网络分析3.docVIP

木马的分析及防御 网络建设分析与设计课程设计报告 院系： 经济与管理学院 专业： 信息管理与信息系统 班级： 09级 指导教师： 王自全 姓名 : 曾军凡 学号： 座机电话号码4147 重庆三峡学院 2011年3月20日--6月5 日 目 录 1. 木马 1 1.1 木马的简介及其发展史 1 1.1.1木马的简介 1 1.1.3.图解木马的发展 2 1.2 木马的种类 3 1.3 木马的原理与其植入计算机的方法 5 1.3.1木马的原理 5 1.3.2图解木马植入与运行过程 5 1.3.3木马植入的常用方法 6 1.4 木马的危害 9 1.5 木马的相同点和区别 9 2. 木马的检测和防御 9 2.1 木马的基本特征分析 9 2.2 木马的检测 11 2.2.1．静态检测 11 2.2.2特征检测 11 2.2.3 行为检测 12 2.3 木马的防御 12 2.3.1 软件查杀： 12 【摘要】 近期网上的术马病毒活动频繁，几乎成了泛滥之势。各种类型的木马病毒、流氓软件恣意横行，其数量之多、出现之快、功能之恶劣、清除之困难可以说是前所未有。由于上网不慎，许多用户感染了木马病毒。“木马”一词大家也许并不陌生，经常听到有人说电脑中了术马病毒。可是它究竟是一种什么样的病毒呢?“木马”是特洛伊木马的简称，英文全称“ rmi8tl house”，其名称来源于古希腊特洛伊战争巾著名的“木马计”。“木马”程序是目前比较流行的病毒文件，与一般的病毒不同，它不会自我繁殖，也并不“刻意”地去感染其他文件，它通过将自身伪装吸引用户下载执行．向施种木马者提供打开被种者电脑的门户，使施种者可以任意毁坏、窃取被种者的文件，甚至远程操控被种者的电脑…… 。接下来的文章中我将对木马进行具体的分析和谈谈其危害，并且谈谈我的防御木马病毒的一些看法。 【关键词】 木马 分析 攻击 防御 1. 木马 1.1 木马的简介及其发展史 1.1.1木马的简介 人们常说的木马病毒，其中特洛伊木马病毒这一名字来至于古希腊时代的古希腊与特洛伊战争中的，故事说的是在古希腊时代，希腊人和特洛伊人发生了战争，在围困特洛伊城长达整整十年后仍不能攻陷。后来希腊人把一批勇士藏匿于巨大无比的木马后退兵，当特洛伊人将木马作为战利品拖入城内时，高大的木马正好卡在城门间，进退两难，夜晚木马内的勇士们爬出来，与城外的部队里应外合而攻下了特洛伊城。而计算机世界的特洛伊木马 Trojan 是指隐藏在正常程序中的一段具有特殊功能的恶意代码，是具备破坏和删除文件、发送密码、记录键盘和拒绝服务攻击等特殊功能的后门程序。1.1.2木马的发展 自从1986年在第一台计算机上面发现了PC-Write木马以来，木马病毒发展的极为迅速，迄今已经更新到了第六代了，下面我具体来介绍木马的五代发展； 第一代，是最原始的木马程序。主要是简单的密码窃取，通过电子邮件发送信息等，具备了木马最基本的功能。 　 第二代，在技术上有了很大的进步，冰河是中国木马的典型代表之一。 第三代，主要改进在数据传递技术方面，出现了ICMP等类型的木马，利用畸形报文传递数据，增加了杀毒软件查杀识别的难度。 第四代 在进程隐藏方面有了很大改动，采用了内核插入式的嵌入方式，利用远程插入线程技术，嵌入DLL线程。或者挂接PSAPI，实现木马程序的隐藏，甚至在Windows NT/2000下，都达到了良好的隐藏效果。灰鸽子和蜜蜂大盗是比较出名的DLL木马。 　 第五代, 驱动级木马。驱动级木马多数都使用了大量的Rootkit技术来达到在深度隐藏的效果，并深入到内核空间的，感染后针对杀毒软件和网络防火墙进行攻击，可将系统SSDT初始化，导致杀毒防火墙失去效应。有的驱动级木马可驻留BIOS，并且很难查杀。 图1.木马演变流程图 （2） 木马伪装技术的演变 接下来 我又稍微介绍下木马病毒的伪装技术的演变，这个为我们分析和了解木马是非常有必要的。 图2.木马伪装技术演变过程 1.2 木马的种类 木马病毒程序发展至今，其病毒的扩张到各个领域，接下来我重点介绍几个类型的木马病毒程序。 （1）网络游戏木马 随着网络在线游戏的普及和升温，我国拥有规模庞大的网游玩家。网络游戏中的金钱、装备等虚拟财富与现实财富之间的界限越来越模糊。与此同时，以盗取网游帐号密码为目的的木马病毒也随之发展泛滥起来。 　 网络游戏木马通常采用记录用户键盘输入、Hook游戏进程API函数等方法获取用户的密码和帐号。窃取到的信息一般通过发送电子邮件或向远程脚本程序提交的方式发送给木马作者。 （2）网银木马 网银木马是针对网上交易系统编写的木马病毒，其目的是盗取用户的卡号、密码，甚至安全证书。此类木马种类数量虽然比不上网游木马，但它的危害更加直接，受害用户的损失更加惨重。 　　网银