木马软件毕业论文毕业设计(论文)word格式.doc
《木马软件毕业论文毕业设计(论文)word格式.doc》由会员分享,可在线阅读,更多相关《木马软件毕业论文毕业设计(论文)word格式.doc(18页珍藏版)》请在三一办公上搜索。
1、江西服装职业技术学院计算机经贸系 专科毕业论文作 者:_荀_建_ 指 导 教 师:_郭_敦_ 所 学 专 业: 计算机网络技术 学 号: 040904140116 年 级: 04秋计算机班 完 成 日 期: 2007年3月30日 序言 早期的防病毒思想并不盛行,那时候的网民也比较单纯,使用网络防火墙的人也只有少数,所以那时候的入侵者可以算是幸福的,他们只需要一点简单的社会工程学手段就能把木马程序传输给对方执行,这一时期的木马种植手段(如今的普遍称谓为“下马”)基本上不需要牵涉到技术,也许唯一需要的技术就是如何配置和使用一个木马,因为那时候木马也还是个新产物而已。那时候的网民,只能依靠自己的判断
2、和技术,才能免受或摆脱木马之害。因此,当木马技术刚在国内开始的时候,任意一个IP段都有可能存在超过40%的受害计算机开放着大门等待入侵者进攻,可以毫不夸张的说,那时候是木马的第一黄金时期,唯一美中不足的制约条件就是当时的网络速度普遍太慢了。随着时间的流逝,木马技术发展日益成熟,但网民的安全意识也普遍提高,更出现了初期的病毒防火墙概念,这个时期的入侵者必须掌握更高级的社会工程学手段和初期的入侵技术才能让对方受害了,这时期的木马虽然隐蔽性有了相对提高,但仍然是基于客户端寻找连接服务器端的模式。由于出现了病毒防火墙,网民判断和查杀木马的效率大大提高,而且大部分人也知道“人心不古”了,不再轻易接收陌生
3、人给的程序,使得木马不再像上时期那样肆无忌弹的横行,但是因为病毒防火墙是个新兴产物,仍然有相对多的人没有安装使用,以至于许多老旧的木马依然可以横行无忌。 再后来,随着网络防火墙技术诞生和病毒防火墙技术的成熟,木马作者被迫紧跟着防病毒厂商的脚步更新他们的作品以避免马儿过早“殉职”,同时由于网络防火墙技术的出现,让计算机与网络之间不再直接,尤其是网络防火墙实现的“拦截外部数据连接请求”与“审核内部程序访问网络请求”的策略,导致大部分木马纷纷失效,这时期的木马逐渐分裂成两个派别:一种依然采用客户端连接服务器端的方式,只是改为了其他传输途径,如E-MAIL、FTP等,或者在内部除掉网络防火墙,以便自己
4、畅通无阻;另一种则改变了入侵的思维,把“客户端连接服务器端”变为“服务器端连接客户端”,再加上一点社会工程学技术,从而突破了网络防火墙的限制,也因此诞生了一种新的木马技术“反弹型”木马。这一时期里,入侵者与受害者之间的战争终于提升到技术级别,若想保护自己,除了安装网络防火墙和病毒防火墙,以及接触网络攻防技术以外别无他法,这个“基础互动”一直保持到今天的XP时代。到了XP时代,网络速度有了质的飞跃,黑客攻防战更是越来越多的浮上水面,因为系统变了,一个专门为网络应用而诞生的操作系统,必定会存在与网络有关的缺陷。没错,WinXP相对于Win9x的弱点就是它的网络漏洞太多了,无论是利用MIME漏洞传播
5、的信件木马,还是通过LSASS溢出而放下的木马,都能在XP系统上分到一块肉。你也许会说,Win9x同样有许多漏洞,但是为什么它没有XP的烦恼?这是因为Win9x的网络功能太弱了,几乎没有什么系统组件需要依靠网络运行!所以现在的用户,除了使用网络防火墙和病毒防火墙把自己包裹得严严实实以外,还要三天两头去微软的系统更新站点安装各种漏洞修复程序 特洛伊木马造成的危害可能是非常惊人的,由于它具有远程控制机器以及捕获屏幕、键击、音频、视频的能力,所以其危害程度要远远超过普通的病毒和蠕虫。深入了解特洛伊木马的运行原理,在此基础上采取正确的防卫措施,只有这样才能有效减少特洛伊木马带来的危害。 目 次1 木马
6、的基础知识1.1 特洛伊木马的概念 1.2 特络伊木马的起源 1.3 特洛伊木马的定义 1.4 木马与病毒和蠕虫的区别 1.5 特洛伊木马具有的特性 1.6 木马的结构 1.7木马的分类 1.8 木马的工作原理 2 木马的查杀篇 2.1 判断是否中了木马 2.2 中木马后的应急措施 2.3 完全查杀木马 3 木马的防御篇 4 结语 参考文献 第一章、木马的基础知识一、特洛伊木马的概念当特洛伊木马刚出现时很难对其下定义。一般情况下,病毒是依据其能复制的特点而定义的。而特洛伊木马主要是根据它的有效载体,或者是其功能来定义的。我们可以对复制的情况进行准确的判定,要么复制了要么没有复制。但对破坏和意图
7、的判定却是相对的、是不太容易的。特洛伊木马的命名可以追溯到古代一个有关隐藏的故事。二、特洛伊木马的起源 特洛伊木马”(trojan horse)简称“木马”,据说这个名称来源于希腊神话木马屠城记。大约在公元前12世纪,古希腊大军围攻特洛伊城,久久无法攻下。于是有人献计制造一只高二丈的大木马,假装作战马神,让士兵藏匿于巨大的木马中,大部队假装撤退而将木马摈弃于特洛伊城下。城中得知解围的消息后,遂将“木马”作为奇异的战利品拖入城内,全城饮酒狂欢。到午夜时分,全城军民尽入梦乡,匿于木马中的将士开秘门游绳而下,开启城门及四处纵火,城外伏兵涌入,部队里应外合,焚屠特洛伊城。后世称这只大木马为“特洛伊木马
8、”。如今黑客程序借用其名,有“一经潜入,后患无穷”之意。三、特洛伊木马的定义 “特洛伊木马是具有某些功能或仅仅是有趣的程序。但它通常会做一些令人意想不到的事情,如盗取口令或文件。”这个定义中包含三点虽然并不十分完善但是可以澄清一些模糊概念。首先,这个定义说明特洛伊木马并不一定实现某种功能。这个说法可以有多种解释:可以实现恶意功能;也可以是表面实现一些有趣的功能但是实际上相反,就像故事里的特洛伊木马,表面上看上去很美但实际上隐藏着危险。第二,这个定义说明特洛伊木马实现某种不为人知(受害者不知道,作者知道的)的功能。这是几乎所有特洛伊木马的特点。第三,这个定义暗示“有效负载”是恶意的。实际上,例子
9、中谈到的窃取密码和复制文件指的是无授权访问而不是破坏数据一致性,这点非常特殊。对于我们来说,这点不是很重要。它所涉及到的安全漏洞的类型很特殊,并表明有不法企图的假定并有标准可言。大多数安全专家统一认可的定义是:“特洛伊木马是一段能实现有用的或必需的功能的程序,但是同时还完成一些不为人知的功能。”四、木马与病毒和蠕虫的区别病毒:计算机病毒是编写的小程序,它可以在未经用户许可,甚至在用户不知情的情况下改变计算机的运行方式。病毒必须满足两个条件: 1.它必须能自行执行。 2.它必须能自我复制。蠕虫:蠕虫是不使用驻留文件即可在系统之间复制自身的程序。这点与病毒不同,病毒需要传播受感染的驻留文件。木马与
10、病毒和蠕虫最主要的区别在于:窃取机密和远程控制上。这是大部分病毒和蠕虫没有的性质。现在木马已经带有了病毒和蠕虫的特性,即:自我复制和自行执行性。同样病毒和蠕虫也吸取了木马的优势,增加了自己的控制性和潜伏性。所以,随着技术的发展,木马、病毒和蠕虫之间的界定越来越模糊。五、特洛伊木马具有的特性 1.包含干正常程序中,当用户执行正常程序时,启动自身,在用户难以察觉的情况下,完成一些危害用户的操作,具有隐蔽性由于木马所从事的是 地下工作,因此它必须隐藏起来,它会想尽一切办法不让你发现它。很多人对木马和远程控制软件有点分不清,还是让我们举个例子来说吧。我们进行局域网间通讯的常用软件PCanywhere大
11、家一定不陌生吧?我们都知道它是一款远程控制软件。PCanywhere比在服务器端运行时,客户端与服务器端连接成功后,客户端机上会出现很醒目的提示标志;而木马类的软件的服务器端在运行的时候应用各种手段隐藏自己,不可能出现任何明显的标志。木马开发者早就想到了可能暴露木马踪迹的问题,把它们隐藏起来了。例如大家所熟悉木马修改注册表和文件以便机器在下一次启动后仍能载入木马程式,它不是自己生成一个启动程序,而是依附在其他程序之中。有些木马把服务器端和正常程序绑定成一个程序的软件,叫做exe-binder绑定程序,可以让人在使用绑定的程序同时,木马也入侵了系统。甚至有个别木马程序能把它自身的exe文件和服务
12、端的图片文件绑定,在你看图片的时候,木马便侵人了你的系统。它的隐蔽性主要体现在以下两个方面:(1)不产生图标木马虽然在你系统启动时会自动运行,但它不会在 任务栏中产生一个图标,这是容易理解的,不然的话,你看到任务栏中出现一个来历不明的图标,你不起疑心才怪呢!(2)木马程序自动在任务管理器中隐藏,并以系统服务的方式欺骗操作系统。 2.具有自动运行性。木马为了控制服务端。它必须在系统启动时即跟随启动,所以它必须潜人在你的启动配置文件中,如win.ini、system.ini、winstart.bat以及启动组等文件之中。3.包含具有未公开并且可能产生危险后果的功能的程序。4.具备自动恢复功能。现在
13、很多的木马程序中的功能模块巴不再由单一的文件组成,而是具有多重备份,可以相互恢复。当你删除了其中的一个,以为万事大吉又运行了其他程序的时候,谁知它又悄然出现。像幽灵一样,防不胜防。5.能自动打开特别的端口。木马程序潜人你的电脑之中的目的主要不是为了破坏你的系统,而是为了获取你的系统中有用的信息,当你上网时能与远端客户进行通讯,这样木马程序就会用服务器客户端的通讯手段把信息告诉黑客们,以便黑客们控制你的机器,或实施进一步的人侵企图。你知道你的电脑有多少个端口?不知道吧?告诉你别吓着:根据TCP/IP协议,每台电脑可以有256乘以256个端口,也即从0到65535号 门,但我们常用的只有少数几个,
14、木马经常利用我们不大用的这些端口进行连接,大开方便之 门。6、功能的特殊性。通常的木马功能都是十分特殊的,除了普通的文件操作以外,还有些木马具有搜索cache中的口令、设置口令、扫描目标机器人的IP地址、进行键盘记录、远程注册表的操作以及锁定鼠标等功能。上面所讲的远程控制软件当然不会有这些功能,毕竟远程控制软件是用来控制远程机器,方便自己操作而已,而不是用来黑对方的机器的。六、木马的结构一个完整的木马系统由硬件部分,软件部分和具体连接部分组成。(1)硬件部分:建立木马连接所必须的硬件实体。 控制端:对服务端进行远程控制的一方。服务端:被控制端远程控制的一方。 INTERNET:控制端对服务端进
15、行远程控制,数据传输的网络载体。 (2)软件部分:实现远程控制所必须的软件程序。 控制端程序:控制端用以远程控制服务端的程序。 木马程序:潜入服务端内部,获取其操作权限的程序。 木马配置程序:设置木马程序的端口号,触发条件,木马名称等,使其在服务端藏得更隐蔽的程序。 (3)具体连接部分:通过INTERNET在服务端和控制端之间建立一条木马通道所必须的元素。 控制端IP,服务端IP:即控制端,服务端的网络地址,也是木马进行数据传输的目的地。 控制端端口,木马端口:即控制端,服务端的数据入口,通过这个入口,数据可直达控制端程序或木马程序。说明:1.现在网络上流行的木马软件基本都是客户机/服务器模式
16、也就是所谓的C/S结构,即客户/服务器体系结构(Client/Server Architecture),由客户应用程序和服务器程序组成。目前也有一些木马开始向B/S结构转变,所谓B/S结构,就是只安装维护一个服务器,而客户端采用浏览器(运行软件,即浏览器/服务器结构。 客户端运行软件,就像我们平时上网浏览网页一样,不用安装其它软件。而且通过电话线也可以运行软件。B/S结构的软件所有的维护、升级工作都只在服务器上进行,而客户端就能获得最新版本的软件。2.控制端也叫客户端,也就是控制木马的那一部分程序,他主要在木马使用者的机器里。而服务端是需要非法潜入其他机器的一种小程序。所以,我们传统意义上说的
17、种植木马是指把木马的服务端置入他人的机器的一种做法,而客户端就留在我们的机子中,以它来控制远程服务端。 3.只有在配置好“木马配置程序”后才会生成你的配置的服务端。一些小木马无此功能,在它编写的时候就已经固定好配置类型了。七、木马的分类1、破坏型惟一的功能就是破坏并且删除文件,可以自动的删除电脑上的DLL、INI、EXE等文件。有点像病毒。2、密码发送型可以找到隐藏密码并把它们发送到指定的信箱。有人喜欢把自己的各种密码以文件的形式存放在计算机中,认为这样方便;还有人喜欢用WINDOWS提供的密码记忆功能,这样就可以不必每次都输入密码了。许多黑客软件可以寻找到这些文件,把它们送到黑客手中。也有些
18、黑客软件长期潜伏,记录操作者的键盘操作,从中寻找有用的密码。在这里提醒一下,不要认为自己在文档中加了密码而把重要的保密文件存在公用计算机中,那你就大错特错了。别有用心的人完全可以用穷举法暴力破译你的密码。利用WINDOWS API函数EnumWindows和EnumChildWindows对当前运行的所有程序的所有窗口(包括控件)进行遍历,通过窗口标题查找密码输入和出确认重新输入窗口,通过按钮标题查找我们应该单击的按钮,通过ES_PASSWORD查找我们需要键入的密码窗口。向密码输入窗口发送WM_SETTEXT消息模拟输入密码,向按钮窗口发送WM_COMMAND消息模拟单击。在破解过程中,把密
19、码保存在一个文件中,以便在下一个序列的密码再次进行穷举或多部机器同时进行分工穷举,直到找到密码为止。此类程序在黑客网站上唾手可得,精通程序设计的人,完全可以自编一个。3、远程访问型最广泛的是特洛伊马,只需有人运行了服务端程序,如果客户知道了服务端的IP地址,就可以实现远程控制。以下的程序可以实现观察受害者正在干什么,当然这个程序完全可以用在正道上的,比如监视学生机的操作。程序中用的UDP(User Datagram Protocol,用户报文协议)是因特网上广泛采用的通信协议之一。与TCP协议不同,它是一种非连接的传输协议,没有确认机制,可靠性不如TCP,但它的效率却比TCP高,用于远程屏幕监
20、视还是比较适合的。它不区分服务器端和客户端,只区分发送端和接收端,编程上较为简单,故选用了UDP协议。本程序中用了DELPHI提供的TNMUDP控件。4.键盘记录木马这种特洛伊木马是非常简单的。它们只做一件事情,就是记录受害者的键盘敲击并且在LOG文件里查找密码。据笔者经验,这种特洛伊木马随着Windows的启动而启动。它们有在线和离线记录这样的选项,顾名思义,它们分别记录你在线和离线状态下敲击键盘时的按键情况。也就是说你按过什么按键,下木马的人都知道,从这些按键中他很容易就会得到你的密码等有用信息,甚至是你的信用卡账号哦!当然,对于这种类型的木马,邮件发送功能也是必不可少的。5.DoS攻击木
21、马随着DoS攻击越来越广泛的应用,被用作DoS攻击的木马也越来越流行起来。当你入侵了一台机器,给他种上DoS攻击木马,那么日后这台计算机就成为你DoS攻击的最得力助手了。你控制的肉鸡数量越多,你发动DoS攻击取得成功的机率就越大。所以,这种木马的危害不是体现在被感染计算机上,而是体现在攻击者可以利用它来攻击一台又一台计算机,给网络造成很大的伤害和带来损失。还有一种类似DoS的木马叫做邮件炸弹木马,一旦机器被感染,木马就会随机生成各种各样主题的信件,对特定的邮箱不停地发送邮件,一直到对方瘫痪、不能接受邮件为止。6.代理木马黑客在入侵的同时掩盖自己的足迹,谨防别人发现自己的身份是非常重要的,因此,
22、给被控制的肉鸡种上代理木马,让其变成攻击者发动攻击的跳板就是代理木马最重要的任务。通过代理木马,攻击者可以在匿名的情况下使用Telnet,ICQ,IRC等程序,从而隐蔽自己的踪迹。7.FTP木马这种木马可能是最简单和古老的木马了,它的惟一功能就是打开21端口,等待用户连接。现在新FTP木马还加上了密码功能,这样,只有攻击者本人才知道正确的密码,从而进人对方计算机。8.程序杀手木马上面的木马功能虽然形形色色,不过到了对方机器上要发挥自己的作用,还要过防木马软件这一关才行。常见的防木马软件有ZoneAlarm,Norton Anti-Virus等。程序杀手木马的功能就是关闭对方机器上运行的这类程序
23、,让其他的木马更好地发挥作用。9.反弹端口型木马木马是木马开发者在分析了防火墙的特性后发现:防火墙对于连入的链接往往会进行非常严格的过滤,但是对于连出的链接却疏于防范。于是,与一般的木马相反,反弹端口型木马的服务端 (被控制端)使用主动端口,客户端 (控制端)使用被动端口。木马定时监测控制端的存在,发现控制端上线立即弹出端口主动连结控制端打开的主动端口;为了隐蔽起见,控制端的被动端口一般开在80,即使用户使用扫描软件检查自己的端口,发现类似TCP UserIP:1026 ControllerIP:80ESTABLISHED的情况,稍微疏忽一点,你就会以为是自己在浏览网页。八、木马的工作原理用木



- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 木马 软件 毕业论文 毕业设计 论文 word 格式

链接地址:https://www.31ppt.com/p-4025616.html