當(dāng)前最為常見(jiàn)的木馬通常是基于TCP/UDP協(xié)議進(jìn)行client端與server端之間的通訊的,
既然利用到這兩個(gè)協(xié)議,就不可避免要在server端(就是被種了木馬的機(jī)器了)打開(kāi)監(jiān)
聽(tīng)端口來(lái)等待連接。例如鼎鼎大名的冰河使用的監(jiān)聽(tīng)端口是7626,Back Orifice 2000
則是使用54320等等。那么,我們可以利用查看本機(jī)開(kāi)放端口的方法來(lái)檢查自己是否被
種了木馬或其它黑客程序。以下是詳細(xì)方法介紹。
1. Windows本身自帶的netstat命令
關(guān)于netstat命令,我們先來(lái)看看windows幫助文件中的介紹:
Netstat
顯示協(xié)議統(tǒng)計(jì)和當(dāng)前的 TCP/IP 網(wǎng)絡(luò)連接。該命令只有在安裝了 TCP/IP 協(xié)議后才可以
使用。
netstat [-a] [-e] [-n] [-s] [-p protocol] [-r] [interval]
參數(shù)
-a
顯示所有連接和偵聽(tīng)端口。服務(wù)器連接通常不顯示。
-e
顯示以太網(wǎng)統(tǒng)計(jì)。該參數(shù)可以與 -s 選項(xiàng)結(jié)合使用。
-n
以數(shù)字格式顯示地址和端口號(hào)(而不是嘗試查找名稱)。
-s
顯示每個(gè)協(xié)議的統(tǒng)計(jì)。默認(rèn)情況下,顯示 TCP、UDP、ICMP 和 IP 的統(tǒng)計(jì)。-p 選項(xiàng)可
以用來(lái)指定默認(rèn)的子集。
-p protocol
顯示由 protocol 指定的協(xié)議的連接;protocol 可以是 tcp 或 udp。如果與 -s 選項(xiàng)
一同使用顯示每個(gè)協(xié)議的統(tǒng)計(jì),protocol 可以是 tcp、udp、icmp 或 ip。
-r
顯示路由表的內(nèi)容。
interval
重新顯示所選的統(tǒng)計(jì),在每次顯示之間暫停 interval 秒。按 CTRL+B 停止重新顯示統(tǒng)
計(jì)。如果省略該參數(shù),netstat 將打印一次當(dāng)前的配置信息。
好了,看完這些幫助文件,我們應(yīng)該明白netstat命令的使用方法了,F(xiàn)在就讓我們現(xiàn)
學(xué)現(xiàn)用,用這個(gè)命令看一下自己的機(jī)器開(kāi)放的端口。進(jìn)入到命令行下,使用netstat命
令的a和n兩個(gè)參數(shù):
C:\>netstat -an
Active Connections
Proto Local Address Foreign Address State
TCP 0.0.0.0:80 0.0.0.0:0 LISTENING
TCP 0.0.0.0:21 0.0.0.0:0 LISTENING
TCP 0.0.0.0:7626 0.0.0.0:0 LISTENING
UDP 0.0.0.0:445 0.0.0.0:0
UDP 0.0.0.0:1046 0.0.0.0:0
UDP 0.0.0.0:1047 0.0.0.0:0
解釋一下,Active Connections是指當(dāng)前本機(jī)活動(dòng)連接,Proto是指連接使用的協(xié)議名
稱,Local Address是本地計(jì)算機(jī)的 IP 地址和連接正在使用的端口號(hào),F(xiàn)oreign
Address是連接該端口的遠(yuǎn)程計(jì)算機(jī)的 IP 地址和端口號(hào),State則是表明TCP 連接的狀
態(tài),你可以看到后面三行的監(jiān)聽(tīng)端口是UDP協(xié)議的,所以沒(méi)有State表示的狀態(tài)。看!我
的機(jī)器的7626端口已經(jīng)開(kāi)放,正在監(jiān)聽(tīng)等待連接,像這樣的情況極有可能是已經(jīng)感染了
冰河!急忙斷開(kāi)網(wǎng)絡(luò),用殺毒軟件查殺病毒是正確的做法。 本文出自:億恩科技【mszdt.com】
服務(wù)器租用/服務(wù)器托管中國(guó)五強(qiáng)!虛擬主機(jī)域名注冊(cè)頂級(jí)提供商!15年品質(zhì)保障!--億恩科技[ENKJ.COM]
|