灰鸽子的入侵与防护研究

灰鸽子的入侵与防护研究

XXX（）

【摘要】现今的社会几乎离不开网络，这使得网络上的犯罪越来越猖獗，黑客和病毒是计算机网络安全普遍的威胁，其中木马最为典型。它的危害在于不知不觉中偷偷的窥探别人的隐私和盗窃别人的密码、数据、信息等，而现在绝大部分的人经常使用网络来交流信息（商业信息、私人信息等等），对于网络用户而言，这是一个巨大的安全威胁。灰鸽子是一款国内著名的木马软件。本文就灰鸽子远程控制的实现原理及防护办法进行探讨，对木马隐藏和启动的实现原理进行分析，揭示木马的工作机制，并提出相关的解决办法，给出木马的防治策略。

【关键词】灰鸽子；网络安全；灰鸽子防护；灰鸽子配置

1．引言

网络常见的盗取信息的病毒是木马，木马一词源于希腊神话《木马屠城记》。古希腊传说，特洛伊王子帕里斯访问希腊，诱走了王后海伦，希腊人因此远征特洛伊。围攻9年后，到第10年，希腊将领奥德修斯献了一计，就是把一批勇士埋伏在一匹巨大的木马腹内，放在城外后，佯作退兵。特洛伊人以为敌兵已退，就把木马作为战利品搬入城中。到了夜间，埋伏在木马中的勇士跳出来，打开了城门，希腊将士一拥而入攻下了城池。后来，人们在写文章时就常用“特洛伊木马”这一典故，用来比喻在敌方营垒里埋下伏兵里应外合的活动。特洛伊木马没有自我复制能力，但它的特点是伪装成一个实用工具或者一个可爱的游戏来诱使用户将其安装在PC或者服务器上。而完整的木马程序一般由两个部分组成：一个是服务器程序，一个是客户端程序。“中了木马”就是指安装了木马的服务器程序，若你的电脑被安装了服务器程序，则拥有客户端程序的人就可以通过网络控制你的电脑，这时你电脑上的各种文件、程序，以及在你电脑上使用的帐号、密码就无安全可言了。

2．木马介绍

2.1木马程序

木马程序，通常称为木马，恶意代码之一类，是指潜伏在电脑中，可受外部用户控制以窃取本机信息或者控制权的程序。它的全称叫特洛伊木马，英文叫做“Trojan horse”，其名称取自希腊神话的特洛伊木马记。木马程序危害在于多数有恶意企图，例如占用系统资源，降低电脑效能，危害本机信息安全（盗取QQ帐号、游戏帐号甚至银行帐号），将本机作为工具来攻击其他设备等。

2.2木马种类

2.2.1网络游戏木马

网络游戏木马通常采用记录用户键盘输入、Hook游戏进程API函数等方法获取用户的密码和帐号。窃取到的信息一般通过发送电子邮件或向远程脚本程序提交的方式发送给木马作者。2.2.2网银木马

网银木马是针对网上交易系统编写的木马病毒，其目的是盗取用户的卡号、密码，甚至安全证书。它的危害更加直接，受害用户的损失更加惨重。

网银木马通常针对性较强，木马作者可能首先对某银行的网上交易系统进行仔细分析，然后针对安全薄弱环节编写病毒程序。

2.2.3通讯软件木马

常见的即时通讯类木马一般有3种：

1）发送消息型。通过即时通讯软件自动发送含有恶意网址的消息，目的在于让收到消息的用户点击网址中毒，用户中毒后又会向更多好友发送病毒消息。此类病毒常用技术是搜索聊天窗口，进而控制该窗口自动发送文本内容。

2）盗号型。主要目标在于即时通讯软件的登录帐号和密码。工作原理和网游木马类似。病毒作者盗得他人帐号后，可能偷窥聊天记录等隐私内容，或将帐号卖掉。

3）传播自身型。

2.2.4下载类木马

这种木马程序的体积一般很小，其功能是从网络上下载其他病毒程序或安装广告软件。

2.2.5代理类木马

用户感染代理类木马后，会在本机开启HTTP、SOCKS等代理服务功能。黑客把受感染计算机作为跳板，以被感染用户的身份进行黑客活动，达到隐藏自己的目的。

2.2.6网页点击类木马

网页点击类木马会恶意模拟用户点击广告等动作，在短时间内可以产生数以万计的点击量。病毒作者的编写目的一般是为了赚取高额的广告推广费用。此类病毒的技术简单，一般只是向服务器发送HTTP GET请求。

2.3木马特性

(1) 包含于正常程序中，当用户执行正常程序时，启动自身，在用户难以察觉的情况下，

完成一些危害用户的操作，具有隐蔽性。

(2) 具有自动运行性。木马为了控制服务端。它必须在系统启动时即跟随启动，所以它必须潜人在你的启动配置文件中，如win.ini、system.ini、winstart.bat以及启动组等文件之中。

(3) 包含具有未公开并且可能产生危险后果的功能的程序。

(4) 具备自动恢复功能。现在很多的木马程序中的功能模块不再由单一的文件组成，而是具有多重备份，可以相互恢复。

(5) 能自动打开特别的端口。木马程序潜人你的电脑之中的目的主要不是为了破坏你的系统，而是为了获取你的系统中有用的信息，当你上网时能与远端客户进行通讯，这样木马程序就会用服务器客户端的通讯手段把信息告诉黑客们，以便黑客们控制你的机器，或实施进一步的人侵企图。

(6) 功能的特殊性。通常的木马功能都是十分特殊的，除了普通的文件操作以外，还有些木马具有搜索cache中的口令、设置口令、扫描目标机器人的IP地址、进行键盘记录、远程注册表的操作以及锁定鼠标等功能。

3．灰鸽子介绍

灰鸽子英文名为win32.hack.huigezi，是国内一款著名后门。这个木马黑客工具大致于2001年出现在互联网，当时被判定为高危木马，至今已经衍生出超过6万个变种。比起前辈冰河、黑洞来，灰鸽子可以说是国内后门的集大成者。其丰富而强大的功能、灵活多变的操作、良好的隐藏性使其他后门都相形见绌。客户端简易便捷的操作使刚入门的初学者都能充当黑客。当使用在合法情况下时，灰鸽子是一款优秀的远程控制软件。但如果拿它做一些非法的事，灰鸽子就成了很强大的黑客工具。

4．灰鸽子的原理

灰鸽子采用客户端和服务端模式。黑客利用客户端程序配置出服务端程序。可配置的信息主要包括上线类型、主动连接时使用的公网IP（域名）、连接密码、使用的端口、启动项名称、服务名称，进程隐藏方式，使用的壳，代理，图标等等。服务端对客户端连接方式有多种，使得处于各种网络环境的用户都可能中毒，包括局域网用户、公网用户和ADSL拨号用户等。

服务端配置出来的服务端文件文件名为Server_Setup.exe（这是默认的可改变），黑客利用一切办法诱骗用户运行Server_Setup.exe程序。Server_Setup.exe运行后将自己拷贝到Windows目录下，然后再从体内释放Server_Setup.dll和

Server_Setup_Hook.dll到windows目录下。Server_Setup.exe、Server_Setup.dll和Server_Setup_Hook.dll三个文件相互配合组成了灰鸽子服务端，

Server_Setup_Hook.dll负责隐藏灰鸽子。通过截获进程的API调用隐藏灰鸽子的文件、服务的注册表项，甚至是进程中的模块名。截获的函数主要是用来遍历文件、遍历注册表项和遍历进程模块的一些函数。有些灰鸽子会多释放出一个名为Server_SetupKey.dll的文件用来记录键盘操作。

Windows目录下的Server_Setup.exe文件将自己注册成服务，每次开机都能自动运行，运行后启动Server_Setup.dll和Server_Setup_Hook.dll并自动退出。Server_Setup.dll文件实现后门功能，与控制端客户端进行通信；Server_Setup_Hook.dll 则通过拦截API调用来隐藏病毒。因此，中毒后我们看不到病毒文件，也看不到病毒注册的服务项。随着灰鸽子服务端文件的设置不同，Server_Setup_Hook.dll有时候附在Explorer.exe的进程空间中，有时候则是附在所有进程中。

5．灰鸽子远程控制配置

灰鸽子采用了服务端（被控者）主动连接客户端（控制者）的技术，所以配置服务端的时候首先要设置服务端上线，选择灰鸽子客户端程序主窗口中的“文件”→“配置服务程序”命令．其中“IP通知http访问地址、DNS解析域名或固定IP”栏的填写非常重要，为了让中木马的服务端主动找到客户端，所以在这个配置栏中填写的是客户端的具体IP地址或域名。如果你的是固定IP地址可以直接填写。大多数局域网被分配有固定的私有IP，在这一栏可以直接填写客户端的私有IP。本文只针对局域网设计。

5.1自动上线设置

打开客户端，在主界面上打开配置服务程序如图1：

在IP栏填上客户端IP。

图1服务器配置

5.2安装选项配置

单击“安装选项”标签，进入服务端安装的设置，在这里可以设置服务端在对方主机中具体的安装位置；在“程序图标”选项中，可以选择“电子书”、“音乐”等图标迷惑对方，让对方轻易的运行该服务端程序。作为悄悄潜入，不能选择“安装选项”设置中的“程序安装成功后提示安装成功”和“程序运行时在任务栏显示图标”选项。如图2所示：

图2安装选项配置

5.3启动项设置

在启动项设置中，如果勾选了“Windows 98/2000/xp写入注册表启动项”和“Windows 2000/XP下优先安装成服务启动”，对方在每次开启时就自动激活木马程序。另外，还可以在这输入一些系统自带的服务信息来迷惑对方。如图3所示：

图3启动项设置

5.4高级选项设置

Windows 2000/XP有一个进程管理器，里面可以显示出所有程序的进程，如果用户发现有可疑程序，可以立即结束该进程。我们可以让灰鸽子木马隐藏自己的进程。下面一项一定要选择“不加壳”。最后点击生成服务器生成一个服务器。

图4高级选项配置

5.5端口映射配置

在主界面点击工具选择内网端口映射，进行端口设置，如图5：

图5内网端口映射设置6．远程控制的实现

6.1向对方发送消息，如图6：

图6消息发送6.2新建文件夹

在对方的磁盘里新建文件夹，命名为“李清叶”，如图7：

6.3控制对方键盘鼠标

图8键盘鼠标控制

7．灰鸽子传播的四大途径

1）网页传播

病毒制作者将灰鸽子病毒植入网页中，用户浏览即感染；

2）邮件传播

灰鸽子被捆绑在邮件附件中进行传播；

3）IM聊天工具传播

通过即时聊天工具传播携带灰鸽子的网页链接或文件。

4）非法软件传播

病毒制作者将灰鸽子病毒捆绑进各种非法软件，用户下载解压安装即感染。

8．灰鸽子的危害

1）盗号

灰鸽子入侵用户电脑后，可通过键盘记录器等手段记录用户的键盘输入信息，无论是QQ、网络游戏、网上银行的账号密码都难逃被盗厄运。

2）偷窥隐私

灰鸽子可通过远程控制用户电脑上的摄像头偷窥用户隐私。只要用户的机器处于开机状态，远程操控者就可以自动开启用户的摄像头，窥探用户隐私。

3）敲诈

黑客利用灰鸽子病毒完全控制被感染者电脑，电脑中的任何文件都可以任意处置，黑客一旦发现对用户比较隐私或机密的东西，立刻将其转移到其他地方，然后对用户进行勒索，与现实生活中的敲诈一样，利用网络进行偷窃、敲诈的行为同样是违法行为。

4）发展“肉鸡”

电脑被人植入木马，这台主机，就被称为“肉鸡”，远程攻击者可以对这台“肉鸡”电脑为所欲为。攻击者可控制大量“肉鸡”，进行非法获利，比如在“肉鸡”上植入点击广告的软件；利用肉鸡配置代理服务器，以此做为跳板对其它电脑发起入侵。一旦最终受害者追查时，肉鸡电脑将会成为替罪羊。

5）盗取商业机密

通过一些非法途径让那些存放商业机密的电脑感染到灰鸽子，接下来，攻击者窃取有价值的商业文件、机密文件、个人隐私数据等等。攻击者可以偷偷将商业文件进行贩卖，充当商业间谍。

6）间断性骚扰

感染灰鸽子病毒后，远程攻击者任意玩弄你的电脑，比如任意打开和关闭文档，远程重启电脑，使您无法完成正常任务。

7）恶搞性破坏

攻击者可利用灰鸽子对被感染的用户电脑为所欲为，修改注册表、删除重要文件、修改共享、开启代理服务器、下载病毒等等

9．灰鸽子防御

1）给系统安装补丁程序

通过Windows Update安装好系统补丁程序，其中MS04-011、MS04-012、MS04-013、MS03-001、MS03-007、MS03-049、MS04-032等都被病毒广泛利用，是非常必要的补丁程序。

2）给系统设置复杂的密码

给系统管理员帐户设置足够复杂足够强壮的密码，最好能是10位以上，字母+数字+其它符号的组合；也可以禁用/删除一些不使用的帐户。

3）经常更新杀毒软件（病毒库）

设置允许的可设置为每天定时自动更新。安装并合理使用网络防火墙软件，网络防火墙在防病毒过程中也可以起到至关重要的作用，能有效地阻挡自来网络的攻击和病毒的入侵。

4）关闭一些不需要的服务

条件允许的可关闭没有必要的共享，也包括C$、D$等管理共享。完全单机的用户可直接关闭Server服务。

10．总结

通过对灰鸽子远程控制的入侵与防御方法的研究我们知道,对木马重在防范Internet上每天都有新的木马冒出来，所采取的隐蔽措施也是五花八门。在信息社会里，计算机用户对自己的资料进行保密、防止泄漏也变得越来越重要。防范木马袭击是提高计算机安全性的一个重要方面。本文所讲述的检测、删除木马的方法对查杀当今流行的木马有一定的作用，但随着科技的进步，网络的不断发展还会有很多安全威胁出现，相信人们会有更好的办法来维护网络安全。

参考文献

[1] 数字时代工作室.个人用网安全与黑客防范技术[M]. 北京:人民邮电出版社，2001

[2] 任飞，章炜，张爱华.网页木马攻防实战[M]. 电子工业出版社，2009

[3] 雷渭侣.计算机网络安全技术与应用[M]. 北京:清华大学出版社，2010

[4] 张奎亭，单蓉胜，罗诗尧.信息安全之个人防护[M]. 电子工业出版社，2008

[5] 林东和. 防范木马入侵不求人[M]. 北京:人民邮电出版社，2002

[6] 求是科技董玉格，金海，赵振.攻击与防护[M]. 北京:人民邮电出版社，2002

[7] 魏宝琛，姜明.矛与盾——远程攻击与防御[M]. 北京:人民邮电出版社， 2003