特洛伊木马浅析及防范

特洛伊木马浅析及防范
作者：孙维智
来源：《硅谷》2012年第19期
摘要：木马是计算机网络四大公害之一，对计算机安全带来严重威胁。

主要对特洛伊木马来源及基本工作原理、攻击方式与隐蔽性进行分析，让大家了解熟悉防范特洛伊木马，保障网络信息安全。

关键词：特洛伊木马；木马攻击；木马隐藏
中图分类号：TP393 文献标识码：A 文章编号：1671-7597（2012）1010188-01
目前在不断发生的互联网安全事件中，大部分都有木马的身影。

《百锐互联网用户账户安全报告简版》指出，2011年上半年，互联网用户账户信息安全所收到的主要威胁有盗号木马、欺诈网站、服务器攻击和手机病毒四种。

报告指出，百锐云安全系统在全球范围内共截获新增木马样本816214种，总体数量比去年同期上升32.4%。

中国大陆地区148467种，占全球18.19%。

通过对2011上半年新增木马的恶意行为分析发现，互联网新增木马对计算机系统的损害越来越小，窃取私人信息（包括网络游戏、IM、网银等帐号信息）越来越多。

本文主要讲述特洛伊木马的攻击原理及防范措施。

1 特洛伊木马概述
特洛伊木马（Trojan Horse）这个名称来源于公元前十二世界希腊和和特洛伊之间的一场战争。

本文要说的特洛伊是计算机安全领域的特洛伊木马，是指寄宿在计算机里的一种非授权的远程控制程序。

由于特洛伊木马程序能够在计算机管理员未发觉的情况下开放系统权限、泄漏用户信息、甚至窃取整个计算机管理使用权限，使得它成为了黑客们最为常用的工具之一。

从某种意义上来说，特洛伊木马属于计算机病毒的一种，因为特洛伊木马具有计算机病毒特有的非授权性又具有隐蔽性和传播性等特性。

在对目标系统的访问和控制是没有经过合法用户授权的；在对计算机系统的控制或者泄漏用户信息控制计算机管理使用权限是在用户毫无察觉的状态下进行的；为感染更多的计算机，特洛伊木马通常采用电子邮件附件、合并到正常软件内等多种方式进行传播。

2 特洛伊木马的基本原理
特洛伊木马本质上就是一种客户/服务器模式的网络程序，其工作原理是一台主机提供服务器作为服务器端，另一台主机接受服务作为客户端。

服务器端的程序通常会开启一个预设的连接端口进行监听，当客户端向服务器端的这一连接端口提出连接请求时，服务器端上的相应程序就会自动执行，来回复客户端的请求，并提供其请求的服务。

对于特洛伊木马来说，功能端程序安装在被攻击的主机上，它也是木马大部分功能的实现端，木马对背攻击主机的所有控
制功能也都集中在服务器端。

木马的控制端程序通常安装在攻击者的主机上，用于控制功能端，向功能端发出各种命令，使得功能端程序按照攻击者意图实现各种远程控制功能。

特洛伊木马在几年与反病毒软件、防火墙等防御工具的不断较量中，技术越来越进步，攻击模式也从最早的传统攻击模式升级成为由传统攻击模式、反弹攻击模式和第三方中介攻击模式混合的方式。

所谓的传统攻击模式就是前面说到的由服务端打开端口，等待连接；客户端首先发出连接请求与服务端建立连接；然后实施攻击，这种攻击模式出现的比较早，使用的也最为普遍，现有的大多数木马都是采用的是这种攻击模式。

随着人们安全意识的不断提高，很多计算机安装有防火墙，由于防火墙默认的规则都是禁止由外向内发起的连接，导致传统攻击模式不能成功，于是特洛伊木马进化出新的木马攻击模式即反弹攻击模式。

这种攻击模式先由客户端使用合法的报文激活服务端，然后由服务端主动连接客户端，形成防火墙不禁止的由内而外连接，进而开始攻击，这种攻击模式称为反弹攻击模式。

又因为有些攻击方仅仅需要传递很少的控制信息，攻击者为了更好的隐藏自己，防止木马背发现了以后自己受到追查所进化出来的一种攻击模式。

通过服务器端和客户端不直接进行连接而是通过电子邮件服务器或者攻击者控制的肉鸡作为中介进行信息交互，客户端将控制进行发送到第三方中介上，服务器端定期到第三方中介获取控制信息，并将窃取的信息放到第三方中介上，由客户端自己来取。

3 特洛伊木马的隐藏技术
特洛伊木马程序植入目标系统后，会在目标系统的磁盘上加以隐藏欺骗用户。

隐藏保护木马的主要方式有：
1）插入到某程序中、与某程序捆绑在一起，一运行此程序就会启动木马，还可以通过ZIP制成自解压执行程序，一旦点击ZIP文件就会加载木马。

2）木马一般会将文件属性设置成隐藏、只读存放在windows或者windows/system32文件夹下面，并且修改文件的生成日期，以迷惑用户。

有些甚至还伪装成系统文件或者非可执行文件并更换图标，比如.bmp文件来迷惑用户。

3）用修改后的DLL替换系统原来的系统DLL，不需要监听端口，非常隐蔽。

替换后，正常的系统调用还是可以进行，但是多了一些功能供木马调用与执行。

4）进程中木马的隐藏方式是把木马进程改为非常类似于系统进程的名字，利用英文l和阿拉伯数字1看起很像；英文o和阿拉伯数字0看起来很像，伪装成系统进程迷惑用户，比如Exp1orer.exe、SVCH0ST.EXE等。

现在很多木马都是以线程方式，即把木马写成动态链接库（DLL）文件，通过DLL技术，木马以线程的方式存在，木马调用的是系统中正常的进程，只是在运行时将自己插入另一个进程中，以实现任务管理器里的隐藏。

而且这种隐藏当查看当前使用端口时，木马打开的端口对应的进程不是木马本身，而是被插入的进程——一个正常进程，从而实现端口隐藏的目的。

木马还有其他一些隐藏方式：修改进程管理程序隐藏进程信息，利用由于进程管理程序不列出进程标识号（PID）为0的进程信息，因此把要隐藏进程的PID设为0（空转进程），实现进程隐藏等。

5）随着木马隐藏技术的更新发展，出现了隐藏在BIOS中的木马。

利用windows系统的INT13终端，在系统执行前调用刷写在BIOS中的代码，先于系统执行，然后把执行权交给windows的loader。

这种隐藏的木马不需要担心其启动的问题，无须替换系统文件。

4 特洛伊木马防范
传播方式一直是恶意程序的命门，也是实现恶意程序的关键技术之一，如果不能传播到被攻击的主机之上，特洛伊木马再强大的功能也无用武之地。

因此，作为计算机用户要严把入口关，特别是针对特洛伊木马的几种常见传播途径。

1）针对电子邮件传播：用户不随意打开来历不明的邮件，阻塞可疑邮件。

2）针对网站下载传播方式：不随意下载来历不明的软件，尽可能到大型网络下载并且先杀毒后使用。

3）针对QQ等即时通信工具的传播方式：不随意打开陌生人传来的图片或者软件，即使好友传来的文件也要先杀毒然后再打开。

其次要建立坚固的防御体系，堵塞漏洞，不给特洛伊木马等恶意程序以可乘之机。

安装防病毒软件并开启实时监控，及时升级更新病毒库，定时对操作系统升级，安装官方提供的补丁程序，修补操作系统本身存在的安全漏洞，安装防火墙软件并进行合理的规则设置，将攻击隔离在计算机系统之外。

经常对系统的端口、进程、启动项等进行检查。

如前所述，特洛伊木马本质是一种网络程序，程序只有启动了才能运行，运行时以进程的形式出现，网络程序通信需要使用端口，所以经常对系统的端口、进程、启动项等进行检查，并进行设置，特洛伊木马就不能正常工作，无法发挥其破坏作用。

5 结束语
特洛伊木马造成的危害可能是非常惊人的，由于它具有远程控制机器以及捕获屏幕、键击、音频、视频的能力，所以其危害程度要远远超过普通的病毒和蠕虫。

深入了解特洛伊木马的运行原来，在此基础上采取正确的防卫措施，只有这样才能有效减少特洛伊木马带来的危害。

参考文献：
[1]杨小刚，计算机木马病毒检测与防范[J].计算机与信息技术，2010（06）.
[2]张喜洁、李晓明，计算机木马破解与预防[J].农业信息网络，2007（09）.
[3]朱明、徐骞、刘春明，《木马病毒分析及其检测方法研究》，计算机工程与应用，2003.。