网络安全实验报告-冰河木马实验
冰河实验
冰河病毒实验报告一：实验目的通过对本次冰河木马的实验，更进一步的认识木马的危害，以及增强自己对木马的查杀能力。
二：实验原理其实质只是一个网络客户/服务程序，一台主机提供服务(服务器)，另一台主机接受服务(客户机)。
作为服务器的主机一般会打开一个默认的端口并进行监听(Listen), 如果有客户机向服务器的这一端口提出连接请求(Connect Request), 服务器上的相应程序就会自动运行，来应答客户机的请求，这个程序我们称为守护进程。
对于冰河，被控制端就成为一台服务器，控制端则是一台客户机，G_server.exe是守护进程, G_client是客户端应用程序。
三：实验环境和实验前准备1，装有操作系统的虚拟机；2，2，G_server.exe守护进程, G_client 客户端应用程序；3，关掉防火墙和所有防病毒软件。
四：实验步骤和过程一：在一台机（客服端）打开G_client应用程序，在另一台机（服务端）打开G_server.exe 程序。
服务端情况：⑤①：打开任务管理器可以看到多了一个名为Kernel32.exe的进程，并且CPU使用率100%②：发现在C:\windows\system32 目录下，有Kernel32.exe 程序③：在运行框输入msconfig 命令，可以在启动菜单下看到病毒程序修改了注册表中的自启动注册项。
去掉勾，禁用即可。
④：借用Registry Workshop 注册表管理工具来查看病毒修改的注册项。
在改工具的查找框中输入sysexplr.exe,可以看到下面的现象：客户端情况：如果没有关掉防病毒软件，则会出现下面情况：所以要关掉防病毒软件，打开界面如下：如果有服务端打开了G_server.exe程序，可用G_client应用程序扫描对方IP，界面如下：扫描到两个IP地址，。
冰河木马实验
1. 实验报告如有雷同，雷同各方当次实验成绩均以 0 分计。 2. 在规定时间内未上交实验报告的，不得以其他方式补交，当次成绩按 0 分计。
ห้องสมุดไป่ตู้
警示
本班序号
18
姓名
邝润聪
实验 4 冰河木马实验
【实验体会】
（包括问题和解决方法、心得体会、应用网络安全原理对实验中的现象与问题进行解释等） 随着计算机网络技术的发展，木马的发展也飞快。冰河是一直以来强大的木马程序。现在冰 河的种类极多，更新变快，而且功能越来越强大。本来可以用作提高工作效率的程序被黑客 利用起来后果非常严重，而且该程序还向破坏性增强方向发展。 过程中， 首先最主要的是有攻击机和被攻击机， 其次， 要准备好冰河控制工具 G_Client.exe， 以及 G_Server.exe。要成功扫描上网的 IP 机子，关键是通过把目标机的盘映射到本机的新 建盘中，从而植入 G_Server.exe，于是就成功扫描了。但是万一被目标机的安全功能识别， 木马程序就无法植入，之后的步骤就无法进行。 第二个问题就是设置重新启动时间，此时间一定要看好，比现在后。 第三个问题是访问口令。每个版本的冰河有固定的访问口令，不过不一定好找，至于改口令 的方法就简单粗暴得多，不过也会有改不了口令的情况，有些版本也不好找这个路径来改口 令。解决方法是两个方法结合者用，改口令是破坏目标机安全的长远途径，所以尽量找方法 破解目标机的安全防护。 第四个问题是屏幕控制的窗口在哪里找。控制类命令可找到，设置调多几次就好。 第五个问题，不用注册表看不到木马进程，其隐蔽性极高，而且极顽强，无法同时删除两个 工具，还有自动启动。所以只有用注册表自动卸载木马再删才行。 木马具有破坏性、隐蔽性、顽固性、侵入性。一个懂得一点命令的基本知识的人通过映射就 可把木马植入别人电脑，想起来很简单又很可怕。而且木马程序植入后名字有伪装，而且聪 明的攻击者还会修改目标机的各种启动项，导致木马自动运行而又不被发现，难以清除。冰 河本来是作为远程工具帮助社会交流发展的，结果此功能不断被滥用，现在专业黑客都注册 表功能都了如指掌，而仅仅依靠电脑自身的安全防护功能，菜鸟是难以防御木马攻击的，就 算知道被攻击，也毫无还手之力。因为注册表信息纷杂不好分辨，自动卸载不一定能成功， 而且要修改的量大，所以还不如重装，但这给目标机主带来了巨大麻烦。木马的攻击功能远 远超过目标的想象。如果人们平时没有防范意识，没有定期检查注册列表，又因不良上网习 惯，很容易被木马攻击。就算安全防护工具再强，也是根据木马研究出来的，所以木马总是 超前的。根本的防御是人人学点电脑知识，养成良好上网习惯，良心用网络。
冰河木马入侵和防护报告-Read
冰河木马入侵和防护实验报告一、实验目的通过使用IPC$ 漏洞扫描器发现网络中有安全漏洞的主机，植入木马程序，控制远程主机，然后在客户端查杀木马，进行防护。
通过入侵实验理解和掌握木马的传播和运行机制，动手查杀木马，掌握检查木马和删除木马的技巧，学会防御木马的相关知识，加深对木马的安全防范意识。
二、实验原理IPC$是为了让进程间通信而开放的命名管道，可以通过验证用户名和密码获得相应的权限，在远程管理和查看计算机。
利用20CN IPC 扫描器可以发现网络上的IPC$漏洞，并往远程主机植入木马。
冰河木马程序属于第二代木马，它具备伪装和传播两种功能，可以进行密码窃取、远程控制。
三、实验条件工具扫描端口工具：20CN IPC扫描器木马程序：冰河ROSE 版实验平台WINDOWS XP，机房局域网。
四、实验步骤实验分两步，入侵和查杀木马A.入侵实验1、扫描网络中的IPC$漏洞并植入木马打开扫描器（见图1）图-1 20CN 扫描器设置扫描的IP 开始和结束地址（见图2）图-2 扫描器设置本次实验我们扫描IP 地址在192.168.3.20至192.168.3.50这一区间内的主机，设置步进为1，逐个扫描主机，线程数默认64，线程间延默认50（标号见1）。
选择要植入的木马程序，我们选择冰河木马（见标号2）。
扫描过程显示每个IP 的扫描结果（见标号3）。
扫描完成后会自动植入有IPC$漏洞的主机，接下来就可以控制了。
2 1 32、连接登陆远程主机打开冰河木马程序客户端，选择文件—>搜索计算机，设置起始域，起始地址和终止地址，我们进行如下设置，监听端口、延迟选择默认值，（见图3）21图-3 冰河木马程序客户端搜索结果（见标号2），在192.168.3.28和192.168.3.29前面是OK表示可以连接，其他主机都是ERR表示不能建立连接。
或者点击 文件—>添加计算机，输入扫描并已植入木马的远程主机IP(见标号1)，访问口令为空，监听端口默认7626。
网络安全实验报告-冰河木马实验
网络安全实验报告冰河木马实验网络10-2班 XXX 08103635一、实验目的通过学习冰河木马远程控制软件的使用，熟悉使用木马进行网络攻击的原理和方法。
二、实验内容1、在计算机A上运行冰河木马客户端，学习其常用功能；2、在局域网内另一台计算机B上种入冰河木马（服务器），用计算机A控制计算机B；3、打开杀毒软件查杀冰河木马；4、再次在B上种入冰河木马，并手动删除冰河木马，修改注册表和文件关联。
三、实验准备1、在两台计算机上关闭杀毒软件；2、下载冰河木马软件；3、阅读冰河木马的关联文件。
四、实验要求1、合理使用冰河木马，禁止恶意入侵他人电脑和网络；2、了解冰河木马的主要功能；3、记录实验步骤、实验现象、实验过程中出现的意外情况及解决方法；4、总结手动删除冰河木马的过程。
五、实验过程作为一款流行的远程控制工具，在面世的初期，冰河就曾经以其简单的操作方法和强大的控制力令人胆寒，可以说达到了谈冰色变的地步。
鉴于此，我们就选用冰河完成本次实验。
若要使用冰河进行攻击，则冰河的安装（是目标主机感染冰河）是首先必须要做的。
冰河控制工具中有三个文件：Readme.txt，G_Client.exe，以及G_Server.exe。
Readme.txt简单介绍冰河的使用。
G_Client.exe是监控端执行程序，可以用于监控远程计算机和配置服务器。
G_Server.exe是被监控端后台监控程序（运行一次即自动安装，开机自启动，可任意改名，运行时无任何提示）。
运行G_Server.exe后，该服务端程序直接进入内存，并把感染机的7626端口开放。
而使用冰河客户端软件（G_Client.exe）的计算机可以对感染机进行远程控制。
冰河木马的使用：1、自动跟踪目标机屏幕变化，同时可以完全模拟键盘及鼠标输入，即在同步被控端屏幕变化的同时，监控端的一切键盘及鼠标操作将反映在被控端屏幕（局域网适用）。
2、记录各种口令信息：包括开机口令、屏保口令、各种共享资源口令及绝大多数在对话框中出现的口令信息。
实验一 冰河木马
实验一冰河木马1．实验目的本次实验学习冰河木马远程控制软件的使用，通过实验可以了解木马和计算机病毒的区别，熟悉使用木马进行网络攻击的原理和方法。
2．实验原理木马程序是目前比较流行的病毒文件，与一般的病毒不同，它不会自我繁殖，也并不刻意地去感染其他文件，它通过将自身伪装吸引用户下载执行，向施种木马者提供打开被种者电脑的门户，使施种者可以任意毁坏、窃取被种者的文件，甚至远程操控被种者的电脑。
木马与计算机网络中常常要用到的远程控制软件有些相似，但由于远程控制软件是善意的控制，因此通常不具有隐蔽性；木马则完全相反，木马要达到的是偷窃性的远程控制。
它是指通过一段特定的程序（木马程序）来控制另一台计算机。
木马通常有两个可执行程序：一个是客户端，即控制端，另一个是服务端，即被控制端。
植入被种者电脑的是服务器部分，而黑客正是利用控制器进入运行了服务器的电脑。
运行了木马程序的服务器以后，被种者的电脑就会有一个或几个端口被打开，使黑客可以利用这些打开的端口进入电脑系统，安全和个人隐私也就全无保障。
木马的设计者为了防止木马被发现，而采用多种手段隐藏木马。
木马的服务一旦运行并被控制端连接，其控制端将享有服务端的大部分操作权限，例如给计算机增加口令，浏览、移动、复制、删除文件，修改注册表，更改计算机配置等。
随着病毒编写技术的发展，木马程序对用户的威胁越来越大，尤其是一些木马程序采用了极其狡猾的手段来隐蔽自己，使普通用户很难在中毒后发觉。
3．实验环境装有Windows 2000/XP系统的计算机，局域网或Internet，冰河木马软件（服务器和客户端）。
4．实验步骤双击冰河木马.rar文件，将其进行解压，解压路径可以自定义。
解压过程见图1 —图4，解压结果如图4所示。
图1图2图3冰河木马共有两个应用程序，见图4，其中win32.exe是服务器程序，属于木马受控端程序，种木马时，我们需将该程序放入到受控端的计算机中，然后双击该程序即可；另一个是木马的客户端程序，属于木马的主控端程序。
实验4-冰河木马实验
实验4-冰河木马实验实验报告如有雷同，雷同各方当次实验成绩均以0分计。
2. 在规定时间内未上交实验报告的，不得以其他方式补交，当次成绩按0分计。
实验4 冰河木马实验【实验原理】作为一款流行的远程控制工具，在面世的初期，冰河就曾经以其简单的操作方法和强大的控制力令人胆寒，可以说达到了谈冰色变的地步。
若要使用冰河进行攻击，则冰河的安装（是目标主机感染冰河）是首先必须要做的。
冰河控制工具中有二个文件：G_Client.exe ，以及G_Server.exe 。
G_Client.exe 是监控端执行程序，可以用于监控远程计算机和配置服务器。
G_Server.exe 是被监控端后台监控程序（运行一次即自动安装，开机自启动，可任意改名，运行时无任何本班序号 姓名警示提示）。
运行G_Server.exe后，该服务端程序直接进入内存，并把感染机的7626端口开放。
而使用冰河客户端软件（G_Client.exe）的计算机可以对感染机进行远程控制。
冰河木马的主要功能：（1）自动跟踪目标机屏幕变化，同时可以完全模拟键盘及鼠标输入，即在同步被控端屏幕变化的同时，监控端的一切键盘及鼠标操作将反映在被控端屏幕（局域网适用）。
（2）记录各种口令信息：包括开机口令、屏保口令、各种共享资源口令及绝大多数在对话框中出现的口令信息。
（3）获取系统信息：包括计算机名、注册公司、当前用户、系统路径、操作系统版本、当前显示分辨率、物理及逻辑磁盘信息等多项系统数据。
（4）限制系统功能：包括远程关机、远程重启计算机、锁定鼠标、锁定系统热键及锁定注册表等多项功能限制。
（5）远程文件操作：包括创建、上传、下载、复制、伤处文件或目录、文件压缩、快速浏览文本文件、远程打开文件（正常方式、最小化、最大化、隐藏方式）等多项文件操作功能。
（6）注册表操作：包括对主键的浏览、增删、复制、重命名和对键值的读写等所有注册表操作功能。
（7）发送信息：以四种常用图标向被控端发送简短信息。
冰河木马实验报告
实验报告从上图可以瞧出,搜索结果中,每个IP前都就是ERR。
地址前面的“ERR:”表示这台计算机无法控制。
所以,为了能够控制该计算机,我们就必须要让其感染冰河木马。
1、远程连接使用Dos命令: net use \\ip\ipc$如下图所示:2、磁盘映射。
本实验:将目标主机的C:盘映射为本地主机上的X:盘如下图所示首先,获取目标主机上的系统时间,然后根据该时间设置启动事件。
此时,在目标主机的Dos界面下,使用at命令,可瞧到:下图为设定时间到达之前(即G_Server、exe执行之前)的注册表信息,可以瞧到在注册表下的:HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\ CurrentVersion\Run,其默认值并无任何值。
当目标主机的系统时间到达设定时间之后,G_Server、exe程序自动启动,且无任何提示。
从上图可以瞧到,HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\ CurrentVersion\Run的默认值发生了改变。
变成了:C:\\WINDOWS\\SYSTEM\\Kernel32、exe这就说明冰河木马安装成功,拥有G_Client、exe的计算机都可以对此计算机进行控制了。
此时,再次使用G_Client、exe搜索计算机,可得结果如下图所示:从搜索结果可以瞧到,我们刚安装了冰河木马的计算机(其IP:10、1、13、214)的IP地址前变成了“OK:”,而不就是之前的“ERR:”。
下面对该计算机进行连接控制:上图显示,连接失败了,为什么呢？其实原因很简单,冰河木马就是访问口令的,且不同版本的访问口令不尽相同,本实验中,我们使用的就是冰河V2、2版,其访问口令就是05181977,当我们在访问口令一栏输入该口令(或者右击“文件管理器”中的该IP,“修改口令”),并点击应用,即可连接成功。
连接成功了,我们就可以在“命令控制台”下对该计算机进行相关的控制操作了。
实训：病毒与木马防范——冰河木马
【实训内容】
• 1 掌握木马的原理和攻击方法。 • 2 了解“冰河”的配置及使用方法。 • 3 掌握清除“冰河”的方法。
【实训步骤】
• 1. “冰河”木马的原理和攻击方法 • 1）G_Server.exe：被监控端后台监控程序 • 2）G_Client.exe：监控端执行程序，用于监控远程计算机
• （2）删除注册表 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentV ersion \Run下的键值C：\Windows\system\Kernel32.exe。
• （3）删除注册表 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentV ersion \Runservices下的键值C：\Windows\system\Kernel32.exe。
电子商务安全技术
电子商务安全技术
实训：病毒与木马防范——冰河木马
• 【实训条件】 • 1. 硬件条件 • CPU：至少550MHz，内存：至少256MB； • 硬盘空间：150MB以上，不含缓存使用的磁盘空间。 • 2. 软件条件 • 操作系统：Windows 2000 Server或Windows 2003 Server • 3. 网络环境 • 工作站连入局域网。
和配置服务器程序。 •
2. 了解“冰河”的配置及使用方法。
• （1）各模块简要说明 • （2）文件管理器操作说明 • （3）命令控制台主要命令 • （4）使用技巧
3. 掌握清除“冰河”的方法。
• （1）删除C：\Windows\system下的Kernel32.exe和sy* * *plr.exe文件。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
网络安全实验报告
冰河木马实验
网络10-2班 XXX 08103635
一、实验目的
通过学习冰河木马远程控制软件的使用，熟悉使用木马进行网络攻击的原理和方法。
二、实验内容
1、在计算机A上运行冰河木马客户端，学习其常用
功能；
2、在局域网内另一台计算机B上种入冰河木马（服
务器），用计算机A控制计算机B；
3、打开杀毒软件查杀冰河木马；
4、再次在B上种入冰河木马，并手动删除冰河木马，
修改注册表和文件关联。
三、实验准备
1、在两台计算机上关闭杀毒软件；
2、下载冰河木马软件；
3、阅读冰河木马的关联文件。
四、实验要求
1、合理使用冰河木马，禁止恶意入侵他人电脑和网
络；
2、了解冰河木马的主要功能；
3、记录实验步骤、实验现象、实验过程中出现的意
外情况及解决方法；
4、总结手动删除冰河木马的过程。
五、实验过程
作为一款流行的远程控制工具，在面世的初期，冰河就曾经以其简单的操作方法和强大的控制力令人胆寒，可以说达到了谈冰色变的地步。
鉴于此，我们就选用冰河完成本次实验。
若要使用冰河进行攻击，则冰河的安装（是目标主机感染冰河）是首先必须要做的。
冰河控制工具中有三个文件：Readme.txt，G_Client.exe，以及G_Server.exe。
Readme.txt简单介绍冰河的使用。
G_Client.exe是监控端执行程序，可以用于监控远程计算机和配置服务器。
G_Server.exe是被监控端后台监控程序（运行一次即自动安装，开机自启动，可任意改名，运行时无任何提示）。
运行G_Server.exe后，该服务端程序直接进入内存，并把感染机的7626端口开放。
而使用冰河客户端软件（G_Client.exe）的计算机可以对感染机进行远程控制。
冰河木马的使用：
1、自动跟踪目标机屏幕变化，同时可以完全模拟键盘及鼠标输入，即在同步被控端屏幕变化的同时，监控端的一切键盘及鼠标操作将反映在被控端屏幕（局域网适用）。
2、记录各种口令信息：包括开机口令、屏保口令、各种共享资源口令及绝大多数在对话框中出现的口令信息。
3、获取系统信息：包括计算机名、注册公司、当前用户、系统路径、操作系统版本、当前显示分辨率、物理及逻辑磁盘信息等多项系统数据。
4、限制系统功能：包括远程关机、远程重启计算机、锁定鼠标、锁定系统热键及锁定注册表等多项功能限制。
5、远程文件操作：包括创建、上传、下载、复制、伤处文件或目录、文件压缩、快速浏览文本文件、远程打开文件（正常方式、最小化、最大化、隐藏方式）等多项文件操作功能。
6、注册表操作：包括对主键的浏览、增删、复制、重命名和对键值的读写等所有注册表操作功能。
7、发送信息：以四种常用图标向被控端发送简短信息。
8、点对点通讯：以聊天室形式同被控端进行在线交谈等。
入侵目标主机：
首先运行G_Client.exe，扫描主机。
查找IP地址：在“起始域”编辑框中输入要查找的IP地址，本实验搜索IP地址“219.219.68.***”网段的计算机，点“开始搜索”按钮，在右边列表框中显示检测到已经在网上的计算机的IP地址。
搜索框内有显示状态为ERR的主机，是因为这些主机上没有种马，即没有安装服务器。
实验中，我选择控制的主机的IP为“219.219.68.104”。
在命令控制台中操作：
口令类命令：
系统命令及口令
历史口令
击键记录
控制类命令：抓捕屏幕
发送信息
进程管理
窗口管理
系统控制
鼠标控制
其他控制
网络类命令：
网络信息---查看共享
文件类命令：文件复制
注册表读写：键值读取
设置类命令：
服务器端配置
读取服务器配置
修改服务器配置
六、实验小结
对于计算机木马的概念，我们都还局限在很窄的层面，通过对冰河木马的学习并使用它完成本次实验，认识到木马是怎样侵入到我们的计算机并获得所需要的信息的。
对木马病毒的防护建议：
1、及时下载系统补丁，修补系统漏洞；
2、提高防范意识，不要打开陌生人的可以邮件和附件，其中可能隐藏病
毒；
3、如果电脑出现无故重启、桌面异常、速度变慢等情况，注意检查是否
已中病毒；
4、使用杀毒软件和防火墙，配置好运行规则。