木马网络安全攻防策略

木马程序使用诸如“躲在天空下”或“穿羊皮的狼”之类的词来形容此类程序并不夸张. 说穿了，木马有两个程序，一个是服务器程序，另一个是控制程序. 您的计算机运行服务器程序后，来宾可以使用控制器程序进入您的计算机，并通过命令服务器程序来控制您的计算机.

一些网民会说我的计算机没有任何秘密信息，因此他们持淡然态度. 我认为您绝对不想在勇敢地冲浪时，当您爱上MM时，也许您正在观看时在您的私人电子邮件中，总有一只或多只眼睛在“微笑”和“关心”. “ 为了你. 此外，病毒可以通过木马传播到您的计算机，并且您将死亡，而鼠标将由我控制，键盘在某个时候被锁定，这是您的计算机吗？我该怎么办？冷！

那么神圣的木马是什么，让我们对其进行分析.

要使木马能够正常工作，其服务器程序必须在目标计算机上运行. 没有人会主动要求运行它，但是会有一天有人会朝你微笑，说: “我有一个很好的游戏”，“我有一个漂亮的MM屏幕保护程序可以与您共享”等等. 当您打开这些所谓的程序时，主机程序已经潜入您的计算机中. 这样第一步就完成了. 这完全是我们的疏忽. 防止它.

然后，通常将在以下三个位置设置木马: 注册表，win.ini，system.ini，因为在计算机启动时，这三个文件需要加载，并且大多数木马都是由这些启动的. 三种方法也有捆绑式启动程序. Trojans phAse 1.0和NetBus 1.53可以捆绑安装在目标计算机上，可以捆绑到启动程序，也可以捆绑到通用程序的通用程序. 如果与常规程序绑定在上面，则启动不确定. 它取决于目标计算机的所有者. 如果他不运行，该木马将不会进入内存. 捆绑方法是手动安装方法，通常捆绑未自动启动的木马. 木马在注册表和其他地方留下痕迹的方式很容易找到，并且捆绑的木马可以由黑客自己，绑定方法，绑定位置，捆绑的程序等确定. ，木马的位置被强烈隐藏为.

木马服务器程序文件的一般位置在c: \ windows和c: \ windows \ system中. 为什么它们在这两个目录中？由于Windows的某些系统文件位于这两个位置，因此，如果您误将其删除，则计算机可能会崩溃，您必须重新安装系统.

木马的文件名更多是一种知识，木马的文件名应尽可能接近Windows系统文件，因此您会感到困惑，例如服务器文件名Trojan horse SubSeven 1.7版本的文件是c: \ windows \ KERNEL16. DL，并且Windows有一个名为c: \ windows \ KERNEL32.DLL的系统文件. 它们有些不同，但是如果删除错误，结果可能会大不相同. 删除KERNEL32.DLL将使您丧命. 再以Trojan phAse 1.0版本为例，生成的Trojan是C: \ WINDOWS \ System \ Msgsrv32.exe，它与Windows系统文件C: \ WINDOWS \ System \ Msgsrv32.exe完全相同，但是图标为稍有不同，您可以别误删. 以上两种是伪装成系统文件的类型. 让我们看一下什么都不是的类型. Trojan SubSeven 1.5版本服务器的文件名为c: \ windows \ window.exe，请清楚看，少了一个哦，如果您不告诉您这是木马，您是否有胆量要删除它吗？

但是木马有致命的劣势. 这是一个相对固定的端口. 为了使黑客进入您的计算机，他们必须有权访问您的计算机. 换句话说，木马必须打开某个端口. 每个人都称此端口为“后门”，木马也称为“后门工具”，这种必须打开的后门很难隐藏，只能被混淆，许多木马的端口都是固定的，人们可以看到它是什么样的木马，所以可以更改端口号，这是一种混淆的方式. 我们知道7306是木马netspy，SUB7可以更改端口号，这是SUB7的默认端口是1243，但是如果您将端口1243更改为7306，哈哈，那肯定会使目标计算机的所有者感到困惑，有人会问，如果该端口会自动更改，那么每次Internet端口时它的性能如何数字会自动更改，哈哈，真的很聪明，但不幸的是太聪明了，例如，我的计算机上安装了这种木马，并且互联网端口每次都会更改. 您是黑客，您如何计划进入我的电脑？您知道该木马当前打开的端口号吗s？要扫描我的电脑吗？有超过60,000个端口. 您什么时候可以完成扫描？半小时，呵呵，我很早就发现了，很久以前就杀了你. 即使我是菜鸟，以如此高的速度扫描计算机也会导致计算机通信被阻止. 谁会在互联网上变慢？如果要上网半个小时？因此，这基本上是不可能的事情.

木马有很强的隐蔽性. 在WINDOWS中，如果程序异常并且无法通过正常方式退出，请按“ Ctrl + Alt + Del”键跳出一个窗口，找到需要终止的程序，然后将其关闭. 按下“ Ctrl + Alt + Del”会显示早期的木马，现在不再可见大多数木马. 因此，您只能使用内存工具查看内存中是否有木马.

木马也具有很强的隐藏能力. 在发现并删除表面上的木马之后，备用木马会在某些情况下跳出. 这种情况主要是由目标计算机所有者的操作引起的. 让我们先来看一个典型的例子: 木马Glacier（Glacier 1.2的正式版本）现已升级到3.0版. 该木马有两个服务器程序. C: \ WINDOWS \ SYSTEM \ Kernel32.exe挂在注册表的启动组中并充当计算机. 启动时，它将加载内存，这是表面上的木马. 另一个是C: \ WINDOWS \ SYSTEM \ Sysexplr.exe，也在注册表中，它修改了文本文件的关联，当您单击文本文件时，它将启动，它将检查Kernel32.exe是否存在，如果存在，它将什么都不做. 找到并删除表面Trojan Kernel32.exe后，目标计算机的所有者可能会觉得他已删除了Trojan马，这应该是安全的. 如果将来目标计算机的所有者单击该文本文件，该文件仍将运行，并且Sysexplr.exe将启动. Sysexplr.exe将在表面上找到Trojan Kernel32. 该.exe已删除，并且将再次生成Kernel32.exe，因此，每次目标计算机启动时，都会再次安装计算机Trojan马.

我已经说了很多话，您是否感到可怕，非常生气，不用担心，降温和抗热药很快就会出现.

有几种处理木马程序的方法:

1. 必须提高预防意识，不要打开陌生人信中的附件. 即使他说这封信很乱，熟人也应该确认该信的原始地址是否合法.

2. 阅读更多readme.txt. 许出于研究目的下载了一些木马程序软件成阅读readme.txt的良好习惯.

值得一提的是，有许多程序说明以可执行文件readme.exe的形式出现. Readme.exe通常与病毒或木马程序捆绑在一起，或仅由木马的病毒程序或服务器端程序重命名. 得到它的目的是使用户错误地认为它是一个执行它的程序描述文件，可以将其描述为险恶的. 因此，最好不要从Internet获得readme.exe.

3. 使用防病毒软件. 现在国内的杀毒软件已经引入了删除某些木马的功能，例如KV300，KILL98，Rising等，可以不时离线检查和删除它们. 此外. 一些防病毒软件还提供实时网络监视. 当黑客从远端执行用户计算机上的文件时，此功能可能会发出警报或执行失败，从而使黑客在将可执行文件上传到用户计算机后无法正确执行. 这样可以避免进一步的损失，但请记住，它不是万能药.

4. 立即挂断电话. 尽管有许多原因导致Internet速度突然下降，但仍有理由怀疑这是由木马引起的. 当入侵者使用Trojan客户端程序访问您的计算机时，您的常规访问将占用宽带，特别是当入侵者从远程端下载用户硬盘上的文件时，常规访问将变得非常慢. 此时，您可以双击任务栏右下角的连接图标并仔细查看. “已发送的字节数”项，如果该数字变为1〜3kbps（每秒1〜3 KB），则几乎可以确认有人正在下载您的硬盘文件，除非您使用ftp功能. 熟悉TCP / IP端口用户可以在“ MS-DOS模式”下键入“ netstat-a”，以观察连接到计算机的所有当前通信过程. 当特定IP使用异常端口（通常大于1024）与您通信时，该端口可能是Trojan horse的通信端口. 当您发现上述可疑迹象时，您所能做的就是: 立即挂断电话，然后仔细检查硬盘中是否存在木马.

5. 观察目录. 普通用户应始终观察位于三个目录c: \，c: \ windows，c: \ windows \ system中的文件. 使用“记事本”一一打开c: \下的文件. 执行类型文件（不是exe，bat，com的文件），检查是否找到木马和击键程序的记录文件. 如果c: \ Windows或c: \ Windows \ system可执行程序下的文件名中没有图标，则应将其删除，然后使用防病毒软件仔细清理它们.

6. 删除木马之前，最重要的任务是备份. 您需要备份注册表以防止系统崩溃. 备份您认为是木马的文件. 如果它们不是木马，则可以将其还原. 如果它们是木马，则可以. 分析木马. 不同的坏马有不同的清除方法. 由于它们涉及的区域过多，因此在此不再赘述.

简而言之，无论您是否喜欢，总会有木马. 您只能了解一些木马，以免被骗. 我的朋友，在广阔的海洋中要当心. 有一双眼睛在窥视你.

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/shouji/article-297713-1.html