木马攻击与防御原理.ppt

主要内容
主要内容
木马攻击与防御
充分必要条件
木马攻击与防御原理
计算机病毒(Virus)
你的计算机被病毒入侵过吗
主要内容
黑客常用的攻击方法
传说中的木马(Trojan horse)
传说:木马(Trojan)这个名字来源于古希腊传说(荷马史诗中木马计的故事,Trojan一词的本意是特洛伊的,即代指特洛伊木马,也就是木马计的故事)
引入
总结:里应外合
特洛伊木马的由来
特洛伊木马是 Trojan Horse 的中译,是借自“木马屠城记”中那只木马的名字。古希腊有大军围攻特洛伊城,逾年无法攻下。有人献计制造一只高二丈的大木马假装作战马神,攻击数天后仍然无功,遂留下木马拔营而去。城中得到解围的消息,及得到“木马”这个奇异的战利品,全城饮酒狂欢。到午夜时份,全城军民尽入梦乡,匿于木马中的将士开秘门游绳而下,开启城门及四处纵火,城外伏兵涌入,焚屠特洛伊城。
后世称这只木马为"特洛伊木马",现今计算机术语借用其名,意思是"一经进入,后患无穷"。
特洛伊木马原则上只是一种远程管理工具。而且本身不带伤害性,也没有感染力,所以不能称之为病毒(也有人称之为第二代病毒);但却常常被视之为病毒。原因是如果有人不当的使用,破坏力可以比病毒更强。
特洛伊木马是一个程序,它驻留在目标计算机里,。
网络客户/服务模式的原理是一台主机提供服务(服务器),另一台主机接受服务(客户机)。作为服务器的主机一般会打开一个默认的端口并进行监听(Listen), 如果有客户机向服务器的这一端口提出连接请求(Connect Request), 服务器上的相应程序就会自动运行,来应答客户机的请求,这个程序称为守护进程(UNIX的术语,不过已经被移植到了MS系统上)。对于特洛伊木马,被控制端就成为一台服务器,控制端则是一台客户机
木马攻击原理
可以使用VB或VC的Winsock控件来编写网络客户/服务程序, 实现方法如下:
服务器端: =7626(冰河的默认端口,可以改为别的值) (等待连接)
客户端:
=ServerIP(设远端地址为服务器地址) =7626(设远程端口为冰河的默认端口)
(调用Winsock控件的连接方法) 一旦服务端接到客户端的连接请求ConnectionRequest,就接受连接Private Sub G_Server_ConnectionRequest(ByVal requestID As Long)  requestID End Sub ,而服务器在G_Server_DateArrive事件中接受并执行命令(几乎所有的木马功能都在这个事件处理程序中实现)
如果客户断开连接,则关闭连接并重新监听端口 Private Sub G_Server_Close()  (关闭连接)  (再次监听)  End Sub 客户端上传一个命令,服务端解释并执行命令。
实现木马的控制功能
以用户权限运行的木马程序几乎可以控制一切,下面仅对木马的主要功能进行简单的概述, 主要是使用Windows API函数。(1)远程监控(控制对方鼠标、键盘,并监视对方屏幕)  keybd_event模拟一个键盘动作。 mouse_event模拟一次鼠标事件mouse_event(dwFlags,dx,dy,cButtons,dwExtraInfo)dwFlags:  MOUSEEVENTF_ABSOLUTE 指定鼠标坐标系统中的一个绝对位置MOUSEEVENTF_MOVE 移动鼠标MOUSEEVENTF_LEFTDOWN 模拟鼠标左键按下