冰河木马（冰河木马的作者是谁）
如果有更好的建议或者想看更多关于综合百科技术大全及相关资讯，可以多多关注茶馆百科网。
#本文目录一览
1、冰河木马如何清除2、冰河病毒是什么？3、冰河木马的冰河木马原理4、Win10中了冰河木马怎么处理冰河可以说是最有名的木马了。标准版冰河的服务器端程序为G-server.exe，客户端程序为G-client.exe，默认连接端口为7626.一旦运行G-server，那么该程序就会在C：\\Windows\\system目录下生成Kernel32.exe和sysexplr.exe，并删除自身。Kernel32.exe在系统启动时自动加载运行，sysexplr.exe和TXT文件关联。即使你删除了Kernel32.exe，但只要你打开TXT文件，sysexplr.exe就会被激活，它将再次生成Kernel32.exe，于是冰河又回来了！这就是冰河屡删不止的原因。要清除冰河，首先要删除C：\\Windows\\system下的Kernel32.exe和Sysexplr.exe文件；冰河会在注册表的HKEY_LOCAL_MACHINE\\software\\microsoft\\Windows\\CurrentVersion\\Run分支下扎根，键值为C：\\Windows\\system\\Kernel32.exe，删除它。在注册表的HKEY_LOCAL_MACHINE\\software\\microsoft\\Windows\\CurrentVersion\\Runservices分支下，还有键值为C：\\Windows\\system\\Kernel32.exe的，也要删除。最后，恢复注册表中的TXT文件关联功能，只要将注册表的HKEY_CLASSES_ROOT\\txtfile\\shell\\open\\command下的默认值，由中木马后的C：\\Windows\\system\\Sysexplr.exe%1改为正常情况下的C：\\Windows\\notepad.exe%1即可。
冰河木马开发于1999年，跟灰鸽子类似，在设计之初，开发者的本意是编写一个功能强大的***控制软件。
但一经推出，就依靠其强大的功能成为了***们发动入侵的工具，并结束了国外木马一统天下的局面，跟后来的灰鸽子等等成为国产木马的标志和代名词。HK联盟Mask曾利用它入侵过数千台电脑，其中包括国外电脑。
特征：自动跟踪目标机屏幕变化，同时可以完全模拟键盘及鼠标输入,即在同步被控端屏幕变化的同时，监控端的一切键盘及鼠标操作将反映在被控端屏幕（局域网适用）；记录各种口令信息：包括开机口令、屏保口令、各种共享资源口令及绝大多数在对话框中出现过的口令信息。
清除***：删除C:\Windows\system下的Kernel32.exe和Sysexplr.exe文件。
扩展资料
冰河病毒原理：
***客户/服务模式的原理是一台主机提供服务(服务器)，另一台主机接受服务(客户机)。作为服务器的主机一般会打开一个默认的端口并进行监听(Listen)，如果有客户机向服务器的这一端口提出连接请求(ConnectRequest)，服务器上的相应程序就会自动运行，来应答客户机的请求，
这个程序我们称为守护进程(UNIX的术语，不过已经被移植到了MS系统上)。对于冰河，被控制端就成为一台服务器，控制端则是一台客户机，G_server.exe是守护进程，G_client是客户端应用程序。(这一点经常有人混淆，而且往往会给自己种了木马!）
木马冰河是用C++Builder写的，为了便于大家理解，我将用相对比较简单的VB来说明它，其中涉及到一些WinSock编程和WindowsAPI的知识，如果你不是很了解的话，请去查阅相关的资料。在VB中,可以使用Winsock控件来编写***客户/服务程序,实现***如下(其中,G_Server和G_Client均为Winsock控件):
服务端:
G_Server.LocalPort=7626(冰河的默认端口,可以改为别的值)
G_Server.Listen(等待连接)
客户端:
G_Client.RemoteHost=ServerIP(设远端地址为服务器地址)
G_Client.RemotePort=7626(设***端口为冰河的默认端口,呵呵,知道吗?这是冰河的生日哦)
(在这里可以分配一个本地端口给G_Client,如果不分配,计算机将会自动分配一个,建议让计算机自动分配)
G_Client.Connect(调用Winsock控件的连接***)
一旦服务端接到客户端的连接请求ConnectionRequest,就接受连接
PrivateSubG_Server_ConnectionRequest(ByValrequestIDAsLong)
G_Server.AcceptrequestID
EndSub
客户机端用G_Client.SendData发送命令,而服务器在G_Server_DateArrive事件中接受并执行命令(几乎所有的木马功能都在这个事件处理程序中实现)
如果客户断开连接,则关闭连接并重新监听端口
PrivateSubG_Server_Close()
G_Server.Close(关闭连接)
G_Server.Listen(再次监听)
EndSub
其他的部分可以用命令传递来进行，客户端上传一个命令，服务端解释并执行命令......由于Win98***了所有的权限给用户，因此，以用户权限运行的木马程序几乎可以控制一切，让我们来看看冰河究竟能做些什么(看了后,你会认同我的观点:称冰河为木马是不恰当的,冰河实现的功能之多,足以成为一个成功的***控制软件)
因为冰河实现的功能实在太多,我不可能在这里一一详细地说明,所以下面仅对冰河的主要功能进行简单的概述,主要是使用WindowsAPI函数,如果你想知道这些函数的具体定义和参数,请查询WinAPI手册。(控制对方鼠标、键盘，并监视对方屏幕)
keybd_event模拟一个键盘动作(这个函数支持屏幕截图哦)。
mouse_event模拟一次鼠标事件(这个函数的参数太复杂,我要全写在这里会被编辑骂死的,只能写一点主要的,其他的自己查WinAPI吧)
mouse_event(dwFlags,dx,dy,cButtons,dwExtraInfo)
dwFlags:
MOUSEEVENTF_ABSOLUTE指定鼠标坐标系统中的一个绝对位置。
MOUSEEVENTF_MOVE移动鼠标
MOUSEEVENTF_LEFTDOWN模拟鼠标左键按下
MOUSEEVENTF_LEFTUP模拟鼠标左键抬起
MOUSEEVENTF_RIGHTDOWN模拟鼠标右键按下
MOUSEEVENTF_RIGHTUP模拟鼠标右键按下
MOUSEEVENTF_MIDDLEDOWN模拟鼠标中键按下
MOUSEEVENTF_MIDDLEUP模拟鼠标中键按下
dx,dy:MOUSEEVENTF_ABSOLUTE中的鼠标坐标a.取得计算机名GetComputerName
b.更改计算机名SetComputerName
c.当前用户GetUserName函数
d.系统路径
SetFileSystem0bject=CreateObject(Scripting.FileSystemObject)(建立文件系统对象)
SetSystemDir=FileSystem0bject.getspecialfolder(1)
(取系统目录)
SetSystemDir=FileSystem0bject.getspecialfolder(0)
(取Windows安装目录)
(友情提醒:FileSystemObject是一个很有用的对象,你可以用它来完成很多有用的文件操作)
e.取得系统版本GetVersionEx(还有一个GetVersion,不过在32位windows下可能会有问题,所以建议用GetVersionEx
f.当前显示分辨率
Width=screen.Width\screen.TwipsPerPixelX
Height=screen.Height\screen.TwipsPerPixelY
其实如果不用WindowsAPI我们也能很容易的取到系统的各类信息,那就是Windows的垃圾站-注册表
比如计算机名和计算机标识吧:HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\VxD\VNETSUP中的Comment,ComputerName和WorkGroup
注册公司和用户名:HKEY_USERS\.DEFAULT\Software\Microsoft\MSSetup(ACME)\UserInfo至于如何取得注册表键值请看第6部分。a.***关机或重启计算机,使用WinAPI中的如下函数可以实现:
ExitWindowsEx(ByValuFlags,0)
当uFlags=0EWX_LOGOFF中止进程，然后注销
当uFlags=1EWX_SHUTDOWN关掉系统电源
当uFlags=2EWX_REBOOT重新引导系统
当uFlags=4EWX_FORCE强迫中止没有响应的进程
b.锁定鼠标
ClipCursor(lpRectAsRECT)可以将指针限制到指定区域,或者用ShowCursor(FALSE)把鼠标隐藏起来也可以
注:RECT是一个矩形,定义如下:
TypeRECT
LeftAsLong
TopAsLong
RightAsLong
BottomAsLong
EndType
c.锁定系统这个有太多的办法了,嘿嘿,想Windows不死机都困难呀,比如,搞个死循环吧,当然,要想系统彻底崩溃还需要一点技巧,比如设备漏洞或者耗尽资源什么的......
d.让对方掉线RasHangUp......
e.终止进程ExitProcess......
f.关闭窗口利用FindWindow函数找到窗口并利用SendMessage函数关闭窗口在VB中只要SetRegEdit=CreateObject（WScript.Shell)
就可以使用以下的注册表功能:
删除键值:RegEdit.RegDeleteRegKey
增加键值:RegEdit.WriteRegKey,RegValue
获取键值:RegEdit.RegRead(Value)
记住,注册表的键值要写全路径,否则会出错的。
7.发送信息
很简单,只是一个弹出式消息框而已,VB中用MsgBox()就可以实现,其他程序也不太难的。
8.点对点通讯
呵呵,这个嘛随便去看看什么聊天软件就行了(因为比较简单但是比较烦,所以我就不写了,呵呵。又:我始终没有搞懂冰河为什么要在木马里搞这个东东，困惑......)
9.换墙纸
CallSystemParametersInfo(20,0,BMP路径名称,H1)
值得注意的是,如果使用了ActiveDesktop,换墙纸有可能会失败，遇到这种问题，请不要找冰河和我，去找Bill吧。（Windows系统，一个捉迷藏的大森林）
木马并不是合法的***服务程序，因此，它必须想尽一切办法隐藏自己，好在Windows是一个捉迷藏的大森林!这是最基本的了,如果连这个都做不到......（想象一下，如果Windows的任务栏里出现一个国际象棋中木马的图标...这也太嚣张了吧……)
在VB中，只要把form的Visible属性设为False,ShowInTaskBar设为False,程序就不会出现在任务栏中了。
在任务管理器中隐形：
在任务管理器中隐形,就是按下Ctrl+Alt+Del时看不见那个名字叫做“木马”的进程，这个有点难度，不过还是难不倒我们，将程序设为“系统服务”可以很轻松的伪装成比尔盖茨的嫡系部队(Windows,我们和你是一家的,不要告诉别人我藏在哪儿...)。
在VB中如下的代码可以实现这一功能：
PublicDeclareFunctionRegisterServiceProcessLibkernel32(ByValProcessIDAsLong,ByValServiceFlagsAsLong)AsLong
PublicDeclareFunctionGetCurrentProcessIdLibkernel32()AsLong
(以上为声明)
PrivateSubForm_Load()
RegisterServiceProcessGetCurrentProcessId,1(注册系统服务)
EndSub
PrivateSubForm_Unload()
RegisterServiceProcessGetCurrentProcessId,0(取消系统服务)
EndSub
Win10中了冰河木马的解决***。
***如下：
***一：
如果安装了“冰河”服务端的朋友就很简单了。首先在自动扫描中输入自己的IP，看一下扫描结果是否为“OK”，并且左边的“文件管理器”中会出现自己的IP吗?如果有，在“命令控制台”中的“控制类命令”中的“系统控制”中点击“自动卸载冰河”就可以了。
***二：
如果没有“冰河”这个软件朋友也不用着急，请用下面的.***查找并解除木马。
运行REGEDIT命令打开注册表编辑器，在KEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun 查看键值中没有自己不熟悉的自动启动文件，扩展名为EXE。(一般“冰河”的默认文件名为KERNEL32.EXE，注意此文件的名字可能会被种马的人改变)。
如果有，那我们现在开始进行修改，先删除该键值中这一项，再删除RUNDRIVES这个键值。 一般“冰河”用户端程序的自我保护设为：关联TXT文件或EXE文件，关联的文件为：SYSEXPLR.EXE。
A、在“查看”菜单中选择“文件夹选项”弹出文件夹选项对话框，选择“文件类型”在“已注册文件类型”框中找到“TXT FILE”这一项，看一下“打开方式”有无变化(一般为：NOTEPAD)，如果关联对象不是NOTEPAD，选择“编辑”按钮，在“操作”框中删除“OPEN”这一项，那关联 TXT文件的用户程序就失效了。
B、如果是关联的EXE文件，那打开注册表编辑器，在HKEY_CLASSES_ROOT.exe中把 “默认”的键值随便改成什么(注意看清楚，等会儿要改回来)。
以上这两步做完后，退出WINDOWS，在DOS状态下删除该“冰河”用户端程序，重新启动即可。
注意：要把EXE文件的注册表改回来。好了，再搜索用木马程序看有没有。
冰河木马的介绍就聊到这里吧，感谢你花时间阅读本站内容，更多关于冰河木马的作者是谁、冰河木马的信息别忘了在本站进行查找哦。
本文主要介绍了关于冰河木马（冰河木马的作者是谁）的相关养殖或种植技术，综合百科栏目还介绍了该行业生产经营方式及经营管理，关注综合百科发展动向，注重系统性、科学性、实用性和先进性，内容全面新颖、重点突出、通俗易懂，全面给您讲解综合百科技术怎么管理的要点，是您综合百科致富的点金石。
以上文章来自互联网，不代表本人立场，如需删除，请注明该网址：http://23.234.50.4:8411/article/239155.html