木馬病毒分析及其防治方法畢業(yè)論文(編輯修改稿)
2025-07-19 17:01 本頁面
【文章內容簡介】 木馬的服務端程序在被入侵的計算機系統(tǒng)上成功運行以后,攻擊者就可以使用客戶端與服務端建立連接,并進一步控制被入侵的計算機系統(tǒng)。在客戶端和服務端通信協(xié)議的選擇上,絕大多數(shù)木馬程序使用的是TCP/IP協(xié)議,也有一些木馬由于特殊的原因,使用UDP協(xié)議進行通信。當服務端在被入侵計算機上運行以后,它盡量把自己隱藏在計算機系統(tǒng)的某個角落里,以防用戶發(fā)現(xiàn)。同時監(jiān)聽某個特定的端口,等待客戶端(攻擊者)與其取得連接。為了下次重啟計算機時能正常工作,木馬程序一般會通過修改注冊表或者其他的方法讓自己成為固定的啟動程序。 木馬病毒的現(xiàn)狀目前,木馬已經(jīng)形成了多個派系的共存,結合了傳統(tǒng)電子郵件病毒的破壞性,產(chǎn)生更多的混合型木馬病毒。有關報告顯示:截至2008年6月,所截獲的新增病毒樣本總計有111 474種,其中,新增的這些木馬病毒中,盜號木馬尤其嚴重,占到木馬總數(shù)的70%,高達58 245種。從這些數(shù)據(jù)中可以看出,木馬數(shù)量成倍增長,而且病毒制造者更傾向于制造、傳播木馬病毒者?，F(xiàn)在,病毒疫情主要呈現(xiàn)出互聯(lián)網(wǎng)進入木馬/病毒經(jīng)濟時代。木馬數(shù)量迅猛增加,變種層出不窮。網(wǎng)頁掛馬與ARP欺騙危害加劇。U盤是病毒傳播的主要途徑。病毒/木馬瘋狂反撲,病毒/木馬商業(yè)化運作出現(xiàn)團隊化協(xié)同方式。病毒的變種數(shù)量已經(jīng)成為衡量其危害性的新標準等特點。3木馬病毒的植入及傳播技術由于木馬病毒是一個非自我復制的惡意代碼,因此它們需要依靠用戶向其他人發(fā)送其拷貝。木馬病毒可以作為電子郵件附件傳播,或者它們可能隱藏在用戶與其他用戶進行交流的文檔和其他文件中。它們還可以被其他惡意代碼所攜帶,如蠕蟲。木馬病毒有時也會隱藏在從互聯(lián)網(wǎng)上下載的捆綁免費軟件中。當用戶安裝這個軟件時,木馬病毒就會在后臺被自動秘密安裝。木馬病毒植入技術,主要是指木馬病毒利用各種途徑進入目標機器的具體實現(xiàn)方法。(1)利用電子郵件進行傳播:攻擊者將木馬程序偽裝成Email附件的形式發(fā)送過去,收信方只要查看郵件附件就會使木馬程序得到運行并安裝進入系統(tǒng)。(2)利用網(wǎng)絡下載進行傳播:一些非正規(guī)的網(wǎng)站以提供軟件下載為名,將木馬捆綁在軟件安裝程序上,下載后,只要運行這些程序,木馬就會自動安裝。(3)利用網(wǎng)頁瀏覽傳播:這種方法利用Java Applet編寫出一個HTML網(wǎng)頁,當我們?yōu)g覽該頁面時,JavaApplet會在后臺將木馬程序下載到計算機緩存中,然后修改注冊表,使指向木馬程序。(4)利用一些漏洞進行傳播:如微軟著名的IIS服務器溢出漏洞,通過一個IISHACK攻擊程序即可把IIS服務器崩潰,并且同時在受控服務器執(zhí)行木馬程序。由于微軟的瀏覽器在執(zhí)行Script腳本上存在一些漏洞,攻擊者可以利用這些漏洞傳播病毒和木馬,甚至直接對瀏覽者主機進行文件操作等控制。(5)遠程入侵進行傳播:黑客通過破解密碼和建立IPC遠程連接后登陸到目標主機,將木馬服務端程序拷貝到計算機中的文件夾(一般在C:\WINDOWS\system32或者C:\WINNT\system32)中,然后通過遠程操作讓木馬程序在某一個時間運行。(6)基于DLL和遠程線程插入的木馬植入：這種傳播技術是以DLL的形式實現(xiàn)木馬程序,然后在目標主機中選擇特定目標進程(如系統(tǒng)文件或某個正常運行程序),由該進程將木馬DLL植入到本系統(tǒng)中。而DLL文件的特點決定了這種實現(xiàn)形式的木馬的可行性和隱藏性。首先,由于DLL文件映像可以被映射到調用進程的地址空間中,所以它能夠共享宿主進程(調用DLL的進程)的資源,進而根據(jù)宿主進程在目標主機的級別未授權地訪問相應的系統(tǒng)資源。其次,因為DLL沒有被分配獨立的進程地址空間,也就是說DLL的運行并不需要創(chuàng)建單獨的進程,增加了隱蔽性的要求。(7)利用蠕蟲病毒傳播木馬:網(wǎng)絡蠕蟲病毒具有很強的傳染性和自我復制能力,將木馬和蠕蟲病毒結合在一起就可以大大地提高木馬的傳播能力。結合了蠕蟲病毒的木馬利用病毒的特性,在網(wǎng)絡上進行傳播、復制,這就加快了木馬的傳播速度。 木馬病毒的加載技術當木馬病毒成功植入目標機后,就必須確保自己可以通過某種方式得到自動運行。常見的木馬病毒加載技術主要包括:系統(tǒng)啟動自動加載、文件關聯(lián)和文件劫持等。 系統(tǒng)啟動自動加載系統(tǒng)啟動自動加載，這是最常的木馬自動加載方法。木馬病毒通過將自己拷貝到啟動組,。這種加載方式簡單有效,但隱蔽性差。目前很多反木馬軟件都會掃描注冊表的啟動鍵(信息),故而新一代木馬病毒都采用了更加隱蔽的加載方式。 文件關聯(lián)文件關聯(lián)，這是通過修改注冊表來完成木馬的加載。但它并不直接修改注冊表中的啟動鍵(信息),而將其與特定的文件類型相關聯(lián),如與文本文件或圖像文件相關聯(lián)。這樣在用戶打開這種類型的文件時,木馬病毒就會被自動加載。修改關聯(lián)的途徑是選擇了對注冊表的修改，它主要選擇的是文件格式中的“打開”、“編輯”、“打印”項目，如冰河木馬修改的對象如圖所示。如果感染了冰河木馬，則在[HKEY_CLASS_ROOT\txtfile\shell\open\mand]中的鍵值不是“c:\windows\%1”，而是改為“%1”如圖1所示： 圖1 注冊表圖例由圖可知，在注冊表HKEY_CLASSES_ROOT\txtfile\shell\open\mand中的值就是文本文件的關聯(lián)程序*.exe，缺省“%SystemRoot\%system32\%1”，即Windows系統(tǒng)默認為用記事本程序來打開文本文件。如果把這個程序改為木馬程序，則每打開一個文件就會執(zhí)行木馬程序，這樣，木馬就啟動，待木馬啟動后，再打開文本文件，這樣對于一般的人來看好像什么事也沒發(fā)生過。l 修改文件打開方式的程序設計算法，如圖2所示： 圖2 修改文件打開關聯(lián)的程序流程圖步驟一：打開注冊表，如果成功打開，則進入步驟二，否則轉步驟八步驟二：讀取某類文件打開方式的鍵值，如果成功找到，則進入步驟三，否則轉步驟五步驟三：修改鍵值為希望設定的鍵值，如果成功修改，則進入步驟四，否則轉步驟五步驟四：給出成功提示信息，轉步驟六步驟五：給出錯誤提示信息，進入步驟六步驟六：關閉注冊表，進入步驟七步驟七：釋放變量空間，退出程序l 修改文件打開方式的設計界面，如圖3所示圖3 修改文件打開方式l 修改文件打開方式的部分設計代碼…………//初始化對話框的一些基
化學相關推薦
鄂ICP備17016276號-1