資源描述：
《3-5-2木馬的植入、自啟動(dòng)和隱藏.ppt》由會(huì)員上傳分享，免費(fèi)在線(xiàn)閱讀，更多相關(guān)內(nèi)容在行業(yè)資料-天天文庫(kù)。
1、計(jì)算機(jī)病毒與防治重慶電子工程職業(yè)學(xué)院計(jì)算機(jī)病毒與防治課程小組教學(xué)單元3-5木馬病毒防治木馬自啟動(dòng)原理木馬的植入技術(shù)木馬自啟動(dòng)實(shí)現(xiàn)第二講木馬的植入、自啟動(dòng)和隱藏計(jì)算機(jī)病毒與防治課程小組木馬隱藏手段木馬隱藏實(shí)現(xiàn)木馬入侵木馬的傳播途徑有很多種，其中最簡(jiǎn)單的是直接將木馬的服務(wù)器端程序拷貝到U盤(pán)上。通過(guò)電子郵件傳播是一種最簡(jiǎn)單有效的方法，黑客通常給用戶(hù)發(fā)電子郵件，而這個(gè)加在附件中的軟件就是木馬的服務(wù)器端程序。緩沖區(qū)溢出攻擊是植入木馬最常用的手段。據(jù)統(tǒng)計(jì)，通過(guò)緩沖區(qū)溢出進(jìn)行的攻擊占所有系統(tǒng)攻擊總數(shù)的80%以上。計(jì)算機(jī)病毒與防治課程小組木馬植入技術(shù)計(jì)算機(jī)病毒與防治課程小組木馬入侵緩沖區(qū)溢出((Buffe
2、rOverflow)指的是一種系統(tǒng)攻擊的手段，通過(guò)往程序的緩沖區(qū)寫(xiě)超出其長(zhǎng)度的內(nèi)容，造成緩沖區(qū)的溢出，從而破壞程序的堆棧，使程序轉(zhuǎn)而執(zhí)行其它指令，以達(dá)到攻擊的目的。造成緩沖區(qū)溢出的原因是程序中沒(méi)有仔細(xì)檢查用戶(hù)輸入的參數(shù)。例如下面程序：voidfunction(char*str)｛charbuffer[16];strcpy(buffer,str);}通過(guò)緩沖區(qū)溢出植入木馬木馬入侵計(jì)算機(jī)病毒與防治課程小組上面的strcpy()將直接吧str中的內(nèi)容copy到buffer中。這樣只要str的長(zhǎng)度大于16就會(huì)造成buffer的溢出，使程序運(yùn)行出錯(cuò)。存在象strcpy這樣的問(wèn)題的標(biāo)準(zhǔn)函數(shù)還有strc
3、at(),sprintf(),vsprintt(),gets(),scanf()，以及在循環(huán)內(nèi)的getc(),fgetc(),getchar()等。當(dāng)然，隨便往緩沖區(qū)中填東西造成它溢出一般只會(huì)出現(xiàn)Segmentationfault錯(cuò)誤，而不能達(dá)到攻擊的目的。如果在溢出的緩沖區(qū)中寫(xiě)入我們想執(zhí)行的代碼，再覆蓋函數(shù)返回地址的內(nèi)容，使它指向緩沖區(qū)的開(kāi)頭，就可以達(dá)到運(yùn)行其它指令的目的。通過(guò)緩沖區(qū)溢出植入木馬木馬自啟動(dòng)途徑計(jì)算機(jī)病毒與防治課程小組1.利用INI文件實(shí)現(xiàn)相關(guān)程序的自動(dòng)啟動(dòng)win.ini是系統(tǒng)保存在[Windir]目錄下的一個(gè)系統(tǒng)初始化文件。系統(tǒng)在起動(dòng)時(shí)會(huì)檢索該文件中的相關(guān)項(xiàng)，以便對(duì)系統(tǒng)環(huán)
4、境的初始設(shè)置。在該文件中的“[windows]”數(shù)據(jù)段中，有兩個(gè)數(shù)據(jù)項(xiàng)“l(fā)oad=”和“run=”。它們的作用就是在系統(tǒng)起動(dòng)之后自動(dòng)地裝入和運(yùn)行相關(guān)的程序。Win.ini:System.ini:[windows][boot]Shell=Explorer.exeload=file.exeShell=Explorer.exerun=file.exe程序自動(dòng)啟動(dòng)的原理計(jì)算機(jī)病毒與防治課程小組木馬自啟動(dòng)途徑2.利用注冊(cè)表實(shí)現(xiàn)相關(guān)程序的自動(dòng)啟動(dòng)系統(tǒng)注冊(cè)表保存著系統(tǒng)的軟件、硬件及其他與系統(tǒng)配置有關(guān)的重要信息，注冊(cè)表中的[HKEY_LOCAL_MACHINESoftwareMicrosoftWind
5、owsCurrentVersion]項(xiàng)會(huì)影響系統(tǒng)起動(dòng)過(guò)程執(zhí)行程序，可以向該項(xiàng)添加一個(gè)子項(xiàng)，自動(dòng)啟動(dòng)程序的設(shè)置具體可以通過(guò)更改以下鍵值來(lái)實(shí)現(xiàn)：[HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunServices][HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunServicesOnce][HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun][HKEY_LOC
6、AL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunOnce][HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun][HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRunOnce][HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRunServices]木馬自啟動(dòng)途徑計(jì)算機(jī)病毒與防治課程小組3加入系統(tǒng)啟動(dòng)組在啟動(dòng)
7、文件夾[Windir]startmenuprogramsstartup中添加程序或快捷方式，也可修改冊(cè)表的位置：[HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorerShellFoldersStartup]="windowsstartmenuprogramsstartup"木馬自啟動(dòng)途徑計(jì)算機(jī)病毒與防治課程小組4利用系統(tǒng)啟
