計算機(jī)安全-22病毒分析(編輯修改稿)
2025-02-10 17:48 本頁面
【文章內(nèi)容簡介】 deConquer Scan) ? 組合掃描 (Hybrid Scan) ? 極端掃描 (Extreme Scan) 13:25:25 19 感染的主機(jī)數(shù)與感染強(qiáng)度示意圖 感 染 強(qiáng) 度感染的主機(jī)數(shù)慢 啟 動階 段緩 消 失 階 段快 速 傳 染階 段13:25:25 20 木馬的傳染方式 13:25:25 21 特洛伊木馬的定義 ? 特洛伊木馬 (Trojan Horse)，簡稱木馬，是一種惡意程序，是一種基于遠(yuǎn)程控制的黑客工具，一旦侵入用戶的計算機(jī)，就悄悄地在宿主計算機(jī)上運(yùn)行，在用戶毫無察覺的情況下，讓攻擊者獲得遠(yuǎn)程訪問和控制系統(tǒng)的權(quán)限，進(jìn)而在用戶的計算機(jī)中修改文件、修改注冊表、控制鼠標(biāo)、監(jiān)視 /控制鍵盤，或竊取用戶信息 ? 古希臘特洛伊之戰(zhàn)中利用木馬攻陷特洛伊城；現(xiàn)代網(wǎng)絡(luò)攻擊者利用木馬，采用偽裝、欺騙(哄騙， Spoofing)等手段進(jìn)入被攻擊的計算機(jī)系統(tǒng)中，竊取信息，實(shí)施遠(yuǎn)程監(jiān)控 13:25:25 22 特洛伊木馬的定義 ? 木馬與病毒 ? 一般情況下，病毒是依據(jù)其能夠進(jìn)行自我復(fù)制即傳染性的特點(diǎn)而定義的 ? 特洛伊木馬主要是根據(jù)它的有效載體，或者是其功能來定義的，更多情況下是根據(jù)其意圖來定義的 ? 木馬一般不進(jìn)行自我復(fù)制，但具有寄生性，如捆綁在合法程序中得到安裝、啟動木馬的權(quán)限， DLL木馬甚至采用動態(tài)嵌入技術(shù)寄生在合法程序的進(jìn)程中 ? 木馬一般不具有普通病毒所具有的自我繁殖、主動感染傳播等特性，但我們習(xí)慣上將其納入廣義病毒，也就是說，木馬也是廣義病毒的一個子類 ? 木馬的最終意圖是竊取信息、實(shí)施遠(yuǎn)程監(jiān)控 ? 木馬與合法遠(yuǎn)程控制軟件 (如 pcAnyWhere)的主要區(qū)別在于是否具有隱蔽性、是否具有非授權(quán)性 13:25:25 23 特洛伊木馬的結(jié)構(gòu) ? 木馬系統(tǒng)軟件一般由木馬配置程序、控制程序和木馬程序 (服務(wù)器程序 )三部分組成 配 置控 制響 應(yīng)木 馬 程 序配 置 程 序控 制 程 序木 馬 服 務(wù) 器 木 馬 控 制 端 ( 客 戶 端 )13:25:25 24 特洛伊木馬的基本原理 ? 運(yùn)用木馬實(shí)施網(wǎng)絡(luò)入侵的基本過程 木 馬信 息控 制 端 I n t e r n e t 服 務(wù) 端① 配 置 木 馬② 傳 播 木 馬③ 運(yùn) 行 木 馬④ 信 息 反 饋⑤ 建 立 連 接⑥ 遠(yuǎn) 程 控 制13:25:25 25 特洛伊木馬的基本原理 ? 用 stat查看木馬打開的端口 2 0 2 . 1 0 2 . 4 7 . 5 62 0 2 . 1 0 2 . 4 7 . 5 66 2 6 76 2 6 72 0 2 . 9 6 . 9 6 . 1 0 2 1 0 9 6 E S T A B L I S H E DL I S T E N I N G:::P r o t o L o c a l A d d r e s s F o r e i g n A d d r e s s S t a t e① T C P② T C P 0 . 0 . 0 . 0服 務(wù) 端 I P 地 址 木 馬端 口控 制 端 I P 地 址 控 制 端端 口連 接 狀 態(tài) ：① 連 接 已 建 立② 等 待 連 接13:25:25 26 特洛伊木馬的基本原理 ? 木馬控制端與服務(wù)端連接的建立 ? 控制端要與服務(wù)端建立連接必須知道服務(wù)端的木馬端口和 IP地址 ? 由于木馬端口是事先設(shè)定的，為已知項(xiàng)，所以最重要的是如何獲得服務(wù)端的 IP地址 ? 獲得服務(wù)端的 IP地址的方法主要有兩種：信息反饋和 IP掃描 13:25:25 27 特洛伊木馬的基本原理 木馬控制端與服務(wù)端連接的建立 13:25:25 28 特洛伊木馬的基本原理 ? 木馬通道與遠(yuǎn)程控制 ? 木馬連接建立后，控制端端口和服務(wù)端木馬端口之間將會出現(xiàn)一條通道 ? 控制端上的控制端程序可藉這條通道與服務(wù)端上的木馬程序取得聯(lián)系，并通過木馬程序?qū)Ψ?wù)端進(jìn)行遠(yuǎn)程控制，實(shí)現(xiàn)的遠(yuǎn)程控制就如同本地操作 控 制 端程 序木 馬程 序1 0 9 6 6 2 6 7控 制 端 服 務(wù) 端 竊 取 密 碼文 件 操 作修 改 注 冊 表系 統(tǒng) 操 作13:25:25 29 特洛伊木馬的基本原理 ? 木馬的基本原理 ? 特洛伊木馬包括客戶端和服務(wù)器端兩個部分，也就是說，木馬其實(shí)是一個服務(wù)器 客戶端程序 ? 攻擊者通常利用一種稱為綁定程序 (exebinder)的工具將木馬服務(wù)器綁定到某個合法軟件上，誘使用戶運(yùn)行合法軟件。只要用戶運(yùn)行該軟件，特洛伊木馬的服務(wù)器就在用戶毫無察覺的情況下完成了安裝過程 ? 攻擊者要利用客戶端遠(yuǎn)程監(jiān)視、控制服務(wù)器，必需先建立木馬連接；而建立木馬連接，必需先知道網(wǎng)絡(luò)中哪一臺計算機(jī)中了木馬 ? 獲取到木馬服務(wù)器的信息之后，即可建立木馬服務(wù)器和客戶端程序之間的聯(lián)系通道，攻擊者就可以利用客戶端程序向服務(wù)器程序發(fā)送命令，達(dá)到操控用戶計算機(jī)的目的 13:25:25 30 特洛伊木馬的傳播方式 ? 木馬常用的傳播方式，有以下幾種： ? 以郵件附件的形式傳播 ? 控制端將木馬偽裝之后添加到附件中，發(fā)送給收件人 ? 通過 OICQ、 等聊天工具軟件傳播 ? 在進(jìn)行聊天時，利用文
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1