木马的原理。

木马的原理。

木马的安装和启动 木马一般都以文件的方式传播，不知名的可执行程序和非正规网站上的一些安装程序都可能带有木马。只要一运行这些程序，木马就会自动安装。木马首先将自身拷贝到Windows的系统文件夹中，然后设置好触发条件，安装就完成了。木马是由其在安装过程中设定的触发条件启动的，启动木马的条件，大致出现在下面几个地方: (1)WIN.INI C:\Windows目录下，用文本方式打开，在[windows]字段中有启动命令load=和run=，在一般情况下是空白的，如果有启动程序，可能是木马。 (2)SYSTEM.INI C:\Windows目录下，用文本方式打开，在[386Enh]，[mic]，[drivers32]中有命令行，在其中寻找木马的启动命令。 (3)*.INI 即应用程序的启动配置文件，这些文件能启动程序，把有木马启动命令的同名文件上传到服务端覆盖，就可以达到启动木马的目的。 一旦满足触发条件，木马就被激活，开启事先定义的木马端，准备与客户端建立连接。 木马的运行原理 如果木马只是被激活，而没有上网，木马是不会构成危害的。但是，你一旦上网，黑客便可通过客户端程序经由TCP/IP网络与在你的微机中运行的木马建立连接，从而窃取信息，控制机器。具体的连接过程如下图： 如图所示A机为控制端，B机为服务端，对于A机来说要与B机建立连接必须知道B机的木马端口和IP地址，由于木马端口是A机事先设定的，为已知项，所以最重要的是如何获得B机的IP地址。获得B机的IP 地址的方法主要有两种：信息反馈和IP扫描。所谓信息反馈是指木马成功安装后会收集一些服务端的软硬件信息，并通过E-Mail，IRC等方式告知控制端用户。另一种获取方法是IP扫描，因为B机装有木马程序，所以它的木马端口7626是处于开放状态的，A机只要扫描IP地址段中7626端口开放的主机就行了，例如图中B机的IP地址是 ，当A机扫描到这个IP时发现它的7626端口是开放的，那么这个IP就会被添加到列表中。这时A机就可以通过木马的控制端程序向B机发出连接信号，B机中的木马程序收到信号后立即做出响应，A机收到响应的信号后，开启一个随机端口1031与B机的木马端口7626建立连接，这时一个木马连接真正建立。 木马连接建立后，控制端上的客户端程序与服务端上的木马程序取得联系，并通过木马程序对服务端进行远程控制： (1) 窃取密码：一切以明文的形式，*形式或缓存在CACHE中的密码都能被木马侦测到。 (2)文件操作：控制端可藉由远程控制对服务端上的文件进行几近所有功能的操作。 (3)修改注册表：控制端可任意修改服务端注册表。 (4)系统操作：包括重启或关闭服务端操作系统，断开服务端网络连接，控制服务端的鼠标，键盘，监视服务端桌面操作，查看服务端进程等。 识别与清除木马 木马被激活后，进入内存，并开启事先定义的木马端口，准备与控制端建立连接。这时可以在MS-DOS方式下，键入NETSTAT -AN查看端口状态，一般电脑在脱机状态下是不会有端口开放的。如果有可疑的端口开放，你按照以下步骤进行：先记下这个端口号，然后打开ATM软件看内存中正在运行哪些软件，把这些软件名称和硬盘位置记下，然后终止某个程序运行，如果端口还是开放着，那继续终止下一个，直到端口不再开放，就也就找到了木马。 用手工判断端口的方法只能识别一部分木马，而且操作多有不便。因此，对付木马必须有几款上手的工具： ⑴tcpview 查看端口和线程的有力工具。 ⑵ATM 在ATM界面上可以清楚地看到什么软件在运行，软件的硬盘位置等，对查找木马很有帮助。 (3)LockDown 被认为是最好的防御工具，能监视注册表的变化，删除很多木马。木马运行示意图 (4)木马克星iparmor 可以查杀木马。内置木马防火墙，黑客试图与本机建立连接，都需要Iparmor 确认。 (5)杀毒软件 大部分杀毒软件都具有查杀木马的功能。 木马的预防 1.不要随便运行别人给你的程序，特别是exe可执行程序。 2.不要去不正规的站点去软件，因为，许多黑客将木马隐藏在软件的安装程序里。 3.启用防御工具LockDown ，它能随时监视注册表等文件的变化，并且对删除木马有帮助。 4.养成经常查杀木马的良好习惯，并留心升级最新的查杀木马的工具或杀毒软件。