20150324_094754_361858_孙璇第3章特洛伊木马说课.pptVIP

* 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 思考题 1．简述特洛伊木马的基本原理。 2．如何理解木马与病毒的关系？ 3．木马有哪些伪装方式、隐藏方式、自动启动方式？ 4．针对木马利用Windows注册表实现自动启动的各种途径(诸键值)，查阅与注册表操作相关的API函数，编程实现敏感键值的监视与自动清除或恢复。 5．如何预防木马？结合木马的藏身之所、隐藏技术，总结清除木马的方法。 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 * 页 3.3.1 木马的伪装方式 木马通过伪装达到降低用户警觉、欺骗用户的目的。具体伪装方式有： 修改图标 捆绑文件 出错提示 通过提供假的错误提示，掩盖木马的运行。 自我销毁 安装完木马后，原始邮件或下载软件中的木马文件会自动销毁，阻碍用户找到木马。 木马更名 为了逃避用户根据已知的木马名字查找系统木马； 允许控制端攻击者对木马文件名进行修改。 3.3 特洛伊木马的伪装、隐藏与启动 3.3.2 木马的隐藏方式 木马的隐藏方式 在任务栏里隐藏 在任务管理器里隐藏 定制端口 控制端攻击者可以在1024~65535间任选一个端口作为木马端口。 隐藏通讯 新型隐身技术 3.3 特洛伊木马的伪装、隐藏与启动 3.3.3 木马的启动方式 经常用的方法主要有以下几种 集成(捆绑)到合法的应用程序中 应用程序启动，则木马也被启动； 即使木马被删除，运行捆绑了木马的应用程序，木马又被安装。 隐藏在开机自动加载的系统配置文件中，如： Autoexec.bat、Winstart.bat和Config.sys中 隐藏在能够设置开机启动项的文件中，如： Win.ini（[Windows]字段中的load，run命令） System.ini（[boot]字段等） 3.3 特洛伊木马的伪装、隐藏与启动 3.3.3 木马的启动方式 隐藏在应用程序的启动配置文件中 伪装在普通文件中（例：JPEG木马） 内置到注册表中 隐形于启动组中 修改文件关联 修改运行可执行文件的方式 设置在超级链接中 3.3 特洛伊木马的伪装、隐藏与启动 3.4.1 特洛伊木马技术的发展 木马的发展及成熟，大致也经历了两个阶段： Unix阶段 Windows阶段 木马技术发展至今，已经经历了4代： 第一代木马 只是进行简单的密码窃取、发送等，没有什么特别之处。 第二代木马 在技术上有了很大的进步，主要体现在隐藏、控制等方面。冰河可以说是这个阶段的典型代表之一。 第三代木马 在数据传输技术上，又做了不小的改进，出现了ICMP等类型的木马，利用畸形报文传递数据，增加了查杀的难度。 第四代木马 在进程隐藏方面，做了很大的改动，采用了内核插入式的嵌入方式，利用远程插入线程技术，嵌入DLL线程；或者挂接PSAPI(Process Status API)，实现木马程序的隐藏。 3.4 透视木马开发技术 3.4.2 木马程序的自动启动技术 木马程序运行： 第一次运行： 诱骗用户主动安装木马程序。 后续运行： 在用户启动系统的同时自动加载木马程序。 让程序自动运行的方法比较多 加载程序到启动组，写程序启动路径到注册表的自动启动键值 修改Boot.ini 通过注册表里的输入法键值直接挂接启动 通过修改Explorer.exe启动参数等方法 3.4 透视木马开发技术 3.4.2 木马程序的自动启动技术 3.4 透视木马开发技术 举例：通过修改HKEY_LOCAL_MACHINE\ SOFTWARE\Microsoft\Windows\Currentversions\Run的键值来实现自动加载。 程序如下： CRegKey hKey; if(ERROR_SUCCESS==hKey.Create(HKEY_LOCAL_MACHINE, SOFTWARE\\MICROSOFT\\WINDOWS\\CURRENTVERSION\\RUN)) { BOOL bWrite = TRUE; TCHAR lpBuf[_MAX_PATH]; // 获取木马程序(当前正在运行的本程序)所在路径: GetModuleFileName(GetModu