信息系统安全计算机病毒实验L00013windows下手工木马检测资料.docx
《信息系统安全计算机病毒实验L00013windows下手工木马检测资料.docx》由会员分享，可在线阅读，更多相关《信息系统安全计算机病毒实验L00013windows下手工木马检测资料.docx（13页珍藏版）》请在冰点文库上搜索。
信息系统安全计算机病毒实验L00013windows下手工木马检测资料
课程编写
类别
内容
实验课题名称
L002003013-windows下手工木马检测
实验目的与要求
1、检查网络连接情况
2、查看目前运行的服务
3、检查系统启动项
4、检查系统帐户
实验环境
VPC1（虚拟PC）
操作系统类型：
windows，网络接口：
eth0
VPC1连接要求
PC 网络接口，与实验室网络相连
实验环境描述
1、学生机与实验室网络直连;
2、VPC1与实验室网络直连;
3、学生机与VPC1物理链路连通
预备知识
“木马”与计算机网络中常常要用到的远程控制软件有些相似，但由于远程控制软件是“善意”的控制，因此通常不具有隐蔽性；“木马”则完全相反，木马要达到的是“偷窃”性的远程控制，如果没有很强的隐蔽性的话，那就是“毫无价值”的。
它是指通过一段特定的程序（木马程序）来控制另一台计算机。
木马通常有两个可执行程序：
一个是客户端，即控制端；另一个是服务端，即被控制端。
植入被种者电脑的是“服务器”部分，而所谓的“黑客”正是利用“控制器”进入运行了“服务器”的电脑。
运行了木马程序的“服务器”以后，被种者的电脑就会有一个或几个端口被打开，使黑客可以利用这些打开的端口进入电脑系统，安全和个人隐私也就全无保障了！
木马的设计者为了防止木马被发现，而采用多种手段隐藏木马。
木马的服务一旦运行并被控制端连接，其控制端将享有服务端的大部分操作权限，例如给计算机增加口令，浏览、移动、复制、删除文件，修改注册表，更改计算机配置等。
随着病毒编写技术的发展，木马程序对用户的威胁越来越大，尤其是一些木马程序采用了极其狡猾的手段来隐蔽自己，使普通用户很难在中毒后发觉。
那么，我们在不依赖杀毒软件的时候，作为一名信息安全员，我们该如何去检测计算机中，是否中了木马呢！
那就跟我一起来看看吧！
相信你一定有不少收获。
实验内容
1、检查网络连接情况
2、查看目前运行的服务
3、检查系统启动项
4、检查系统帐户
实验步骤
● 学生登录实验场景的操作
1、学生单击“网络拓扑”进入实验场景，单击windows2003中的“打开控制台”按钮，进入目标主机。
2.登陆系统，输入账号administrator ，密码123456
3. 检查网络连接情况
由于不少木马会主动侦听端口，或者会连接特定的IP和端口，所以我们可以在没有正常程序连接网络的情况下，通过检查网络连情情况来发现木马的存在。
具体的步骤是点击“开始”->“运行”->“cmd”，然后输入netstat -an这个命令能看到所有和自己电脑建立连接的IP以及自己电脑侦听的端口，它包含四个部分--proto（连接方式）、localaddress（本地连接地址）、foreignaddress（和本地建立连接的地址）、state（当前端口状态）。
通过这个命令的详细信息，我们就可以完全监控电脑的网络连接情况。
4. 查看目前运行的服务
服务是很多木马用来保持自己在系统中永远能处于运行状态的方法之一。
我们可以通过点击“开始”->“运行”->“cmd”，然后输入“netstart”来查看系统中究竟有什么服务在开启，如果发现了不是自己开放的服务，我们可以进入“服务”管理工具中的“服务”，找到相应的服务，停止并禁用它。
5. 检查系统启动项
由于注册表对于普通用户来说比较复杂，木马常常喜欢隐藏在这里。
检查注册表启动项的方法如下:
点击“开始”->“运行”->“regedit”，然后检查HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion下所有以“run”开头的键值;
检查HKEY_CURRENT_USERS/software/Microsoft/Windows/CurrentVersion下所有以“run”开头的键值;
检查HKEY-USERS/.Default/Software/Microsoft/Windows/CurrentVersion下所有以“run”开头的键值。
Windows安装目录下的System.ini也是木马喜欢隐蔽的地方。
打开这个文件看看，打开C盘下的windows 目录，找到System.ini文件。
在该文件的[boot]字段中，是不是有shell=Explorer.exefile.exe这样的内容，如有这样的内容，那这里的file.exe就是木马程序了!
6. 检查系统帐户
恶意的攻击者喜在电脑中留有一个账户的方法来控制你的计算机。
他们采用的方法就是激活一个系统中的默认账户，但这个账户却很少用的，然后把这个账户的权限提升为管理员权限，这个帐户将是系统中最大的安全隐患。
恶意的攻击者可以通过这个账户任意地控制你的计算机。
针对这种情况，可以用以下方法对账户进行检测。
点击“开始”->“运行”->“cmd”，然后在命令行下输入netuser，查看计算机上有些什么用户，然后再使用“netuser 用户名”查看这个用户是属于什么权限的，一般除了Administrator是administrators组的，其他都不应该属于administrators组，如果你发现一个系统内置的用户是属于administrators组的，那几乎可以肯定你被入侵了。
快使用“netuser用户名/del”来删掉这个用户吧!
7.如果检查出有木马的存在，可以按以后步骤进行杀木马的工作。
1、运行任务管理器，杀掉木马进程。
2、检查注册表中RUN、RUNSERVEICE等几项，先备份，记下可以启动项的地址，再将可疑的删除。
3、删除上述可疑键在硬盘中的执行文件。
4、一般这种文件都在WINNT，SYSTEM，SYSTEM32这样的文件夹下，他们一般不会单独存在，很可能是有某个母文件复制过来的，检查C、D、E等盘下有没有可疑的.exe，.com或.bat文件，有则删除之。
5、检查注册表HKEY_LOCAL_MACHINE和HKEY_CURRENT_USER\SOFTWARE\Microsoft\InternetExplorer\Main中的几项（如LocalPage），如果被修改了，改回来就可以。
6、检查HKEY_CLASSES_ROOT\txtfile\shell\open\command和HKEY_CLASSES_ROOT\xtfile\shell\open\command等等几个常用文件类型的默认打开程序是否被更改。
这个一定要改回来。
很多病毒就是通过修改.txt文件的默认打开程序让病毒在用户打开文本文件时加载的。
8、实验完毕，关闭网络拓扑图，实验完毕。
升级会员 