木马病毒的植入
木马的植入自启动和隐藏
计算机病毒与防治课程小组
木马自启动途径
3 加入系统启动组
在启动文件夹[Windir]\start menu\programs\startup\中 添加程序或快捷方式，也可修改册表的位置：
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion \Explorer\Shell Folders Startup]="windows\start menu\programs\startup"
计算机病毒与防治课程小组
木马入侵
通过缓冲区溢出植入木马
上面的strcpy()将直接吧str中的内容copy到buffer中。这样只要str 的长度大于16就会造成buffer的溢出，使程序运行出错。存在象strcpy这 样的问题的标准函数还有strcat(),sprintf(), vsprintt(), gets(), scanf()，以及在循环内的getc(), fgetc(), getchar()等。当然，随便 往缓冲区中填东西造成它溢出一般只会出现Segmentation fault错误，而 不能达到攻击的目的。 如果在溢出的缓冲区中写入我们想执行的代码，再覆盖函数返回地址的 内容，使它指向缓冲区的开头，就可以达到运行其它指令的目的。
通过电子邮件传播是一种最简单有效的方法，黑客通常给 用户发电子邮件，而这个加在附件中的软件就是木马的服务器 端程序。
缓冲区溢出攻击是植入木马最常用的手段。据统计，通过 缓冲区溢出进行的攻击占所有系统攻击总数的80%以上。
计算机病毒与防治课程小组
木入侵
通过缓冲区溢出植入木马
缓冲区溢出((Buffer Overflow)指的是一种系统攻击的手段， 通过往程序的缓冲区写超出其长度的内容，造成缓冲区的溢出，从 而破坏程序的堆栈，使程序转而执行其它指令，以达到攻击的目的。 造成缓冲区溢出的原因是程序中没有仔细检查用户输入的参数。例 如下面程序： void function(char *str)｛ char buffer[16]; strcpy(buffer,str); }
手机木马原理
手机木马原理手机木马是一种恶意软件，通过潜藏在手机应用中感染设备并执行恶意操作。
其工作原理可分为以下几个步骤：1. 传播方式：手机木马可能通过多种方式传播，如通过恶意链接、应用下载或安装来自未知来源的应用等。
一旦用户点击或下载了木马应用，恶意软件便会开始植入和运行。
2. 植入手机系统：木马会试图植入到手机系统中，并获取系统级别的权限。
它会利用一些漏洞或系统安全性问题来获取这些权限，并绕过手机的防护机制。
3. 数据窃取：一旦木马植入成功并获取了系统权限，它就可以开始窃取用户的个人信息和敏感数据。
这些数据包括登录凭证、银行账户信息、个人通讯录等。
木马会将这些数据上传到远程控制服务器，供黑客使用或转售。
4. 远程控制：手机木马还可以被黑客远程操控。
黑客可以发送指令给木马，控制它执行各种操作，如发送短信、拍照、录音、窃取短信和通话记录等。
他们还可以利用木马发起网络攻击，感染其他设备或进行网络钓鱼。
5. 隐蔽性：为了不被用户察觉，手机木马通常会隐藏自己的图标和运行进程。
这使得用户很难察觉到手机已被感染，从而延长了恶意软件的潜伏时间。
为了保护手机免受木马感染，用户应采取以下措施：1. 下载应用时只从官方应用商店或可信的第三方应用市场下载，并注意应用的评论和评分，避免下载恶意或低评分的应用。
2. 及时更新手机操作系统和应用程序，以修复已知的漏洞和安全问题。
3. 安装可信的安全软件，及时扫描手机并清除潜在的恶意软件。
4. 禁用来自未知来源的应用安装选项，以防止恶意应用被安装。
5. 不点击来自陌生人或不可信来源的链接，尤其是不点击包含任何可疑内容的链接。
6. 注意手机的网络流量和电池消耗情况，以及不明原因的应用崩溃或手机反应迟钝等异常行为，可能是手机受到木马感染的迹象。
通过采取这些措施，用户可以增加手机木马感染的风险，保护个人信息的安全。
3-5-2木马的植入、自启动和隐藏
计算机病毒与防治课程小组
木马自启动途径
程序自动启动的原理
1. 利用INI文件实现相关程序的自动启动 win.ini是系统保存在[Windir]目录下的一个系统初始化文件。 系统在起动时会检索该文件中的相关项，以便对系统环境的初始设 置。在该文件中的“[windows]”数据段中，有两个数据项 “load=” 和“run=”。它们的作用就是在系统起动之后自动地装入和运行相关 的程序。 Win.ini: [windows] load=file.exe run=file.exe System.ini: [boot] Shell=Explorer.exe Shell=Explorer.exe
计算机病毒与防治课程小组
WIN2K中“进程隐藏”的实现
//使用WriteProcessMemory函数将DLL路径名复制到远程进程的内存空间
BOOL lRetun Code= WriteProcessMemory(hRemoteProcess,pszt_lbFlleRemote,( PVOID) pazlbFileName, ICb, NULL);
[HKEY _LOCAL_MACHINE\Software\CLASSES\ShellScrap] @="Scrap object" "NeverShowExt"=" "
NeverShowExt键可以隐藏SHS文件的扩展名.shs。比如将一个文件 改名为“abc.jpg.shs“它只会显示”abc.jpg”。如果你的注册表里有 很多NeverShowExt键值，应予以删除。
计算机病毒与防治课程小组
木马进程的隐藏
访问令牌 进程对象 VAD VAD VAD
对象句柄表项1 对象句柄表项2 „„
木马常用植入方法大曝光
接着把DOC和EXE合并：copy/banyname.doc＋anyname.exeanyname.doc。打开这个DOC文档，隐藏在其中的木马就会自动运行。不过还需要满足一个条件HKEY＿CURRENT＿USER＼Software＼Microsoft＼Office＼9.0＼Word＼Security中的Level值必须是1或者0。
DLL文件的特点决定了这种实现形式的木马的可行性和隐蔽性。首先，由于DLL文件映像可以被映射到调用进程的地址空间中，所以它能够共享宿主进程（调用DLL的进程）的资源，进而根据宿主进程在目标主机中的级别未经授权地访问相应的系统资源。其次，因为DLL没有被分配独立的进程地址空间，也就是说DLL的运行并不需要创建单独的进程，所以从系统的进程列表里看不见DLL的运行踪迹，从而可以避免在目标主机中留下木马进程踪迹，因此满足了隐蔽性的要求。
[AutoRun]//这是AutoRun部分开始，必须输入
Icon＝E：＼sex.ico//用sexual.ico文件给E盘设置一个个性化的盘符图标
Open＝E：＼sexual.exe//指定要运行程序的路径和名称，在此为E盘下的sexual.exe。如果sexual.exe文件是木马或恶意程序，那我们的电脑就危险了。
5伪装成应用程序扩展组件
此类属于最难识别的特洛伊木马，也是骗术最高的木马。特洛伊木马编写者用自己编制的特洛伊DLL替换已知的系统DLL，并对所有的函数调用进行过滤。对于正常的调用，使用函数转发器直接转发给被替换的系统DLL，对于一些事先约定好的特殊情况，DLL会执行一些相对应的操作。一个比较简单的方法是启动一个进程，虽然所有的操作都在DLL中完成会更加隐蔽，但是这大大增加了程序编写的难度。实际上这样的木马大多数只是使用DLL进行监听，一旦发现控制端的连接请求就激活自身，起一个绑端口的进程进行正常的木马操作。操作结束后关掉进程，继续进入休眠状况。
8木马伪装植入的方法
木马伪装植入的方法如果我们要想把自己的木马植入到别人的计算机上，首先就要伪装好自己。
一般来讲，木马主要有两种隐藏手段：①把自己伪装成一般的软件很多用户可能都遇到过这样的情况，在网站上得到一个自称是很好玩或是很有用的小程序，拿下来执行，但系统报告了内部错误，程序退出了。
一般人都会认为是程序没有开发好，不会疑心到运行了木马程序这上面。
等到运行自己的QQ等程序时，被告知密码不对，自己熟得不能再熟的密码怎么也进不去，这时才会想起检查自己的机器是否被人安装了木马这回事情。
提示：这种程序伪装成正常程序，实质是个木马伪装成的，在木马代码的前段会完成自我安装与隐藏的过程，最后显示一个错误信息，骗过用户。
②把自己绑定在正常的程序上面对于那些老到的黑客来说，他们可以通过一些捆绑软件把一个正版的安装程序和木马捆绑成一个新的文件，然后用户在安装该正版程序时，就神不知鬼不觉地被种上木马了。
伪装之后，木马就可以通过受控的机器、邮件、即时聊天程序发给被攻击者了，或者是放在网站上供人下载。
黑客还会为它们加上一些动人的话语来诱惑别人，像“最新火辣辣小电影！”、“CuteFTP5.0完全解密版！！！”等。
一点不骗人，在安装了这个CuteFTP之后，你的机器就被“完全解密”了，那些喜欢免费盗版的朋友们也要小心了！下面介绍几种常见的伪装植入木马的方法：修改木马图标将木马服务端程序更改图标，如设为图片图标，并将其扩展名设置为***.jpg.exe格式，直接发给对方，由于Windows的默认设置是隐藏已知文件的扩展名，所以对方收到后就会轻易相信这就是一幅图片。
对方运行后，结果毫无反应（运行木马后的典型表现），对方说：“怎么打不开呀!”，回答：“哎呀，不会程序是坏了吧?”，或者说：“对不起，我发错了!”，然后把正确的东西（正常游戏、图片等）发给对方，他收到后只顾高兴就不想刚才为什么会出现那种情况了。
虽然有些木马制作工具中带有修改图标的功能，但是黑客还常常使用其他辅助工具来修改图标。
深度剖析木马的植入与攻击
深度剖析木马的植入与攻击安全问题2010-09-18 13:57:43 阅读54 评论0 字号：大中小订阅为了学习转的：第3章深度剖析木马的植入与攻击●木马是如何实施攻击的●木马的植入与隐藏●木马信息反馈●常用木马例说●木马的清除和防范木马，也称特伊洛木马，英文名称为Trojan。
其本身就是为了入侵个人电脑而开发的，藏在电脑中和工作的时候是很隐蔽的，它的运行和黑客的入侵不会在电脑的屏幕上显示出任何痕迹。
Windows本身没有监视网络的软件，所以不借助其它工具软件，许多时候是很难知道木马的存在和黑客的入侵的。
由于很多新手对安全问题了解不多，所以并不知道自己的计算机中了“木马”该如何清除。
虽然现在市面上有很多新版杀毒软件都可以自动清除“木马”，但它们并不能防范新出现的“木马”程序，因此最关键的还是要知道“木马”的工作原理，这样就会很容易发现自己是否中“木马”了。
3-1 木马是如何实施攻击的木马是黑客最常用的攻击方法，因此，在本章中将使用较大篇幅来介绍木马的攻防技术。
木马的危害性在于它对电脑系统强大的控制和破坏能力、窃取密码、控制系统操作、进行文件操作等，一台计算机一旦被一个功能强大的木马植入，攻击者就可以像操作自己的计算机一样控制这台计算机，甚至可以远程监控这台计算机上的所有操作。
尽管资深的黑客是不屑于使用木马的，但在对网络安全事件的分析统计里，却发现有相当部分的网络入侵是通过木马来进行的，包括2002年微软被黑一案，据说就是通过一种普通的蠕虫木马侵入微软的系统，并且窃取了微软部分产品源代码的。
3-1-1 木马是如何侵入系统的小博士，你好！可以给我讲一下木马是如何侵入系统的吗？没问题，一般的木马都有客户端和服务器端两个执行程序，其中客户端用于攻击者远程控制植入木马的计算机，服务器端程序就是通常所说的木马程序。
攻击者要通过木马攻击计算机系统，他所做的第一步就是要把木马的服务器端程序植入到被攻击的计算机里面。
木马病毒原理
木马病毒原理
木马病毒是一种恶意软件，它隐藏在看似正常的程序中，通过欺骗用户获得访问权限，并在用户不知情的情况下潜伏和执行恶意活动。
木马病毒的原理是利用用户的信任，通常通过电子邮件附件、软件下载、插件安装等途径传播。
一旦被用户执行或安装，木马病毒就会在计算机上植入并开始运行。
木马病毒通常会创建一个与正常程序外观相似的图标，并在用户打开时隐藏自己的活动。
它可以通过网络传输个人隐私信息、窃取用户帐号密码、跟踪用户的在线活动、控制操作系统等。
木马病毒还可以通过远程控制指令控制受感染计算机的行为。
黑客可以利用木马病毒来进行恶意活动，例如远程监视、窃取敏感信息或发起分布式拒绝服务攻击。
为了保护计算机免受木马病毒的侵害，用户应该谨慎打开陌生邮件附件，只从可信任的网站下载软件，并定期使用安全软件进行全面系统扫描。
此外，及时更新操作系统和软件补丁也是防止木马病毒感染的重要步骤。
总之，木马病毒利用用户的信任并隐藏在正常的程序中，以实现窃取信息、控制操作系统等恶意活动。
用户应该保持警惕，并采取相应的安全措施，以保护个人计算机免受木马病毒的攻击。
第四章 任务4 木马植入
第四章任务4 木马植入4.1木马植入的方式使用木马程序的第一步是将木马的“服务器程序”放到远程被监控主机上，这个过程成为木马的植入过程。
常见的植入过程有如下几种方法。
●邮件收发：将木马的“服务器程序”放入电子邮件中植入到远程主机。
●网页浏览：将木马的“服务器程序”放入网页中植入到远程主机。
●文件下载：将木马的“服务器程序”和被下载的文件捆绑到一起植入到远程主机。
4.2 木马的运行方式服务端用户运行木马或捆绑木马的程序后，木马就会自动进行安装。
首先将自身拷贝到WINDOWS的系统文件夹中（C:WINDOWS或C:WINDOWS\SYSTEM目录下），然后在注册表，启动组，非启动组中设置好木马的触发条件，这样木马的安装就完成了。
安装后就可以启动木马了。
1. 自启动激活木马(1) 注册表：打开HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\ CurrentVersion下的Run主键，在其中寻找可能是启动木马的键值。
(2) WIN.INI：C:\WINDOWS目录下有一个配置文件win.ini，用文本方式打开，在[windows]字段中有启动命令load=和run=，在一般情况下是空白的，如果有启动程序，可能是木马。
(3) SYSTEM.INI：C:\WINDOWS目录下有个配置文件system.ini，用文本方式打开，在[386Enh]，[mci]，[drivers32]中有命令行，在其中寻找木马的启动命令。
(4) Autoexec.bat和Config.sys：在C盘根目录下的这两个文件也可以启动木马。
但这种加载方式一般都需要控制端用户与服务端建立连接后，将已添加木马启动命令的同名文件上传到服务端覆盖这两个文件才行。
(5) *.INI：即应用程序的启动配置文件，控制端利用这些文件能启动程序的特点，将制作好的带有木马启动命令的同名文件上传到服务端覆盖这同名文件，这样就可以达到启动木马的目的了。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
木马病毒的植入
木马病毒大家应该并不陌生，但往往最容易遇到的问题就是木马怎么植入，这里为大家详解一下，希望大家对症用药，保证自己计算机的安全。
（1）通过网上邻居（即共享入侵）
要求：对方打开139端口并有可写的共享目录。
用法：直接将木马病毒上传即可。
（2）通过IPC$
要求：双方均须打开IPC$，且我方有对方一个普通用户账号（具有写权限）。
用法：先用net use\\IP\IPC$"密码"/user：用户名”命令连接到对方电脑，再用“copy 本地木马路径远程木马路径、木马名字”
将木马病毒复制到目标机。
（3）通过网页植入
要求：对方IE未打补丁
用法1：利用IE的IFRAME漏洞入侵。
用法2：利用IE的DEBUG代码入侵。
用法3：通过JS.VBS代码入侵。
用法4：通过AstiveX或Java程序入侵。
（4）通过OE入侵
要求：对方OE未打补丁。
用法：与（3）中的1.3.4用法相同。
（5）通过Word.Excel.Access入侵
要求：对方未对宏进行限制。
用法1：编写恶意的宏夹杂木马，一旦运行Office文档编植入主机中。
用法2：通过Office的帮助文件漏洞入侵。
（6）通过Unicode漏洞入侵
要求：对方有Unicode漏洞。
用法：“http：
//x.x.x.x/scripts/..%c1%1c../winnt/system32/cmd.exe?+COPY+本地木马路径+远程路径+木马名”。
（7）通过FIP入侵
要求：对方的FIP可以无名登陆而且可以写入。
用法：直接将木马上传即可。
（8）通过TELNET入侵
要求：具有对方一个具有写权限的账号。
用法：用TELNET命令将木马传上去。
（9）EXE合并木马
要求：无。
用法：用EXE文件合并器将两个EXE文件合并即可。
（10）WinRAR木马入侵
要求：对方安装了WinRAR。
用法：将压缩包设为自解压格式，并设置自动运行的选项，将RAR图标更改。
（11）文件夹惯性点击法
要求：无。
用法：通过修改图标把木马伪装成文件夹，再放于各层目录中。
（12）邮件传播植入：木马很可能在邮件中发给用户，如果用户在毫无防范的情况下下载运行附件或点击不明链接，则用户就感染了木马
病毒。
（13）QQ传播植入：因为QQ有文件传输功能，所以现在也有很多木马通过QQ
传播植入。
恶意攻击者通常吧木马和其他文件捆绑在一起
然后欺骗说是个好玩的东西，骗取用户使用，如果用户照做了，则用户感染了木马病毒。
（14）下载传播植入：在一些个人论坛中下载的文件可能包含木马病毒。
（15）通过修改文件关联：例如通常打开txt文件时是通过记事本打开，而木马病毒则可让那些文件通过自己来打开，这样就实现了运行
的目的。
当然，不仅是txt 文件还有像等文件都可以成为木马的目标。
（16）直接运行植入：一般是通过系统漏洞，把木马直接注入目标机运行。
（17）网页植入：这是比较流行的方法，也就是网页木马，是不是常常在浏览网页是提示安装插件？有时木马就把自己伪装成插件，诱
使用户下载并运行，这种方式编写的木马对各个版本IE都有效，但只要用户不下载，黑客也没办法。
(18)U盘传播植入：虽然USB产品为大家传送信息提供了捷径，可同样成为了木马病毒的目标。