木馬采用的偽裝方法
1.修改圖標(biāo)
木馬服務(wù)端所用的圖標(biāo)也是有講究的，木馬經(jīng)常故意偽裝成了XT.HTML等你可能認(rèn)為對(duì)系統(tǒng)沒有多少危害的文件圖標(biāo)，這樣很容易誘惑你把它打開?？纯?，木馬是不是很狡猾?
2.捆綁文件
這種偽裝手段是將木馬捆綁到一個(gè)安裝程序上，當(dāng)安裝程序運(yùn)行時(shí)，木馬在用戶毫無察覺的情況下，偷偷地進(jìn)入了系統(tǒng)。被捆綁的文件一般是可執(zhí)行文件 (即EXE、COM一類的文件)。
3.出錯(cuò)顯示
有一定木馬知識(shí)的人部知道，如果打開一個(gè)文件，沒有任何反應(yīng)，這很可能就是個(gè)木馬程序。木馬的設(shè)計(jì)者也意識(shí)到了這個(gè)缺陷，所以已經(jīng)有木馬提供了一個(gè)叫做出錯(cuò)顯示的功能。當(dāng)服務(wù)端用戶打開木馬程序時(shí)，會(huì)彈出一個(gè)錯(cuò)誤提示框 (這當(dāng)然是假的)，錯(cuò)誤內(nèi)容可自由定義，大多會(huì)定制成一些諸如 "文件已破壞，無法打開!"之類的信息，當(dāng)服務(wù)端用戶信以為真時(shí)，木馬卻悄悄侵人了系統(tǒng)。
4.自我銷毀
這項(xiàng)功能是為了彌補(bǔ)木馬的一個(gè)缺陷。我們知道，當(dāng)服務(wù)端用戶打開含有木馬的文件后，木馬會(huì)將自己拷貝到Windows的系統(tǒng)文件夾中(C;\wmdows或C:\windows\system目錄下),一般來說，源木馬文件和系統(tǒng)文件夾中的木馬文件的大小是一樣的 (捆綁文件的木馬除外)，那么，中了木馬的朋友只要在近來收到的信件和下載的軟件中找到源木馬文件，然后根據(jù)源木馬的大小去系統(tǒng)文件夾找相同大小的文件，判斷一下哪個(gè)是木馬就行了。而木馬的自我銷毀功能是指安裝完木馬后，源木馬文件自動(dòng)銷毀，這樣服務(wù)端用戶就很難找到木馬的來源，在沒有查殺木馬的工具幫助下。就很難刪除木馬了。
5.木馬更名
木馬服務(wù)端程序的命名也有很大的學(xué)問。如果不做任何修改，就使用原來的名字，誰不知道這是個(gè)木馬程序呢?所以木馬的命名也是千奇百怪，不過大多是改為和系統(tǒng)文件名差不多的名字，如果你對(duì)系統(tǒng)文件不夠了解，那可就危險(xiǎn)了。例如有的木馬把名字改為window.exe，如果不告訴你這是木馬的話，你敢刪除嗎?還有的就是更改一些后綴名，比如把dll改為dl等，不仔細(xì)看的，你會(huì)發(fā)現(xiàn)嗎?
木馬的種類
1、破壞型
惟一的功能就是破壞并且刪除文件，可以自動(dòng)的刪除電腦上的DLL、INI、EXE文件。
2、密碼發(fā)送型
可以找到隱藏密碼并把它們發(fā)送到指定的信箱。有人喜歡把自己的各種密碼以文件的形式存放在計(jì)算機(jī)中，認(rèn)為這樣方便；還有人喜歡用WINDOWS提供的密碼記憶功能，這樣就可以不必每次都輸入密碼了。許多黑客軟件可以尋找到這些文件，把它們送到黑客手中。也有些黑客軟件長(zhǎng)期潛伏，記錄操作者的鍵盤操作，從中尋找有用的密碼。
在這里提醒一下，不要認(rèn)為自己在文檔中加了密碼而把重要的保密文件存在公用計(jì)算機(jī)中，那你就大錯(cuò)特錯(cuò)了。別有用心的人完全可以用窮舉法暴力破譯你的密碼。利用WINDOWS API函數(shù)EnumWindows和EnumChildWindows對(duì)當(dāng)前運(yùn)行的所有程序的所有窗口（包括控件）進(jìn)行遍歷，通過窗口標(biāo)題查找密碼輸入和出確認(rèn)重新輸入窗口，通過按鈕標(biāo)題查找我們應(yīng)該單擊的按鈕，通過ES_PASSWORD查找我們需要鍵入的密碼窗口。向密碼輸入窗口發(fā)送WM_SETTEXT消息模擬輸入密碼，向按鈕窗口發(fā)送WM_COMMAND消息模擬單擊。在破解過程中，把密碼保存在一個(gè)文件中，以便在下一個(gè)序列的密碼再次進(jìn)行窮舉或多部機(jī)器同時(shí)進(jìn)行分工窮舉，直到找到密碼為止。此類程序在黑客網(wǎng)站上唾手可得，精通程序設(shè)計(jì)的人，完全可以自編一個(gè)。
3、遠(yuǎn)程訪問型
最廣泛的是特洛伊馬，只需有人運(yùn)行了服務(wù)端程序，如果客戶知道了服務(wù)端的IP地址，就可以實(shí)現(xiàn)遠(yuǎn)程控制。以下的程序可以實(shí)現(xiàn)觀察"受害者"正在干什么，當(dāng)然這個(gè)程序完全可以用在正道上的，比如監(jiān)視學(xué)生機(jī)的操作。
程序中用的UDP（User Datagram Protocol，用戶報(bào)文協(xié)議）是因特網(wǎng)上廣泛采用的通信協(xié)議之一。與TCP協(xié)議不同，它是一種非連接的傳輸協(xié)議，沒有確認(rèn)機(jī)制，可靠性不如TCP，但它的效率卻比TCP高，用于遠(yuǎn)程屏幕監(jiān)視還是比較適合的。它不區(qū)分服務(wù)器端和客戶端，只區(qū)分發(fā)送端和接收端，編程上較為簡(jiǎn)單，故選用了UDP協(xié)議。本程序中用了DELPHI提供的TNMUDP控件。
4.鍵盤記錄木馬
這種特洛伊木馬是非常簡(jiǎn)單的。它們只做一件事情，就是記錄受害者的鍵盤敲擊并且在LOG文件里查找密碼。據(jù)筆者經(jīng)驗(yàn)，這種特洛伊木馬隨著Windows的啟動(dòng)而啟動(dòng)。它們有在線和離線記錄這樣的選項(xiàng)，顧名思義，它們分別記錄你在線和離線狀態(tài)下敲擊鍵盤時(shí)的按鍵情況。也就是說你按過什么按鍵，下木馬的人都知道，從這些按鍵中他很容易就會(huì)得到你的密碼等有用信息，甚至是你的信用卡賬號(hào)哦!當(dāng)然，對(duì)于這種類型的木馬，郵件發(fā)送功能也是必不可少的。
5.DoS攻擊木馬
隨著DoS攻擊越來越廣泛的應(yīng)用，被用作DoS攻擊的木馬也越來越流行起來。當(dāng)你入侵了一臺(tái)機(jī)器，給他種上DoS攻擊木馬，那么日后這臺(tái)計(jì)算機(jī)就成為你DoS攻擊的最得力助手了。你控制的肉雞數(shù)量越多，你發(fā)動(dòng)DoS攻擊取得成功的機(jī)率就越大。所以，這種木馬的危害不是體現(xiàn)在被感染計(jì)算機(jī)上，而是體現(xiàn)在攻擊者可以利用它來攻擊一臺(tái)又一臺(tái)計(jì)算機(jī)，給網(wǎng)絡(luò)造成很大的傷害和帶來損失。
還有一種類似DoS的木馬叫做郵件炸彈木馬，一旦機(jī)器被感染，木馬就會(huì)隨機(jī)生成各種各樣主題的信件，對(duì)特定的郵箱不停地發(fā)送郵件，一直到對(duì)方癱瘓、不能接受郵件為止。
6.代理木馬
黑客在入侵的同時(shí)掩蓋自己的足跡，謹(jǐn)防別人發(fā)現(xiàn)自己的身份是非常重要的，因此，給被控制的肉雞種上代理木馬，讓其變成攻擊者發(fā)動(dòng)攻擊的跳板就是代理木馬最重要的任務(wù)。通過代理木馬，攻擊者可以在匿名的情況下使用Telnet,ICQ,IRC等程序，從而隱蔽自己的蹤跡。
7.FTP木馬
這種木馬可能是最簡(jiǎn)單和古老的木馬了，它的惟一功能就是打開21端口，等待用戶連接?，F(xiàn)在新FTP木馬還加上了密碼功能，這樣，只有攻擊者本人才知道正確的密碼，從而進(jìn)人對(duì)方計(jì)算機(jī)。
8.程序殺手木馬
上面的木馬功能雖然形形色色，不過到了對(duì)方機(jī)器上要發(fā)揮自己的作用，還要過防木馬軟件這一關(guān)才行。常見的防木馬軟件有ZoneAlarm,Norton Anti-Virus等。程序殺手木馬的功能就是關(guān)閉對(duì)方機(jī)器上運(yùn)行的這類程序，讓其他的木馬更好地發(fā)揮作用。
9.反彈端口型木馬
木馬是木馬開發(fā)者在分析了防火墻的特性后發(fā)現(xiàn):防火墻對(duì)于連入的鏈接往往會(huì)進(jìn)行非常嚴(yán)格的過濾，但是對(duì)于連出的鏈接卻疏于防范。于是，與一般的木馬相反，反彈端口型木馬的服務(wù)端 (被控制端)使用主動(dòng)端口，客戶端 (控制端)使用被動(dòng)端口。木馬定時(shí)監(jiān)測(cè)控制端的存在，發(fā)現(xiàn)控制端上線立即彈出端口主動(dòng)連結(jié)控制端打開的主動(dòng)端口;為了隱蔽起見，控制端的被動(dòng)端口一般開在80，即使用戶使用掃描軟件檢查自己的端口，發(fā)現(xiàn)類似TCP UserIP:1026 ControllerIP:80ESTABLISHED的情況，稍微疏忽一點(diǎn)，你就會(huì)以為是自己在瀏覽網(wǎng)頁。
中木馬后出現(xiàn)的狀況
對(duì)于一些常見的木馬，如SUB7、BO2000、冰河等等，它們都是采用打開TCP端口監(jiān)聽和寫人注冊(cè)表啟動(dòng)等方式，使用木馬克星之類的軟件可以檢測(cè)到這些木馬，這些檢測(cè)木馬的軟件大多都是利用檢測(cè)TCP連結(jié)、注冊(cè)表等信息來判斷是否有木馬人侵，因此我們也可以通過手工來偵測(cè)木馬。
也許你會(huì)對(duì)硬盤空間莫名其妙減少500M感到習(xí)以為常，這的確算不了什么，天知道Windows的臨時(shí)文件和那些烏七八糟的游戲吞噬了自己多少硬盤空間?？墒?，還是有一些現(xiàn)象會(huì)讓你感到警覺，一旦你覺得你自己的電腦感染了木馬，你應(yīng)該馬上用殺毒軟件檢查一下自己的計(jì)算機(jī)，然后不管結(jié)果如何，就算是Norton告訴你，你的機(jī)器沒有木馬，你也應(yīng)該再親自作一次更深人的調(diào)查，確保自己機(jī)器安全。經(jīng)常關(guān)注新的和出名的木馬的特性報(bào)告，這將對(duì)你診斷自己的計(jì)算機(jī)問題很有幫助。
(1)當(dāng)你瀏覽一個(gè)網(wǎng)站，彈出來一些廣告窗口是很正常的事情，可是如果你根本沒有打開瀏覽器，而覽瀏器突然自己打開，并且進(jìn)入某個(gè)網(wǎng)站，那么，你要小心。
(2)你正在操作電腦，突然一個(gè)警告框或者是詢問框彈出來，問一些你從來沒有在電腦上接觸過的間題。
(3)你的Windows系統(tǒng)配置老是自動(dòng)莫名其妙地被更改。比如屏保顯示的文字，時(shí)間和日期，聲音大小，鼠標(biāo)靈敏度，還有CD-ROM的自動(dòng)運(yùn)行配置。
(4)硬盤老沒緣由地讀盤，軟驅(qū)燈經(jīng)常自己亮起，網(wǎng)絡(luò)連接及鼠標(biāo)屏幕出現(xiàn)異?，F(xiàn)象。
這時(shí)，最簡(jiǎn)單的方法就是使用netstat-a命令查看。你可以通過這個(gè)命令發(fā)現(xiàn)所有網(wǎng)絡(luò)連接，如果這時(shí)有攻擊者通過木馬連接，你可以通過這些信息發(fā)現(xiàn)異常。通過端口掃描的方法也可以發(fā)現(xiàn)一些弱智的木馬，特別是一些早期的木馬，它們捆綁的端口不能更改，通過掃描這些固定的端口也可以發(fā)現(xiàn)木馬是否被植入。
當(dāng)然，沒有上面的種種現(xiàn)象并不代表你就絕對(duì)安全。有些人攻擊你的機(jī)器不過是想尋找一個(gè)跳板。做更重要的事情;可是有些人攻擊你的計(jì)算機(jī)純粹是為了好玩。對(duì)于純粹處于好玩目的的攻擊者，你可以很容易地發(fā)現(xiàn)攻擊的痕跡;對(duì)于那些隱藏得很深，并且想把你的機(jī)器變成一臺(tái)他可以長(zhǎng)期使用的肉雞的黑客們，你的檢查工作將變得異常艱苦并且需要你對(duì)入侵和木馬有超人的敏感度，而這些能力，都是在平常的電腦使用過程日積月累而成的。
我們還可以通過軟件來檢查系統(tǒng)進(jìn)程來發(fā)現(xiàn)木馬。如利用進(jìn)程管理軟件來查看進(jìn)程，如果發(fā)現(xiàn)可疑進(jìn)程就殺死它。那么，如何知道哪個(gè)進(jìn)程是可疑的呢?教你一個(gè)笨方法，有以下進(jìn)程絕對(duì)是正常的：EXPLORER.EXE、KERNEL32.DLL、MPREXE.EXE、MSGSRVINTERNAT.EXE、32.EXE、SPOOL32.EXEIEXPLORE.EXE(如果打開了IE)，而出現(xiàn)了其他的、你沒有運(yùn)行的程序的進(jìn)程就很可疑了。一句話，具體情況具體分析。
被感染后的緊急措施
如果不幸你的計(jì)算機(jī)已經(jīng)被木馬光臨過了，你的系統(tǒng)文件被黑客改得一塌糊涂，硬盤上稀里糊涂得多出來一大堆亂七八糟的文件，很多重要的數(shù)據(jù)也可能被黑客竊取。這里給你提供3條建議，希望可以幫助你:
(1)所有的賬號(hào)和密碼都要馬上更改，例如撥號(hào)連接，ICQ,mIRC,FTP，你的個(gè)人站點(diǎn)，免費(fèi)郵箱等等，凡是需要密碼的地方，你都要把密碼盡快改過來。
(2)刪掉所有你硬盤上原來沒有的東西。
(3)檢查一次硬盤上是否有病毒存在。
聯(lián)系客服
