2012012194信安1202李自然-實(shí)驗(yàn)三---木馬病毒分析

1、北京信息科技大學(xué)信息管理學(xué)院課程設(shè)計(jì)報(bào)告課程名稱(chēng) 計(jì)算機(jī)病毒分析與防范課程設(shè)計(jì)題 目 木馬病毒分析與清除 指導(dǎo)教師 孫 璇 設(shè)計(jì)起止日期 2015年4月27日 系 別 信息管理學(xué)院 專(zhuān) 業(yè) 信息安全 學(xué)生姓名 李自然 班級(jí)/學(xué)號(hào) 信安1202/2012012194 成 績(jī) 2北京信息科技大學(xué)信息管理學(xué)院（課程設(shè)計(jì)）實(shí)驗(yàn)報(bào)告實(shí)驗(yàn)名稱(chēng) 木馬病毒分析與清除實(shí)驗(yàn)地點(diǎn) 3-607實(shí)驗(yàn)時(shí)間15.4 1. 課程設(shè)計(jì)目的： 本次實(shí)驗(yàn)要求學(xué)生熟練掌握通過(guò)操作灰鴿子木馬了解并掌握一般木馬的使用方式和行為方式。掌握木馬的傳播和運(yùn)行機(jī)制，通過(guò)相關(guān)技巧學(xué)會(huì)防御木馬的相關(guān)知識(shí)。2. 課程設(shè)計(jì)內(nèi)容： 1、將物理機(jī)與虛擬機(jī)用

2、NAT模式連接，互相ping通。在命令窗口下采用netstat-an命令觀察木馬服務(wù)器在運(yùn)行前的計(jì)算機(jī)網(wǎng)絡(luò)連接情況，并記錄。 2、在物理機(jī)和虛擬機(jī)中關(guān)閉殺毒軟件和防火墻軟件。（灰鴿子是比較早出現(xiàn)的木馬軟件，一般的殺毒軟件都可以清除它。） 3、在灰鴿子控制端對(duì)服務(wù)端進(jìn)行配置，生成服務(wù)器端。 4、將灰鴿子服務(wù)器端用exe-binder與紙牌游戲進(jìn)行捆綁。 5、在VMWare虛擬機(jī)中，運(yùn)行灰捆綁了灰鴿子的紙牌游戲。 6、在物理機(jī)中，運(yùn)行灰鴿子控制端，并查看服務(wù)器端上線(xiàn)情況。 7、使用灰鴿子控制端對(duì)服務(wù)端進(jìn)行文件系統(tǒng)、控制命令、發(fā)送信息等。8、觀察木馬服務(wù)器在運(yùn)行之后的網(wǎng)絡(luò)連接情況（netstat-a

3、n命令），可以看到端口已經(jīng)開(kāi)放，說(shuō)明已經(jīng)成功在服務(wù)器端安裝了木馬。9、卸載木馬方法：（1）在控制端用遠(yuǎn)程控制命令卸載服務(wù)端。 手動(dòng)方法（2）在“開(kāi)始”的“運(yùn)行”里面輸入regedit，打開(kāi)Windows注冊(cè)表編輯器。依次打開(kāi)子鍵目錄HKEY_LOCAL_MACHINE SOFTWARESYSTEMCurrentControlSetService里找到灰鴿子的注冊(cè)表項(xiàng)，全部刪除。（3）在window系統(tǒng)目錄中找到灰鴿子的病毒體（位置可以參照注冊(cè)表） （4）重啟虛擬機(jī)，驗(yàn)證木馬已經(jīng)完全清除。3. 課程設(shè)計(jì)要求：要求學(xué)生獨(dú)立完成灰鴿子木馬服務(wù)端和客戶(hù)端軟件的安裝，能夠熟

4、悉使用netstat命令查看端口開(kāi)放情況。同時(shí)，了解冰河木馬的運(yùn)行痕跡并能夠掌握冰河木馬的手動(dòng)清除方法。4. 實(shí)驗(yàn)條件：虛擬機(jī)、灰鴿子軟件，exe-binder5. 實(shí)驗(yàn)方法與步驟：1. 聯(lián)通物理機(jī)與虛擬機(jī)，查看進(jìn)程虛擬機(jī)物理機(jī)2. 配置灰鴿子生成服務(wù)器端3.捆綁4.發(fā)送捆綁文件給虛擬機(jī)并運(yùn)行5.使用灰鴿子進(jìn)行相關(guān)動(dòng)作6.查看運(yùn)行木馬后的連接情況7.卸載木馬找到木馬注冊(cè)表刪除后重啟無(wú)法捕捉屏幕，無(wú)法獲取信息6. 實(shí)驗(yàn)總結(jié)：通過(guò)這次試驗(yàn)，首先再次練習(xí)了用netstat查看機(jī)子的連接情況，之后我開(kāi)始學(xué)會(huì)灰鴿子的使用配置，也明白了用軟件捆綁的方法去加入木馬，然后再動(dòng)手去刪除木馬，所以我覺(jué)得我們?cè)谏钪幸彩且⌒?，木馬無(wú)處不在【很好玩的感覺(jué)】說(shuō)明：1. 課程名稱(chēng)、課程設(shè)計(jì)目的、課程設(shè)計(jì)內(nèi)容、課程設(shè)計(jì)要求由教師確定，實(shí)驗(yàn)前由教師事先填好，然后作為實(shí)驗(yàn)報(bào)告模版供學(xué)生使用；2. 實(shí)驗(yàn)條件由學(xué)生在實(shí)驗(yàn)或上機(jī)之前填寫(xiě)，教師應(yīng)該在實(shí)驗(yàn)前檢查并指導(dǎo)；3. 實(shí)驗(yàn)過(guò)程由學(xué)生記錄實(shí)驗(yàn)的過(guò)程，包括操作過(guò)程、遇到哪些問(wèn)題以及如何解決等；4. 實(shí)驗(yàn)總結(jié)