信息系统安全-计算机病毒分析实验-L02023年013-windows下手工木马检测资料

课程编写类别 内容试验课题L002003013-windows名称1、检查网络连接状况试验目的2、查看目前运行的效劳与要求 3、检查系统启动项4、检查系统帐户VPC1(虚 统类型：windows，网络接口：eth0拟实PC〕验VPC1环连接PC 网络接口，与试验室网络相连境要求试验 1、学生气与试验室网络直连;环境 2、VPC1与试验室网络直连;描述 3、学生气与VPC1物理链路连通“木马”与计算机网络中常常要用到的远程掌握软件有些相像，但由于远程是“善意”的掌握，因此通常不具有隐蔽性；“木马”则完全相反，木马要到达的是“偷窃”性的远程掌握，假设没有很强的隐蔽性的话，那就是“毫无价值”的。它是指通过一段特定的程序〔木马程序〕来掌握另一台计算机。木马通常有两个可执行程序：一个是客户端，即掌握端；另一个是效劳端，即被控器”进入运行了“效劳器”的电脑。运行了木马程序的“效劳器”以后，被种者的电脑就会有一个或几个端口被翻开，使黑客可以利用这些翻开的端预备学问

口进入电脑系统，安全和个人隐私也就全无保障了！ 设计者为了防止木马被觉察，而承受多种手段隐蔽木马。木马的效劳一旦运行并被掌握端连、移动、复制、删除文件，修改注册表，更改计算机配置等。随着病毒编写技术的进展，木马程序对用户的威逼越来越大，尤其是一。那么，我们在不依靠杀毒软件的时候，作为一名信息安全员，我们该不少收获。1、检查网络连接状况试验内容2、查看目前运行的效劳3、检查系统启动项4、检查系统帐户4、检查系统帐户学生登录试验场景的操作1、学生单击“网络拓扑”进入试验场景，单击windows2003中的“翻开掌握台”按钮，进入目标主机。试验步骤1234563. 检查网络连接状况由于不少木马会主动侦听端口，或者会连接特定的IP具体的步骤是点击“开头”->“运行”->“cmd”，netstat-an命令能看到全部和自己电脑建立连接的IP以及自己电脑侦听的端口，它包含四个局部--proto(连接方式)、localaddress(本地连接地址)、foreignaddress(和本地建立连接的地址)、state(当前端口状态)。通过这个命令的具体信息，我们就可以完全监控电脑的网络连接状况。4. 查看目前运行的效劳4. 查看目前运行的效劳效劳是很多木马用来保持自己在系统中永久能处于运行状态的方法之一。netstart”来查看系统中到底有什么效劳在开启，假设觉察了不是自己开放的效劳，我们可以进入“效劳”治理工具中的“效劳”，找到相应的效劳，停顿并禁用它。5. 检查系统启动项5. 检查系统启动项由于注册表对于一般用户来说比较简单，木马常常宠爱隐蔽在这里。检查注册表启动项的方法如下:点击“开头”->“运行”->“regedit”，然后检查HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion下全部以“run”开头的键值;检查检查下全部以“run”开头的键值;HKEY-USERS/.Default/Software/Microsoft/Windows/CurrentVersion以“run”开头的键值。也是木马宠爱隐蔽的地方翻开这个文件看看，翻开C盘下的windows 名目，找到System.ini文件。如有这样的内容，那这里的file.exe就是木马程序了!检查系统帐户承受的方法就是激活一个系统中的默认账户，但这个账户却很少用的，然后把这个账户的权限提升为治理员权限，这个帐户将是系统中最大的安全隐患。恶意的攻击者可以通过这个账户任意地掌握你的计算机。针对这种状况，可以用以下方法对账户进展检测。点击“开头”->“运行”->“cmd”，然后在命令行下输入netuser，查netuser用户名”查看这个用户是属于什么权限的，一般除了Administratoradministratorsadministratorsadministrators组的，那几乎可以确定你被入侵了。快使用“netuser/del”来删掉这个用户吧!假设检查出有木马的存在，可以按以后步骤进展杀木马的工作。1、运行任务治理器，杀掉木马进程。2RUN、RUNSERVEICE址，再将可疑的删除。3、删除上述可疑键在硬盘中的执行文件。4、一般这种文件都在WINNT，SYSTEM，SYSTEM32C、D、E有可疑的.exe，.bat、检查注册表HKEY_LOCAL_MACHINE和HKEY_CURRENT_USER\SOFTWARE\Microsoft\InternetExplorer\Main中的几项Local)，假设被修改了，改回来就可以。、检查 HKEY_CLASSES_ROOT\txtfile\shell\open\command HKEY_CLASSES_ROOT\xtfile\sh