木马与拒绝服务攻击

《木马与拒绝服务攻击》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第2讲常用的网络攻击与防范主讲老师：钱朝阳2.1节木马木马全称为特洛伊木马（TrojanHorse,简称Trojan)。计算机安全中，特洛伊木马是指一种计算机程序，表面上或实际上具有某种有用的功能，而含有隐藏的可以控制用户计算机系统、危害系统安全的功能，可造成用户资料的泄漏、破坏或整个系统的崩溃1、木马概述木马1、不需要得到服务端用户的允许就能获得系统的使用权2、程序体积十分小（如国产的冰河400K左右），执行时不会占太多的资源3、执行时很难停止它的活动4、执行时不会在系统中显示出来5、一次启动后就会自动登录在系统的启动区，在每次系统的启动中都能自动运行6、一次执行后

2、会自动更换文件名，使之难以发现7、一次执行后会自动复制到其他的文件夹中8、服务端用户无法显示其执行的动作2、木马的特征木马木马一般由两部分组成，服务器端和客户端。木马的客户端与服务器端建立TCP连接的端口比较大（一般在5000以上）。要建立一个木马连接，首先必须满足两个条件：一是服务器端已经安装了木马程序；二是控制端，服务端都要在线。在此基础上，控制端可以通过木马端口与服务端建立连接。3、节木马的工作原理木马客户端A机服务器端B机客户端A机客户端A机服务器端B机服务器端B机植入连接请求响应远程控制端口7626开放扫描得到IP地址202.102.47.56端口号7626

3、端口号10314、节木马的工作原理实例木马假设A机为控制端，B机为服务器端。对于A机来说，要与B机建立连接必须知道B机的木马端口和IP地址，由于木马端口是A机事先设定的，为已知项，所以最重要是如何获得B机的IP地址（如可通过IP扫描）。因为B机装有木马程序，所以它的木马端口7626是处于开放状态的，因此现在A机只要扫描IP地段中7626端口开放的主机就行了。例如B机的IP地址是202.102.47.56，当A机扫描到这个IP地址时发现它的7626端口是开放的，那么这个IP就会被添加到列表中。这时A机就可以通过木马的控制端程序向B机发出连接信号，B机的木马程序收到信号后

4、立即响应，当A机收到响应的信号后，开启一个随机端口1031与B机的木马端口7626建立连接，这时一个木马连接才算真正建立。5、连接的建立木马木马传播方式主要有两种：（1）：一种是通过E-mail，黑客将木马程序以附件的形式用邮件发送出去，收信人只要找开附件，系统就会感染木马。（2）：另一种是软件下载，一些非正规的网站以提供软件下载为名义，将木马捆绑在软件安装程序上，下载后，只要运行这些程序，木马就会自动安装。6、木马的传播木马（1）、修改图标服务器的图标必须能够迷惑目标电脑的主人，另外，在E-mail的附件中，木马设计者将木马程序的图标改成HTML、TXT、ZIP等图

5、标样式（2）、捆绑文件一般可捆绑的地方有3个：注册表，Win.ini,System.ini。电脑起动时要加载这个3个文件。此外，还有通过替换Windows启动程序装载的如（Schoolbus1.60版本）（3）、出错显示当服务器端用户打开木马程序时，会弹出一个错误提示框，错误内容可自由定义，大多会定义一些诸如“文件已破坏，无法找开！”这类的信息，其实却是启动木马（4）、定制端口由于老式的木马端口都是固定的，很容易被发现，现在的木马可以由客户端自由定义一个在1024----65535之间一个端口7、节木马的隐藏方式（1）木马（5）、自我销毁木马的自我销毁功能是指在安装完

6、木马后，原木马文件将自动销毁，这样服务端用户很难找到木马的来源，给查找，删除木马带来困难（6）、木马文件的文件名，存放位置在Windows系统中木马存放的位置一般是C:Windows和C:Windowssystem下，因为这两个目录下面的文件大都是系统文件，并且文件最多。（7）、隐蔽运行一般程序运行时不要在任务样中显示，也有的将程序进程也隐藏起来7、节木马的隐藏方式(2)木马在服务端用户运行木马或捆绑木马的程序后，木马就会自动进行安装。首先将自身拷贝到Windows的系统文件夹中，然后在注册表、启动组、非启动组中设置好木马的触发条件，木马的安装就完成了，安装后就

7、可以启动木马了。8、木马运行2.2节拒绝服务攻击DoS的英文全称是DenialofService，也就是“拒绝服务”的意思。从网络攻击的各种方法和所产生的破坏情况来看，DoS算是一种很简单但又很有效的进攻方式。它的目的就是拒绝你的服务访问，破坏组织的正常运行，最终它会使你的部分Internet连接和网络系统失效。DoS的攻击方式有很多种，最基本的DoS攻击就是利用合理的服务请求来占用过多的服务资源，从而使合法用户无法得到服务。1、DOS原理（1）拒绝服务攻击首先攻击者向服务器发送众多的带有虚假地址的请求，服务器发送回复信息后等待回传信息，由于地址是伪