原创力文档- 1、本文档共2页，可阅读全部内容。
- 2、原创力文档（book118）网站文档一经付费（服务费），不意味着购买了该文档的版权，仅供个人/单位学习、研究之用，不得用于商业用途，未经授权，严禁复制、发行、汇编、翻译或者网络传播等，侵权必究。
- 3、本站所有内容均由合作方或网友上传，本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺！文档内容仅供研究参考，付费前请自行鉴别。如您付费，意味着您自己接受本站规则且自行承担风险，本站不退款、不进行额外附加服务；查看《如何避免下载的几个坑》。如果您已付费下载过本站文档，您可以点击 这里二次下载。
- 4、如文档侵犯商业秘密、侵犯著作权、侵犯人身权等，请点击“版权申诉”（推荐），也可以打举报电话：400-050-0827(电话支持时间：9:00-18:30)。
- 5、该文档为VIP文档，如果想要下载，成为VIP会员后，下载免费。
- 6、成为VIP后，下载本文档将扣除1次下载权益。下载后，不支持退款、换文档。如有疑问请联系我们。
- 7、成为VIP后，您将拥有八大权益，权益包括：VIP文档下载权益、阅读免打扰、文档格式转换、高级专利检索、专属身份标志、高级客服、多端互通、版权登记。
- 8、VIP文档为合作方或网友上传，每下载1次， 网站将根据用户上传文档的质量评分、类型等，对文档贡献者给予高额补贴、流量扶持。如果你也想贡献VIP文档。上传文档
现在，很多木马都利用了“反弹端口原理”与“HTTP隧道技术”，它的服务端（被控制端）会主
网方式，只要能浏览网页的电脑，这种木马都可以到，那么我们有必要了解一下此类木
马用到的相关技术。
反弹端口原理：
如果对方装有，客户端发往服务端的连接首先会被服务端主机上的，使服
务端程序不能收到连接，软件不能正常工作。同样，局域网内通过上网的电脑，因为
是多台共用服务器的IP地址，而本机没有独立的互联网的IP地址(只有局域网的IP
与一般的软件相反，反弹端口型软件的服务端(被控制端)主动连接客户端(控制端)，为了
隐蔽起见，客户端的端口一般开在80(提供HTTP服务的端口)，这样，即使用户使用端
口扫描软件检查自己的端口，发现的也是类似TCPUserIP:1026ControllerIP:80
ESTABLISHED的情况，稍微疏忽一点就会以为是自己在浏览网页(也会这么认为
的)。看到这里，有人会问：既然不能直接与服务端通信，如何告诉服务端何时开始连接自
己呢？答案是：通过主页空间上的文件实现的，当客户端想与服务端建立连接时，它首先
登录到FTP服务器，写主页空间上面的一个文件，并打开端口，等待服务端的连接，
服务端定期用HTTP协议这个文件的内容，当发现是客户端让自己开始连接时，就主
动连接，如此就可完成连接工作。
HTTP隧道技术
常常使用木马的用户一定对木马所使用的反弹连接技术、线程技术等耳熟能详，但是对
“HTTP隧道技术”可能就不甚了解了，那到底什么是“HTTP隧道技术”呢？我们知道，使用
而使用“HTTP隧道技术”以后，控制软件可以到局域网里通过HTTP、
SOCKS4/5上网的服务端。简单来说，“HTTP隧道技术”就是把所有要传送的数据全部
封装到HTTP协议里进行传送。因此，在互联网上可以到局域网里通过HTTP、
SOCKS4/5上网的电脑，而且也不会有什么会。
可以这么说，使用“HTTP隧道技术”的控制软件几乎支持了所有的上网方式，如：
拨号上网、ADSL、CableModem、NAT、HTTP的GET型和CONNECT型、
SOCKS4、SOCKS5等。
通过使用反弹连接技术和HTTP隧道技术后，服务端程序的打开端口一般开为80（即
用于网页浏览的端口）。这样稍微疏忽一点用户就会以为是自己在浏览网页，而也会
2005年7月，作为管理员的发现自己所管辖的被。通过对网路
日志的分析，到一个IP地址，结果发现该IP地址是一台服务器的IP地址。在通
过对服务器当前网络连接的分析后，最终锁定真正的IP地址，并确认是通过
一款名为Pcshare的木马程序对它进行了控制。而Pcshare就是一款集反弹连接技术和
HTTP隧道技术于一身的木马程序。简单防御方法
由于HTTP隧道技术的能力十分的强大，并且现在只被利用到某些木马程
序之中，所以要防范“HTTP隧道技术”对用户带来的危害，还需要从木马程序的基本防范做
起。
除此以外，我们应该了解哪些木马程序使用了“HTTP隧道技术”，这些木马程序的特点
又是什么。据统计，现在国产木马程序使用了“HTTP隧道技术”的有P
文档评论（0）