（Windows系统安全与木马攻击的研究）

采用此隐蔽手段的木马通常有以下两种形式插入到程序中与程序捆绑到起。

运行这个程序就会启动木马，还可以通过制成自解压执行程序，旦点击文件就会加载木马。

木马文件在磁盘上以单独的文件存在这种情况最为多见，木马般会把文件属性设置为隐藏只读，很多木马文件会放到或者文件夹下面，并且会修改自己的生成日期，以迷惑用户。

木马还伪装成系统文件或者伪装成非可执行文件并可以更换图标，比如，来迷惑用户。

文件替换。

这是目前木马技术发展的种新趋势。

这种方式用修改后的替换系统原来的系统，不需要监听端口，非常隐蔽。

替换之后，对于正常的系统调用还照常进行，但是，它多了些功能供木马调用执行。

这种木马没有增加新的文件，不需要打开新的端口，没有新的进程，使用常规的方法监测不到它，只有在木马的控制端向被控制端发出特定的信息后，隐藏的程序才开始运行，隐蔽性极强。

木马攻击的方法与防范经验由于现在应用软件的漏洞很多，木马对计算机的入侵变得越来越容易和普遍。

同时木马程序的隐藏技术不断变动和提高，目前的检测手段对木马程序的检测也变得更加困难。

针对木马程序技术的更新，研究种能够有效的检测和防范木马程序的技术显得非常迫切和必要。

木马病毒常用的骗术木马攻击的方法有很多种主要有修改批处理通过修改三个文件来实现修改系统配置通过修改系统配置文件来达到自动运行目的借助自动运行功能通过注册表中的来启动通过文件关联启动通过启动通过启动通过浏览网页启动利用利用系统自动运行的程序等十种常见的方法，此外黑客还常常使用名字欺骗技术和运行假象与之配合。

木马的攻击步骤通常木马采取六个步骤实施攻击配置木马伪装木马传播木马通过或者下载运行木马自动安装自启动信息泄漏或的方式把你的信息泄露出去建立连接远程控制。

全面防治木马病毒知道了木马的工作原理，查杀木马就变得相对容易了。

如果发现有木马存在，最安全也是最有效的方法就是马上将计算机与网络断开，防止黑客通过网络对计算机进行攻击。

然后再进行必要的检查和杀除工作。

木马中毒的现象计算机有时死机有时又重新启动在没有执行什么操作的时候，却在拼命读写硬盘协同莫名其妙地对软驱进行搜索没有运行大的程序，而系统的速度却越来越慢，系统资源占用很多。

发现和杀除木马的方法端口扫描查看连接检查注册表查找文件杀病毒软件系统文件检查器。

木马的预防措施永远不要执行任何来历不明的软件或程序，除非确信自己的计算机水平达到了百毒不侵的地步。

谨慎对待就是下载后先用杀毒软件检查遍，确定无害后再执行和使用。

许多网友就是懒得进行这几分钟的检查，才中木马的。

清则被侵入者删了系统文件，重装系统，重则数据全无，硬盘逻辑锁，或者，被人破译上网帐号。

永远不要相信你的邮箱不会收到垃圾邮件和病毒，即使你的邮箱或是邮箱从未露面，有时候永远没办法知道别人如何得知你的地址的。

永远不要因为对方是你的好朋友就轻易执行他发过来的软件或程序，因为你不确信他是否装上了病毒防火墙，也许你的朋友中了黑客程序还不知道，还以为是什么好东西寄来与你分享呢，同时，你也不能担保是否有别人冒他的名给你发。

千万不要随便留下个人资料，因为不知道是否有人处心积虑将它收集起来。

千万不要轻易相信网络认识的新朋友，因为在网络上对方都是虚拟存在的，你不能保证对方是否想利用你做实验品。

永远不要以为网络上谁也不认识谁就出言不逊，这样会不小心惹恼些计算机病毒和木马编制高手他们有可能会侵犯你的电脑系统。

几种常见木马的清除方法网络公牛网络公牛是国产木马，默认连接端口。

服务端程序运行后，会自动脱壳成，位于下，下次开机将自动运行，因此很隐蔽危害很大。

同时，服务端运行后会自动捆绑以下文件下，。

服务端运行后还会捆绑在开机时自动运行的第三方软件如等上，在注册表中网络公牛也悄悄地扎下了根。

网络公牛采用的是文件捆绑功能，和上面所列出的文件捆绑在块，要清除非常困难。

这样做也有个缺点容易暴露自己，只要是稍微有经验的用户，就会发现文件长度发生了变化，从而怀疑自己中了木马。

清除方法删除网络公牛的自启动程序。

把网络公牛在注册表中所建立的键值全部删除检查上面列出的文件，如果发现文件长度发生变化大约增加了左右，可以通过与其它机子上的正常文件比较而知，就删除它们，然后点击开始附件系统工具系统信息工具系统文件检查器，在弹出的对话框中选中刻运行，并打开默认连接端口，文件用来和文件打开方式连起来即关联，当中木马者发现自己中了木马而在下把文件删除后，服务端就暂时被关闭，即木马被暂时删除当你运行了任何文本文件，隐蔽的木马文件就又被激活了，于是它再次生成文件，即木马又被种入，这也就是这种文件关联木马难以清除的个原因。

要说明的是，黑洞允许控制端用户自由定制安装后的木马文件名和所使用的端口，因此如果中了黑洞，那么你看到的文件名完全可能与此不同，木马连接端口也可能不是，关联的文件也可以是等文件。

本文是按其默认服务端配置来讲的以下所说皆如此。

修改文件关联是国产木马常用手段，黑洞也不例外令人惊讶的是老外的木马大都没有这个功能，从这个角度来说还是我们中国人更聪明更呵呵。

我们来看看黑洞躲在注册表的什么地方。

用来每次开机就运行的隐藏在注册表的下用来关联文件的躲在和下，它将系统默认值由改为了，请大家注意，就是在这里黑洞改变了文件打开方式，因此就算你删除了这个文件，但当你打开文件时，那个可怕的幽灵又回来了它再次生成，演绎了场经典的人鬼情未了大戏。

在注册表的和下，黑洞还建立了个主键，记载了些经过加密的配置信息，如等信息，这些信息不起控制作用，可以不用管它。

参考文献，，，刘功申计算机病毒及其防治技术清华大学出版社王富强，陈艳，任志考特洛伊木马的攻击与防护电脑知识与技术，王战浩木马攻击与防范技术研究上海上海交通大学，，潘勉，薛质，李建华，等特洛伊木马植入综述信息安全与通信保密张新宇，卿斯汉，马恒太，等特洛伊木马隐藏技术研究通信学报，，汪北阳木马攻击与防范技术研究长江大学学报，陈亮木马的攻击原理及清除方法科技创新导报，致谢我的毕业论文能够顺利完成，要感谢指导过我的老师，帮助过我的同学，和直支持鼓励着我的家人。

在这里我要对他们表示深深的谢意，首先要特别感谢我的指导老师王振华老师。

王老师在我毕业论文的撰写过程中，给我提供了极大的帮助和指导。

从开始选题到中期修正，再到最终定稿，王老师给我提供了许多宝贵建议。

其次要感谢计算机与信息技术学院所有曾经为级计算机科学与技术专业任课的老师，老师们教会我的不仅仅是专业知识，更多的是对待学习对待生活的态度，以及做人的道理。

感谢我的父母亲，你们是我力量的源泉，只要有你们，不管面对什么样的的困难，我都不会害怕。

最后对老师，同学和家人再次致以我最衷心的感谢，王瑞先年月于河南师范大学从安装软盘提取个文件，在框中填入要提取的文件前面你删除的文件，点确定按钮，然后按屏幕提示将这些文件恢复即可。

如果是开机时自动运行的第三方软件如等被捆绑上了，那就得把这些文件删除，再重新安装。

冰河我们这里介绍的是其标准版，掌握了如何清除标准版，再来对付变种冰河就很容易了。

冰河的服务器端程序为，客户端程序为，默认连接端口为。

旦运行，那么该程序就会在目录下生成和，并删除自身。

在系统启动时自动加载运行，和文件关联。

即使你删除了，但只要你打开文件，就会被激活，它将再次生成。

清除方法删除下的和文件冰河会在注册表下扎根，键值为，删除它在注册表的下，还有键值为的，也要删除。

最后，改注册表下的默认值，由表中木马后的改为正常，即可恢复文件关联功能。

网络神偷网络神偷是个反弹端口型木马。

什么叫反弹端口型木马呢与般的木马相反，反弹端口型木马的服务端被控制端使用主动端口，客户端控制端使用被动端口，为了隐蔽起见，客户端的监听端口般开在，这样，即使用户使用端口扫描软件检查自己的端口，发现的也是类似服务端的地址客户端的地址的情况，稍微疏忽点你就会以为是自己在浏览网页。

清除方法网络神偷会在注册表下建立键值，其值为，将键值删除删除其自启动程序。

广外女生广外女生是是种新出现的远程监控工具，破坏性很大，远程上传下载删除文件修改注册表等自然不在话下。

其可怕之处在于广外女生服务端被执行后，会自动检查进程中是否含有金山毒霸天网等字样，如果发现就将该进程终止，也就是说使防火墙完全失去作用，清除方法启动到纯模式下，找到目录下的，删除它我们找到目录中的注册表编辑器，将它改名为回到模式下，运行目录下的程序就是我们刚才改名的文件找到，将其默认键值改成删除注册表中名称为的键值关掉注册表编辑器，回到目录，将改回。

黑洞黑洞是国产木马程序，它是黑洞的升级版本。

在这个版本中作者加入了些新的功能和特性，最最可怕之处就是它的进程监控功能。

实际上，在黑洞中就已经有了这个功能，但黑洞只能监控天网个进程，黑洞却能同时对多进程进行监控，下面让我们起来了解下黑洞。

黑洞下载解压后只有个文件，它是监控端执行程序，用于监控远程计算机，大小，字节。

有经验的朋友可能要问了，怎么只有个监控端文件它的服务端呢哈哈，问得好，黑洞的服务端隐藏在客户端程序中，只要你运行如图，点其中的生成服务端文件即可生成个服务端文件，生成的服务端文件名为，大小，字节。

服务端的图标是普通文件夹所用的图标，如果你下载了这个服务端，并且你的系统设置为隐藏已知文件类型的扩展名，这时服务端看起来就是个普通的文件夹如图，当你好奇的点击，打算进入看看有什么文件在其中时，潘多