IceSword軟件安裝包與實(shí)驗(yàn)指導(dǎo)書

1、實(shí)驗(yàn)指導(dǎo)書項(xiàng)目標(biāo)號項(xiàng)目名稱IceSword學(xué)時(shí)實(shí)驗(yàn)?zāi)康耐ㄟ^實(shí)驗(yàn)，了解IceSword安裝和使用方法，了解系統(tǒng)進(jìn)程和服務(wù)情況；掌握如何查看異常的進(jìn)程；掌握Windows常用的系統(tǒng)進(jìn)程和服務(wù)的管理，系統(tǒng)日志的管理，以保護(hù)操作系統(tǒng)安全一、 實(shí)驗(yàn)原理IceSword二、 實(shí)驗(yàn)環(huán)境軟件工具：IceSword 三、 實(shí)驗(yàn)內(nèi)容l IceSword的安裝和使用l IceSword創(chuàng)建進(jìn)程和線程規(guī)則四、 實(shí)驗(yàn)步驟：1. 打開，雙擊，打開主界面，如下圖所示： IceSword的界面左側(cè)包括：查看，注冊表和文件。查看里面包括進(jìn)程，端口等。2. IceSword中的查看操作：1) 查看進(jìn)程： 點(diǎn)擊“進(jìn)程”按鈕，在右部

2、列出的進(jìn)程中，隱藏的進(jìn)程會以紅色醒目地標(biāo)記出，以方便查找隱藏自身的系統(tǒng)級后門，如圖所示： 點(diǎn)擊某進(jìn)程，按右鍵下拉菜單的內(nèi)容有：Ø 刷新列表：再次點(diǎn)擊“進(jìn)程”按鈕，或點(diǎn)擊右鍵，選擇“刷新列表”；Ø 結(jié)束進(jìn)程：選中某一項(xiàng)進(jìn)程，右鍵菜單中的“結(jié)束進(jìn)程”，可以結(jié)束該進(jìn)程；Ø 線程信息：選擇explorer進(jìn)程，右鍵菜單中選擇“線程信息”，如圖所示： 其中的“強(qiáng)制終止”是危險(xiǎn)操作，對一個(gè)線程只應(yīng)操作一次，否則系統(tǒng)可能崩潰。Ø 模塊信息：選擇explorer進(jìn)程，右鍵菜單中選擇“模塊信息”，如圖所示： 上面詳細(xì)的顯示當(dāng)前進(jìn)程調(diào)用的所有DLL文件，可以卸除有異常的DL

3、L文件?！靶冻睂τ谙到y(tǒng)DLL是無效的，可以使用“強(qiáng)制解除”。不過會使該進(jìn)程終止。2) 查看端口： 此欄的功能是進(jìn)程端口關(guān)聯(lián)，前四項(xiàng)與netstat -an類似，后兩項(xiàng)是打開該端口的進(jìn)程。在“進(jìn)程ID”中出現(xiàn)0值表明該端口已經(jīng)關(guān)閉，處于“TIME_WAIT”狀態(tài)。如圖所示：3) 查看內(nèi)核模塊： 內(nèi)核模塊即系統(tǒng)當(dāng)前加載的核心模塊，比如驅(qū)動程序，如圖所示：4) 查看啟動組： 顯示兩個(gè)RUN子鍵的內(nèi)容。如圖所示：5) 查看服務(wù)： 查看系統(tǒng)中的被隱藏的或未唄隱藏的服務(wù)，隱藏的服務(wù)以紅色顯示，如圖所示：6) 查看“監(jiān)視進(jìn)線程創(chuàng)建” 進(jìn)線程穿件記錄保存在以循環(huán)緩沖里，要IceSword運(yùn)行期間才進(jìn)行記錄，

4、可以用來發(fā)現(xiàn)木馬后門創(chuàng)建死了什么進(jìn)程和線程。如圖所示：3. IceSword注冊表操作 IceSword的注冊表與RegEdit用法類似，不同的是有權(quán)限打開與修改任何子鍵，包括SAM子鍵。如圖所示：4. IceSword對文件的操作 IceSword的文件操作與資源管理器類似，但只提供文件刪除、復(fù)制的功能。其特點(diǎn)是防止文件隱藏，同時(shí)可以修改已打開的文件，可以強(qiáng)制刪除任何文件，包括系統(tǒng)文件。如圖所示：5. IceSword文件菜單的操作 文件菜單中有：重啟并監(jiān)視、創(chuàng)建進(jìn)程規(guī)則、創(chuàng)建線程規(guī)則。如圖所示：1) 重啟并監(jiān)視： IceSword不方便監(jiān)視開機(jī)就自啟的程序，可以通過“重啟并監(jiān)視”監(jiān)視系統(tǒng)啟

5、動時(shí)所有進(jìn)線程創(chuàng)建，可以輕易發(fā)現(xiàn)進(jìn)程注入。2) 創(chuàng)建進(jìn)線程規(guī)則： 用來設(shè)定創(chuàng)建進(jìn)線程時(shí)的規(guī)則，總規(guī)則是指允許還是禁止?jié)M足該條規(guī)則所有條款的進(jìn)線程創(chuàng)建事件；一條規(guī)則中的條款間的關(guān)系是與關(guān)系，即同時(shí)滿足才算匹配這條規(guī)則；“規(guī)則號”是從零開始的，假設(shè)當(dāng)前有n條規(guī)則，添加規(guī)則時(shí)輸入零規(guī)則號即代表在隊(duì)頭插入，輸入n規(guī)則號則在隊(duì)尾插入；如果前面一條規(guī)則已經(jīng)匹配，那么所有后面的規(guī)則就忽略掉了，系統(tǒng)直接允許或禁止這次創(chuàng)建操作。Ø 禁止calc.exe的運(yùn)行點(diǎn)擊“創(chuàng)建進(jìn)線程時(shí)規(guī)則”“添加規(guī)則”，如圖所示： 注意一條規(guī)則中文件名和路徑名只能填一個(gè)，運(yùn)行結(jié)果如圖所示：Ø 禁止向explorer.exe注入線程 首先查到該進(jìn)程的PID，然后添加兩條“創(chuàng)建進(jìn)程規(guī)則”，第一條允許explorer.