公安信息系统应用课程的设计木马攻击.docx

公安信息系统应用课程设计题目木马攻击一．实验目的学习冰河木马远程控制软件的使用了解木马和计算机病毒的区别熟悉使用木马进行网络攻击的原理和方法通过手动删除木马，掌握检查木马和删除木马的技巧学会防御木马的相关知识，加深对木马的安全防范意识二．实验原理木马程序是目前比较流行的病毒文件，与一般的病毒不同，它不会自我繁殖，也并不刻意地去感染其他文件，它通过将自身伪装吸引用户下载执行，向施种木马者提供打开被种者电脑的门户，使施种者可以任意毁坏、窃取被种者的文件，甚至远程操控被种者的电脑。木马与计算机网络中常常要用到的远程控制软件有些相似，但由于远程控制软件是善意的控制，因此通常不具有隐蔽性；木马则完全相反，木马要达到的是偷窃性的远程控制。它是指通过一段特定的程序（木马程序）来控制另一台计算机。木马通常有两个可执行程序：一个是客户端，即控制端，另一个是服务端，即被控制端。植入被种者电脑的是服务器部分，而黑客正是利用控制器进入运行了服务器的电脑。运行了木马程序的服务器以后，被种者的电脑就会有一个或几个端口被打开，使黑客可以利用这些打开的端口进入电脑系统，安全和个人隐私也就全无保障。木马的设计者为了防止木马被发现，而采用多种手段隐藏木马。木马的服务一旦运行并被控制端连接，其控制端将享有服务端的大部分操作权限，例如给计算机增加口令，浏览、移动、复制、删除文件，修改注册表，更改计算机配置等。随着病毒编写技术的发展，木马程序对用户的威胁越来越大，尤其是一些木马程序采用了极其狡猾的手段来隐蔽自己，使普通用户很难在中毒后发觉。木马是隐藏在正常程序中的具有特殊功能的恶意代码，是具备破坏、删除和修改文件、发送密码、记录键盘、实施DOS攻击甚至完全控制计算机等特殊功能的后门程序。它隐藏在目标的计算机里，可以随计算机自动启动并在某一端口监听来自控制端的控制信息。木马的特性木马程序为了实现某特殊功能，一般应该具有以下性质：伪装性: 程序把自己的服务器端伪装成合法程序，并且诱惑被攻击者执行，使木马代码会在未经授权的情况下装载到系统中并开始运行。隐藏性：木马程序同病毒一样，不会暴露在系统进程管理器内，也不会让使用者察觉到木马的存在，它的所有动作都是伴随其它程序进行的，因此在一般情况下使用者很难发现系统中有木马的存在。破坏性：通过远程控制，攻击者可以通过木马程序对系统中的文件进行删除、编辑操作，还可以进行诸如格式化硬盘、改变系统启动参数等个性破坏操作。窃密性：木马程序最大的特点就是可以窥视被入侵计算机上的所有资料，这不仅包括硬盘上的文件，还包括显示器画面、使用者在操作电脑过程中在硬盘上输入的所有命令等。木马的入侵途径木马入侵的主要途径是通过一定的欺骗方法，如更改图标、把木马文件与普通文件合并，欺骗被攻击者下载并执行做了手脚的木马程序，就会把木马安装到被攻击者的计算机中。木马也可以通过Script、ActiveX及ASP、CGI交互脚本的方式入侵，由于微软的浏览器在执行Script脚本上存在一些漏洞，攻击者可以利用这些漏洞又到上网者单击网页，这样IE浏览器就会自动执行脚本，实现木马的下载和安装。木马还可以利用系统的一些漏洞入侵，如微软的IIS 服务存在多种溢出漏洞，通过缓冲区溢出攻击程序造成IIS服务器溢出，获得控制权县，然后在被攻的服务器上安装并运行木马。木马的种类按照木马的发展历程，可以分为四个阶段：第一代木马是伪装型病毒，将病毒伪装成一合法的程序让用户运行。第二代木马是网络传播型木马，它具备伪装和传播两种功能，可以近些年歌迷马窃取、远程控制。第三代木马在连接方式上有了改进，利用率端口反弹技术。第四代木马在进程隐藏方面作了较大改动，让木马服务器运行时没有进程，网络操作插入到系统进程或者应用进程完成。按照功能分类,木马可以分为: 破坏型木马，主要功能是破坏删除文件；密码发送型木马，它可以找到密码并发送到指定的邮箱中；服务型木马，它通过启动FTP服务或者建立共享目录，使黑客可以连接并下载文件；DOS攻击型木马，它可以作为被黑客控制的肉鸡实施DOS攻击；代理型木马，它作为黑客发起攻击的跳板；远程控制型木马，可以使攻击者利用客户端软件完全控制。木马的工作原理下面介绍木马的传统连接技术、反弹端口技术和线程插入技术。木马的传统连接技术一般木马都采用C/S运行模式，因此它分为两部分，即客户端和服务器端木马程序。其原理是，当服务器端程序在目标计算机上被执行后，一般会打开一个默认的端口进行监听，当客户端向服务器端主动提出连接请求，服务器端的木马程序就会自动运行，来应答客户端的请求，从而建立连接。第一代和第二代木马都采用的是C/S连接方式，都属于客户端主动连接方式。服务器端的远程主机开放监听端口等待外部的连接，当入侵者需要与远程主机连接时，便主动发出连接请求，从而建立连接。木马的反弹端口