西邮冰河木马——实验
冰河木马的入侵
甘肃政法学院本科学生实验报告实验课程：安全扫描技术实验名称：冰河木马的入侵和防御计算机科学学院计算机科学与技术专业09 级计算科学与技术本科班学号：_姓名：_____ __指导教师：____李启南_成绩：_____________完成时间：2011年9月21日一、实验名称冰河木马的入侵和防御二、实验目的通过使用并和木马软件在局域网中扫描发现网络中有安全漏洞的主机，植入木马程序，控制远程主机。
通过入侵实验理解和账务木马的传播和运行机制，动手查杀木马，掌握检查木马和删除木马的技巧，学会防御木马的相关知识，加深对木马的安全防范意识。
三、实验内容安装、卸载、使用冰河木马。
四、实验原理冰河木马使用c++builder 写的冰河的服务器端程序为G-server.exe，客户端程序为G-client.exe，默认连接端口为7626。
冰河木马程序属于第二代木马，它具备伪装和传播两种功能，可以进行密码窃取、远程控制。
木马是隐藏在正常程序中的具有特殊功能的恶意代码，它可以自动启动并在某一端口监听来自控制端的控制信息。
一般木马都采用C/S运行模式，即分为两部分：客户端和服务端木马程序。
当服务器端程序在目标计算机上执行后会打开一个默认端口监听，而客户端向服务器端秘密提出连接请求，获取服务器端的相关信息。
五、实验平台冰河ROSE 版。
两台装有Windows 2000/XP/7系统的计算机，机房局域网。
六、实验步骤1、在服务器端计算机上运行冰河服务器程序G_Server.exe。
2. 连接登陆远程主机。
在另一台计算机上打开冰河木马程序客户端，如图1所示。
图1 冰河木马程序客户端选择“文件—>搜索计算机”，如图2所示设置起始域，起始地址和终止地址，监听端口、延迟选择默认值。
图2搜索计算机搜索结果如图2所示，在219.246.153.30和219.246.153.5前面是OK表示可以连接，其他主机都是ERR表示不能建立连接。
冰河实验
冰河病毒实验报告一：实验目的通过对本次冰河木马的实验，更进一步的认识木马的危害，以及增强自己对木马的查杀能力。
二：实验原理其实质只是一个网络客户/服务程序，一台主机提供服务(服务器)，另一台主机接受服务(客户机)。
作为服务器的主机一般会打开一个默认的端口并进行监听(Listen), 如果有客户机向服务器的这一端口提出连接请求(Connect Request), 服务器上的相应程序就会自动运行，来应答客户机的请求，这个程序我们称为守护进程。
对于冰河，被控制端就成为一台服务器，控制端则是一台客户机，G_server.exe是守护进程, G_client是客户端应用程序。
三：实验环境和实验前准备1，装有操作系统的虚拟机；2，2，G_server.exe守护进程, G_client 客户端应用程序；3，关掉防火墙和所有防病毒软件。
四：实验步骤和过程一：在一台机（客服端）打开G_client应用程序，在另一台机（服务端）打开G_server.exe 程序。
服务端情况：⑤①：打开任务管理器可以看到多了一个名为Kernel32.exe的进程，并且CPU使用率100%②：发现在C:\windows\system32 目录下，有Kernel32.exe 程序③：在运行框输入msconfig 命令，可以在启动菜单下看到病毒程序修改了注册表中的自启动注册项。
去掉勾，禁用即可。
④：借用Registry Workshop 注册表管理工具来查看病毒修改的注册项。
在改工具的查找框中输入sysexplr.exe,可以看到下面的现象：客户端情况：如果没有关掉防病毒软件，则会出现下面情况：所以要关掉防病毒软件，打开界面如下：如果有服务端打开了G_server.exe程序，可用G_client应用程序扫描对方IP，界面如下：扫描到两个IP地址，。
网络后门实验报告
网络后门实验报告班级：10网工三班学生姓名：谢昊天学号：1215134046实验目的和要求：1、了解网络后门的原理。
2、掌握几种后门工具的使用。
3、掌握冰河木马的使用。
实验内容与分析设计：1.远程启动Telnet服务利用工具RTCS.vbe远程开启对方主机的Telnet服务。
2.建立Web服务和Telnet服务利用工具软件Wnc.exe在对方主机上开启Web服务和Telnet 服务，其中Web服务的端口是808，Telnet服务的端口是707。
3.使用“冰河”进行远程控制“冰河”包含两个程序文件，一个是服务器端程序，另一个是客户端程序。
将服务器端程序在远程计算机上执行后，通过客户端来控制远程服务器。
写出使用“冰河”进行远程控制的具体步骤。
实验步骤与调试过程：1．远程启动Telnet服务。
2．在运行窗口中输入tlntadmn.exe命令启动本地Telnet服务。
3．在启动dos窗口中输入“4”启动本Telnet服务。
利用工具RTCS.vbe远程开启对方主机的Telnet服务。
使用命令是“cscript rtcs.vbe 172.168.174.129 administration123456 1 23”然后执行完成对反的主机的Telnet服务就开启了。
4．在dos提示符下，登陆目标主机Telnet服务，首先输入命令“Telnet 172.168. ”，输入字符“y”，进入Telnet地登录界面，此时输入主机地用户名和密码。
如果用户名和密码没有错误将进入对方的主机命令行。
5．建立Web服务和Telnet服务6．利用工具软件Wnc.exe在对方主机上开启Web服务和Telnet服务，其中Web服务的端口是808，Telnet服务的端口是707。
在对方主机命令行下执行一次Wnc.exe即可。
执行完后，利用命令“netstat -an”来查看开启的808端口和707端口。
7．此时可以下载对方任意地文件，可以到winnt/temp目录下查看对方地密码修改记录文件。
网络安全实验报告-冰河木马实验
网络安全实验报告冰河木马实验网络10-2班 XXX 08103635一、实验目的通过学习冰河木马远程控制软件的使用，熟悉使用木马进行网络攻击的原理和方法。
二、实验内容1、在计算机A上运行冰河木马客户端，学习其常用功能；2、在局域网内另一台计算机B上种入冰河木马（服务器），用计算机A控制计算机B；3、打开杀毒软件查杀冰河木马；4、再次在B上种入冰河木马，并手动删除冰河木马，修改注册表和文件关联。
三、实验准备1、在两台计算机上关闭杀毒软件；2、下载冰河木马软件；3、阅读冰河木马的关联文件。
四、实验要求1、合理使用冰河木马，禁止恶意入侵他人电脑和网络；2、了解冰河木马的主要功能；3、记录实验步骤、实验现象、实验过程中出现的意外情况及解决方法；4、总结手动删除冰河木马的过程。
五、实验过程作为一款流行的远程控制工具，在面世的初期，冰河就曾经以其简单的操作方法和强大的控制力令人胆寒，可以说达到了谈冰色变的地步。
鉴于此，我们就选用冰河完成本次实验。
若要使用冰河进行攻击，则冰河的安装（是目标主机感染冰河）是首先必须要做的。
冰河控制工具中有三个文件：Readme.txt，G_Client.exe，以及G_Server.exe。
Readme.txt简单介绍冰河的使用。
G_Client.exe是监控端执行程序，可以用于监控远程计算机和配置服务器。
G_Server.exe是被监控端后台监控程序（运行一次即自动安装，开机自启动，可任意改名，运行时无任何提示）。
运行G_Server.exe后，该服务端程序直接进入内存，并把感染机的7626端口开放。
而使用冰河客户端软件（G_Client.exe）的计算机可以对感染机进行远程控制。
冰河木马的使用：1、自动跟踪目标机屏幕变化，同时可以完全模拟键盘及鼠标输入，即在同步被控端屏幕变化的同时，监控端的一切键盘及鼠标操作将反映在被控端屏幕（局域网适用）。
2、记录各种口令信息：包括开机口令、屏保口令、各种共享资源口令及绝大多数在对话框中出现的口令信息。
实验一 冰河木马
实验一冰河木马1．实验目的本次实验学习冰河木马远程控制软件的使用，通过实验可以了解木马和计算机病毒的区别，熟悉使用木马进行网络攻击的原理和方法。
2．实验原理木马程序是目前比较流行的病毒文件，与一般的病毒不同，它不会自我繁殖，也并不刻意地去感染其他文件，它通过将自身伪装吸引用户下载执行，向施种木马者提供打开被种者电脑的门户，使施种者可以任意毁坏、窃取被种者的文件，甚至远程操控被种者的电脑。
木马与计算机网络中常常要用到的远程控制软件有些相似，但由于远程控制软件是善意的控制，因此通常不具有隐蔽性；木马则完全相反，木马要达到的是偷窃性的远程控制。
它是指通过一段特定的程序（木马程序）来控制另一台计算机。
木马通常有两个可执行程序：一个是客户端，即控制端，另一个是服务端，即被控制端。
植入被种者电脑的是服务器部分，而黑客正是利用控制器进入运行了服务器的电脑。
运行了木马程序的服务器以后，被种者的电脑就会有一个或几个端口被打开，使黑客可以利用这些打开的端口进入电脑系统，安全和个人隐私也就全无保障。
木马的设计者为了防止木马被发现，而采用多种手段隐藏木马。
木马的服务一旦运行并被控制端连接，其控制端将享有服务端的大部分操作权限，例如给计算机增加口令，浏览、移动、复制、删除文件，修改注册表，更改计算机配置等。
随着病毒编写技术的发展，木马程序对用户的威胁越来越大，尤其是一些木马程序采用了极其狡猾的手段来隐蔽自己，使普通用户很难在中毒后发觉。
3．实验环境装有Windows 2000/XP系统的计算机，局域网或Internet，冰河木马软件（服务器和客户端）。
4．实验步骤双击冰河木马.rar文件，将其进行解压，解压路径可以自定义。
解压过程见图1 —图4，解压结果如图4所示。
图1图2图3冰河木马共有两个应用程序，见图4，其中win32.exe是服务器程序，属于木马受控端程序，种木马时，我们需将该程序放入到受控端的计算机中，然后双击该程序即可；另一个是木马的客户端程序，属于木马的主控端程序。
冰河木马实验报告
实验报告从上图可以瞧出,搜索结果中,每个IP前都就是ERR。
地址前面的“ERR:”表示这台计算机无法控制。
所以,为了能够控制该计算机,我们就必须要让其感染冰河木马。
1、远程连接使用Dos命令: net use \\ip\ipc$如下图所示:2、磁盘映射。
本实验:将目标主机的C:盘映射为本地主机上的X:盘如下图所示首先,获取目标主机上的系统时间,然后根据该时间设置启动事件。
此时,在目标主机的Dos界面下,使用at命令,可瞧到:下图为设定时间到达之前(即G_Server、exe执行之前)的注册表信息,可以瞧到在注册表下的:HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\ CurrentVersion\Run,其默认值并无任何值。
当目标主机的系统时间到达设定时间之后,G_Server、exe程序自动启动,且无任何提示。
从上图可以瞧到,HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\ CurrentVersion\Run的默认值发生了改变。
变成了:C:\\WINDOWS\\SYSTEM\\Kernel32、exe这就说明冰河木马安装成功,拥有G_Client、exe的计算机都可以对此计算机进行控制了。
此时,再次使用G_Client、exe搜索计算机,可得结果如下图所示:从搜索结果可以瞧到,我们刚安装了冰河木马的计算机(其IP:10、1、13、214)的IP地址前变成了“OK:”,而不就是之前的“ERR:”。
下面对该计算机进行连接控制:上图显示,连接失败了,为什么呢？其实原因很简单,冰河木马就是访问口令的,且不同版本的访问口令不尽相同,本实验中,我们使用的就是冰河V2、2版,其访问口令就是05181977,当我们在访问口令一栏输入该口令(或者右击“文件管理器”中的该IP,“修改口令”),并点击应用,即可连接成功。
连接成功了,我们就可以在“命令控制台”下对该计算机进行相关的控制操作了。
实训：病毒与木马防范——冰河木马
【实训内容】
• 1 掌握木马的原理和攻击方法。 • 2 了解“冰河”的配置及使用方法。 • 3 掌握清除“冰河”的方法。
【实训步骤】
• 1. “冰河”木马的原理和攻击方法 • 1）G_Server.exe：被监控端后台监控程序 • 2）G_Client.exe：监控端执行程序，用于监控远程计算机
• （2）删除注册表 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentV ersion \Run下的键值C：\Windows\system\Kernel32.exe。
• （3）删除注册表 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentV ersion \Runservices下的键值C：\Windows\system\Kernel32.exe。
电子商务安全技术
电子商务安全技术
实训：病毒与木马防范——冰河木马
• 【实训条件】 • 1. 硬件条件 • CPU：至少550MHz，内存：至少256MB； • 硬盘空间：150MB以上，不含缓存使用的磁盘空间。 • 2. 软件条件 • 操作系统：Windows 2000 Server或Windows 2003 Server • 3. 网络环境 • 工作站连入局域网。
和配置服务器程序。 •
2. 了解“冰河”的配置及使用方法。
• （1）各模块简要说明 • （2）文件管理器操作说明 • （3）命令控制台主要命令 • （4）使用技巧
3. 掌握清除“冰河”的方法。
• （1）删除C：\Windows\system下的Kernel32.exe和sy* * *plr.exe文件。
冰河实验报告
一、实验目的1. 了解冰河木马的基本原理和功能。
2. 学习使用冰河木马进行远程控制。
3. 提高网络安全意识，掌握网络安全防护方法。
二、实验环境1. 操作系统：Windows 102. 网络环境：局域网3. 实验工具：冰河木马客户端、冰河木马服务器三、实验步骤1. 准备实验环境（1）在局域网内，分别搭建两台计算机A和B，A作为客户端，B作为服务器。
（2）在计算机A上安装冰河木马客户端，在计算机B上安装冰河木马服务器。
2. 配置冰河木马服务器（1）打开计算机B上的冰河木马服务器，设置服务器端口号（如：8899）。
（2）在服务器端，设置冰河木马密码，用于客户端连接服务器。
3. 连接冰河木马客户端（1）在计算机A上打开冰河木马客户端。
（2）输入冰河木马服务器的IP地址和端口号，以及密码。
（3）点击“连接”按钮，成功连接服务器。
4. 控制计算机B（1）在客户端界面，可以看到计算机B的基本信息，如IP地址、系统信息等。
（2）点击“控制端”按钮，进入远程控制界面。
（3）在远程控制界面，可以查看计算机B的屏幕、键盘、鼠标等。
（4）通过客户端操作，控制计算机B的运行、文件传输等功能。
5. 安全防护（1）在实验过程中，注意保护计算机B的安全，避免被恶意操作。
（2）关闭冰河木马客户端和服务器后，及时删除安装的木马程序。
四、实验结果与分析1. 实验成功连接冰河木马服务器，并成功控制计算机B。
2. 通过实验，了解到冰河木马的基本原理和功能，以及远程控制的方法。
3. 提高网络安全意识，认识到网络安全的重要性。
五、实验总结1. 本次实验成功实现了冰河木马的安装、配置、连接和控制，达到了实验目的。
2. 通过实验，掌握了冰河木马的基本原理和功能，以及网络安全防护方法。
3. 在实验过程中，注意到了网络安全的重要性，提高了自己的网络安全意识。
4. 在以后的学习和工作中，将继续关注网络安全问题，提高自己的网络安全防护能力。
六、实验建议1. 在进行类似实验时，应选择安全、合法的实验环境，确保实验过程中不会对他人造成损失。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
实验5：网络攻击与防范实验
一、实验目的
1、了解常见的木马程序进行远程控制的使用方法，掌握木马传播和运行的机制；
2、掌握防范木马、检测木马以及手动删除木马的方法；
二、实验环境
..Windows操作系统，局域网环境，“冰河”、“灰鸽子”木马实验软件。
...实验每两个学生为一组：互相进行攻击或防范。
三、实验原理
.木马是隐藏在正常程序中的具有特殊功能的恶意代码。
它可以随着计算机自动启动并在某一端口监听来自控制端的控制信息。
.. 木马的传统连接技术：一般木马都采用C/S运行模式，即分为两部分：客户端和服务器端木马程序。
当服务器端程序在目标计算机上执行后会打开一个默认端口监听，而客户端向服务器端主动提出连接请求。
木马的反弹端口技术：它的特点是使服务器端程序主动发起对外连接请求，再通过一定方式连接至木马的客户端，客户端是被动的连接。
四、实验内容和步骤
任务一：练习“冰河”木马的攻击与防范
..“冰河”木马采用木马的传统连接技术，包含两个文件：G_Client.exe和win32。
G_Client.exe是监控端执行程序，可以用于监控远程计算机和配置服务器，win32是被监控端后台监控程序。
打开控制端，弹出“冰河”主界面。
分组角色：学生A运行冰河木马程序的客户端，学生B运行服务器端。
步骤一，攻击方法：
（1）采用IPC$漏洞入侵的方法，将冰河木马服务器端运行程序植入学生B的主机上，并使用计划任务命令使目标主机运行木马服务器端程序G_Server.exe。
（2）学生A启动G_Client.exe,利用快捷栏的添加主机按钮，将学生B主机的IP地址添加至主机列表。
（3）“确定”后，可以看到主机面上添加了学生B的主机。
单击主机名，如连接成功，则会显示服务器端主机上的盘符。
（4）尝试使用冰河客户端的控制功能对目标主机进行控制，使用口令类命令查看系统信息及口令；使用控制类命令进行捕获屏幕、发送信息、进程管理、窗口管理、鼠标控制操作；使用文件类命令进行添加目录，复制目录等操作。
步骤二，防范方法：
（1）学生B的主机速度明显变慢，为了删除“冰河”木马，可以选择用杀毒软件的方式或是手动删除的方式，这里我们采用手动删除的方式。
（2）在“开始”的“运行”里面输入regedit，打开Windows注册表编辑器。
依次打开子键目录HKEY_LOCAL_MACHINE\
SOFTWARE\Microsoft\Windows\CurrentVersion\Run，删除默认键值C:\WINNT\System32\kernel32.exe。
（3）进入C:\WINNT\System32目录，找到“冰河”木马的两个可执行文件
Kernel32.exe和Sysexplr.exe文件删除。
（4）“冰河”木马将txt文件的缺省打开方式由notepad.exe改为木马的启动
程序，需要恢复txt文件关联功能，将注册表的
HKEY_CLASSES_ROOT\txtfile\shell\open\command下的默认值，由中木马后的C:\Windows\System\Sysexplr.exe%1改为
C:\Windows\notepad.exe%1。
（5）学生A尝试再次用木马控制段连接学生B主机，观察结果
（6）互换角色，重做实验。
五、实验遇到的问题
请自行补充！
六、心得体会
请自行补充！。