木马攻击实验
作者：互联网
实验目的
1、 理解掌握木马运行以及传播的原理。
2、 通过手动删除木马，掌握检查木马和删除木马的技巧。
3、 增强对木马的安全防范意识。
实验步骤一
（1）服务器端。打开C:\tool\“木马攻击实验”文件夹，在“冰河”文件存储目录下，双击G_SERVER。G_Server是木马的服务器端，即用来植入目标主机的程序。
此时，会弹出“Windows安全警报”窗口如图1，点击“解除阻止”，木马的服务器端便开始启动。
（2）客户端。打开C:\tool\“木马攻击实验”文件夹，在“冰河”文件存储目录下，双击G_CLIENT。G_Client是木马的客户端，即木马的控制端。
此时，会弹出“Windows安全警报窗口”如图2，点击“解除阻止”，则可打开控制端。
打开控制端G_CLIENT后，弹出“冰河”的主界面
（3）添加主机。
在PC1（服务器端），查询ip地址
“开始”---“运行”---输入“cmd”
在“cmd”模式下输入“ipconfig”
显示名称，填入显示在主界面的名称(PC1)，即PC1的ip地址
主机地址：填入服务器端主机的IP地址(192.168.59.136)
访问口令：填入每次访问主机的密码，“空”即可
监听端口：冰河默认的监听端口是7626
实验步骤二
（1）口令类命令：
点击“命令控制台”，然后点击“口令类命令”前面的“+”即可图界面出现如图8口令类命令。
各分支含义如下：
“系统信息及口令”：可以查看远程主机的系统信息，开机口令，缓存口令等。可看到非常详细的远程主机信息，这就无异于远程主机彻底暴露在攻击者面前
“历史口令”：可以查看远程主机以往使用的口令
“击键记录”：启动键盘记录后，可以记录远程主机用户击键记录，一次可以分析出远程主机的各种账号和口令或各种秘密信息
（2）控制类命令
点击“命令控制台”，点击“控制类命令”前面的“+”即可显示控制类命令。
“捕获屏幕”：这个功能可以使控制端使用者查看远程主机的屏幕，好像远程主机就在自己面前一样，这样更有利于窃取各种信息，单击“查看屏幕”按钮，然后就染成了远程主机的屏幕。可以看到，远程主机屏幕上的内容就显示在本机上了，显示内容不是动态的，而是每隔一段时间传来一幅。
“发送信息”：这个功能可以使你向远程计算机发生Windows标准的各种信息，在“信息正文”中可以填入要发给对方的信息，在图表类型中，可以选择“普通”，“警告”，“询问”，“错误”等类型。按钮类型可以选择“确定”“是”“否”等类型。
“进程管理”：这个功能可以使控制着查看远程主机上所有的进程
“窗口管理”：这个功能可以使远程主机上的窗口进行刷新，最大化，最小化，激活，隐藏等操作。
“系统管理”：这个功能可以使远程主机进行关机，重启，重新加载“冰河”自动卸载”冰河”的操作
“鼠标控制”：这个功能可以使远程主机上的鼠标锁定在某个范围内
“其他控制”：这个功能可以使远程主机进行自动拨号禁止，桌面隐藏，注册表锁定等操作
（3）网络类命令
点击“命令控制台”，点击“网络类命令”前面的“+”即可展开网络类命令
“创建共享”：在远程主机上创建自己的共享
“删除共享”：在远程主机上删除某个特定的共享
“网络信息”：查看远程主机上的共享信息
（4）文件类命令
点击“命令控制台”，点击“文件类命令”前面的“+”即可展开“文件类命令”
该类命令中，“文件浏览”、“文件查找”、“文件压缩”、“文件删除”、“文件打开”等菜单可以查看、查找、压缩、删除、打开远程主机上某个文件。
“目录增删”、“目录复制”、可以增加、删除、复制远程主机上的某个目录。
（5）注册表读写
点击“命令控制台”，点击“注册表读写”前面的“+”即可展开“注册表读写”命令
注册表读写提供了“键值读取”、“键值写入”、“键值重命名”、“主键浏览”、“主键增删”、“主键复制”的功能。
（6）设置类命令
点击“命令控制台”，点击“设置类命令”前面的“+”即可展开“设置类命令”
实验步骤三
（1）客户端的自动卸载功能
点击“控制类命令”前面的“+”，点击“系统控制”可看到“自动卸载冰河”按钮并点击，在弹出的窗口里面点击“是”，则可以卸载远程主机上的木马自动卸载冰河木马
（2）手动卸载
在实际情况中木马客户端不可能为木马服务器端自动卸载木马，我们在发现计算机有异常情况时（如经常自动重启，密码信息泄露时），就应该怀疑是否已经中了木马，这时我们应该查看注册表，此处操作在PC1中进行，在“开始”→“运行”里面输入“regedit”
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
在目录中发现了一个默认的键值C:\WINNT\System32\kernel32.exe，这就是“冰河”密码在注册表中加入的键值，选中它，右键，点击删除
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Runservices
在目录中也发现了一个默认的键值C:\WINNT\System32\kernel32.exe，这也是“冰河”木马在注册表中加入的键值，将它删除
HKEY_CLASSES_ROOT\txtfile\Shell\open\command下的默认值，选中“（默认）”，单击鼠标右键，选择修改编辑字符串。
C:\Windows\System32\Sysexplr.exe%1改为正常情况下的C:\Windows\notepad.exe%1即可，修改编辑字符串，最后重新启动计算机，冰河木马就彻底删除了。
分析与思考
1、 如何发现木马威胁？
2、 画出木马工作流程图，加深对木马原理理解。
1.先升级杀毒软件到最新，对系统进行全面的检查扫描
2.
答题
标签：冰河,攻击,主机,命令,点击,实验,木马,远程 来源： https://www.cnblogs.com/influence/p/15430559.html