5.5木馬的攻擊防護(hù)技術(shù)

1、02木馬的加殼與脫殼03安全解決方案01常見木馬的應(yīng)用常見木馬的應(yīng)用常見木馬的應(yīng)用 “灰鴿子灰鴿子”是國內(nèi)一個著名的后門程序，灰鴿子是國內(nèi)一個著名的后門程序，灰鴿子變變種木馬種木馬運(yùn)行后，會自我復(fù)制到運(yùn)行后，會自我復(fù)制到WindowsWindows目錄下，并自目錄下，并自行將安裝程序刪除；修改注冊表，將病毒文件注冊為行將安裝程序刪除；修改注冊表，將病毒文件注冊為服務(wù)項(xiàng)，實(shí)現(xiàn)開機(jī)自啟；木馬程序還會注入所有的進(jìn)服務(wù)項(xiàng)，實(shí)現(xiàn)開機(jī)自啟；木馬程序還會注入所有的進(jìn)程中，隱藏自我，防止被殺毒軟件查殺；自動開啟程中，隱藏自我，防止被殺毒軟件查殺；自動開啟IEIE瀏覽器，以便與外界進(jìn)行通信，偵聽黑客指令，在用瀏

2、覽器，以便與外界進(jìn)行通信，偵聽黑客指令，在用戶不知情的情況下連接黑客指定站點(diǎn)，盜取用戶信息、戶不知情的情況下連接黑客指定站點(diǎn)，盜取用戶信息、下載其他特定程序。下載其他特定程序。常見木馬的應(yīng)用常見木馬的應(yīng)用 “廣外幽靈廣外幽靈”，它是一個短小精悍的記錄工具，它是一個短小精悍的記錄工具，可以截取到可以截取到WindowsWindows窗體中的星號、黑點(diǎn)密碼，可以窗體中的星號、黑點(diǎn)密碼，可以記錄鍵盤、輸入法輸入的英文以及漢字。記錄的內(nèi)容記錄鍵盤、輸入法輸入的英文以及漢字。記錄的內(nèi)容可以通過可以通過E-mailE-mail發(fā)送到指定的郵箱，也可以保存到指發(fā)送到指定的郵箱，也可以保存到指定文件中定文件中

3、。 “廣外幽靈廣外幽靈”相對于同類型的軟件來說，運(yùn)行穩(wěn)定，相對于同類型的軟件來說，運(yùn)行穩(wěn)定，CPUCPU占用非常低，而且運(yùn)行的時候在系統(tǒng)中不增加任占用非常低，而且運(yùn)行的時候在系統(tǒng)中不增加任何進(jìn)程與線程，只有在發(fā)送郵件的時候，才在當(dāng)前用何進(jìn)程與線程，只有在發(fā)送郵件的時候，才在當(dāng)前用戶工作的程序進(jìn)程中創(chuàng)建一個臨時線程來進(jìn)行發(fā)信，戶工作的程序進(jìn)程中創(chuàng)建一個臨時線程來進(jìn)行發(fā)信，網(wǎng)絡(luò)防火墻即使發(fā)出警告，所警告的程序也不會是幽網(wǎng)絡(luò)防火墻即使發(fā)出警告，所警告的程序也不會是幽靈本身。靈本身。常見木馬的應(yīng)用常見木馬的應(yīng)用 “廣外男生廣外男生”與與“廣外幽靈廣外幽靈”一樣同屬于第四代一樣同屬于第四代木馬，木馬，“

4、廣外男生廣外男生”除了具有普通木馬應(yīng)該具有的特除了具有普通木馬應(yīng)該具有的特點(diǎn)以外，還具備客戶端模仿點(diǎn)以外，還具備客戶端模仿WindowsWindows資源管理器，全資源管理器，全面支持訪問遠(yuǎn)程服務(wù)器端的文件系統(tǒng)，也同時支持通面支持訪問遠(yuǎn)程服務(wù)器端的文件系統(tǒng)，也同時支持通過對方的過對方的“網(wǎng)上鄰居網(wǎng)上鄰居”訪問對方內(nèi)部網(wǎng)其他機(jī)器的共訪問對方內(nèi)部網(wǎng)其他機(jī)器的共享資源。而且其具備強(qiáng)大的文件操作功能：可以對遠(yuǎn)享資源。而且其具備強(qiáng)大的文件操作功能：可以對遠(yuǎn)程機(jī)器進(jìn)行建立文件夾，整個文件夾的一次刪除，支程機(jī)器進(jìn)行建立文件夾，整個文件夾的一次刪除，支持多選的上傳、下載等基本功能。同時支持對遠(yuǎn)程文持多選的上傳

5、、下載等基本功能。同時支持對遠(yuǎn)程文件的高速查找，并且可以對查找的結(jié)果進(jìn)行下載和刪件的高速查找，并且可以對查找的結(jié)果進(jìn)行下載和刪除操作。除操作。木馬的加殼與脫殼v雖然木馬的功能非常強(qiáng)大，甚至使得入侵者可以為所欲為，雖然木馬的功能非常強(qiáng)大，甚至使得入侵者可以為所欲為，但是有了良好的殺毒工具，木馬難免會被查殺。對于網(wǎng)絡(luò)的但是有了良好的殺毒工具，木馬難免會被查殺。對于網(wǎng)絡(luò)的管理員來說，并不是經(jīng)過殺毒軟件掃描的程序就一定不是木管理員來說，并不是經(jīng)過殺毒軟件掃描的程序就一定不是木馬，因?yàn)槿肭终哂锌赡軙靡恍┘夹g(shù)對木馬進(jìn)行修改，這馬，因?yàn)槿肭终哂锌赡軙靡恍┘夹g(shù)對木馬進(jìn)行修改，這里介紹的就是木馬的加殼與

6、脫殼技術(shù)。里介紹的就是木馬的加殼與脫殼技術(shù)。v一個程序?qū)懲旰螅⒉皇前褜懞玫某绦蛑苯犹峁┙o用戶使用一個程序?qū)懲旰?，并不是把寫好的程序直接提供給用戶使用，而是需要通過一些軟件對應(yīng)用程序進(jìn)行處理，處理的目的，而是需要通過一些軟件對應(yīng)用程序進(jìn)行處理，處理的目的有兩個，一個是為了保護(hù)程序源代碼、防止被修改和破壞，有兩個，一個是為了保護(hù)程序源代碼、防止被修改和破壞，另一個是通過加殼后，減小程序的體積，這個處理的過程被另一個是通過加殼后，減小程序的體積，這個處理的過程被稱作稱作“加殼加殼”。木馬通過加殼后可以實(shí)現(xiàn)避免被殺毒軟件查。木馬通過加殼后可以實(shí)現(xiàn)避免被殺毒軟件查殺，常見的加殼軟件有殺，常見的加殼軟件

7、有ASPackASPack、UPXUPX、WWPACKWWPACK等等。木馬的加殼與脫殼v與與加殼相反的過程稱為加殼相反的過程稱為“脫殼脫殼”，目的是把加殼后的，目的是把加殼后的程序恢復(fù)成毫無包裝的可執(zhí)行代碼，這樣未授權(quán)者便程序恢復(fù)成毫無包裝的可執(zhí)行代碼，這樣未授權(quán)者便可以對程序進(jìn)行修改。脫殼與加殼需要使用相同的軟可以對程序進(jìn)行修改。脫殼與加殼需要使用相同的軟件進(jìn)行，例如，使用件進(jìn)行，例如，使用UPXUPX對木馬程序進(jìn)行加殼之后，如對木馬程序進(jìn)行加殼之后，如果需要脫殼，仍然需要使用果需要脫殼，仍然需要使用UPXUPX進(jìn)行脫殼過程。可以使進(jìn)行脫殼過程?？梢允褂糜肔anguage 2000Lang

8、uage 2000這種檢測工具發(fā)現(xiàn)程序加殼所使用的這種檢測工具發(fā)現(xiàn)程序加殼所使用的軟件類型。軟件類型。安全解決方案為了防范木馬的入侵，應(yīng)該實(shí)施如下的安全措施。為了防范木馬的入侵，應(yīng)該實(shí)施如下的安全措施。v 使用專業(yè)廠商的正版防火墻，使用正版的殺毒軟件使用專業(yè)廠商的正版防火墻，使用正版的殺毒軟件，并能夠正確地對防火墻和殺毒軟件進(jìn)行配置。，并能夠正確地對防火墻和殺毒軟件進(jìn)行配置。v 使用工具軟件隱藏自身的實(shí)際地址。使用工具軟件隱藏自身的實(shí)際地址。v 注意自己電子郵箱的安全：不要打開陌生人的郵件注意自己電子郵箱的安全：不要打開陌生人的郵件，更不要在沒有防護(hù)措施的情況下打開或下載郵件中的，更不要在沒有防護(hù)措施的情況下打開或下載郵件中的附件附件。安全解決方案v 不要輕易運(yùn)行別人通過聊天工具發(fā)來的東西，對于從不要輕易運(yùn)行別人通過聊天工具發(fā)來的東西，對于從網(wǎng)上下載的資料或工具應(yīng)該使用殺毒軟件查殺確認(rèn)安全網(wǎng)上下載的資料或工具應(yīng)該使用殺毒軟件查殺確認(rèn)安全后再使用。后再使用。v 不要隱藏文件的擴(kuò)展名，以便及時地發(fā)現(xiàn)木馬文件。不要隱藏文件的擴(kuò)展名，以便及時地發(fā)現(xiàn)木馬文件。v 定期檢查系統(tǒng)的服務(wù)和系統(tǒng)的進(jìn)程，查看