系统服务自启动.ppt

 通过注册为系统服务程序实现木马的自启动  实验原理：将木马注册为系统服务程序，通过设置开机启动项来实现木马的自启动。 实验意义：细掌握木马隐藏技术，熟练掌握windows系统服务和注册表编程，能使用vc++2005开发出相应的程序，并通过测试，为寻找木马特征码或者编写反杀毒软件引擎提供技术支持。  木马的简单介绍 木马的自启动方式 系统服务开机启动的方法 木马的简单介绍 什么是木马 木马的特征 木马的种类 木马的隐藏方式 木马的工作原理 中木马后的状况 木马的简单介绍 什么是木马 木马是指通过一段特定的程序来控制另一台计算机。 “木马”程序是目前比较流行的病毒文件，与一般的病毒不同，它不会自我繁殖，也并不“刻意”地去感染其他文件，它通过将自身伪装吸引用户下载执行，向施种木马者提供打开被种者电脑的门户，使施种者可以任意毁坏、窃取被种者的文件，甚至远程操控被种者的电脑。 木马的简单介绍 什么是木马 木马就是通过潜入你的电脑系统，通过种种隐蔽的方式在系统启动时自动在后台执行的程序，以“里应外合”的工作方式，用服务器/客户端的通讯手段，达到当你上网时控制你的电脑，以窃取你的密码、游览你的硬盘资源，修改你的文件或注册表、偷看你的邮件等等。? 木马的简单介绍 什么是木马 一个完整的木马系统由硬件部分、软件部分和具体连接部分组成。 ◆硬件部分 建立木马连接所必须的硬件实体。 控制端：对服务端进行远程控制的一方。 服务端：被控制端远程控制的一方。 INTERNET：控制端对服务端进行远程控制，数据传输的网络载体。 木马的简单介绍 什么是木马 ◆软件部分 实现远程控制所必须的软件程序。 控制端程序：控制端用以远程控制服务端的 程序。 木马程序：潜入服务端内部，获取其操作权限的程序。 木马配置程序：设置木马程序的端口号，触发条件，木马名称等，使其在服务端藏得更隐蔽的程序。 木马的简单介绍 什么是木马 ◆具体连接部分 通过INTERNET在服务端和控制端之间建立一条木马通道所必须的元素。 控制端IP，服务端IP：即控制端，服务端的网络地址，也是木马进行数据传输的目的地。 控制端端口，木马端口：即控制端，服务端的数据入口，通过这个入口，数据可直达控制端程序或木马程序。 木马的简单介绍 木马的特征 ◆隐藏性---首要特征 通过木马程序驻留目标机器后通过远程控制功能控制目标机器 隐蔽性主要体现在以下两个方面： a、不产生图标 它虽然在你系统启动时会自动运行，但它不会在“任务栏”中产生一个图标 b、自动隐藏 木马程序自动在任务管理器中隐藏，并以“系统服务”的方式欺骗操作系统。 木马的简单介绍 木马的特征 ◆木马具有自动运行性 当你系统启动时即自动运行的程序，所以它必需潜入在你的启动配置文件中，如win.ini、system.ini、winstart.bat以及启动组等文件之中  木马的简单介绍 木马的特征 ◆木马程序具有欺骗性 木马程序要达到其长期隐蔽的目的，就必需借助系统中已有的文件，以防被你发现，它经常使用的是常见的文件名或扩展名，如“dll\win\sys\explorer等字样，或者仿制一些不易被人区别的文件名，如字母“l”与数字“1”、字母“o”与数字“0”，常修改基本个文件中的这些难以分辨的字符，更有甚者干脆就借用系统文件中已有的文件名，只不过它保存在不同路径之中。还有的木马程序为了隐藏自己，也常把自己设置成一个ZIP文件式图标，当你一不小心打开它时，它就马上运行。  木马的简单介绍 木马的特征 ◆具备自动恢复功能 现在很多的木马程序中的功能模块已不再 是由单一的文件组成，而是具有多重备份，可以相互恢复。  木马的简单介绍 木马的特征 ◆自动打开特别的端口 木马程序潜入人的电脑之中的目的不主要为了破坏你的系统，更是为了获取你的系统中有用的信息，这样就必需当你上网时能与远端客户进行通讯，这样木马程序就会用服务器/客户端的通讯手段把信息告诉黑客们，以便黑客们控制你的机器，或实施更加进一步入侵企图 。 通常有0-65535号“门”，只有少数是我们用到的 木马的简单介绍 木马的特征 ◆功能的特殊性 除了普通的文件操作以外，还有些木马具有搜索 cache中的口令、设置口令、扫描目标机器人的IP地址、进行键盘记录、远程注册表的操作、以及锁定鼠标等功能 木马的简单介绍