第4章 计算机病毒与黑客 计算机信息安全技术 知识课件.ppt

4.5 特洛伊木马 4.5.1 黑客程序与特洛伊木马 特洛伊木马实际上是一种典型的黑客程序，它是一种基于远程控制的黑客工具，现在已成为黑客程序的代名词。将黑客程序形容为特洛伊木马就是要体现黑客程序的隐蔽性和欺骗性。 比较著名的木马程序有BackOrifice（BO）、Netspy（网络精灵）、Glacier（冰河）、广外女生等，这些木马程序大多可以在网上下载下来直接使用。 4.5.2 木马的基本原理 木马本质上只是一个网络客户/服务程序（Client/Server），一般有两个部分组成：一个是服务端程序，另一个是客户端程序。以冰河程序为例，在VB中，可以使用WinSock控件来编写网络客户服务程序，实现方法如下： 服务端： G_ Server.LocalPort=7626（冰河的默认端口，可以改为别的值） G_ Server.Listen（等待连接） 客户端： G_ Client.RemoteHost=ServerIP（设远端地址为服务器地址） G _Client.RemotePort=7626（设远程端口为冰河的默认端口） G _Client.Connect（调用Winsock控件的连接方法） 其中，G_Server和G_Client均为Winsock控件。一旦服务端接到客户端的连接请求Connection Request，就接受连接。 Private Sub G_ server connection Request G_ Server.Accept reauestID End Sub 客户机端用G_Client.SendData发送命令，而服务器在G_Server DateArrive事件中接受并执行命令（几乎所有的木马功能都在这个事件处理程序中实现）。如果客户断开连接，则关闭连接并重新监听端口。 Private Sub G _Server Close（） G _Server.Close（关闭连接） G_ Server.Listen（再次监听） End Sub 4.5.3 特洛伊木马的启动方式 首先黑客将木马程序捆绑在一些常用的软件上，甚至在你浏览网页的时候，将木马悄悄安装到你的计算机中。 将一个程序捆绑到另一个程序可以通过自己编写程序来实现，也可以从网上下载类似DAMS文件捆绑器来实现。 在Windows系统中，黑客实现程序自启动的方法很多，常见的方法有： 1．修改系统配置文件 通过修改系统配置文件System.ini、Win.ini来实现木马的自启动。 Win.ini有两个数据项“load = ”和“run = ”，如果木马需要在系统启动后运行一个程序，只要在“load = ”和“run = ”后添加该程序的程序名就可以了。 2．修改注册表 修改注册表是木马最常用的攻击和入侵手段，在注册表中有一名称为： HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Current Version\Run*的键。 如果想让程序在系统启动的过程中启动该程序，就可以向该目录添加一个子项。 第4章 计算机病毒与黑客 -*- 第4章 计算机病毒与黑客 4.1 计算机病毒的概述 4.2 计算机病毒制作技术 4.3 计算机杀毒软件制作技术 4.4 蠕虫病毒分析 4.5 特洛伊木马 4.6 计算机病毒与黑客的防范 4.1 计算机病毒的概述? 4.1.1 计算机病毒的定义 《中华人民共和国计算机信息系统安全保护条例》对病毒定义表明了计算机病毒就是具有破坏性的计算机程序。 4.1.2 计算机病毒的特征 1．破坏性。 2．隐蔽性。 3．传染性。 计算机病毒的破坏性、隐蔽性、传染性是计算机病毒的基本特征。 4．潜伏性。 5．可触发性。 6．不可预见性。 4.1.3 计算机病毒的产生原因 1．软件产品的脆弱性是产生计算机病毒根本的技术原因 2．社会因素是产生计算机病毒的土壤 4.1.4 计算机病毒的传播途径 计算机病毒