内容导读：导航目录:1、流氓软件的工作原理是什么？2、流光使用详细说明3、看黑客如何侵入你的手机4、扫描工具只是黑客攻击的工具吗？请说明是或不是的原因。5、流光软件是干什么的？6、常用***防攻击软件原理?流氓...……
导航目录:
- 1、流氓软件的工作原理是什么？
- 2、流光使用详细说明
- 3、看黑客如何侵入你的手机
- 4、扫描工具只是黑客攻击的工具吗？请说明是或不是的原因。
- 5、流光软件是干什么的？
- 6、常用 *** 防攻击软件原理?
流氓软件的工作原理是什么？
为什么“浏览器劫持”能够如此猖狂呢？放眼众多论坛的求助贴，我们不时可以看到诸如“我的IE被主页被改了，我用杀毒工具扫了一遍都没发现病毒，我把主页改回自己的地址，可是一重启它又回来了！”、“我的系统一开机就跳出一个广告，我明明用了最新版的杀毒软件的啊！”等这类关于IE异常问题的求助，80%的提问者都表示纳闷，他们已经安装了杀毒软件，可是IE仍然被“黑”了，这又是为什么？
其实这些都是典型的“浏览器劫持”现象，但是受害者不是已经安装了杀毒软件吗？为什么浏览器依然躲不过这只黑手？许多用户对这个领域都存在一种误区心理：浏览器劫持？我有最新的杀毒软件，我不怕！
于是，当他们遭遇“浏览器劫持”时，惊讶了。
要知道，杀毒软件自身也只是一种辅助工具，它不可能完全保护系统的安全，更何况，杀毒软件用户必须知道一个事实：“浏览器劫持”的攻击手段是可以通过被系统认可的“合法途径”来进行的！杀毒软件只能通过“特征码”的形式来判断程序是否合法，但这是建立在人为定义以后的，而实施“浏览器劫持”的程序可以有很多，防不胜防。
为什么说“浏览器劫持”可以说是合法的呢？因为大部分浏览器劫持的发起者，都是通过一种被称为“BHO”（Browser Helper Object，浏览器辅助对象）的技术手段植入系统的。
BHO是微软早在1999年推出的作为浏览器对第三方程序员开放交互接口的业界标准，它是一种可以让程序员使用简单代码进入浏览器领域的“交互接口”（INTERACTIVED Interface）。通过BHO接口，第三方程序员可以自己编写代码获取浏览器的一些行为（Action）和事件通知（Event），如“后退”、“前进”、“当前页面”等，甚至可以获取浏览器的各个组件信息，像菜单、工具栏、坐标等。由于BHO的交互特性，程序员还可以使用代码去控制浏览器的行为，比如常见的修改替换浏览器工具栏、在浏览器界面上添加自己的程序按钮等操作，而这些操作都被视为“合法”的，这就是一切罪恶根源的开始。
BHO的出现帮助程序员更好的打造个性化浏览器或者为自己的程序实现了方便简洁的交互功能，可以说，如果没有BHO接口的诞生，我们今天就不能用一些工具实现个性化IE的功能了。从某一方面来看，BHO的确是各种缤纷 *** 互动功能的幕后功臣，但是一切事物都是有两面性的，这个恒古不变的真理同样对BHO有效，于是就有了今天让安全界头痛的“浏览器劫持”的攻击手段诞生。
看看前面我提到的BHO接口特性，你想到了什么？BHO可以获知和实现浏览器的大部分事件和功能，也就是说，它可以利用少量的代码控制浏览器行为。程序员可以设计出一个BHO按钮以实现用户点击时通知浏览器跳转到某个页面完成交互功能，当然就可以进一步写出控制浏览器跳转到他想让用户去的页面，这就是最初的“浏览器劫持”的成因：BHO劫持。
在描述BHO劫持之前，我们先要对BHO接口的启动做个简单介绍：符合BHO接口标准的程序代码被写为DLL动态链接库形式在注册表里注册为COM对象，还要在BHO接口的注册表入口处进行组件注册，以后每次IE启动时都会通过这里描述的注册信息调用加载这个DLL文件，而这个DLL文件就因此成为IE的一个模块（BHO组件），与IE共享一个运行周期，直到IE被关闭。
IE启动时，会加载任何BHO组件，这些组件直接进入IE领域，而IE则成为它们的父进程和载体，从此IE的每一个事件都会通过IUnknown接口传递到BHO用以提供交互的IObjectWithSite接口里，这是BHO实现与IE交互的入口函数。
BHO接收到IE接口传递来的参数后开始判断IE正在做什么，理论上BHO可以获取IE的大部分事件，然后根据程序员编写的代码，BHO持有对特定事件做出反应的决定权，例如一个可以实现“中文网址”的BHO，就是通过GetSite *** 获取到IE当前打开的站点URL（或通过IURLSearchHook接口来获知），如果BHO发现获取到的URL和内置的判断条件匹配，该BHO就会启用SetSite *** 强制IE跳转到程序员设定的页面去，这个过程就是利用about:blank篡改主页的“浏览器劫持” *** 之一，它的实现原理其实很简单，程序员编写一个恶意BHO组件，当它获取到IE窗口的当前站点为“about:blank”时就强制IE内部跳转到指定的广告页面，于是闹出了不久之前沸沸扬扬的“IE空白页劫持事件”。
了解了这种类似恶作剧的作案手段，要解决它就容易了，只要找到并删除这个隐藏在系统里的BHO程序即可。
除了这类“广告软件”性质的BHO，还有一种利用IURLSearchHook接口实现的另一类更隐蔽的BHO，这种BHO从某些方面来说大概不算BHO，因为它并不是响应IUnknown，而是等待IE创建IURLSearchHook来启动。IURLSearchHook被浏览器用来转换一个未知的URL协议地址，当浏览器企图去打开一个未知协议的URL地址时，浏览器首先尝试从这个地址得到当前的协议，如果不成功，浏览器将寻找系统里所有注册为“URL Search Hook”（资源搜索钩子，USH）的对象并把这个IE不能理解的地址发送过去，如果某个USH对象“认识”这个地址，它就返回一个特定的标识告诉IE它知道怎么打开这个地址，然后IE就根据约定的 *** 调用它，最终打开这个地址。其实USH对象并不陌生，我们一些偷懒的用户就经常为了省事而不输入“http://”，但是IE最终还是能认出并打开某个地址，就是USH的功劳，但是这一点又被恶意程序员拿来磨刀了，通过创建自己的USH对象，恶意程序员能够命令IE在找不到一些网站时自动跳转到事先设置的站点里，如果这个站点带毒或者挂马，用户就完了。
这类BHO的解决 *** 和前面一样，只是它比较隐蔽，除非用户经常偷懒，否则可能直到系统崩溃也不会知道自己已经感染了这种东西。也许你会说，只要用户的输入永远不会让IE无法识别，这种渗透不就白费了？但是事实不容乐观，我们无法得知BHO作者还会不会通过其他 *** 拦截IE，说不定每隔一段时间就让IE弹出一个广告呢？
上面说了这么多BHO和IE合作搞破坏的事例，可能会给读者造成一种“BHO必须在IE传递数据后才能行动”的误解，然而事实并非如此，浏览器自身也是一个标准的可执行程序，而BHO只是借用这个程序进程启动的DLL，它并非API那种要用的时候就让你过来忙活，忙活完了就一脚踹开的奴隶形态DLL，前面说过了，BHO是一种在浏览器加载时一同启动的例程，它相当于一种自身运行逻辑不太明确的子进程（里面都是对IE事件的响应和操作代码），这个特性就造成了BHO DLL和API DLL本质的区别，BHO并不需要所有事件都必须依赖这个大家伙，它可以有自己决定的权利，只要适当的修改，就能用BHO实现类似DLL木马的功能，当然，这并不是说我们就能在IE眼皮下公然的肆无忌弹干坏事的，由于BHO自身是作为IE子进程启动的，它就必须受到一些限制，例如程序员不能在里面自己创建 *** 连接，这样会导致IE报错崩溃并供出你写的DLL，害怕BHO成为另一种后门的用户可以松口气了，要在BHO里实现Winsock大概只能在IE休息的时候才可以，但是会有哪个用户开着个开空IE什么事情都不做呢？
但这并不是说BHO就一定能无害了，虽然用它不能做到远程控制，但是别忘记，BHO能看到IE的所有东西，也就能任意的访问用户文件和注册表，在这个条件成立的前提下，入侵者可以编写代码查找用户隐私，然后在适当时候通过SetSite提交出去——谁叫现在Webmail这么流行呢？这就是为什么许多厂商发布诸如“中文网址”、“ *** 搜索”、“IE定制”、“IE监视”这些功能的BHO的同时都保证“不搜集用户隐私”的原因，只要你想要，BHO就能得到一切。
有些人也许会想，既然BHO是微软浏览器的权利，那我不用IE了，我用Opera、Firefox不行？对于这点固然无可厚非，但是你用不用Windows？用不用共享软件？如果你用Windows，那么，你仍然可能处于被BHO接触到的世界，因为Windows本身就是和IE紧密结合的，这就把“IE进程”的范围给扩大了，细心的用户大概会发现，IE里能直接访问“我的电脑”，“我的电脑”窗口也能迅速变成IE，因为它们实质都是依赖于IE内核的，正因为这个原因，BHO可以在你打开一个文件夹时跟着偷偷启动。同时，现在的 *** 正处于一种“共享软件捆绑战略”大肆实施的时代，你再小心也不能避免某些共享软件固定捆绑了BHO的行为，安装后你才会发现文件夹上又多了个什么“助手”、“搜索”了。要想彻底逃开BHO的围困，大概只能放弃使用Windows了。
Hook，你钩住浏览器了
正如《侏》里的这句话一样，入侵者也在不断寻找他们的新出路，虽然上面我说了这么多BHO的负面事例，但是真正的危机并不是只有BHO的，在一些使用BHO行不通的场合里，入侵者开始投掷他们的钩子。
什么是钩子？让我们先看看它的官方定义：
钩子（Hook），是Windows消息处理机制的一个平台,应用程序可以在上面设置子程以监视指定窗口的某种消息，而且所监视的窗口可以是其他进程所创建的。当消息到达后，在目标窗口处理函数之前处理它。钩子机制允许应用程序截获处理window消息或特定事件。
钩子实际上是一个处理消息的程序段，通过系统调用，把它挂入系统。每当特定的消息发出，在没有到达目的窗口前，钩子程序就先捕获该消息，亦即钩子函数先得到控制权。这时钩子函数即可以加工处理（改变）该消息，也可以不作处理而继续传递该消息，还可以强制结束消息的传递。
可能上面的官方定义对一部分读者理解有点困难，其实，钩子就像是一切程序的“先知”，一个实现了钩子的程序自身虽然也是普通程序，但是它总能在别的程序得到数据之前就已经知道了一切，这是为什么呢？对Windows系统有一定了解的读者应该知道，Windows系统是一个通过“信息处理机制”运作的系统，在这个系统里传递的数据都是通过“消息”（Message）的形式发送的，各个消息都遵循了官方的约定，否则就不能让系统产生回应。而且这个传递步骤是颠倒的，例如我们关闭了某个程序，我们可能会认为是程序自己关闭后通知系统的，其实不然，当用户点击关闭按钮的时候，Windows就会把一个叫做WM_CLOSE的消息传递给这个程序，程序接收到消息后就执行卸载自身例程的操作。理解了这点，就能知道钩子的原理了，所谓钩子程序，就是利用了系统提供的Hook API，让自己比每一个程序都提前接收到系统消息，然后做出处理，如果一个钩子拦截了系统给某个程序的WM_CLOSE消息，那么这个程序就会因为接收不到关闭消息而无法关闭自身。除了消息以外，钩子还可以拦截API，像我们都熟悉的屏幕翻译软件就是Hook了一些文本输出函数如TextOutA而达到了目的。
技术让编程人员可以轻松获取其他程序的一些有用数据或传递相关数据，像现在常见的一些游戏外挂，它们就是利用Hook技术钩住了游戏窗体，然后就可以识别游戏里面的行为和模拟发送按键鼠标消息，最终实现电脑自己玩游戏的功能。把这个技术应用到浏览器上面，就成了另一种控制浏览器行为的 *** 。
钩子有两种，本地钩子（Local Hook）和全局钩子（Global Hook），本地钩子只在本进程里起作用，故不属于讨论范围；全局钩子代码必须以DLL形式编写，以便在钩子生效时被其它进程所加载调用，因此我们看到的大部分Hook程序都是DLL形式的。
其实之前提到的BHO也可以视为一种针对IE的钩子，它钩的是IE的事件，这就是IE与BHO交互的起点，但是对于再复杂一点的操作，例如判断IE下载的是GIF图片还是JPEG图片，BHO无能为力，因为它仅仅知道IE的事件为DownloadBegin和DownloadComplete，对于具体内容，IE本身是不会告诉它的，否则IE岂不是要忙死了？至少我也没见过哪个领导还需要向秘书汇报中午吃了鸡肉还是鸭肉的吧，BHO可不是IE的老婆，或者说IE没有气管炎。
所以，为了得到IE的更多数据，程序员开始钩IE了。与BHO不同，钩子不需要被动的等待IE事件，它直接和IE形成上司对下属的关系，这次轮到IE要做什么都得经过它批准了。Hook形式的控制不需要DLL文件必须与IE的注册表入口产生组件关系，它可以是一个独立的DLL，通过Rundll32.exe或自带的Loader EXE启动，而且由于它属于Hook形式， 在钩子有效的情况下会被系统自动插入其他程序的进程中，是不是有点像DLL木马呢？
IE钩子程序载入进程后便能获知所有的消息类型、API和内容，一旦发现某个符合要求的消息，如IE执行了某个事件，或者用户输入了特定内容，钩子的处理代码就开始工作了，它先拦截系统发送给IE的消息，然后分析消息内容，根据不同消息内容作出修改后再发给IE，就完成了一次Hook篡改过程。用著名的3721实名搜索做例子，一些人会以为它是采用了BHO或者IURLSearchHook完成中文域名的识别跳转的，其实它是用了能够之一个得到Windows消息的Hook技术，这样一来就可以避免被其他的竞争对手抢先解析域名了：3721的主程序就是一个Hook DLL，它监视IE地址栏的消息，一旦用户输入的是中文，它便在其他BHO类插件工作之前拦截了这个消息，并调用自身代码完成中文域名到英文URL的转换工作，然后返回（也可能与自己的BHO DLL配合）一个让IE跳转到英文URL的消息，完成域名的翻译任务。
IE钩子能帮助程序员用少量代码完成更多的IE交互工作，但是一旦这个钩子被用于犯罪，其后果也是严重的，恶意程序员可以写一个拦截IE输入的键盘钩子，达到窃取密码的作用，这样无论你是用HTTP明文协议还是SecurityHTTP加密协议都不能逃避密码被盗的下场了，因为它抓的是你在IE里的输入，后面的数据传输已经不重要了。
Winsock LSP
全称为“Windows Socket Layered Service Provider”（分层服务提供商），这是Winsock 2.0才有的功能，它需要Winsock支持服务提供商接口（Service Provider Interface，SPI）才能实现，SPI是一种不能独立工作的技术，它依赖于系统商已经存在的基本协议提供商，如TCP/IP协议等，在这些协议上派分出的子协议即为“分层协议”，如SSL等，它们必须通过一定的接口函数调用，LSP就是这些协议的接口。
通过LSP，我们可以比分析基本协议更简单的得到我们想要的数据内容，如直接得到系统上运行的浏览器当前正在进行传输的地址和内容，不管这个浏览器是IE，还是Opera或Firefox，因为LSP是直接从Winsock获取信息的，即使不用微软生产的汽车，至少你这辆汽车一直是在微软建造的公路上跑的吧。
LSP用在正途上可以方便程序员们编写监视系统 *** 通讯情况的Sniffer，可是现在常见的LSP都被用于浏览器劫持，使用户又多了个噩梦。
流光使用详细说明
这里是视频教程探测-- 高级扫描工具 这时会出现一个界面，让你选择探测选项。如果你想专门黑某个网站，就都选上吧。 否则选其中的几个就可以了， 比如，我们可以选择： ports,ftp,cgi/asp,sql,ipc,iis 然后选上起始地址和结束地址 ok~~搞定后点“确定” #这里我要说明一下： #流光是不允许扫描国内ip的，如果你一定要扫描，可以去下载去除限制的版本 #还有一个办法，你可以在启动流光之前把自己的ip改成你要扫描的网段，启动流光后再改 #回来这样就可以骗过流光，因为流光允许你扫自己网段的ip（榕哥别骂我呀），win2000在#更改ip后不需要重新启动，如果是98，不推荐用这种 *** 。不过还是建议你不要去扫国 #内的，除非你想让****叔叔来找你。 运气好的话，一会工夫你就能扫到一些漏洞主机和一些弱口令了 先看看扫到了什么 在中间主机那里会把你扫到的漏洞主机列出来 黑色主机（就是屏幕是黑色那种，建议你跟着做一下）就是可以直接执行命令的点黑色主机---连接---确定 这时就弹出来iis远程命令，着时候你就可以远程在对方机器上执行命令了 比如set就可以看对方的主页路径，dir看对方目录，del删除文件，很简单吧？ 也可以用copy命令把cmd（命令解释器）拷贝到可执行目录，然后用浏览器来攻击。 其他几种颜色的不能直接执行命令，这里就不说了 #其实这个iis远程命令和直接在浏览器上攻击是一个原理的，只不过是把那些代码去掉，方#便使用。但我们还是guest权限，要想取得管理员权限就用入侵u漏洞主机的办法就可以 #了，传一个idq.dipc主机 最下面的部分，也就是弱口令那里 如果发现了ipc主机 我们可以直接点主机---连接 这时进入ipc远程命令界面，也就是ntcmd，这是我们具有system 权限，可以直接在对方机器上执行命令 需要做什么自己想吧：）（当然是添加用户） 不过要注意的是，我们用这个不能继续telnet到别的主机上，还有，添加了用户也不能直接登陆 因为我们还需要更改2000的验证方式 这时候就需要另一个工具--ipc种植者，在工具---nt/iis工具里选择种植者 然后选tool目录下的ntlm然后填上用户名和密码点开始， 一分钟以后自动执行就可以用自己填加的帐号登陆了，我们也可以用ipc远程命令直接启动ntlm,不过不要忘了需要重新启动telnet。 当然我们也可以用种植者把srv也传过去，种植者会自动启动 然后我们登陆99端口然后加用户---执行ntlm---启动telnet（如果已经启动要先关闭） 另外我们也可以用入侵ipc的 *** ，net use…… 其实种植者和net use是一样的 而且可以自动启动，节省时间。不过种植者有时候会失败，而直接net use后再copy可以成功.所以大家还是尽量学会命令方式下的入侵， *** 在流光的说明里面有。 ll上去连接，（说实话我很少用这个，因为毕竟用浏览器比较顺手） #可能有的朋友对为什么要用ntlm.exe有疑问。我解释一下。因为在默认情况下telnet是用#ntlm来验证的 #ntlm是nt4.0和以前版本常用的验证 *** ，作为win2000的三种验证 *** 之一。ntlm的直是2的时候 #是ntlm验证，我们需要把他改为1，这样就可以用ntlm和明文两种验证方式----我们需要的#就是这个 #而ntlm.exe就是这个原理，利用更改注册表中相应的键值的 *** ，改变验证方式 sql主机 如果扫到了sql主机 就可以直接用sql远程命令来执行命令了 ---直接点击主机即可进入命令界面 命令和ipc的一样： net user 用户名 密码 /add net localgroup administrators 用户名 /add 这样就添加了一个管理员 剩下的就不用我说了吧。
看黑客如何侵入你的手机
如果手机被监控远程控制，建议您尝试操作：
1.卸载手机近期安装的第三方软件。
2.备份手机数据（ *** 簿、短信息、多媒体文件等），恢复出厂设置（进入手机设定--重置-恢复出厂设定）后尝试。
3.若通过以上 *** 问题依然存在，请带好购机发票、包修卡和机器送到三星服务中心，由工程师检查机器并处理。
扫描工具只是黑客攻击的工具吗？请说明是或不是的原因。
1.
扫描工具就是扫描工具。
2.
扫描工具可以自带破解插件以及字典，或者扫描工具是一个 *** 体。举例：小榕流光软件最初就是定义为扫描工具，但其自身在破解、漏洞分析等方面都有杰出表现。
3.
扫描工具：是对端口，漏洞， *** 环境等探测。有非法扫描和良性扫描，非法扫描工具可以叫做黑客工具，良性扫描可以叫做安全工具。
4.
黑客攻击工具：为达到个人目的而采取的不正当的手段与 *** ，这种手段和 *** 的实现可以使用黑客工具。对于黑客工具中总体而言，扫描工具只是一个辅助工具。
流光软件是干什么的？
是一款经典黑客软件，可以用来破密
如果想研究就上网去百度一下，或者去书店里看关于黑客攻防的书
流光是一款经典、易学易懂的软件，很多关于电脑安全的书上都会有
建议你不要用在非法途径上
常用 *** 防攻击软件原理?
1. *** 级防火墙
一般是基于源地址和目的地址,应用或协议以及每个IP包的端口来作出通过与否的判断.一个路由器便是一个"传统"的 *** 级防火墙,大多数的路由器都能通过检查这些信息来决定是否将所收到的包转发,但它不能判断出一个IP包来自何方,去向何处.
防火墙检查每一条规则直至发现包中的信息与某规则相符.如果没有一条规则能符合,防火墙就会使用默认规则,一般情况下,默认规则就是要求防火墙丢弃该包.其次,通过定义基于TCP或UDP数据包的端口号,防火墙能够判断是否允许建立特定的连接,如Telnet,FTP连接.
2.应用级网关
应用级网关能够检查进出的数据包,通过网关复制传递数据,防止在受信任服务器和客户机与不受信任的主机间直接建立联系.应用级网关能够理解应用层上的协议,能够做复杂一些的访问控制,并做精细的注册和稽核.它针对特别的 *** 应用服务协议即数据过滤协议,并且能够对数据包分析并形成相关的报告.应用网关对某些易于登录和控制所有输出输入的通信的环境给予严格的控制,以防有价值的程序和数据被窃取. 在实际工作中,应用网关一般由专用工作站系统来完成.但每一种协议需要相应的 *** 软件,使用时工作量大,效率不如 *** 级防火墙.
应用级网关有较好的访问控制,是目前最安全的防火墙技术,但实现困难,而且有的应用级网关缺乏"透明度".在实际使用中,用户在受信任的 *** 上通过防火墙访问Internet时,经常会发现存在延迟并且必须进行多次登录(Login)才能访问Internet或Intranet.
3.电路级网关
电路级网关用来监控受信任的客户或服务器与不受信任的主机间的TCP握手信息,这样来决定该会话(Session)是否合法,电路级网关是在OSI模型中会话层上来过滤数据包,这样比包过滤防火墙要高二层.
电路级网关还提供一个重要的安全功能: *** 服务器(Proxy Server). *** 服务器是设置在Internet防火墙网关的专用应用级代码.这种 *** 服务准许网管员允许或拒绝特定的应用程序或一个应用的特定功能.包过滤技术和应用网关是通过特定的逻辑判断来决定是否允许特定的数据包通过,一旦判断条件满足,防火墙内部 *** 的结构和运行状态便"暴露"在外来用户面前,这就引入了 *** 服务的概念,即防火墙内外计算机系统应用层的"链接"由两个终止于 *** 服务的"链接"来实现,这就成功地实现了防火墙内外计算机系统的隔离.同时, *** 服务还可用于实施较强的数据流监控,过滤,记录和报告等功能. *** 服务技术主要通过专用计算机硬件(如工作站)来承担.
4.规则检查防火墙
该防火墙结合了包过滤防火墙,电路级网关和应用级网关的特点.它同包过滤防火墙一样,规则检查防火墙能够在OSI *** 层上通过IP地址和端口号,过滤进出的数据包.它也象电路级网关一样,能够检查SYN和ACK标记和序列数字是否逻辑有序.当然它也象应用级网关一样,可以在OSI应用层上检查数据包的内容,查看这些内容是否能符合企业 *** 的安全规则.
规则检查防火墙虽然集成前三者的特点,但是不同于一个应用级网关的是,它并不打破客户机/服务器模式来分析应用层的数据,它允许受信任的客户机和不受信任的主机建立直接连接.规则检查防火墙不依靠与应用层有关的 *** ,而是依靠某种算法来识别进出的应用层数据,这些算法通过已知合法数据包的模式来比较进出数据包,这样从理论上就能比应用级 *** 在过滤数据包上更有效.