栏目导航: 首页 > 检测提权 > 工具使用 > 内容

国产远程控制软件——冰河

www.hx99.net    时间: 2008-12-28    阅读: 次     整理: 华西安全网
"14457"> 国产远程控制软件——冰河
作为一款流行的远程控制工具,在面世的初期,冰河就曾经以它简单的操作方法和强大的
控制能力令人胆寒,可以说是达到了谈“冰”色变的地步。鉴于此,这里进行简要介绍。


1、冰河的安装

该控制工具中有三个文件:Readme.txt,G_Client.exe和G_Server.exe。Readme.txt简单
介绍自己的使用,冰河当然也不例外了。G_Client.exe是监控端执行程序,可以用于监控
远程计算机和配置服务器,G_Server.exe是被监控端后台监控程序(运行一次即自动安装
,可任意改名)。最好不要在自己本机运行G_Server.exe,否则可能处于别人的控制之中
了。 也就是说,你要控制的远程计算机必须是要运行过G_Server.exe这个程序的。该服
务端程序直接进入内存,并把感染机的7626端口开放。而使得拥有冰河客户端软件(G_Cl
ient.exe)的计算机可以对感染机进行远程控制。G_server.exe可以任意改名,运行时无
任何提示。

2、冰河的基本使用

运行客户端控制程序G_Client.exe,界面如下图所示。




点击菜单“文件”下的“自动收索”,弹出如下图的窗口。




查找IP地址:在“起始域”编辑框中输入要查找的IP地址,例如欲搜索IP地址“192.168.
1.1”至“192.168.1.255”网段的计算机,应将“起始域”设为“192.168.1”,将“起
始地址”和“终止地址”分别设为“1”和“255”,然后点“开始搜索”按钮,在右边列
表框中显示检测到已经在网上的计算机的IP地址,地址前面的“ERR:”表示这台计算机无
法控制;显示“OK:”的表示它曾经运行过G_Server.exe,也就是你可以控制了,同时它
的IP地址将“文件管理器”里显示出来。点击任何一个,在“当前连接:”的编辑框里就
显示这一个地址。

捕获屏幕:单击“文件”菜单下的“捕获屏幕”,就会弹出下图所示的窗口。




图像格式有BMP和JEPG两个选项,建议你选JEPG格式,因为它比较小,便于网络传输。“
图像色深”第一格为单色,第二格为16色,第三格为256色,依此类推。“图像品质”主
要反应的是图像的清晰度。按“确定”按钮后便出现远程计算机的当前屏幕内容。

捕获控制:点击“文件”菜单下的“捕获控制”,弹出下图类似的窗口,设置好后按“确
定”按钮;




可以让被控制的计算机某些系统按键失去作用。

冰河信使:试试文件”菜单下的“冰河信使”,出现下图所示的窗口;


其实相当于一个聊天工具,输入信息以后点“发送”即可,在被控制端就会出现消息窗口




3、冰河的“命令控制台”

单击“命令控制台”按钮,冰河的核心部分就在这里。

·口令类命令:选择“系统信息及口令”项,点击“系统信息与口令”,得到下图所示的
信息;




信息包括处理器类型、Windows版本、计算机名、当前用户、硬盘驱动器总容量、目前剩
余空间、冰河版本等,是不是很多?你可以单击鼠标右键,选择“保存列表”保存信息;
还有“开机口令”、“缓存口令”、“其他口令”几个按钮,你可以分别试试。

选“历史口令”项可以看的密码就更多了,点击“查看”可能会找到一大堆东西的,仔细
看看,里面甚至还有他用过的OICQ之类的软件的密码。一般没必要就不要选“清空”了。


选“击键记录”项后要点“启动键盘记录”,等到你觉得时间差不多了就点“终止键盘记
录”,然后点“查看键盘记录”,这段时间里对方的按键全部记录。

·控制类命令。

“捕获屏幕”前面已经叙述。

“发送信息”主要是让操作者选择合适的“图标类型”和“按钮类型”,然后在“信息正
文”里写上要发送的信息,按“预览”觉得满意后点“发送”即可。

“进程管理”是“查看进程”,了解远程计算机正在使用的进程,便于控制。

“窗口管理”非常简单,有刷新、子窗口、最大化、最小化、激活窗口、隐藏窗口、正常
关闭、暴力关闭这几个命令。

“系统控制”中的“远程关机”和“远程重起”功能不用解释。

“鼠标控制”中的“鼠标锁定”是锁定远程计算机的鼠标。

·网络类命令

“创建共享”是把被控制的计算机的某个文件或文件夹进行共享,而“删除共享”正好与
之相反。

网络信息”中的“查看共享”可以把被控制计算机里共享文件的文件名,权限和密码都
查看到。

“文件类命令”和“注册表读写”的操作这里就让读者自己去做了。

·设置类命令

“更换墙纸”命令要配合上面“文件类命令”的“文件查找”找到*.bmp的位图文件,然
后更换远程被监控计算机的墙纸。

“更改计算机名”命令使用后不会立即生效,不过当他重新启动计算机时就换了。

服务器端配置”通常用默认设置,当熟练使用冰河时再重新设置它。

4、防范与清除冰河

当冰河的G_Server.exe这个服务端程序在计算机上运行时,它不会有任何提示,而是在wi
ndows/system下建立应用程序“kernel32.exe”和“Sysexplr.exe”。

若试图手工删除,“Sysexplr.exe”可以删除,但是删除“kernel32.exe”时提示“无法
删除kernel32.exe:指定文件正在被windows使用”,按下“Ctrl+Alt+Del”时不可能找到
“kernel32.exe”,先不管它,重新启动系统,一查找,“Sysexplr.exe”一定会出来的
,你可以在纯DOS模式下手工删除掉这两个文件。再次重新启动,你猜发生了什么?再也
进不去Windows系统了。

重装系统后,再次运行G_Server.exe这个服务端程序,在“开始”->“运行”中输入命
令“regedit”打开注册表,在HKEY_LOCAL_MACHINESoftwareMicrosoftWindows
CurrentVersionRun下面发现@=“C:WINDOWSSYSTEMKernel32.exe”的存在,说明
它是每次启动就自动执行的。

怎么办呢?手工清除不行?试试杀毒工具吧!

金山毒霸一定很快就检测到它,并完全清除。清除后重新启动计算机,还要把刚才的过程
重复一次才能清楚干净。如果没有金山毒霸没有提示重新启动,那就是不彻底的,还要重
复几次。一直到金山毒霸提示“病毒防火墙——发现 [Hack.Glacier 2.1] 病毒在
C:RECYCLED*.EXE 文件中(已经删除)”,这时才说明已经彻底摆脱冰河了。

主目录 分目录


Copyright By「黑白网络工作室」2002 All Rights Reserve 


黑客攻防指南※===>工具介绍==>国产远程控制软件——冰河  

国产远程控制软件——冰河
作为一款流行的远程控制工具,在面世的初期,冰河就曾经以它简单的操作方法和强大的
控制能力令人胆寒,可以说是达到了谈“冰”色变的地步。鉴于此,这里进行简要介绍。


1、冰河的安装

该控制工具中有三个文件:Readme.txt,G_Client.exe和G_Server.exe。Readme.txt简单
介绍自己的使用,冰河当然也不例外了。G_Client.exe是监控端执行程序,可以用于监控
远程计算机和配置服务器,G_Server.exe是被监控端后台监控程序(运行一次即自动安装
,可任意改名)。最好不要在自己本机运行G_Server.exe,否则可能处于别人的控制之中
了。 也就是说,你要控制的远程计算机必须是要运行过G_Server.exe这个程序的。该服
务端程序直接进入内存,并把感染机的7626端口开放。而使得拥有冰河客户端软件(G_Cl
ient.exe)的计算机可以对感染机进行远程控制。G_server.exe可以任意改名,运行时无
任何提示。

2、冰河的基本使用

运行客户端控制程序G_Client.exe,界面如下图所示。




点击菜单“文件”下的“自动收索”,弹出如下图的窗口。




查找IP地址:在“起始域”编辑框中输入要查找的IP地址,例如欲搜索IP地址“192.168.
1.1”至“192.168.1.255”网段的计算机,应将“起始域”设为“192.168.1”,将“起
始地址”和“终止地址”分别设为“1”和“255”,然后点“开始搜索”按钮,在右边列
表框中显示检测到已经在网上的计算机的IP地址,地址前面的“ERR:”表示这台计算机无
法控制;显示“OK:”的表示它曾经运行过G_Server.exe,也就是你可以控制了,同时它
的IP地址将“文件管理器”里显示出来。点击任何一个,在“当前连接:”的编辑框里就
显示这一个地址。

捕获屏幕:单击“文件”菜单下的“捕获屏幕”,就会弹出下图所示的窗口。




图像格式有BMP和JEPG两个选项,建议你选JEPG格式,因为它比较小,便于网络传输。“
图像色深”第一格为单色,第二格为16色,第三格为256色,依此类推。“图像品质”主
要反应的是图像的清晰度。按“确定”按钮后便出现远程计算机的当前屏幕内容。

捕获控制:点击“文件”菜单下的“捕获控制”,弹出下图类似的窗口,设置好后按“确
定”按钮;




可以让被控制的计算机某些系统按键失去作用。

冰河信使:试试文件”菜单下的“冰河信使”,出现下图所示的窗口;


其实相当于一个聊天工具,输入信息以后点“发送”即可,在被控制端就会出现消息窗口




3、冰河的“命令控制台”

单击“命令控制台”按钮,冰河的核心部分就在这里。

·口令类命令:选择“系统信息及口令”项,点击“系统信息与口令”,得到下图所示的
信息;




信息包括处理器类型、Windows版本、计算机名、当前用户、硬盘驱动器总容量、目前剩
余空间、冰河版本等,是不是很多?你可以单击鼠标右键,选择“保存列表”保存信息;
还有“开机口令”、“缓存口令”、“其他口令”几个按钮,你可以分别试试。

选“历史口令”项可以看的密码就更多了,点击“查看”可能会找到一大堆东西的,仔细
看看,里面甚至还有他用过的OICQ之类的软件的密码。一般没必要就不要选“清空”了。


选“击键记录”项后要点“启动键盘记录”,等到你觉得时间差不多了就点“终止键盘记
录”,然后点“查看键盘记录”,这段时间里对方的按键全部记录。

·控制类命令。

“捕获屏幕”前面已经叙述。

“发送信息”主要是让操作者选择合适的“图标类型”和“按钮类型”,然后在“信息正
文”里写上要发送的信息,按“预览”觉得满意后点“发送”即可。

“进程管理”是“查看进程”,了解远程计算机正在使用的进程,便于控制。

“窗口管理”非常简单,有刷新、子窗口、最大化、最小化、激活窗口、隐藏窗口、正常
关闭、暴力关闭这几个命令。

“系统控制”中的“远程关机”和“远程重起”功能不用解释。

“鼠标控制”中的“鼠标锁定”是锁定远程计算机的鼠标。

·网络类命令

“创建共享”是把被控制的计算机的某个文件或文件夹进行共享,而“删除共享”正好与
之相反。

网络信息”中的“查看共享”可以把被控制计算机里共享文件的文件名,权限和密码都
查看到。

“文件类命令”和“注册表读写”的操作这里就让读者自己去做了。

·设置类命令

“更换墙纸”命令要配合上面“文件类命令”的“文件查找”找到*.bmp的位图文件,然
后更换远程被监控计算机的墙纸。

“更改计算机名”命令使用后不会立即生效,不过当他重新启动计算机时就换了。

服务器端配置”通常用默认设置,当熟练使用冰河时再重新设置它。

4、防范与清除冰河

当冰河的G_Server.exe这个服务端程序在计算机上运行时,它不会有任何提示,而是在wi
ndows/system下建立应用程序“kernel32.exe”和“Sysexplr.exe”。

若试图手工删除,“Sysexplr.exe”可以删除,但是删除“kernel32.exe”时提示“无法
删除kernel32.exe:指定文件正在被windows使用”,按下“Ctrl+Alt+Del”时不可能找到
“kernel32.exe”,先不管它,重新启动系统,一查找,“Sysexplr.exe”一定会出来的
,你可以在纯DOS模式下手工删除掉这两个文件。再次重新启动,你猜发生了什么?再也
进不去Windows系统了。

重装系统后,再次运行G_Server.exe这个服务端程序,在“开始”->“运行”中输入命
令“regedit”打开注册表,在HKEY_LOCAL_MACHINESoftwareMicrosoftWindows
CurrentVersionRun下面发现@=“C:WINDOWSSYSTEMKernel32.exe”的存在,说明
它是每次启动就自动执行的。

怎么办呢?手工清除不行?试试杀毒工具吧!

金山毒霸一定很快就检测到它,并完全清除。清除后重新启动计算机,还要把刚才的过程
重复一次才能清楚干净。如果没有金山毒霸没有提示重新启动,那就是不彻底的,还要重
复几次。一直到金山毒霸提示“病毒防火墙——发现 [Hack.Glacier 2.1] 病毒在
C:RECYCLED*.EXE 文件中(已经删除)”,这时才说明已经彻底摆脱冰河了。 本文来源:华西安全网[http://www.hx99.net]
发表评论】【告诉QQ好友】【错误报告】【加入收藏】【关闭