网络安全实践 第7章 如何防御木马.ppt

第7章 如何防御木马 7.1 木马简介 7.2 木马的特征与危害 7.3 如何检测木马的入侵 7.4 常见国内外木马的手工清除 7.5 如何有效防止木马 7.6 使用木马——冰河的介绍与使用 7.7 如何避免木马的入侵 7.8 本章小结 7.1 木 马 简 介 在用户使用自己的计算机时，是否出现过以下一些情况： ·经常出现蓝屏，然后死机； · CD-ROM莫名其妙地自己弹出； ·鼠标左右键功能颠倒或者失灵或文件被删除； ·时而死机，时而又重新启动； ·在没有执行什么操作时，却在拼命读写硬盘； ·系统莫明其妙地对软驱进行有哪些信誉好的足球投注网站； ·没有运行大的程序，而系统的速度越来越慢，系统资源占用很多； ·按“Ctrl+Alt+Del”键调出任务表，发现有多个名字相同的程序在运行，而且可能会随时间的增加而增多。 7.1.1 什么是木马 1. 木马的由来 木马全称为特洛伊木马(Trojan Horse，英文则简称为Trojan)。此词语来源于古希腊的神话故事，传说希腊人围攻特洛伊城，久久不能得手。 2. 木马程序的组成 一个完整的木马系统由硬件部分、软件部分和具体连接部分组成。 1) 硬件部分(建立木马连接所必须的硬件实体) 控制端：对服务端进行远程控制的一方。 服务端：被控制端远程控制的一方。 Internet：控制端对服务端进行远程控制和数据传输的网络载体。 2) 软件部分(实现远程控制所必须的软件程序) 控制端程序：控制端用以远程控制服务端的程序。 木马程序：潜入服务端内部，获取其操作权限的程序。 木马配置程序：设置木马程序的端口号、触发条件、木马名称等，使其在服务端藏得更隐蔽。 3) 具体连接部分(木马进行数据传输的目的地) 控制端端口和木马端口：即控制端、服务端的数据入口，通过这个入口数据可直达控制端程序或木马程序。 7.1.2 木马是怎么工作的 1. 木马是如何传播与运行的 木马的传播方式主要有三种：一种是通过E-mail，控制端将木马程序以附件的形式夹在邮件中发送出去，收信人只要打开附件就会感染木马；另一种是软件下载，一些非正规的网站以提供软件下载为名义，将木马捆绑在软件安装程序上。下载后，只要一运行这些程序，木马就会自动安装。第三种就是通过OICQ的“传送文件”进行传播，不知情的网友一旦打开带有木马的文件就会感染木马。 1) 修改图标 现在已经有木马可以将木马服务端程序的图标改成HTML、TXT、ZIP等各种文件的图标，这有相当大的迷惑性。 2) 捆绑文件 这种伪装手段是将木马捆绑到一个安装程序上，当安装程序运行时，木马在用户毫无察觉的情况下，偷偷地进入了系统。 3) 出错显示 4) 定制端口 5) 自我销毁 6) 木马更名 2. 木马探知和实施控制的过程 一般说来，设计成熟的木马都有一个信息反馈机制。所谓信息反馈机制是指木马成功安装后会收集一些服务端的软硬件信息，并通过E-mail、IRC或ICO的方式告知控制端用户。 一个木马连接的建立首先必须满足两个条件：一是服务端已安中了木马程序；二是控制端、服务端都要在线。在此基础上控制端可以通过木马端口与服务端建立连接。 7.2 木马的特征与危害 7.2.1 木马的基本特征 1. 具有隐蔽性 隐蔽性是其首要的特征，与其他所有的病毒一样，木马也是一种病毒，它必需隐藏在计算机的系统之中，它会想尽一切办法不让用户发现它。 (1) 不产生图标。 (2) 木马程序自动在任务管理器中隐藏，并以“系统服务”的方式欺骗操作系统。 2 . 具有自动运行性 木马程序是一个当系统启动时即自动运行的程