特洛伊木马程序的设计与实现
本科生毕业论文（设计）题目特洛伊木马程序的设计与实现学生姓名指导教师学院专业班级完成时间2010年5月28日摘要随着计算机网络技术的飞速发展，黑客技术也不断更新，它对网络安全构成了极大的威胁。
特洛伊木马作为黑客工具中重要的一员，其技术日新月异，破坏力之大是绝不容忽视的。
因此，对木马技术的研究刻不容缓。
本文首先介绍了木马的基本概念，包括木马的结构、行为特征、功能、分类以及木马的发展现状和发展趋势。
然后详细介绍了木马的工作原理和木马系统的关键技术。
木马的关键技术包括木马的伪装方式、木马程序的隐藏技术、木马的自启动以及木马的通信技术等。
另外，本文研究了远程控制技术，包括TCP/IP协议的介绍、Socket通信技术和客户端/服务器模型（C/S）。
本文在研究木马技术的基础上设计了一款远程控制木马。
该木马程序能够通过客户端对远程主机进行控制和监视，服务端可以自动连接客户端。
另外该木马程序还包括远程文件操作（文件复制、拷贝、删除、下载、上传等），远程系统控制（关机、重启，鼠标、屏幕锁定，启动项管理），网络连接控制，远程进程管理和文件传输等功能。
最后本文实现了这一款木马程序，并对其进行了测试。
测试结果显示该木马程序实现了所有的功能，能够对远程主机进行控制。
关键词木马，Socket，远程控制ABSTRACTWith the rapid development of network, the dependence between our society, computer system and information network becomes bigger and bigger. The safety of the internet is especially important. The hackers create a great network security threats, and the currently most available mean of invasion are the Trojan technology. Therefore, this technique has been studied for the Trojan technology.This paper introduces the basic concepts of Trojans, including structure, behavior characteristics, function, classification and Trojans situation and development trend. Then, it also introduces the details of the Trojan works and Trojan key technology. Key technologies include Tr ojan disguised way, stealth technology of Trojans, Trojans’ self-running and communication technology. In addition, this paper also studies about the remote control technology, including TCP/IP protocol description, Socket communication technology and client / server model (C / S).There is a remote control Trojan based on this paper which is studying the Trojan technology. This Trojan horse can control and watch the distance host through the client, and the server can connect with the client automatically. In addition, the Trojan program also includes a remote file operations (file copy, copy, delete, download, upload, etc.), remote system control (shutdown, restart, mouse, screen lock, startup item management), network connection control, remote process management, file transfer and other functions. Finally, this paper realizes this Trojan horse program, and tests it. Test results show that the Trojan horse program achieves all the functions and it can control the remote host.KEY WORDS Trojan, Socket, Remote control目录摘要IABSTRACT (II)第一章绪论 (1)1.1木马的研究背景 (1)1.2木马发展的现状 (1)1.3论文研究的意义和目的 (2)1.4论文的研究内容 (3)1.5论文章节安排 (3)第二章木马技术基础 (4)2.1木马系统结构 (4)2.2木马的基本特征 (5)2.3木马的功能 (6)2.4木马的分类 (6)2.5木马的发展趋势 (7)第三章木马工作原理及关键技术 (9)3.1 木马的伪装 (9)3.2木马的隐藏 (10)3.3木马常见的启动方式 (12)3.4远程控制技术 (14)3.4.1IP协议 (14)3.4.2 TCP协议 (15)3.4.3套接字(Sockets)技术 (16)3.5木马的通信 (16)3.5.1端口复用技术 (17)3.5.2反弹端口 (17)3.5.3潜伏技术 (18)3.6客户机/服务器模型 (18)第四章远程控制木马的设计 (20)4.1功能分析 (20)4.2系统总体设计 (21)4.2.1使用环境和拓扑结构 (21)4.2.2系统的逻辑模型 (22)4.2.3设计思路 (23)4.3系统实现的关键技术 (24)4.3.1DLL模块化技术 (24)4.3.2 钩子技术 (26)4.3.3远程线程插入技术 (27)4.3.4隐蔽通信技术 (29)4.4系统的开发工具 (30)第五章远程控制木马的实现 (32)5.1服务端程序的实现 (32)5.1.1服务端的自启动 (32)5.1.2 通信模块的实现 (34)5.1.3服务端管理模块 (38)5.2客户端的实现 (39)5.2.1远程文件控制 (39)5.2.2系统控制 (40)5.2.3文件传输 (42)第六章结束语 (43)参考文献 (44)致谢 .................................................................................. 错误！未定义书签。
第一章绪论1.1木马的研究背景随着网络的快速发展，Internet深入到社会的每个角落，人们充分享受到了其给工作和生活带来的巨大便利，人类社会对计算机系统和信息网络的依赖性也越来越大。
工业和信息化部统计数据显示，2009年中国网民规模已达3.84亿；预计2010中国网民规模突破4亿[1]。
由于计算机系统和信息网络系统本身固有的脆弱性，网络入侵工具(如蠕虫、木马等)不断涌现，社会、企业和个人也因此蒙受了越来越大的损失。
木马由于它的隐蔽性、远程可植入性和可控制性等技术特点，已成为黑客攻击或不法分子入侵网络的重要工具，目前，不断发生的互联网安全事故中，大部分都有木马的身影。
2010年1月，国内最知名的信息网络安全厂商金山安全正式发布《2009年中国电脑病毒疫情及互联网安全报告》。
报告显示，2009年金山毒霸共截获新增病毒和木马20684223个，与5年前新增病毒数量相比，增长了近400倍。
在新增病毒中，木马仍然首当其冲，新增数量多达15223588个，占所有病毒重量的73.6%。
全国共有76409010台（约7600万台）计算机感染病毒，与08年的感染量相比增加了13.8%[2]。
计算机病毒猖獗的背后是巨大的经济利益。
据中国国家计算机网络应急处理中心估计，目前木马黑色产业链的年产值己超过2.38亿元人民币，造成的损失则超过76亿元。
木马经济产业化的一个重要表现就是：制造木马、传播木马、盗窃账户信息、销赃、洗钱，分工明确，形成了一个非常完善的流水性作业程序，这个流水作业程序就是一条黑色产业链[3]。
木马程序使得远程的黑客能够享有系统的控制权。
“知己知彼，百战不殆”，如果想找出防御木马攻击的有效途径，就必须认真地研究木马攻击的技术。
在研究木马攻防的过程中，如果能够理清木马攻击手段的发展脉络，就有可能进一步找出木马发展的趋势，并提早思考应对策略。
1.2木马发展的现状自从世界上出现第一个木马程序（1986年的PC-Write木马）到今天，木马的发展已经历了五代[4][5]：第一代木马出现在网络发展的早期，是以窃取网络密码为主要任务，即简单的密码窃取、发送等，在隐藏和通信方面均无特别之处。
第二代木马在技术上有很大的进步，使用标准的C/S架构，提供远程文件管理、屏幕监视等功能。
但是由于植入木马的服务端程序会打开连接端口等候客户端连接，比较容易被发现。
如：“冰河”、“Qmitis”。
第三代木马在功能上与第二代木马没有太大差异，它的改变主要在网络连接方式上，它的特征是不打开连接端口进行侦听，而是使用ICMP通信协议进行通信或使用反向连接技术让服务器端主动连接客户端，以突破防火墙的拦截。
在数据传递技术上也做了不小的改进，出现了ICMP等类型的木马，利用畸形报文传递数据，增加了查杀的难度。
如：网络神偷、Peep201等。
第四代木马在进程隐藏方面，做了大改动，采用了内核插入式的嵌入方式，利用远程插入线程技术，嵌入DLL线程，或者挂接PSAPI[6]，实现木马的隐藏。
前三代木马，大多都有独立的木马，因此用户可以根据启动项目中的描述内容，很快找到木马，并删除它。
但是，第四代木马选择注册表的方式，伪装成DLL文件形式加载到正常的启动程序上，无法通过“任务管理器”查看到正在执行的木马。
特洛伊木马的工作原理
特洛伊木马的工作原理
特洛伊木马是一种常见的恶意软件，它通过伪装成正常的程序或文件来欺骗用户，使其被安装和运行在受感染的系统中。
特洛伊木马的工作原理包括以下几个步骤：
1. 伪装: 特洛伊木马会伪装成一个吸引人的程序、文件或链接，以引起用户的兴趣和点击。
这个伪装可以是一个看似合法的软件安装包、电子邮件附件、社交媒体链接等等。
2. 欺骗: 当用户执行了特洛伊木马的安装或打开操作时，它会
欺骗用户认为它是一个正常的程序或文件，并且可能对用户做出各种误导性的提示或界面交互，让用户相信这是一个可信的应用。
3. 潜伏: 一旦特洛伊木马成功地安装在系统中，它会开始在后
台运行，并潜伏于系统的各个角落，隐藏自己的存在，使用户难以察觉。
4. 攻击: 特洛伊木马会利用系统漏洞或用户权限不足的安全弱点，通过自身的程序代码或网络通信进行攻击。
这可能包括窃取用户的个人信息、密码、银行账号等敏感信息，操控受感染系统进行恶意活动，或者打开后门，为黑客提供远程访问受感染系统的权限。
5. 传播: 一旦特洛伊木马成功感染了一个系统，它还可能通过
网络传播到其他主机，利用电子邮件、即时通信软件、共享文件等方式，将自身复制到其他电脑上，进一步传播。
总之，特洛伊木马通过伪装成正常的程序或文件，欺骗用户安装并潜伏于系统中，然后利用系统漏洞进行攻击和传播。
用户需要提高警惕，并采取安全措施来预防和检测特洛伊木马的存在。
简述特洛伊木马的基本原理
简述特洛伊木马的基本原理
简述特洛伊木马的基本原理如下：
特洛伊木马是一种基于客户/服务器模式的网络程序，它通过隐藏在正常的程序中，并利用服务端的主机漏洞，以无孔不入的方式实现自己的目的。
一旦木马进入服务端，就会通过网络远程控制服务端的程序，例如打开后门、获取系统信息、执行任意操作等。
特洛伊木马通常包括控制端和服务端两个部分。
控制端用于远程控制服务端，可以执行任意操作，而服务端则被动的接收来自控制端的指令。
为了实现特洛伊木马的基本原理，需要满足以下三个条件：
1. 硬件部分：建立木马连接所必须的硬件实体，例如网络和设备。
2. 软件部分：实现远程控制所必须的软件程序，例如控制端程序和木马程序。
3. 具体连接部分：通过互联网在服务端和控制端之间建立一条木马通道所必须的元素，例如控制端IP、服务端IP、控制端端口和木马端口等。
特洛伊木马是一种非常危险的恶意软件，因为它可以完全控制服务端的程序，从而造成严重的安全威胁。
因此，我们应该时刻保持警惕，避免下载和安装不明来源的程序，并定期更新我们的操作系统和软件程序，以避免成为特洛伊木马的受害者。
特洛伊木马原理介绍
1. 特洛伊木馬程式原理7n一、引言otnpy特洛伊木馬是Trojan Horse 的中譯，是借自"木馬屠城記"中那只木馬的名稱。
古希臘有大軍圍攻特洛伊城，逾年無法攻下。
有人獻計製造一隻高二丈的大木馬假裝作戰馬神，攻擊數天後仍然無功，遂留下木馬拔營而去。
城中得到解圍的消息，及得到"木馬"這個奇異的戰利品，全城飲酒狂歡。
到午夜時份，全城軍民盡入夢鄉，匿於木馬中的將士開暗門垂繩而下，開啟城門及四處縱火，城外伏兵湧入，焚屠特洛伊城。
後世稱這只木馬為"特洛伊木馬"，現今電腦術語借用其名，意思是"一經進入，後患無窮"。
特洛伊木馬原則上它和Laplink 、PCanywhere 等程式一樣，只是一種遠端管理工具。
而且本身不帶傷害性，也沒有感染力，所以不能稱之為病毒(也有人稱之為第二代病毒)；但卻常常被視之為病毒。
原因是如果有人不當的使用，破壞力可以比病毒更強。
iagavi©摩尼BBS網路社區-- 音樂.歌詞.小遊戲.MTV.桌布.圖庫.笑話.影片.星座.下載.動漫畫.免費留言板申請BBS網路社區-- 音樂.歌詞.小遊戲.MTV.桌布.圖庫.笑話.影片.星座.下載.動漫畫.免費留言板申請E(/I 二、木馬攻擊原理cHt特洛伊木馬是一個程式，它駐留在目標電腦裡，可以隨電腦自動啟動並在某一連接進行偵聽，在對接收的資料識別後，對目標電腦執行特定的****作。
木馬，其實只是一個使用連接進行通訊的網路客戶/伺服器程式。
e2/基本概念：網路客戶/伺服器模式的原理是一台主機提供伺服器(伺服端)，另一台主機接受伺服器(客戶端)。
作為伺服端的主機一般會開啟一個預設的連接埠並進行監聽(Listen)，如果有客戶端向伺服端的這一連接埠提出連接請求(Connect Request)，伺服端上的相對應程式就會自動執行，來回覆客戶端的請求。
對於特洛伊木馬，被控制端就成為一台伺服器。
特洛伊木马
概述
特洛伊木马(简称木马)是隐藏在系统中的用以完成未授权功能的非法程序，是黑客常用的一种攻击工具，它 伪装成合法程序，植入系统，对计算机络安全构成严重威胁。区别于其他恶意代码，木马不以感染其它程序为目 的，一般也不使用络进行主动复制传播。
特洛伊木马是基于C/S(客户/服务器)结构的远程控制程序，是一类隐藏在合法程序中的恶意代码，这些代码 或者执行恶意行为，或者为非授权访问系统的特权功能而提供后门。通常，使用木马的过程大致分两步首先，把 木马的服务器端程序通过络远程植入受控机器，然后通过安装程序或者启动机制使木马程序在受控的机器内运行。 一旦木马成功植入，就形成了基于C/S结构的控制架构体系，服务端程序位于受控机器端，客户端程序位于控制 机器端。
5、时效性越来越强，挖矿木马团伙在利益的驱使下，往往会不断集成更有效的1/N D ay漏洞来感染更多 主机资源,从而获取更多的收益。
感谢观看
功能
只要在本地计算机上能操作的功能，现如今的木马基本上都能实现。木马的控制端可以像本地用户一样操作 远程计算机。木马的功能可以概括为以下内容。
1、窃取用户文件。 特洛伊木马在目标计算机中潜伏，当遇到感兴趣的文件时就会将相关文件传输给提前设定的目的地而不会被 用户发现。 2、接受木马释放者的指令。 特洛伊木马一旦感染互联中的服务器就会窃取较高权限，随意地控制和监视通过该服务器的数据和账户。 3、篡改文件和数据。 根据指令对系统文件和数据进行修改，使目标计算机的数据和文件产生错误，导致作出错误的决策。 4、删除文件和数据。 将目标计算机操作系统中的文件和数据随意地删除。 5、施放病毒。
3、端口
一台机器有个端口，你会注意这么多端口么?而木马就很注意你的端口。如果你稍微留意一下，不难发现，大 多数木马使用的端口在1024以上，而且呈越来越大的趋势。当然也有占用1024以下端口的木马，但这些端口是常 用端口，占用这些端口可能会造成系统不正常，这样的话，木马就会很容易暴露。
特洛伊木马事情原理分析及清除方法
再加入一个文本框，用于输入服务器的IP地址或服务器名。
然后加入一个按钮，按下之后就可以对连接进行初始化。
代码如下：Private Sub cmdConnect_Click()Win_Client.RemoteHost=Text1.TextWin_Client.ConnectTimer1.Enabled=TrueEnd Sub(3)建立连接后就可以使用DataArrival事件处理收到的数据了。
(4)在服务器端Server工程中也建立一个窗体，窗体的visible属性设置为False。
加载Win Sock控件，称为Win_Server，协议选择TCP。
在Form_Lad事件中加入以下代码：Private Sub Form_Load()Win_Server.LocalPort=2001 ‘自定义的端口号Win_Server.ListenEnd Sub(5)准备应答客户端程序的请求连接，使用ConnectionRequest事件来应答客户端程序的请求，代码如下：Private Sub Win_Server_ConnectionRquest(ByValrequestID As Long)If Win_Server.State sckClosed ThenWin_Server.Close ‘检查控件的State属性是否为关闭的End If ‘如果不是，在接受新的连接之前先关闭此连接Win_Server.Accept requestIDEnd Sub(6)这样在客户端程序按下连接按钮后，服务器端程序的ConnectionRequest事件即被触发，执行以上代码。
如果不出意外，连接将被建立起来。
(7)建立连接后服务器端的程序通过JDataArrival事件接收客户机端程序发出的指令运行既定程序。
DataArrival事件程序如下：Private Sub Win_Server_DataArrival(ByVal bytesTotal As Long)Dim strData As StringDim I As LongWin_Server.GetData strData ‘接收数据并存入strDataFor i=1 ToLen(strData) ‘分离strData中的命令If Mid(strData,I,1)=”@” ThenmKey=Left(strData,i-1 ‘把命令ID号存入mKeystrData=Right(strData,Len(strData)-i) ‘把命令参数存入strDataExit FofEne IfNext iSelect Case Val*mKey)Case i ‘i为一系列命令的定义，如截获驱动器名、目录名、文件名、强制关闭服务器端的计算机，强制重启服务器端的计算机，屏蔽任务栏窗口，屏蔽开始菜单，按照客户机端传来的文件名或目录名删除它们，屏蔽热启动键，运行服务器端的任何程序。
第5章b2 特洛伊木马实例
——BO2K
信息安全工程学院
BO(Back Orifice)是典型的远程访问型木马。这 种木马借着远程控制的功能，用起来非常简单， 只需先运行服务端程序，同时获得远程主机的IP 地址，控制者就能任意访问被控制的计算机。这 种木马可以使远程控制者在本地机器上任意的事 情，比如键盘记录、上传和下载功能、发送一个 截取屏幕等等。
Map Port -> TCP File Receive：从一个指定的端口收取 文件，要指定端口号和文件名，详细路径
信息安全工程学院
BO2K演示
信息安全工程学院
信息安全工程学院
BO2K的代码分析
信息安全工程学院
接上页
信息安全工程学院
BO2K的功能（精简）
Ping：给一台计算机发个数据包看它能否被访问
Query：返回服务器上的BO的版本号 Rebook-up Machine：冻住服务器，要他重启动
List Passwords：取得服务器上的用户和密码 Get System Info：取得Machine Name--机器名、Current User--当前用户、Processor--CPU型号、Operating system version (SP version)--操作系统版本号（补丁版 本）、Memory (Physical and paged)--内存（物理内存 和虚拟内存）、All fixed and remote drives--所有的固定 存储器和远程驱动器
信息安全工程学院
Log Keystrokes：把按键记录到一个文件里，要指定一个 文件存储输出结果
End Keystroke Log：停止记录按键
View Keystroke Log：察看按键记录文件
计算机网络课程设计-木马程序设计与实现
长沙理工大学《计算机网络技术》课程设计报告学 院专 业 班 级 学 号 学生姓名 指导教师 课程成绩 完成日期课程设计成绩评定学院专业班级学号学生姓名指导教师完成日期指导教师对学生在课程设计中的评价指导教师对课程设计的评定意见课程设计任务书城南学院通信工程专业木马程序的设计与实现学生姓名：指导老师：摘要本文在研究著名木马BO2K技术的基础上设计了一款远程控制木马。
该木马程序能够通过客户端对远程主机进行控制和监视，服务端可以自动连接客户端.另外该木马程序还包括远程文件操作（文件复制、拷贝、删除、下载、上传等）,远程系统控制(重启、屏幕锁定、启动项管理）,网络连接控制，远程进程管理和键盘监控等功能。
最后本文实现了这一款木马程序，并对其进行了测试.测试结果显示该木马程序实现了所有的功能，能够对远程主机进行控制.关键字客户端/服务端；BO2K；远程控制1 引言随着互联网技术的迅猛发展，网络给人们带来了很多便利，日益发达的网络产品越来越多。
伴随这样的发展,随之而来的是越来越多的帐号与密码，而这些帐号与密码背后伴随的是很多的经济价值.在这种状况下，很多人想尽一切办法的去找取配套的密码与帐号,所以为了使帐号与密码更加安全,有必要去研究木马的工作原理.1.1 课程设计目的（1）掌握木马编程的相关理论，理解木马工作的基本原理，学会运用C++进行编程实现.（2）加深对课本知识的理解，并运用所学理论和方法进行一次综合性的设计训练，同时掌握工程设计的具体步骤和方法,从而培养独立分析问题和解决问题的能力，提高实际应用水平。
（3)以所学知识为基础，针对具体设计问题，充分发挥自己的主观能动性，独立地完成课程设计分配的各项任务，并通过课程设计培养严谨的科学态度和认真的工作作风.1.2 课程设计内容（1)查找木马程序主要技术及相应软件;（2）比较他们的技术及优缺点；（3）实现一个简单的木马程序；(4）提交文档;1.3 课程设计要求（1）按要求编写课程设计报告书，能正确阐述设计结果。
特洛伊木马技术的研究与VC实现
Ａ Ｒｅｅ ｒｈ ｏ ｒｊｎｈ ｒｅＴ ｃ ｎ ｌｇｃｌ ｓａ ｃ ｎ Ｔ ｏａ ｏ ｓ ｅｈ ００ ｉａ
ａ ｄ ＶＣ ａ ｉａ ｉ ｉ ｎ Ｒｅ ｌ ｔＯｌ ｚ
Ｃ ａ ｇ ｈ １０ ３ Ｈ ｎ ｎ Ｃ ｉａ ｈ ｎ ｓａ４ ０ ８ － ｕ ａ － ｈｎ ）
Ａｂ ｔ ｃ ：Ａｓｔ ｅ ｄ ｖ ｌｐ ｎ ｆ ｅ ｃ ｍｐ ｔｒｔｃ ｎ ｌ ｇ ｅ ｈ ｉ ｕ ｓ ｈ ｃ ｓａ ｃ ｍｍｏ ｏ ｆ ｅｗ ｒ ｓｒ ｔ ａ ｈ ｅ ｅｏ ｍｅ ｔ ｏ ｕｅ ｈ ｏｏ ｙ ｔ ｃ ｎ ｑ ｅ 。ｗ ｉｈ ａ ｏ ｏ ｔ ｈ ｅ ｎｔ ｌ ｔ ｏｋ ｏ ｏ ｎ
ｏ ｅｐａｆ ｆ Ｃ＋＋ ． ｎ ｓ ｇｒｖｒ ｎ ｃｎ ｌ ： ｏｔ ｅａ ｒ ａ ｏｓ ｔｄｅ ｎ ｎｔ ｌｔ ｒ ｏ ｈ ｏ ｍ Ｖ ６ ０ ａｄｕ ｉ ｅｓ ｌ ｇｔ ｈ ｏｏ Ｐ ｒ ｒｃ ｌ ｏ ｎｈｒｅｉ ｓ ｉ ａ ｄ ｎ ｅ ｅｉ ｅ ｙ ｇ ｌ Ｔｊ ｕ ｉ 。 ｎ ｅｅｔ ｇ ｓ ｅｌ ｓｋｌｎ ｒ ａ ｓ ｒ ｅｐｙａ ａ ｚｄ ａｉｇ ｌｍ ｎａ ｏ ｔ ｈ ｉｕ ｓａｅｓ ｄｅ ａｄｄ ｔ ｉ ｌａ ｉｉｇＴｏ ｎ ｅｄ ｅｌ ｌ ｅ ．Ｂ ｓ ｔｎ ｅ ｔ ｄ ｃｎ ａ ｗ ｌ ｊ ａ ｎ ｙ ｎ
ｄ ｓ ｎ ｄａｄｅｓ ｌ ｔ Ｉ ｅｅ ｄ ｃｒ ｓｏ ｄ ｇ ｉｉｇ ｒ ａｓ ｏｌｓ ｅｉ ｅ ｈｃ ａ ｆ ｃ ｖ－ ｅｉ ｅ ｎ ａｙ ｏｐ ｎ． ｎｔ ｎ － ｏｒ ｐ ｎ ｉ ｌｎ ｏ ｎ ｏ ｉ ｄ ｓ ｎ ｄｗ ｉｈｃｌｅ ｅｔ ｅ ｇ ｔ ａ ｈ ｅ ｎ ｋ ｌ Ｔ ｊ ｔ ｇ ｌ ｉ ｌ ｄ ｔｃ ａ ｄｅ ｍ ｎｔ ｔｅＴ ｏ ｎ ｈｓ ａ ｅ ｅ ｅ ｆｌ ｏｓ ｄ ｎ ｅ ｎｅＴｏ ｎ ｒｇａ ｓ ｙ ｅ ｔ ｎ ｌ ｉａ ｒｊ ．Ｔ ｉ ｐ ｐｒｉ ｖｒ ｈｌ ｕ ｔ ｙａ ｄｄｆ ｓ ｒ ａ ｓ ｏ ｒｍ ． ｅ ｉ ｅｈ ａ ｓ ｙ ｐ ｔ ｕ ｅ ｊ ｐ Ｋ ｙｗ ｒｓ ｒ ａ ｏｓ ；Ｔｏａ ｅ ｎｅ ；ｆ ｄｎ ｎ ｉｉｇＴｏａ ｓ ｒ ａ ｒｇａ ｍｉ ｌｐｅ ｅ ｏｄ ：Ｔｏ ｎ ｈｒｅ ｒ ｎ ｄｆ ｓｓ ｉ ｉｇａ ｄ ｋｌｎ ｒｊｎ ；Ｔｏ ｎ ｐｏｒｍ ｎ Ｍｕ ｉｌ ｊ ｊ ｅ ｎ ｌ ｊ ｇ ｔ
(7)特洛伊木马及防范技术
反弹端口
反弹端口型木马分析了防火墙的特性后发现： 防火墙对于连入的链接往往会进行非常严格的过 滤，但是对于连出的链接却疏于防范。于是，与 一般的木马相反，反弹端口型木马的服务端（被 控制端）使用主动端口，客户端（控制端）使用 被动端口，木马定时监测控制端的存在，发现 控 制端上线立即弹出端口主动连结控制端打开的主 动端口，为了隐蔽起见，控制端的被动端口一般 开在80，这样，即使用户使用端口扫描软件检查 自己的端口，发现的也是类似 TCP UserIP:1026 ControllerIP:80 ESTABLISHED的情况，稍微疏 忽一点你就会以为是自己在浏览网页。
•
信息安全研究中心
木马的一般入侵过程
• 制造木马 设计、编码、配置 • 传播安装 浏览网页、下载软件、上网聊天、发送邮件 • 启动木马 自动启动、关联启动、驱动木马、dll木马 • 建立链接 固定端口、可变端口、反弹端口、ICMP • 远程控制 远程监控、文件操作、系统修改
信息安全研究中心
特洛依木马及防范技术
信息安全研究中心
通讯技术
• 寄生端口（重用端口）：将木马的通信连接绑定在通用 端口上（比如80），通过这些服务端口发送信息。因为 木马实际上是寄生在已有的系统服务之上的，因此，扫 描或查看系统端口的时候是没有任何异常的。 反弹端口（反向连接）：反弹端口型木马的服务端（被 控制端）使用主动端口，客户端（控制端）使用被动端 口，木马定时监测控制端的存在，发现 控制端上线立即 弹出端口主动连结控制端打开的主动端口。 不用端口：使用ICMP协议进行通讯。由于ICMP报文由 系统内核或进程直接处理因而不通过端口传递数据。
信息安全研究中心
特洛伊木马
木马又称特洛伊木马（trojan horse），它是一种远程控制类黑 客工具。木马的运行模式属于C/S模式，它包括两大部分，即客户端 和服务端。其原理是一台主机提供服务(服务器)，另一台主机接受服 务(客户机)，作为服务器的主机一般会打开一个默认的端口进行监听。 如果有客户机向服务器的这一端口提出连接请求，服务器上的相应程 序就会自动运行，来应答客户机的请求。
特洛伊木马隐藏技术研究及实践
１引言特洛伊木马（简称木马）是指一类伪装成合法程序或隐藏在合法程序中的恶意代码，这些代码或者执行恶意行为，或者为非授权访问系统的特权功能而提供后门。
木马的首要特征是它的隐蔽性，为了提高自身的生存能力，木马会采用各种手段来伪装隐藏以使被感染的系统表现正常。
ＦｒｅｄＣｏｈｅｎ等人［１，２］对病毒进行了深入研究，他们将木马作为病毒的一种特例，并给出了病毒和木马的数学模型，但未对木马的隐藏特征进行分析。
ＨａｒｏｌｄＴｈｉｍｂｌｅｂｙ等人［３］对病毒和木马模型框架进行了研究，给出了木马的形式化模型，对木马隐藏的特征进行了描述，但未对木马协同隐藏进行描述和分析。
张新宇等人［４］仅对Ｌｉｎｕｘ环境下的木马隐藏（包括协同隐藏）进行了研究，但未涉及Ｗｉｎｄｏｗｓ环境。
笔者在对木马隐藏技术归纳研究的基础上，深入分析研究了协同隐藏，并针对现有木马对抗实时检测的缺陷和通信隐藏能力的不足，提出两种基于该思想的新型木马结构，深化了协同隐藏思想，提高了木马的隐藏能力和生存能力。
２隐藏技术木马程序与普通远程管理程序的一个显著区别是它的隐藏性。
木马被植入后，通常利用各种手段来隐藏痕迹，以避免被发现和追踪，尽可能延长生存期。
隐藏技术是木马的关键技术之一，笔者从本地隐藏、通信隐藏和协同隐藏３个方面对木马隐藏技术进行分析研究。
２．１本地隐藏本地隐藏是指木马为防止被本地用户发现而采取的隐藏手段，主要包括启动隐藏、文件隐藏、进程隐藏、内核模块隐藏、原始分发隐藏等。
这些手段可以分为三类：（１）将木马隐藏（附着、捆绑或替换）在合法程序中；（２）修改或替换相应的检测程序，对有关木马的输出信息进行隐蔽处理；（３）利用检测程序本身的工作机制或缺陷巧妙地避过木马检测。
２．１．１启动隐藏启动隐藏，是指目标机自动加载运行木马程序，而不被用户发现。
在Ｗｉｎｄｏｗｓ系统中，比较典型的木马启动方式有：修改系统“启动”项；修改注册表的相关键值；插入常见默认启动服务；修改系统配置文件（Ｃｏｎｆｉｇ．ｓｙｓ、Ｗｉｎ．ｉｎｉ和Ｓｙｓｔｅｍ．ｉｎｉ等）；修改“组策略”等。