木马攻击与防范技术地研究

《木马攻击与防范技术地研究》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、本文由yangzhen2204贡献pdf文档可能在WAP端浏览体验不佳。建议您优先选择TXT，或下载源文件到本机查看。攻防技术研究2010.12doi：10.3969/j.issn.1671-1122.2010.12.007木马的攻击与防范技术研究关潮辉，薛琴（湖北警官学院，湖北武汉430034）木马技术是最常见的网络攻击手段之一，它对网络环境中计算机信息资源造成了很大的危害。摘　要：文中介绍了木马程序的概念、基本原理和分类，针对常见的木马攻击方式提出了一些防范措施。木马程序；攻击手段；防范技术关键词：中图分类号：TP309.5文

2、献标识码：文章编号：A1671-1122（2010）12-0020-02ResearchonTrojanHorseandItsAttacking-defendingTechnologyGUANChao-hui,XUEQin(HubeiUniversityofPolice,WuhanHubei430034,China)Abstract:TheTrojanhorsetechnologyisoneofthemostusualattackingtechnologiesinnetwork.Itplaysagreatroleinjeopard

3、izingthecomputerinformationresourcesofnetworkenvironment.Inthispaper,wecanknowaboutthenotionoftheTrojanhorseprocedure,itsfundamentalprincipleclassi?cation.SeveraldefendingTechnologiesareraised,accordingtotheusualattackingwaysoftheTrojanhorse.Keywords:TheTrojanHorse;At

4、tackingWays;DefendingTechnology0引言随着计算机的日益普及，人们对于“木马”一词已不陌生。木马危害性大,隐蔽性强,是目前攻击计算机信息系统的主要手段之一,由木马所造成的信息系统破坏的情况越来越多,对计算机信息系统的安全保密构成了极大威胁，特别是近几年来利用木马犯罪的手段层出不穷，给人民带了来巨大损失。尽管相关查杀软件不断更新换代，但是由于木马程序自身固有的特点及其相应的隐藏技术的不断提高,对木马程序的检测也变得更加困难。因此，深入对木马的攻击与防范技术的研究意义重大。1木马概述1.1木马的定义及特点木

5、马全称是特洛伊木马（TrojanHorse），原指古希腊士兵藏在木马内进入敌方城市从而占领敌方城市的故事[1]。在计算机界把伪装成合法程序或隐藏在合法程序中的恶意代码形象的称之为木马[2]。这些代码或执行恶意行为，或为非授权访问系统的特权功能而提供后门。木马具有隐藏性、反检测、反清除以及与控制端通信的特性[3]。1.2木马的工作原理木马程序可分为两部分：控制端和被控制端。首先，在控制端（本地计算机）上配置并生成木马程序。接着，通过直接或隐含在其他的可执行程序中的方式传播木马程序至被控制端（对方计算机）然后，。在被控制端上运行木马程

6、序，同时运行控制端上的控制程序对服务端进行连接进而控制对方。最后，控制端一般会发送命令，如键盘记录命令、文件操作命令以及敏感信息获取命令等，感染木马程序的被控制端接收并执行这些命令，并返回相应结果到控制端。木马工作原理图如图1所示。收稿时间：2010-10-19作者简介：关潮辉（1988-）男，，本科，主要研究方向：计算机应用；薛琴（1980-）女，，讲师，硕士，主要研究方向：计算机网络，信息安全。基金项目：2009年湖北警官学院大学生科研重点项目；湖北省教育科学“十一五”规划课题[2009B042]图1木马工作原理图202010

7、.12攻防技术研究1.3木马的分类根据木马程序对计算机的具体操作方式，可以把现在的木马程序分为以下几类：1）远程控制型；2）密码发送型；3）键盘记录型；4）毁坏型；5）FTP型；6）多媒体型[4]。按木马运行的层次，可分为应用级木马和内核级木马。应用级木马，工作在操作系统Ring3级，由于计算机底层的操作系统中的程序、库以及内核都未受影响，这种木马对系统的影响相对较小。典型的应用级木马有：Bingle、网络神偷、ZXshell、灰鸽子等。内核级木马，运行在操作系统内核中，常采用驱动程序技术实现内核级木马的加载工作。内核级木马与一般

8、检测工具一样运行在系统内核，隐蔽性较高，查杀难度大，是当前的主流发展趋势。典型的内核级木马有：Hacker'door、HE4HOOK、FURootkit等。默认图片图标，再把文件名改为*.jpg.exe。由于Windows默认设置是“不显示已知的文