電腦病毒灰鴿子原理及檢測
電腦病毒灰鴿子原理及檢測
你知道一個病毒是怎么來的嗎!它的構造等等!我們一起去了解吧!下面由學習啦小編對灰鴿子的原理和檢測做出詳細的分析!希望對你有幫助!
軟件原理編輯
此類軟件被統稱為遠程控制類軟件(或黑客軟件、木馬軟件)，它們均為 C/S 結構(Client/Server，客戶機/服務器)。軟件分為客戶端與服務端兩部分，客戶端即為控制端(由控制者使用)，服務端為被控制端(由被控制者使用)，依據服務端運行時是否會顯示明顯的運行標志(即對方是否知道它運行有服務端)，可分為正邪兩派，邪派就是傳說中的黑客軟件、特洛伊木馬程序，是各大殺毒軟件的首要目標。同類軟件原理服務端運行后，會在本機打開一個網絡端口監聽客戶端的連接(時刻等待著客戶端的連接)，連接建立后，客戶端可用這個通道向服務端發送命令并接收返回數據，即可實現遠程訪問。
相關原理
a.“反彈端口原理”簡介
如果對方裝有防火墻，客戶端發往服務端的連接首先會被服務端主機上的防火墻攔截，使服務端程序不能收到連接，軟件不能正常工作。同樣，局域網內通過代理上網的電腦，因為是多臺共用代理服務器的IP地址，而本機沒有獨立的互聯網的IP地址(只有局域網的IP地址)，所以也不能正常使用。就是說傳統型的同類軟件不能訪問裝有防火墻和在局域網內部的服務端主機。但往往是道高一尺、魔高一丈，不知哪位高人分析了防火墻的特性后發現：防火墻對于連入的連接往往會進行非常嚴格的過濾，但是對于連出的連接卻疏于防范。于是，與一般的軟件相反，反彈端口型軟件的服務端(被控制端)主動連接客戶端(控制端)，為了隱蔽起見，客戶端的監聽端口一般開在80(提供HTTP服務的端口)，這樣，即使用戶使用端口掃描軟件檢查自己的端口，發現的也是類似 TCP UserIP:1026 ControllerIP:80 ESTABLISHED 的情況，稍微疏忽一點你就會以為是自己在瀏覽網頁(防火墻也會這么認為的)。看到這里，也許有人會問：既然不能直接與服務端通信，那如何告訴服務端何時開始連接自己呢?答案是：通過主頁空間上的文件實現的，當客戶端想與服務端建立連接時，它首先登錄到FTP服務器，寫主頁空間上面的一個文件，并打開端口監聽，等待服務端的連接，服務端定期用HTTP協議讀取這個文件的內容，當發現是客戶端讓自己開始連接時，就主動連接，如此就可完成連接工作。本軟件用的就是這種“反彈端口”原理，可以穿過防火墻，甚至還能訪問局域網內部的電腦。據作者所知，在同類軟件中，本軟件是唯一使用這種方法的，祝賀你!你幸運的選擇了它。
b.“HTTP隧道技術”簡介
簡單的來說，就是把所有要傳送的數據全部封裝到 HTTP 協議里進行傳送，就可以通過 HTTP、SOCKS4/5 代理，而且也不會有什么防火墻會攔截。我們都知道其它木馬只能訪問撥號上網的服務端，而因為網絡神偷使用了“反彈端口原理”所以它不僅能訪問撥號上網的服務端，更可以訪問局域網里通過 NAT 代理(透明代理)上網的服務端。而使用“HTTP隧道技術”以后，它甚至可以訪問到局域網里通過 HTTP、SOCKS4/5 代理上網的服務端。這樣，網絡神偷就幾乎支持了所有的上網方式，也就是說“只要能瀏覽網頁的電腦，網絡神偷都能訪問!”。網絡神偷服務端支持以下上網方式：撥號上網、ISDN 、ADSL 、DDN 、Cable Modem 、NAT透明代理、HTTP的GET型代理、HTTP的CONNECT型代理、SOCKS4 代理、SOCKS4A 代理、SOCKS5 代理 ，上述上網方式下，均可正常工作。
上線通知原理：互聯網如此之大，覆蓋全球，我們如何標識并找到上面的任何一臺電腦呢?答案是：IP地址，每臺連網電腦都會被分配一個IP地址，這個IP地址是全球唯一的，就象你家的門牌號碼，別人可以根據這個找到你。同樣，IP地址分配是有規律的，可以根據IP地址分配表查出相應的地理位置(本軟件內置IP地址分配表)。現在大多數互聯網用戶是撥號上網的，撥號上網的IP地址是由ISP(互聯網接入服務提供商，例如163、169)動態分配的。兩臺電腦想要連接就必須要知道對方的IP地址，就象想去你家串門就必須知道你的住址。因此，服務端如何把自己的IP地址告訴客戶端就成了一個大問題，也就是服務端上線通知。
灰鴿子現在最常用的方法是Email通知，即服務端上網后，發送自己的IP地址到事先指定的郵箱，客戶端使用者只要去收信就行了。這種方面雖然最常用，但有很大不足，首先Email的實時性得不到保證，時慢時快，這與發信服務器的線路質量有很大關系。其次，現在越來越多的發信服務器設了“發信認證”功能，發信也要郵箱的密碼(原來只有收信才要)，這就給服務端發信增加了困難，服務端不帶密碼無法發送，帶密碼則有可能被別人破出來。
手工檢測編輯
由于灰鴿子攔截了API調用，在正常模式下服務端程序文件和它注冊的服務項均被隱藏，也就是說你即使設置了“顯示所有隱藏文件”也看不到它們。此外，灰鴿子服務端的文件名也是可以自定義的，這都給手工檢測帶來了一定的困難。
但是，通過仔細觀察我們發現，對于灰鴿子的檢測仍然是有規律可循的。從上面的運行原理分析可以看出，無論自定義的服務器端文件名是什么，一般都會在操作系統的安裝目錄下生成一個以“_hook.dll”結尾的文件。通過這一點，我們可以較為準確手工檢測出灰鴿子 服務端。
體積僅70kb隱蔽性更強
由于正常模式下灰鴿子會隱藏自身，因此檢測灰鴿子的操作一定要在安全模式下進行。進入安全模式的方法是：啟動計算機，在系統進入Windows啟動畫面前，按下F8鍵(或者在啟動計算機時按住Ctrl鍵不放)，在出現的啟動選項菜單中，選擇“Safe Mode”或“安全模式”。
1.由于灰鴿子的文件本身具有隱藏屬性，因此要設置Windows顯示所有文件。打開“我的電腦”，選擇菜單“工具”—》“文件夾選項”，點擊“查看”，取消“隱藏受保護的操作系統文件”前的對勾，并在“隱藏文件和文件夾”項中選擇“ 顯示所有文件和文件夾”，然后點擊“確定”。
2.打開Windows的“搜索文件”，文件名稱輸入“*_hook.dll”，搜索位置選擇Windows的安裝目錄(默認98/xp為C:\windows，2k/NT為C:\Winnt)。
3.經過搜索，我們在Windows目錄(不包含子目錄)下發現了一個名為Game_Hook.dll的文件。
4.根據灰鴿子原理分析我們知道，如果Game_Hook.DLL是灰鴿子的文件，則在操作系統安裝目錄下還會有Game.exe和Game.dll文件。打開Windows目錄，果然有這兩個文件，同時還有一個用于記錄鍵盤操作的GameKey.dll文件。
經過這幾步操作我們基本就可以確定這些文件是灰鴿子服務端了，下面就可以進行手動清除。
看了此文電腦病毒灰鴿子原理及檢測的人還看了：