中财网七七黄巾之乱反作弊:教你几招 识别隐藏系统服务中的“间谍”
来源：百度文库 编辑：中财网 时间：2024/04/28 20:48:33
2011-11-25 16:51
当黑客入侵一台主机后，为了不让这台肉鸡飞掉，经常会采用的手段是在肉鸡上种下木马，而木马一般都会在启动项或者注册表中动手脚，以跟随系统一同启动，但这样做却很容易暴露自己。因此，黑客就想出了更为阴险的办法，那就是将一个正常的系统服务替换为木马服务，由于新手一般不会深入地对系统服务进行检查，这就可能导致主机被长期控制。本文我们将深入了解这种技术，教会大家找出隐藏在其中的木马服务。
编辑提示：木马为何看中系统服务?
在Windows 2000/XP/2003系统中，服务是指执行指定系统功能的程序、例程或进程，以便支持其他程序，尤其是低层(接近硬件)程序。通过网络提供服务时，服务可以在Active Directory(活动目录)中发布，从而促进了以服务为中心的管理和使用。
因此木马如果用服务来启动，不仅会很隐蔽，而且更为稳定和安全。虽然有些木马默认就以服务的方式启动，但是多一项服务会增加暴露的概率，因此替换系统本身就有的服务就成了木马隐蔽的最好的选择。
说到替换服务，就不得不提到SC这款工具，这是一款著名的服务管理工具，几乎可以完成对服务的所有操作，正因为其功能的强大，因此也成为了黑客的最爱。用它来替换系统的服务简直就是小菜一碟。
寻找目标服务
替换服务首先就是要找到一个目标服务，这个服务一定要是用户不太会用到的服务，这样在替换服务后才不至于导致系统出现问题。类似的服务有：ClipBook，剪切板查看器，相信很少有人会用到;Event Log，日志记录服务，同样也很少有人会去查看系统的日志，除此之外还有很多服务都是我们所不需要的，这些就黑客替换服务的目标。
▲被绝大多数人忽略的系统服务
设置服务的启动方式
找到目标服务后，就可以动手了。以ClipBook服务为例，在“命令提示符”中运行SC，输入命令“SC qc ClipSrv”，其中“ClipSrv”是服务名，回车后即可查看该服务的信息，在“START_TYPE”一栏中的参数为“DEMAND_START”，即表示服务的启动方式为“手动”，如果要让木马随系统启动，这里当然不能是手动，因此我们来把它改为自动，输入命令“sc config clipsrv start= auto”，回车后服务就被设为自动启动。
替换可执行文件路径
从sc的qc命令中我们可以得知ClipBook服务的可执行文件路径为C:windowssystem32clipsrv.exe，我们将木马文件放置于c:windowssystem32目录，这样做的目的是为了增加木马文件的隐蔽性。返回“命令提示符中”输入命令“sc config clipsrv binpath= "c:winntsystem32muma.exe”回车后，ClipBook服务的可执行文件就被我们换成了muma.exe，我们可以再次使用qc命令进行确认。至此，系统服务的替换就完成了。
▲替换可执行文件路径
揪出被替换的系统服务
如果你对服务不是很了解，并不代表就对黑客所替换的系统服务无能为力，借助一些安全工具，我们还是可以将被替换的服务找出来的。查找被替换的服务我们可以借助“超级巡警”这款安全工具，安装后运行其主文件，然后点击工具栏上的高级按钮，接着切换到“服务管理”标签，如果系统中有服务被替换，在这里会以黄色的条目标出，哪些服务有问题一眼便知。找出被替换的服务后，右键点击，选择“编辑服务”，将可执行文件的路径改回来即可，最后别忘了将藏在系统中的木马程序删除。
▲用安全软件查找被替换的服务
了解更多的进展，请随时关注u1ooo空间。
分 类 观 看
【杀毒防黑】【 Q Q 大全】
【原创文章】【最新文章】
生活/百科
【免费破解】【 笔 记 本】 心情/美文烧烤/火锅时尚/美容
【电脑技巧】【图像 设计】真情/故事烹饪/技巧妈咪/宝贝
【黑客技巧】【电脑 医院】 情感/哲理饮品/甜品幽默/笑话
【硬件知识】【 局 域 网】杂症/偏方小吃/零食垂钓技巧
【电脑学堂】【网络 网速】风湿/骨科煲汤/炖菜生活杂坛
【Windows7】【内存 U 盘】健康/知识家常菜谱男性/课堂
【Windows8】【摄影技巧】两性/健康饮食/食疗女性/课堂
【手机数码】【娱乐 八卦】常见/疾病【汽车驾驶】人生/感悟
',1)">
当黑客入侵一台主机后，为了不让这台肉鸡飞掉，经常会采用的手段是在肉鸡上种下木马，而木马一般都会在启动项或者注册表中动手脚，以跟随系统一同启动，但这样做却很容易暴露自己。因此，黑客就想出了更为阴险的办法，那就是将一个正常的系统服务替换为木马服务，由于新手一般不会深入地对系统服务进行检查，这就可能导致主机被长期控制。本文我们将深入了解这种技术，教会大家找出隐藏在其中的木马服务。
编辑提示：木马为何看中系统服务?
在Windows 2000/XP/2003系统中，服务是指执行指定系统功能的程序、例程或进程，以便支持其他程序，尤其是低层(接近硬件)程序。通过网络提供服务时，服务可以在Active Directory(活动目录)中发布，从而促进了以服务为中心的管理和使用。
因此木马如果用服务来启动，不仅会很隐蔽，而且更为稳定和安全。虽然有些木马默认就以服务的方式启动，但是多一项服务会增加暴露的概率，因此替换系统本身就有的服务就成了木马隐蔽的最好的选择。
说到替换服务，就不得不提到SC这款工具，这是一款著名的服务管理工具，几乎可以完成对服务的所有操作，正因为其功能的强大，因此也成为了黑客的最爱。用它来替换系统的服务简直就是小菜一碟。
寻找目标服务
替换服务首先就是要找到一个目标服务，这个服务一定要是用户不太会用到的服务，这样在替换服务后才不至于导致系统出现问题。类似的服务有：ClipBook，剪切板查看器，相信很少有人会用到;Event Log，日志记录服务，同样也很少有人会去查看系统的日志，除此之外还有很多服务都是我们所不需要的，这些就黑客替换服务的目标。
▲被绝大多数人忽略的系统服务
设置服务的启动方式
找到目标服务后，就可以动手了。以ClipBook服务为例，在“命令提示符”中运行SC，输入命令“SC qc ClipSrv”，其中“ClipSrv”是服务名，回车后即可查看该服务的信息，在“START_TYPE”一栏中的参数为“DEMAND_START”，即表示服务的启动方式为“手动”，如果要让木马随系统启动，这里当然不能是手动，因此我们来把它改为自动，输入命令“sc config clipsrv start= auto”，回车后服务就被设为自动启动。
替换可执行文件路径
从sc的qc命令中我们可以得知ClipBook服务的可执行文件路径为C:windowssystem32clipsrv.exe，我们将木马文件放置于c:windowssystem32目录，这样做的目的是为了增加木马文件的隐蔽性。返回“命令提示符中”输入命令“sc config clipsrv binpath= "c:winntsystem32muma.exe”回车后，ClipBook服务的可执行文件就被我们换成了muma.exe，我们可以再次使用qc命令进行确认。至此，系统服务的替换就完成了。
▲替换可执行文件路径
揪出被替换的系统服务
如果你对服务不是很了解，并不代表就对黑客所替换的系统服务无能为力，借助一些安全工具，我们还是可以将被替换的服务找出来的。查找被替换的服务我们可以借助“超级巡警”这款安全工具，安装后运行其主文件，然后点击工具栏上的高级按钮，接着切换到“服务管理”标签，如果系统中有服务被替换，在这里会以黄色的条目标出，哪些服务有问题一眼便知。找出被替换的服务后，右键点击，选择“编辑服务”，将可执行文件的路径改回来即可，最后别忘了将藏在系统中的木马程序删除。
▲用安全软件查找被替换的服务
了解更多的进展，请随时关注u1ooo空间。
分 类 观 看
【杀毒防黑】【 Q Q 大全】
【免费破解】【 笔 记 本】
【电脑技巧】【图像 设计】
【黑客技巧】【电脑 医院】
【硬件知识】【 局 域 网】杂症/偏方小吃/零食垂钓技巧
【电脑学堂】【网络 网速】风湿/骨科煲汤/炖菜生活杂坛
【Windows7】【内存 U 盘】健康/知识家常菜谱男性/课堂
【Windows8】【摄影技巧】两性/健康饮食/食疗女性/课堂
【手机数码】【娱乐 八卦】常见/疾病【汽车驾驶】人生/感悟
',1)">
如何识别系统服务中的木马
xp中的识别系统
什么是企业环境识别系统和服务识别系统
爱谈恋爱的进来教你几招
如何删除系统中的服务？
教我几招
请问哪些系统服务控制着U盘的识别？
教你一招
如何停止隐藏的系统服务。哪里可以看见它们
为什么系统的驱动服务是隐藏的
怎么找出系统中的隐藏文件?
如何删除XP系统中的某个服务
怎么还原系统中的所有服务
教你几招如何看透一个人 里面的道理请帮忙解释一下？
我喜欢可爱型的，你能教我几招幽默的方法吗？
甜蜜间谍中的混血帅哥
我教你一招
海啸系统间谍破解版
幽游白书隐藏招
教你任务栏隐藏QQ
如何识别C盘中的非系统文件
教我几招环保建议?
谁教我几招武术啊
教我几招魔术吧!!!