 ：Ａ 文章编号：１７ — １２（ ０ １ ０ — ００ ０ Ｐ ９． ０ ６ １ １２ ２ １ ） ７ ０２ — ３
２ １年第０ 期 ０１ ７
（ 京铁 道 职 业技 术 学 院 苏 州校 区 ， 江 苏 苏 州 ２ ５ ３ 南 ｔ １ １ ７）
摘 要 ：该 文简要 介绍 了木 马技 术的基本特征 ，重 Ａ ａ 分析木 马技 术的攻击手段入手 ，分析 了在植入 、启 ， ， ｄ
动和隐藏 ３ 重要 环节的技 术实现和特征 。该 文详尽地 分析 了木马 隐藏技 术 中的文件 隐藏 、进程 隐藏 、与 外界 个
ｃｎｌ ｉ ， ｅ ａｅ ｖｄｃｄｅｅ ｌｆ ｃｖ ｏ ｎ ｏｓｄｆ ｄ ｇ ｃｃ ￣ ｅｔ． ｏｃ ｓ ｎｔ ｐｒ ｏｕｅ ｖｒ ｅｔ ｅ ｊ ｒ ｅ ｉ ｔｓ ｅｉ ｎｙ ｕｏ ｈ ｐ ｎ ｉ ｓ ａｅ ｉ Ｔ ａ Ｈ ｅ ｅ ｎ ｎ ｔ ｉ ｐ ｎ ｌ ｒ ａ Ｋｅ。 ｒｓ Ｔｏ ｎａ ａｋｎ ｃｎｌｇ ；ｕｏｓ ｒ ｐ ｃｎ ｅｌ ｇ ｅｈ ｏ ｇ ； ｅ ｎ ｉ ａｔ ｓ ｙ 。 ｄ： ｒｊ ；ｔ ｃｉ ｔ ｈ ｏｏｙ ａｔ‘ａ ｕ；ｏ ｃａ ｎ ｃ ｌ ｙ ｄ ｆ ｄｎ Ｔ ｃｃ ｗｏ ａ ｔ ｇｅ ＿ ｔ ｔ ｉ ｔｎ ｏ ｅ ｇ ｉ
种是随计算机系统启动而 自 启动。 自 这种 启动技术有以下三种。
在 Ｗｉｄｗ 的文件系统中 ， ｎｏ ｓ 有一 个专 门存放系统启动后 自
２２１拷贝到系统启 动文件夹 ．．
动运行 程序的文件 夹 ， 用户希望计 算机系统启动时所要启动的 文件可 以通 过这 里 启动 ， 只需把 所需 文件 或其 陕捷 方式 放 入 该 文件 夹中即可。
Ａ ｓ ａｔ Ｔ ｉｐｐｒｎ ｏｕｅ ｅ ａｉｃａ ｃ ｒｏ ｅＴｏａ ｏｓ ｔ ｈｏｏｙｂ ｅ ￣ａｄａａ ｚｄｔ ｂｔ ｃ： ｈｓ ａｅ ｉｒｄ ｃｄｔ ｓ ｈｒ ｔ ｓ ｆｈ ｒ ｎＨ ｒ ｃｎ ｌ ｆ ｆ ｎ ｌ ｅ ｅ ｒ ｔ ｈｂ ｃ ａ ｅ ｔ ｊ ｅｅ ｇ ｉｌ ｎｙ ｈ
ｉ ｌｎａ ｏ ，ｓ ｒｕ ｄｃ ｎ ｅ ｌ ｇ ｉ ｒ ｅｉ ｏ ｎ ｃ ｎｅ ｆｔ ｅ ｈ ｉａ ｍｐｌｍ ｅ ｔｔ ｎ ａ ｄ ｆａｕ ｅ ｙ ａ ｌｚ ｇ ｍｐａ ｔｔ ｎ ｔ ｔｐ ａ ｏ ｃ ａｉ ｔ ｅ ｍｐ ￣ ｔｓ ｅ ｓｏ ｔｃ ｃ ｌｉ ｅ ｎａｉ ｎ ｅ ｔｒ ｓｂ ｎａｙ ｉ ｉ ａ ｎ ｎ ｎ ｈ ｈｅ ｎ ｏ ｎ
在计算机网络安全领域内，以下三类程序代码通常被称作木马 ： ） １ 包含在合法程序的未授权代码 ； ） ２ 执行不为用户所知或
不 希望功能 的程序 ；３ ）能执行隐蔽的或不被用户希望功能的恶意 程序 。常见的木 马可以分为代理木马 、程序杀手木马、反弹 端 口型木马 、Ｆ Ｐ木马 、Ｄ Ｓ攻击型 、破坏型、键盘记 录型、远程访 问型和密码发送 型等九类。 Ｔ ｏ
２２２修改 系统 配置 文件 ＿＿
用动态嵌 入技 术，以 Ｄ Ｌ文件形式 存在 ，将 自己的代码 嵌入 Ｌ 正 在运行 的进程 中的技术 。在 Ｗｉｄ ｗ 中 ， 程都 有私有 内 ｎｏｓ 进 存地址 空间，一旦 木马的 Ｄ Ｌ插入了另一 个进程 的地址空 间 Ｌ 后 ，就可 以对另 一个 进程为所 欲为，同时也实现任 务管 理器
ｔ ｔ ｋ ｇ ａｓ ｆ ｒ ａ ｏ ｅｅｈｏ ｇ．ｈ ｐｒｎｌ ｅ ｅ ｌ ｎｅｌｇｐｏｅｓｏｃａｎ，ｏ ｃａｎ ｈ ａａ ｉ ｎ Ｔｏ ｎ ｒ ｃｎｌ ｙＴ ｅ ａｅａａ ｚｄ ｅ ｃ ｃａ ，ｒｃｓｃｎｅｌｇｃｎｅｌ ｇ ｆ ｅ ｔｃ ｎ ｍｅ ｏ ｊ Ｈ ｓ ｔ ｏ ｐ ｙ ｔ ｆ ｓｏ ｈｉ ｎ ｉ ｉ ｉ ｏ
２木马攻击技术
２１ 马植入 ．木
木马要实现对 目标系统的攻击 ，必 须先植入 到 目标系统，常见的木马植 入方法有 以— 种 ：１ 捆绑 下载。将木马与正常程 Ｌ ） 序捆绑在一起发布到 网站上供 用户下载 ，当用户下载程序并安装后木马的服务端程序就会加载到 目 系统中 ；２ 标 ）电子邮件传播 。
●
收稿时间： ０ 卜（ — （ ２ １ ） １ ５ ）
作者简介： 周钰 （ ９ ２ ） １ ８ 一 ，男，江苏，硕士研 究生，主要研 究方向 ： 计算机应用技 术。
一
一
Ｉ ２ ０
２ １年第０ 期 ０１ ７
将木马作为电子邮件 的附件发 到目标 系统 ，当用户打开木马附 件运行后 ，木 马就会植 人到 目标系统中 ； ）用户浏览 网页。将 ３
Ｉ ｖ ｓｉａｉｎｉｔ ｒｊ ｎＨｏ ｓ ｅｈ ｏｏ ｙ ｎ ｅｔ ｔ ｏＴ ｏ ｒｅ ｃ ｎ ｌｇ ｇ ｏ ｎ ａ Ｔ
ＺＨ０Ｕ Ｙｕ （ ａｊ ｇ ｎｔｕｅ ｆ ａ ｗ ｙＴｃ ｎ ｌ ｙ Ｓ ｚ ｏ Ｃ ｍ ｕ， ｕｈ ｕ ｉｎ ｓ １ １７Ｃ ｉ ） Ｎ ｎｉ Ｉ ｓ ｔｔ ｏ Ｒ ｉ ａ ｅ ｈ ｏｏ ｕｈ ｕ ａ ｐ ｓ Ｓ ｚ ｏ Ｊａ ｇ ｕ ５ ３ ， ｈｎ ｎ ｉ ｌ ｇ ２ ａ
２３２进程隐藏 ．．
２２木 马 自启动 ．
自启动是 木马的基本 特性 之一，木马的自启动特性使木马 不会 因为一次关机而失去生命力，是木马实现系统攻击的首要 条件。木马利用操作系统 的一些特性 来实现 自启动 ，常用的 自 起 动有两种 方式，一种是 附加 或捆绑到系统程序或应 用程序， 用户启动这些程序 时木马跟随启动，这种方式 主要是通过修改 文件关联来实现 自启动，常用的关 联有文本文件关联 、注册表 文件关联、ｅｅ ｘ 文件关联或创建一新类型文件，并与其关联 。另
用户对系统配置文件一般较为陌生，系统配置文件被修改 后用户也不容易发现，木马可 以通过修改 系统配置文件置 Ｗｉ． ｎ ｉｉ ｎ 文件和 Ｓｓ ｍ．ｉ ｙｔ ｉ 文件来实现 自 ｅ ｎ 启动。在 Ｗｉ．ｉ ｎｉ 文件 中设 置： ｎ ［ｉｄｗ ｏｄ ｒ ａ ．ｅ ｒｎ Ｔｏ ｎ ｅｅ ｗｎｏ ￣ｌ ＝ｔ ｎ ｘ ｕ ＝ｒ ａ ．ｘ，或将 Ｓｓ ｍｉｉ ａ ￣ ｅ ｊ ｙ ｅ ． 文件中 ｔ ｎ
木 马运行成功后经常会将 自己复制到 Ｃ＼ ｎ ｏ ｓ ｙｔｍ ２ ： ｄ ｗ＼ ｓ ３ Ｗｉ Ｓ ｅ
等 Ｗｉｄｗ 系统文件夹 中来实现 隐藏文件 的目的，这些文件夹 ｎｏｓ
中包含许多文件 ，用户不容易发现 ，而且 此类 系统 文件 夹中的 文件一 般都 比较重要，用户不 敢轻易删除。为了迷惑用户，木 马制造者经常会起 与系统文件名相类似的文件名，用户很难 辨 别 。常见 的木 马文件 隐藏方式有 ：嵌入到宿主文件 中，或者伪 装成 图片、文本 等非可执行文件 ；或者复制多个副本隐蔽 ；或 者采取文件替换， 即用修改后的 Ｄ Ｌ文件替换系统 Ｄ Ｌ文件 ｝ Ｌ Ｌ 。
Ｏ引言
２ 世纪随着 网络技 术的快速发展 与互联 网的普及，人们的 日 １ 常工作 、生活越来 越离不开互联网。网络给人们带来便 利的同 时，网络安全问题也愈发显现，各种黑 客工具和网络攻击手段 ，使网络 安全问题 已成为人们不可忽视 的问题 。木马攻击 是最常见 的黑 客攻击 手段 ，黑 客通 过在用户系统中植入 木马进行 各种攻击 ， 如监视用户的键 盘，窃取用户的账户信息 、密码 等。木马 已成 为计 算机安全的主要威胁之一 ， 究木马技 术有非常重要 的意义。 研
ｅ ｘｅ
隐藏 进程。运 行 Ｄ Ｌ文件最简单方法是用 Ｒｕ ｄ１２ｅ ｅ Ｌ ｎ ｌ ．ｘ ， ３
以后系统启动时木马将 自 启动 。
２２３注册表启动 ．．
Ｒ ｎ ｌ Ｒ ｎ ｌ ２是 Ｗｉｄ ｗ 自带 的动态链接工具 ，可 以用来 ｕ ｄｌ ｕ ｄ１ ／ ３ ｎｏ ｓ
在命令行下执行 动态链 接库 中的某个 函数 ，Ｒ ｎ ｌ ２ ｕ ｄ１ 命令 的 ３
２３木马隐藏技术 ．
木 马的隐藏技术是木马在被植 入计算机生存的关 键，隐藏 技术是 木马在 目标系统 中不被发 现 的有保 障。木马隐藏 技术 包括文件 的隐藏 、进程的隐藏 、与外界通信 的隐藏 。
２３１文件 隐藏 ．．
木马捆绑在网页中， 如色 隋网页、 中奖等， 使用户打开该 网页 ， 诱
ｃｍ ｎ ａ ｏ ｉ ｔ ｌｎ ｅ ｉ ｗ ｉ ｉ ｒ ｕ ｅ ｍｅ Ｏｉ Ｉ Ｔｏ Ｈ ｒ ｎ ｅ ｌ ｇ ｏ ｅ ｗ ｔ ｅａ ｌ ． ｏ ｍｕ ｉ ｔ ｎｗｔ ｅ ｅ ｉ ｄｔ ｌ ｈ ｅ ｔ ｄ ｃｄｓ Ｆ Ｔ ｎ ｒ ａ ｏｓ ｃ ｃａ ｍ ｄ ｓ ｉ ｍｐ ｓ Ｉ ｃｉ ｈ ｘ ｍａ ａ ， ｌ ｎ ｏ ｏ Ｃ ￣ｏ ｊ ｎ ｅｏ ｎ ｉ ｈｘ ｅ ｎ
册表 ［ Ｌ Ｓ ｆ ａｅＭｉｒｓｆＷｉｄｗ Ｔ Ｃ ｒｅｔ ｅｓ ｎ ＨＫ Ｍ＼ｏ ｗ ｒ＼ ｃｏｏｔ ｎ ｏ ｓＮ ＼ｕｒｎ ｒｉ ＼ ｔ ＼ Ｖ ｏ
Ｗ ｉ ｄ ｗｓＡｐ ｌ ｉ Ｄ Ｌ］ ｎ ｏ ＼ ｐ ｎ ｔ Ｌ ｓ中的键值就可实现
—
；） ２ 使用 Ｒ ｎ ｌ ２ ｕ ｄ１ ． ３
１木 马 概 述
木马是特洛伊木马的简称，该名称来源于古希腊神话 ，传说古希腊 士兵就是藏在特洛伊木马内进入敌方城市并占领敌方城市。 木马是一种与远程计算机之间建立起连接，使远程计算机能够通过 网络控制用户计算机系统并且可能造成 用户的信 息损失、系统损 坏甚至瘫痪的程序 ” 。木马通常包含两部分 ： 一个是服务端 ，即被控制端 ， 另一个是客户端，即控制端。木马实质上是一个客户 ／ 服 务模式 的程序 ， 服务器一般会打开一个默认的端 口进行监听 ， 等待客户机提出连接请求。客户机则指定服务器地址及打开端 口， 使用 Ｓｃｅ 向服务器发送连接请求 ， ｏｋｔ 服务器端监听到客户端的连接请求后接受请求并建立连接 ， 客户端发送命令 ， 如模拟键盘动作 、模拟 鼠标事件 、获取系统信 息、记录各种口令信 息等 ， 服务器接受并执行这些命令 。木马是否可以实现对目标系统的有效攻击与木马存 目 标系统中的生存能力有密切关系， 其生存能力通过木马的隐藏技术来体现， 隐藏技术越高， 生存能力就越强 ， 潜在的危害性就越大。
将木马植入用户系统 ， 这种方式是 目 前最流行的木 马植 人方式；
４ Ｑ ） Ｑ消息链 接。将木马制作成 有诱 惑性的消息 ，当发送 Ｑ Ｑ
消息 时，木 马会 与消息一并发送 ，用户点击 链接后 ， 将木 马植 入 用户系统 ； ） 接植 入。利用系统 漏洞或用户的防范不足， ５ 直 直接操 纵用户系统 ，植 入木马。