信息系统安全-计算机病毒实验-L002003013-windows下手工木马检测讲义.doc

课程编写 类别 内容 实验课题名称 L002003013-windows下手工木马检测 实验目的与要求 1、检查网络连接情况 2、查看目前运行的服务 3、检查系统启动项 4、检查系统帐户 实验环境 VPC1(虚拟PC） 操作系统类型：windows，网络接口：eth0 VPC1连接要求 PC?网络接口，与实验室网络相连 实验环境描述 1、学生机与实验室网络直连;2、VPC1与实验室网络直连;3、学生机与VPC1物理链路连通 预备知识 “木马”与计算机网络中常常要用到的远程控制软件有些相似，但由于远程控制软件是“善意”的控制，因此通常不具有隐蔽性；“木马”则完全相反，木马要达到的是“偷窃”性的远程控制，如果没有很强的隐蔽性的话，那就是“毫无价值”的。 　　它是指通过一段特定的程序（木马程序）来控制另一台计算机。木马通常有两个可执行程序：一个是客户端，即控制端；另一个是服务端，即被控制端。植入被种者电脑的是“服务器”部分，而所谓的“黑客”正是利用“控制器”进入运行了“服务器”的电脑。运行了木马程序的“服务器”以后，被种者的电脑就会有一个或几个端口被打开，使黑客可以利用这些打开的端口进入电脑系统，安全和个人隐私也就全无保障了！ 木马的设计者为了防止木马被发现，而采用多种手段隐藏木马。木马的服务一旦运行并被控制端连接，其控制端将享有服务端的大部分操作权限，例如给计算机增加口令，浏览、移动、复制、删除文件，修改注册表，更改计算机配置等。 　　随着病毒编写技术的发展，木马程序对用户的威胁越来越大，尤其是一些木马程序采用了极其狡猾的手段来隐蔽自己，使普通用户很难在中毒后发觉。 ?????那么，我们在不依赖杀毒软件的时候，作为一名信息安全员，我们该如何去检测计算机中，是否中了木马呢！那就跟我一起来看看吧！ 相信你一定有不少收获。 实验内容 1、检查网络连接情况 2、查看目前运行的服务 3、检查系统启动项 4、检查系统帐户 实验步骤 ???学生登录实验场景的操作 1、学生单击“网络拓扑”进入实验场景，单击windows2003中的“打开控制台”按钮，进入目标主机。 2.登陆系统，输入账号administrator?，密码123456 3.?检查网络连接情况 ???由于不少木马会主动侦听端口，或者会连接特定的IP和端口，所以我们可以在没有正常程序连接网络的情况下，通过检查网络连情情况来发现木马的存在。具体的步骤是点击“开始”-“运行”-“cmd”，然后输入netstat?-an这个命令能看到所有和自己电脑建立连接的IP以及自己电脑侦听的端口，它包含四个部分--proto(连接方式)、local address(本地连接地址)、foreign address(和本地建立连接的地址)、state(当前端口状态)。通过这个命令的详细信息，我们就可以完全监控电脑的网络连接情况。 4.?查看目前运行的服务 ???服务是很多木马用来保持自己在系统中永远能处于运行状态的方法之一。我们可以通过点击“开始”-“运行”-“cmd”，然后输入“net start”来查看系统中究竟有什么服务在开启，如果发现了不是自己开放的服务，我们可以进入“服务”管理工具中的“服务”，找到相应的服务，停止并禁用它。 5.?检查系统启动项 ??由于注册表对于普通用户来说比较复杂，木马常常喜欢隐藏在这里。检查注册表启动项的方法如下:点击“开始”-“运行”-“regedit”，然后检查HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion下所有以“run”开头的键值; 检查HKEY_CURRENT_USERS/software/Microsoft/Windows/CurrentVersion下所有以“run”开头的键值; 检查HKEY-USERS/.Default/Software/Microsoft/Windows/CurrentVersion下所有以“run”开头的键值。 Windows安装目录下的System.ini也是木马喜欢隐蔽的地方。打开这个文件看看， 打开C盘下的windows?目录，找到System.ini文件。 在该文件的[boot]字段中，是不是有shell=Explorer.exe file.exe这样的内容，如有这样的内容，那这里的file.exe就是木马程序了! 6.?检查系统帐户?? ????恶意的攻击者喜在电脑中留有一个账户的方法来控制你的计算机。他们采用的方法就是激活一个系统中的默认账户，但这个账户却很少用的，然后把这个账户的权限提升为管理员权限，这个帐户将是系统中最大的安全隐患。恶意的攻击者可以通过这个账户任意地控制你的计算机。针对