畢業(yè)綜合實(shí)踐報(bào)告-計(jì)算機(jī)木馬病毒及防治(防治版)(編輯修改稿)
2025-02-17 17:41 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 被格式化。第一代木馬還不具有傳染性，在隱藏和通信方面也均無(wú)特別之處。 第二代，在技術(shù)上有了很大的進(jìn)步，它使用標(biāo)準(zhǔn)的C/S架構(gòu)，提供遠(yuǎn)程文件管理、屏幕監(jiān)視等功能，在隱藏、自啟動(dòng)和操縱服務(wù)器等技術(shù)上也有很大的發(fā)展。由于植入木馬的服務(wù)端程序會(huì)打開(kāi)連接端口等候客戶(hù)端連接，因此比較容易被用戶(hù)發(fā)現(xiàn)。冰河是第二代木馬的典型代表之一。 第三代，主要改進(jìn)在網(wǎng)絡(luò)連接方式和數(shù)據(jù)傳遞技術(shù)方面，不打開(kāi)連接端口進(jìn)行偵聽(tīng)，而是使用ICMP通信協(xié)議進(jìn)行通信或使用TCP端口反彈技術(shù)讓服務(wù)器端主動(dòng)連接客戶(hù)端，以突破防火墻的攔截，利用畸形報(bào)文傳遞數(shù)據(jù)，增加了殺毒軟件查殺識(shí)別的難度。如網(wǎng)絡(luò)神偷(Netthief)、灰鴿子木馬等。 第四代 在進(jìn)程隱藏方面有了很大改動(dòng)，采用了內(nèi)核插入式的嵌入方式，讓木馬服務(wù)器運(yùn)行時(shí)沒(méi)有進(jìn)程，網(wǎng)絡(luò)操作插入到系統(tǒng)進(jìn)程或者應(yīng)用進(jìn)程中完成。這方面發(fā)展的最高境界是rootkit技術(shù)，嵌入木馬通過(guò)替換系統(tǒng)程序、DLL、甚至是驅(qū)動(dòng)程序，替換之后還能夠提供原來(lái)程序正常的服務(wù)，同時(shí)還被遠(yuǎn)程控制，從而實(shí)現(xiàn)木馬的隱藏。前三代木馬，大多都有獨(dú)立的進(jìn)程，通過(guò)任務(wù)管理器等查看當(dāng)前運(yùn)行的進(jìn)程，很快找到木馬并刪除。但是第四代木馬不是單獨(dú)的進(jìn)程或者以注冊(cè)服務(wù)的形式出現(xiàn)，無(wú)法通過(guò)“任務(wù)管理器”查看到正在運(yùn)行的木馬甚至在Windows NT/2000下，都達(dá)到了良好的隱藏效果。需要專(zhuān)門(mén)的工具才能發(fā)現(xiàn)以及專(zhuān)業(yè)的木馬查殺工具才能清除，這方面的典型木馬如蜜蜂大盜、廣外男生。 第五代，實(shí)現(xiàn)了與病毒緊密結(jié)合，利用操作系統(tǒng)漏洞，直接實(shí)現(xiàn)感染傳播的目的，而不必象以前的木馬那樣需要欺騙用戶(hù)主動(dòng)激活。（7）二、計(jì)算機(jī)木馬病毒的偽裝方式鑒于木馬病毒的危害性，很多人對(duì)木馬知識(shí)還是有一定了解的，這對(duì)木馬的傳播起了一定的抑制作用，因此他們開(kāi)發(fā)了多種功能來(lái)偽裝木馬，以達(dá)到降低用戶(hù)警覺(jué)，欺騙用戶(hù)的目的。（一）修改圖標(biāo)當(dāng)你在EMAIL的附件中看到這個(gè)圖標(biāo)時(shí)，是否會(huì)認(rèn)為這是個(gè)文本文件呢?但是我不得不告 訴你,這也有可能是個(gè)木馬程序，現(xiàn)在 已經(jīng)有木馬可以將木馬服務(wù)端程序的圖標(biāo)改成HTML,TXT,ZIP等各種文件的圖標(biāo)，這有相當(dāng)大的迷 惑性，但是目前提供這種功能的木馬還不多見(jiàn)，并且這種偽裝也不是無(wú)懈可擊的，所以不必整天提心吊膽，疑神疑鬼的。（二）捆綁文件這種偽裝手段是將木馬捆綁到一個(gè)安裝程序上，當(dāng)安裝程序運(yùn)行時(shí)，木馬在用戶(hù)毫無(wú)察覺(jué)的情況下，偷偷的進(jìn)入了系統(tǒng)。至于被捆綁的文件一般是可執(zhí)行文件（即EXE,COM一類(lèi)的文件）。（三）出錯(cuò)顯示有一定木馬知識(shí)的人都知道，如果打開(kāi)一個(gè)文件，沒(méi)有任何反應(yīng)，這很可能就是個(gè)木馬程序，木馬的設(shè)計(jì)者也意識(shí)到了這個(gè)缺陷，所以已經(jīng)有木馬提供了一個(gè)叫做出錯(cuò)顯示的功能。當(dāng)服務(wù)端用戶(hù)打開(kāi)木馬程序時(shí)，會(huì)彈出一個(gè)錯(cuò)誤提示框，錯(cuò)誤內(nèi)容可自由定義，大多會(huì)定制成一些諸如“文件已破壞，無(wú)法打開(kāi)的！”之類(lèi)的信息，當(dāng)服務(wù)端用戶(hù)信以為真時(shí)，木馬卻悄悄侵入了系統(tǒng)。（四）定制端口很多老式的木馬端口都是固定的，這給判斷是否感染了木馬帶來(lái)了方便，只要查一下特定的端口就知道感染了什么木馬，所以現(xiàn)在很多新式的木馬都加入了定制端口的功能，控制端用戶(hù)可以在102465535之間任選一個(gè)端口作為木馬端口，這樣就給判斷所感染木馬類(lèi)型帶來(lái)了麻煩。（五）自我銷(xiāo)毀這項(xiàng)功能是為了彌補(bǔ)木馬的一個(gè)缺陷。我們知道當(dāng)服務(wù)端用戶(hù)打開(kāi)含有木馬的文件后，木馬會(huì)將自己拷貝到WINDOWS的系統(tǒng)文件夾中（C:WINDOWS或C:WINDOWSSYSTEM目錄下），一般來(lái)說(shuō)原木馬文件和系統(tǒng)文件夾中的木馬文件的大小是一樣的（捆綁文件的木馬除外），那么只要在近來(lái)收到的信件和下載的軟件中找到原木馬文件，然后根據(jù)原木馬的大小去系統(tǒng)文件夾找相同大小的文件，判斷一下哪個(gè)是木馬就行了。而木馬的自我銷(xiāo)毀功能是指安裝完木馬后，原木馬文件將自動(dòng)銷(xiāo)毀，這樣服務(wù)端用戶(hù)就很難找到木馬的來(lái)源，在沒(méi)有查殺木馬的工具幫助下，就很難刪除木馬了。（六）木馬更名安裝到系統(tǒng)文件夾中的木馬的文件名一般是固定的，那么只要根據(jù)一些查殺木馬的文章，按圖索驥在系統(tǒng)文件夾查找特定的文件，就可以斷定中了什么木馬。所以現(xiàn)在有很多木馬都允許控制端用戶(hù)自由定制安裝后的木馬文件名，這樣很難判斷所感染的木馬類(lèi)型了。三、計(jì)算機(jī)木馬病毒的防治（一）如何查出木馬在使用目前常見(jiàn)的木馬查殺軟件及殺軟件的同時(shí)，系統(tǒng)自帶的一些基本命令也可以發(fā)現(xiàn)木馬病毒：檢測(cè)網(wǎng)絡(luò)連接 如果你懷疑自己的計(jì)算機(jī)上被別人安裝了木馬，或者是中了病毒，但是手里沒(méi)有完善的工具來(lái)檢測(cè)是不是真有這樣的事情發(fā)生，那可以使用Windows自帶的網(wǎng)絡(luò)命令來(lái)看看誰(shuí)在連接你的計(jì)算機(jī)。 具體的命令格式是：netstatan這個(gè)命令能看到所有和本地計(jì)算機(jī)建立連接的IP，它包含四個(gè)部分——proto（連接方式）、local address（本地連接地址）、foreign address（和本地建立連接的地址）、state（當(dāng)前端口狀態(tài)）。通過(guò)這個(gè)命令的詳細(xì)信息，我們就可以完全監(jiān)控計(jì)算機(jī)上的連接，從而達(dá)到控制計(jì)算機(jī)的目的。禁用不明服務(wù)很多朋友在某天系統(tǒng)重新啟動(dòng)后會(huì)發(fā)現(xiàn)計(jì)算機(jī)速度變慢了，不管怎么優(yōu)化都慢，用殺毒軟件也查不出問(wèn)題，這個(gè)時(shí)候很可能是別人通過(guò)入侵你的計(jì)
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1