特洛伊木马原理介绍

合集下载

第五章特洛伊木马

6、隐藏在应用程序的启动配置文件中木马控制端利用应用程序的启动配置文件能启动程序的特点，将制作好的带有木马启动命令的同名文件上传到服务端覆盖该同名文件，这样就可以达到启动木马的目的。 7、伪装在普通文件中具体方法是把可执行文件伪装成图片或文本。
8、内置到注册表中木马可以隐藏在注册表中由于系统启动时自动执行程序的键值中，如： HKEY_LOCAL_MACHINE\software\ HKEY_LOCAL_MACHINE\software\Microsoft \Windows\CurrentVersion下所有以“run”开头的 Windows\CurrentVersion下所有以“run” 键值； HKEY_CURRENT_USER\software\microsoft\ HKEY_CURRENT_USER\software\microsoft\ Windows\CurrentVersion下所有以“run” Windows\CurrentVersion下所有以“run”开头的键值； HKEY_USERS\.Default\Software\Microsoft\ HKEY_USERS\.Default\Software\Microsoft\Wi ndows\CurrentVersion下所有以“run” ndows\CurrentVersion下所有以“run”开头的键值。
木马的启动方式
木马想要达到控制或者监视计算机的目的，必须要运行，自动启动功能是必不可少的，这样可以保证木马不会因为用户的一次关机操作而彻底失去作用。常用的方法有以下几种：
1、集成（捆绑）到应用程序中。如绑定到系统文件中，那么每次WINDOWS启如绑定到系统文件中，那么每次WINDOWS启动均会启动木马。 2、隐藏在Autoexec.bat和Config.sys中、隐藏在Autoexec.bat和Config.sys中很多用户一般不处理系统的配置文件，这正好给木马提供了一个藏身之处，利用配置文件的特殊作用，木马很容易在计算机中运行。当你启动dos的时候, 当你启动dos的时候,不执行任何动作，便会看到一个光标而已，如果你要在dos启动的时候让他自一个光标而已，如果你要在dos启动的时候让他自动执行一些命令，那就可以编辑Autoexec.bat，动执行一些命令，那就可以编辑Autoexec.bat，dos 会自动执行它。你可以在Autoexec.bat里写会自动执行它。你可以在Autoexec.bat里写 echo hello this is dos command. 那示"hello this is dos command"

特洛伊木马的工作原理

特洛伊木马的工作原理
特洛伊木马是一种常见的恶意软件，它通过伪装成正常的程序或文件来欺骗用户，使其被安装和运行在受感染的系统中。

特洛伊木马的工作原理包括以下几个步骤：
1. 伪装: 特洛伊木马会伪装成一个吸引人的程序、文件或链接，以引起用户的兴趣和点击。

这个伪装可以是一个看似合法的软件安装包、电子邮件附件、社交媒体链接等等。

2. 欺骗: 当用户执行了特洛伊木马的安装或打开操作时，它会
欺骗用户认为它是一个正常的程序或文件，并且可能对用户做出各种误导性的提示或界面交互，让用户相信这是一个可信的应用。

3. 潜伏: 一旦特洛伊木马成功地安装在系统中，它会开始在后
台运行，并潜伏于系统的各个角落，隐藏自己的存在，使用户难以察觉。

4. 攻击: 特洛伊木马会利用系统漏洞或用户权限不足的安全弱点，通过自身的程序代码或网络通信进行攻击。

这可能包括窃取用户的个人信息、密码、银行账号等敏感信息，操控受感染系统进行恶意活动，或者打开后门，为黑客提供远程访问受感染系统的权限。

5. 传播: 一旦特洛伊木马成功感染了一个系统，它还可能通过
网络传播到其他主机，利用电子邮件、即时通信软件、共享文件等方式，将自身复制到其他电脑上，进一步传播。

总之，特洛伊木马通过伪装成正常的程序或文件，欺骗用户安装并潜伏于系统中，然后利用系统漏洞进行攻击和传播。

用户需要提高警惕，并采取安全措施来预防和检测特洛伊木马的存在。

特洛伊木马原理分析

特洛伊木马原理分析特洛伊木马是如何工作的一般的木马程序都包括客户端和服务端两个程序，其中客户端是用于攻击者远程控制植入木马的机器，服务器端程序即是木马程序他所做的第一步是要把木马的服务器端。

攻击者要通过木马攻击你的系统，程序植入到你的电脑里面。

目前木马入侵的主要途径还是先通过一定的方法把木马执行文件弄到被攻击者的电脑系统里，利用的途径有邮件附件、下载软件中等，然后通过一定的提示故意误导被攻击者打开执行文件，比如故意谎称这个木马执行文件，是你朋友送给你贺卡，可能你打开这个文件后，确实有贺卡的画面出现，但这时可能木马已经悄悄在你的后台运行了。

一般的木马执行文件非常小，大部分都是几K到几十K，如果把木马捆绑到其他正常文件上，你很难发现，所以，有一些网站提供的软件下载往往是捆绑了木马文件的，你执行这些下载的文件，也同时运行了木马。

木马也可以通过Script、ActiveX及Asp.CGI交互脚本的方式植入，由于微软的浏览器在执行Senipt脚本存在一些漏洞。

攻击者可以利用这些漏洞传播病毒和木马，甚至直接对浏览者电脑进行文件操作等控制。

前不久献出现一个利用微软Scripts脚本漏洞对浏览者硬盘进行格式化的HTML页面。

如果攻击者有办法把木马执行文件下载到攻击主机的一个可执行WWW目录夹里面，他可以通过编制CGI程序在攻击主机上执行木马目录。

此外，木马还可以利用系统的一些漏洞进行植人，如微软著名的US服务器溢出漏洞，通过一个IISHACK攻击程序即可使IIS服务器崩溃，并且同时攻击服务器，执行远程木马执行文件。

当服务端程序在被感染的机器上成功运行以后，攻击者就可以使用客户端与服务端建立连接，并进一步控制被感染的机器。

在客户端和服务端通信协议的选择上，绝大多数木马使用的是TCP/IP协议，但是也有一些木马由于特殊的原因，使用UDP协议进行通讯。

当服务端在被感染机器上运行以后，它一方面尽量把自己隐藏在计算机的某个角落里面，以防被用户发现；同时监听某个特定的端口，等待客户端与其取得连接;另外为了下次重启计算机时仍然能正常工作。

简述特洛伊木马的基本原理

简述特洛伊木马的基本原理
简述特洛伊木马的基本原理如下：
特洛伊木马是一种基于客户/服务器模式的网络程序，它通过隐藏在正常的程序中，并利用服务端的主机漏洞，以无孔不入的方式实现自己的目的。

一旦木马进入服务端，就会通过网络远程控制服务端的程序，例如打开后门、获取系统信息、执行任意操作等。

特洛伊木马通常包括控制端和服务端两个部分。

控制端用于远程控制服务端，可以执行任意操作，而服务端则被动的接收来自控制端的指令。

为了实现特洛伊木马的基本原理，需要满足以下三个条件：
1. 硬件部分：建立木马连接所必须的硬件实体，例如网络和设备。

2. 软件部分：实现远程控制所必须的软件程序，例如控制端程序和木马程序。

3. 具体连接部分：通过互联网在服务端和控制端之间建立一条木马通道所必须的元素，例如控制端IP、服务端IP、控制端端口和木马端口等。

特洛伊木马是一种非常危险的恶意软件，因为它可以完全控制服务端的程序，从而造成严重的安全威胁。

因此，我们应该时刻保持警惕，避免下载和安装不明来源的程序，并定期更新我们的操作系统和软件程序，以避免成为特洛伊木马的受害者。

病毒木马的工作原理及其防范

病毒的定义和分类
计算机病毒的特点 1）可执行性当用户运行正常程序时，病毒伺机窃取到系统的控制权，得以抢先运行。 2）破坏性无论何种病毒程序，一旦侵入系统都会对操作系统的运行造成不同程度的影响。 3）传染性把自身复制到其他程序中的特性。是计算机病毒最重要的特征，是判断一段程序代码是否为计算机病毒的依据。病毒可以附着在其它程序上，通过磁盘、光盘、计算机网络等载体进行传染，被传染的计算机又成为病毒的生存的环境及新传染源。
缓冲区溢出与病毒攻击的原理
二、缓冲区溢出的根源在于编程错误缓冲区溢出是由编程错误引起的。如果缓冲区被写满，而程序没有去检查缓冲区边界，也没有停止接收数据，这时缓冲区溢出就会发生。缓冲区溢出之所以泛滥，是由于开放源代码程序的本质决定的。某些编程语言对于缓冲区溢出是具有免疫力的，例如 Perl能够自动调节字节排列的大小，Ada 95能够检查和阻止缓冲区溢出。但是被广泛使用的C语言却没有建立检测机制。标准C语言具有许多复制和添加字符串的函数，这使得标准C语言很难进行边界检查。C++语言略微好一些，但是仍然存在缓冲区溢出情况。一般情况下，覆盖其他数据区的数据是没有意义的，最多造成应用程序错误，但是，如果输入的数据是经过 “黑客”或者病毒精心设计的，覆盖缓冲区的数据恰恰是“黑客”或者病毒的攻击程序代码，一旦多余字节被编译执行， “黑客”或者病毒就有可能为所欲为，获取系统的控制权。
毒。由于通过电子邮件系统传播，宏病毒在短短几天内狂袭
全球数以百万计的电脑。包括微软、Intel等公司在内的众多大型企业网络系统瘫痪，全球经济损失达数十亿美元。2004 年爆发的“新欢乐时光”病毒也给全球经济造成了巨大损失。
VBS病毒的起源与发展及其危害

特洛伊木马分析

特洛伊木马分析特洛伊木马分析摘要在计算机如此普及的网络时代，病毒对于我们来说早已不是一个新鲜的名词，而通常被称为木马病毒的特洛伊木马也被广为所知，为了更好的保护自己的电脑我们应该了解跟多有关特洛伊病毒的信息。

本文对该病毒原理、预防和清除进行了详细的阐述，并对此发表了一些个人的看法。

关键词特洛伊木马病毒木马特洛伊木马是一种特殊的程序，它们不感染其他文件，不破坏系统，不自身复制和传播。

在它们身上找不到病毒的特点，但它们们仍然被列为计算机病毒的行列。

它们的名声不如计算机病毒广，但它们的作用却远比病毒大。

利用特洛伊木马，远程用户可以对你的计算机进行任意操作（当然物理的除外），可以利用它们传播病毒，盗取密码，删除文件，破坏系统。

于是这个在网络安全界扮演重要角色，课进行超强功能远程管理的“功臣”，自然而然也被列为受打击的行列。

在网络上，各种各样的特洛伊木马已经多如牛毛，它们和蠕虫病毒、垃圾邮件一起构成了影响网络正常秩序的三大害。

下面我就来说说特洛伊木马的特点、工作原理、预防和清除的方法，以及我自己对木马病毒及其防护方法的一些见解。

一．什么是特洛伊木马特洛伊木马简称木马，英文名为Trojan。

它是一种不同于病毒，但仍有破坏性的程序，普通木马最明显的一个特征就是本身可以被执行，所以一般情况下它们是由.exe文件组成的，某些特殊木马也许还有其他部分，或者只有一个.dll文件。

木马常被用来做远程控制、偷盗密码等活动。

惯用伎俩是想办法让远程主机执行木马程序，或者主动入侵到远程主机，上传木马后再远程执行。

当木马在远程主机被执行后，就等待可控制程序连接，一旦连接成功，就可以对远程主机实施各种木马功能限定内的操作。

功能强大的木马可以在远程主机中做任何事情，就如同在自己的机器上操作一样方便。

可见，木马实际上就是一个具有特定功能的可以里应外合的后门程序，将其与其他的病毒程序结合起来造成的危害将会是相当大的。

二．木马的工作原理当木马程序或藏有木马的程序被执行后，木马首先会在系统中潜伏下来，并会想办法使自己在每次开机时自动加载，以达到长期控制目标的目的。

木马病毒原理及特征分析

2．记录各种口令信息：包括开机口令、屏保口令、各种共享资源口令及绝大多数在对话框中出现过的口令信息；
3．获取系统信息：包括计算机名、注册公司、当前用户、系统路径、操作系统版本、当前显示分辨率、物理及逻辑磁盘信息等多项系统数据；
4．限制系统功能：包括远程关机、远程重启计算机、锁定鼠标、锁定系统热键及锁定注册表等多项功能限制；
木马一般不具有普通病毒所具有的自我繁殖、主动感染传播等特性，但我们习惯上将其纳入广义病毒，也就是说，木马也是广义病毒的一个子类
木马的最终意图是窃取信息、实施远程监控
木马与合法远程控制软件(如pcAnyWhere)的主要区别在于是否具有隐蔽性、是否具有非授权性
07:40:27
11
特洛伊木马的结构
Rundll32 DllFileName FuncName
例如我们编写了一个MyDll.dll，这个动态链接库中定义了一个 MyFunc的函数，那么，我们通过Rundll32.exe MyDll.dll MyFunc 就可以执行MyFunc函数的功能。
假设我们在MyFunc函数中实现了病毒的功能，那么我们不就可以通过Rundll32来运行这个病毒了么？在系统管理员看来，进程列表中增加的是Rundll32.exe而并不是病毒文件，这样也算是病毒的一种简易欺骗和自我保护方法
5．远程文件操作：包括创建、上传、下载、复制、删除文件或目录、文件压缩、快速浏览文本文件、远程打开文件（提供了四中不同的打开方式——正常方式、最大化、最小化和隐藏方式）等多项文件操作功能；
6．注册表操作：包括对主键的浏览、增删、复制、重命名和对键值的读写等所有注册表操作功能；
07:40:27
9
07:40:27

特洛伊木马工作原理分析及清除方法

特洛伊木马工作原理分析及清除方法1 什么是特洛伊木马特洛伊木马（Trojan Horse，以下简称木马）的名称取自希腊神话的特洛伊木马记。

木马就是指那些内部包含为完成特殊任务而编制的代码的程序，这些特殊功能处于隐藏状态，执行时不为人发觉。

特洛伊木马是一种基于远程控制的工具，类似于远端管理软件，其区别是木马具有隐蔽性和非授权性的特点。

所谓隐蔽性是指木马的设计者为防止木马被发现，会采用多种手段隐藏木马；非授权性是指一旦控制端与服务端建立连接后，控制端将窃取服务端的密码及大部分操作权限，包括修改文件、修改注册表、重启或关闭服务端操作系统、断开服务端网络连接、控制服务端的鼠标及键盘、监视服务端桌面操作、查看服务端进程等。

这些权限并不是服务端赋予的，而是通过木马程序窃取的。

2 木马的工作原理完整的木马系统由硬件和软件二部分组成。

硬件部分是建立木马连接所必须的硬件实体，包括控制端、服务端和数据传输的网络载体（Internet/Intranet）；软件部分是实现远程控制所必须的软件程序，包括控制端程序和木马程序。

利用木马窃取信息、恶意攻击的整个过程可以分为3个部分，下面详细介绍。

2.1 获取并传播木马木马可以用C或C++语言编写。

木马程序非常小，一般只有3~5KB，以便隐藏和传播。

木马的传播方式主要有3种：（1）通过E-MAIL。

（2）软件下载。

（3）依托病毒传播。

200 1年4月赛门铁克防病毒研究中心发现了植入木马程序的新蠕虫病毒（W32.BACTRANS.13 312@MM）。

该病毒一旦被执行，木马程序就会修改注册表键值和win.ini文件。

当计算机被重启时，该蠕虫会等候3 分钟，然后利用MAPI, 回复所有未读邮件，并将自己作为邮件的附件，使用不同的名称继续传播。

2.2 运行木马服务端用户在运行木马或捆绑了木马的程序后，木马首先将自身拷贝到WINDOWS的系统文件夹中(C:\WINDOWS或C:\WINDOWS\SYSTEM目录下)，然后在注册表、启动组和非启动组中设置好木马触发条件，这样木马的安装就完成了。

1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。

1. 特洛伊木馬程式原理7n
一、引言otnpy
特洛伊木馬是Trojan Horse 的中譯，是借自"木馬屠城記"中那只木馬的名稱。

古希臘有大軍圍攻特洛伊城，逾年無法攻下。

有人獻計製造一隻高二丈的大木馬假裝作戰馬神，攻擊數天後仍然無功，遂留下木馬拔營而去。

城中得到解圍的消息，及得到"木馬"這個奇異的戰利品，全城飲酒狂歡。

到午夜時份，全城軍民盡入夢鄉，匿於木馬中的將士開暗門垂繩而下，開啟城門及四處縱火，城外伏兵湧入，焚屠特洛伊城。

後世稱這只木馬為"特洛伊木馬"，現今電腦術語借用其名，意思是"一經進入，後患無窮"。

特洛伊木馬原則上它和Laplink 、PCanywhere 等程式一樣，只是一種遠端管理工具。

而且本身不帶傷害性，也沒有感染力，所以不能稱之為病毒(也有人稱之為第二代病毒)；但卻常常被視之為病毒。

原因是如果有人不當的使用，破壞力可以比病毒更強。

iagavi
©摩尼BBS網路社區-- 音樂.歌詞.小遊戲.MTV.桌布.圖庫.笑話.影片.星座.下載.動漫畫.免費留言板申請BBS網路社區-- 音樂.歌詞.小遊戲.MTV.桌布.圖庫.笑話.影片.星座.下載.動漫畫.免費留言板申請E(/I 二、木馬攻擊原理cHt
特洛伊木馬是一個程式，它駐留在目標電腦裡，可以隨電腦自動啟動並在某一連接進行偵聽，在對接收的資料識別後，對目標電腦執行特定的****作。

木馬，其實只是一個使用連接進行通訊的網路客戶/伺服器程式。

e2/
基本概念：網路客戶/伺服器模式的原理是一台主機提供伺服器(伺服端)，另一台主機接受伺服器(客戶端)。

作為伺服端的主機一般會開啟一個預設的連接埠並進行監聽(Listen)，如果有客戶端向伺服端的這一連接埠提出連接請求(Connect Request)，伺服端上的相對應程式就會自動執行，來回覆客戶端的請求。

對於特洛伊木馬，被控制端就成為一台伺服器。

DJ
©摩尼BBS網路社區-- 音樂.歌詞.小遊戲.MTV.桌布.圖庫.笑話.影片.星座.下載.動漫畫.免費留言板申請
G5 iCf
三、特洛伊木馬隱身方法=
木馬程式會想盡一切辦法隱藏自己，主要途徑有：在工作程序中隱形：將程式設為「系統伺服器」可以偽裝自己。

當然它也會悄無聲息地啟動，木馬會在每次使用者啟動時自動載入伺服器端，Windows系統啟動時自動載入應用程式的方法，「木馬」都會用上，如：win.ini、system.ini、註冊表等等都是「木馬」藏身的好地方。

/x$l_
在win.ini檔案中，在[WINDOWS]下面，「run=」和「load=」是可能載入「木馬」程式的途徑，一般情況下，它們的等號後面什麼都沒有，如果發現後面跟有路徑與檔案名稱不是您熟悉的啟動檔案，電腦就可能中「木馬」了。

當然也得看清楚，因為好多「木馬」，如「AOL Trojan木馬」，它把自身偽裝成command.exe 檔案，如果不注意可能不會發現它不是真正的系統啟動檔案。

g(hmry
在system.ini檔案中，在[BOOT]下面有個「shell=檔案名稱」。

正確的檔案名稱應該是「explorer.exe」，如果不是「explorer.exe」，而是「shell= explorer.exe 程式名」，那麼後面跟著的那個程式就是「木馬」程式，就是說已經中「木馬」了。

H
在註冊表中的情況最複雜，使用regedit指令開啟註冊表編輯器，在點擊至：「HKEY－LOCAL－MACHINE \Software \Microsoft \Windows \Current Version \Run」目錄下，檢視鍵值中有沒有自己不熟悉的自動啟動檔案，副檔名為EXE，這裡切記：有的「木馬」程式產生的檔案很像系統自身檔案，想使用偽裝矇混過關，如「Acid Battery v1.0木馬」，它將註冊表「HKEY－LOCAL－MACHINE \SOFTWARE
\Microsoft\Windows\CurrentVersion\Run」下的Explorer 鍵值改為Explorer =
「C:\WINDOWS\expiorer.exe」，「木馬」程式與真正的Explorer之間只有「i」與「l」的差別。

當然在註冊表中還有很多地方都可以隱藏「木馬」程式，如：['4
「HKEY－CURRENT－USER＼Software＼Microsoft＼Windows＼CurrentVersion＼Run」、y~
「HKEY－USERS＼Software＼Microsoft＼Windows＼CurrentVersion＼Run」T00w
的目錄下都有可能，最好的辦法就是在]"1=89
「HKEY－LOCAL－MACHINE＼Software＼Microsoft＼Windows＼CurrentVersion＼Run」sg>
下找到「木馬」程式的檔案名稱，再在整個註冊表中搜尋即可。

<
目前，除了上面介紹的隱身技術外，更新、更隱蔽的方法已經出現，那就是-驅動程式及動態連結技術。

驅動程式及動態連結技術和一般的木馬不同，它基本上擺脫了原有的木馬模式-監聽連接，而採用替代系統功能的方法（覆寫驅動程式或動態連結）。

這樣做的結果是：系統中沒有增加新的檔案（所以不能用掃瞄的方法搜尋）、不需要開啟新的連接（所以不能用連接監視的方法搜尋）、沒有新的程序（所以使用程序檢視的方法發現不了它，也不能用kill程序的方法終止它的執行）。

在正常執行時木馬幾乎沒有任何的症狀，而一旦木馬的控制端向被控端發出特定的訊息後，隱藏的程式就立即開始運作。

6
1.連接埠掃瞄M]
連接埠掃瞄是檢查遠端機器有無木馬的最好辦法，連接埠掃瞄的原理非常簡單，掃瞄程式嘗試連接某個連接埠，如果成功，則說明連接埠開放，如果失敗或超過某個特定的時間(逾時)，則說明連接埠關閉。

但對於驅動程式/動態連結木馬，掃瞄連接是不起作用的。

A
2.檢視連接''#>
檢視連接埠和連接掃瞄的原理基本相同，不過是在本地電腦上使用netstat -a檢視所有的TCP/UDP連接，檢視連接要比連接埠掃瞄快，但同樣是無法查出驅動程式/動態連結木馬，而且僅能在本地電腦使用。

Mq}
3.檢查註冊表o
上面在討論木馬的啟動方式時已經提到，木馬可以使用註冊表啟動（現在大部分的木馬都是使用註冊表啟動的，至少也把註冊表作為一個自我保護的方式），那麼，我們同樣可以使用檢查註冊表來發現木馬在註冊表裡留下的痕跡。

o\
4.尋找檔案TH%
尋找木馬特定的檔案也是一個常用的方法，木馬的一個特徵檔案是kernl32.exe，另一個是sysexlpr.exe，只要刪除了這兩個檔案，木馬就已經不起作用了。

cS
G_Client.exe客戶漂啟新的連接（所以不能用連接監視的方法搜尋）、沒有新的程序（所以使用程序檢視的方法發現不了它，也不能用kill程序的方法終止它的執行）。

在正常執行時木馬幾乎沒有任何的症狀，而
一旦木馬的控制端向被控端發出特定的訊息後，隱藏的程式就立即開始運作。