5.5木馬的攻擊防護(hù)技術(shù)

1、02木馬的加殼與脫殼03安全解決方案01常見(jiàn)木馬的應(yīng)用常見(jiàn)木馬的應(yīng)用常見(jiàn)木馬的應(yīng)用 “灰鴿子灰鴿子”是國(guó)內(nèi)一個(gè)著名的后門程序，灰鴿子是國(guó)內(nèi)一個(gè)著名的后門程序，灰鴿子變變種木馬種木馬運(yùn)行后，會(huì)自我復(fù)制到運(yùn)行后，會(huì)自我復(fù)制到WindowsWindows目錄下，并自目錄下，并自行將安裝程序刪除；修改注冊(cè)表，將病毒文件注冊(cè)為行將安裝程序刪除；修改注冊(cè)表，將病毒文件注冊(cè)為服務(wù)項(xiàng)，實(shí)現(xiàn)開機(jī)自啟；木馬程序還會(huì)注入所有的進(jìn)服務(wù)項(xiàng)，實(shí)現(xiàn)開機(jī)自啟；木馬程序還會(huì)注入所有的進(jìn)程中，隱藏自我，防止被殺毒軟件查殺；自動(dòng)開啟程中，隱藏自我，防止被殺毒軟件查殺；自動(dòng)開啟IEIE瀏覽器，以便與外界進(jìn)行通信，偵聽黑客指令，在用瀏

2、覽器，以便與外界進(jìn)行通信，偵聽黑客指令，在用戶不知情的情況下連接黑客指定站點(diǎn)，盜取用戶信息、戶不知情的情況下連接黑客指定站點(diǎn)，盜取用戶信息、下載其他特定程序。下載其他特定程序。常見(jiàn)木馬的應(yīng)用常見(jiàn)木馬的應(yīng)用 “廣外幽靈廣外幽靈”，它是一個(gè)短小精悍的記錄工具，它是一個(gè)短小精悍的記錄工具，可以截取到可以截取到WindowsWindows窗體中的星號(hào)、黑點(diǎn)密碼，可以窗體中的星號(hào)、黑點(diǎn)密碼，可以記錄鍵盤、輸入法輸入的英文以及漢字。記錄的內(nèi)容記錄鍵盤、輸入法輸入的英文以及漢字。記錄的內(nèi)容可以通過(guò)可以通過(guò)E-mailE-mail發(fā)送到指定的郵箱，也可以保存到指發(fā)送到指定的郵箱，也可以保存到指定文件中定文件中

3、。 “廣外幽靈廣外幽靈”相對(duì)于同類型的軟件來(lái)說(shuō)，運(yùn)行穩(wěn)定，相對(duì)于同類型的軟件來(lái)說(shuō)，運(yùn)行穩(wěn)定，CPUCPU占用非常低，而且運(yùn)行的時(shí)候在系統(tǒng)中不增加任占用非常低，而且運(yùn)行的時(shí)候在系統(tǒng)中不增加任何進(jìn)程與線程，只有在發(fā)送郵件的時(shí)候，才在當(dāng)前用何進(jìn)程與線程，只有在發(fā)送郵件的時(shí)候，才在當(dāng)前用戶工作的程序進(jìn)程中創(chuàng)建一個(gè)臨時(shí)線程來(lái)進(jìn)行發(fā)信，戶工作的程序進(jìn)程中創(chuàng)建一個(gè)臨時(shí)線程來(lái)進(jìn)行發(fā)信，網(wǎng)絡(luò)防火墻即使發(fā)出警告，所警告的程序也不會(huì)是幽網(wǎng)絡(luò)防火墻即使發(fā)出警告，所警告的程序也不會(huì)是幽靈本身。靈本身。常見(jiàn)木馬的應(yīng)用常見(jiàn)木馬的應(yīng)用 “廣外男生廣外男生”與與“廣外幽靈廣外幽靈”一樣同屬于第四代一樣同屬于第四代木馬，木馬，“

4、廣外男生廣外男生”除了具有普通木馬應(yīng)該具有的特除了具有普通木馬應(yīng)該具有的特點(diǎn)以外，還具備客戶端模仿點(diǎn)以外，還具備客戶端模仿WindowsWindows資源管理器，全資源管理器，全面支持訪問(wèn)遠(yuǎn)程服務(wù)器端的文件系統(tǒng)，也同時(shí)支持通面支持訪問(wèn)遠(yuǎn)程服務(wù)器端的文件系統(tǒng)，也同時(shí)支持通過(guò)對(duì)方的過(guò)對(duì)方的“網(wǎng)上鄰居網(wǎng)上鄰居”訪問(wèn)對(duì)方內(nèi)部網(wǎng)其他機(jī)器的共訪問(wèn)對(duì)方內(nèi)部網(wǎng)其他機(jī)器的共享資源。而且其具備強(qiáng)大的文件操作功能：可以對(duì)遠(yuǎn)享資源。而且其具備強(qiáng)大的文件操作功能：可以對(duì)遠(yuǎn)程機(jī)器進(jìn)行建立文件夾，整個(gè)文件夾的一次刪除，支程機(jī)器進(jìn)行建立文件夾，整個(gè)文件夾的一次刪除，支持多選的上傳、下載等基本功能。同時(shí)支持對(duì)遠(yuǎn)程文持多選的上傳

5、、下載等基本功能。同時(shí)支持對(duì)遠(yuǎn)程文件的高速查找，并且可以對(duì)查找的結(jié)果進(jìn)行下載和刪件的高速查找，并且可以對(duì)查找的結(jié)果進(jìn)行下載和刪除操作。除操作。木馬的加殼與脫殼v雖然木馬的功能非常強(qiáng)大，甚至使得入侵者可以為所欲為，雖然木馬的功能非常強(qiáng)大，甚至使得入侵者可以為所欲為，但是有了良好的殺毒工具，木馬難免會(huì)被查殺。對(duì)于網(wǎng)絡(luò)的但是有了良好的殺毒工具，木馬難免會(huì)被查殺。對(duì)于網(wǎng)絡(luò)的管理員來(lái)說(shuō)，并不是經(jīng)過(guò)殺毒軟件掃描的程序就一定不是木管理員來(lái)說(shuō)，并不是經(jīng)過(guò)殺毒軟件掃描的程序就一定不是木馬，因?yàn)槿肭终哂锌赡軙?huì)利用一些技術(shù)對(duì)木馬進(jìn)行修改，這馬，因?yàn)槿肭终哂锌赡軙?huì)利用一些技術(shù)對(duì)木馬進(jìn)行修改，這里介紹的就是木馬的加殼與

6、脫殼技術(shù)。里介紹的就是木馬的加殼與脫殼技術(shù)。v一個(gè)程序?qū)懲旰?，并不是把寫好的程序直接提供給用戶使用一個(gè)程序?qū)懲旰?，并不是把寫好的程序直接提供給用戶使用，而是需要通過(guò)一些軟件對(duì)應(yīng)用程序進(jìn)行處理，處理的目的，而是需要通過(guò)一些軟件對(duì)應(yīng)用程序進(jìn)行處理，處理的目的有兩個(gè)，一個(gè)是為了保護(hù)程序源代碼、防止被修改和破壞，有兩個(gè)，一個(gè)是為了保護(hù)程序源代碼、防止被修改和破壞，另一個(gè)是通過(guò)加殼后，減小程序的體積，這個(gè)處理的過(guò)程被另一個(gè)是通過(guò)加殼后，減小程序的體積，這個(gè)處理的過(guò)程被稱作稱作“加殼加殼”。木馬通過(guò)加殼后可以實(shí)現(xiàn)避免被殺毒軟件查。木馬通過(guò)加殼后可以實(shí)現(xiàn)避免被殺毒軟件查殺，常見(jiàn)的加殼軟件有殺，常見(jiàn)的加殼軟件

7、有ASPackASPack、UPXUPX、WWPACKWWPACK等等。木馬的加殼與脫殼v與與加殼相反的過(guò)程稱為加殼相反的過(guò)程稱為“脫殼脫殼”，目的是把加殼后的，目的是把加殼后的程序恢復(fù)成毫無(wú)包裝的可執(zhí)行代碼，這樣未授權(quán)者便程序恢復(fù)成毫無(wú)包裝的可執(zhí)行代碼，這樣未授權(quán)者便可以對(duì)程序進(jìn)行修改。脫殼與加殼需要使用相同的軟可以對(duì)程序進(jìn)行修改。脫殼與加殼需要使用相同的軟件進(jìn)行，例如，使用件進(jìn)行，例如，使用UPXUPX對(duì)木馬程序進(jìn)行加殼之后，如對(duì)木馬程序進(jìn)行加殼之后，如果需要脫殼，仍然需要使用果需要脫殼，仍然需要使用UPXUPX進(jìn)行脫殼過(guò)程。可以使進(jìn)行脫殼過(guò)程?？梢允褂糜肔anguage 2000Lang

8、uage 2000這種檢測(cè)工具發(fā)現(xiàn)程序加殼所使用的這種檢測(cè)工具發(fā)現(xiàn)程序加殼所使用的軟件類型。軟件類型。安全解決方案為了防范木馬的入侵，應(yīng)該實(shí)施如下的安全措施。為了防范木馬的入侵，應(yīng)該實(shí)施如下的安全措施。v 使用專業(yè)廠商的正版防火墻，使用正版的殺毒軟件使用專業(yè)廠商的正版防火墻，使用正版的殺毒軟件，并能夠正確地對(duì)防火墻和殺毒軟件進(jìn)行配置。，并能夠正確地對(duì)防火墻和殺毒軟件進(jìn)行配置。v 使用工具軟件隱藏自身的實(shí)際地址。使用工具軟件隱藏自身的實(shí)際地址。v 注意自己電子郵箱的安全：不要打開陌生人的郵件注意自己電子郵箱的安全：不要打開陌生人的郵件，更不要在沒(méi)有防護(hù)措施的情況下打開或下載郵件中的，更不要在沒(méi)有防護(hù)措施的情況下打開或下載郵件中的附件附件。安全解決方案v 不要輕易運(yùn)行別人通過(guò)聊天工具發(fā)來(lái)的東西，對(duì)于從不要輕易運(yùn)行別人通過(guò)聊天工具發(fā)來(lái)的東西，對(duì)于從網(wǎng)上下載的資料或工具應(yīng)該使用殺毒軟件查殺確認(rèn)安全網(wǎng)上下載的資料或工具應(yīng)該使用殺毒軟件查殺確認(rèn)安全后再使用。后再使用。v 不要隱藏文件的擴(kuò)展名，以便及時(shí)地發(fā)現(xiàn)木馬文件。不要隱藏文件的擴(kuò)展名，以便及時(shí)地發(fā)現(xiàn)木馬文件。v 定期檢查系統(tǒng)的服務(wù)和系統(tǒng)的進(jìn)程，查看