第二章1网络安全风险分析.pptVIP

系统钩子 钩子是WINDOWS中消息处理机制的一个要点，通过安装各种钩子，应用程序能够设置相应的子例程来监视系统里的消息传递以及在这些消息到达目标窗口程序之前处理它们。钩子的种类很多，每种钩子可以截获并处理相应的消息。 真隐藏：木马的服务器部分程序运行之后，完全的溶进了系统的内核。 不做成一个应用程序，而做为一个其他应用程序的线程，把自身注入其他应用程序的地址空间。而这个应用程序对于系统来说，是一个绝对安全的程序，这样，就达到了彻底隐藏的效果。 木马程序的建立连接的隐藏 木马程序的数据传递方法有很多种，其中最常见的要属TCP,UDP传输数据的方法了，通常是利用Winsock与目标机的指定端口建立起连接，使用send和recv等API进行数据的传递。 但是由于这种方法的隐蔽性比较差，往往容易被一些工具软件查看到，在命令行状态下使用netstat命令，就可以查看到当前的活动TCP，UDP连接。 C:\Documents and Settings\bigballnetstat -n Active Connections ProtoLocal AddressForeign AddressState TCP:1032 8:1863ESTABLISHED TCP:1112 5:80ESTABLISHED TCP:1135 23:80ESTABLISHED