冰河木马病毒入侵与防范详细实验报告图文教程[汇编].pdfVIP

目录 简介 1 工作原理 1 步骤流程 5 功能 18 清除方法 19 结论 20 简介 冰河木马开发于 1999 年，在设计之初，开发者的本意是编写一个功能 强大的远程控制软件。 但一经推出， 就依靠其强大的功能成为了黑客们发动入侵 的工具，并结束了国外木马一统天下的局面，成为国产木马的标志和代名词。 在 2006 年之前，冰河在国内一直是不可动摇的领军木马，在国内没用 过冰河的人等于没用过木马，由此可见冰河木马在国内的影响力之巨大。 目 的：远程访问、控制。 选择：可人为制造受害者和寻找 养马场 ，选择前者 的基本上可省略扫描的步骤。 从一定程度上可以说冰河是最有名的木马了，就连刚接触电脑的用户也听说过它。 虽然许多杀毒软件可以查杀它， 但国内仍有几十万中冰河的电脑存在！ 作为木马， 冰河创造 了最多人使用、 最多人中弹的奇迹！ 现在网上又出现了许多的冰河变种程序， 我们这里介绍 的是其标准版，掌握了如何清除标准版，再来对付变种冰河就很容易了。 冰河的服务器端程序为 G-server.exe ，客户端程序为 G-client.exe ，默认连接 端口为 7626 。一旦运行 G-server ，那么该程序就会在 C:/Windows/system 目录下生成 Kernel32.exe 和 sysexplr.exe ，并删除自身。 Kernel32.exe 在系统启动时自动加载运 行， sysexplr.exe 和 TXT 文件关联。即使你删除了 Kernel32.exe ，但只要你打开 TXT 文件， sysexplr.exe 就会被激活，它将再次生成 Kernel32.exe ，于是冰河又回来了！这 就是冰河屡删不止的原因。 工作原理 冰河木马是用 C++Builder 写的，为了便于大家理解，我将用相对比较简单的 VB 来 说明它，其中涉及到一些 WinSock 编程和 Windows API 的知识，如果你不是很了解的话， 请去查阅相关的资料。 一、基础篇（揭开木马的神秘面纱） 无论大家把木马看得多神秘， 也无论木马能实现多么强大的功能， 木马， 其实质只是一 个网络客户 / 服务程序。那么，就让我们从网络客户 / 服务程序的编写开始。 1. 基本概念 : 网络客户 / 服务模式的原理是一台主机提供服务 ( 服务器 ) ，另一台主机接受服务 ( 客户 机) 。作为服务器的主机一般会打开一个默认的端口并进行监听 (Listen), 如果有客户机向 服务器的这一端口提出连接请求 (Connect Request), 服务器上的相应程序就会自动运 行，来应答客户机的请求，这个程序我们称为守护进程 (UNIX 的术语 , 不过已经被移植到了 MS 系统上 ) 。对于冰河，被控制端就成为一台服务器，控制端则是一台客户机， G_server.exe 是守护进程 , G_client 是客户端应用程序。 ( 这一点经常有人混淆，而且往 往会给自己种了木马 ! ） 1 2. 程序实现 : 在 VB 中,可以使用 Winsock 控件来编写网络客户 / 服务程序 , 实现方法如下 ( 其 中,G_Server 和 G_Client 均为 Winsock 控件 ): 服务端 : G_Server.LocalP