木马隐藏技术分析
木马的植入自启动和隐藏
计算机病毒与防治课程小组
木马自启动途径
3 加入系统启动组
在启动文件夹[Windir]\start menu\programs\startup\中 添加程序或快捷方式，也可修改册表的位置：
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion \Explorer\Shell Folders Startup]="windows\start menu\programs\startup"
计算机病毒与防治课程小组
木马入侵
通过缓冲区溢出植入木马
上面的strcpy()将直接吧str中的内容copy到buffer中。这样只要str 的长度大于16就会造成buffer的溢出，使程序运行出错。存在象strcpy这 样的问题的标准函数还有strcat(),sprintf(), vsprintt(), gets(), scanf()，以及在循环内的getc(), fgetc(), getchar()等。当然，随便 往缓冲区中填东西造成它溢出一般只会出现Segmentation fault错误，而 不能达到攻击的目的。 如果在溢出的缓冲区中写入我们想执行的代码，再覆盖函数返回地址的 内容，使它指向缓冲区的开头，就可以达到运行其它指令的目的。
通过电子邮件传播是一种最简单有效的方法，黑客通常给 用户发电子邮件，而这个加在附件中的软件就是木马的服务器 端程序。
缓冲区溢出攻击是植入木马最常用的手段。据统计，通过 缓冲区溢出进行的攻击占所有系统攻击总数的80%以上。
计算机病毒与防治课程小组
木入侵
通过缓冲区溢出植入木马
缓冲区溢出((Buffer Overflow)指的是一种系统攻击的手段， 通过往程序的缓冲区写超出其长度的内容，造成缓冲区的溢出，从 而破坏程序的堆栈，使程序转而执行其它指令，以达到攻击的目的。 造成缓冲区溢出的原因是程序中没有仔细检查用户输入的参数。例 如下面程序： void function(char *str)｛ char buffer[16]; strcpy(buffer,str); }
黑客木马程序的技术内秘分析
第18卷第4期上海电力学院学报Vol.18,No.42002年12月Journal of Shanghai Universi ty of Electric PowerDec. 2002文章编号:1006-4729(2002)04-0029-04黑客木马程序的技术内秘分析收稿日期:2002-04-02基金项目:上海电力学院青年基金资助课题王 勇,李志斌,段存升(上海电力学院信息控制系,上海 200090)摘 要:从木马程序的隐藏技术、自动加载技术和通讯技术3个方面进行了详细的技术分析,总结出木马程序的一般设计原理.在隐藏技术中着重阐述了任务栏隐藏、任务管理器隐藏、进程隐藏和端口隐藏等技术.在自动加载技术中分析了如何通过修改注册表来实现木马程序的自动运行,并分析了木马的客户服务器模式通讯技术.最后给出了防范木马入侵的一般方法.关键词:木马程序;自动加载技术;隐藏技术;通讯技术中图分类号:TP393.08文献标识码:A近年来,随着计算机网络发展,网络安全问题日益显得尤其重要.黑客的入侵对网络安全造成了极大威胁.入侵的主要手段之一,就是使用木马技术,其破坏力之大,是绝不容忽视的.黑客是如何制造这种具有破坏力的木马程序,以及如何防范木马程序的入侵?这是本文着重要讨论的问题.本文首先从木马程序的隐藏技术、自动加载技术和通讯技术3个方面进行详细的技术分析研究,总结出木马程序的一般设计原理;其次,给出了防范木马程序入侵的一般方法.1 木马程序的隐藏技术为了避免被发现,木马程序的服务器端,多数都要进行隐藏处理.早期的木马程序所采用的隐藏技术是比较简单的,早期最简单的隐藏方法是在任务栏目里隐藏程序.到后来发展到当按下Ctrl+Alt+Delete 的时候,也就看不到这个程序.现在的木马在进程隐藏方面,已做了大的改动,采用了内核插入式的嵌入方式,利用远程插入线程技术,嵌入DL L 线程,或者挂接PS API,实现木马程序的隐藏,甚至在Window s N T/2000下,都能达到良好的隐藏效果.1.1 在任务栏中隐形这是最基本的隐藏要求,其实现技术同样也是非常的简单.在VB 中,只要把f orm 的Visible 属性设为False,将ShowInTaskBar 设为False,程序就不会出现在任务栏中了.1.2 在win 9x 的任务管理器中隐形这只要把木马服务器端的程序注册为一个服务就可以了,这样,程序就会从任务列表中消失,因为系统不认为该程序是一个进程,当按下C trl +Alt+Delete 的时候,也就看不到这个程序.但是,这种方法只适用于Window s9x 的系统,对于Window s NT,Windo ws 2000等,通过服务管理器,还是可以发现在系统中注册过的服务.将程序设为/系统服务0就可以隐藏.在VB 中如下的代码可以实现这一功能:1 声明部分 Public Declare Function Register 2ServiceProcess Lib /kernel320(ByVal ProcessID As Long,ByVal ServiceFlags As Long)A s L ong Public Declare Function GetCurrentProcessId Lib /kernel320Alias /GetCurrentProcessId 0()As Long2函数部分Private Sub Form L oad()RegisterServiceProcess GetCurrentProcessId,1 (注册系统服务)End SubPrivate Sub Form Unload()RegisterServiceProcess GetCurrentProcessId,0 (取消系统服务)End Sub1.3在winNT/win2000中的任务管理器中隐形在winNT/win2000中实现进程隐藏的方法有两种:一是采用API的拦截技术;二是采用D L L技术.1API的拦截技术在WI ND OWS系统下,可执行文件主要是Exe和Com文件,这两种文件在运行时都有一个共同点,即均会生成一个独立的进程.在Window s中有多种方法能够看到进程的存在:PS API(Process Status API),PD H (Performance Data Helper)和Tool H elp API.如果能够采用A PI的拦截技术,通过建立一个后台的系统钩子,拦截PS API的EnumProcessM odules等相关的函数来实现对进程和服务的遍历调用的控制,当检测到进程ID(PID)为木马程序的服务器端进程的时候直接跳过,那样就实现了进程的隐藏.如果这个进程是一个木马的服务器部分程序,则显然就是现在win9x/win2000的任务管理器中隐藏的程序.2采用D LL技术D L L文件是Windo ws的基础,因为所有的A PI函数都是在D LL中实现的. DL L文件没有程序逻辑,是由多个功能函数构成的,它并不能独立运行,一般都是由进程加载并调用的.因为D L L文件不能独立运行,所以,在进程列表中并不会出现.如果是一个木马D L L,并且通过别的进程来运行它,那么无论是在入侵检测软件还是进程列表中,都只会出现那个进程而并不会出现木马D L L.运行DL L文件最简单的方法是利用Rundll32.exe进行,但是很容易被识破.比较高级的方法是使用木马D L L替换常用的D LL文件,通过函数转发器将正常的调用转发给原D L L,截获并处理特定的消息.D L L木马的最佳隐藏方法是动态嵌入技术,动态嵌入技术是指将自己的代码嵌入正在运行的进程中的技术.与一般的木马不同,该技术基本上摆脱了原有的木马模式监听端口,而是采用替代系统功能的方法,即改写驱动程序或动态链接库.这样做的结果是:由于没有增加新的文件,因此不能用扫描的方法查杀;不需要打开新的端口,所以不能用端口监视的方法查杀;没有新的进程,所以使用进程查看的方法发现不了它,也就不能用kill进程的方法终止其运行.在正常运行时木马几乎没有任何的症状,而一旦木马的控制端向被控端发出特定的信息后,隐藏的程序就立即开始运作.1.4利用端口实现隐形一般来说,一个端口都应对着一种特定的服务.如果某一主机的某一端口处于开放状态,那就意味着这一主机将对互联网上的用户提供该服务,并且该服务程序已在这台主机上运行.反过来,如果某一主机上并未启动某端口服务,而该端口却莫明其妙处于开放状态,那么这一计算机就很可能已被入侵者投放了/木马0.一台机器由65536个端口,通常情况下木马端口一般都在1000个以上,而且呈越来越大的趋势.这是因为,1000以下的端口是常用端口,占用这些端口可能会造成系统不正常,这样,木马就会很容易暴露;而由于端口扫描是需要时间的,即使是一个速度较快的端口扫描器,在远程也需要大约20min才能扫完所有的端口,因此,使用诸如54321的端口很难发现它.冰河及很多比较新的木马都具有端口修改功能,因而木马大多都能在任何端口出现.现在有很多流行的端口扫描程序,比如portscan程序就很不错,在网上可免费下载. 2程序的自加载运行技术让程序自运行的方法比较多,使用者当然不会指望在每次启动后点击木马图标来运行服务端,其实这是启动木马程序的最原始的方法.木马要做的第二件重要的事情就是如何在每次用户启动时自动装载服务端.目前木马程序最常见的启动方法为:加载程序到启动组,写程序启动路径到注册表的HKEY L O C A L M A C HI N E\S O FT W A RE\M icro sof t\Windo w s\ Curre ntV e rsions\Run.当然还有很多其他的方法,比如可以修改B oot.ini,或者通过注册表里的输入法键值直接挂接启动,以及通过修改E xplorer.exe启动参数等,真可谓防不胜防.30上海电力学院学报2002年2.1冰河程序的自动加载方法冰河程序也会在注册表的HK EY L OC ALM AC HI NE\Softw are\M ic rosof t\Windo ws\Current2 Version\Run和RUNS ERVICE键值中加上了C:\ WIN DO WS\SY STE M\Kernl32.exe,如果删除了这个键值,冰河还会出现,这是因为冰河服务端的C:\WI ND OWS\SYS TE M\Sysexplr.exe文件与文本文件相关联,只要打开文本,sysexplr.exe文件就会重新生成krnel32.exe,仍被冰河所控制.C:\WI ND OW S\SY STE M\Sysexplr.exe也在注册表中,它修改了文本文件的关联,在点击文本文件时它就启动了.它会检查Kerne132.exe是否存在,如果存在的话,则不做任何事情.当表面上的木马Kerne132.exe被发现并删除后,目标电脑的主人可能会觉得自己已经删除了木马,应该安全了.但如果目标电脑的主人在以后的日子中点击了文本文件,那么这个文本文件照样运行,而Sysexplr.exe就被启动.2.2/中国一号0(尼姆达)病毒的自动加载技术病毒对系统文件S YS TE M.INI进行了修改,其形式为[boot]shell=explorer.e xe load.e xe-dontrunold.这样,在系统每次启动时该病毒就会传染,驻留内存.2.3Back Or ifice的自动加载技术在注册表的HK E Y L O C A L M A C H I N E\S of tw are\ M icrosof t\Window s\C urrentVersion RU NS ER VIC E键值中加上了/.exe0(一个空格,一个点号,一个e xe 后缀).文件大小为122K左右.3木马程序的通信技术木马实质上只是一个网络客户/服务程序.在此,首先介绍一下网络客户/服务程序的编写过程.3.1基本概念网络客户/服务模式的原理是一台主机提供服务(服务器),另一台主机接受服务(客户机).作为服务器的主机一般会打开一个默认的端口并进行监听(Listen),如果有客户机向服务器的这一端口提出连接请求(Connec t Request),服务器上的相应程序就会自动运行,来应答客户机的请求,被控制端就成为一台服务器,控制端则是一台客户机, G server.exe是守护进程,G client是客户端应用程序.3.2程序实现在VB中,可以使用Winsock控件来编写网络客户/服务程序.其实现原理如下:1服务端G Server.LocalPort=7626G Server.Listen2客户端G Client.Re mote Host=ServerIPG Client.Re motePort=76263连接G Client.Connect一旦服务端接到客户端的连接请求ConnectionRequest,就接受连接Private Sub G Server ConnectionRequest(ByVal requestID As Long)G Server.Accept requestIDEnd Sub客户机端用G Client.SendData发送命令,而服务器在G Server Date Arrive事件中接受并执行命令.(几乎所有的木马功能都在这个事件处理程序中实现.)如果客户断开连接,则关闭连接并重新监听端口Private Sub G Server Close()G Server.CloseG Server.ListenEnd Sub其他的部分可以用命令传递来进行,客户端上传一个命令,服务端解释并执行这一命令.4手工清除木马的方法木马的查杀,可以采用自动和手动两种方式.由于杀毒软件的升级在多数情况下慢于木马的出现,因此,学会手工清除木马的方法对于防范新型木马是非常必要的.1检查注册表看HK E Y L O C AL M A C HI N E\ SO F T WA RE\M icrosof t\Windo ws\Curre ntVersion和HK EY C U RRE N T US ER\S of tw are\Microsoft\ Window s\CurrentVersion下,所有以/Run0开头的31王勇等:黑客木马程序的技术内秘分析键值名,其下有没有可疑的文件名.如果有,就应删除相应的键值,再删除相应的应用程序.2检查启动组,一些木马喜欢在启动组驻留.启动组对应的文件夹为C:\windo w s\startmenu\ programs\startup,在注册表中的位置为HKE YCU RRE N T US ER\Softw are\Microsoft\Windo ws\ CurrenV ersion\Explorer\ShellFolders S tartup=/C:\ windo ws start menu\programs\startup0.要注意经常检查这两个地方.3Win.ini以及System.ini也是木马喜欢的隐蔽场所,要经常检查这些地方.比如,Win.ini的[Windows]小节下的load和run后面在正常情况下是没有任何程序的,如果有,可能就是非法程序.在System.ini的[boot]小节的Shell=Explorer.e xe后面也是加载木马的好场所.4检查C:\w indo w s\winsta rt.ba t C:\w indow s\ wininit.ini或者Autoe xec.bat文件.5检查[HKE Y C U RREN T U SE R\S oftwa re\ M icrosoft\Internet Explorer\E xplorer Bars]下面是不是有一些可疑的.e xe文件.6最常用有效的方法就是采用win2000中的任务管理器,去结束可疑的进程.如果发现计算机的运行速度非常慢,此时就很有必要先要看看任务管理器中哪一个进程的CPU的运算时间比较长,记下这个进程的名字,然后终止该进程,查找该进程在注册表中的所在位置,记下它在硬盘中的存储位置后,逐个删除.查找win.ini, autoexec.bat中的可疑配置,记录可疑程序在硬盘中的位置后删除.最后按照所记录的文件,查找在硬盘中的位置后再删除.反复进行,一直到任务管理器中不再有可疑的进程运行为止.如果在这种情况下还没有办法清除木马的话,建议到专业网站上下载最新的杀木马的软件,国内比较好的杀毒软件要数金山毒霸.5结束语随着计算机网络技术的发展,木马程序的入侵手段也相应发生变化,不能一直使用现有的防范方法去应付将来的木马程序.对木马程序的预防,胜于对入侵后的木马程序的清除.加强计算机网络安全意识,是预防任务的关键环节.参考文献:[1]李劲.windows2000s erver网络管理手册[S].北京:中国青年出版社,2001.[2]张海棠.windows95/98/2000注册表教程[M].北京:海洋出版社,2000.[3]杨守君.黑客技术与网络安全[M].北京:中国对外翻译出版公司,2000.[4]满舟.黑客攻击防范秘竹及[M].北京:北京腾图电子出版社,2001.The Analysis of Design Method of Wood Horse ProgramWANG Y ong,LI Z hi2bin,D UA N Cun2sheng(Department o f In f o rmation a n d contro l,Shanghai U nive rsity o f Electric P o w er,Shan ghai200090,China)Abstract:The essay analysis some design methods of w ood horse,such as hiding,autorun and com munication.Then the conclusion on the common methods of designing a wood horse program is dra wn.The hiding methods include hiding taskbar,hiding interf ace and so on.The autorun methods include changing the register table.The communication include client/server methods.key words:w oodhorse design;autorun of program;hiding;communication32上海电力学院学报2002年。
基于进程和通信隐藏的木马设计与实现论文
基于进程和通信隐藏的木马设计与实现摘要近年来，特洛伊木马等恶意代码己经成为网络安全的重要威胁。
很多国家都采取积极的网络安全防御措施,投入大量的人力和物力研究网络信息安全技术。
文章首先分析了传统木马的一般工作原理及其植入、加载、隐藏等关键技术。
随着网络技术的不断更新和发展，木马技术也在不断地更新换代,现代木马的进程隐藏和通信隐藏等等都发生了变化。
进程的隐藏和通信的隐藏一直是木马程序设计者不断探求的重要技术。
攻击者为达到进程隐藏的目的，采用远程线程和动态链接库，将木马作为线程隐藏在其他进程中。
选用一般安全策略都允许的端口通信,如80端口，则可轻易穿透防火墙和避过入侵检测系统等安全机制的检测,从而具有很强的隐蔽性。
本文研究了如何将Windows环境下的动态链接库(DLL)技术与远程线程插入技术结合起来实现特洛伊木马植入的新方案。
在该方案中，提出了特洛伊木马程序DLL模块化,并且创建了独立的特洛伊木马植入应用程序，将木马程序的DLL模块植入宿主进程。
实验结果证明该方案能实现的木马植入，具有很好的隐蔽性和灵活性。
关键词：特洛伊木马；动态连接库；进程插入；远程线程The Design and Implementation of Trojan Horses Base on Process Hiding and Communications HidingAbstractIn recent years,malicious codes including Trojan have threatened network information security, and more and more countries paid attention to take active measures to protect the network, and spent a lot in research to develop network information security technology mentally and materially. This paper firstly analyses the basic principle, entry technology, load technology and hiding technology of traditional Trojan horse. With the development of network technology, Trojan horse technology is upgrading constantly. Modern Trojan horse is changed in process hiding and communication hiding.The process hiding and communications hiding are important technology being explored by Trojan horse programmers all long. Adopting the measure of dynamic link storage, and Remote Thread technology, and hiding Trojan horse behind the other processes as a thread program, it is easy to hide. Choosing the port correspondence which is permitted by almost all the ordinary security policy, likes 80port, may easily penetrate the firewall and avoid the examine of security systems as invasion-checking mechanisms and so on. Thus, it has a very strong covered.This paper is implemented the injection of Trojan horse by combining the technology of DLL (dynamic linking library) and of remote thread injection on the Windows platform. In this paper, modularization of Trojan horse process is proposed to create an independent Trojan horse injection process, thus, to inject Trojan horse DLL module to the host process.Experimental results show that the program could realize the Trojan injected with good covered and flexibility.Key Words：Trojan Horse；DLL；Process Injection；Remote Thread目录论文总页数：23页1 引言 (1)2 特洛伊木马简介 (1)2.1 认识木马 (2)2.2 木马原理 (2)2.3 木马的危害 (3)2.4 常见木马的介绍 (3)3 木马隐藏概述 (4)3.1 本地隐藏 (4)3.2 通信隐藏 (8)4 隐藏技术的实现 (10)4.1 隐藏进程 (10)4.2 隐藏通信 (14)4.3 木马功能的实现 (15)5 系统测试 (19)5．1功能测试 (19)5．2性能测试 (20)结论 (21)参考文献 (21)致谢 (22)声明 (23)1引言近年来，黑客攻击层出不穷，对网络安全构成了极大的威胁。
研究计算机木马应对技术
研究计算机木马应对技术计算机木马是一种病毒程序，通常伪装成合法程序，并在未经用户许可的情况下向系统中植入恶意程序，以实现攻击者的不诚实行为。
由于计算机系统的复杂性不断增加，计算机木马的数量也在增加，因此研究计算机木马应对技术是非常重要的。
近年来，许多研究人员致力于研究计算机木马应对技术，旨在寻找更有效的方法来检测和清除这些病毒程序。
以下是几种有效的技术。
1. 静态分析技术静态分析是一种在未执行代码的情况下分析代码结构和功能的技术。
这种技术适用于研究计算机木马的应对技术，因为这些程序通常包含特定的代码结构和函数，被称为“病毒特征码”，便于静态分析技术来检测这些木马程序。
通过分析木马的特征码，可以建立一个包含已知木马程序的数据库，并将该数据库与计算机系统进行比对，以确定系统中是否存在木马程序。
通过这种方法，可以有效降低木马的入侵成功率，保护计算机系统的安全。
2. 动态分析技术动态分析是一种检测木马程序的方法，它允许研究人员观察木马程序在代码执行时的行为。
动态分析可以检测木马程序的隐藏或加密特性，并提供用于分析和修复中重要数据的实时数据。
通过动态分析技术，研究人员可以确定木马程序的行为，从而清除和阻止木马程序的入侵。
3. 虚拟机技术虚拟机是一种计算机程序，可以模拟运行另一个操作系统或应用程序。
虚拟机技术可用于研究计算机木马的应对技术，并在隔离的环境中分析、测试木马程序。
通过使用虚拟机技术，研究人员可以在安全的环境下测试和分析木马程序的行为，避免真实系统受到木马程序的损坏。
在这种情况下，研究人员可以确定木马程序的特征和行为，并开发相应的应对措施。
4. 威胁情报共享威胁情报共享是一个基于网络的平台，允许安全研究人员共享他们的研究，包括木马程序的检测和清除技术。
该平台提供一种有效的方式，让研究人员能够收集有关计算机木马的最新信息，并分享他们的知识和技术。
通过共享情报，研究人员可以加快对木马程序的检测、清除和阻止的响应时间，从而更好地保护计算机系统的安全。
木马潜伏技巧大曝光
即应用程 序 的 启 动 配 置 文 件 ，控 制 端 利 用 这 些文件能启动程序的 特 点 ，将 制 作 好 的 带 有 木 马 启动命令的同名文件上传到服务端覆盖这个同 名 文 件 ，这 样 就 可 以 达 到 启 动 木 马 的 目 的 了 。
PQ L 设置在超级连接中
喝牛奶，你就长不高；如果你不爱抽烟、喝酒，表明你老婆一定很严厉（； 向右看 ）
网上保障 个人隐私信息的
十个基本常识
文 ：小 乌 云
载到系统中，任你用 什 么 方 法 你 都 无 法 将 它 赶 跑 !哎，这木马脸皮也真是太厚"，因此按照这个逻 辑 ，启 动 组 也 是 木 马 可 以 藏 身 的 好 地 方 ，因 为 这 里 的 确 是 自 动 加 载 运 行 的 好 场 所 。启 动 组 对 应 的 文 件 夹 为 ：#$%&’()*&+%+,-.,/0(1%2.*3.-/+% +,-.,12，在 注 册 表 中 的 位 置 ：45678#9::6;<89 =6:%=*>,&-.0%?’@.*+*>,%A’()*&+%#1..0(,B0.+’*(% 6C2D*.0.%=E0DDF*D)0.+G=,-.,12HI#$%&’()*&+%+,-.,/0 1%2.*3.-/+%+,-.,12J 。 要 注 意 经 常 检 查 启 动 组 哦 ！
KLG在 不 需 要 文 件 和 打 印 共 享 时 ，关 闭 这 些 功 能 。文 件 和 打 印 共 享 功 能 虽 然 非 常 有用 ，但 也 会 暴 露 你 的 电 脑 给 予 寻 找 安 全 漏洞 的 黑 客 。 黑 客 一 旦 进 入 个 人 电 脑 ，便 能窃取私隐资料。
(完整版)木马攻击技术彻底剖析毕业论文
毕业论文（设计）论文（设计）题目：木马攻击技术彻底剖析学院：理工学院专业（方向）：计算机科学与技术（网络工程）年级、班级：网络1101 学生姓名：指导老师：2015 年 5 月 15 日论文独创性声明本人所呈交的毕业论文（设计）是我个人在指导教师指导下进行的研究工作及取得的成果。
除特别加以标注的地方外，论文中不包含其他人的研究成果。
本论文如有剽窃他人研究成果及相关资料若有不实之处，由本人承担一切相关责任。
本人的毕业论文（设计）中所有研究成果的知识产权属三亚学院所有。
本人保证：发表或使用与本论文相关的成果时署名单位仍然为三亚学院，无论何时何地，未经学院许可，决不转移或扩散与之相关的任何技术或成果。
学院有权保留本人所提交论文的原件或复印件，允许论文被查阅或借阅；学院可以公布本论文的全部或部分内容，可以采用影印、缩印或其他手段复制保存本论文。
加密学位论文解密之前后，以上声明同样适用。
论文作者签名：年月日木马攻击技术彻底剖析摘要如今是大数据的时代，有效的信息能够带来巨大的效益，它作为一种普遍性、共享性、增值型、可处理性和多效用性的资源，使其对于人类具有特别重要的意义。
信息安全的实质就是要保护信息系统或网络信息传输中的信息资源免受各种类型的威胁、干扰和破坏，即保证信息的安全性。
信息安全是一个不容忽视的国家安全战略，任何国家、政府、部门、行业都不可避免的问题。
因此，在计算机信息安全领域，对计算机木马技术的研究已成为一个重点和热点。
本文对计算机木马攻击技术进行了系统的分析和研究，主要工作如下：1．对木马的基本概念进行说明、攻击机制进行剖析。
2．采用“冰河”实例进行剖析说明。
3．在研究了木马隐蔽技术的基础上，提出了一个动静特征相结合的行为木马特征检测技术基本框架。
尽最大能力去检测与防范木马攻击。
【关键词】木马攻击,计算机信息安全,木马检测,木马防范Trojan horse attack technologys ThoroughanalysisAbstractToday is the era of big data, effective information can bring huge benefits, it is a kind of universality, sharing, value-added, processing and multi utility of resources, which is of special significance for human. The essence of information security is to protect the information systems or information transmission network information resources from various types of threats, interference and destruction, which is to ensure the safety of information. Information security is an important national security strategy, any country, government, departments, industries are inevitable problems. Therefore, in the field of computer information security, research on computer Trojan technology has become a key and hot. This paper carried out a systematic analysis and Research on computer technology of the Trojan horse attack, the main work is as follows:1. analyze the attack mechanism of basic concepts of Trojan horse.2. by the analysis of examples to illustrate the "ice age".3.According to the static characteristics of the Trojan based on theweaknesses and Trojan hidden methods, put forward the basic framework of the Trojan detection system of the static characteristics of Trojan detection and dynamic behavior of Trojan detection combined, as much as possible to prevent the Trojan horse attack.[Key words]Trojan attacks, computer information security, Trojan detection, Trojan guard目录1 绪论 (1)1.1木马研究的背景与意义 (1)1.2本课题研究的内容 (2)2 木马攻击机制剖析 (3)2.1概述 (3)2.2木马的定义 (4)2.3木马的攻击模式剖析 (4)2.4木马的攻击特点剖析 (5)2.5木马攻击能力剖析 (6)2.6木马实施攻击的步骤剖析 (7)2.7木马伪装方法剖析 (8)2.7.1 木马启动方式的隐藏技术 (11)2.7.2木马运行形式的隐藏技术 (17)2.7.3 木马通信形式的隐藏技术 (19)2.7.4木马程序在宿主机磁盘上的隐藏 (25)2.8木马的传播途径剖析 (26)3 “冰河”木马实例分析 (27)3.1“冰河”起源与发展 (27)3.2服务端与客户端实现原理 (27)3.3隐藏的实现原理 (28)3.4木马的启动实现 (28)3.5远程控制的实现原理 (29)3.6实现冰河服务器的配置 (30)3.7冰河在目标主机中的隐藏 (31)3.8冰河在目标主机中的控制 (33)3.9冰河木马的查杀 (33)4 动静结合的木马检测防范技术 (34)4.1基于动态行为的木马检测防范技术 (34)4.1.1 行为监控检测防范木马的基本思想 (34)4.1.2 动态检测与防范木马的主要方法 (35)4.2动静结合的木马检测防范体系的分析 (37)4.3动静结合的木马检测防范技术评价 (39)5 结论 (41)参考文献 (42)致谢 (43)1 绪论1.1 木马研究的背景与意义如今计算机科学技术的迅猛发展和广泛应用，使计算机之间的网络通信成为现代社会不可缺少的基本组成部分，具有全球化的互联网技术影响着人类经济、政治、社会的方方面面，对经济可持续发展、国家信息安全、国民教育和现代化管理都起着重要的作用。
全面解析木马揭开木马隐藏的角落
的 用 户 只 需 打 开 “ 务 管 理 器 ” 并 且 任 ，
将 “文 件 夹 选 项 ”中 的 “ 示 所 有 文 显
存 地 址 空 间 ， 好 比 在 未 经 邻 居 同 意 就 的 情 况 下 ． 无 法 进 入 邻 居 家 吃 饭 一 你
样 。比 如 ＱＱ 在 内 存 中 存 放 了 一 张 图
纳它。
一
及 时 发 现 ， 损 失 最 小 化 。 么 ， 马 使 那 木 究竟 是如 何 躲 在 我们 的 系统 中 的呢 ？ 其 实 只 要 了 解 以 下 几 个 方 面 ， 马 在 木 系统 中将 无 处隐 匿 。
种 能 将 进 程 注 册 为 服 务 进 程 的 方
法 。 管 微 软 没 有 公 开 提 供 这 种 方 法 尽 的 技 术 实 现 细 节 ｆ 为 Ｗ ｉｄ ｗｓ的 后 因 ｎｏ
独 立 的 地 址 空 间 对 于 编 程 人 员 和 用 户 来 说 都 是 非 常 有 利 的 。对 于 编
个 进 程 无 法 访 问 另 一 个 进 程 的 内
程 人 员 来 说 ， 统 更 容 易 捕 获 随 意 的 系
内 存 读 取 和 写 入 操 作 。 对 于 用 户 来 说 ， 作 系 统 将 变 得 更 加 健 壮 ， 为 操 因
Ｆ ｘＭ ＢＲ 。 ｉ
单 ， 需 使 用 其 他 第 三 方 进 程 管 理 工 只 具 即 可 找 到 其 所 在 ， 且 采 用 此 技 术 并
进 行 隐 藏 的 木 马 在 Ｗ ｉｄ ｗｓ ０ ０ ｎ ｏ ２ ０ ／
其 中 。 ｉ３ Ｗ ｎ ２应 用 程 序 通 常 会 有 应 用 程 序 界 面 ， 比 如 系 统 中 自 带 的
毕业设计(论文)-浅谈windows下的病毒隐藏技术[管理资料]
![毕业设计(论文)-浅谈windows下的病毒隐藏技术[管理资料]](https://img.taocdn.com/s3/m/539cdc4d960590c69fc376a4.png)
浙江工业职业技术学院毕业论文（2011届）浅谈windows下的病毒隐藏技术学生姓名学号分院专业信指导教师完成日期2011年5月19日浅谈windows下的病毒隐藏技术摘要随着人们对计算机安全要求的不断提高，计算机病毒作为计算机安全的主要威胁，正在受到人们广泛的关注。
只有透彻理解病毒的内在机理，知己知彼，才能更好的防范病毒。
本论文深入剖析了Windows环境下各种病毒的相关技术，并提出了相应的检测方案。
本论文研究总结了网页病毒、宏病毒、邮件病毒的感染、传播及如何获得系统控制权机理，总结了防治脚本病毒、宏病毒、邮件病毒的一般做法，并针对这些病毒的特点提出了基于命令式的预防病毒方案。
蠕虫病毒成为当前网络环境下病毒的主要形式，本论文研究总结了蠕虫的行为特点及工作原理，并给出了一般的防范措施。
计算机病毒手段越来越高明，论文给出了文件型、引导型、宏病毒及Windows病毒的隐藏技术。
同时，论文还研究整理了病毒的常见反检测技术，包括隐藏、反跟踪、变形等。
本文还介绍了木马的概念和危害、木马的工作原理、木马的预防和清除。
当前，病毒的传播途径主要依赖于网络，网络是主机感染病毒的主要来源，论文最后给出了常见的病毒检测技术并简要介绍了防火墙的概念。
关键词: 脚本病毒蠕虫病毒木马病毒检测防火墙目录第一章绪论---------------------------------------------------------------------------------------------------------- 1--------------------------------------------------------------------------------------------------------------------- 1 --------------------------------------------------------------------------------------------------------------------- 4第二章计算机病毒特征------------------------------------------------------------------------------------------ 5--------------------------------------------------------------------------------------------------------------------- 5 -------------------------------------------------------------------------------------------------------------- 5 -------------------------------------------------------------------------------------------------------------- 7 --------------------------------------------------------------------------------------------------------------------- 9 ------------------------------------------------------------------------------------------------------------- 10 ------------------------------------------------------------------------------------------------------------- 13 ------------------------------------------------------------------------------------------------------------- 13 -------------------------------------------------------------------------------------------------------------------- 14第三章Windows病毒分析 ----------------------------------------------------------------------------------- 18-------------------------------------------------------------------------------------------------------------------- 18 ------------------------------------------------------------------------------------------------------------- 18 ------------------------------------------------------------------------------------------------------------- 20 ------------------------------------------------------------------------------------------------------------- 20 ------------------------------------------------------------------------------------------------------------- 22 ------------------------------------------------------------------------------------------------------------- 23 -------------------------------------------------------------------------------------------------------------------- 25 ------------------------------------------------------------------------------------------------------------- 28 -------------------------------------------------------------------------------------------------------------------- 29 ------------------------------------------------------------------------------------------------------------- 30 ------------------------------------------------------------------------------------------------------------- 31 -------------------------------------------------------------------------------------------------------------------- 32WSH介绍 --------------------------------------------------------------------------------------------- 33VBS脚本病毒原理分析---------------------------------------------------------------------------- 36 -------------------------------------------------------------------------------------------------------------------- 37蠕虫的行为特征-------------------------------------------------------------------------------------- 38蠕虫的工作原理-------------------------------------------------------------------------------------- 39蠕虫的防治 -------------------------------------------------------------------------------------------- 41第四章病毒抗分析技术----------------------------------------------------------------------------------------- 43-------------------------------------------------------------------------------------------------------------------- 43引导型病毒的隐藏技术 ---------------------------------------------------------------------------- 43文件型病毒的隐藏技术 ---------------------------------------------------------------------------- 45Windows病毒的隐藏技术----------------------------------------------------------------------- 47-------------------------------------------------------------------------------------------------------------------- 48 -------------------------------------------------------------------------------------------------------------------- 48 -------------------------------------------------------------------------------------------------------------------- 50异常处理的方式-------------------------------------------------------------------------------------- 50异常处理的过程-------------------------------------------------------------------------------------- 51第五章特洛伊木马 ----------------------------------------------------------------------------------------------- 53-------------------------------------------------------------------------------------------------------------------- 53 -------------------------------------------------------------------------------------------------------------------- 56 -------------------------------------------------------------------------------------------------------------------- 61木马的自启动----------------------------------------------------------------------------------------- 61木马的隐藏性----------------------------------------------------------------------------------------- 62 -------------------------------------------------------------------------------------------------------------------- 63第六章病毒检测技术 -------------------------------------------------------------------------------------------- 67------------------------------------------------------------------------------------------------------------- 67 ------------------------------------------------------------------------------------------------------------- 68 ------------------------------------------------------------------------------------------------------------- 70 ------------------------------------------------------------------------------------------------------------- 72 ------------------------------------------------------------------------------------------------------------- 73 ------------------------------------------------------------------------------------------------------------- 75第七章结论--------------------------------------------------------------------------------------------------------- 77致谢----------------------------------------------------------------------------------------------------------------- 80参考文献 ------------------------------------------------------------------------------------------------------------- 81第一章绪论人类进入了信息社会，创造了计算机，计算机虽然给人们的工作和生活带来了便利和效率，然而计算机系统并不安全。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
木马隐藏技术分析
郜多投
（山东大学山东省济南市250100）
摘要:文章首先介绍了木马的原理和特征，然后对木马所实现的功能做了简单的介绍，最后从木马的文件隐藏，进程隐藏和通信隐藏三个方面着重进行了分析。
关键词：木马；木马隐藏；通信隐藏
[引言]木马，是一种通过潜入对方电脑进非法操作的计算机成程序，是目前黑客惯用的一种攻击手段，和一般的恶意软件不同，木马不主动进行自我复制和传播，破坏其他程序，然而，木马的潜伏性是超前的，为了看起来和正常程序一样，在进入系统之前，对自身的程序进行了伪装，使被感染的系统看起来一切正常，从而严重威胁计算机网络安全。
1.木马的原理和特征
一个完整的木马程序包含两部分内容，服务端和控制端，服务端程序是通过远程计算机网络植入对方电脑，而黑客通过客户端进入运行了服务端的受控电脑，通常运行了服务端的计算机会生成一个类似于系统文件的进程，此时端口被暗中打开，电脑中保存的各类数据会向控制端进行发送，黑客也可以通过这些暗中打开的端口进入目标电脑，此时，电脑中更多的隐私将会遭受更大的泄露。
木马一般具有以下特征：
一，隐藏性，隐藏性是木马的最显著特征，比如，改写进程名称使其和系统文件高度相似，隐藏在任务管理器中的进程，减少程序大小，减少暗中打开端口的流量。
二、自动运行性，可以随电脑启动而启动，比如潜入启动配置文件win.ini,winstart。
Bat等，有的也可嵌入正常软件，随软件的运行而启动。
三、欺骗性：木马为了防止被发现，通常伪装成为系统中本身存在的文件，比武将文件名中的“O”改为“0”,“1改为I”等容易混淆是非的字符，或者有的系统中本身的文件名也可被木马直接套用，只不过是保存在不同的系统路径下，另外，有的木马将自己改装成为ZIP压缩文件，当用户解压时，直接运行。
四、自我恢复性。
目前大多数木马程序的功能模块已不是单一的组件构成，而是自动复制到电脑其他路径做备份，在子木马或者主木马被删除时，都可以再自动生成。
2.木马的功能
木马的作用不仅限于窃取密码，对文件进行操作。
一个功能强大的木马程序，一旦潜入计算机系统，黑客对于受控计算机的操作就如同和自己自己的一样。
木马的功能主要分为以下几个方面：窃取密码。
这是早期木马最根本的一个功能，大多数木马具有键盘按键记录功能，一旦木马植入计算机，任何输入键盘的密码将很容易被窃取，然而并没有鼠标记录功能，所以，通过鼠标适当的造作来改变击键顺序可以有效的防止密码泄露。
此外，木马程序也可以记录其他的明文以及缓存Cache记录。
远程监控。
攻击者可以对目标电脑进行屏幕图
像截取，从而监控目标系统的操作，当需要时，还能通过输入指令，对受控计算机的鼠标和键盘进行操作。
早年的“灰鸽子”就有远程视频监控的功能，并且还可以对语音进行监听和发送。
修改注册表。
被植入服务端的电脑，其注册表的信息，主键、子键等可以被控制端任意的修改，删除，新建等，就像操作自己的电脑一样。
系统操作。
这项功能不但可以控制服务端的键盘、鼠标等基本操作，还可以断开服务端的网络连接，关闭或者重启操作系统，甚至发送信息，以此来达到控制目的。
3.木马的隐藏技术
木马为了规避杀毒软件，防止被发现，增加生命周期，通常在进入系统后会以各种方法隐藏其行踪，木马的隐藏能力直接决定了木马的攻击效果。
主要分为三种方式：文件隐藏、进程隐藏、通信隐藏。
3.1文件隐藏
文件隐藏是指木马程序通过伪装目标磁盘文件，让用户在表面上难以辨别出木马程序，通常的文件隐藏方法如下：
（1）嵌入宿主文件。
采用此方法的木马主要是嵌入到系统文件中，当启动系统时，木马随即启动，有的也是捆绑到某个应用程序中，当此程序被用户使用时，木马也跟随启动。
除此之外，目前嵌入在压缩文件ZIP中的木马也比较常见，解压文件的同时，木马程序也被释放运行了。
（2）修改文件属性。
木马程序一般会把自身的文件类型设置为隐藏，并且只读。
这样做的目的主要是防止用户发现，并且保证自身的文件内容不会被修改。
很多木马会把文件释放到windows或者windows\system32等系统目录下，而且会修改此文件的生成日期，以此来迷惑用户。
（3）文件替换。
也叫DLL技术，是木马程序发展的一种比较新的技术产物。
这种技术的精髓所在是将系统原来的DLL替换为木马DLL，将原来的DLL 修改并保存为其他名称，并且过滤进程对此系统DLL 函数的调用，对于正常的调用，木马DLL直接转发给原来的系统DLL，当接到特殊的调用时，木马DLL 就行行相关的操作。
如图1-1所示。
这种木马既没有增加新的系统文件，没有创建新的进程，也没有打开新的端口，因此其隐蔽性是极强的，为长期隐藏在电脑中奠定了很好基础。
3.2进程隐藏
打开任务管理器，查看是否有可疑的进程，这是检查木马程序最简单直接的方法，木马程序经过更新换代，此种方法已经不能有效的阻止木马入侵了，进程隐藏就是防止用户通过这种软件发现木马的存在，增加了木马的生存周期。
最简单的进程隐藏方式就是把木马程序的文件名改为和系统高度相似的名称，比如Exp1orer.exe，利用数字“1”和字母“I”和特别相像，SVCH0ST.EXE，利用数字“0”和字母“o”的相似性，来迷惑用户。
在计算机系统内，由于存在很多个SVCHOST.EXE进程，因此这种改写也增加了迷惑性。
然而，对经验丰富的用户使用此种招式就很难发挥其功效了，当前主流的更高一级的技术主要分为以下两种：API钩子技术和DLL技术。
（1）API钩子（HOOK）技术。
API钩子，也称API HOOK技术，此技术可以让任务管理器等进程软件不显示木马程序的进程列表，然而木马程序却真实存在于系统之中。
所以它所实现的进程隐藏属于伪隐藏。
API（application programming interface）是Windows提供的应用编程接口，其作用是应用程
序可以对系统进行操控。
钩子（hook）实际上是处理消息的一段程序，当被HOOK的某一事件（比如API函数调用），一旦接受到特定的指令，那么进行HOOK的程序就会取得此条指令的控制权，可以任意修改，转发，或者结束指令。
一般而言，钩子服务器（负责钩子钩子驱动器的植入和卸载，一般为EXE文件）和钩子驱动器（负责具体的API调用拦截和操作，一般为DLL文件）组成了API HOOK。
（2）DLL嵌入技术。
如果，木马程序直接不产生进程，那么用户想要找出破绽就非常困难了，DLL 技术正是采用了这种手段，并且达到了真正的进程隐藏，DLL不独立运行，而是加载在某个进程的线程当中，所以在进程列表中，并不会发现木马DLL，而是显示那个进程，通过Rundll32.exe来运行DLL 是最简单的方法，但是很容易被发现。
DLL嵌入技术脱离了木马监听端口的老旧模式，最大的优点在于，通过端口监视的方法进行查杀，因为新的端口并没有被打开。
并且通过一般的杀毒软件扫描文件的形式也并不能有效的清除，因为并没有产生新的文件。
这种方法几乎没有征兆，所以其隐蔽性是极高的。
3.3通信隐藏
木马的通信隐藏方法有以下2种：
（1）端口隐藏。
一般来讲，木马植入主机后，会选择1024等高端口上驻留，也有部分木马采用端口复用技术，选择常用端口，比如80端口来进行通信，并不打开新的端口，当收到正常的HTTP请求时，仍然交于web服务器处理，只有当收到约定的数据包时，才调用木马。
（2）反向连接技术。
这种技术的突破点在于利用了防火墙的一个破绽，防火墙主要是对于进入主机的文件或者链接进行严格的过滤，但是对于主机主动向外界的链接却几乎不进行过滤，和普通的木马不同，反弹端口型木马采用的采用的是反向链接的编程方法，即：服务器端（被控制端）采用主动端口，客户端（控制端）采用的是被动端口，被植入反弹木马服务器端的计算机定时检测控制端的上线情况，一旦发现控制端上线，立即弹出端口连接控制端打开的端口，这种连接还能突破内网与外部建立连接。
4．结束语
随着计算机网络技术的发展，网络安全已经成为人们不得不考虑的一个因素，木马植入手段多样化以及比较强的隐蔽性，对计算机系统的危害性随之提升，在此背景下，本文对木马的隐藏技术进行了深入分析，将有助于采用有效的方式来减少木马的危害。
参考文献
[1]蔺聪，黑丽霞.木马的植入与隐藏技术分析[J].信息安全与通信保密.2008(7):53-55.
[2]王晓燕.计算机病毒传播模型及检测研究[D].武汉:华中师范大学，2011,1-2
[3]蔡洪民等.特洛伊木马攻击分析与检测技术研究[J].计算机安全，2007（4），53-56
[4]盖凌云等.木马隐蔽技术分析及检测[J].中国现代教育装备，2007（5），77-79
[5]周宇晓.网络木马病毒的防范探讨[J].科技信息，2008（35），12-15
【作者简介】姓名:郜多投（1980.6-）男，汉，山东省济南市，山东大学，学历：本科，职务：集团客户经理，职称：工程师，研究方向：电子与通信工程。