实验2--灰鸽子
实验13 木马捆绑与隐藏
木马捆绑与隐藏12.2.1 背景描述木马并不是合法的网络服务程序，如果单纯以本来面目出现，很容易被网络用户识别。
为了不被别人发现，木马制造者必须想方设法改换面貌；为了诱使网络用户下载并执行它，黑客将木马程序混合在合法的程序里面，潜入用户主机。
在受害主机里，为了逃避杀毒软件的查杀，木马也会将自己“乔装打扮”；为了防止用户将其从系统里揪出来，木马则采取一切可能的手法进行隐藏自己。
总之，现在的木马制造者是越来越狡猾，他们常用文件捆绑的方法，将木马捆绑到图像、纯文本等常见的文件中，然后通过网页、QQ、Email 或MSN 等将这些文件传送给受害者，而用户一旦不慎打开这些文件，木马就自动执行了，主机就中木马了。
12.2.2 工作原理1．木马捆绑木马捆绑即是文件捆绑，黑客将木马或者病毒等恶意程序与其它正常文件组合成的一个整体。
这是一种最简单也是最可行和最常用的一种方法，当受害者下载并运行捆绑了木马等恶意程序的文件时，其中的木马等恶意程序就会被激活。
木马捆绑的手段归纳起来共有四种：（1）利用捆绑机软件和文件合并软件捆绑木马；（2）利用WINRAR、WINZIP 等软件制作自解压捆绑木马；（3）利用软件打包软件制作捆绑木马；（4）利用多媒体影音文件传播。
2．木马隐藏隐藏是一切恶意程序生存之本。
以下是木马的几种隐藏手段：（1）进程隐蔽：伪隐藏，就是指程序的进程仍然存在，只不过是让它消失在进程列表里。
真隐藏则是让程序彻底的消失，不以一个进程或者服务的方式工作，做为一个线程，一个其他应用程序的线程，把自身注入其他应用程序的地址空间。
（2）伪装成图像文件：即将木马图标修改成图像文件图标。
（3）伪装成应用程序扩展组件：将木马程序写成任何类型的文件（如dll,ocx等），然后挂在十分出名的软件中。
因为人们一般不怀疑这些软件。
（4）错觉欺骗：利用人的错觉，例如故意混淆文件名中的1（数字）与l（L的小写）、0（数字）与o（字母）或O（字母）。
实验六_网络攻击与防范
《网络攻击与防范》实验报告（２）单击“下一步”按钮·进人如图 4-2 所示的“禁止功能选项”设定界面.根据需要进行设定。
例如。
如果选中“禁止右键菜单”复选框.当运行了该病毒后.右击时将无法弹出快捷菜单。
图 4-2 设置“禁止功能选项”（３）单击“下一步”按钮.进入如图 4-3 所示的“病毒提示对话框”设定界面时。
根据需要设置有关开机时病毒的执行情况。
当选中“设置开机提示对话框”复选框.并设置了提示框标题和内容等后，相关信息将以对话框方式在开机时自动显示图4-3 设置开机时病毒的执行情况（４）单击“下一步”按钮，进入如图 4-4 所示的“病毒传播选项”设定界面,根据需要进行设定。
当选中“通过电子邮件进行自动传播(蠕虫)”复选框时.病毒可以向指定数量的用户发送垃圾邮件。
图4-3 设置开机时病毒的执行情况下一步夏上一步图4-4“病毒传播选项”设定界面（５）单击“下一步”按钮，进入“IE 修改选项”设定界面,根据需要进行设定。
注意.当选中“设置默认主页”复选框后，会弹出“设置主页”对话框,需要读者输人要修改的IE 浏览器主页地址(即每次打开IE 浏览器时默认打开的主页地址).如图 4-5 所示图4-5设置IE浏览器修改选项（6）单击“下一步”按钮，在出现的如图 4-6 所示的对话框中选择所生成的脚本病毒存放的位置,单击“开始制造”按钮,生成病毒文件。
图4-6选择所生成的脚本病毒存放的位置此时,可看到相应路径下,已经生成了脚本病毒文件3.2感染病毒并观察感染后的系统变化情况（１）将生成的脚本病毒文件置于虚拟机中,在其上双击使之运行。
为保证完整准确地查看病毒的感染效果.可重启已经感染了病毒的虚拟机系统。
然后，根据病毒文件生成时的设置，观察系统感染了病毒后的表现情况。
主要操作步骤如下。
（２）观察系统文件夹下的异常变化，可以发现，在 C:\ Windows,C:\Windows\system32下多了不明来源的脚本文件。
李玲玉1006400111
江苏经贸职业技术学院
实验报告
(2011/2012 学年第二学期)
系部信息技术系
课程名称网络安全技术
学生姓名
学号
班级10网络（数码）
指导教师
二00六年二月制
上启用远程桌面服务，C2用远程桌面连接客户端登录到S1，观察远控效果；上开启灰鸽子木马客户端，配置出一个专供自己使用的灰鸽子服务器端，
三、实验步骤:
4.在S1上启用远程桌面服务，C2用远程桌面连接客户端登录到S1，观察远控效果；XP远程登录到2003
2003远程登录到XP
在C2上开启灰鸽子木马客户端，配置出一个专供自己使用的灰鸽子服务器端，让S1运行木马服务器端，等待它自动上线后进行各种远程控制，观察效果；
四、实验中遇到的问题及解决方法：。
(整理)灰鸽子远程控制完整详细教程
灰鸽子远程控制完整详细教程（考虑到灰鸽子技术性较强和传插黑客技术要低调，将网络人远程控制教程放第一部份，灰鸽子教程放在了文章后面第二部份，请大家耐心观看）第一部份：网络人远程监控软件Netman监控版详细安装方法：1.要实现远程监控控制，双方都要安装Netman监控版，双方电脑的安装方法一样，控制端同时也是被控端，只要知道ID和密码，双方可以互相控制。
2.下载软件解压缩后，双击“Netman监控版.EXE”，软件默认安装路径为“C:\Program Files\Netman”，可以自己修改，但安装路径需要记住，因为启动软件桌面上不会新建快捷方式，需要自己进入安装文件夹，双击iexplore.exe启动软件，这时会弹出一个提示窗口，问是否要让软件随系统启动，通常直接点“确定”。
3.完成以上操作后，再按ctrl+y即可呼出软件主界面。
监控版必须使用会员登录才能实现监控功能，所以呼出主界面后，应点击免费注册会员。
4.注册好会员后，点“选项”-“会员登录”，填上注册好的会员号。
5.第一次使用会员登录时，会弹出“设置控制密码”选项，需要注意的是，这里修改的不是前面填写的“登录密码”，而是从其他电脑连接本电脑时需要输入的“控制密码”。
很多用户会误以为这里是修改“登录密码”，导致第二次使用会员登录时，发现登录密码不正确。
出于安全考虑，网络人设置了“登录密码”与“控制密码”两道密码保护，“登录密码”用于登录会员ID，“控制密码”则是其他电脑想要控制本地电脑时所需要填写的密码。
想要修改这两个密码，可点击“选项”-“修改密码”。
6.设置好密码密码后，点右上角的关闭按扭，软件就会在后台运行，桌面上看不到任何图标和提示。
想要再次操作软件，请按下ctrl+y键。
右上角的关闭按扭只是将软件界面关闭，想要彻底退出软件，应点击左上角的“文件”-“退出”。
很多用户想要卸载软件时，发现无卸载，就是因为没有退出程序造成。
7.有同样的方法在另一台电脑安装Netman监控版并使用另一个会员登录，在“远程IP/ID”处输入对方的会员ID和控制密码，点击“连接”即可连接远程电脑。
实验五网站挂马技术
实验单元五.网页挂马技术一、实验目的和要求了解网站挂马的概念、原理；掌握javascript网页木马的工作过程，编码方法和解码方法；掌握分析与验证网页木马的方法，能够陈述给定网页木马的漏洞利用过程，设计挂马网页实现指定恶意代码的下载与运行二、实验内容和原理网站挂马攻击主要是指入侵者在入侵成功后修改了网站的某一些或者全部的网页文件，如果网站存在SQL注入漏洞，则比较容易取得一定的权限。
如果在服务器上对网站目录等做了较严格的权限限制，也是比较容易取得Webshell权限，具有Webshell权限可以对网页文件进行修改，而挂马就是在网页中加入一些代码。
这些代码往往是利用浏览器或者应用程序的漏洞，浏览者在访问这些网页时，往往会在不知不觉中去下载一些木马程序来执行。
网站挂马的原理就是设置框架网页的宽度和高度为0，将一些恶意网页隐藏起来，用户访问网站时不容易觉察。
网站挂马的常见方式1.框架挂马<iframe src=地址 width=0 height=0></iframe>其中“地址”处可以输入恶意网站链接等。
属性为0意味着该框架是不可见的，受害者若不查看源代码很难发现网页木马。
这个方法也是挂马最常用的一段代码，但是随着网站管理员和广大网民安全意识的提高，只要在源代码中搜索iframe这个关键字，就很容易找到网页木马的源头。
2.js文件挂马只要是JS文件，都可以通过被恶意修改从而被挂上恶意代码，一般被全站引用的JS 代码最容易被挂木马，检测我们可以查看JS代码的左边或下边，坏人很喜欢将恶意代码与正常代码间用很多空格或回车来进行隐藏，所以要多看看JS代码页面有没有被故意拉长等。
相比iframe这个标签，<SCRIPT src="http://xx.js" type=text/javascript>这段代码就显得更加隐蔽，因为几乎95%的网页中都会出现类似的script 标签。
灰鸽子使用教程
灰鸽子使用教程灰鸽子是国内一款著名后门。
比起前辈冰河、黑洞来，灰鸽子可以说是国内后门的集大成者。
其丰富而强大的功能、灵活多变的操作、良好的隐藏性使其他后门都相形见绌。
客户端简易便捷的操作使刚入门的初学者都能充当黑客。
当使用在合法情况下时，灰鸽子是一款优秀的远程控制软件。
但如果拿它做一些非法的事，灰鸽子就成了很强大的黑客工具。
这就好比火药，用在不同的场合，给人类带来不同的影响。
对灰鸽子完整的介绍也许只有灰鸽子作者本人能够说清楚，在此我们只能进行简要介绍。
灰鸽子客户端和服务端都是采用Delphi编写。
黑客利用客户端程序配置出服务端程序。
可配置的信息主要包括上线类型（如等待连接还是主动连接）、主动连接时使用的公网IP（域名）、连接密码、使用的端口、启动项名称、服务名称，进程隐藏方式，使用的壳，代理，图标等等。
连接密码的设定使得灰鸽子服务端程序只能被配置它的黑客控制，避免了黑客之间的竞争。
服务端对客户端连接方式有多种，使得处于各种网络环境的用户都可能中毒，包括局域网用户（通过代理上网）、公网用户和ADSL拨号用户等。
只用一个端口来传输所有通讯数据！普通同类软件都用到了两个或两个以上的端口来完成。
支持可以控制Internet连接共享、HTTP透明代理上网的电脑！软件智能读取系统设定的代理服务器信息，无需用户设置！可以设置服务端开放Socks5代理服务器功能和HTTP代理服务功能！无需第三方软件支持！支持Windows9x/ME/2000/Xp/2003。
便于黑客进行跳板攻击。
除了具有语音监听、语音发送，还有远程视频监控功能，只有远程计算机有摄像头，且正常打开没有被占用，那么你可以看到,远程摄像头捕获的图片！还可以把远程摄像头捕获的画面存为Mpeg-1格式.远程语音也可以录制成Wav声音文件。
其他后门具有的功能，你几乎都可以在灰鸽子里找到。
而且每个功能都做的非常细致，非常人性化。
整体界面比较清爽，容易上手，对每一个小细节的考虑都很到位，所有能想到的Ideal几乎都实现了。
计算机网络安全教程实验
计算机网络安全教程实验(共22页)--本页仅作为文档封面，使用时请直接删除即可----内页可以根据需求调整合适字体及大小--11、建立一个虚拟的操作系统，这里按照默认的4G就够了。
点击按钮“下一步”进入文件存放路径设置界面，如图所示。
12、整个虚拟机上操作系统就包含在这个文件中，点击按钮“完成”，可以在VMware的主界面看到刚才配置的虚拟机，如图所示。
13、点击绿色的启动按钮来开启虚拟机，如图所示。
14、可以看到VMware的启动界面，相当于是一台独立的计算机，如图所示。
15、在图1-18中可以看到，按下功能键“F2”进入系统设置界面，进入虚拟机的BIOS（Basic Input and Out System）设置界面，如图所示。
16、为了使所有的网络安全攻击实验都可以成功完成，在虚拟上安装没有打过任何布丁的Windows Advanced Server 2000。
安装完毕后，虚拟机上的操作系统如图所示。
17、这样两套操作系统就成功的建成了。
启动成功后，进入操作系统，配置虚拟机上操作系统的IP地址，使之和主机能够通过网络进行通信，配置虚拟机操作系统的IP地址是：，如图所示。
18、主机和虚拟机在同一网段，并可以通信。
利用Ping指令来测试网络是否连通。
在主机的DOS窗口中输入“Ping .”，如图所示。
实验二 Sniffer的使用实验目的：本实验主要学习利用Sniffer抓包软件的使用实验仪器设备：计算机实验环境：Windows 2000 Server、Sniffer实验内容：1、进入Sniffer主界面，抓包之前必须首先设置要抓取数据包的类型。
选择主菜单Capture下的Define Filter菜单，如图所示。
2、在抓包过滤器窗口中，选择Address选项卡，如图所示。
窗口中需要修改两个地方：在Address下拉列表中，选择抓包的类型是IP，在Station1下面输入主机的IP地址，主机的IP地址是；在与之对应的Station2下面输入虚拟机的IP地址，虚拟机的IP地址是。
基于Authorware的灰鸽子木马实验仿真软件的设计与实现
Ｒｏ ｎｇ Ｙａ ｎ， Ｈ ｅ Ｈｕ ｉ ｐｉ ｎ ｇ， Ｌｉ ｎ Ｍｅ ｎ ｇｈ ｕａ， Ｚｈ ａ ｎｇ Ｌａ ｎ
（ Ｓｃ ｈ ｏｏ ｌ ｏ ｆ Ｍｅ ｃ ｈａ ｎｉ ｃ ｓ ａ ｎｄ Ｅｎｇｉ ｎｅ ｅ ｒ ｉ ｎｇ Ｓｃ ｉ ｅ ｎｃ ｅ， Ｚｈｅ ｎｇ ｚ ｈ ｏｕ Ｕｎ ｉ ｖ ｅ ｒ ｓ ｉ ｔ ｙ， Ｚｈｅ ｎｇ ｚ ｈｏ ｕ ４ ５０ ００１， Ｃｈｉ ｎａ ）
中 图 分 类 号 ：ＴＰ３ ９ ３ 文献 标 志码 ：Ａ 文 章 编 号 ：１ ０ ０ ２ — ４ ９ ５ ６ （ ２ ０ １ ４ ） １ —０ ０ ９ ４ —０ ４
Ｄ ｅ ｓ ｉ ｇ ｎ ａ ｎ ｄ ｉ ｍ ｐ ｌ ｅ ｍ ｅ ｎ ｔ ａ ｔ ｉ ｏ ｎ ｏ ｆ ｇ ｒ ａ ｙ ｐ ｉ ｇ ｅ ｏ ｎ ｓ ｔ ｒ ｏ ｊ ａ ｎ ｅ ｘ ｐ ｅ ｒ ｉ ｍ ｅ ｎ ｔ ａ ｌ ｓ ｉ ｍ ｕ ｌ ａ ｔ ｉ ｏ ｎ
荣 彦 ， 贺惠萍， 林 梦 华 ，张 兰
（ 郑 州 大 学 力 学 与 工 程科 学 学 院 ，河 南 郑 州 ４ ５ ０ ０ ０ １ ）
摘
要： 不论是网络安全的教学 ， 还是 网 络 安 全 实 验 ， 都 会 遇 到 硬 件 配 置 不 足 的 问 题 。构 建 能 够 摆 脱 计 算 机
ｂ ａ ｓ ｅ ｄ ｏ ｎ Ａｕ ｔ ｈ ｏ ｒ ｗａ ｒ ｅ ｓ ｏ ｆ ｔ ｗａ ｒ ｅ ａ ｒ ｅ ｄ ｅ ｓ ｉ ｇ ｎ ｅ ｄ， ａ ｎ ｄ ｔ ｈ ｅ ｓ ｏ ｆ ｔ ｗａ ｒ ｅ ｉ ｍｐ ｌ ｅ ｍｅ ｎ ｔ ａ ｔ ｉ ｏ ｎ ａ ｎ ｄ ｉ ｔ ｓ ｅ ｆ ｆ ｅ ｃ ｔ ａ ｒ ｅ ｉ ｎ ｔ ｒ ｏ ｄ ｕ ｃ ｅ ｄ ．
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
电子信息工程学系实验报告——适用于计算机课程
课程名称：信息安全概论Array实验项目名称：灰鸽子的使用实验时间：2012.4.27
班级：信息安全101 姓名：徐凤姬学号：020708119
一、实验目的:
1、了解灰鸽子是一个集多种控制方法于一体的木马病毒。
2、通过实验了解灰鸽子是一款优秀的远程控制软件。
3、熟悉使用木马进行网络攻击的原理和方法。
二、实验环境:
装有Windows 2000/XP系统的计算机，局域网或Internet，灰鸽子软件（服务器和客户端）。
三、实验原理
功能介绍：
（1）对远程计算机文件管理：模枋 Windows 资源管理器，可以对文件进行复制、粘贴、删除，重命名、远程运行等,可以上传下载文件或文件夹,操作简单易用。
（2）远程控制命令：查看远程系统信息、剪切板查看、进程管理、服务管理、共享管理！（3）捕获屏幕：不但可以连继的捕获远程电脑屏幕，还能把本地的鼠标及键盘传动作送到远程实现实时控制功能！
（4）视频语音，可以监控远程摄像头,还有语音监听和发送功能，可以和远程主机进行语音对话！
（5）telnet(超级终端).
（6）注册表模拟器：远程注册表操作就像操作本地注册表一样方便。
（7）命令广播：可以对自动上线主机进行命令广播，如关机、重启、打开网页，
筛选符合条件的机等，点一个按钮就可以让N台机器同时关机或进行其它操作。
（8）服务端以服务方式启动，支持发送多种组合键，可以轻松管理远程服务器。
（9）专用的自动上线系统，直接使用灰鸽子注册ID即可实现远程服务端自动上线。
（10）多种自动上线方式：专用上线、DNS解析域名、固定IP等，由用户自由选择。
四、实验内容
熟悉灰鸽子的使用，例如：窃取账号、密码、照片、重要文件，连续捕获远程电脑屏幕，监控被控电脑上的摄像头，或者进行远程控制。
五、实验步骤
1、在做灰鸽子实验前，先关闭杀毒软件和防火墙。
2、安装灰鸽子
（1）将下载的文件解压到某个文件夹，但不要改文件夹的名字。
（2）首先运行 sunray.exe，然后运行 http.exe 点开始服务。
（3）运行客户端，也就是H_Client.exe这个文件，点击“自动上线”选项。
3、远程控制灰鸽子的应用
（1）打开灰鸽子，主页面如下：
（2）在这里，我们主要配置下服务程序，图见下，在IP一栏里输入主人的IP
（3）配置成功后，然后点击生成服务器
（4）相应目录就会多出一个端。
把它传到要被控制的电脑里。
（5）传入成功后，我们可以浏览受控端计算机中的页面。
由图可知受控计算机的ip为172.22.27.92。