computer 版 (精华区)

发信人: neverbw (汇编汇编我爱你！), 信区: network
标  题: 木马综述篇：通通透透看木马(1)
发信站: 听涛站 (2001年10月14日22:48:07 星期天), 站内信件

前言
　　在我潜意识中说起“木马”马上就联想到三国时期诸葛亮先生发明的木牛流马，当
初怎么就想不通它与病毒扯上关系了。经过一番了解，原来它是借用了一个古希腊士兵
藏在木马中潜入敌方城市，从而一举占领敌方城市的故事，因为现在所讲的木马病毒侵
入远程主机的方式在战略上与其攻城的方式一致。通个这样的解释相信大多数朋友对木
马入侵主机的方式所有领悟：它就是通过潜入你的电脑系统，通过种种隐蔽的方式在系
统启动时自动在后台执行的程序，以“里应外合”的工作方式，用服务器/客户端的通讯
手段，达到当你上网时控制你的电脑，以窃取你的密码、游览你的硬盘资源，修改你的
文件或注册表、偷看你的邮件等等。
　　一旦你的电脑被它控制，则通常表现为蓝屏然死机；CD-ROM莫名其妙地自己弹出；
鼠标左右键功能颠倒或者失灵或文件被删除；时而死机，时而又重新启动；在没有执行
什么操作的时候，却在拼命读写硬盘；系统莫明其妙地对软驱进行搜索；没有运行大的
程序，而系统的速度越来越慢，系统资源占用很多；用CTRL＋ALT＋DEL调出任务表，发
现有多个名字相同的程序在运行，而且可能会随时间的增加而增多等等。
　　不过要知道，即使发现了你的机器染上木马病毒，也不必那么害怕，因为木马病毒
与一般病毒在目的上有很大的区别，即使木马运行了，也不一定会对你的机器造成危害
。但肯定有坏处，你的上网密码有可能已经跑到别人的收件箱里了，这样黑客们就可以
盗用你的上网账号上网了！木马程序也是病毒程序的一类，但更具体的被认为黑客程序
，因为它入侵的目的是为发布这些木马程序的人，即所谓的黑客服务的。
　　本文将就木马的一些特征、木马入侵的一些常用手法及清除方法以及如何避免木马
的入侵以及几款常见木马程序的清除四个方面作一些综合说明。
木马的基本特征
　　木马是病毒的一种，同时木马程序又有许多种不同的种类，那是受不同的人、不同
时期开发来区别的，如BackOrifice(BO)、BackOrifice2000、Netspy、Picture、Netbu
s、Asylum、冰河等等这些都属于木马病毒种类。综合现在流行的木马程序，它们都有以
下基本特征：
1、隐蔽性是其首要的特征
　　如其它所有的病毒一样，木马也是一种病毒，它必需隐藏在你的系统之中，它会想
尽一切办法不让你发现它。很多人的对木马和远程控制软件有点分不清，因为我前面讲
了木马程序就要通过木马程序驻留目标机器后通过远程控制功能控制目标机器。实际上
他们两者的最大区别就是在于这一点，举个例子来说吧，象我们进行局域网间通讯的常
软件——PCanywhere大家一定不陌生吧，大家也知道它是一款远程通讯软件。PCanwher
e在服务器端运行时，客户端与服务器端连接成功后客户端机上会出现很醒目的提示标志
。而木马类的软件的服务器端在运行的时候应用各种手段隐藏自己,不可能还出现什么提
示，这些黑客们早就想到了方方面面可能发生的迹象，把它们扼杀了。例如大家所熟悉
木马修改注册表和ini文件以便机器在下一次启动后仍能载入木马程式，它不是自己生成
一个启动程序，而是依附在其它程序之中。有些把服务器端和正常程序绑定成一个程序
的软件,叫做exe-binder绑定程式，可以让人在使用绑定的程式时，木马也入侵了系统，
甚至有个别木马程序能把它自身的exe文件和服务器端的图片文件绑定，在你看图片的时
候，木马也侵入了你的系统。 它的隐蔽性主要体现在以下两个方面：
　　a、不产生图标
　　它虽然在你系统启动时会自动运行，但它不会在“任务栏”中产生一个图标，这是
容易理解的，不然的话，凭你的火眼金睛你一定会发现它的。我们知道要想在任务栏中
隐藏图标，只需要在木马程序开发时把“Form”的“Visible ”属性设置为“False”、
把“ShowintaskBar”属性设置为“Flase”即可；
　　b、木马程序自动在任务管理器中隐藏，并以“系统服务”的方式欺骗操作系统。
2、它具有自动运行性
　　它是一个当你系统启动时即自动运行的程序，所以它必需潜入在你的启动配置文件
中，如win.ini、system.ini、winstart.bat以及启动组等文件之中。
3、木马程序具有欺骗性
　　木马程序要达到其长期隐蔽的目的，就必需借助系统中已有的文件，以防被你发现
，它经常使用的是常见的文件名或扩展名，如“dll\win\sys\explorer等字样，或者仿
制一些不易被人区别的文件名，如字母“l”与数字“1”、字母“o”与数字“0”，常
修改基本个文件中的这些难以分辨的字符，更有甚者干脆就借用系统文件中已有的文件
名，只不过它保存在不同路径之中。还有的木马程序为了隐藏自己，也常把自己设置成
一个ZIP文件式图标，当你一不小心打开它时，它就马上运行。等等这些手段那些编制木
马程序的人还在不断地研究、发掘，总之是越来越隐蔽，越来越专业，所以有人称木马
程序为“骗子程序”。
4、具备自动恢复功能
　　现在很多的木马程序中的功能模块已不再是由单一的文件组成，而是具有多重备份
，可以相互恢复。
5、能自动打开特别的端口
　　木马程序潜入人的电脑之中的目的不主要为了破坏你的系统，更是为了获取你的系
统中有用的信息，这样就必需当你上网时能与远端客户进行通讯，这样木马程序就会用
服务器/客户端的通讯手段把信息告诉黑客们，以便黑客们控制你的机器，或实施更加进
一步入侵企图。你知不知道你的电脑有多少个对外的“门”，不知道吧，告诉你别吓着
，根据TCP/IP协议，每台电脑可以有256乘以256扇门，也即从0到65535号“门，但我们
常用的只有少数几个，你想有这么门可以进，还能进不来？当然有门我们还是可以关上
它们的，这我在预防木马的办法中将会讲到。
6、 功能的特殊性
　　通常的木马的功能都是十分特殊的，除了普通的文件操作以外，还有些木马具有搜
索cache中的口令、设置口令、扫描目标机器人的IP地址、进行键盘记录、远程注册表的
操作、以及锁定鼠标等功能,上面所讲的远程控制软件的功能当然不会有的，毕竟远程控
制软件是用来控制远程机器，方便自己操作而已，而不是用来黑对方的机器的。
7、黑客组织趋于公开化
　　以往还从未发现有什么公开化的病毒组织（也许是我孤陋寡闻），多数病毒是由个
别人出于好奇（当然也有专门从事这一职业的），想试一下自己的病毒程序开发水平而
做的，但他（她）绝对不敢公开，因为一旦发现是有可能被判坐牢或罚款的，这样的例
子已不再什么新闻了。如果以前真的也有专门开发病毒的病毒组织，但应绝对是属于“
地下”的。现在倒好，什么专门开发木马程序的组织到处都是，不光存在，而且还公开
在网上大肆招兵买马，似乎已经合法化。正因如此所以黑客程序不断升级、层出不穷，
黑的手段也越来越高明。我不知道为什么，但据讲其理由是“为了自卫、为了爱国” 。


--
   
       欢迎访问   ftp://neverbw.dhs.org
※ 来源:·听涛站 tingtao.dhs.org·[FROM: 匿名天使的家]