黑客種植木馬新方法及防范策略

一、種植木馬

現(xiàn)在網(wǎng)絡(luò)上流行的木馬基本上都采用的是C/S 結(jié)構(gòu)(客戶端/服務(wù)端)。你要使用木馬控制對方的電腦，首先需要在對方的的電腦中種植并運(yùn)行服務(wù)端程序，然后運(yùn)行本地電腦中的客戶端程序?qū)Ψ诫娔X進(jìn)行連接進(jìn)而控制對方電腦。

為了避免不熟悉木馬的用戶誤運(yùn)行服務(wù)端，現(xiàn)在流行的木馬都沒有提供單獨(dú)的服務(wù)端程序，而是通過用戶自己設(shè)置來生成服務(wù)端，黑洞2004也是這樣。首先運(yùn)行黑洞2004，點(diǎn)擊“功能/生成服務(wù)端”命令，彈出“服務(wù)端配置”界面。由于黑洞2004采用了反彈技術(shù)(請參加小知識)，首先單擊旁邊的“查看”按鈕，在彈出的窗口中設(shè)置新的域名，輸入你事先申請空間的域名和密碼，單擊“域名注冊”，在下面的窗口中會反映出注冊的情況。域名注冊成功以后，返回“服務(wù)端配置”界面，填入剛剛申請的域名，以及“上線顯示名稱”、“注冊表啟動名稱”等項(xiàng)目。為了迷惑他人，可以點(diǎn)“更改服務(wù)端圖標(biāo)”按鈕為服務(wù)端選擇一個(gè)圖標(biāo)。所有的設(shè)置都完成后，點(diǎn)擊“生成EXE型服務(wù)端”就生成了一個(gè)服務(wù)端。在生成服務(wù)端的同時(shí)，軟件會自動使用UPX為服務(wù)端進(jìn)行壓縮，對服務(wù)端起到隱藏保護(hù)的作用。

服務(wù)端生成以后，下一步要做的是將服務(wù)端植入別人的電腦?常見的方法有，通過系統(tǒng)或者軟件的漏洞入侵別人的電腦把木馬的服務(wù)端植入其的電腦;或者通過Email夾帶，把服務(wù)端作為附件寄給對方;以及把服務(wù)端進(jìn)行偽裝后放到自己的共享文件夾，通過P2P軟件(比如PP點(diǎn)點(diǎn)通、百寶等)，讓網(wǎng)友在毫無防范中下載并運(yùn)行服務(wù)端程序。

由于本文主要面對普通的網(wǎng)絡(luò)愛好者，所以就使用較為簡單的Email夾帶，為大家進(jìn)行講解。我們使用大家經(jīng)常會看到的Flash動畫為例，建立一個(gè)文件夾命名為“好看的動畫”，在該文件夾里邊再建立文件夾“動畫.files”，將木馬服務(wù)端軟件放到該文件夾中假設(shè)名稱為“abc.exe”，再在該文件夾內(nèi)建立flash文件，在flash文件的第1幀輸入文字“您的播放插件不全，單擊下邊的按鈕，再單擊打開按鈕安裝插件”，新建一個(gè)按鈕組件，將其拖到舞臺中，打開動作面板，在里邊輸入“on (press) {getURL("動畫.files/abc.exe");}”，表示當(dāng)單擊該按鈕時(shí)執(zhí)行abc這個(gè)文件。在文件夾“好看的動畫”中新建一個(gè)網(wǎng)頁文件命名為“動畫.htm”，將剛才制作的動畫放到該網(wǎng)頁中。看出門道了嗎?平常你下載的網(wǎng)站通常就是一個(gè).html文件和一個(gè)結(jié)尾為.files的文件夾，我們這么構(gòu)造的原因也是用來迷惑打開者，畢竟沒有幾個(gè)人會去翻.files文件夾。現(xiàn)在我們就可以撰寫一封新郵件了，將文件夾“好看的動畫”壓縮成一個(gè)文件，放到郵件的附件中，再編寫一個(gè)誘人的主題。只要對方深信不疑的運(yùn)行它，并重新啟動系統(tǒng)，服務(wù)端就種植成功了。

二、使用木馬

成功的給別人植入木馬服務(wù)端后，就需要耐心等待服務(wù)端上線。由于黑洞2004采用了反連接技術(shù)，所以服務(wù)端上線后會自動和客戶端進(jìn)行連接，這時(shí)，我們就可以操控客戶端對服務(wù)端進(jìn)行遠(yuǎn)程控制。在黑洞2004下面的列表中，隨便選擇一臺已經(jīng)上線的電腦，然后通過上面的命令按鈕就可以對這臺電腦進(jìn)行控制。下面就簡單的介紹一下這些命令的意義。

文件管理：服務(wù)端上線以后，你可以通過“文件管理”命令對服務(wù)端電腦中的文件進(jìn)行下載、新建、重命名、刪除等操作。可以通過鼠標(biāo)直接把文件或文件夾拖放到目標(biāo)文件夾，并且支持?jǐn)帱c(diǎn)傳輸。簡單吧?

進(jìn)程管理：查看、刷新、關(guān)閉對方的進(jìn)程，如果發(fā)現(xiàn)有殺毒軟件或者防火墻，就可以關(guān)閉相應(yīng)的進(jìn)程，達(dá)到保護(hù)服務(wù)器端程序的目的。

窗口管理：管理服務(wù)端電腦的程序窗口，你可以使對方窗口中的程序最大化、最小化、正常關(guān)閉等操作，這樣就比進(jìn)程管理更靈活。你可以搞很多惡作劇，比如讓對方的某個(gè)窗口不停的最大化和最小化。

視頻監(jiān)控和語音監(jiān)聽：如果遠(yuǎn)程服務(wù)端電腦安裝有USB攝像頭，那么可以通過它來獲取圖像，并可直接保存為Media Play可以直接播放的Mpeg文件;需要對方有麥克風(fēng)的話，還可以聽到他們的談話，恐怖吧?

除了上面介紹的這些功能以外，還包括鍵盤記錄、重啟關(guān)機(jī)、遠(yuǎn)程卸載、抓屏查看密碼等功能，操作都非常簡單，明白了吧?做駭客其實(shí)很容易。

三、隱藏

隨著殺毒軟件病毒庫的升級，木馬會很快被殺毒軟件查殺，所以為了使木馬服務(wù)端辟開殺毒軟件的查殺，長時(shí)間的隱藏在別人的電腦中，在木馬為黑客提供幾種可行的辦法。

1.木馬的自身保護(hù)

就像前面提到的，黑洞2004在生成服務(wù)端的時(shí)候，用戶可以更換圖標(biāo)，并使用軟件UPX對服務(wù)端自動進(jìn)行壓縮隱藏。

2.捆綁服務(wù)端

用戶通過使用文件捆綁器把木馬服務(wù)端和正常的文件捆綁在一起，達(dá)到欺騙對方的目的。文件捆綁器有廣外文件捆綁器2002、萬能文件捆綁器、exeBinder、Exe Bundle等。

3.制做自己的服務(wù)端

上面提到的這些方法雖然能一時(shí)瞞過殺毒軟件，但最終還是不能逃脫殺毒軟件的查殺，所以若能對現(xiàn)有的木馬進(jìn)行偽裝，讓殺毒軟件無法辨別，則是個(gè)治本的方法。可以通過使用壓縮EXE和DLL文件的壓縮軟件對服務(wù)端進(jìn)行加殼保護(hù)。例如Step1中的UPX就是這樣一款壓縮軟件，但默認(rèn)該軟件是按照自身的設(shè)置對服務(wù)端壓縮的，因此得出的結(jié)果都相同，很難長時(shí)間躲過殺毒軟件;而自己對服務(wù)端進(jìn)行壓縮，就可以選擇不同的選項(xiàng)，壓縮出與眾不同的服務(wù)端來，使殺毒軟件很難判斷。下面我就以冰河為例，為大家簡單的講解一下脫殼(解壓)、加殼(壓縮)的過程。

如果我們用殺毒軟件對冰河進(jìn)行查殺，一定會發(fā)現(xiàn)2個(gè)病毒，一個(gè)是冰河的客戶端，另一個(gè)是服務(wù)端。使用軟件“PEiD”查看軟件的服務(wù)端是否已經(jīng)被作者加殼。

現(xiàn)在，我們就需要對軟件進(jìn)行脫殼，也就是一種解壓的過程。這里我使用了“UPXUnpack”，選擇需要的文件后，點(diǎn)擊“解壓縮”就開始執(zhí)行脫殼。

脫殼完成后，我們需要為服務(wù)端加一個(gè)新殼，加殼的軟件很多，比如：ASPack、ASProtect、UPXShell、Petite等。這里以“ASPack”為例，點(diǎn)擊“打開”按鈕，選擇剛剛脫殼的服務(wù)端程序，選擇完成后ASPack會自動為服務(wù)端進(jìn)行加殼。再次用殺毒軟件對這個(gè)服務(wù)端進(jìn)行查殺，發(fā)現(xiàn)其已經(jīng)不能識別判斷了。如果你的殺毒軟件依舊可以查殺，你還可以使用多個(gè)軟件對服務(wù)端進(jìn)行多次加殼。筆者在使用Petite和ASPack對服務(wù)端進(jìn)行2次加殼后，試用了多種殺毒軟件都沒有掃描出來。現(xiàn)在網(wǎng)絡(luò)中流行的很多XX版冰河，就是網(wǎng)友通過對服務(wù)端進(jìn)行修改并重新加殼后制做出來的。

四、防范

防范重于治療，在我們的電腦還沒有中木馬前，我們需要做很多必要的工作，比如：安裝殺毒軟件和網(wǎng)絡(luò)防火墻;及時(shí)更新病毒庫以及系統(tǒng)的安全補(bǔ)丁;定時(shí)備份硬盤上的文件;不要運(yùn)行來路不明的軟件和打開來路不明的郵件。

五、注意

木馬除了擁有強(qiáng)大的遠(yuǎn)程控制功能外，還包括極強(qiáng)的破壞性。我們學(xué)習(xí)它，只是為了了解它的技術(shù)與方法，而不是用于盜竊密碼等破壞行為，希望大家好自為之。

服務(wù)器租用/服務(wù)器托管中國五強(qiáng)！虛擬主機(jī)域名注冊頂級提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]