实验4 冰河木马实验

《实验4 冰河木马实验》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、网络与信息安全实验报告警示1.实验报告如有雷同，雷同各方当次实验成绩均以0分计。2.在规定时间内未上交实验报告的，不得以其他方式补交，当次成绩按0分计。本班序号姓名实验4冰河木马实验【实验原理】作为一款流行的远程控制工具，在面世的初期，冰河就曾经以其简单的操作方法和强大的控制力令人胆寒，可以说达到了谈冰色变的地步。若要使用冰河进行攻击，则冰河的安装（是目标主机感染冰河）是首先必须要做的。冰河控制工具中有二个文件：G_Client.exe，以及G_Server.exe。G_Client.exe是监控端执行程序，可以用于监控远程计算

2、机和配置服务器。G_Server.exe是被监控端后台监控程序（运行一次即自动安装，开机自启动，可任意改名，运行时无任何提示）。运行G_Server.exe后，该服务端程序直接进入内存，并把感染机的7626端口开放。而使用冰河客户端软件（G_Client.exe）的计算机可以对感染机进行远程控制。冰河木马的主要功能：（1）自动跟踪目标机屏幕变化，同时可以完全模拟键盘及鼠标输入，即在同步被控端屏幕变化的同时，监控端的一切键盘及鼠标操作将反映在被控端屏幕（局域网适用）。（2）记录各种口令信息：包括开机口令、屏保口令、各种共享资源口令

3、及绝大多数在对话框中出现的口令信息。（3）获取系统信息：包括计算机名、注册公司、当前用户、系统路径、操作系统版本、当前显示分辨率、物理及逻辑磁盘信息等多项系统数据。（4）限制系统功能：包括远程关机、远程重启计算机、锁定鼠标、锁定系统热键及锁定注册表等多项功能限制。（5）远程文件操作：包括创建、上传、下载、复制、伤处文件或目录、文件压缩、快速浏览文本文件、远程打开文件（正常方式、最小化、最大化、隐藏方式）等多项文件操作功能。（6）注册表操作：包括对主键的浏览、增删、复制、重命名和对键值的读写等所有注册表操作功能。（7）发送信息：以

4、四种常用图标向被控端发送简短信息。（8）点对点通讯：以聊天室形式同被控端进行在线交谈等。【实验步骤】一、攻击1、入侵目标主机首先运行G_Client.exe，扫描主机。查找IP地址：在“起始域”编辑框中输入要查找的IP地址，例如欲搜索IP地址“192.168.1.1”至“192.168.1.255”网段的计算机，应将“起始域”设为“192.168.1”，将“起始地址”和“终止地址”分别设为“1”和“255”，然后点“开始搜索”按钮，在右边列表框中显示检测到已经在网上的计算机的IP地址。网络与信息安全实验报告从上图可以看出，搜索结

5、果中，每个IP前都是ERR。地址前面的“ERR:”表示这台计算机无法控制。所以，为了能够控制该计算机，必须要让其感染冰河木马。1、远程连接使用Dos命令：netuse\ipipc$如下图所示：2、磁盘映射。网络与信息安全实验报告本实验：将目标主机的C：盘映射为本地主机上的X：盘如下图所示1、将本地主机上的G_Server.exe拷贝到目标主机的磁盘中，并使其自动运行。如下图所示：网络与信息安全实验报告上图中，目标主机的C盘中没有G_Server.exe程序存在。此时，目标主机的C盘中已存在冰河的G_Server.exe程序，

6、使用Dos命令添加启动事件，如下图所示：网络与信息安全实验报告首先，获取目标主机上的系统时间，然后根据该时间设置启动事件。此时，在目标主机的Dos界面下，使用at命令，可看到：网络与信息安全实验报告下图为设定时间到达之前（即G_Server.exe执行之前）的注册表信息，可以看到在注册表下的：HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun，其默认值并无任何值。网络与信息安全实验报告当目标主机的系统时间到达设定时间之后，G_Server.exe程序自

7、动启动，且无任何提示。从上图可以看到，HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun的默认值发生了改变。变成了：C:\WINDOWS\SYSTEM\Kernel32.exe这就说明冰河木马安装成功，拥有G_Client.exe的计算机都可以对此计算机进行控制了。此时，再次使用G_Client.exe搜索计算机，可得结果如下图所示：从搜索结果可以看到，我们刚安装了冰河木马的计算机（其IP：192.168.1.112）的IP地址前变成了“OK:”

8、，而不是之前的“ERR:”。网络与信息安全实验报告下面对该计算机进行连接控制：上图显示，连接失败了。其实原因很简单，冰河木马是访问口令的，且不同版本的访问口令不尽相同，本实验中，我们使用的是冰河V2.2版，其访问口令是05181977，当在访问口令一栏输入该口令