1、 公安信息系统应用课程设计公安信息系统应用课程设计 题 目 木马攻击木马攻击 一实验目的一实验目的 1. 学习冰河木马远程控制软件的使用 2. 了解木马和计算机病毒的区别 3. 熟悉使用木马进行网络攻击的原理和方法 4. 通过手动删除木马，掌握检查木马和删除木马的技巧 5. 学会防御木马的相关知识，加深对木马的安全防范意识 二二实验原理实验原理 木马程序是目前比较流行的病毒文件， 与一般的病毒不同， 它不会自我繁殖， 也并不刻意地去感染其他文件，它通过将自身伪装吸引用户下载执行，向施种木 马者提供打开被种者电脑的门户，使施种者可以任意毁坏、窃取被种者的文件， 甚至远程操控被种者的电脑。 木马与
2、计算机网络中常常要用到的远程控制软件有 些相似，但由于远程控制软件是善意的控制，因此通常不具有隐蔽性；木马则完 全相反，木马要达到的是偷窃性的远程控制。 它是指通过一段特定的程序（木马程序）来控制另一台计算机。木马通常有 两个可执行程序：一个是客户端，即控制端，另一个是服务端，即被控制端。植 入被种者电脑的是服务器部分，而黑客正是利用控制器进入运行了服务器的电 脑。 运行了木马程序的服务器以后， 被种者的电脑就会有一个或几个端口被打开， 使黑客可以利用这些打开的端口进入电脑系统，安全和个人隐私也就全无保障。 木马的设计者为了防止木马被发现，而采用多种手段隐藏木马。木马的服务一旦 运行并被控制端
3、连接，其控制端将享有服务端的大部分操作权限，例如给计算机 增加口令，浏览、移动、复制、删除文件，修改注册表，更改计算机配置等。 随着病毒编写技术的发展，木马程序对用户的威胁越来越大，尤其是一些木 马程序采用了极其狡猾的手段来隐蔽自己，使普通用户很难在中毒后发觉。 木马 是隐藏在正常程序中的具有特殊功能的恶意代码， 是具备破坏、 删除和修改文件、 发送密码、 记录键盘、 实施 DOS 攻击甚至完全控制计算机等特殊功能的后门程序。 它隐藏在目标的计算机里， 可以随计算机自动启动并在某一端口监听来自控制端 的控制信息。 1、木马的特性 木马程序为了实现某特殊功能，一般应该具有以下性质： （1） 伪装
4、性: 程序把自己的服务器端伪装成合法程序，并且诱惑被攻击者执 行，使木马代码会在未经授权的情况下装载到系统中并开始运行。 （2） 隐藏性：木马程序同病毒一样，不会暴露在系统进程管理器内，也不会让 使用者察觉到木马的存在，它的所有动作都是伴随其它程序进行的，因此 在一般情况下使用者很难发现系统中有木马的存在。 （3） 破坏性：通过远程控制，攻击者可以通过木马程序对系统中的文件进行删 除、编辑操作，还可以进行诸如格式化硬盘、改变系统启动参数等个性破 坏操作。 （4） 窃密性：木马程序最大的特点就是可以窥视被入侵计算机上的所有资料， 这不仅包括硬盘上的文件，还包括显示器画面、使用者在操作电脑过程中
5、在硬盘上输入的所有命令等。 2、木马的入侵途径 木马入侵的主要途径是通过一定的欺骗方法，如更改图标、把木马文件与普 通文件合并，欺骗被攻击者下载并执行做了手脚的木马程序，就会把木马安 装到被攻击者的计算机中。木马也可以通过 Script、ActiveX 及 ASP、CGI 交互脚本的方式入侵，由于微软的浏览器在执行 Script 脚本上存在一些漏 洞，攻击者可以利用这些漏洞又到上网者单击网页，这样 IE 浏览器就会自动 执行脚本，实现木马的下载和安装。木马还可以利用系统的一些漏洞入侵， 如微软的 IIS 服务存在多种溢出漏洞，通过缓冲区溢出攻击程序造成 IIS 服 务器溢出，获得控制权县，然后
6、在被攻的服务器上安装并运行木马。 3、木马的种类 按照木马的发展历程，可以分为四个阶段：第一代木马是伪装型病毒， 将病毒伪装成一合法的程序让用户运行。第二代木马是网络传播型木马，它 具备伪装和传播两种功能，可以近些年歌迷马窃取、远程控制。第三代木马 在连接方式上有了改进，利用率端口反弹技术。第四代木马在进程隐藏方面 作了较大改动，让木马服务器运行时没有进程，网络操作插入到系统进程或 者应用进程完成。 按照功能分类,木马可以分为: 破坏型木马，主要功能是破坏删除文件； 密码发送型木马，它可以找到密码并发送到指定的邮箱中；服务型木马，它 通过启动 FTP 服务或者建立共享目录，使黑客可以连接并下载文件；DOS 攻 击型木马，它可以作为被黑客控制的肉鸡实施 DOS 攻击；代理型木马，它作 为黑客发起攻击的跳板；远程控制型木马，可以使攻击者利用客户端软件完 全控制。 4、木马的工作原理 下面介绍木马的传统连接技术、反弹端口技术和线程插入技术。 （1） 木马的传统连接技术 一般木马都采用 C/S 运行模式，因此它分为两部分，即客户端和 服务器端木马程序。其原理是，当服务器端
