反弹型木马原理
目前反弹型木马非常流行，这类木马与传统的远程控制软件相反，进行C/S（客户端/服务器）的反向连接。当木马服务端被种植到他人的机器中，服务端运行后，会动态分配一个端口，主动连接客户端（黑客）的80端口，如果你用“netstat -a”命令检查，将显示“TCP 本机IP:2513 远程IP：80 ESTABLISHED”类似的数据，好象是在浏览网页，因此防火墙也不会阻挡这种非法连接，给木马的防范带来了困难。
反弹型木马攻击篇
如今网上传播的反弹型木马以国产的最为常见，例如灰鸽子（牵手 2004）、黑洞2004、安哥等等。下面我们就以最新的木马──灰鸽子（牵手 2004）为例，介绍现在的木马都是如何生成、种植、使用、隐藏和防范的，其他的反弹型木马与之类似，我们就不展开介绍了。
软件小资料
运行灰鸽子，在主界面点击“配置服务程序”命令，弹出“服务端配置”画面，单击“连接类型”选项卡（如下图1），可以选择与木马服务端的连接方式。如果你想生成普通木马，可以选择“主动连接型”，这样木马运行后、就会打开别人机器上的TCP：2513端口监听，等待你的控制连接，这是传统的木马，很容易被人发现。如果你选择“自动上线型”，则生成反弹型木马，然后在“URL转向域名”、“DNS解析域名”、“网页文件”三项中任填一个，例如在“URL转向域名”栏中，填入你事先注册好的域名http://lacl.icpcn.com，这样木马服务端一上线就会连接这个地址，控制端于是便得知服务端已上线，自动与服务端连接。
图 1
接下来单击打开“安装信息”选项卡，在“安装路径”栏选择“
图 2
单击打开“启动项目”选项卡，设置木马服务端在他人的机器上如何自启动，建议全勾选（如下图3），这样在Win9x下会写入
图 3
单击打开“绑定文件”选项卡，勾选“每次启动自动加载”（如下图4），单击“文件路径”右边的小按钮，选择一幅图片（例如banner.jpg），然后按“增加”按钮，把木马服务端与该图片绑定，最后选择保存路径，按“生成服务器”，木马服务端安装文件就产生了。以后只要你单击这个安装文件，就会中了木马！表现为显示刚才绑定的图片，同时木马服务端将悄悄地安装在你的硬盘中。
图 4
二、把木马植入他人的电脑中
现在我们要把木马服务端投到别人的电脑中。种植木马的方法有很多，例如Email夹带，把服务端作为附件寄给对方；建一个网站，伪装成XXXX软件的破解版，引诱他人下载服务端文件；通过系统漏洞入侵他人电脑，把木马服务端传过去；把服务端伪装后放到自己的共享文件夹，欺骗网友用P2P软件下载并运行之。下面我们以Email夹带为例，介绍种植木马的方法。
首先启动Outlook等Email软件，撰写一封新邮件，将刚才生成的木马服务端安装文件压缩成一个文件，放到邮件的附件中，编写一个诱人的主题，例如“惊天消息：大兴安岭抓住外星人，请看现场照片……”，对方收到邮件后，如果好奇打开附件、单击该木马安装文件，就会显示绑定的图片，其他什么现象也没有，重新启动系统后，木马服务端就种植成功了。
三、远程控制对方
以上投毒成功后，控制对方的电脑就很容易了，只要使用客户端即可。由于是反弹型木马，所以服务端上线后会自动连接客户端，此时你可以启动灰鸽子，操控客户端对服务端进行远程控制。在软件主界面列表中（如下图5），随便选择一台已经上线的电脑，然后单击打开选项卡对这台电脑进行分类控制，选项卡有“文件管理器”、远程控制命令、注册表模拟器、远程监控、文件传输管理、命令广播。
图 5
文件管理器：在该选项卡中，你可以随意的下载对方机器中的文件，而且还支持断点传输。你可以象操作“Windwos资源管理器”那样，下载、新建、重命名、删除对方电脑中的文件，还可以把对方的文件上传到FTP服务器上保存。
远程控制命令：在这里，你可以查看对方的系统信息、剪切板中内容；查看、终止对方的进程，例如发现有杀毒软件或防火墙，即可终止对应的进程，以便保护服务器端；你可以启动、关闭对方的服务；查看对方共享的信息；关闭或恢复对方的程序窗口；远程运行DOS命令控制对方，卸载、重新加载服务端，远程关机或重启等。
远程监控：这里你可以启动语音监听、或发送，如果对方有麦克风，你就可以听到他们的谈话，而且你还可以向对方发送文字信息。
转截请注明:来自 广西安全网络 Http://www.gxfa.com