08第八章 计算机木马防范.pptVIP

信息安全个人防护 主讲:梁晓琦 木马的特点 隐蔽性：是指木马的设计者为了防止木马被发现，会采用多种手段隐藏木马，这样服务端即使发现感染了木马，由于不能确定其具体位置，往往只能望“马”兴叹。 非授权性：非授权性是指一旦控制端与服务端连接后，控制端将享有服务端的大部分操作权限，包括修改文件，修改注册表，控制鼠标，键盘等等，而这些权力并不是服务端赋予的，而是通过木马程序窃取的。 木马查杀工具----冰刃 IceSword 1.22 中文版 这是一斩断黑手的利刃, 它适用于Windows 2000/XP/2003 操作系统, 其内部功能是十分强大, 用于查探系统中的幕后黑手-木马后门, 并作出处理. 可能您也用过很多类似功能的软件, 比如一些进程工具、端口工具, 但是现在的系统级后门功能越来越强, 一般都可轻而易举地隐藏进程、端口、注册表、文件信息, 一般的工具根本无法发现这些 幕后黑手 . IceSword 使用了大量新颖的内核技术, 使得这些后门躲无所躲. 当然使用它需要用户有一些操作系统的知识. 木马查杀工具——AVG Anti-Spyware 在电脑上已经安装的其它安全软件基础上，补充为一个完整的安全系统。plus版本能实时监测整个系统运行，监测内存，内核自保护，在线升级等。程序可识别并清除63,449种不同的黑客程序,木马程序,蠕虫程序,Dialers程序等! 全面保护你的网络安全!  木马查杀工具----木马克星 2008 本软件可以查杀14783种国际木马，152种电子邮件木马，保证查杀冰河类文件关联木马，oicq类寄生木马，密码邮寄类木马,网络神偷类9x木马,广外幽灵类进程入侵木马。曾在《电脑爱好者》组织的查杀木马软件评测中，以100％的查杀率获得第一名。木马克星是一款智能化软件，面对最基本的电脑用户，只要运行后，它就会自动寻找并且清除木马，不需要复杂的人工设置.??? * 第八讲 计算机木马防范 本讲的目标 了解计算机木马的工作原理 掌握查杀计算机木马的方法（手动方式、专用工具）； 木马程序的利用与监测 “木马”指一些程序设计人员在其可从网络上下载的应用程序或游戏中，包含了可以控制用户的计算机系统的程序，可能造成用户的系统被破坏甚至瘫痪。 木马原则上和Laplink、PCanywhere 等程序一样，只是一种远程管理工具 木马本身不带伤害性，也没有感染力，所以不能称之为病毒 (也有人称之为第二代病毒) 计算机木马种类 键盘记录型木马 主要用来截取用户的密码资料信息，类似于QQ、msn、魔兽世界等大多网游或即使通讯程序的密码，当然，对于用户网上银行的资料记录，这类木马也能够记录下来。 远程监控型木马 Dos攻击木马 木马技术的发展 第一代木马 个将自己伪装成特殊的程序或文件的软件，如本身伪装成一个用户登陆窗口，当用户运行了木马伪装的登陆窗口，输入用户名与密码后，木马将自动记录数据并转发给供给者，入侵者借此来获得用户的重要信息，达到自己的目的。 第二代木马 有能够进行的远程控制操作 第三代木马 由原来的服务端被动连接变为服务端主动连接 第四代木马 远程线程插入技术，将木马线程插入DLL 线程中，增加了隐藏进程技术 典型的C/S结构， 隐蔽性差 隐藏、自启动和操纵服 务器等技术上有长足进步 隐藏、自启动和数据传递技术上 有根本性进步，出现了以ICMP进行数 据传输的木马 采用改写和替换系统文件的做法 木马连接方式 传统方式 端口反弹方式 计算机木马工作原理运行机制 木马运行机制 第一步：木马客户端会将自己的IP 地址以及监听端口发送给一个“中间机器”，如某网页文件，/ip.txt， 第二步：木马服务端会连接“中间机器”，获取服务端目前的IP 地址和端口信息。 第三步：木马服务端主动向客户端发出连接请求，直至双方建立连接成功 计算机木马的工作原理欺骗方式 捆绑欺骗 把木马服务端和某个游戏，或者flash 文件捆绑成一个文件 邮件冒名欺骗 压缩包伪装 网页欺骗 利用net send 欺骗 木马隐藏 在任务栏里隐藏 任务栏中隐藏文件图标 在任务管理器隐藏 把木马设置为“系统服务”， 通信端口的隐藏 加载方式 必威体育精装版隐身技术 通过修改虚拟设备驱动程序(VXD)或修改动态链接库 (DLL)来加载木马 特洛伊木马隐身方法 主要途径有 躲避（改成重要的系统文件名） 绑定器（将木马和合法程序混合在一起产生一个可执行的程序） 在任务栏中隐藏自己 “化妆”为驱动程序 使用动态链接库技术 木马启动方式 在win.ini中启动 在system.ini中启动 通过启动组实现自启动 *.ini 修改文件关联 捆绑文件 反弹技术 木马潜伏时的常见症状 网速突然很慢，系统性能显著下降 系统进程中出现陌生进程 浏