1. <progress id="f3loa"><big id="f3loa"></big></progress>

    2. <tbody id="f3loa"></tbody>

      <ol id="f3loa"><strike id="f3loa"></strike></ol>
      <rp id="f3loa"></rp>
      武器百科大全  > 所屬分類  >  網絡病毒   
      [1] 評論[0] 編輯
      冰河木馬開發于1999年,跟灰鴿子類似,在設計之初,開發者的本意是編寫一個功能強大的遠程控制軟件。但一經推出,就依靠其強大的功能成為了黑客們發動入侵的工具,并結束了國外木馬一統天下的局面,跟后來的灰鴿子等等成為國產木馬的標志和代名詞。HK聯盟Mask曾利用它入侵過數千臺電腦,其中包括國外電腦。

      武器性能

    3. 中文名稱:冰河木馬
    4. 危險程度:極度危險
    5. 殺毒方法:《冰河陷阱》
    6. 木馬終端類型:服務端
    7. 外文名稱:Glacier?Trojan
    8. 感染方式:U盤,郵箱,qq等
    9. 使用難度:極容易
    10. 原作者:黃鑫
    11. 目錄

      簡介編輯本段

      在2006年之前,冰河在國內一直是不可動搖的領軍木馬,在國內沒用過冰河的人等于沒用過木馬,由此可見冰河木馬在國內的影響力之巨大。
      目的:遠程訪問、控制。
      選擇:可人為制造受害者和尋找"養馬場",選擇前者的基本上可省略掃描的步驟。

      具體功能編輯本段

      1.自動跟蹤目標機屏幕變化,同時可以完全模擬鍵盤及鼠標輸入,即在同步被控端屏幕變化的同時,監控端的一切鍵盤及鼠標操作將反映在被控端屏幕(局域網適用);
      2.記錄各種口令信息:包括開機口令、屏??诹?、各種共享資源口令及絕大多數在對話框中出現過的口令信息;
      3.獲取系統信息:包括計算機名、注冊公司、當前用戶、系統路徑、操作系統版本、當前顯示分辨率、物理及邏輯磁盤信息等多項系統數據;
      4.限制系統功能:包括遠程關機、遠程重啟計算機、鎖定鼠標、鎖定系統熱鍵及鎖定注冊表等多項功能限制;
      5.遠程文件操作:包括創建、上傳、下載、復制、刪除文件或目錄、文件壓縮、快速瀏覽文本文件、遠程打開文件(提供了四中不同的打開方式——正常方式、最大化、最小化和隱藏方式)等多項文件操作功能;
      6.注冊表操作:包括對主鍵的瀏覽、增刪、復制、重命名和對鍵值的讀寫等所有注冊表操作功能;
      7.發送信息:以四種常用圖標向被控端發送簡短信息;
      8.點對點通訊:以聊天室形式同被控端進行在線交談。
      從一定程度上可以說冰河是最有名的木馬了,就連剛接觸電腦的用戶也聽說過它。雖然許多殺毒軟件可以查殺它,但國內仍有幾十萬中冰河的電腦存在!作為木馬,冰河創造了最多人使用、最多人中彈的奇跡!現在網上又出現了許多的冰河變種程序,我們這里介紹的是其標準版,掌握了如何清除標準版,再來對付變種冰河就很容易了。
      冰河的服務器端程序為G-server.exe,客戶端程序為G-client.exe,默認連接端口為7626。一旦運行G-server,那么該程序就會在C:/Windows/system目錄下生成Kernel32.exe和sysexplr.exe,并刪除自身。 Kernel32.exe在系統啟動時自動加載運行,sysexplr.exe和TXT文件關聯。即使你刪除了Kernel32.exe,但只要你打開 TXT文件,sysexplr.exe就會被激活,它將再次生成Kernel32.exe,于是冰河又回來了!這就是冰河屢刪不止的原因。

      清除方法編輯本段

      1、刪除C:Windowssystem下的Kernel32.exe和Sysexplr.exe文件。
      2、冰河會在注冊表HKEY_LOCAL_MACHINE/software/microsoft/windows/ CurrentVersion
      Run下扎根,鍵值為C:/windows/system/Kernel32.exe,刪除它。
      3、在注冊表的HKEY_LOCAL_MACHINE/software/microsoft/windows/ CurrentVersion/Runservices下,還有鍵值為C:/windows/system/Kernel32.exe的,也要刪除。
      4、最后,改注冊表HKEY/CLASSES/ROOT/txtfile/shell/open/command下的默認值,由中木馬后的C: /windows/system/Sysexplr.exe %1改為正常情況下的C:/windows/notepad.exe %1,即可恢復TXT文件關聯功能。

      冰河木馬原理編輯本段

      木馬冰河是用C++Builder寫的,為了便于大家理解,我將用相對比較簡單的VB來說明它,其中涉及到一些WinSock編程和Windows API的知識,如果你不是很了解的話,請去查閱相關的資料。

      基礎篇

      無論大家把木馬看得多神秘,也無論木馬能實現多么強大的功能,木馬,其實質只是一個網絡客戶/服務程序。那么,就讓我們從網絡客戶/服務程序的編寫開始。

      基本概念:

      網絡客戶/服務模式的原理是一臺主機提供服務(服務器),另一臺主機接受服務(客戶機)。作為服務器的主機一般會打開一個默認的端口并進行監聽 (Listen), 如果有客戶機向服務器的這一端口提出連接請求(Connect Request), 服務器上的相應程序就會自動運行,來應答客戶機的請求,這個程序我們稱為守護進程(UNIX的術語,不過已經被移植到了MS系統上)。對于冰河,被控制端就成為一臺服務器,控制端則是一臺客戶機,G_server.exe是守護進程, G_client是客戶端應用程序。(這一點經常有人混淆,而且往往會給自己種了木馬!)

      程序實現:

      在VB中,可以使用Winsock控件來編寫網絡客戶/服務程序,實現方法如下(其中,G_Server和G_Client均為Winsock控件):
      服務端:
      G_Server.LocalPort=7626(冰河的默認端口,可以改為別的值)
      G_Server.Listen(等待連接)
      客戶端:
      G_Client.RemoteHost=ServerIP(設遠端地址為服務器地址)
      G_Client.RemotePort=7626 (設遠程端口為冰河的默認端口,呵呵,知道嗎?這是冰河的生日哦)
      (在這里可以分配一個本地端口給G_Client, 如果不分配, 計算機將會自動分配一個, 建議讓計算機自動分配)
      G_Client.Connect (調用Winsock控件的連接方法)
      一旦服務端接到客戶端的連接請求ConnectionRequest,就接受連接
      Private Sub G_Server_ConnectionRequest(ByVal requestID As Long)
      G_Server.Accept requestID
      End Sub
      客戶機端用G_Client.SendData發送命令,而服務器在G_Server_DateArrive事件中接受并執行命令(幾乎所有的木馬功能都在這個事件處理程序中實現)
      如果客戶斷開連接,則關閉連接并重新監聽端口
      Private Sub G_Server_Close()
      G_Server.Close (關閉連接)
      G_Server.Listen (再次監聽)
      End Sub
      其他的部分可以用命令傳遞來進行,客戶端上傳一個命令,服務端解釋并執行命令......

      控制篇(木馬控制了這個世界?。?/h3>

      由于Win98開放了所有的權限給用戶,因此,以用戶權限運行的木馬程序幾乎可以控制一切,讓我們來看看冰河究竟能做些什么(看了后,你會認同我的觀點:稱冰河為木馬是不恰當的,冰河實現的功能之多,足以成為一個成功的遠程控制軟件)
      因為冰河實現的功能實在太多,我不可能在這里一一詳細地說明,所以下面僅對冰河的主要功能進行簡單的概述,主要是使用Windows API函數, 如果你想知道這些函數的具體定義和參數,請查詢WinAPI手冊。

      遠程監控

      (控制對方鼠標、鍵盤,并監視對方屏幕)
      keybd_event 模擬一個鍵盤動作(這個函數支持屏幕截圖哦)。
      mouse_event 模擬一次鼠標事件(這個函數的參數太復雜,我要全寫在這里會被編輯罵死的,只能寫一點主要的,其他的自己查WinAPI吧)
      mouse_event(dwFlags,dx,dy,cButtons,dwExtraInfo)
      dwFlags:
      MOUSEEVENTF_ABSOLUTE 指定鼠標坐標系統中的一個絕對位置。
      MOUSEEVENTF_MOVE 移動鼠標
      MOUSEEVENTF_LEFTDOWN 模擬鼠標左鍵按下
      MOUSEEVENTF_LEFTUP 模擬鼠標左鍵抬起
      MOUSEEVENTF_RIGHTDOWN 模擬鼠標右鍵按下
      MOUSEEVENTF_RIGHTUP 模擬鼠標右鍵按下
      MOUSEEVENTF_MIDDLEDOWN 模擬鼠標中鍵按下
      MOUSEEVENTF_MIDDLEUP 模擬鼠標中鍵按下
      dx,dy: MOUSEEVENTF_ABSOLUTE中的鼠標坐標

      記錄各種口令信息

      (作者注:出于安全角度考慮,本文不探討這方面的問題,也請不要給我來信詢問)

      獲取系統信息

      a.取得計算機名 GetComputerName
      b.更改計算機名 SetComputerName
      c.當前用戶 GetUserName函數
      d.系統路徑
      Set FileSystem0bject = CreateObject("Scripting.FileSystemObject") (建立文件系統對象)
      Set SystemDir = FileSystem0bject.getspecialfolder(1)
      (取系統目錄)
      Set SystemDir = FileSystem0bject.getspecialfolder(0)
      (取Windows安裝目錄)
      (友情提醒: FileSystemObject是一個很有用的對象,你可以用它來完成很多有用的文件操作)
      e.取得系統版本 GetVersionEx(還有一個GetVersion,不過在32位windows下可能會有問題,所以建議用GetVersionEx
      f.當前顯示分辨率
      Width = screen.Width screen.TwipsPerPixelX
      Height= screen.Height screen.TwipsPerPixelY
      其實如果不用Windows API我們也能很容易的取到系統的各類信息,那就是Windows的"垃圾站"-注冊表
      比如計算機名和計算機標識吧:HKEY_LOCAL_MACHINESystemCurrentControlSetServicesVxDVNETSUP中的Comment,ComputerName和WorkGroup
      注冊公司和用戶名:HKEY_USERS.DEFAULTSoftwareMicrosoftMS Setup (ACME)UserInfo至于如何取得注冊表鍵值請看第6部分。

      限制系統功能

      a.遠程關機或重啟計算機,使用WinAPI中的如下函數可以實現:
      ExitWindowsEx(ByVal uFlags,0)
      當uFlags=0 EWX_LOGOFF 中止進程,然后注銷
      當uFlags=1 EWX_SHUTDOWN 關掉系統電源
      當uFlags=2 EWX_REBOOT 重新引導系統
      當uFlags=4 EWX_FORCE 強迫中止沒有響應的進程
      b.鎖定鼠標
      ClipCursor(lpRect As RECT)可以將指針限制到指定區域,或者用ShowCursor(FALSE)把鼠標隱藏起來也可以
      注:RECT是一個矩形,定義如下:
      Type RECT
      Left As Long
      Top As Long
      Right As Long
      Bottom As Long
      End Type
      c.鎖定系統 這個有太多的辦法了,嘿嘿,想Windows不死機都困難呀,比如,搞個死循環吧,當然,要想系統徹底崩潰還需要一點技巧,比如設備漏洞或者耗盡資源什么的......
      d.讓對方掉線 RasHangUp......
      e.終止進程 ExitProcess......
      f.關閉窗口 利用FindWindow函數找到窗口并利用SendMessage函數關閉窗口

      遠程文件操作

      無論在哪種編程語言里,文件操作功能都是比較簡單的,在此就不贅述了,你也可以用上面提到的FileSystemObject對象來實現

      注冊表操作

      在VB中只要Set RegEdit=CreateObject("WScript.Shell")
      就可以使用以下的注冊表功能:
      刪除鍵值:RegEdit.RegDelete RegKey
      增加鍵值:RegEdit.Write RegKey,RegValue
      獲取鍵值:RegEdit.RegRead (Value)
      記住,注冊表的鍵值要寫全路徑,否則會出錯的。
      7.發送信息
      很簡單,只是一個彈出式消息框而已,VB中用MsgBox("")就可以實現,其他程序也不太難的。
      8.點對點通訊
      呵呵,這個嘛隨便去看看什么聊天軟件就行了(因為比較簡單但是比較煩,所以我就不寫了,呵呵。又:我始終沒有搞懂冰河為什么要在木馬里搞這個東東,困惑......)
      9.換墻紙
      CallSystemParametersInfo(20,0,"BMP路徑名稱",&H1)
      值得注意的是,如果使用了ActiveDesktop,換墻紙有可能會失敗,遇到這種問題,請不要找冰河和我,去找Bill吧。

      潛行篇

      (Windows,一個捉迷藏的大森林)
      木馬并不是合法的網絡服務程序,因此,它必須想盡一切辦法隱藏自己,好在,Windows是一個捉迷藏的大森林!

      在任務欄中隱藏自己:

      這是最基本的了,如果連這個都做不到......(想象一下,如果Windows的任務欄里出現一個國際象棋中木馬的圖標...@#!#@...也太囂張了吧!)
      在VB中,只要把form的Visible屬性設為False, ShowInTaskBar設為False, 程序就不會出現在任務欄中了。

      在任務管理器中隱形:

      在任務管理器中隱形,就是按下Ctrl+Alt+Del時看不見那個名字叫做“木馬”的進程,這個有點難度,不過還是難不倒我們,將程序設為“系統服務”可以很輕松的偽裝成比爾蓋茨的嫡系部隊(Windows,我們和你是一家的,不要告訴別人我藏在哪兒...)。
      在VB中如下的代碼可以實現這一功能:
      Public Declare Function RegisterServiceProcess Lib "kernel32" (ByVal ProcessID As Long, ByVal ServiceFlags As Long) As Long
      Public Declare Function GetCurrentProcessId Lib "kernel32" () As Long
      (以上為聲明)
      Private Sub Form_Load()
      RegisterServiceProcess GetCurrentProcessId, 1 (注冊系統服務)
      End Sub
      Private Sub Form_Unload()
      RegisterServiceProcess GetCurrentProcessId, 0 (取消系統服務)
      End Sub

      如何悄沒聲息地啟動:

      你當然不會指望用戶每次啟動后點擊木馬圖標來運行服務端,木馬要做到的第二重要的事就是如何在每次用戶啟動時自動裝載服務端(第一重要的是如何讓對方中木馬,嘿嘿,這部分的內容將在后面提到)
      Windows支持多種在系統啟動時自動加載應用程序的方法(簡直就像是為木馬特別定做的)啟動組、win.ini、system.ini、注冊表等等都是木馬藏身的好地方。冰河采用了多種方法確保你不能擺脫它。首先,冰河會在注冊表的HKEY_LOCAL_MACHINESoftware MicrosoftWindowsCurrentVersionRun和RUNSERVICE鍵值中加上了kernl32.exe(是系統目錄),其次如果你刪除了這個鍵值,自以為得意地喝著茶的時候,冰河又陰魂不散地出現了...怎么回事?原來冰河的服務端會在c:windows(這個會隨你windows的安裝目錄變化而變化)下生成一個叫sysexplr.exe文件(太象超級解霸了,好毒呀,冰河?。?這個文件是與文本文件相關聯的,只要你打開文本(哪天不打開幾次文本?),sysexplr.exe文件就會重新生成krnel32.exe, 然后你還是被冰河控制著。(冰河就是這樣長期霸占著窮苦勞動人民寶貴的系統資源的,555555)

      端口

      木馬都會很注意自己的端口(你呢?你關心你的6萬多個端口嗎?),如果你留意的話,你就會發現,木馬端口一般都在1000以上,而且呈越來越大的趨勢 (netspy是1243....)這是因為,1000以下的端口是常用端口,占用這些端口可能會造成系統不正常,這樣木馬就會很容易暴露;而由于端口掃描是需要時間的(一個很快的端口掃描器在遠程也需要大約二十分鐘才能掃完所有的端口),故而使用諸如54321的端口會讓你很難發現它。在文章的末尾我給大家轉貼了一個常見木馬的端口表,你就對著這個表去查吧(不過,值得提醒的是,冰河及很多比較新的木馬都提供端口修改功能,所以,實際上木馬能以任意端口出現)

      最新的隱身技術

      更新、更隱蔽的方法已經出現,那就是-驅動程序及動態鏈接庫技術(冰河3.0會采用這種方法嗎?)。
      驅動程序及動態鏈接庫技術和一般的木馬不同,它基本上擺脫了原有的木馬模式-監聽端口,而采用替代系統功能的方法(改寫驅動程序或動態鏈接庫)。這樣做的結果是:系統中沒有增加新的文件(所以不能用掃描的方法查殺)、不需要打開新的端口(所以不能用端口監視的方法查殺)、沒有新的進程(所以使用進程查看的方法發現不了它,也不能用kill進程的方法終止它的運行)。在正常運行時木馬幾乎沒有任何的癥狀,而一旦木馬的控制端向被控端發出特定的信息后,隱藏的程序就立即開始運作......
      事實上,我已經看到過幾個這樣類型的木馬,其中就有通過改寫vxd文件建立隱藏共享的木馬...(江湖上又將掀起新的波浪)

      破解篇(魔高一尺、道高一丈)

      本文主要是探討木馬的基本原理,木馬的破解并非是本文的重點(也不是我的長處),具體的破解請大家期待yagami的《特洛伊木馬看過來》(我都期待一年了,大家和我一起繼續期待吧,嘿嘿),本文只是對通用的木馬防御、卸載方法做一個小小的總結:

      端口掃描

      端口掃描是檢查遠程機器有無木馬的最好辦法, 端口掃描的原理非常簡單, 掃描程序嘗試連接某個端口, 如果成功, 則說明端口開放, 如果失敗或超過某個特定的時間(超時), 則說明端口關閉。(關于端口掃描,Oliver有一篇關于“半連接掃描”的文章,很精彩,那種掃描的原理不太一樣,不過不在本文討論的范圍之中)
      但是值得說明的是, 對于驅動程序/動態鏈接木馬, 掃描端口是不起作用的。

      查看連接

      查看連接和端口掃描的原理基本相同,不過是在本地機上通過netstat-a(或某個第三方的程序)查看所有的TCP/UDP連接,查看連接要比端口掃描快,缺點同樣是無法查出驅動程序/動態鏈接木馬,而且僅僅能在本地使用。

      檢查注冊表

      上面在討論木馬的啟動方式時已經提到,木馬可以通過注冊表啟動(好像現在大部分的木馬都是通過注冊表啟動的,至少也把注冊表作為一個自我保護的方式),那么,我們同樣可以通過檢查注冊表來發現"馬蹄印",冰河在注冊表里留下的痕跡請參照《潛行篇》。

      查找文件

      查找木馬特定的文件也是一個常用的方法(這個我知道,冰河的特征文件是G_Server.exe吧? 笨蛋!哪會這么簡單,冰河是狡猾狡猾的......)冰河的一個特征文件是kernl32.exe(靠,偽裝成Windows的內核呀),另一個更隱蔽, 是sysexlpr.exe(什么什么,不是超級解霸嗎?)對!冰河之所以給這兩個文件取這樣的名字就是為了更好的偽裝自己, 只要刪除了這兩個文件,冰河就已經不起作用了。其他的木馬也是一樣(廢話,Server端程序都沒了,還能干嘛?)
      如果你只是刪除了sysexlpr.exe而沒有做掃尾工作的話,可能會遇到一些麻煩-就是你的文本文件打不開了,因為前面說了,sysexplr.exe是和文本文件關聯的,你還必須把文本文件跟notepad關聯上,方法有三種:
      a.更改注冊表(我就不說了,有能力自己改的想來也不要我說,否則還是不要亂動的好)
      b.在<我的電腦>-查看-文件夾選項-文件類型中編輯
      c.按住SHIFT鍵的同時鼠標右擊任何一個TXT文件,選擇打開方式,選中<始終用該程序打開......>,然后找到notepad,點一下就OK了。(這個最簡單,推薦使用)
      提醒一下,對于木馬這種狡猾的東西,一定要小心又小心,冰河是和txt文件關聯的,txt打不開沒什么大不了,如果木馬是和exe文件關聯而你貿然地刪了它......你苦了!連regedit都不能運行了!

      殺病毒軟件

      之所以把殺病毒軟件放在最后是因為它實在沒有太大的用,包括一些號稱專殺木馬的軟件也同樣是如此,不過對于過時的木馬以及菜鳥安裝的木馬(沒有配置服務端)還是有點用處的, 值得一提的是最近新出來的ip armor在這一方面可以稱得上是比較領先的,它采用了監視動態鏈接庫的技術,可以監視所有調用Winsock的程序,并可以動態殺除進程,是一個個人防御的好工具(雖然我對傳說中“該軟件可以查殺未來十年木馬”的說法表示懷疑,嘿嘿,兩年后的事都說不清,誰知道十年后木馬會“進化”到什么程度?甚至十年后的操作系統是什么樣的我都想象不出來)
      另外,對于驅動程序/動態鏈接庫木馬,有一種方法可以試試,使用Windows的"系統文件檢查器",通過"開始菜單"-"程序"-"附件"-"系統工具 "-"系統信息"-"工具"可以運行"系統文件檢查器"(這么詳細,不會找不到吧? 什么,你找不到! 吐血! 找一張98安裝盤補裝一下吧), 用“系統文件檢查器”可檢測操作系統文件的完整性,如果這些文件損壞,檢查器可以將其還原,檢查器還可以從安裝盤中解壓縮已壓縮的文件(如驅動程序)。如果你的驅動程序或動態鏈接庫在你沒有升級它們的情況下被改動了,就有可能是木馬(或者損壞了),提取改動過的文件可以保證你的系統安全和穩定。(注意,這個操作需要熟悉系統的操作者完成,由于安裝某些程序可能會自動升級驅動程序或動態鏈接庫,在這種情況下恢復"損壞的"文件可能會導致系統崩潰或程序不可用!)

      狡詐篇(只要你的一點點疏忽......)

      只要你有一點點的疏忽,就有可能被人安裝了木馬,知道一些給人種植木馬的常見伎倆對于保證自己的安全不無裨益。

      木馬種植伎倆

      網上“幫”人種植木馬的伎倆主要有以下的幾條
      a.軟哄硬騙法
      這個方法很多啦, 而且跟技術無關的, 有的是裝成大蝦, 有的是裝成PLMM, 有的態度謙恭,有的......反正目的都一樣,就是讓你去運行一個木馬的服務端。
      b.組裝合成法
      就是所謂的221(Two To One二合一)把一個合法的程序和一個木馬綁定,合法程序的功能不受影響,但當你運行合法程序時,木馬就自動加載了,同時,由于綁定后程序的代碼發生了變化,根據特征碼掃描的殺毒軟件很難查找出來。
      c.改名換姓法
      這個方法出現的比較晚,不過現在很流行,對于不熟練的windows操作者,很容易上當。具體方法是把可執行文件偽裝成圖片或文本----在程序中把圖標改成Windows的默認圖片圖標, 再把文件名改為*.jpg *.exe, 由于Win98默認設置是"不顯示已知的文件后綴名",文件將會顯示為*.jpg, 不注意的人一點這個圖標就中木馬了(如果你在程序中嵌一張圖片就更完美了)
      d.愿者上
      木馬的主人在網頁上放置惡意代碼,引誘用戶點擊,用戶點擊的結果不言而喻:開門揖盜;奉勸:不要隨便點擊網頁上的鏈接,除非你了解它,信任它,為它死了也愿意...

      幾點注意(一些陳詞濫調)

      a.不要隨便從網站上下載軟件,要下也要到比較有名、比較有信譽的站點,這些站點一般都有專人殺馬殺毒;
      b.不要過于相信別人,不能隨便運行別人給的軟件;
      (特別是認識的,不要以為認識了就安全了,就是認識的人才會給你裝木馬,哈哈,挑撥離間......)
      c.經常檢查自己的系統文件、注冊表、端口什么的,經常去安全站點查看最新的木馬公告;
      d.改掉windows關于隱藏文件后綴名的默認設置(我是只有看見文件的后綴名才會放心地點它的)

      木馬冰河的破解之法

      不用我說了,大家都知道冰河2.2最新版吧!它的強大的功能大家也一定十分的了解吧!他的操作界面清晰簡潔,控制類功能強大,一些功能如果應用與遠程控制管理,那么它將是非常理想的軟件,可要是被他人用語黑客木馬,那么它的危害比起BO2000,NETSPY真是有過之而無不及.事實上,把它定位與黑客木馬并不過分,因為它的服務器端程序具有隱藏,自我復制保護,盜取密碼帳號等功能,這不是一個正常的軟件所應具備的.他甚至還可以在客戶端將木馬設置成任意文件名,服務器端程序在上網后,還會自動將該機當前的IP通過E-MAIL方式發送到客戶端.拷貝,刪除文件,關閉進程,強制關機,跟蹤鍵盤鎖定鼠標等更不在話下,目前,還沒有一個防病毒產品可對其防,殺!
      所以我在此給大家介紹解除冰河服務端的方法,從此就不必再擔心自己的機子會被人控制了!
      那么如何防范與消除冰河呢?
      首先,不要執行來路不明的軟件程序,這是千古不變的真理.任何黑客程序再高明,功能再強大,都需要利用系統漏洞才能達到入侵的目的.假如沒有服務器端的木馬程序運行,就可以使掌握著客戶端程序的這類黑客不能得逞.其次,應養成良好的電腦使用習慣,如不把撥號上網的密碼保存等等!
      了解冰河黑客軟件的攻擊機制,就沒有什么可懼怕的了。一旦感染了"冰河",可以使用以下的方法,將其殲滅在你的電腦里:
      1.檢查注冊表啟動組,具體為:開始-->運行-->regedit,值:HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun和HKEY_LOCAL_MACHINESogtwareMicrosoftWindowsCurrentVersionRunServer,查找KERNEL32.EXE的執行項目,如有則將兩個鍵值刪除.值得注意的是,因為"冰河"可以隨意配置服務器程序的參數,如服務器文件名,端口號,密碼等,因此服務器端的程序可以是隨意名稱,即不局限是KERNEL32.EXE,所以在這里需要具備一定的Windows知識,準確的找出可疑的啟動文件,如哪不定主意的話可以與另一臺電腦進行對照.
      2.刪除硬盤上與“冰河”有關的文件.可以按上述文件名將可疑文件找出后刪除.KERNEL32.EXE(或更改為新名稱)默認在Windowssytem目錄下,但同樣因配置的不同可以寄存與Windows或Temp目錄下.
      3.“冰河”的自我保護措施是很強的,它可以利用注冊表的文件關聯項目,在你毫不知覺的情況下復制自己重新安裝.在做完上述工作后,雖然表面上“冰河”不復存在了,但當你點擊打開有關文件時(如*.TXT,*EXE),“冰河”又復活了!因此為斬草除根,在上述1.2步的基礎上,還應以可疑文件名為線索,全面掃描查找一遍注冊表,可以發現可疑鍵值一一刪除.
      4.上述的操作因需要在系統的心臟--注冊表上做手術,有一定的危險性.其實最簡便有效的辦法就是格式化你的硬盤,重裝Windows系統,當然,你要為此付出一定的時間了!

      以下是補充上述方法的新文章:

      一. 按照上述方法殺掉冰河后,還應該對注冊表中HKEY_CLASS_ROOT xtfileshellopencommand下的鍵值C:WINDOWSNOTEPAD.EXE%1 進行修正,改為:C:WINDOWSSYSTEMEXE%1,否則大家會發現打不開文本文件,當打開文本文件時,大家會看到'未找到程序'的提示.
      二.是上述介紹殺掉木馬的方法是,只是針對客戶端配置的確省模式,當客戶端在配置服務器程序是更換了文件名,廣大網友可能就找不到了.具體的判斷解決方法是"首先還是查看注冊表中HKEY_CLASS_TOOT xtfileshellpoencommand的鍵值是什么,如C:WINDOWSSYSTEMCY.EXE%1(這里也可能是其它文件名和路徑),記下來CY.EXE;查注冊表中HKEY_LOCAL_MACHINEsoftwareMicrosoftWindowsCurrentVersionRun和 HKEY_LOCAL_MACHINEsoftwareMicrosoftWindowsCurrentVersionRunServer的鍵值,如也有CY.EXE,則基本上判斷他就是冰河木馬,最好還要再核對文件的字節數(2.0版本冰河木馬字節熟為495,733字節),將以上的兩個鍵值刪除C:WINDOWSSYSTEMCY.EXE即可(在WIN98下是刪不掉的).需要注意的是在修正注冊表之前,要做好備份;要對與CY.EXE字節熟相同的文件引其高度注意,以防客戶端在此前給你配置了幾套冰河木馬。

      相關內容編輯本段

      如何識別木馬

      先來說一下木馬是如何通過網頁進入你的電腦的,相信大家都知道,現在有很多圖片木馬,EML和EXE木馬,其中的圖片木馬其實很簡單,就是把木馬 exe文件的文件頭換成bmp文件的文件頭,然后欺騙IE瀏覽器自動打開該文件,然后利用網頁里的一段JAVASCRIPT小程序調用DEBUG把臨時文件里的bmp文件還原成木馬exe文件并拷貝到啟動項里,接下來的事情很簡單,你下次啟動電腦的時候就是你噩夢的開始了,EML木馬更是傳播方便,把木馬文件偽裝成audio/x-wav聲音文件,這樣你接收到這封郵件的時候只要瀏覽一下,不需要你點任何連接,windows就會為你代勞自動播放這個他認為是wav的音樂文件,木馬就這樣輕松的進入你的電腦,這種木馬還可以frame到網頁里,只要打開網頁,木馬就會自動運行,另外還有一種方法,就是把木馬exe編譯到.JS文件里,然后在網頁里調用,同樣也可以無聲無息的入侵你的電腦,這只是些簡單的辦法,還有遠程控制和共享等等漏洞可以鉆,知道這些,相信你已經對網頁木馬已經有了大概了解,

      簡單防治的方法:

      開始-設置-控制面版-添加刪除程序-windows安裝程序-把附件里的windows scripting host去掉,然后打開Internet Explorer瀏覽器,點工具-Internet選項-安全-自定義級別,把里面的腳本的3個選項全部禁用,然后把“在中加載程序和文件”禁用,當然這只是簡單的防治方法,不過可能影響一些網頁的動態java效果,不過為了安全就犧牲一點啦,這樣還可以預防一些惡意的網頁炸彈和病毒,如果條件允許的話可以加裝防火墻,再到微軟的網站打些補丁,反正我所知道的網吧用的都是原始安裝的windows,很不安全哦,還有盡量少在一些小網站下載一些程序,尤其是一些號稱黑客工具的軟件,小心盜不著別人自己先被盜了,當然,如果你執意要用的話,號被盜了也應該付出這個代價吧。還有,不要以為裝了還原精靈就很安全,據我所知,一般網吧的還原精靈都只還原c:盤即系統區,所以只要木馬直接感染你安裝在別的盤里的游戲執行文件,你照樣逃不掉的。

      冰河陷阱

      提起“冰河”木馬,相信沒有多少網民不知道。作為國內木馬程序的經典之作,它操作簡單,功能強大。雖然原作者黃鑫從2.2B版本已經徹底停止了開發,但許多“好事者”卻繼續在對“冰河”程序進行不斷的修改。于是網絡上就出現了一些所謂的冰河3.0、5.0、V60、V70、V80、2000、XP以及各種“XX專版”,更有甚者已經開始對修改后的冰河程序進行收費,這引起了原作者黃鑫的注意。
      為了防止這種不良影響,他向廣大網民免費奉獻了一款專門用來對付各類冰河木馬的“冰河陷阱”程序,主要有兩大功能:一是自動清除所有版本“冰河”被控端程序。二是把自己偽裝成“冰河”被控端,記錄入侵者的所有操作。

      第一步:清除冰河木馬

      把壓縮包內的文件解壓到一個目錄,運行“冰河陷阱.exe”,如果當前系統中已經被別人植入了冰河木馬的話,這時它會提示你是否自動清除冰河木馬被控端程序,當然要選擇“是”了,接下來它會顯示出這個安裝的“冰河”木馬的配置信息,點擊[確定]按鈕,冰河陷阱就會自動徹底地從系統中清除冰河木馬,并將其配置信息以及清除情況保存在當前目錄的“清除日志.txt”文件中?,F在我們要打開該文件查看,注意記下“監聽端口”中的數字“7626”(也可能會是其他數字),后面要用到。
      另外還要記下“接收IP信箱”后面顯示的郵箱,這就是入侵者接收你的IP地址以及密碼等信息的信箱,以后你可以向該信箱發出警告信或者請求信箱服務商的管理員幫助。
      我在試用中發現如果“冰河陷阱.exe”處于運行狀態,冰河木馬被控端程序將無法在你的系統中再次運行。而且每次它啟動時都會自動檢查系統中有無冰河被控端程序,并提示清除。因此建議大家選中“設置”菜單中的“隨系統自動啟動”選項,讓它開機自動運行。

      附件列表


      1

      詞條內容僅供參考,如果您需要解決具體問題
      (尤其在軍事戰略、軍事時事等領域),建議您咨詢相關領域專業人士。

      如果您認為本詞條還有待完善,請 編輯

      上一篇 BackdoorEvncil    下一篇 綁架型木馬

      標簽

      暫無標簽

      同義詞

      暫無同義詞
      国产亚洲一卡2卡3卡4卡乱码在线,欧美日韩2021卡一卡二乱码,成片不卡1卡2卡三卡网站导航,成片一卡2卡三卡4卡乱码视频,成片一卡三卡四区一卡三卡 欧洲一卡二卡三卡| 欧美日韩一卡2卡三卡4卡乱码毛1| 成片不卡二卡三卡四卡免费| 欧美日韩2021一卡2卡3卡4卡| 成片一卡二卡三卡四卡| 欧美日韩一卡2卡3卡4卡5卡在线| 精品一卡2卡三卡4卡乱码| 国产亚洲一本到卡二卡三卡免费高清| 成片一卡2卡3卡4卡国色天香九零| 精品伦一区二区三区视频| 国产亚洲一卡2卡3卡4卡2021乱码在线观看| 欧美日韩一卡2卡三卡4卡 乱码| 精品一本大道卡2卡3卡4卡| 欧洲一卡2卡3卡4卡| 国产亚洲丝袜无码一区二区三区视频| 精品一卡二卡≡卡四卡高清乱码| 成片免费一卡三卡四卡| 国产亚洲一卡2卡3卡4卡乱码在线| 欧洲1卡2卡3卡4卡免费高清| 欧洲一本二卡三卡四卡乱码| 国产亚洲一卡2卡3卡4卡免费观看| 精品一卡2卡3卡4卡2021乱码在线观看| 欧美日韩一卡2卡三卡4卡棋牌| 欧洲一卡二卡三卡| 精品2021一卡2卡3卡4卡| 欧美日韩免费一卡三卡四卡| 精品卡1卡2卡三卡2021| 精品一卡三卡四卡免费网站| 国产亚洲不卡1卡2卡三卡网站导航| 欧美日韩一卡2卡三卡四卡高清| 欧洲2020卡二卡三卡四乱码| 成片一本二卡三卡四卡乱码| 欧洲一卡2卡3卡4卡5卡视频| 欧美日韩伦一区二区三区视频| 国产亚洲卡一卡二卡三| 国产亚洲一卡2卡3卡4卡5卡在线| 成片一卡两卡三卡| 欧美日韩不卡一卡2卡三卡4卡5卡| 欧洲一卡2卡三卡4卡2021国色| 国产亚洲2021卡一卡二乱码| 成片一卡2卡三卡4卡2021国色| 欧美日韩一本大道卡2卡3卡4卡| 精品卡1卡2卡三卡2021| 欧洲一卡2卡3卡4卡国色天香| 欧洲一卡2卡三卡4卡乱码毛1| 欧洲一卡2卡三卡4卡乱码毛1| 成片一卡一卡高清在线观看| 成片一卡一卡高清在线观看| 欧美日韩一卡2卡三卡4卡乱码毛1| 成片一卡2卡3卡4卡国色天香九零| 国产亚洲一卡2卡3卡4卡网站动漫| 欧美日韩一卡2卡3卡4卡国色天香九零| 成片2020卡二卡三卡四乱码| 成片卡一卡二卡三新区| 精品卡一卡二卡三新区| 欧美日韩e本大道二卡三卡免费| 欧美日韩不卡1卡2卡三卡网站导航|