木马攻击与防御系列实验07-木马攻击实验综述.doc

?课程编写类别内容实验课题名称木马攻击实验实验目的与要求（1）通过对木马的练习，使读者理解和掌握木马传播和运行的机制； （2）通过手动删除木马，掌握检查木马和删除木马的技巧，学会防御木马的相关知识，加深对木马的安全防范意识。实验环境VPC1(虚拟PC）操作系统类型：windows?xp，网络接口：eth0VPC1?连接要求与VPC2相连VPC2(虚拟PC)操作系统类型：windows?xp，网络接口：eth0VPC2连接要求与VPC1相连软件描述冰河V8.4实验环境描述VPC1与VPC2直接相连，组成一个小局域网预备知识木马是隐藏在正常程序中的具有特殊功能恶意代码，是具备破坏，删除和修改文件，发送密码，记录键盘，实施Dos攻击甚至完全可能告知计算机等特殊功能的后门程序。它隐藏在目标计算机里，可以随计算机自动启动并在某一端口监听来自控制端的控制信息。 木马工作原理 （1）木马的传统连接技术：一般木马都采用C/S(client/server,即服务器/客户端)运行模式，因此它分为两部分，即客户端和服务前端木马程序。其原理是，当服务器端程序在目标计算机上被执行后，一般会打开一个默认的端口进行监听，当客户端向服务器端主动提出连接请求，服务器端的木马程序就会自动运行，来应答客户端的请求，从而建立连接。第一代和第二代木马就采用这种方式。 （2）木马的反弹端口技术：随着防火墙技术的发展，它可有效拦截从外部主动发起的连接的木马程序。但防火墙对内部发起的连接请求则认为是正常连接，第三代第四代木马就是利用这个缺点，其服务器端程序主动发起对外连接请求，再通过某些方式连接到木马的客户端，就是说“反弹式”木马是服务器端主动发起连接请求，而客户端是被动的连接。 （3）线程插入技术：我们知道，一个应用程序在运行之后，都会在系统之中产生一个进程，同时，每个进程分别对应了一个不同的进程标识符。系统会分配一个虚拟的内存空间地址段给这个进程，一切相关的程序操作，都会在这个虚拟的空间中进行。一般情况下，线程之间是相互独立的，当一个线程发生错误的时候，并不一定会导致整个进程的崩溃。“线程插入”技术就是利用线程之间运行的相对独立性，使木马完全地融进了系统那个内核。系统运行时会有很多的进程，而每个进程又有许多的线程，这就导致了查杀利用“线程插入”技术木马程序的难度。实验内容使用冰河木马控制远端计算机，使用各种功能远程操作远端计算机。实验步骤进入实验环境 学生单击“试验环境试验”按钮，出现如教材图1所示网络拓扑 点击“打开控制台”分别进入VPC1：xp01与VPC2：xp02实验系统 在VPC1中D:\tools文件夹下，如教材图2所示 图2?桌面图标 双击G_SERVER，G_Server是木马的服务器端，即用来植入目标主机的程序。 图3 G_SERVER存在目录 此时，如果弹出“windows安全警报”窗口，点击“解除阻止”，木马的服务器端便开始启动。 图4 windows安全警报 ? 同样，在VPC2中D:\tools目录，双击G_CLIENT（G_Client是木马的客户端，即木马的控制端） 图5 G_CLIENT所在目录 此时如果弹出“windows安全警报窗口”，点击“解除阻止”，则可打开控制端。 图6 windows安全警报 打开控制端G_CLIENT后，弹出“冰河”的主界面，如教材图7所示 图7?冰河主界面 单击快捷工具栏中的“添加主机”按钮，如教材图8所示 图8?添加主机按钮 则弹出如下窗口，如教材图9所示 图9?添加计算机 显示名称：填入显示在主界面的名称，即VPC1的ip地址 主机地址：填入服务器端主机的IP地址 访问口令：填入每次访问主机的密码，“空”即可 监听端口：冰河默认的监听端口是7626 获取VPC1的IP地址 在VPC1中点击开始——运行，即可出现如教材图10所示窗口 图10?运行 在打开中输入cmd，点击确定，即可出现命令行界面，在窗口中输入“ipconfig”即可获取VPC1的IP地址，如教材图11窗口，此处VPC1的IP地址为192.168.12.47（此IP地址不固定） 图11?命令行窗口 在如教材图9所示窗口中填写VPC1的IP地址，并点击确定，即可以看到主机界面上添加了192.168.12.47的主机，如教材图12所示 图12??添加192.168.12.47主机 ? 单击192.168.12.47主机，如果连接成功，则会显示服务器端主机上的盘符。这时我们就可以像操作自己的电脑一样操作远程目标电脑，比如打开C:\WINNT\system32\config目录可以找到对方主机上保存用户口令的SAM文件。 命令控制台命令的使用方法 口令类命令： 点击