木马隐蔽技术分析及检测
木马分析
5.5木马技术5.5.1 木马技术概述木马的全称是“特洛伊木马”（Trojan horse），来源于希腊神话。
古希腊围攻特洛伊城多年无法攻下，于是有人献出木马计策，让士兵藏匿于巨大的木马中，然后佯作退兵，城中得知解围的消息后，将“木马”作为战利品拖入城内，匿于木马中的将士出来开启城门，与城外部队里应外合攻下特洛伊城，后世称这只大木马为“特洛伊木马”。
网络世界的特洛伊木马是指隐藏在正常程序中的一段具有特殊功能的恶意代码，是具备破坏和删除文件、发送密码、记录键盘和DoS攻击等特殊功能的后门程序。
它与控制主机之间建立起连接，使得控制者能够通过网络控制受害系统，通信遵照TCP/IP协议，最大的特征在于隐秘性，偷偷混入对方的主机里面，但是却没有被对方发现。
就象一个潜入敌方的间谍，为其他人的攻击打开后门，这与战争中的木马战术十分相似，因而得名木马程序。
实际上计算机网络木马不但可以窃取、破坏被植入主机的信息，而且可以通过控制主机来攻击网络中的其它主机。
木马程序不仅可能侵害到个人乃至某些公司的利益和权力，更可能危及整个社会和国家的利益和安全。
如果公安部用于采集处理人们身份证信息的计算机被安装了木马，那么这些信息就可能被木马以有线或无线的方式通过网络泄露出去，后果不堪设想。
木马是受控的，它能分清敌我，所以与分不清敌我的其它病毒和攻击技术相比，具有更大的危险性和破坏性。
木马是近几年比较流行的危害程度较严重的恶意软件，常被用作网络系统入侵的重要工具和手段。
2008年金山病毒报告监测显示，木马攻击占当前网络病毒的70%以上，已经成为当前网络危害最严重的网络病毒。
网络上各种“种马”技术加剧了木马的流行和发展，由于木马控制了被植入者的计算机，它几乎可以在被植入主机上为所欲为，破坏程度非常巨大，可以窃取账号密码、删除文件、格式化磁盘，甚至可以打开摄像头进行偷窥等；木马往往又被用做后门，植入被攻击的系统，以便为入侵者再次访问系统提供方便；或者利用被入侵的系统，通过欺骗合法用户的某种方式暗中“散发”木马，以便进一步扩大入侵成果和入侵范围，为进行其它入侵活动，如分布式拒绝服务攻击（DDoS）等提供可能。
信息安全恶意代码检测与分析
信息安全恶意代码检测与分析在当今数字化的时代，信息安全成为了至关重要的问题。
恶意代码如同隐藏在数字世界中的“毒瘤”，时刻威胁着个人用户、企业甚至整个社会的信息安全。
了解恶意代码的检测与分析方法，对于保护我们的信息资产具有极其重要的意义。
恶意代码，简单来说，就是一段能够对计算机系统或网络造成损害、窃取敏感信息或者执行其他非法操作的程序代码。
它可以以多种形式存在，比如病毒、蠕虫、木马、间谍软件、勒索软件等等。
这些恶意代码的传播途径也是五花八门，常见的有网络下载、电子邮件附件、移动存储设备、软件漏洞利用等。
那么，如何检测这些恶意代码呢？首先，基于特征的检测方法是较为常见的一种。
这种方法就像是通过“指纹”来识别罪犯一样。
安全研究人员会对已知的恶意代码进行分析，提取出其独特的特征码，比如特定的代码片段、文件结构等。
然后，安全软件会在系统中扫描文件，将其与已知的特征码进行比对。
如果匹配成功，就可以判定为恶意代码。
但这种方法有一个明显的缺点，那就是对于新出现的、尚未被收录特征码的恶意代码可能会无能为力。
另一种检测方法是基于行为的检测。
它关注的是程序的运行行为。
通过监控程序在系统中的操作，比如对系统文件的修改、网络连接的建立、注册表的更改等，如果发现异常或者可疑的行为，就会发出警报。
这种方法对于检测未知的恶意代码具有一定的优势，因为无论恶意代码如何变化，其恶意行为往往具有一定的共性。
还有一种基于启发式的检测方法。
它不像基于特征的检测那样依赖于已知的特征，也不像基于行为的检测那样需要实时监控。
启发式检测通过一些规则和算法，对程序的代码结构、逻辑等进行分析，评估其潜在的风险。
如果某个程序的某些特征符合恶意代码的常见模式，就会被标记为可疑。
在恶意代码检测的过程中，沙箱技术也是一种常用的手段。
沙箱就像是一个隔离的“实验场”，将可疑的程序放入其中运行，观察其行为而不会对真实的系统造成影响。
如果在沙箱中发现了恶意行为，就可以确定该程序为恶意代码。
木马型网络攻击技术分析
木马型网络攻击技术分析作者：谭博伦来源：《商品与质量·消费视点》2013年第10期摘要：随着科学技术的进步与发展，人类社会正在向网络社会迈进，人们的生活已经和网络产生了密不可分的关系，各个领域的进步与发展也都离不开网络技术，人们的决策已经越来越依赖于信息技术，它也使得信息站成为可能。
信息站将成为未来战争的一个新兴的形式之一，它的涉及面非常广，既可以破坏军事指挥，武器控制等，还可以使得诸如金融、商业、电力等遭受破坏。
而目前应用最广的病为人所知程度最广的就是木马病毒所造成的对于网络的攻击。
在这个背景之下，对于木马型网络攻击技术的分析和研究具有重要的现实意义。
关键词：木马型；网络攻击；技术分析网络攻击是指攻击者利用各种控制计算机的攻击手段通过网络技术实现对目标主机系统发动攻击，旨在破坏对方的网络系统或是获取更多有价值的信息。
伴随着科技的日益更新和发展，网络攻击技术的发展也呈现出自动化、快速化、动态化的发展趋势。
本文将通过两个方面对当前的木马型网络攻击技术进行分析，一方面是对于木马进行简单论述，另一方面是对木马型网络攻击技术的实现的关键技术进行介绍。
一、木马的简要介绍所谓计算机木马其实是源于古希腊中的特洛伊木马的故事，木马病毒是一种隐藏在计算机网络中的一种可以在毫无察觉的情况下对受害系统进行破坏或窃取的病毒。
与一般的病毒一样，木马病毒也是从Unix平台中产生的，直接作用于常见的Windows操作系统中。
截至目前为止，木马程序已经更新了好几代，它的危害性和隐藏的密闭性也在不断的提高，目前木马主要包括以下几种类型：远程控制型；密码发送型；键盘记录型；毁坏型；FTP型。
它们主要是根据木马对于计算机的具体动作形式来进行划分的。
据不完全统计，当前世界上木马已有好几千种，它们虽然都是通过程序实现，但是由于运行的环境的差异性，它们所发生的作用也不尽相同。
木马具有隐蔽性、欺骗性、自动恢复性、功能的特殊性。
它们都是木马的基本特征。
硬件木马的分析与检测
硬件木马的分析与检测糜旗;胡麒;徐超;殷睿【期刊名称】《计算机与现代化》【年(卷),期】2012(0)11【摘要】Nowadays the possibility of implanting hardware trojan in chip during the design and manufacturing process is growing higher and higher. In order to avoid large-scales hardware trojan attack, this paper elaborates detailedly the hazard, conception, classification and technical background of hardware trojan, introduces four currently popular hardware trojan detection methods, also gives recommendations for these feasibility methods.%现在芯片在设计或制造过程中被植入硬件木马的可能性越来越大.为了避免发生大规模硬件木马的攻击,本文对硬件木马的危害、概念、分类和技术背景进行详细的阐述,同时介绍如今流行的4种硬件木马分析检测方法,并给出可行性方法的建议.【总页数】4页(P155-157,170)【作者】糜旗;胡麒;徐超;殷睿【作者单位】中国航天科技集团公司第八研究院上海航天动力技术研究所,上海201109;中国航天科技集团公司第八研究院上海航天动力技术研究所,上海201109;中国航天科技集团公司第八研究院上海航天动力技术研究所,上海201109;中国航天科技集团公司第八研究院上海航天动力技术研究所,上海201109【正文语种】中文【中图分类】TP309.5【相关文献】1.改进边界Fisher分析近邻选择的硬件木马检测 [J], 王晓晗; 王韬; 张阳; 刘广凯2.关于硬件木马电路检测技术分析及发展趋势探讨 [J], 陆希宝3.SVM算法在硬件木马旁路分析检测中的应用 [J], 佟鑫;李莹;陈岚4.用于硬件木马检测的电磁辐射分析方法研究 [J], 唐永康;胡星;苏颋;李少青5.基于电路结构分析的集成模型检测硬件木马 [J], 李鑫;李海明;马健因版权原因，仅展示原文概要，查看原文内容请购买。
网络安全中的恶意代码分析与检测技术研究
网络安全中的恶意代码分析与检测技术研究随着互联网的发展，人们越来越离不开网络，网络也渗透到了我们生活的方方面面。
但是，网络也带来了一定的危险。
网络黑客、病毒、恶意软件等安全威胁不断涌现，给我们的生活带来了巨大的威胁。
其中，恶意软件是网络安全领域中的一种非常特殊和致命的威胁，极大地威胁到了我们的个人信息安全。
为了保护网络安全、防止恶意软件威胁我们的安全，开展网络安全中的恶意代码分析与检测技术研究至关重要。
恶意软件是指能在计算机系统中隐藏其存在，对计算机系统造成损害或盗窃用户私人信息的程序。
比如，病毒、蠕虫、木马、间谍软件等。
它们具有破坏性和隐蔽性。
比如，木马可以通过盗窃用户账户密码、信息等方式造成损失，而间谍软件则可以监测用户的所有行为并将其发送给黑客，形成了一个非常恶劣的环境。
为了保障个人或企业的信息安全，我们需要对恶意软件进行及时分析和检测。
恶意代码分析是指对恶意代码进行逆向分析，以发现和修补其安全漏洞。
通过恶意软件分析，我们可以快速了解其行为，分析其代码结构、功能和应用场景，最终确定其攻击方式和灰度级别。
目前，恶意代码分析有许多技术方法，包括静态分析和动态分析、签名检测和行为分析等。
其中，动态分析研究得比较多，因为它能及时捕获系统中的恶意软件。
动态分析是将恶意代码部署到虚拟机上，模拟运行其整个流程，并抓取代码中产生的恶意行为和反应。
动态分析主要包括窥探技术和沙盒技术两种方法。
窥探技术主要是通过钩子函数追踪恶意代码的系统调用，从而获取恶意代码的具体行为和特征。
沙盒技术则是将恶意代码运行在一个虚拟机中，从而对恶意代码进行分析、跟踪和监测。
通过这些技术，我们可以快速发现恶意代码中的漏洞和风险，及时修补和预防恶意软件的攻击。
检测技术是指对恶意代码进行检测和处理，保护计算机系统的安全。
恶意代码检测技术的研究重点是如何检测、判断和去除恶意代码，以保障计算机系统的安全。
恶意代码的检测有许多方法，包括传统的病毒扫描、行为检测、混合检测、机器学习等。
特洛伊木马攻击分析与检测技术研究
本 进 程 与 端 口之 间 的映 射 ， 同时 扫 描 注 册 表 ，扫 描 系统 的 是 典 型代 表之 一 ；
Ｉ 文 件等 几种 方 法相 结合 ，实现 了一 个 检测 特洛 伊 木马 ＮＩ 攻 击 的工具 ，能够 检 测各类 利 用 ＴＣＰ、ＵＤＰ等 进行 通讯 的木 马 ，加强 了 网络安 全 。
—
侵。
许 多黑 客软 件 在 注册 表 中 将 木 马 程 序 设 置 为 自动 运 行 。而在 注册 表 中可设 置 成 自动运 行 的方法 有三 类 ：
（ ）一 进 入 Ｗ ｉｄ ｗｓ 自动运 行 ，这 是最 常 见的项 ， １ ｎｏ 就
也 是许 多对 注册 表 了 解 的 Ｗ ｉ ｎｄｏ 用 户 所熟 知 的地方 。 ｗｓ
（） 在 任务 管 理 器 中 出现 一些 陌 生且 奇 怪 的 进程 名 ， ４
它们 明 显不 应该 出现 在这 里 。
出现 上述 现 象 ， 明用 户计 算机 有可 能 中 了木 马 ，当 说 然 ， 有可 能 是其 他病 毒在 作怪 。 洛 伊 木马具 有 隐蔽性 ， 也 特 这 是 木马程 序 的一 大特 点 ，同时也 是 它与 远程控 制 类软 件
例如：
Ｈ Ｋ ＥＹ —Ｌ ０ Ｃ Ａ Ｌ—Ｍ Ａ Ｃ Ｈ Ｉ Ｅ＼Ｓ０ ＦＥ Ｗ Ａ Ｒ Ｅ ＼ Ｎ Ｍ ｉｒ ｓ ｆ ｉ ｏ ｓ ｃ ｏ ｏ Ｗ ｎｄ ｗ ＼Ｃｕｒｅ ｔ ｒ ｉｎ＼Ｒｕ ｒ ｎ Ｖｅ ｓｏ ｎ。
特 洛伊 木 马 是一 种基 于 Ｃ／Ｓ架 构 的 网络 通信 软件 ，
一
（）计算 机 有时 死机 ， 时又 重新 启动 ； １ 有 （）莫名其妙地 读写硬盘或软 驱 ， 驱莫名其妙地开 仓 ２ 光 （） 用户 并没 有 运 行大 的程 序 ， ３ 系统速 度 变慢 ， 系统
木马隐蔽技术分析及检测
畸形报文传递 、Ｈ Ｔ 隧道技术 ， 自定义Ｔ Ｐ Ｕ Ｐ ＴＰ Ｃ ／ Ｄ 报文 等。采用网络隐蔽通道技术，如果选用一般安全策略都 允许的端 口通信，如８ 端口。木马技术利用防火墙允许 Ｏ 从机器向网外发出连接 的这一特点，将木马服务器端植
入 目标机 器 ，隐藏 在 目标机 器 内部 ，而 木马客 户端 的监 听端 口开在 ８ 或２ 端 口。被植 入 到 目标 机器 的木 马服 务 Ｏ １ 器端会 定 期或 不定 期地 访 问一个 提前 设定 的个 人主 页 空 间 。如 果木 马 客户 端程 序想 连接 木 马服 务器端 时 ，则会 在 此主 页空 间设 置一 个标 志文 件 。一旦 木马 客户 端 想与
检 测 方法 。
关键词： 木马
隐藏技术
网络安全
木马技术发展至今，已经不再只是简单的客户及服 务器程序 ，它涉及到了系统及网络安全的方方面面，对 于许多高级木马技术的研究，是对 网络环境及系统实现 中各种安全机制的重新审视，因此，对木马的开发技术 做一次彻底的透视 ，从了解木马技术开始，更加安全地
进行隐藏处理。
１ ．本地 隐藏
据 ，增加了查杀的难度。第四代木马在进程隐藏方面， 做了大的改动，采用 了内核插入式的嵌入方式，利用远
程 插 入线 程技 术 ，嵌 入 Ｄ Ｌ 程 ；或 者 挂接 Ｐ Ａ Ｉ Ｌ线 Ｓ Ｐ ，实 现 木 马程序 的 隐藏 ，甚至 在Ｗ ｎ ｏ ｓ Ｎ ／ ０ ０ ，都 达 ｉ ｄ ｗ Ｔ ２ ０ 下 到 了 良好 的 隐藏 效 果 。
ｐ ｏ ｒ ｍ ＼ ｔ ｒ ｕ 。要注 意经 常检 查这 两 个地 方 。 ｒ ｇ ａ ｓ ｓａ ｔｐ ３ 检 查Ｗ ． ｎ 、Ａ ｔ ｅ ｅ ． ａ 以及 Ｓ ｔ ｍ ． ｉ ｉｉ ｕ ｏｘ ｃｂ ｔ ｎ ＹＳ ｅ ．
网络安全中的恶意软件检测技术与解决方案
网络安全中的恶意软件检测技术与解决方案恶意软件是指那些具有恶意目的并能够对计算机系统造成破坏、窃取信息或控制系统的软件。
它们可能以各种形式存在，比如病毒、蠕虫、木马、广告软件等。
恶意软件的增加和进化给用户的网络安全带来了巨大的威胁，因此实施恶意软件检测技术和采取相应的解决方案变得尤为重要。
恶意软件检测技术是指通过识别潜在的恶意软件来保护计算机系统和网络安全。
它主要分为静态检测和动态检测两种方式。
静态检测是指在不运行软件或代码的情况下对文件进行检测，通过分析文件的特征、行为和模式来判断是否存在恶意代码。
常用的静态检测技术包括特征匹配、行为分析和模式检测。
特征匹配是一种基于已知病毒特征库的检测方法，它通过比对文件的特征信息和已知的恶意软件的特征来进行检测。
特征可以是文件的哈希值、文件名、文件类型等。
但这种方法对于新出现的恶意软件无法进行有效的检测。
行为分析是通过分析软件在运行过程中的行为来判断是否存在恶意代码。
它可以监视软件访问文件、注册表、网络等行为，并根据事先设定的规则进行分析和判断。
这种方法可以有效地检测出变种和未知的恶意软件，但也容易产生误报。
模式检测是通过分析文件中的特定模式或规则来判断是否存在恶意代码。
这种方法主要基于正则表达式或模式匹配算法，通过匹配恶意软件的特定模式来进行检测。
但模式检测只能检测出已知的恶意软件，对于变种和未知的恶意软件无效。
动态检测是指在运行软件或代码的过程中进行检测，通过监控软件执行过程中产生的行为和特征来判断是否存在恶意代码。
常用的动态检测技术包括行为模式分析、异常检测和沙箱检测。
行为模式分析是通过分析软件在运行过程中的行为模式来判断是否存在恶意代码。
它可以监视软件的文件访问、网络连接、注册表操作等行为，并根据事先设定的规则进行分析。
这种方法可以检测出变种和未知的恶意软件，但也容易受到恶意软件自身的对抗。
异常检测是通过分析软件执行过程中的异常行为来判断是否存在恶意代码。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
26
E-mail:cmee@
木马技术发展至今，已经不再只是简单的客户及服 务器程序，它涉及到了系统及网络安全的方方面面，对 于许多高级木马技术的研究，是对网络环境及系统实现 中各种安全机制的重新审视，因此，对木马的开发技术 做一次彻底的透视，从了解木马技术开始，更加安全地 管理好自己的计算机显得尤为重要。
为客户端和服务端。其原理是一台主机提供服务，另一 台主机接受服务，作为服务器的主机一般会打开一个默 认的端口进行监听。如果有客户机向服务器的这一端口 提出连接请求，服务器上的相应程序就会自动运行，来 应答客户机的请求。这个程序被称为守护进程。当攻击 者要利用木马进行网络入侵，一般都要完成“向目标主 机传播木马”，“启动和隐藏木马”，“建立连接”， “远程控制”等环节。
二、木马的实现原理
从本质上看，木马都是网络客户／服务模式，它分
收 稿 日 期 ：２ ０ ０ ６ － １ １ － ０ ３ 作 者 简 介 ： 盖凌云， 女， 工程师。
采用网络隐蔽通道技术不仅可以成功地隐藏通信内 容，还可以隐藏通信信道。ＴＣＰ／ＩＰ协议族中，有许多
E-mail:cmee@
25
２ ０ ０ ７年第５ 期（ 总第５１ 期）
信息冗余可用于建立网络隐蔽通道。木马可以利用这些 网络隐蔽通道突破网络安全机制，比较常见的有：ＩＣＭＰ 畸形报文传递、ＨＴＴＰ隧道技术，自定义ＴＣＰ／ＵＤＰ报文 等。采用网络隐蔽通道技术，如果选用一般安全策略都 允许的端口通信，如８０端口。木马技术利用防火墙允许 从机器向网外发出连接的这一特点，将木马服务器端植 入目标机器，隐藏在目标机器内部，而木马客户端的监 听端口开在８０或２１端口。被植入到目标机器的木马服务 器端会定期或不定期地访问一个提前设定的个人主页空 间。如果木马客户端程序想连接木马服务器端时，则会 在此主页空间设置一个标志文件。一旦木马客户端想与 木马服务端建立连接时，通过主页空间上的文件实现： 将自己的ＩＰ地址写到主页空间的该指定文件里，并打开 端口监听，等待木马服务端的连接，木马服务端定期或 不定期读取这个文件的内容，就可得到客户端的ＩＰ 地 址，然后就向木马客户端程序的８０或２１端口发起主动连 接，而攻击者的本机是被动接受连接的。由于木马使用 的是系统信任的端口，系统会认为木马是普通应用程 序，而不对其连接进行检查。防火墙在处理内部发出的 连接时，也就信任了反弹木马。木马则可轻易穿透防火 墙和避过入侵检测系统等安全机制的检测，从而具有很 强的隐蔽性。 变换数据包顺序也可以实现通信隐藏。对于传输ｎ 个对象的通信，可以有ｎ ！ 种传输顺序，总共可以表示 ｌｏｇ２（ｎ！）比特位的信息。但是该方法对网络传输质量 要求较高，接收方应能按照数据包发送的顺序接收。这 种通信隐藏方式具有不必修改数据包内容的优点。 ３．协同隐藏 协同隐藏是指木马为了能更好地实现隐藏，达到长 期潜伏的目的，通常融合多种隐藏技术，多个木马或多 个木马部件协同工作，保证木马的整体隐藏能力。 ２． 检查启动组：木马如果隐藏在启动组虽然不是 十分隐蔽，但这里的确是自动加载运行的好场所。启动 组对应的文件夹为：Ｃ：＼ｗｉｎｄｏｗｓ＼ｓｔａｒｔ ｍｅｎｕ＼ｐｒｏｇ ｒａｍｓ＼ｓｔａｒｔｕｐ，在注册表中的位置：ＨＫＥＹ＿ＣＵＲＲＥＮＴ＿ ＵＳＥＲ＼Ｓｏｆｔｗａｒｅ＼Ｍｉｃｒｏｓｏｆｔ＼Ｗｉｎｄｏｗｓ＼ＣｕｒｒｅｎｔＶｅｒｓｉｏｎ＼Ｅｘｐｌｏｒｅｒ＼Ｓｈｅｌｌ Ｆｏｌｄｅｒｓ Ｓｔａｒｔｕｐ＝＂Ｃ：＼ｗｉｎｄｏｗｓ＼ｓｔａｒｔ ｍｅｎｕ＼ ｐｒｏｇｒａｍｓ＼ｓｔａｒｔｕｐ＂。要注意经常检查这两个地方。 ３．检查Ｗｉｎ．ｉｎｉ 、Ａ ｕ ｔ ｏ ｅ ｘ ｅ ｃ ． ｂ ａ ｔ 以及Ｓｙｓｔｅｍ． ｉｎｉ：Ｗｉｎ．ｉｎｉ的［Ｗｉｎｄｏｗｓ］下的ｌｏａｄ和ｒｕｎ后面在正常 情况下不跟什么程序，如果有了就需要注意；在 Ｓｙｓｔｅｍ．ｉｎｉ的［ｂｏｏｔ］节的Ｓｈｅｌｌ＝Ｅｘｐｌｏｒｅｒ．ｅｘｅ 后面 也是加载木马的好场所，因此也要注意。当 Ｓｈｅｌｌ＝Ｅｘｐｌｏｒｅｒ．ｅｘｅ ｗｉｎｄ０ｗｓ．ｅｘｅ时，请ｗｉｎｄ０ｗｓ． ｅｘｅ很有可能就是木马服务端程序。要注意检查。 ４．如果是ＥＸＥ文件启动，那么运行这个程序，看木 马是否被装入内存，端口是否打开。如果是的话，则说 明是该文件启动木马程序，或是该文件捆绑了木马程 序，需重新安装程序。 ５． 木马启动都有一个方式，它只是在一个特定的 情况下启动，所以，平时多注意一下你的端口，查看一 下正在运行的程序，用此来监测大部分木马应该没问 题。
一、木马程序的分类
木马程序技术发展至今，已经经历了四代，第一代 是简单的密码窃取、发送等。第二代木马在技术上有了 很大的进步，“冰河”可以说为是国内木马的典型代表 之一。第三代木马在数据传递技术上，又做了不小的改 进，出现了Ｉ Ｃ Ｍ Ｐ等类型的木马，利用畸形报文传递数 据，增加了查杀的难度。第四代木马在进程隐藏方面， 做了大的改动，采用了内核插入式的嵌入方式，利用远 程插入线程技术，嵌入ＤＬＬ线程；或者挂接ＰＳＡＰＩ，实 现木马程序的隐藏，甚至在Ｗｉｎｄｏｗｓ ＮＴ／２０００下，都达 到了良好的隐藏效果。２００７年第５期（总第５来自期）木马隐蔽技术分析及检测
盖凌云 黄树来
（莱阳农学院 山东青岛 266109）
摘 要 ： 木马作为一种计算机网络病毒，对计算机信息资源构成了极大危害。研究木马技术，对防范木马 攻击，减少网络破坏有重要的意义。文章分析了木马的关键技术— 隐藏技术，提出了对木马病毒的有效的 检测方法。 关 键 词 ： 木马 隐藏技术 网络安全
三、木马程序的隐藏技术
木马程序的服务器端，为了避免被发现，多数都要 进行隐藏处理。 １．本地隐藏 本地隐藏是指木马为防止被本地用户发现而采取的 隐藏手段，主要采用将木马隐藏在合法程序中；修改或 替换相应的检测程序，对有关木马的输出信息进行隐蔽 处理；利用检测程序本身的工作机制或缺陷巧妙地避过 木马检测。 ２．通信隐藏 木马常用的通信隐藏方法是对传输内容加密，这可 以采用常见／自定义的加密、解密算法实现，这只能隐 藏通信内容，无法隐藏通信信道。
五、结束语
木马的存在需要引起广大用户的警惕和注意，它是 用户面临的众多安全威胁中的一种，给我们带来了经济 损失和信息泄露的风险。防范各种网络安全威胁，需要 用户的整体合作。
四 、木 马 检测
１．检查注册表：看ＨＫＥＹ＿ＬＯＣＡＬ＿ＭＡＣＨＩＮＥ＼ＳＯＦＴＷ ＡＲＥ＼Ｍｉｃｒｏｓｏｆｔ＼Ｗｉｎｄｏｗｓ＼Ｃｕｒｒｅｎ Ｖｅｒｓｉｏｎ和 ＨＫＥＹ＿ＣＵＲＲＥＮＴ＿ＵＳＥＲ＼Ｓｏｆｔｗａｒｅ＼Ｍｉｃｒｏｓｏｆｔ＼Ｗｉｎｄｏｗｓ＼ＣｕｒｒｅｎｔＶｅｒｓｉｏｎ 下，所有以”Ｒｕｎ”开头的键值名，其下有没有可疑的 文件名。如果有，就需要删除相应的键值，再删除相应 的应用程序。
参考文献 ［１］Ａｈｓａｎ Ｋ，Ｋｕｎｄｕｒ Ｄ． Ｐｒａｃｔｉｃａｌ ｄａｔａ ｈｉｄｉｎｇ ｉｎ ＴＣＰ／ＩＰ［Ｃ］．Ｉｎ： Ｐｒｏｃ Ｗｏｒｋｓｈｏｐ ｏｎ Ｍｕｌｔｉｍｅｄｉａ Ｓｅｃｕｒｉｔｙ ａｔ ＡＣＭ Ｍｕｌｔｉｍｅｄｉａ，Ｆｒｅｎｃｈ Ｒｉｖｉｅｒａ， ２００２ ［ ２ ］ 王伟兵． 现代木马技术的分析与研究［ Ｊ ］ ． 网 络安全技术与应用， ２ ０ ０ ６ ， １ ０