Question

蠕虫和特洛伊木马的工作原理有哪些不同

Answer 1

1 什么是特洛伊木马
特洛伊木马（Trojan Horse，以下简称木马）的名称取自希腊神话的特洛伊木马记。木马就是指那些内部包含为完成特殊任务而编制的代码的程序， 这些特殊功能处于隐藏状态，执行时不为人发觉。特洛伊木马是一种基于远程控制的工具，类似于远端管理软件，其区别是木马具有隐蔽性和非授权性的特点。所谓隐蔽性是指木马的设计者为防止木马被发现，会采用多种手段隐藏木马；非授权性是指一旦控制端与服务端建立连接后，控制端将窃取服务端的密码及大部分操作权限，包括修改文件、修改注册表、重启或关闭服务端操作系统、断开服务端网络连接、控制服务端的鼠标及键盘、监视服务端桌面操作、查看服务端进程等。这些权限并不是服务端赋予的，而是通过木马程序窃取的。
2 木马的工作原理
完整的木马系统由硬件和软件二部分组成。硬件部分是建立木马连接所必须的硬件实体，包括控制端、服务端和数据传输的网络载体（Internet/Intranet）； 软件部分是实现远程控制所必须的软件程序，包括控制端程序和木马程序。利用木马窃取信息、恶意攻击的整个过程可以分为3个部分，下面详细介绍。
2.1 获取并传播木马
木马可以用C或C++语言编写。木马程序非常小，一般只有3~5KB，以便隐藏和传播。木马的传播方式主要有3种：（1）通过E-MAIL。（2）软件下载。（3）依托病毒传播。2001年4月赛门铁克防病毒研究中心发现了植入木马程序的新蠕虫病毒（W32.BACTRANS.13312@MM）。该病毒一旦被执行，木马程序就会修改注册表键值和win.ini文件。当计算机被重启时，该蠕虫会等候3 分钟，然后利用MAPI, 回复所有未读邮件， 并将自己作为邮件的附件，使用不同的名称继续传播。
2.2 运行木马
服务端用户在运行木马或捆绑了木马的程序后，木马首先将自身拷贝到WINDOWS的系统文件夹中(C:\WINDOWS或C:\WINDOWS\SYSTEM目录下)， 然后在注册表、启动组和非启动组中设置好木马触发条件，这样木马的安装就完成了。以后，当木马被触发条件激活时，它就进入内存，并开启事先定义的木马端口，准备与控制端建立连接。
2.2 建立连接，进行控制
建立一个木马连接必须满足2个条件：(1)服务端已安装有木马程序。(2)控制端、服务端都要在线。初次连接时还需要知道服务端的IP地址。IP地址一般通过木马程序的信息反馈机制或扫描固定端口等方式得到。木马连接建立后，控制端端口和木马端口之间将会有一条通道，控制端程序利用该通道与服务端上的木马程序取得联系，并通过木马程序对服务端进行远程控制。
3 用VB6.0编写的木马程序
下面用VB6.0编写的一个木马程序来说明木马程序的工作原理。
(1)用VB建立2个程序：客户端程序Client和服务器端程序Server。
(2)在Client工程中建立一个窗体，加载WinSock控件，称为Win_Client，协议选择TCP。再加入一个文本框，用于输入服务器的IP地址或服务器名。然后加入一个按钮，按下之后就可以对连接进行初始化。代码如下：
Private Sub cmdConnect_Click()
Win_Client.RemoteHost=Text1.Text
Win_Client.Connect
Timer1.Enabled=True
End Sub
(3)建立连接后就可以使用DataArrival事件处理收到的数据了。
(4)在服务器端Server工程中也建立一个窗体，窗体的visible属性设置为False。加载WinSock控件， 称为Win_Server，协议选择TCP。在Form_Lad事件中加入以下代码：
Private Sub Form_Load()
Win_Server.LocalPort=2001 ‘自定义的端口号
Win_Server.Listen
End Sub
(5)准备应答客户端程序的请求连接，使用ConnectionRequest事件来应答客户端程序的请求，代码如下：
Private Sub Win_Server_ConnectionRquest(ByValrequestID As Long)
If Win_Server.State sckClosed Then
Win_Server.Close ‘检查控件的State属性是否为关闭的
End If ‘如果不是，在接受新的连接之前先关闭此连接
Win_Server.Accept requestID
End Sub
(6)这样在客户端程序按下连接按钮后，服务器端程序的ConnectionRequest事件即被触发， 执行以上代码。如果不出意外，连接将被建立起来。
(7)建立连接后服务器端的程序通过JDataArrival事件接收客户机端程序发出的指令运行既定程序。DataArrival事件程序如下：
Private Sub Win_Server_DataArrival(ByVal bytesTotal As Long)
Dim strData As String
Dim I As Long
Win_Server.GetData strData ‘接收数据并存入strData
For i=1 ToLen(strData) ‘分离strData中的命令
If Mid(strData,I,1)=”@” Then
mKey=Left(strData,i-1 ‘把命令ID号存入mKey
strData=Right(strData,Len(strData)-i) ‘把命令参数存入strData
Exit Fof
Ene If
Next i
Select Case Val*mKey)
Case i ‘i为一系列命令的定义，如截获驱动器名、目录名、文件名、强制关闭服务器端的计算机，强制重启服务器端的计算机，屏蔽任务栏窗口，屏蔽开始菜单，按照客户机端传来的文件名或目录名删除它们，屏蔽热启动键，运行服务器端的任何程序。
……
End Select
EneSub
(8)客户机端用Win_Client.SendData发命令。命令包括命令ID和命令参数，它们用符号”@”隔开。
(9)当客户机端断开与服务器端的连接后，服务器端应用Win_Server_Close事件继续准备接收客户机端的请求，其代码如下：
Private Sub tcpServer_Close()
Win_Server.Close
Win_Server.Listen
End Sub
以上是一个最基本的特洛伊木马程序。只要机器运行了服务器端程序， 别人就可以在千里之外控制这台计算机。
4 发现和清除木马
杀毒软件主要是针对已知病毒设计的，而新病毒却层出不穷，特别是在有些特洛伊木马类病毒刚出现时，由于杀毒软件没有建立病毒库，大都无能为力。因此，学习一些手工检查特洛伊木马的方法是很有必要的。下面简单介绍一种在Win9x系统下手工发现和清除木马的方法。
TCP服务程序都需要Listen在某个端口（port）上，客户端程序才能与其建立连接， 进行数据传输。可以用Win9x的命令netstat -an查看所有的活动连接， 典型输出如下：
C:\WINDOWS>netstat –an
Active Connections
Proto Local Address Foreign Address State
TCP 192.168.1.92:137 0.0.0.0:0 LISTENING
TCP 192.168.1.92:138 0.0.0.0:0 LISTENING
UDP 192.168.1.92:137 *:*
UDP 192.168.1.92:138 *:*
其中”Local Address”栏即本机IP地址，冒号后为port号。正常情况下没有安装其它TCP服务时，上述输出只有137~139几个port处于Listen状态； 若未安装其它TCP服务程序，但在netstat -an的输出中发现有别的port处于Listen状态则该机器已经被感染了木马。这里需要说明2点：1 “Local Address”栏中IP地址若为127.0.0.1则无害， 而IP地址若为0.0.0.0且port不是137~139则要引起注意了。2有的木马比较隐蔽，平时是看不到它，只有当机器接入Internet时它才处于Listen状态。在上网过程中要下载软件、收发信件、网上聊天等必然打开一些端口，下面是一些常用的端口：
(1)1~1024之间的端口：这些是保留端口，是某些对外通信程序专用的，如FTP 使用21,SMTP使用25，POP3使用110等。木马很少使用这些保留端口。
(2)1025以上的连续端口：在上网浏览时，浏览器会打开多个连续的端口将文字、图片下载到本地硬盘。这些端口都是1025以上的连续端口。
(3)4000端口是QICQ的通信端口。6667端口是IRC的通信端口。
上述的端口基本可以排除在外。若发现还有其它端口打开，尤其是数值比较大的端口，就要怀疑是否感染了木马。当然如果木马有定制端口的功能，则任何端口都有可能是木马端口。
如果用netstat -an发现了异常(有时在使用系统时也能感到异常)，应该从以下8个方面检查：
(1)WIN.INI:用文本方式打开WINDOWS目录下的配置文件win.ini。在[windows]字段中有启动命令”load=”和“run=”，一般情况下“=”右边是空白的，否则就有可能是木马。
(2)SYSTEN.INI：用文本方式打开WINDOWS目录下的配置文件system.ini。若发现字段[386Enh]、[mic]和[drivers32]中有命令行，则需要检查其中是否有木马的启动命令。此外，[BOOT]字段下面有条命令“shell=wxplorer.exe”，如果是“shell=explorer 程序名”，则后面跟着的那个程序就是“木马”程序。
(3)Autoexec.bat和Config.sys：系统盘根目录下的这2个文件也可以启动木马。但这种加载方式需要控制端用户与服务端建立连接后， 将已加入木马启动命令的同名文件上传到服务端覆盖这二个文件。
(4)*INI：即应用程序的启动配置文件。控制端利用这些文件能启动程序的特点，将制作好的带有木马启动命令的同名文件上传到服务端覆盖相应文件，就可以启动木马。
(5)注册表1：打开HKEY_LOCAL_MACHINE\Softwae\Microsoft\Windows\CurrentVersion\
下5个以Run和Run-Services开头的主键，在其中寻找可能是启动木马的键值。
(6)注册表2：打开HKEY_CLASES_ROOT\文件类型\shell\open\command主键，查看其键值。如国产木马“冰河”就是修改HKEY_CLASES_ROOT\txtfile\shell\open\command下的键值， 将“C：WINDOWS\NOTEPAD.EXE%1”更改为“C：WINDOWS\SYSTEM\SYSEXPLR.EXE%1”。此时只要双击TXT文件， 本来是要应用NOTEPAD打开文件，而实际上却启动了木马程序。其实不只是TXT文件，通过修改HTML、EXE、ZIP等文件的启动
命令的键值都可以启动木马。不同之处只在于“文件类型”这个主键，TXT的主键是txtfile，ZIP的主键是WINZIP。
(7)捆绑文件：实现该触发条件首先要控制端和服务端已通过木马建立连接， 接着控制端用户用工具软件将木马文件和某个应用程序捆绑在一起，然后上传到服务端覆盖原文件。这样即使木马被删除了，只要运行捆绑着木马的应用程序，木马就又会被重新安装。
(8)启动菜单：在“ 开始/程序/启动”选项下也可能有木马的触发条件。
如果在以上+ 项检查中发现有可疑程序，则将其连同该注册表项一同删除，再重启系统，木马就会被清除。这里还需要几点说明：
(1)木马正在运行时，无法删除其程序。须重新启动、
进入dos方式将其删除。
(2)有的木马能够自动检查它在注册表中的自启动项。如果在木马处于活动时删除该项，它可以自动恢复。此时只能重启进入DOS方式， 将其程序删除后再进入Wi9x下，将其注册表中的自启动项剔除(操作顺序不能错)。
(3)在删除和修改注册表前一定要先做备份(注册表的备份与恢复可以用regedit中的“导出注册表”和“引入注册表”来完成)。
网络蠕虫的定义
功能结构及工作机制
网络蠕虫的定义
早期恶意代码的主要形式是计算机
病毒。1988年“Morris”蠕虫爆发
后，Spafford为了区分蠕虫和病毒，
对病毒重新进行了定义，他认为，
“计算机病毒是一段代码，能把自身
加到其它程序包括操作系统上；它不
能独立运行，需要由它的宿主程序运
行来激活它”。而网络蠕虫强调自身
的主动性和独立性。l(ienzle和E1der从
破坏性、网络传播、主动攻击和独立
性四个方面对网络蠕虫进行了定义：
网络蠕虫是通过网络传播，无需用户
干预能够独立地或者依赖文件共享主动
攻击的恶意代码。根据传播策略，他
们把网络蠕虫分为三类：Ema订蠕虫、
文件共享蠕虫和传统蠕虫。《Internet
蠕虫研究》一文中认为蠕虫具有主动
攻击、行踪隐蔽、利用漏洞、造成
网络拥塞、降低系统性能、产生安全
隐患、反复性和破坏性等特征，并给
出相应的定义：“网络蠕虫是无须计
算机使用者干预即可运行的独立程序，
它通过不停的获得网络中存在漏洞的计
算机上的部分或全部控制权来进行传播。”该定义包含了Kienzle和Elder定
义的后两类蠕虫，不包括Email蠕虫。
2 oo 3年1 o月的世界蠕虫会议上，
schechter和Michael D．smitll提出了一类
新型网络蠕虫，Access For sale蠕虫，
这类蠕虫除上述定义的特征之外，还
具备身份认证的特征。
综合上述分析，本文认为“网络
蠕虫是一种智能化、自动化，综合网
络攻击、密码学和计算机病毒技术，
无需计算机使用者干预即可运行的攻击
程序或代码，它会扫描和攻击网络上
存在系统漏洞的节点主机，通过局域
网或者国际互联网从一个节点传播到另
外一个节点”。该定义体现了新一代
网络蠕虫智能化、自动化和高技术化
的特征。