解析木马攻击与防御发展简史

　　计算机世界中的特洛伊木马的名字来自著名的特洛伊战记。故事说的是在古希腊时代，希腊人和特洛伊人发生了战争，在围困特洛伊城长达整整十年后仍不能攻陷。后来希腊人把一批勇士藏匿于巨大无比的木马后退兵，当特洛伊人将木马作为战利品拖入城内时，高大的木马正好卡在城门间，进退两难，夜晚木马内的勇士们爬出来，与城外的部队里应外合而攻下了特洛伊城。而计算机世界的特洛伊木马(Trojan)是指隐藏在正常程序中的一段具有特殊功能的恶意代码，是具备破坏和删除文件、发送密码、记录键盘和拒绝服务攻击等特殊功能的后门程序。

　　世界上第一个计算机木马是出现在1986年的PC-Write木马。它伪装成共享软件PC-Write的2.72版本(事实上， 编写PC-Write的Quicksoft公司从未发行过2.72版本)，一旦用户信以为真运行该木马程序，那么他的下场就是硬盘被格式化。此时的第一代木马还不具备传染特征。

　　1989年出现了AIDS木马。由于当 时很少有人使用电子邮件，所以AIDS的作者就利用现实生活中的邮件进行散播：给其他人寄去一封封含有木马程序软盘的邮件。之所以叫这个名称是因为软盘中 包含有AIDS和HIV疾病的药品，价格，预防措施等相关信息。软盘中的木马程序在运行后，虽然不会破坏数据，但是他将硬盘加密锁死，然后提示受感染用户 花钱消灾。可以说第二代木马已具备了传播特征(尽管通过传统的邮递方式)。

　　但随着Internet的普及，新一代的木马出现了，它兼备伪装和传播两种特征并结合TCP/IP网络技术四处泛滥。木马的主要目标也不再是进行文件和系统的的破坏，而是带有收集密码，远程控制等功能， 这段时期比较有名的有国外的BO2000(BackOrifice)和国内的冰河木马。它们有如下共同特点：基于网络的客户端/服务器应用程序。具有搜集信息、 执行系统命令、重新设置机器、重新定向等功能。当木马程序攻击得手后，计算机就完全成为黑客控制的傀儡主机，黑客成了超级用户，用户的所有计算机操作不但没有任何秘密而言，而且黑客可以远程控制傀儡主机对别的主机发动攻击，这时候被俘获的傀儡主机成了黑客进行进一步攻击的挡箭牌和跳板。

　　这时期的木马比较显著的特点是以单独的程序形势存在，带来的问题是木马的网络行为很容易被一些个人防火墙所阻断，为了解决这个问题，一个新的技术被广泛应用，这就是进程注入技术。

　　进程注入技术是将代码注入到另一个进程，并以其上下文运行的一种技术，木马经常注入自己到IE浏览器中，由于IE浏览器经常需要访问网络，因此在防火墙弹出是否允许IE浏览器访问网络时，用户经常会点击允许，殊不知自己机器中的木马已经偷偷地去连接网络了。

　　但对于杀毒软件来说，使用成熟的特征码杀毒技术仍然可以通过和对病毒同样的处理手段对此时的木马进行查杀。但从04年开始，一切变得不一样了。2004年，在黑客圈子内部，有人公开提出免杀技术，这种技术是针对杀毒软件的特征码直接修改木马的二进制代码，由于当时还没有强有力的工具出现，所以一般都使用WinHEX工具逐字节更改，需要相当的技术能力，这种手工方式只在少数黑客内部流传。

　　2005年，著名的免杀工具CCL-一个自动化的特征码定位工具被公布，这使得免杀技术在很短的时间内开始公开化，一批黑客站点有意或无意的宣传使得越来越多的人开始讨论免杀技术，各大杀毒软件面临严重的信任危机，一个懂一点基本的PE文件知识与免杀工具的使用的初学者就可以轻易编辑一个木马，修改其特征码使其躲过杀毒软件的检测，据统计，著名木马灰鸽子曾在短短一年之内出现超过6万个变种，绝大部分都源于免杀技术的普及。

　　同样也是在这一年，一些杀毒厂商提出“主动防御”的概念，这门听起来显得很专业的技术是用来增强已经对木马不再构成杀伤力的特征码识别技术，通过对病毒行为规律分析、归纳、总结，并结合反病毒专家判定病毒的经验，提炼成病毒识别规则知识库。模拟专家发现新病毒的机理，通过对各种程序动作的自动监视，自动分析程序动作之间的逻辑关系，综合应用病毒识别规则知识，实现自动判定新病毒，达到主动防御的目的。

　　通过这种技术，在木马访问网络，注入进程等行为发生时杀毒软件会及时通告给用户，虽然还不完善，但至少还是可以对未知的木马做出一定的预警。

　　道高一尺，魔高一丈，为了抵御主动防御技术，木马的开发者们又把目光转向了一门新的技术-“ROOTKIT”技术,这种技术最早应用于UNIX系统，也被称为“系统级后门”，就是在操作系统中通过嵌入代码或模块的方式掌握系统控制权，方便以后随时登陆进系统。木马主要通过ROOTKIT技术来隐藏自己，使杀毒软件无法察觉木马的存在或者干脆从系统级上禁用杀毒软件的某些功能，这样一来，木马和杀毒软件的争夺主要就集中在系统控制权的争夺上了，谁能拿到系统控制权就可以反制另一方，从2006年开始，双方的争夺开始进入白热化，新的突破点和防护点不断被研究出来，但总体上说，杀毒软件处于被动状态