木马实现技术实验实验报告 .pdfVIP

实验报告

题目：木马实现技术实验姓名学号

实验环境：VMwareworkstation9.0

操作系统：windows系统XP（√）2003（）其他：

软件：VisualStudio6.0编程环境

硬件环境：CPU主频（）内存（）

实验内容：

1、木马程序实验

2、测试注册表加载型木马door

3、测试服务级木马svchost

通过以上三个实验，给出木马类病毒的防治策略和方法的总结。

实验过程：

实验一：木马程序实验

1打开给的实验文件，其中SocketListener目录下是木马Server端源代码，SocketCommand目录下是木马

Client端源代码。

2用VisualStudio6.0环境分别编译这两部分代码

3运行SocketListener应用程序，也就是启动了木马被控制端

4运行SocketCommand应用程序，也就是启动了木马的控制端，可以在控制端执行命令来控制被控制端。

·输入CMD:NOTEPAD.EXE可以启动记事本：如下图

·输入REBOOT，可以操控电脑重启：如下图

实验二：测试注册表加载型木马door

1用VC++编译door的代码，运行编译的程序，查看注册表

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]

运行程序后可看到door.exe已拷入C:\WINDOWS\system32

运行door.exe后可看见注册表已被修改。

对于类似door类型自动加载注册表木马的防御，我们可以从注册表检查入手，使用windowsXP系统

自带的工具及Msconfig程序，运行就可以看到加载的异常程序，当然木马程序经常会将其文件名改为系统

的文件，例如改为svhost.exe，一般用户无法区分。

实验三：测试服务级木马svchost

1编译代码

2运行木马，同时加上安装服务参数-i

3查看服务

若安装服务成功，运行windows服务命令“netstartsystem”查看启动的系统服务或是在“控制面板”的“管

理工具”中“服务”查看已经启动的服务。

4删除刚才启动的服务

可以使用svchost–r来卸载。

查看服务可发现system服务已删除

对于类似svchost类型自动加载系统服务木马的防御，我们可以从系统服务检查入手，使用windowsXP

系统自带的服务查看工具，从控制面板管理服务查看，运行后，可以看到“system”服务，如果用户

对windows系统服务不是很熟悉的话，很难发现这个木马。

使用第三方工具也可以很容易查杀木马，例如IceSword。

结果和总结：

防范木马可以从以下几点做起：

一、检测网络连接

使用Windows自带的网络命令来看看谁在连接你的计算机。

具体的命令格式是：netstat-an这个命令能看到所有和本地计算机建立连接的IP，它包含四个部分——

proto（连接方式）、localaddress（本地连接地址）、foreignaddress（和本地建立连接的地址）、state（当前

端口状态）。通过这个命令的详细信息，我们就可以完全监控计算机上的连接，从而达到控制计算机的目的。

二、禁用不明服务

可以通过“netstart”来查看系统中究竟有什么服务在开启，如果发现了不是自己开放的服务，我们就

可以有针对性地禁用这个服务了。

方法就是直接输入“netstart”来查看服务，再用“netstopserver”来禁止服务。

三、检查账户

在命令行下输入netuser，查看计算机上有些什么用户，然后再使用“netuser用户名”查看这个用户

是属于什么权限的，一般除了Administrator是administrators组的，其他都不是。如果发现一个系统内置的

用户是属于administrators组的，那几乎肯定是被入侵了，而且别人在你的计算机上克隆了账户。使用“net

user用户名/del”来删掉这个用户。

四、对比系统服务项

1、点击