木馬綜述篇：通通透透看木馬
前言
在我潛意識中說起“木馬”馬上就聯(lián)想到三國時期諸葛亮先生發(fā)明的木牛流馬，當初怎么就想不通它與病毒扯上關(guān)系了。經(jīng)過一番了解，原來它是借用了一個古希臘士兵藏在木馬中潛入敵方城市，從而一舉占領(lǐng)敵方城市的故事，因為現(xiàn)在所講的木馬病毒侵入遠程主機的方式在戰(zhàn)略上與其攻城的方式一致。通個這樣的解釋相信大多數(shù)朋友對木馬入侵主機的方式所有領(lǐng)悟：它就是通過潛入你的電腦系統(tǒng)，通過種種隱蔽的方式在系統(tǒng)啟動時自動在后臺執(zhí)行的程序，以“里應(yīng)外合”的工作方式，用服務(wù)器/客戶端的通訊手段，達到當你上網(wǎng)時控制你的電腦，以竊取你的密碼、游覽你的硬盤資源，修改你的文件或注冊表、偷看你的郵件等等。
一旦你的電腦被它控制，則通常表現(xiàn)為藍屏然死機；CD-ROM莫名其妙地自己彈出；鼠標左右鍵功能顛倒或者失靈或文件被刪除；時而死機，時而又重新啟動；在沒有執(zhí)行什么操作的時候，卻在拼命讀寫硬盤；系統(tǒng)莫明其妙地對軟驅(qū)進行搜索；沒有運行大的程序，而系統(tǒng)的速度越來越慢，系統(tǒng)資源占用很多；用CTRL＋ALT＋DEL調(diào)出任務(wù)表，發(fā)現(xiàn)有多個名字相同的程序在運行，而且可能會隨時間的增加而增多等等。
不過要知道，即使發(fā)現(xiàn)了你的機器染上木馬病毒，也不必那么害怕，因為木馬病毒與一般病毒在目的上有很大的區(qū)別，即使木馬運行了，也不一定會對你的機器造成危害。但肯定有壞處，你的上網(wǎng)密碼有可能已經(jīng)跑到別人的收件箱里了，這樣黑客們就可以盜用你的上網(wǎng)賬號上網(wǎng)了！木馬程序也是病毒程序的一類，但更具體的被認為黑客程序，因為它入侵的目的是為發(fā)布這些木馬程序的人，即所謂的黑客服務(wù)的。
本文將就木馬的一些特征、木馬入侵的一些常用手法及清除方法以及如何避免木馬的入侵以及幾款常見木馬程序的清除四個方面作一些綜合說明。
木馬的基本特征
木馬是病毒的一種，同時木馬程序又有許多種不同的種類，那是受不同的人、不同時期開發(fā)來區(qū)別的，如BackOrifice(BO)、BackOrifice2000、Netspy、Picture、Netbus、Asylum、冰河等等這些都屬于木馬病毒種類。綜合現(xiàn)在流行的木馬程序，它們都有以下基本特征：
1、隱蔽性是其首要的特征
如其它所有的病毒一樣，木馬也是一種病毒，它必需隱藏在你的系統(tǒng)之中，它會想盡一切辦法不讓你發(fā)現(xiàn)它。很多人的對木馬和遠程控制軟件有點分不清，因為我前面講了木馬程序就要通過木馬程序駐留目標機器后通過遠程控制功能控制目標機器。實際上他們兩者的最大區(qū)別就是在于這一點，舉個例子來說吧，象我們進行局域網(wǎng)間通訊的常軟件——PCanywhere大家一定不陌生吧，大家也知道它是一款遠程通訊軟件。PCanwhere在服務(wù)器端運行時，客戶端與服務(wù)器端連接成功后客戶端機上會出現(xiàn)很醒目的提示標志。而木馬類的軟件的服務(wù)器端在運行的時候應(yīng)用各種手段隱藏自己,不可能還出現(xiàn)什么提示，這些黑客們早就想到了方方面面可能發(fā)生的跡象，把它們扼殺了。例如大家所熟悉木馬修改注冊表和ini文件以便機器在下一次啟動后仍能載入木馬程式，它不是自己生成一個啟動程序，而是依附在其它程序之中。有些把服務(wù)器端和正常程序綁定成一個程序的軟件,叫做exe-binder綁定程式，可以讓人在使用綁定的程式時，木馬也入侵了系統(tǒng)，甚至有個別木馬程序能把它自身的exe文件和服務(wù)器端的圖片文件綁定，在你看圖片的時候，木馬也侵入了你的系統(tǒng)。 它的隱蔽性主要體現(xiàn)在以下兩個方面：
a、不產(chǎn)生圖標
它雖然在你系統(tǒng)啟動時會自動運行，但它不會在“任務(wù)欄”中產(chǎn)生一個圖標，這是容易理解的，不然的話，憑你的火眼金睛你一定會發(fā)現(xiàn)它的。我們知道要想在任務(wù)欄中隱藏圖標，只需要在木馬程序開發(fā)時把“form”的“Visible ”屬性設(shè)置為“False”、把“ShowintaskBar”屬性設(shè)置為“Flase”即可；
b、木馬程序自動在任務(wù)管理器中隱藏，并以“系統(tǒng)服務(wù)”的方式欺騙操作系統(tǒng)。
2、它具有自動運行性
它是一個當你系統(tǒng)啟動時即自動運行的程序，所以它必需潛入在你的啟動配置文件中，如win.ini、sys tem.ini、winstart.bat以及啟動組等文件之中。
3、木馬程序具有欺騙性
木馬程序要達到其長期隱蔽的目的，就必需借助系統(tǒng)中已有的文件，以防被你發(fā)現(xiàn)，它經(jīng)常使用的是常見的文件名或擴展名，如“dll\win\sys\explorer等字樣，或者仿制一些不易被人區(qū)別的文件名，如字母“l”與數(shù)字“1”、字母“o”與數(shù)字“0”，常修改基本個文件中的這些難以分辨的字符，更有甚者干脆就借用系統(tǒng)文件中已有的文件名，只不過它保存在不同路徑之中。還有的木馬程序為了隱藏自己，也常把自己設(shè)置成一個ZIP文件式圖標，當你一不小心打開它時，它就馬上運行。等等這些手段那些編制木馬程序的人還在不斷地研究、發(fā)掘，總之是越來越隱蔽，越來越專業(yè)，所以有人稱木馬程序為“騙子程序”。
4、具備自動恢復(fù)功能
現(xiàn)在很多的木馬程序中的功能模塊已不再是由單一的文件組成，而是具有多重備份，可以相互恢復(fù)。
5、能自動打開特別的端口
木馬程序潛入人的電腦之中的目的不主要為了破壞你的系統(tǒng)，更是為了獲取你的系統(tǒng)中有用的信息，這樣就必需當你上網(wǎng)時能與遠端客戶進行通訊，這樣木馬程序就會用服務(wù)器/客戶端的通訊手段把信息告訴黑客們，以便黑客們控制你的機器，或?qū)嵤└舆M一步入侵企圖。你知不知道你的電腦有多少個對外的“門”，不知道吧，告訴你別嚇著，根據(jù)TCP/IP協(xié)議，每臺電腦可以有256乘以256扇門，也即從0到65535號“門，但我們常用的只有少數(shù)幾個，你想有這么門可以進，還能進不來？當然有門我們還是可以關(guān)上它們的，這我在預(yù)防木馬的辦法中將會講到。
6、 功能的特殊性
通常的木馬的功能都是十分特殊的，除了普通的文件操作以外，還有些木馬具有搜索cache中的口令、設(shè)置口令、掃描目標機器人的IP地址、進行鍵盤記錄、遠程注冊表的操作、以及鎖定鼠標等功能,上面所講的遠程控制軟件的功能當然不會有的，畢竟遠程控制軟件是用來控制遠程機器，方便自己操作而已，而不是用來黑對方的機器的。
7、黑客組織趨于公開化
以往還從未發(fā)現(xiàn)有什么公開化的病毒組織（也許是我孤陋寡聞），多數(shù)病毒是由個別人出于好奇（當然也有專門從事這一職業(yè)的），想試一下自己的病毒程序開發(fā)水平而做的，但他（她）絕對不敢公開，因為一旦發(fā)現(xiàn)是有可能被判坐牢或罰款的，這樣的例子已不再什么新聞了。如果以前真的也有專門開發(fā)病毒的病毒組織，但應(yīng)絕對是屬于“地下”的。現(xiàn)在倒好，什么專門開發(fā)木馬程序的組織到處都是，不光存在，而且還公開在網(wǎng)上大肆招兵買馬，似乎已經(jīng)合法化。正因如此所以黑客程序不斷升級、層出不窮，黑的手段也越來越高明。我不知道為什么，但據(jù)講其理由是“為了自衛(wèi)、為了愛國” 。
木馬入侵的常用手法及清除方法
雖然木馬程序千變?nèi)f化，但正如一位木馬組織的負責人所講，大多數(shù)木馬程序沒有特別的功能，入侵的手法也差不多，只是以前有關(guān)木馬程序的重復(fù)，只是改了個名而已，現(xiàn)在他們都要講究效率，據(jù)說他們要杜絕重復(fù)開發(fā)，浪費資源。當然我們也只能講講以前的一些通用入侵手法，因為我們畢竟不是木馬的開發(fā)者，不可能有先知先覺。
1、在win.ini文件中加載
一般在win.ini文件中的[windwos]段中有如下加載項：
run= load= ，一般此兩項為空，如圖1所示。
如果你發(fā)現(xiàn)你的系統(tǒng)中的此兩項加載了任何可疑的程序時，應(yīng)特別當心，這時可根據(jù)其提供的源文件路徑和功能進一步檢查。我們知道這兩項分別是用來當系統(tǒng)啟動時自動運行和加載程序的，如果木馬程序加載到這兩個子項中之后，那么當你的系統(tǒng)啟動后即可自動運行或加載了。當然也有可能你的系統(tǒng)之中確是需要加載某一程序，但你要知道這更是木馬利用的好機會，它往往會在現(xiàn)有加載的程序文件名之后再加一個它自己的文件名或者參數(shù)，這個文件名也往往用你常見的文件，如command.exe、sys.com等來偽裝。
2、在sys tem.ini文件中加載
我們知道在系統(tǒng)信息文件sys tem.ini中也有一個啟動加載項，那就是在[BOOT]子項中的“Shell”項，如圖2所示。
圖2
在這里木馬最慣用的伎倆就是把本應(yīng)是“Explorer”變成它自己的程序名，名稱偽裝成幾乎與原來的一樣，只需稍稍改"Explorer”的字母“l”改為數(shù)字“1”，或者把其中的“o”改為數(shù)字“0”，這些改變?nèi)绻蛔屑毩粢馐呛茈y被人發(fā)現(xiàn)的，這就是我們前面所講的欺騙性。當然也有的木馬不是這樣做的，而是直接把“Explorer”改為別的什么名字，因為他知道還是有很多朋友不知道這里就一定是“Explorer”，或者在“Explorer”加上點什么東東，加上的那些東東肯定就是木馬程序了。
3、修改注冊表
如果經(jīng)常研究注冊表的朋友一定知道，在注冊表中我們也可以設(shè)置一些啟動加載項目的，編制木馬程序的高手們當然不會放過這樣的機會的，況且他們知道注冊表中更安全，因為會看注冊表的人更少。事實上，只要是”Run\Run-\RunOnce\RunOnceEx\ RunServices \RunServices-\RunServicesOnce 等都是木馬程序加載的入口，如[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft \Windows\CurrentVersion\Run或\RunOnce]，如圖3所示；
圖3
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run或Run-或RunOnce或RunOnceEx或RunServices或RunServices-或RunServicesOnce]，如圖4所示。
圖4
你只要按照其指定的源文件路徑一路查過去，并具體研究一下它在你系統(tǒng)這中的作用就不難發(fā)現(xiàn)這些鍵值的作用了，不過同樣要注意木馬的欺騙性，它可是最善于偽裝自己呵！同時還要仔細觀察一下在這些鍵值項中是否有類似netspy.exe、空格、.exe或其它可疑的文件名，如有則立即刪除。
4、修改文件打開關(guān)聯(lián)
木馬程序發(fā)展到了今天，他們發(fā)現(xiàn)以上的那些老招式不靈了，為了更加隱蔽自己，他們所采用隱蔽的手段也是越來越高明了（不過這也是萬物的生存之道，你說呢？），它們采用修改文件打開關(guān)聯(lián)來達到加載的目的，當你打開了一個已修改了打開關(guān)聯(lián)的文件時，木馬也就開始了它的運作，如冰河木馬就是利用文本文件（.txt）這個最常見，但又最不引人注目的文件格式關(guān)聯(lián)來加載自己，當有人打開文本文件時就自動加載了冰河木馬。
修改關(guān)聯(lián)的途經(jīng)還是選擇了注冊表的修改，它主要選擇的是文件格式中的“打開”、“編輯”、“打印”項目，如冰河木馬修改的對象如圖5所示，
圖5
如果感染了冰河木馬病毒則在[HKEY_CLASSES_ROOT\txtfile\shell\open\command]中的鍵值不是“c:\windows\notepad.exe %1”，而是改為“sysexplr.exe %1”。
以上所介紹的幾種木馬入侵方式，如果發(fā)現(xiàn)了我們當然是立即對其刪除，并要立即與網(wǎng)絡(luò)斷開，切斷黑客通訊的途徑，在以上各種途徑中查找，如果是在注冊表發(fā)現(xiàn)的，則要利用注冊表的查找功能全部查找一篇，清除所有的木馬隱藏的窩點，做到徹底清除。如果作了注冊表備份，最好全部刪除注冊表后再導(dǎo)入原來的備份注冊表。
在清除木馬前一定要注意，如果木馬正在運行，則你無法刪除其程序，這時你可以重啟動到DOS方式然后將其刪除。有的木馬會自動檢查其在注冊表中的自啟動項，如果你是在木馬處于活動時刪除該項的話它能自動恢復(fù)，這時你可以重啟到DOS下將其程序刪除后再進入Win9x下將其注冊表中的自啟動項刪除。
頁
上面是講了我們已發(fā)現(xiàn)的情況下可以采取這些補救措施，但是一般情況下我們沒有那么容易發(fā)現(xiàn)它，只好利用專門的殺毒軟件來幫助我們進行了。目前專門查殺木馬病毒的反木馬軟件主要有以下幾種，我們可以借助它們的功力來鏟助木馬。目前最常用的反木馬程序有：
a、the cleaner
目前它的最高版本為3.1 它可在目前主要的windows平臺WIN9X/NT/2000中應(yīng)用，可在http://www.地址中下載。
這可能是目前最好的反木馬的工具了，也是目前查木馬數(shù)量最多的，它最招人喜愛的地方還有它可以隨時自動升級，只要輕點UPDATE按紐即可，不象LOCKDOWN還要查你的密碼。絕對是查木馬工具的首選。它的實時監(jiān)控程序TCA，可即時顯示當前所有運行程序并有詳細的描述信息，是個幫你了解系統(tǒng)的好幫手。
b、Trojan Remover
目前的版本為3.3.2，它的應(yīng)用平臺有限，僅為WIN9X，下載地址為：http://www./tremover，它是一個專門用來清除特洛伊木馬和自動修復(fù)系統(tǒng)文件的工具，能夠檢查系統(tǒng)登錄文件、掃描WIN.INI、sys tem.INI和系統(tǒng)登錄文件，且掃描完成后會產(chǎn)生Log信息文件，并幫你自動清除特洛伊木馬和修復(fù)系統(tǒng)文件。
當然還有許多反病毒軟件也具有一些反木馬的功能，而且功能還可以，如金山毒霸、KILL等，但還是以上兩款更專業(yè)。
如何避免木馬的入侵
談到這個問題，我真有點害怕講下去，因為我知道我所講的這些預(yù)防辦法那些專門研究木馬的黑客早就注意了，或許早就想好了對策，但是不管怎樣我相信如果注意了以下幾個方面多多少少對阻止木馬的入侵有些好處的，特別是對那些入門級的木馬！在此先要聲明，反木馬就象反病毒一樣永遠沒有止境，也永遠沒有一個百分百的解決方案，因為都是先有木馬，然后才有我們反木馬的方法和軟件，我們始終是個追隨者！
1、 不要執(zhí)行任何來歷不明的軟件
對于從網(wǎng)上下載的軟件在安裝、使用前一定要用多幾種反病毒軟件，最好是專門查殺木馬的軟件進行檢查，確定無毒了再執(zhí)行、使用。
2、不要相信你的郵箱不會收到垃圾和帶毒的郵件
永遠不要相信你的郵箱就不會收到垃圾和帶毒的郵件，即使從沒露過面的郵箱或是ISP郵箱，有些時候你永遠沒辦法知道別人如何得知你的mail地址的。
3、不要輕信他人
不要因為是你的好朋友發(fā)來的軟件就運行，因為你不能確保他的電腦上就不會有病毒，當然好朋友故意欺騙的可能性不大，但也許他（她）中了黑客程序自己還不知道！同時，網(wǎng)絡(luò)發(fā)展到今天，你也不能保證這一定是你的朋友發(fā)給你的，因為別人也可冒名給你發(fā)郵件。
4、不要隨便留下你的個人資料
特別不要在聊天室內(nèi)公開你的Email地址。 因為你永遠不會知道是否有人會處心積慮收集起你的資料，以備將來黑你！更不要將重要口令和資料存放在上網(wǎng)的電腦里，以防黑客侵入你的電腦盜走你一切“值錢的東東”。
5、網(wǎng)上不要得罪人
在聊天時，永遠不要以為網(wǎng)絡(luò)上誰也不認識誰就出言不遜，這樣會不小心得罪某些高人，到時找你開刀。
6、不要隨便下載軟件
特別是不可靠的小FTP站點、公眾新聞級、論壇或BBS上，因為這些地方正是新病毒發(fā)布的首選之地。
7、最好使用第三方郵件程序
如Foxmail等,不要使用Microsoft的Outlook程序，因為Outlook程序的安全漏洞實在太多了，況且Outlook也是那些黑客們首選攻擊的對象，已經(jīng)選好了許多攻擊入口；
8、不要輕易打開廣告郵件中附件或點擊其中的鏈接
因為廣告郵件也是那些黑客程序依附的重要對象，特別是其中的一些鏈接。
9、將windows資源管理器配置成始終顯示擴展名
因為一些擴展名為：VBS、SHS、PIF的文件多為木馬病毒的特征文件，更有些文件為又擴展名，那更應(yīng)重點查看，一經(jīng)發(fā)現(xiàn)要立即刪除，千萬不要打開，只有時時顯示了文件的全名才能及時發(fā)現(xiàn)。
10、盡量少用共享文件夾
如果因工作等其它原因必需設(shè)置成共享，則最好單獨開一個共享文件夾，把所有需共享的文件都放在這個共享文件夾中，注意千萬不要系統(tǒng)目錄設(shè)置成共享！
11、給電子郵件加密
為了確保你的郵件不被其它人看到，同時也為了防止黑客們的攻擊，至于電子郵件的加密請參考《令電子郵件安全傳遞的方法－PGP簽名》一文，在那篇文章中向大家推薦了一款加密專家——PGP，相信它一定不會讓你失望的！
12、隱藏IP地址
這一點非常重要！！你上網(wǎng)時最好用一些工具軟件隱藏你的電腦的IP地址，如使用ICQ，就進入“ICQMenu\Securi-ty&Privacy”，把“IP Publishing”下面的“Do not Publish IP ad-dress”選項上。
13、運行反木馬實時監(jiān)控程序
最后，好是最重要的一點就是你在上網(wǎng)時必需運行你的反木馬實時監(jiān)控程序，如、the cleaner， 它的實時監(jiān)控程序TCA，可即時顯示當前所有運行程序并有詳細的描述信息，加外如加上一些專業(yè)的最新殺毒軟件、個人防火墻進行監(jiān)控那更是放心了，當然這要你的愛機夠檔次才行，你說呢？
幾款常見木馬病毒的清除
為了方便大家及時快捷地查殺你電腦中的現(xiàn)有木馬，現(xiàn)向大家介紹幾款木馬病毒的查殺方法。
1.Back Orifice（BO）
只要檢查注冊表\HEKY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersion\ RunServices中有無.exe鍵值。如有，則將其刪除，并進入MS-DOS方式，將\Windows\sys tem中的.exe文件刪除（可運用開始菜單中的“搜索”程序幫助你進行查找這一文件）。
2.Back Orifice 2000(BO2000)
只要檢查注冊表\HEKY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices中有無Umgr32.exe的鍵值，如有，則將其刪除。重新啟動電腦，并將\Windows\sys tem中的Umgr32.exe刪除。
3.Netspy
檢查注冊表\HEKY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersion\Run中有無鍵值Spynotify.exe和Netspy.exe。如有將其刪除，重新啟動電腦后將\Windows\sys tem中的相應(yīng)文件刪除。
4.Happy99
此程序首次運行時，會在熒幕上開啟一個名為“Happy new year1999”的窗口，顯示美麗的煙花，此時該程序就會將自身復(fù)制到Windows95/98的sys tem目錄下，更名為Ska.exe，創(chuàng)建文件Ska.dll，并修改Wsock32.dll，將修改前的文件備份為Wsock32.ska，并修改注冊表。
用戶可以檢查注冊表\HEKY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce中有無鍵值Ska.exe。如有，將其刪除，并刪除\Windows\sys tem中的Ska.exe和Ska.dll兩個文件，將Wsock32.ska更名為Wscok32.dll。
5.Picture
檢查Win.ini系統(tǒng)配置文件中“load=”是否指向一個可疑程序，清除該項。重新啟動電腦，將指向的程序刪除即可。
6.Netbus
用“Netstat -an”查看12345端口是否開啟，在注冊表相應(yīng)位置中是否有可疑文件。首先清除注冊表中的Netbus的主鍵，然后重新啟動電腦，刪除可執(zhí)行文件即可。
7、冰河
用純DOS啟動進入系統(tǒng)（以防木馬的自動恢復(fù)），刪除你安裝的windows下的sys tem\kernel32.exe和sys tem\sysexplr.exe兩個木馬文件，注意如果系統(tǒng)提示你不能刪除它們，則因為木馬程序自動設(shè)置了這兩個文件的屬性，我們只需要打開它們的隱藏、只讀屬性，方法是鍵入如下命令：Attrib a h r kernel32.exe或sysexplr.exe即可。
刪除后進入windows系統(tǒng)進入注冊表中，找到[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft \Windows\CurrentVersion\Run]和[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft \Windows\CurrentVersion\RunServices]兩項，然后查找kernel32.exe和sysexplr.exe兩個鍵值。再找到[HKEY_CLASSES_ROOT\txtfile\open\command],看在鍵值中是不是已改為“sysexplr.exe %1”，如是改回"notepad.exe %1” 。
8、Asylum
這個木馬程序是修改了sys tem.ini win.ini兩個文件，先查一下sys tem.ini文件下面的[BOOT]貢，看看"shell=explorer.exe”，如不是則刪除它，用回上面的設(shè)置，并記下原來的文件名以便回過頭去在純DOS下刪除它。再打開win.ini文件，看在[windows]項下的"run=”是不是有什么文件名，一般情況下是沒有任何加載值的，如有記下它以便回過頭過在純DOS下刪除相應(yīng)的文件名。
作者：yingfeng99【忙碌的影風(fēng)】
※ 來源: 網(wǎng)易虛擬社區(qū) 上海站．
|
