木马讲座
合集下载
木马攻击与防范课件
木马攻击与防范
二：实验原理—1.木马的特性
❖ 伪装性：伪装成合法程序。 ❖ 隐蔽性：在系统中采用隐藏手段，不让使用
者觉察到木马的存在。 ❖ 破坏性：对目标计算机的文件进行删除、修
改、远程运行，还可以进行诸如改变系统配 置等恶性破坏操作。 ❖ 窃密性：偷取被入侵计算机上的所有资料。
木马攻击与防范
二：实验原理—2.木马的入侵途径
一：实验目的
❖ 通过对木马的练习，理解和掌握木马传播和 运行机制；
❖ 通过手动删除木马，掌握检查木马和删除木 马的技巧，学会防御木马的相关知识，加深 对木马的安全防范意识。
木马攻击与防范
二：实验原理
❖ 木马的全称为特洛伊木马，来源于古希腊神 话。木马是具有远程控制、信息偷取、隐蔽 传输功能的恶意代码，它通过欺骗后者诱骗 的方式安装，并在用户计算机中隐藏以实现 控制用户计算机的目的。
网络通信； ❖ 通信隐藏：进行通信时，将目标端口设定为常用的
80、21等端口，可以躲过防火墙的过滤； ❖ 隐藏加载方式：通过各类脚本允许木马；修改设备
驱动程序或修改动态链接库(DLL)来加载木马。
木马攻击与防范
二：实验原理—5.木马的检测
❖ 木马的远程控制功能要实现，必须通过执行 一段代码来实现。为此，木马采用的技术再 新，也会在操作系统中留下痕迹。
木马对目标计算机进行控制。
木马攻击与防范
二：实验原理—3.木马的连接方式
❖ 一般木马都采用C/S运行模式，即客户端和服 务端木马程序。
❖ 黑客安装木马的客户端，同时诱骗用户安装 木马的服务端。
木马攻击与防范
木马攻击与防范Leabharlann 木马攻击与防范二：实验原理—4.木马的隐藏方式
❖ 任务栏隐藏：使程序不出现在任务栏； ❖ 进程隐藏：躲避任务管理器等进程管理工具； ❖ 端口隐藏：躲避嗅探工具，使用户无法发现隐蔽的
二：实验原理—1.木马的特性
❖ 伪装性：伪装成合法程序。 ❖ 隐蔽性：在系统中采用隐藏手段，不让使用
者觉察到木马的存在。 ❖ 破坏性：对目标计算机的文件进行删除、修
改、远程运行，还可以进行诸如改变系统配 置等恶性破坏操作。 ❖ 窃密性：偷取被入侵计算机上的所有资料。
木马攻击与防范
二：实验原理—2.木马的入侵途径
一：实验目的
❖ 通过对木马的练习，理解和掌握木马传播和 运行机制；
❖ 通过手动删除木马，掌握检查木马和删除木 马的技巧，学会防御木马的相关知识，加深 对木马的安全防范意识。
木马攻击与防范
二：实验原理
❖ 木马的全称为特洛伊木马，来源于古希腊神 话。木马是具有远程控制、信息偷取、隐蔽 传输功能的恶意代码，它通过欺骗后者诱骗 的方式安装，并在用户计算机中隐藏以实现 控制用户计算机的目的。
网络通信； ❖ 通信隐藏：进行通信时，将目标端口设定为常用的
80、21等端口，可以躲过防火墙的过滤； ❖ 隐藏加载方式：通过各类脚本允许木马；修改设备
驱动程序或修改动态链接库(DLL)来加载木马。
木马攻击与防范
二：实验原理—5.木马的检测
❖ 木马的远程控制功能要实现，必须通过执行 一段代码来实现。为此，木马采用的技术再 新，也会在操作系统中留下痕迹。
木马对目标计算机进行控制。
木马攻击与防范
二：实验原理—3.木马的连接方式
❖ 一般木马都采用C/S运行模式，即客户端和服 务端木马程序。
❖ 黑客安装木马的客户端，同时诱骗用户安装 木马的服务端。
木马攻击与防范
木马攻击与防范Leabharlann 木马攻击与防范二：实验原理—4.木马的隐藏方式
❖ 任务栏隐藏：使程序不出现在任务栏； ❖ 进程隐藏：躲避任务管理器等进程管理工具； ❖ 端口隐藏：躲避嗅探工具，使用户无法发现隐蔽的
3-5-2木马的植入、自启动和隐藏
计算机病毒与防治课程小组
木马自启动途径
程序自动启动的原理
1. 利用INI文件实现相关程序的自动启动 win.ini是系统保存在[Windir]目录下的一个系统初始化文件。 系统在起动时会检索该文件中的相关项，以便对系统环境的初始设 置。在该文件中的“[windows]”数据段中，有两个数据项 “load=” 和“run=”。它们的作用就是在系统起动之后自动地装入和运行相关 的程序。 Win.ini: [windows] load=file.exe run=file.exe System.ini: [boot] Shell=Explorer.exe Shell=Explorer.exe
计算机病毒与防治课程小组
WIN2K中“进程隐藏”的实现
//使用WriteProcessMemory函数将DLL路径名复制到远程进程的内存空间
BOOL lRetun Code= WriteProcessMemory(hRemoteProcess,pszt_lbFlleRemote,( PVOID) pazlbFileName, ICb, NULL);
[HKEY _LOCAL_MACHINE\Software\CLASSES\ShellScrap] @="Scrap object" "NeverShowExt"=" "
NeverShowExt键可以隐藏SHS文件的扩展名.shs。比如将一个文件 改名为“abc.jpg.shs“它只会显示”abc.jpg”。如果你的注册表里有 很多NeverShowExt键值，应予以删除。
计算机病毒与防治课程小组
木马进程的隐藏
访问令牌 进程对象 VAD VAD VAD
对象句柄表项1 对象句柄表项2 „„
企业安全培训课件：病毒木马防范与应对
包括后门木马、键盘记录 器和僵尸网络等。每种类 型的病毒木马都有其特定 的攻击方式和危害程度。
如何识别病毒木马？
通过定期扫描和更新反病 毒软件、检查网络流量和 注意异常行为，可以及早 发现和阻止病毒木马的入 侵。
病毒木马的传播方式
钓鱼攻击
通过伪装成合法机构的电子邮 件或链接，骗取用户提供敏感 信息或下载恶意软件。
企业安全管理的有效提升
安全意识培训
网络安全策略
开展员工安全意识培训，教育 他们识别和应对各类安全威胁， 提高整体安全防护水平。
制定和实施全面的网络安全策 略，包括访问控制、加密通信 和安全审计等措施。
数据备份和恢复
建立可靠的数据备份和恢复机 制，确保关键数据在遭受病毒 木马和其他灾害时能够及时恢 复。
银行账户信息和身份识别数据，造成
严重的损失和违法行为。
3
僵尸网络
病毒木马可能使计算机成为僵尸网络 的一部分，并被黑客用于发动大规模 网络攻击。
日常预防病毒木马的措施
1 防火墙和安全软件
安装和定期更新防火墙、反 病毒和反恶意软件，确保网 络和计算机系统的安全。
2 操作系统和应用程序更
新
定期更新操作系统和应用程 序补丁，修复系统漏洞，提 高系统的安全性。
企业安全培训课件：病毒 木马防范与应对
欢迎参加本次企业安全培训课程。我们将深入探讨病毒木马的各种威胁以及 如何有效应对和防范，提升您的企业安全水平。
病毒木马的定义和分类
什么是病毒木马？
病毒木马是一种恶意软件， 动态传递病毒并在背后执 行恶意任务。了解不同类 型的病毒木马有助于有效 识别和处理。
常见的病毒木马类型
恶意下载
用户下载看似合法的软件或文 件，但实际上却携带着病毒木 马，并在计算机中执行恶意操 作。
如何识别病毒木马？
通过定期扫描和更新反病 毒软件、检查网络流量和 注意异常行为，可以及早 发现和阻止病毒木马的入 侵。
病毒木马的传播方式
钓鱼攻击
通过伪装成合法机构的电子邮 件或链接，骗取用户提供敏感 信息或下载恶意软件。
企业安全管理的有效提升
安全意识培训
网络安全策略
开展员工安全意识培训，教育 他们识别和应对各类安全威胁， 提高整体安全防护水平。
制定和实施全面的网络安全策 略，包括访问控制、加密通信 和安全审计等措施。
数据备份和恢复
建立可靠的数据备份和恢复机 制，确保关键数据在遭受病毒 木马和其他灾害时能够及时恢 复。
银行账户信息和身份识别数据，造成
严重的损失和违法行为。
3
僵尸网络
病毒木马可能使计算机成为僵尸网络 的一部分，并被黑客用于发动大规模 网络攻击。
日常预防病毒木马的措施
1 防火墙和安全软件
安装和定期更新防火墙、反 病毒和反恶意软件，确保网 络和计算机系统的安全。
2 操作系统和应用程序更
新
定期更新操作系统和应用程 序补丁，修复系统漏洞，提 高系统的安全性。
企业安全培训课件：病毒 木马防范与应对
欢迎参加本次企业安全培训课程。我们将深入探讨病毒木马的各种威胁以及 如何有效应对和防范，提升您的企业安全水平。
病毒木马的定义和分类
什么是病毒木马？
病毒木马是一种恶意软件， 动态传递病毒并在背后执 行恶意任务。了解不同类 型的病毒木马有助于有效 识别和处理。
常见的病毒木马类型
恶意下载
用户下载看似合法的软件或文 件，但实际上却携带着病毒木 马，并在计算机中执行恶意操 作。
“公安保密宣传教育系列”课件-木马
二、“木马”的种类
DoS攻击“木马”
随着DoS攻击越来越广泛的应用，被用作 DoS攻击的“木马”也越来越流行起来。当黑客 入侵一台计算机后，给他种上DoS攻击“木马” ，那么日后这台计算机就成为黑客DoS攻击的最 得力助手了。黑客控制的计算机数量越多，发 动DoS攻击取得成功的机率就越大。所以，这种 “木马”的危害不是体现在被感染计算机上， 而是体现在黑客利用它来攻击一台又一台计算 机，给网络造成巨大的危害和损失。 还有一种类似DoS的“木马”叫作邮件炸弹 “木马”，一旦计算机被感染，“木马”就会 随机生成各种各样主题的信件，对特定的邮箱 不停地发送邮件，一直到对方瘫痪、不能接收 邮件为止。
结束语
感谢您的聆听！
公安部保密委员会办公室
键盘记录“木马”
这种“木马”的功能是记录受害者 的键盘敲击，在LOG文件里查找密码， 并且随着Windows的启动而自动启动。 它们有在线和离线记录这样的选项，可 以分别记录用户在线和离线状态下敲击 键盘时的按键情况。对于这种类型的“ 木马”，很多都具有邮件发送功能，会 自动将密码发送到黑客指定的邮箱。
二、“木马”的种类
代理“木马”
黑客在入侵的同时掩盖自己的痕 迹，谨防别人发现自己的身份是非常重 要的，因此，给被控制的计算机种上代 理“木马”，让其变成攻击者发动攻击 的跳板就是代理“木马”最重要的任务 。通过代理“木马”，攻击者可以在匿 名的情况下使用Telnet，ICQ，IRC等程 序，从而隐蔽自己的踪迹。
二、“木马”的种类
程序杀手“木马”
上面的“木马”功能虽然形形色色 ，不过到了对方机器上要发挥自己的作 用，还要过防“木马”软件这一关才行 。常见的防“木马”软件有ZoneAlarm， Norton Anti-Virus，360等。程序杀手 “木马”的功能就是关闭对方机器上运 行的这类程序，让其他的“木马”更好 地发挥作用。
网络安全宣传- 防范特种木马攻击
网络安全宣传-防范特种木马攻击1.引言特种木马是一种专门设计用来进行隐蔽操作的恶意软件，能够绕过传统的安全防护措施，实现对目标计算机系统的长期监控和控制。
这种类型的木马往往具有高度定制化的特点，能够针对特定的目标实施精确打击。
2.特种木马概述2.1定义与特点特种木马是指那些针对特定目标精心设计的恶意软件，它们通常具备以下特点：●隐蔽性：利用加密技术、隐藏技术以及反检测机制来躲避安全软件的检测。
●持久性：能够在目标系统中长期潜伏，即使系统重启也能自动恢复运行。
●多功能性：除了基本的远程控制功能外，还可能集成多种高级功能，如键盘记录、屏幕截图、文件窃取等。
3.攻击案例分析3.1目标系统本次研究涉及的案例中，受害者是一台位于企业内部网络中的工作站，操作系统为Windows 10专业版。
3.2木马植入黑客通过电子邮件钓鱼攻击成功诱导受害者点击了一个含有恶意附件的邮件。
该附件包含一个经过伪装的可执行文件，当用户打开时，木马程序被悄悄安装到系统中。
3.3远程控制能力一旦木马程序成功植入目标系统，它便具备了多种远程控制能力，包括但不限于：●获取摄像头图像木马程序能够激活受害者的摄像头并实时传输图像到攻击者手中。
这使得攻击者能够监视受害者的活动，收集敏感信息。
●获取麦克风声音木马程序还能激活受害者的麦克风，监听周围的声音，进一步扩大了情报收集范围。
●获取磁盘中的文件攻击者可以通过木马程序远程访问受害者的文件系统，下载、上传或修改文件，从而获取机密信息。
●修改注册表通过修改注册表项，木马程序能够确保自身在每次系统启动时自动运行，提高持久性和难以清除性。
●运行指定程序攻击者可以利用木马程序远程执行任意程序，包括其他恶意软件或合法软件，以达到更深层次的控制目的。
3.4技术细节木马程序采用了一种自定义的通信协议与远程服务器进行交互，该协议经过加密以增加检测难度。
此外，木马程序还采用了动态加载技术来规避杀毒软件的查杀。
4.攻击流程分析4.1初始接触●诱饵投放：通过伪造的电子邮件向目标发送带有恶意附件的消息。
《网络安全课件：防范木马病毒攻击》
广告木马
在用户浏览器中注入广告来获取点击收入，同时 也会影响用户体验。
远程访问木马
黑客可以通过远程连接远程控制受感染的计算机， 窃取数据或进行恶意操作。
木马攻击的影响
木马病毒的攻击对个人和组织带来严重后果，包括数据丢失、系统崩溃和财务致身份盗窃和金融损
系统瘫痪
2
失。
通过了解木马病毒的威胁、采取防御策略和遵循最佳实践，我们可以保护个人和组织的计算机系统免受木马 病毒攻击。
保护自己
保持警惕，时刻关注网络安全，是防范木马病毒的 关键。
团队合作
网络安全是一个集体行动，利用团队合作保证整个 网络的安全。
加强安全
安全优先
网络安全课件：防范木马 病毒攻击
欢迎来到《网络安全课件：防范木马病毒攻击》。在本次演示中，我们将深 入探讨木马病毒的威胁，并分享一些应对的最佳实践。
了解木马病毒
木马病毒利用隐蔽的方式侵入系统，危害用户数据安全和隐私。它们可以盗窃敏感信息、损坏文件和操纵计 算机。是时候了解如何保护自己了！
外表欺骗
像特洛伊木马一样，木马病毒伪装成无害的程序或 文件，引诱用户点击并执行。
木马病毒可能破坏关键的系统文件，导
致系统崩溃和无法正常使用。
3
金融损失
木马病毒可以通过窃取银行信息和登录 凭据的方式直接导致财务损失。
防止木马病毒的最佳实践
采取以下措施可有效减少木马病毒攻击的风险。
• 保持系统和应用程序的更新。 • 仅在受信任的网站下载软件。 • 谨慎打开电子邮件和下载未知附件。 • 定期备份重要文件。
紧急应对木马病毒攻击
如果您怀疑自己的计算机受到木马病毒感染，请立即采取以下措施保护您的 系统和数据。
病毒木马的工作原理及其防范讲解
VBS病毒的起源与发展及其危害
三、 VBS病毒的发展和危害 1、VBS脚本病毒如何感染、搜索文件
VBS脚本病毒一般是直接通过自我复制来感染文件的，病毒 中的绝大部分代码都可以直接附加在其他同类程序的中间， 譬如新欢乐时光病毒可以将自己的代码附加在.htm文件的尾 部，并在顶部加入一条调用病毒代码的语句，而爱虫病毒则 是直接生成一个文件的副本，将病毒代码拷入其中，并以原 文件名作为病毒文件名的前缀，vbs作为后缀。
计算机病毒、木马 及防范技术
目录
病毒的起源和发展 病毒的定义及分类 VBS病毒的起源与发展及其危害 蠕虫病毒 缓冲区溢出与病毒攻击的原理 木马程序 计算机日常使用的安全建议
一、病毒的起源和发展
病毒的起源和发展
一、病毒的起源和发展
➢1949年，计算机的先驱者冯.诺依曼在论文《复杂自动机组织论》中， 提出了计算机程序能够在内存中自我复制；20世纪60年代初，美国贝尔 实验室，三个年轻的程序员编写了一个名为“磁芯大战”的游戏，游戏 中通过复制自身来摆脱对方的控制，这就是病毒的第一个雏形。 ➢20世纪70年代，美国作家雷恩在《P1的青春》一书中阐述了一种能够 自我复制的计算机程序，并第一次称之为“计算机病毒”。 ➢1983年11月，在国际计算机安全学术研讨会上，美国计算机专家首次 将病毒程序在VAX/750计算机上进行实验，世界上第一个计算机病毒就 这样诞生在实验室中。 ➢20世纪80年代后期，巴基斯坦有两个以编软件为生的兄弟，为了打击 盗版软件，设计出了一个名为“巴基斯坦智囊”的病毒，该病毒只传染 软盘引导区，成为世界上流行的第一个真正的病毒。
发包数量前列的IP地址为22.163.0.9的主机，其从网络 收到的数据包数是0，但其向网络发出的数据包是445 个；
木马讲析PPT
等持用户连接。 7）反弹端口型木马；防火墙对于接入的链接往往会进行非常严格的过滤，但
对于接出的链接却疏于防范。和一般的木马相反，反弹端口型木马的服务端 （被控制端）往往使用主动的端口，客户端（控制端）使用被动端口。 9）程序杀手木马
4）键盘记录木马：这种木马随着Windows的启动而启动，记录受害者的键盘 敲击并在LOG文件里查找密码。它有在线和离线记录两种选项，可以分别记录 用户在线和离线状态下敲击键盘时的按键情况，也就是说在目标电脑上按过 什么键，都可以从记录中知道，并从中找出密码信息，甚至是信用卡账号。
5）DoS 攻击木马 6）FTP 木马：这种木马是最简单而古老的木马，它惟一功能就是打开21端口
（1）破坏型：这种木马惟一的功能就是破坏并删除文件，它们 能够删除目标机的上DLL、INI、EXE文件、电脑一旦被感染其安全 性就会受到严重威胁。 2）密码发送型：这种木马可能找到目标机的隐藏密码，在受害 者不知道的情况下，把它们发送到指定的信箱。
3）远程访问型：人运行了服务端的程序，客户端通过扫描等手段得到服务端的IP 地址，就可以实现远程控制。
基本功能：
1．自动跟踪目标机屏幕变化，同时可以完全模拟键盘及鼠标输入。
2．记录各种口令信息
3．获取系统信息
4．限制系统功能
5．远程文件操作
6．注册表操作
7．发送信息
8.点对点通讯
原理：
如果激活了冰河木马的服务端程序G-Server.exe， 那么它将在目标计算机的C：＼Windows＼ system目录下生成两个可执行文件： Kernel32.exe和Sysexplr.exe。如果你仅仅是找到 并删除Kernel32.exe，并不能像你想象的那样已 经清除了冰河木马，只要你打开任何一个文本 文件，Sysexplr.exe就会被激活，它会再次生成 一个Kernel32.exe，这就导致了冰河木马的屡删 不止。了解了这些之后我们就可以在计算机系
对于接出的链接却疏于防范。和一般的木马相反，反弹端口型木马的服务端 （被控制端）往往使用主动的端口，客户端（控制端）使用被动端口。 9）程序杀手木马
4）键盘记录木马：这种木马随着Windows的启动而启动，记录受害者的键盘 敲击并在LOG文件里查找密码。它有在线和离线记录两种选项，可以分别记录 用户在线和离线状态下敲击键盘时的按键情况，也就是说在目标电脑上按过 什么键，都可以从记录中知道，并从中找出密码信息，甚至是信用卡账号。
5）DoS 攻击木马 6）FTP 木马：这种木马是最简单而古老的木马，它惟一功能就是打开21端口
（1）破坏型：这种木马惟一的功能就是破坏并删除文件，它们 能够删除目标机的上DLL、INI、EXE文件、电脑一旦被感染其安全 性就会受到严重威胁。 2）密码发送型：这种木马可能找到目标机的隐藏密码，在受害 者不知道的情况下，把它们发送到指定的信箱。
3）远程访问型：人运行了服务端的程序，客户端通过扫描等手段得到服务端的IP 地址，就可以实现远程控制。
基本功能：
1．自动跟踪目标机屏幕变化，同时可以完全模拟键盘及鼠标输入。
2．记录各种口令信息
3．获取系统信息
4．限制系统功能
5．远程文件操作
6．注册表操作
7．发送信息
8.点对点通讯
原理：
如果激活了冰河木马的服务端程序G-Server.exe， 那么它将在目标计算机的C：＼Windows＼ system目录下生成两个可执行文件： Kernel32.exe和Sysexplr.exe。如果你仅仅是找到 并删除Kernel32.exe，并不能像你想象的那样已 经清除了冰河木马，只要你打开任何一个文本 文件，Sysexplr.exe就会被激活，它会再次生成 一个Kernel32.exe，这就导致了冰河木马的屡删 不止。了解了这些之后我们就可以在计算机系
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
15
ACCP V4.0
木马的工作原理之隐藏
在任务栏里和服务管理器中隐藏
如果在windows的任务栏里出现一个莫名其妙的图标， 傻子都会明白是怎么回事。要实现在任务栏中隐藏在编程 时是很容易实现的。我们以C#为例。在C#中，只要把 form的ShowInTaskBar属性设置为False Ctrl+Alt+Del后,在应用程序中可以看见一个木马程序 在运行，那么这肯定不是什么好木马。所以，木马会千方 百计地伪装自己，使自己不出现在任务管理器里。木马发 现把自己设为 '系统服务“就可以轻松地骗过去。在C#中， 只要把form的WindowState属性设置为Minimized
2
ACCP V4.0
什么是木马
古希腊传说，特洛伊王子帕里斯访问希腊，诱走 古希腊传说，特洛伊王子帕里斯访问希腊， 了王后海伦，希腊人因此远征特洛伊。围攻9 了王后海伦，希腊人因此远征特洛伊。围攻9年 到第10年 希腊将领奥德修斯献了一计， 后，到第10年，希腊将领奥德修斯献了一计， 这不是小鸡吃米 就是把一批勇士埋伏在一匹巨大的木马腹内， 就是把一批勇士埋伏在一匹巨大的木马腹内， 图吗？ 图吗？ 放在城外后，佯作退兵。 放在城外后，佯作退兵。特洛伊人以为敌兵已 就把木马作为战利品搬入城中。到了夜间， 退，就把木马作为战利品搬入城中。到了夜间， 埋伏在木马中的勇士跳出来，打开了城门， 埋伏在木马中的勇士跳出来，打开了城门，希 腊将士一拥而入攻下了城池。后来， 腊将士一拥而入攻下了城池。后来，人们在写 文章时就常用“特洛伊木马”这一典故， 文章时就常用“特洛伊木马”这一典故，用来 比喻在敌方营垒里埋下伏兵里应外合的活动特 洛伊木马没有复制能力， 洛伊木马没有复制能力，它的特点是伪装成一 个实用工具或者一个可爱的游戏， 个实用工具或者一个可爱的游戏，这会诱使用 户将其安装在PC或者服务器上 或者服务器上。 户将其安装在PC或者服务器上。
20
ACCP V4.0
木马制作之组成
一个完整的木马系统由硬件部分，软件部分和具体连接部分组成。 硬件部分，软件部分和具体连接部分 硬件部分
硬件部分
控制端：对服务端进行远程控制的一方。 服务端：被控制端远程控制的一方。 INTERNET：控制端对服务端进行远程控制，数据传输的网络载 体。
软件部分
控制端程序：控制端用以远程控制服务端的程序。 木马程序：潜入服务端内部，获取其操作权限的程序。
24
ACCP V4.0
10
ACCP V4.0
木马的工作原理之启动
1：在Win.ini中启动 ： 中启动
在Win.ini的[windows]字段中有启动命令'load ＝'和'run＝'，在一般情况下 '＝'后面是空白的， 如果有后跟程序，比方说是这个样子： run=c:\windows\file.exe load=c:\windows\file.exe 要小心了，这个file.exe很可能是木马哦。 类似的还有：System.ini，Autoexec.bat， ， ， Config.sys，Winstart.bat，*.INI （配置文件） ， ，
17
ACCP V4.0
木马的工作原理之注入
开山文件合并器工具：这样的绑定都已经很容易 被杀毒软件检测出来 用RAR文件进行打包 1：双击打开RAR文件 2：进入“高级自解压选项”进行设置 3：切换到“常规”标签，进入“安装程序”设置。 4：接着切换到“模式”标签，分别选中”隐藏启 动对话框“和”覆盖所有文件“选项。 5：文本和图标标签中给自解压文件替换一个图表
7
ACCP V4.0
木马的宏观状况之网银1ቤተ መጻሕፍቲ ባይዱ
每月160 每月
三年600倍 倍 三年
8
ACCP V4.0
木马的宏观状况之蔓延
利益的驱使 带毒网站数量众多 QQ 尾巴为木马传播推波助澜 黑客网站对木马明码标价 等服务平台助长蔓延态势 法律的不健全
9
ACCP V4.0
木马的工作原理
目标和手段 A：有什么信息好偷（编写动机） B：怎样偷得到（传播手段） 原理 1:如何注入 2:如何启动 3:运行时如何隐藏 4:文件如何伪装
22
ACCP V4.0
木马预防
增强全民防范意识
你根本没有打开浏览器，而览浏器突然自己打开，弹出来 一些广告窗口 你正在操作电脑，突然一个警告框或者是询问框弹出来， 问一些你从来没有在电脑上接触过的间题。 你的Windows系统配置老是自动莫名其妙地被更改。比如 屏保显示的文字，时间和日期，声音大小，鼠标灵敏度， 还有CD-ROM的自动运行配置。 硬盘老没缘由地读盘，软驱灯经常自己亮起，网络连接及 鼠标屏幕出现异常现象。
13
ACCP V4.0
木马的工作原理之启动
4.修改文件关联 修改文件关联
比方说正常情况下TXT文件的打开方式为 Notepad.EXE文件，但一旦中了文件关联木马，则txt文件 打开方式就会被修改为用木马程序打开，如著名的国产木 马冰河就是这样干的. '冰河'就是通过修改 HKEY_CLASSES_ROOT\txtfile\shell\open\command下 的键值，将 'C:\WINDOWS\NOTEPAD.EXE%l'改为 'C:\WINDOWS\SYSTEM\SYSEXPLR.EXE%l'，这样，一 旦你双击一个TXT文件，原本应用Notepad打开该文件， 现在却变成启动木马程序了. 好狠毒哦!请大家注意，不仅仅是TXT文件，其他诸如 HTM、EXE、等都是木马的目标，要小心搂。 、 、
23
ACCP V4.0
木马预防
锁定注册表:这样木马就没有办法进行注册表的操 作,导致木马的很多功能实现不了. windows\command\debug.exe和 windows\ftp.exe改名 或删除 经常清理临时文件夹和IE 方法:假如你中了smss.exe这个木马,文件保存在 方法 C:\indows目录下,首先结束木马程序smss.exe,然 后在C:\windows目录下创建一个名的 smss.exe 并设置为只读属性. (2000/XP NTFS的磁盘格式 的话那就更好,可以用“安全设置” 设置为读取) 这样木马没了,以后也不会在感染了.
11
ACCP V4.0
木马的工作原理之启动
2.利用注册表加载运行 利用注册表加载运行
记录到注册表的 [HKEY_CURRENT_USER\Software\Microsoft\W indows\CurrentVersion\Run]项和 [HKEY_LOCAL_MACHINE\SOFTWARE\Micros oft\Windows\CurrentVersion\Run]项中，更高级 的木马还会注册为系统的“服务”程序，以上这 几种启动方式都可以在“系统配置实用程序”(在 “开始→运行”中执行“Msconfig”)的“启动” 项和“服务”项中找到它的踪迹。
具体连接部分
通过INTERNET在服务端和控制端之间建立一条木马通道所必须 的元素。 控制端IP，服务端IP：即是木马进行数据传输的目的地。 控制端端口，木马端口：即控制端，服务端的数据入口.
21
ACCP V4.0
木马制作之知识点
文件操作（C#） 多线程（C#） 网络连接（WinForm） 注册表的操作（ WinForm ）
16
ACCP V4.0
木马的工作原理之伪装
修改图标 捆绑文件:捆绑的文件一般是可执行文件 (即EXE、 COM一类的文件) 出错显示:如 ‘文件已破坏，无法打开!’之类的信 息 自我销毁:弥补木马的一个缺陷 木马更名:例如改为window.exe，不告诉你这是木 马的话，敢删除吗?还有的就是更改一些后缀名， 比如把dll改为dl等，不仔细看的，你会发现吗?
12
ACCP V4.0
木马的工作原理之启动
3.启动组 启动组
木马们如果隐藏在启动组虽然不是十分隐蔽， 但这里的确是自动加载运行的好场所，因此还是 有木马喜欢在这里驻留的。启动组对应的文件夹 为C:\Windows\start menu\programs\startup, 在注册表中的位 置:HKEY_CURRENT_USER\Software\Microsoft\ windows\CurrentVersion\Explorer\shell 要注意经常检查启动组哦! 要注意经常检查启动组哦
3
ACCP V4.0
木马的发展
第一阶段
最初网络还处于以UNIX平台为主的时期，木马就产生了，在这 个时期木马的设计者和使用者大都是些技术人员，必须具备相当的网 络和编程知识。
第二阶段
随着WINDOWS平台的日益普及，一些基于图形操作的木马程序 出现了，用户界面的改善，使用者不用懂太多的专业知识就可以熟练 木马，相对的木马入侵事件也频繁出现，而且木马的功能已日趋完善， 对服务端的破坏也更大了。 木马发展到今天，已经无所不极，一旦被木马控制，你的电脑将 毫无秘密可言。
14
ACCP V4.0
木马的工作原理之启动
5.捆绑文件 捆绑文件
实现这种触发条件首先要控制端和服务端已 通过木马建立连接，然后控制端用户用工具软件 将木马文件和某一应用程序捆绑在一起，然后上 传到服务端覆盖源文件，这样即使木马被删除了， 只要运行捆绑了木马的应用程序，木马义会安装 上去。绑定到某一应用程序中，如绑定到系统文 件，那么每一次Windows启动均会启动木马。
此外，报告还显示出一个新的趋势，２００７年出现了大 单一病毒感染的计算机数量不再是 量新（变种）病毒。单一 （变种） 单一 衡量其危害的标准，频繁生成的变种有效加速了病毒的 传播。
6
ACCP V4.0
木马的宏观状况之趋势
趋势 动机：自我炫耀 目标：到处蔓延 收集敏感或有价值的信息 针对性攻击