冰河淺析 - 揭開(kāi)木馬的神秘面紗（下）

　　本文主要是探討木馬的基本原理, 木馬的破解并非是本文的重點(diǎn)(也不是我的長(zhǎng)處),具體的破解請(qǐng)大家期待yagami的《特洛伊木馬看過(guò)來(lái)》（我都期待一年了，大家和我一起繼續(xù)期待吧，嘿嘿），本文只是對(duì)通用的木馬防御、卸載方法做一個(gè)小小的總結(jié)：
3 c! q* `6 }' `+ F/ M　　1.端口掃描
　　端口掃描是檢查遠(yuǎn)程機(jī)器有無(wú)木馬的最好辦法, 端口掃描的原理非常簡(jiǎn)單, 掃描程序嘗試連接某個(gè)端口, 如果成功, 則說(shuō)明端口開(kāi)放, 如果失敗或超過(guò)某個(gè)特定的時(shí)間(超時(shí)), 則說(shuō)明端口關(guān)閉。（關(guān)于端口掃描，Oliver有一篇關(guān)于“半連接掃描”的文章，很精彩，那種掃描的原理不太一樣，不過(guò)不在本文討論的范圍之中）
* ~5 F" }8 y4 U- F  S. e9 X9 Z
' Z. I# M) H6 z8 [. F3 F　　但是值得說(shuō)明的是, 對(duì)于驅(qū)動(dòng)程序/動(dòng)態(tài)鏈接木馬, 掃描端口是不起作用的。
! b! P. Y  t6 k  j7 X6 j7 U' z
　　2.查看連接
( }, ?$ r0 u- L　　查看連接和端口掃描的原理基本相同，不過(guò)是在本地機(jī)上通過(guò)netstat -a（或某個(gè)第三方的程序）查看所有的TCP/UDP連接，查看連接要比端口掃描快，缺點(diǎn)同樣是無(wú)法查出驅(qū)動(dòng)程序/動(dòng)態(tài)鏈接木馬,而且僅僅能在本地使用。
1 I: ^- L9 K$ z! U
　　3.檢查注冊(cè)表
: l4 p( l9 X, F: ]　　上面在討論木馬的啟動(dòng)方式時(shí)已經(jīng)提到，木馬可以通過(guò)注冊(cè)表啟動(dòng)（好像現(xiàn)在大部分的木馬都是通過(guò)注冊(cè)表啟動(dòng)的，至少也把注冊(cè)表作為一個(gè)自我保護(hù)的方式），那么，我們同樣可以通過(guò)檢查注冊(cè)表來(lái)發(fā)現(xiàn)"馬蹄印",冰河在注冊(cè)表里留下的痕跡請(qǐng)參照《潛行篇》。
6 Y0 i) d  Q- n4 |  m7 o5 W! [/ Y: K/ E
' F: w; z6 d% O' I+ V; P　　4.查找文件
: J, R1 [/ y* h2 T　　查找木馬特定的文件也是一個(gè)常用的方法（這個(gè)我知道,冰河的特征文件是G_Server.exe吧? 笨蛋!哪會(huì)這么簡(jiǎn)單,冰河是狡猾狡猾的......）冰河的一個(gè)特征文件是kernl32.exe(靠,偽裝成Windows的內(nèi)核呀),另一個(gè)更隱蔽,是sysexlpr.exe(什么什么,不是超級(jí)解霸嗎?)對(duì)！冰河之所以給這兩個(gè)文件取這樣的名字就是為了更好的偽裝自己, 只要?jiǎng)h除了這兩個(gè)文件,冰河就已經(jīng)不起作用了。其他的木馬也是一樣（廢話，Server端程序都沒(méi)了，還能干嘛？）
　　黃鑫:"咳咳,不是那么簡(jiǎn)單哦......"(狡猾地笑)
　　是的, 如果你只是刪除了sysexlpr.exe而沒(méi)有做掃尾工作的話,可能會(huì)遇到一些麻煩-就是你的文本文件打不開(kāi)了,因?yàn)榍懊嬲f(shuō)了,sysexplr.exe是和文本文件關(guān)聯(lián)的,你還必須把文本文件跟notepad關(guān)聯(lián)上,方法有三種:
　　a.更改注冊(cè)表(我就不說(shuō)了,有能力自己改的想來(lái)也不要我說(shuō),否則還是不要亂動(dòng)的好)
$ P" z& c  j2 n- [* N% |2 d6 Z　　b.在<我的電腦>-查看-文件夾選項(xiàng)-文件類型中編輯
5 P  Q) ?+ m. j" Y  G3 n　　c.按住SHIFT鍵的同時(shí)鼠標(biāo)右擊任何一個(gè)TXT文件,選擇打開(kāi)方式,選中<始終用該程序打開(kāi)......>,然后找到notepad,點(diǎn)一下就OK了。（這個(gè)最簡(jiǎn)單，推薦使用）
0 b$ F9 u5 G' C, O  y+ M* }# Z　　黃鑫："我...我笑不起來(lái)了 :( "
3 J) U, @& S/ w　　提醒一下，對(duì)于木馬這種狡猾的東西，一定要小心又小心，冰河是和txt文件關(guān)聯(lián)的，txt打不開(kāi)沒(méi)什么大不了，如果木馬是和exe文件關(guān)聯(lián)而你貿(mào)然地刪了它......你苦了！連regedit都不能運(yùn)行了！

1 V0 S5 F: X5 X; j+ s5 f1 \　　5.殺病毒軟件
1 \3 i: p; I4 k5 U. P( W% }　　之所以把殺病毒軟件放在最后是因?yàn)樗鼘?shí)在沒(méi)有太大的用,包括一些號(hào)稱專殺木馬的軟件也同樣是如此, 不過(guò)對(duì)于過(guò)時(shí)的木馬以及菜鳥(niǎo)安裝的木馬(沒(méi)有配置服務(wù)端)還是有點(diǎn)用處的, 值得一提的是最近新出來(lái)的ip armor在這一方面可以稱得上是比較領(lǐng)先的,它采用了監(jiān)視動(dòng)態(tài)鏈接庫(kù)的技術(shù),可以監(jiān)視所有調(diào)用Winsock的程序，并可以動(dòng)態(tài)殺除進(jìn)程，是一個(gè)個(gè)人防御的好工具（雖然我對(duì)傳說(shuō)中“該軟件可以查殺未來(lái)十年木馬”的說(shuō)法表示懷疑，嘿嘿，兩年后的事都說(shuō)不清，誰(shuí)知道十年后木馬會(huì)“進(jìn)化”到什么程度？甚至十年后的操作系統(tǒng)是什么樣的我都想象不出來(lái)）
+ V% s4 g. S: N
　　另外，對(duì)于驅(qū)動(dòng)程序/動(dòng)態(tài)鏈接庫(kù)木馬，有一種方法可以試試，使用Windows的"系統(tǒng)文件檢查器"，通過(guò)"開(kāi)始菜單"-"程序"-"附件"-"系統(tǒng)工具"-"系統(tǒng)信息"-"工具"可以運(yùn)行"系統(tǒng)文件檢查器"(這么詳細(xì),不會(huì)找不到吧? 什么,你找不到! 吐血! 找一張98安裝盤補(bǔ)裝一下吧), 用“系統(tǒng)文件檢查器”可檢測(cè)操作系統(tǒng)文件的完整性，如果這些文件損壞，檢查器可以將其還原，檢查器還可以從安裝盤中解壓縮已壓縮的文件（如驅(qū)動(dòng)程序）。如果你的驅(qū)動(dòng)程序或動(dòng)態(tài)鏈接庫(kù)在你沒(méi)有升級(jí)它們的情況下被改動(dòng)了,就有可能是木馬(或者損壞了),提取改動(dòng)過(guò)的文件可以保證你的系統(tǒng)安全和穩(wěn)定。(注意,這個(gè)操作需要熟悉系統(tǒng)的操作者完成,由于安裝某些程序可能會(huì)自動(dòng)升級(jí)驅(qū)動(dòng)程序或動(dòng)態(tài)鏈接庫(kù),在這種情況下恢復(fù)"損壞的"文件可能會(huì)導(dǎo)致系統(tǒng)崩潰或程序不可用！)


              五、狡詐篇（只要你的一點(diǎn)點(diǎn)疏忽......)
$ I) m' b7 `* {& P2 k$ Q6 C
" [' [3 O2 ]; ]0 ?* u　　只要你有一點(diǎn)點(diǎn)的疏忽，就有可能被人安裝了木馬，知道一些給人種植木馬的常見(jiàn)伎倆對(duì)于保證自己的安全不無(wú)裨益。
1.網(wǎng)上“幫”人種植木馬的伎倆主要有以下的幾條
　　　a.軟哄硬騙法；
7 {/ ?9 ~# u8 M4 k1 R　　　這個(gè)方法很多啦, 而且跟技術(shù)無(wú)關(guān)的, 有的是裝成大蝦, 有的是裝成PLMM, 有的態(tài)度謙恭, 有的......反正目的都一樣,就是讓你去運(yùn)行一個(gè)木馬的服務(wù)端。
　　　b.組裝合成法
. _, |* [, R8 G$ Z5 [　　　就是所謂的221(Two To One二合一)把一個(gè)合法的程序和一個(gè)木馬綁定,合法程序的功能不受影響,但當(dāng)你運(yùn)行合法程序時(shí),木馬就自動(dòng)加載了,同時(shí),由于綁定后程序的代碼發(fā)生了變化,根據(jù)特征碼掃描的殺毒軟件很難查找出來(lái)。
/ h0 ?( r- p" i( G6 t  Y　　　c.改名換姓法
$ U' u$ g7 Q# e: O6 _8 k　　　這個(gè)方法出現(xiàn)的比較晚,不過(guò)現(xiàn)在很流行,對(duì)于不熟練的windows操作者，很容易上當(dāng)。具體方法是把可執(zhí)行文件偽裝成圖片或文本----在程序中把圖標(biāo)改成Windows的默認(rèn)圖片圖標(biāo), 再把文件名改為*.jpg.exe, 由于Win98默認(rèn)設(shè)置是"不顯示已知的文件后綴名",文件將會(huì)顯示為*.jpg, 不注意的人一點(diǎn)這個(gè)圖標(biāo)就中木馬了(如果你在程序中嵌一張圖片就更完美了)
) A: {# Q0 L$ V' u　　　d.愿者上鉤法
6 o& `' @% o( l3 ]3 y" p　　　木馬的主人在網(wǎng)頁(yè)上放置惡意代碼，引誘用戶點(diǎn)擊，用戶點(diǎn)擊的結(jié)果不言而喻：開(kāi)門揖盜;奉勸：不要隨便點(diǎn)擊網(wǎng)頁(yè)上的鏈接，除非你了解它，信任它，為它死了也愿意...（什么亂七八糟呀）　　

4 A8 F1 T# O" t$ ~! o. f: B! p; ~2． 幾點(diǎn)注意（一些陳詞濫調(diào)）
　　a．不要隨便從網(wǎng)站上下載軟件,要下也要到比較有名、比較有信譽(yù)的站點(diǎn)，這些站點(diǎn)一般都有專人殺馬殺毒；
　　b．不要過(guò)于相信別人，不能隨便運(yùn)行別人給的軟件；
（特別是認(rèn)識(shí)的，不要以為認(rèn)識(shí)了就安全了，就是認(rèn)識(shí)的人才會(huì)給你裝木馬,哈哈,挑撥離間......）
　　c．經(jīng)常檢查自己的系統(tǒng)文件、注冊(cè)表、端口什么的，經(jīng)常去安全站點(diǎn)查看最新的木馬公告；
& }* x  O5 ~- u( S8 M　　d.改掉windows關(guān)于隱藏文件后綴名的默認(rèn)設(shè)置(我是只有看見(jiàn)文件的后綴名才會(huì)放心地點(diǎn)它的)
　　e．如果上網(wǎng)時(shí)發(fā)現(xiàn)莫名奇妙地硬盤亂響或貓上的數(shù)據(jù)燈亂閃，要小心；
　（我常常會(huì)突然關(guān)掉所有連接，然后盯著我的貓，你也可以試試，要是這時(shí)數(shù)據(jù)傳送燈還在拼命閃，恭喜，你中木馬了，快逃吧?。?font class="jammer">' A& _0 w8 v! |" z; w

4 q& s; m5 ?: g0 F# I3 L& x                         六、后     記
! m9 n+ o% T$ `# `/ E3 ^  |9 p# s
! H1 j' B1 g# r4 m) @/ a2 G　　這篇文章的問(wèn)世首先要感謝冰河的作者-黃鑫，我對(duì)他說(shuō)：“我要寫(xiě)篇關(guān)于冰河的文章”，他說(shuō)：“寫(xiě)唄”，然后就有了這篇文章的初稿（黃鑫：“不是吧，你答應(yīng)要用稿費(fèi)請(qǐng)我吃飯的，不要賴哦”），隨后，黃鑫給我提了很多建議并提供了不少資料,謝謝冰河。
0 v' z) S! m4 u  `4 H# B  M　　其次是西祠的yagami，他是公認(rèn)的木馬專家，在我寫(xiě)作期間，他不僅在木馬的檢測(cè)、殺除方面提出了不少自己的看法，還給我找來(lái)了幾個(gè)木馬的源代碼作為參考，不過(guò)這個(gè)家伙實(shí)在太忙，所以想看《特洛伊木馬看過(guò)來(lái)》的朋友就只有耐心地等待了。
　　第三個(gè)值得一提的家伙是武漢人，我的初稿一出來(lái)，他就忙不迭地貼出去了，當(dāng)時(shí)我很狼狽，只能加緊寫(xiě)，爭(zhēng)取早日完成，趕快把漏洞百出的初稿換下來(lái)，要不然，嘿嘿，估計(jì)大家也要等個(gè)一年半載的才能看到這篇文章了。
! }# L! t6 g; t. s: z　　這篇文章的初稿出來(lái)以后，有很多朋友問(wèn)：為什么不用C++，而要用VB來(lái)寫(xiě)木馬的源碼說(shuō)明呢？呵呵，其一是我很懶，VB比 VC要容易多了,還不會(huì)把windows搞死機(jī)(我用VC寫(xiě)程序曾經(jīng)把系統(tǒng)搞崩潰過(guò)的:P);其二,本文中能用API的,我基本上都用了,VB只是很小的一塊, WINAPI嘛,移植起來(lái)是很容易的;其三,正如我前面強(qiáng)調(diào)的,本文只是對(duì)木馬的結(jié)構(gòu)和原理進(jìn)行一番討論,并非教人如何編寫(xiě)木馬程序,要知道,公安部已經(jīng)正式下文:在他人計(jì)算機(jī)內(nèi)下毒的要處以刑事處分。相比而言，VB代碼的危害性要小很多的（如果完全用VB做一個(gè)冰河，大概要一兆多，還不連那些控件和動(dòng)態(tài)鏈接庫(kù)文件，呵呵，這么龐大的程序，能 悄 悄 地在別人的機(jī)子里搗鬼嗎？）
3 j$ O6 q5 @9 T