传播木马或病毒的途径，有哪些？详细越好。。。
12.1.2 木马的工作原理（2）
http://book.51cto.com 2008-07-21 15:26 李匀 电子工业出版社博文视点 我要评论(0)
摘要：《 *** 渗透测试——保护 *** 安全的技术、工具和过程》第12章木马和后门的运用,这一章主要介绍考察木马、病毒及后门应用程序,还会介绍一些恶意黑客和渗透测试人员使用的著名病毒、木马及后门程序，最后讨论如何检测这些恶意软件及在 *** 上预防这些恶意软件攻击的步骤，本节为木马的工作原理。
标签： *** 安全 Web 恶意软件 攻击 *** 渗透测试
Oracle帮您准确洞察各个物流环节12.1.2 木马的工作原理（2）3．木马的启动方式作为一个优秀的木马，自启动功能是必不可少的。自启动可以保证木马不会因为用户的一次关机操作而彻底失去作用。正因为该项技术如此重要，所以很多编程人员都在不停地研究和探索新的自启动技术。一个典型的例子就是把木马加入到用户经常执行的程序（例如Explorer.exe）中，当用户执行该程序时，木马就自动执行并运行。当然，更加普遍的 *** 是通过修改Windows系统文件和注册表实现自启动。实现自启动的常用 *** 包括下述几种，通过启动组实现自启动这也是一种很常见的方式，很多正常的程序都用它，大家常用的 *** 就是用这种方式实现自启动的，但木马很少使用这种方式，原因在于启动组的每个程序都会出现在“系统配置实用程序”（msconfig.exe，以下简称msconfig）中。事实上，出现在“开始”菜单的“程序\启动”中足以引起普通人的注意，所以，极少有木马使用这种启动方式。在Win.ini文件中启动同启动组一样，这也是从Windows3.2开始就可以使用的 *** ，是从Win16遗传到Win32的。在Windows3.2中，Win.ini就相当于Windows9x中的注册表，在该文件中的[Windows]域中的load和run项会在Windows启动时运行，这两个项目也会出现在msconfig中，这种 *** 也不很适合木马使用。在System.ini文件中启动System.ini文件位于Windows安装目录下，其中[Boot]节中的Shell= Explorer.exe是经常被用于隐藏加载木马的地方。通常的做法是将该项变为Shell= Explorer.exe Sample.exe。这里的Sample.exe是某个木马服务端程序。我们可以在"Explorer.exe"后加上木马程序的路径，这样Windows启动后木马也就随之启动，而且即使是安全模式启动也不会跳过这一项，这样木马也就可以保证永远随Windows启动了，名噪一时的尼姆达病毒就使用了这种 *** 。这时，如果木马程序也具有自动检测添加Shell项的功能的话，那简直是天衣无缝的绝配，我想除了使用查看进程的工具中止木马，再修改Shell项和删除木马文件外没有别的破解之法了。但这种方式也有先天不足，因为只有一个Shell项，如果有两个木马都使用这种方式实现自启动，那么后来的木马可能会使前一个木马无法启动，此所谓以毒攻毒。System.ini文件中的［386Ehn］节的“driver=路径\程序名”也可以用来实现自启动。此外，System.ini中的［mic］、［drivers］、［drivers32］也是加载程序的好地方。在*.ini文件中启动后缀为.ini的文件是系统中应用程序的启动配置文件，木马程序利用这些文件能够自启动应用程序的特点，将 *** 好的、带有木马服务端程序自启动命令的文件上传到目标主机中，这样就可以达到启动木马的目的了。通过修改文件关联启动修改文件关联是木马常用手段，例如，在正常情况下，.txt文件的打开方式为Notepad.exe文件，但一旦中了文件关联木马，则.txt文件打开方式就会被修改为用木马程序打开，如著名的国产木马冰河就是这样。冰河木马通过修改HKEY_CLASSES_ROOT\txtfile\shell\open\command下的键值，将“C:\WINDOWS\notepad.exe %1”修改为“%SystemRoot%\system32\sysexplr.exe %1”，实现该木马的启动。只要用户双击任意一个.txt文件，原本应该使用notepad.exe程序打开.txt文件，现在就变成启动Windows system32目录下的sysexplr.exe木马程序了。需要提醒读者的是，不仅仅是.txt文件，其他如html、JPG、Zip、rar等扩展名都是木马作者制定自动启动方案的目标。通过捆绑文件方式启动木马和正常程序捆绑，有点类似于病毒，程序在运行时，木马程序先获得控制权或另开一个线程以监视用户操作，截取密码等，这类木马编写的难度较大，需要了解PE文件结构和Windows的底层知识（直接使用捆绑程序除外）。使用著名的黑客软件Deception Binder就可以实现木马与正常程序的捆绑。这是国外的一款文件合并器，小巧而功能强大。能够捆绑任意格式（包括.txt、.jpg）文件；能够设置打开文件是否隐蔽运行；能够设置打开文件是否加入注册表启动项；能够设置打开文件时是否显示错误信息以迷惑对方等。当木马程序连接到Notepad时，其结果会显示为Notepad，而且执行时也像是Notepad，但同时也会执行木马程序。通过将特定的程序改名方式启动这种方式常见于针对 *** 的木马，如将 *** 的启动文件 *** 2000b.exe，改为 *** 2000b.ico.exe（Windows默认不显示扩展名，因此它会被显示为 *** 2000b.ico，而用户会认为这是一个图标），再将木马程序改为 *** 2000b.exe，此后，用户运行 *** ，实际上运行了 *** 木马，再由 *** 木马去启动真正的 *** ，这种方式实现起来很简单。通过Autoexec.bat文件，或winstart.bat，config.sys文件启动其实这种 *** 并不适合木马使用，因为该文件会在Windows启动前运行，此时系统处于DOS环境，只能运行16位应用程序，Windows下的32位程序是不能运行的。因此也就失去了木马的意义。不过，这并不是说它不能用于启动木马。可以想像，SoftIce for Win98（功能强大的程序调试工具，被黑客奉为至宝，常用于破解应用程序）也是先要在Autoexec.bat文件中运行然后才能在Windows中显示窗口，进行调试，既然如此，谁能保证木马不会这样启动呢?通过注册表启动这里通常有两组注册表项供使用。下面分别予以简要介绍。通过下面的三个注册表项：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunHKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunHKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices 这是很多Windows程序都采用的 *** ，也是木马最常用的 *** 。它的使用非常方便，但也容易被人发现，由于其应用太广，所以几乎提到木马，就会让人想到这几个注册表项中的主键，通常木马会使用最后一个。使用Windows自带的程序msconfig或注册表编辑器（regedit.exe）都可以将它轻易的删除，所以这种 *** 并不十分可靠。但可以在木马程序中加一个时间控件，以便实时监视注册表中自身的启动键值是否存在，一旦发现被删除，则立即重新写入，以保证下次Windows启动时自己能被运行。这样木马程序和注册表中的启动键值之间形成了一种互相保护的状态。木马程序未中止，启动键值就无法删除（手工删除后，木马程序又自动添加上了），相反的，不删除启动键值，下次启动Windows还会启动木马。怎么办呢?其实破解它并不难，即使在没有任何工具软件的情况下也能轻易解除这种互相保护。破解 *** 是，首先，以安全模式启动Windows，这时，Windows不会加载注册表中的项目，因此木马不会被启动，相互保护的状况也就不攻自破了，然后，你就可以删除注册表中的键值和相应的木马程序。采用这种启动方式的典型木马包括：BO2000、GOP、NetSpy、IEthief、冰河等。通过下面的三个注册表项： HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnceHKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnceHKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce
这种 *** 好像使用的人不是很多，但隐蔽性比上一种 *** 好，它的内容不会出现在msconfig中。在这个键值下的项目和上一种相似，会在Windows启动时启动，但Windows启动后，该键值下的项目会被清空，因而不易被发现，但是只能启动一次，木马如何能发挥效果呢？其实很简单，不是只能启动一次吗？那木马启动成功后再在这里添加一次不就行了吗？在Delphi中这不过三五行程序。虽说这些项目不会出现在msconfig中，但是在Regedit中却可以直接将它删除，那么木马也就从此失效了。还有一种控制再次启动的 *** ，它不是在启动的时候添加注册表项，而是在退出Windows的时候添加，这就要求木马程序本身要截获Windows的消息，当发现关闭Windows消息时，暂停关闭过程，添加注册表项目，然后才开始关闭Windows，这样使用Regedit也找不到它的踪迹了。这种 *** 也有个缺点，就是一旦Windows异常中止（比如断电），木马也就失效了。另外使用这三个键值并不完全一样，通常木马会选择之一个，因为在第二个键值下的项目会在Windows启动完成前运行，并等待程序结束后才会继续启动Windows。采用这种启动方式的典型木马包括Happy99等。4．黑客欺骗用户运行木马的 *** 木马是一个软件，它由使用者传播或种植，而不会“长腿”自己跑到用户的机器上，正像《特洛伊》剧情中描述的一样，木马往往是用户自己将其带进计算机中的。有了木马程序，如果没有高超的骗术，木马也无用武之地，因此，这里将简单地介绍几种 *** 上流行的欺骗 *** ，目的是让读者了解这些骗术的内容，如果遇到类似情况，也可以当场揭穿而不会付出城池失守的代价。捆绑欺骗把木马服务端和某个游戏，或者Flash文件捆绑成一个文件通过 *** 或邮件发给受害者。当受害者对这个游戏或者Flash文件感兴趣而下载到机器上，而且不幸打开了文件后，就会被种植上木马。受害者会看到游戏程序正常打开，但却不会发觉木马程序已经悄悄运行。这种 *** 可以起到很好的迷惑作用，而且即使受害者重装系统，如果用户保存了那个捆绑文件，还有可能再次中招。邮件冒名欺骗现在上网的用户很多，但其中一些用户的电脑知识并不丰富，防范意识也不强，当黑客用匿名邮件工具冒充用户的好友或大型网站、 *** 机构向目标主机用户发送邮件，并将木马程序作为附件。用户看到发送者的名字是某知名网站或大型机构，而附件命名为调查问卷，注册表单等，用户就有可能毫无戒心地打开附件，从而种植上木马。压缩包伪装这个 *** 比较简单，也比较实用。首先，将一个木马和一个损坏的Zip/Rar文件包（可自制）捆绑在一起，生成一个后缀名为.exe的文件。然后指定捆绑后的文件为Zip/Rar文件图标，这样一来，除了后缀名与真正的Zip/Rar文件不同，执行起来却和一般损坏的Zip/Rar文件没什么两样，用户可能根本不知道木马已经在悄悄运行了。网页欺骗也许读者在网上都有这样的经历，当用户在聊天的时候，入侵者发给用户一些陌生的网址，并且说明网站上有一些比较吸引人的东西或者热门的话题。如果用户不够警惕，或者好奇心较强，不幸单击了这个链接，在网页弹出的同时，用户的机器也可能已经被种植了木马。
欺骗的 *** 多种多样，并且随着时间的推移，新的 *** 和手段也都会被发明出来。
木马病毒是如何传播的？
木马病毒的入侵和传播手段通常是通过 *** 下载和利用电子邮件。在浏览网页时，木马程序也就有可能下载到计算机缓存中，然后会自行修改你计算机的注册表。
当今， *** 、ICQ、EPH、MSN等 *** 聊天工具地频频出现，这些工具也都具备文件传输功能，这样很容易传播木马和病毒文件。
一些系统自身的漏洞也会为木马病毒入侵和传播提供便利的条件哦~
除此之外，还有一些新的入侵手段：基于DLL和远程线程插入的木马植入、利用蠕虫病毒传播木马等。
防范：使用防火墙阻止木马入侵并及时使用专业的杀毒软件来查杀木马病毒
木马的传播途径主要有哪些？
木马的传播途径很多，常见的有如下几类：
1.
通过电子邮件的附件传播。这是最常见，也是最有效的一种方式，大部分病毒（特别是蠕虫病毒）都用此方式传播。首先，木马传播者对木马进行伪装， *** 很多，如变形、压缩、脱壳、捆绑、取双后缀名等，使其具有很大的迷惑性。一般的做法是先在本地机器将木马伪装，再使用杀毒程序将伪装后的木马查杀测试，如果不能被查到就说明伪装成功。然后利用一些捆绑软件把伪装后的木马藏到一幅图片内或者其他可运行脚本语言的文件内，发送出去。
2.
通过下载文件传播。从网上下载的文件，即使大的门户网站也不能保证任何时候他的问件都安全，一些个人主页、小网站等就更不用说了。下载文件传播方式一般有两种，一种是直接把下载链接指向木马程序，也就是说你下载的并不是你需要的文件。另一种是采用捆绑方式，将木马捆绑到你需要下载的文件中。
3.
通过网页传播。大家都知道很多VBS脚本病毒就是通过网页传播的，木马也不例外。网页内如果包含了某些恶意代码，使得IE自动下载并执行某一木马程序。这样你在不知不觉中就被人种上了木马。顺便说一句，很多人在访问网页后IE设置被修改甚至被锁定，也是网页上用脚本语言编写的的恶意代码作怪。
4.
通过聊天工具传播。目前， *** 、ICQ、MSN、EPH等 *** 聊天工具盛行，而这些工具都具备文件传输功能，不怀好意者很容易利用对方的信任传播木马和病毒文件。
木马病毒的传播有哪些途径
木马传播的三种途径和解决 ***
常常电脑用户反映感染了木马病毒，然而使用杀毒软件能查到木马但不能清除或木马被清除后再次开机又重复出现的现象。
之所以常发生上述两种情况，原因主要有以下几点。很多木马使用了进程保护技术 ，在WINDWOS正常模式下很难被杀毒软件清除，遇到这种情况，用户可以重新启动电脑，同时按住F8键，选择进入安全模式状态并运行杀毒软件全盘查杀病毒；对于一些木马被清除后又反复出现的问题，主要因为木马修改了注册表键值，杀毒软件只清除了木马病毒文件，木马在注册表里写入的键值仍然存在，这样当电脑重新启动后，木马会自动重新写一份病毒文件，从而导致木马屡杀不绝。解决这种问题的情况当然是手工清理注册表了，这对于有一定电脑知识基础的读者来说并不困难，普通读者也可在熟悉电脑的朋友的指导下尝试手工清理注册表。运行REGEGDIT文件，打开注册表编辑器，使用任务栏中的“编辑-查找”功能，将木马病毒文件名作为关键词，找出相关的键值，并将找到的木马添加的键值直接删除。再次全盘查杀硬盘，重启电脑，这样木马病毒就不会重复生成了。
以上只是针对已感染木马的用户提出的两种解决 *** ，当然更好的办法是不让木马病毒进入你的电脑，安装杀毒软件并打开病毒实时监控，及时升级病毒库，不要随意运行不明文件以及下载一些不安全软件外，打上各种系统漏洞补丁，以封堵木马入侵的所有入口。
木马病毒的传播有哪些途径？
传播途径: 捆绑欺骗。把木马服务端和某个游戏捆绑成一个文件在 *** 或邮件发给别人。服务端运行后会看到游戏程序正常打开，却不会发觉木马程序已经悄悄运行，可以起到很好的迷惑作用。而且即使别人以后重装系统了，他还是保存你给他的这个“游戏”的话，还是有可能再次中招。 zip伪装。这个 *** 是最新的，将一个木马和一个损坏的zip包（可自制）捆绑在一起，然后指定捆绑后的文件为zip图标，这样一来，除非别人看了他的后缀，否则点下去将和一般损坏的zip没什么两样，根本不知道其实已经有木马在悄悄运行了。 在某个公文包或者可以上传附件的论坛传上捆绑好的木马，然后把链接发给受害者 防止措施: 需要注意很多：给系统打补丁（主要防网页木马）、屏蔽端口、关闭不需要的服务、补上漏洞（例如135、1433、3389等弱口令）、等等。。。自己还要会查看任务管理器、注册表、服务，单纯依靠工具是不能阻止木马的
现在的病毒木马流行哪种感染方式？？
通过电子邮件的附件传播。这是最常见，也是最有效的一种方式
通过下载文件传播。从网上下载的文件
通过网页传播。大家都知道很多VBS脚本病毒就是通过网页传播的
通过聊天工具传播。目前， *** 、ICQ、MSN、EPH等 *** 聊天工具盛行
当然您可以没有必要过于担心的，推荐使用腾讯电脑管家，每天保护和预防咱们的电脑安全！！
依托小红伞(antivir)国际顶级杀毒引擎、腾讯云引擎，鹰眼引擎等四核专业引擎查杀能力，病毒识别率提高30%，深度根除顽固病毒！全方位保障用户上网安全。
管家云引擎、管家自研引擎、金山云引擎、Avira引擎，以及管家系统修复引擎，完美解决杀毒修复问题！！
希望可以帮到您了
