【文章內(nèi)容簡介】 系統(tǒng)服務”的方式欺騙操作系統(tǒng)b. 自動運行能力：、 或啟動組等文件中隨系統(tǒng)啟動而啟動。c. 自動恢復能力：多文件組合、多重備份，只要觸發(fā)文件組合中的一個程序，就會啟動該木馬。d. 自動打開特別端口，提供給黑客，作為入侵的端口。e. 特殊功能：除普通的文件操作外，還有諸如搜索cache口令、掃描目標主機的IP地址、鍵盤記錄等功能 計算機木馬與病毒的區(qū)別木馬不具有自我復制性和傳染性，不會像病毒那樣自我復制、刻意感染其他文件。木馬的主要意圖不是為了破壞用戶的系統(tǒng)，而是為了監(jiān)視并竊取系統(tǒng)中的有用信息，如密碼、賬號。下面是兩大國產(chǎn)殺毒軟件公司的網(wǎng)絡安全報告瑞星反病毒監(jiān)測網(wǎng) 圖21 圖22金山反病毒監(jiān)測網(wǎng) 圖23圖24 計算機木馬的分類a. 破壞型：破壞刪除文件（*.ini、*.dll、*.exe）b. 發(fā)送密碼型：找到隱藏的密碼，發(fā)送到指定的郵箱c. 遠程訪問型：只要運行了服務端程序，如果客戶知道服務端的IP地址，就可以實現(xiàn)遠程控制d. 鍵盤記錄型：記錄用戶在線或離線時按鍵情況，統(tǒng)計用戶按鍵的頻度，進行密碼分析e. 分布式攻擊（DoS）型f. 在一臺又一臺的計算機（“肉機”）上植入DoS攻擊木馬，形成DoS攻擊機群，攻擊第三方的計算機g. 郵件炸彈：機器一旦被掛馬，木馬就會隨機生成各種各樣的主題信件，對特定的郵箱不停發(fā)送信件，直到對方郵件服務器癱瘓h. 代理（Proxy）型：黑客隱藏自己的足跡，讓肉機淪為“替罪羊”i. FTP型：打開端口21，等待用戶連接j. 程序殺手型：關閉受害者計算機上運行的防木馬軟件，踢開木馬執(zhí)行的“絆腳石”k. 反彈端口型：防火墻對用戶主動向外連接的端口往往疏于防范，木馬的受害端使用主動端口，攻擊端使用被動端口，當發(fā)現(xiàn)被控制的計算機聯(lián)網(wǎng)后，攻擊端立刻彈出主動端口，與受害計算機相連接。 計算機木馬的運行原理由客戶端和服務端兩個程序組成客戶端是攻擊者用來植入被攻擊者機器的程序服務端是木馬程序攻擊者要通過木馬攻擊你的系統(tǒng)，首先木馬客戶端程序必須植入到被攻擊者的計算機里面主要傳播途徑：通過一定方法（電子郵件、下載、交互腳本）把木馬執(zhí)行文件植入被攻擊者的計算機里，引誘用戶執(zhí)行該文件，程序悄悄地在后臺運行。當服務端在被感染的機器上成功運行后，攻擊者就可使用客戶端與服務端建立連接，并進一步控制被感染的機器。 計算機木馬入侵后出現(xiàn)的癥狀（其他問題也可能出現(xiàn)這些癥狀） 瀏覽器窗口自動開啟，并鏈入某一網(wǎng)站莫名其妙的彈出警告框或詢問框，問用戶一些從未接觸過的問題,用戶的Windows配置信息被自動更改，比如屏保顯示的信息、聲音大小、鼠標靈敏度，運行某個程序沒有任何反映，系統(tǒng)變得越來越慢，硬盤無緣無故讀盤，網(wǎng)絡傳輸指示燈一直閃爍。 計算機木馬是如何啟動的？將自身拷貝到系統(tǒng)文件夾中（C:\Windows或C:\Windows\System32），然后在注冊表、啟動項、非啟動組中設置好觸發(fā)條件，就完成了木馬的安裝。 啟動木馬的條件——觸發(fā)文件所在的位置\SOFTWARE\Microsoft\Windows\CurrentVersion\Run（系統(tǒng)啟動時自動執(zhí)行的程序）或RunServices（系統(tǒng)啟動時自動執(zhí)行的系統(tǒng)服務程序）或RunOnce為開頭的主鍵2. C:\Windows\（啟動命令load=和run=一般是空白的，若有啟動程序，可能是木馬）3. C:\Windows\（在386Enh、mic和driver32中有命令行，可以找到木馬的啟動命令）4. C:\（需要控制端用戶與服務端建立連接后，將已添加木馬啟動命令的同名文件上傳至服務端覆蓋干凈的文件才行）5. *.ini（控制端制作帶有木馬的同名啟動文件，上傳到服務端，覆蓋原有干凈文件）6. 捆綁文件（首先要控制端與服務端通過木馬建立連接，然后控制端用工具將木馬文件和某一應用程序捆綁在一起，上傳到服務端覆蓋原文件，這樣即使木馬被刪除，只要運行捆綁了木馬的應用程序，木馬又會被重新安裝）7. HKEY_CLASSES_ROOT\Google （具體某文件的類型）\shell\open\mand例如“冰河”木馬修改HKEY_CLASSES_ROOT\txtfile（文本文件類型）\shell\open\mand下的鍵值。將原值從%SystemRoot%\system32\ %1變?yōu)?SystemRoot%\system32\ %1，雙擊*.txt文件，8. 啟動菜單利用“開始”→“程序”→“啟動”選項啟動木馬木馬被激活，進入內(nèi)存，開啟事先定義好的木馬端口，與控制端建立連接，建立后將在控制端端口和木馬端口產(chǎn)生一條通道，控制端上的控制程序可通過該通道與服務端的木馬程序取得聯(lián)系，通過木馬程序?qū)Ψ斩诉M行遠程控制1）竊取密碼2）文件操作3）修改注冊表4）系統(tǒng)操作 計算機木馬的本質(zhì) 一個傳統(tǒng)的網(wǎng)絡客戶/服務器（C/S）模式，作為提供服務的主機一般會打開默認端口監(jiān)聽，若有客戶機向其發(fā)出連接請求，服務器上的相應程序就會自動運行，應答客戶機的請求，這個程序就稱為守護進程。木馬程序端就是服務端，控制木馬程序端就是客戶端。如果把網(wǎng)絡切斷，木馬就無法實施遠程控制了。 計算機木馬的發(fā)展趨勢1） 隱蔽性增加a）采用非TCP/UDP封裝的IP數(shù)據(jù)包攜帶盜取的信息b) 寄生在TCP端口，與正常通信流混合傳送2) 傳輸方式多樣化（如網(wǎng)頁掛馬）3) 編程機制多樣化（針對網(wǎng)卡或Modem的底層通信編程，跳過防火墻）4) 跨平臺性（一個木馬程序可兼容不同公司不同版本的操作系統(tǒng)）5) 模塊化設計（易于組裝）6) 更新更強的感染模式7) 即時通知（Email即時通知控制端木馬的安裝情況，以應對服務端IP動態(tài)變化的局面）8) 商業(yè)病毒木馬的泛濫（如木馬點擊器Clicker病毒，侵入用戶電腦后，會根據(jù)病毒編寫者預先設定的網(wǎng)址，去點擊網(wǎng)上的廣告，如百度競價排名、Google AdSense等，讓廣告主支付更多的廣告費，而病毒犯罪團伙及其合作伙伴則會分享這些額外的“利潤”。 ） 被木馬感染后的緊急措施1) 更改所有的賬號和密碼2) 刪除硬盤上所有原來沒有的東西（系統(tǒng)還原）3) 殺毒軟件清理 木馬的監(jiān)測1) cmd→C:\Documents and Settings\acernetstat –an2) 監(jiān)測本機的活動端口軟件（Active Ports）3) 1~1024保留端口4) 1025以上的連續(xù)端口，用于文件傳輸5) 8000端口 木馬的防治1) 木馬修改注冊表→←注冊表鎖定HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\system寫入DWORD值DisableRegistryTools=1*解鎖：組策略管理器（）→本地計算機策略→用戶配置→管理模板→系統(tǒng)→阻止訪問注冊表編輯工具→鉤選“已禁止”2) IE設置中有選擇地禁用ActiveX控件、Java小程序3) 修改文件的打開關聯(lián)→←防止修改（注冊表鎖定）4) 5) 停用Guest賬戶6) 使用屏幕鍵盤輸入密碼（運行→“附件”→“輔助功能”中查找執(zhí)行） 木馬的清除技巧1) 解除非法的文件關聯(lián)：HKEY_CLASSES_ROOT\***file\shell\Open\Commanda) EXE文件的正確關聯(lián)值 %1 %*b) TXT、INI、INF文件的正確關聯(lián)值 C:\WINDOWS\System32\ %12) 正常地顯示隱藏文件a)HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\NOHIDDEN→CheckedValue=2b)HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL→CheckedValue=1圖25圖26圖27 木馬的查殺工具 木馬清道夫 2008：中國專業(yè)級的反木馬信息安全產(chǎn)品，經(jīng)公安部認證木馬防線 2005：Antiy Ghostbusters（“捉鬼隊”），經(jīng)公安部認證Ewido：國外的超強木馬查殺工具，（已更名為AVG AntiSpyware）。木馬專殺：醫(yī)生、“征途”、“魔獸” 、“劍網(wǎng)”等網(wǎng)絡游戲的木馬專殺工具——金山毒霸網(wǎng)游專殺工具“網(wǎng)銀大盜”木馬專殺（鍵盤記錄盜號；使用中突然彈出要求用戶修改密碼的提示框）——江民新網(wǎng)銀木馬專殺工具“灰鴿子”木馬專殺：金山、瑞星“落雪”木馬專殺（俗稱“游戲大盜”，紅色圖標，偽裝成游戲登錄器）第三章 計算機網(wǎng)絡病毒的防范 基于工作站的防治技術 工作站就像是計算機網(wǎng)絡的大門。只有把好這道大門，才能有效防止病毒的侵入。工作站防治病毒的方法有三種：一是軟件防治，即定期不定期地用反病毒軟件檢測工作站的病毒感染情況。軟件防治可以不斷提高防治能力，但需人為地經(jīng)常去啟動軟盤防病毒軟件，因而不僅給工作人員增加了負擔，而且很有可能在病毒發(fā)作后才能檢測到。二是在工作站上插防病毒卡。防病毒卡可以達到實時檢測的目的，但防病毒卡的升級不方便，從實際應用的效果看，對工作站的運行速度有一定的影響。三是在網(wǎng)絡接口卡上安裝防病毒芯片。它將工作站存取控制與病毒防護合二為一，可以更加實時有效地保護工作站及通向服務器的橋梁。但這種方法同樣也存在芯片上的軟件版本升級不便的問題，而且對網(wǎng)絡的傳輸速度也會產(chǎn)生一定的影響。 下載防病毒軟件要到知名度高、信譽良好的站點，通常這些站點軟件比較安全。不要過于相信和隨便運行別人給的軟件。要經(jīng)常檢查自己的系統(tǒng)文件，注冊表、端口等，多注意安全方面的信息，再者就是改掉Windows 關于隱藏文件擴展名的默認設置，這樣可以讓我們看清楚文件真正的擴展名。當前許多反病毒軟件都具有查殺“木馬”或“后門”程序的功能，但仍需更新和采用先進的防病毒軟件。如果突然發(fā)現(xiàn)自己的計算機硬盤莫名其妙的工作，或者在沒有打開任何連接的情況下Modem 還在“眨眼睛”就立刻斷開網(wǎng)絡連接，進行木馬的搜索 基于服務器的防治技術　　 網(wǎng)絡服務器是計算機網(wǎng)絡的中心，是網(wǎng)絡的支柱。網(wǎng)絡癱瘓的—個重要標志就是網(wǎng)絡服務器癱瘓。網(wǎng)絡服務器—旦被擊垮，造成的損失是災難性的、難以挽回和無法估量。目前基于服務器的防治病毒的方法大都采用防病毒可裝載模塊（NLM），以提供實時掃描病毒的能力。有時也結(jié)合利用在服務