木马的介绍
特洛伊木馬(以下簡稱木馬)，英文叫做“Trojan horse”，其名稱取自希臘神話的特洛伊木馬記。?
它是一種基于遠程控制的黑客工具，具有隱蔽性和非授權性的特點。?
所謂隱蔽性是指木馬的設計者為了防止木馬被發現，會采用多種手段隱藏木馬，這樣服務端即使發現感染了木馬，由于不能確定其具體位置，往往只能望“馬”興嘆。?
所謂非授權性是指一旦控制端與服務端連接后，控制端將享有服務端的大部分操作權限，包括修改文件，修改注冊表，控制鼠標，鍵盤等等，而這些權力并不是服務端賦予的，而是通過木馬程序竊取的。?
從木馬的發展來看，基本上可以分為兩個階段。?
最初網絡還處于以UNIX平臺為主的時期，木馬就產生了，當時的木馬程序的功能相對簡單，往往是將一段程序嵌入到系統文件中，用跳轉指令來執行一些木馬的功能，在這個時期木馬的設計者和使用者大都是些技術人員，必須具備相當的網絡和編程知識。?
而后隨著WINDOWS平臺的日益普及，一些基于圖形操作的木馬程序出現了，用戶界面的改善，使使用者不用懂太多的專業知識就可以熟練的操作木馬，相對的木馬入侵事件也頻繁出現，而且由于這個時期木馬的功能已日趨完善，因此對服務端的破壞也更大了。?
所以所木馬發展到今天，已經無所不用其極，一旦被木馬控制，你的電腦將毫無秘密可言。?
鑒于木馬的巨大危害性，我們將分原理篇，防御與反擊篇，資料篇三部分來詳細介紹木馬，希望大家對特洛伊木馬這種攻擊手段有一個透徹的了解。?
原 理 篇?
基礎知識?
在介紹木馬的原理之前有一些木馬構成的基礎知識我們要事先加以說明,因為下面有很多地方會提到這些內容。?
一個完整的木馬系統由硬件部分，軟件部分和具體連接部分組成。?
(1)硬件部分：建立木馬連接所必須的硬件實體。 控制端：對服務端進行遠程控制的一方。 服務端：被控制端遠程控制的一方。 INTERNET：控制端對服務端進行遠程控制，數據傳輸的網絡載體。?
(2)軟件部分：實現遠程控制所必須的軟件程序。 控制端程序：控制端用以遠程控制服務端的程序。 木馬程序：潛入服務端內部，獲取其操作權限的程序。 木馬配置程序：設置木馬程序的端口號，觸發條件，木馬名稱等，使其在服務端藏得更隱蔽的程序。?
(3)具體連接部分：通過INTERNET在服務端和控制端之間建立一條木馬通道所必須的元素。 控制端IP，服務端IP：即控制端，服務端的網絡地址，也是木馬進行數據傳輸的目的地。 控制端端口，木馬端口：即控制端，服務端的數據入口，通過這個入口，數據可直達控制端程序或木馬 程序。?
木馬原理?
用木馬這種黑客工具進行網絡入侵，從過程上看大致可分為六步(具體可見下圖)，下面我們就按這六步來詳細闡述木馬的攻擊原理。?
一.配置木馬?
一般來說一個設計成熟的木馬都有木馬配置程序，從具體的配置內容看，主要是為了實現以下兩方 面功能：?
(1)木馬偽裝：木馬配置程序為了在服務端盡可能的好的隱藏木馬，會采用多種偽裝手段，如修改圖標 ，捆綁文件，定制端口，自我銷毀等，我們將在“傳播木馬”這一節中詳細介紹。?
(2)信息反饋：木馬配置程序將就信息反饋的方式或地址進行設置，如設置信息反饋的郵件地址，IRC號 ，ICO號等等，具體的我們將在“信息反饋”這一節中詳細介紹。?
二.傳播木馬?
(1)傳播方式:?
木馬的傳播方式主要有兩種:一種是通過E-MAIL,控制端將木馬程序以附件的形式夾在郵件中發送出 去, 收信人只要打開附件系統就會感染木馬;另一種是軟件下載，一些非正規的網站以提供軟件下載為名義， 將木馬捆綁在軟件安裝程序上，下載后，只要一運行這些程序，木馬就會自動安裝。?
(2)偽裝方式:?
鑒于木馬的危害性,很多人對木馬知識還是有一定了解的,這對木馬的傳播起了一定的抑制作用,這 是木馬設計者所不愿見到的,因此他們開發了多種功能來偽裝木馬,以達到降低用戶警覺,欺騙用戶的目的。?
(一)修改圖標?
當你在E-MAIL的附件中看到這個圖標時,是否會認為這是個文本文件呢?但是我不得不告 訴你,這也有可能是個木馬程序,現在 已經有木馬可以將木馬服務端程序的圖標改成HTML,TXT, ZIP等各種文件的圖標,這有相當大的迷 惑性,但是目前提供這種功能的木馬還不多見,并且這種 偽裝也不是無懈可擊的,所以不必整天提心吊膽,疑神疑鬼的。?
(二)捆綁文件?
這種偽裝手段是將木馬捆綁到一個安裝程序上,當安裝程序運行時,木馬在用戶毫無察覺的 情況下 ,偷偷的進入了系統。至于被捆綁的文件一般是可執行文件(即EXE,COM一類的文件)。?
(三)出錯顯示?
有一定木馬知識的人都知道,如果打開一個文件,沒有任何反應,這很可能就是個木馬程序, 木馬的 設計者也意識到了這個缺陷,所以已經有木馬提供了一個叫做出錯顯示的功能。當服務 端用戶打開木 馬程序時,會彈出一個如下圖所示的錯誤提示框(這當然是假的),錯誤內容可自由 定義,大多會定制成 一些諸如“文件已破壞，無法打開的！”之類的信息，當服務端用戶信以 為真時,木馬卻悄悄侵入了 系統。?
(四)定制端口?
很多老式的木馬端口都是固定的,這給判斷是否感染了木馬帶來了方便,只要查一下特定的 端口就 知道感染了什么木馬,所以現在很多新式的木馬都加入了定制端口的功能,控制端用戶可 以在1024---65535之間任選一個端口作為木馬端口(一般不選1024以下的端口)，這樣就給判斷 所感染木馬類型帶 來了麻煩。?
(五)自我銷毀?
這項功能是為了彌補木馬的一個缺陷。我們知道當服務端用戶打開含有木馬的文件后，木馬 會將自己拷貝到WINDOWS的系統文件夾中(C:WINDOWS或C:WINDOWSSYSTEM目錄下)，一般來說 原木馬文件 和系統文件夾中的木馬文件的大小是一樣的(捆綁文件的木馬除外),那么中了木馬 的朋友只要在近來 收到的信件和下載的軟件中找到原木馬文件,然后根據原木馬的大小去系統 文件夾找相同大小的文件, 判斷一下哪個是木馬就行了。而木馬的自我銷毀功能是指安裝完木 馬后，原木馬文件將自動銷毀，這 樣服務端用戶就很難找到木馬的來源，在沒有查殺木馬的工 具幫助下，就很難刪除木馬了。?
(六)木馬更名?
安裝到系統文件夾中的木馬的文件名一般是固定的，那么只要根據一些查殺木馬的文章,按 圖索驥在系統文件夾查找特定的文件,就可以斷定中了什么木馬。所以現在有很多木馬都允許控 制端用戶自由定制安裝后的木馬文件名，這樣很難判斷所感染的木馬類型了。?
三.運行木馬?
服務端用戶運行木馬或捆綁木馬的程序后,木馬就會自動進行安裝。首先將自身拷貝到WINDOWS的 系統文件夾中(C:WINDOWS或C:WINDOWSSYSTEM目錄下),然后在注冊表,啟動組,非啟動組中設置好木馬 的觸發條件 ,這樣木馬的安裝就完成了。安裝后就可以啟動木馬了，具體過程見下圖：?
(1)由觸發條件激活木馬?
觸發條件是指啟動木馬的條件,大致出現在下面八個地方:?
1.注冊表:打開HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersion下的五個以Run 和RunServices主鍵,在其中尋找可能是啟動木馬的鍵值。?
2.WIN.INI:C:WINDOWS目錄下有一個配置文件win.ini，用文本方式打開，在[windows]字段中有啟動 命令 load=和run=,在一般情況下是空白的,如果有啟動程序,可能是木馬。 3.SYSTEM.INI:C:WINDOWS目錄下有個配置文件system.ini，用文本方式打開，在[386Enh],[mic]， [drivers32]中有命令行,在其中尋找木馬的啟動命令。?
4.Autoexec.bat和Config.sys:在C盤根目錄下的這兩個文件也可以啟動木馬。但這種加載方式一般都 需要控制端用戶與服務端建立連接后，將已添加木馬啟動命令的同名 文件上傳 到服務端覆蓋這兩個文件才行。?
5.*.INI:即應用程序的啟動配置文件，控制端利用這些文件能啟動程序的特點，將制作好的帶有木馬 啟動命令的同名文件上傳到服務端覆蓋這同名文件，這樣就可以達到啟動木馬的目的了。?
6.注冊表:打開HKEY_CLASSES_ROOT文件類型\shellopencommand主鍵,查看其鍵值。舉個例子,國產 木馬“冰河”就是修改HKEY_CLASSES_ROOT??????? xtfileshellopencommand下的鍵值,將“C :WINDOWS NOTEPAD.EXE %1”該為“C:WINDOWSSYSTEMSYXXXPLR.EXE %1”，這時你雙 擊一個TXT文件 后，原本應用NOTEPAD打開文件的，現在卻變成啟動木馬程序了。還要說明 的是不光是TXT文件 ，通過修改HTML，EXE，ZIP等文件的啟動命令的鍵值都可以啟動木馬 ，不同之處只在于“文件類型”這個主鍵的差別，TXT是txtfile,ZIP是WINZIP，大家可以 試著去找一下。?
7.捆綁文件:實現這種觸發條件首先要控制端和服務端已通過木馬建立連接，然后控制端用戶用工具 軟件將木馬文件和某一應用程序捆綁在一起，然后上傳到服務端覆蓋原文件，這樣即使 木馬被刪 除了，只要運行捆綁了木馬的應用程序，木馬又會被安裝上去了。?
8.啟動菜單:在“開始---程序---啟動”選項下也可能有木馬的觸發條件。?
(2)木馬運行過程?
木馬被激活后，進入內存，并開啟事先定義的木馬端口，準備與控制端建立連接。這時服務端用 戶可以在MS-DOS方式下，鍵入NETSTAT -AN查看端口狀態，一般個人電腦在脫機狀態下是不會有端口 開放的，如果有端口開放，你就要注意是否感染木馬了。下面是電腦感染木馬后，用NETSTAT命令查 看端口的兩個實例：?
其中①是服務端與控制端建立連接時的顯示狀態，②是服務端與控制端還未建立連接時的顯示狀態。?
在上網過程中要下載軟件，發送信件，網上聊天等必然打開一些端口，下面是一些常用的端口：?
(1)1---1024之間的端口：這些端口叫保留端口，是專給一些對外通訊的程序用的，如FTP使用21， SMTP使用25，POP3使用110等。只有很少木馬會用保留端口作為木馬端口 的。?
(2)1025以上的連續端口：在上網瀏覽網站時，瀏覽器會打開多個連續的端口下載文字，圖片到本地 硬盤上，這些端口都是1025以上的連續端口。?
(3)4000端口：這是OICQ的通訊端口。?
(4)6667端口：這是IRC的通訊端口。 除上述的端口基本可以排除在外，如發現還有其它端口打開，尤其是數值比較大的端口，那就要懷疑 是否感染了木馬，當然如果木馬有定制端口的功能，那任何端口都有可能是木馬端口。?
四.信息泄露:?
一般來說，設計成熟的木馬都有一個信息反饋機制。所謂信息反饋機制是指木馬成功安裝后會收集 一些服務端的軟硬件信息，并通過E-MAIL，IRC或ICO的方式告知控制端用戶。?
從反饋信息中控制端可以知道服務端的一些軟硬件信息，包括使用的操作系統，系統目錄，硬盤分區況， 系統口令等，在這些信息中，最重要的是服務端IP，因為只有得到這個參數，控制端才能與服務端建立 連接，具體的連接方法我們會在下一節中講解。?
五.建立連接：?
這一節我們講解一下木馬連接是怎樣建立的 。一個木馬連接的建立首先必須滿足兩個條件：一是 服務端已安裝了木馬程序；二是控制端，服務端都要在線 。在此基礎上控制端可以通過木馬端口與服 務端建立連接。
假設A機為控制端，B機為服務端，對于A機來說要與B機建立連接必須知道B機的木馬端口和IP地 址，由于木馬端口是A機事先設定的，為已知項，所以最重要的是如何獲得B機的IP地址。獲得B機的IP 地址的方法主要有兩種：信息反饋和IP掃描。對于前一種已在上一節中已經介紹過了，不再贅述，我們 重點來介紹IP掃描，因為B機裝有木馬程序，所以它的木馬端口7626是處于開放狀態的，所以現在A機只 要掃描IP地址段中7626端口開放的主機就行了，例如圖中B機的IP地址是202.102.47.56，當A機掃描到 這個IP時發現它的7626端口是開放的，那么這個IP就會被添加到列表中，這時A機就可以通過木馬的控 制端程序向B機發出連接信號，B機中的木馬程序收到信號后立即作出響應，當A機收到響應的信號后， 開啟一個隨即端口1031與B機的木馬端口7626建立連接，到這時一個木馬連接才算真正建立。值得一提 的要掃描整個IP地址段顯然費時費力，一般來說控制端都是先通過信息反饋獲得服務端的IP地址，由于 撥號上網的IP是動態的，即用戶每次上網的IP都是不同的，但是這個IP是在一定范圍內變動的，如圖中 B機的IP是202.102.47.56，那么B機上網IP的變動范圍是在202.102.000.000---202.102.255.255，所以 每次控制端只要搜索這個IP地址段就可以找到B機了。?
六.遠程控制：?
木馬連接建立后，控制端端口和木馬端口之間將會出現一條通道。
控制端上的控制端程序可藉這條通道與服務端上的木馬程序取得聯系,并通過木馬程序對服務端進行遠 程控制。下面我們就介紹一下控制端具體能享有哪些控制權限，這遠比你想象的要大。?
(1)竊取密碼：一切以明文的形式，*形式或緩存在CACHE中的密碼都能被木馬偵測到，此外很多木馬還 提供有擊鍵記錄功能，它將會記錄服務端每次敲擊鍵盤的動作，所以一旦有木馬入侵， 密碼將很容易被竊取。?
(2)文件操作：控制端可藉由遠程控制對服務端上的文件進行刪除,新建,修改,上傳,下載,運行,更改屬 性等一系列操作,基本涵蓋了WINDOWS平臺上所有的文件操作功能。?
(3)修改注冊表：控制端可任意修改服務端注冊表，包括刪除，新建或修改主鍵，子鍵，鍵值。有了這 項功能控制端就可以禁止服務端軟驅，光驅的使用，鎖住服務端的注冊表，將服務端 上木馬的觸發條件設置得更隱蔽的一系列高級操作。?
(4)系統操作：這項內容包括重啟或關閉服務端操作系統，斷開服務端網絡連接，控制服務端的鼠標， 鍵盤，監視服務端桌面操作，查看服務端進程等，控制端甚至可以隨時給服務端發送信息，想象一下，當服務端的桌面上突然跳出一段話，不嚇人一跳才怪
木馬和病毒都是一種人為的程序,都屬于電腦病毒,為什么木馬要單獨提出來說內?大家都知道以前的電腦病毒的作用,其實完全就是為了搞破壞,破壞電腦里的資料數據,除了破壞之外其它無非就是有些病毒制造者為了達到某些目的而進行的威懾和敲詐勒索的作用,或為了炫耀自己的技術. "木馬"不一樣,木馬的作用是赤裸裸的偷偷監視別人和盜竊別人密碼,數據等,如盜竊管理員密碼-子網密碼搞破壞,或者好玩,偷竊上網密碼用于它用,游戲帳號,股票帳號,甚至網上銀行帳戶等.達到偷窺別人隱私和得到經濟利益的目的.所以木馬的作用比早期的電腦病毒更加有用.更能夠直接達到使用者的目的!導致許多別有用心的程序開發者大量的編寫這類帶有偷竊和監視別人電腦的侵入性程序,這就是目前網上大量木馬泛濫成災的原因.鑒于木馬的這些巨大危害性和它與早期病毒的作用性質不一樣,所以木馬雖然屬于病毒中的一類,但是要單獨的從病毒類型中間剝離出來.獨立的稱之為"木馬"程序.?
一般來說一種殺毒軟件程序,它的木馬專殺程序能夠查殺某某木馬的話,那么它自己的普通殺毒程序也當然能夠殺掉這種木馬,因為在木馬泛濫的今天,為木馬單獨設計一個專門的木馬查殺工具,那是能提高該殺毒軟件的產品檔次的,對其聲譽也大大的有益,實際上一般的普通殺毒軟件里都包含了對木馬的查殺功能.如果現在大家說某某殺毒軟件沒有木馬專殺的程序,那這家殺毒軟件廠商自己也好像有點過意不去,即使它的普通殺毒軟件里當然的有殺除木馬的功能.?
還有一點就是,把查殺木馬程序單獨剝離出來,可以提高查殺效率,現在很多殺毒軟件里的木馬專殺程序只對木馬進行查殺,不去檢查普通病毒庫里的病毒代碼,也就是說當用戶運行木馬專殺程序的時候,程序只調用木馬代碼庫里的數據,而不調用病毒代碼庫里的數據,大大提高木馬查殺速度.我們知道查殺普通病毒的速度是比較慢的,因為現在有太多太多的病毒.每個文件要經過幾萬條木馬代碼的檢驗,然后再加上已知的差不多有近10萬個病毒代碼的檢驗,那速度豈不是很慢了.省去普通病毒代碼檢驗,是不是就提高了效率,提高了速度內? 也就是說現在好多殺毒軟件自帶的木馬專殺程序只查殺木馬而一般不去查殺病毒,但是它自身的普通病毒查殺程序既查殺病毒又查殺木馬!
?
?
隱形”木馬啟動方式揭秘
大家所熟知的木馬程序一般的啟動方式有：加載到“開始”菜單中的“啟動”項、記錄到注冊表的[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]項和[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]項中，更高級的木馬還會注冊為系統的“服務”程序，以上這幾種啟動方式都可以在“系統配置實用程序”(在“開始→運行”中執行“Msconfig”)的“啟動”項和“服務”項中找到它的蹤跡。?
另一種鮮為人知的啟動方式，是在“開始→運行”中執行“Gpedit.msc”。打開“組策略”，可看到“本地計算機策略”中有兩個選項：“計算機配置”與“用戶配置”，展開“用戶配置→管理模板→系統→登錄”，雙擊“在用戶登錄時運行這些程序”子項進行屬性設置，選定“設置”項中的“已啟用”項并單擊“顯示”按鈕彈出“顯示內容”窗口，再單擊“添加”按鈕，在“添加項目”窗口內的文本框中輸入要自啟動的程序的路徑，如圖所示，單擊“確定”按鈕就完成了。 添加需要啟動的文件面?
重新啟動計算機，系統在登錄時就會自動啟動你添加的程序，如果剛才添加的是木馬程序，那么一個“隱形”木馬就這樣誕生了。因為用這種方式添加的自啟動程序在系統的“系統配置實用程序”是找不到的，同樣在我們所熟知的注冊表項中也是找不到的，所以非常危險。?
通過這種方式添加的自啟動程序雖然被記錄在注冊表中，但是不在我們所熟知的注冊表的[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]項和[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]項內，而是在冊表的[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]項。如果你懷疑你的電腦被種了“木馬”，可是又找不到它在哪兒，建議你到注冊表的[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]項里找找吧，或是進入“組策略”的“在用戶登錄時運行這些程序”看看有沒有啟動的程序。?
?
? 特洛伊木馬NetBus v.1.60的中文說明
概 述?
此程序是一個遙控管理工具,更是一個在局域網或在全球因特網上同朋友逗樂的軟件.?
安 裝?
NetBus包含服務器和客戶機部分,服務器必須安裝在你想逗樂的人的計算機上.客戶機屬你掌握,它是控?
制目標計算機的好程序.?
把NetSever服務器,Patch.exe(可更名),放入目標計算機的任意位置并運行它,缺省時安裝在Windows中,?
以更開機時自動運行. 把NetSever客戶機,裝在自己的計算機里.開始NetBus,聯結你選擇的域名或(IP地?
址);如果Patch已在你聯結的目標計算機中已運行. 讓我們開始逗樂!?
?
注意:你看不到Patch在運行-它Windows開始時自動運行,并隱藏.?
Netbus和Patch使用TCP/IP協議.因此,你的地址有域名或IP號.NetBus會用Connect按鈕把你和某人聯上.?
?
功 能?
*彈開/關閉CD-ROM一次或間隔性自動開關.?
*顯示所選擇的圖象,如果你沒有圖像文件的路徑,可在Pacth的目錄中找.支持BMP和JPG格式.?
*交換鼠標按鈕-鼠標右鍵變成鼠標左鍵的功能.?
*開始所選擇的應用程序.?
*播放所選擇的聲音文件, 如果你沒有聲音文件的路徑,可在Pacth的目錄中找.支持WAV格式.?
*點擊所選的鼠標坐標,你甚至可你的鼠標在目標計算機中運行.?
*在銀屏上顯示對話框,回答會返回你的計算機中.?
*關閉系統,刪除用戶記錄等.?
*用缺省網絡瀏覽器,瀏覽所選擇的URL.?
*發送鍵盤輸入的信息到目標計算機中的活動應用程序中!?
*監視對方的鍵盤輸入的信息,并發回到你的計算機.?
*清屏!(連接速度慢時禁用).?
*獲取目標計算機中的信息.?
*上載你的文件到目標計算機中!用此功能,可上載Patch的最新版本.?
*增大和減少聲音音量.?
*記錄麥克風的聲音,并將聲音返回.?
*按一次鍵每次有聲音.?
*下載和刪除目標中的任何文件.你能下載/刪除在目標計算機硬盤中所選擇的文件.?
*鍵盤禁用功能.?
*密碼保護管理.?
*記錄鍵盤活動
*顯示,死機和集中系統中的窗囗.?
?
上述功能一些選項在執行時,(邏輯排異),可能會延遲幾秒.?
連 接?
Connect按鈕有個很好的特點,它能掃描NetBus計算機中的IP地址.一旦連接它會停止掃描.IP掃描的?
參數是xx.xx.xx.xx+xx,等.?
127.0.0.1+15 將掃描IP地址的范圍是127.0.0.1到 127.0.0.16
但是木馬大多數殺毒軟件殺不到,我推薦木馬殺客\木馬克星.
木馬后來會將電腦變成一只"肉雞",任幕后人控制,只要你連了網,他就可以肆意控制你的主機,只有拔電源才不會被控制. ___________________________________________________________________________________________________________現在網頁木馬無非有以下幾種方式中到你的機器里?
1：把木馬文件改成BMP文件，然后配合你機器里的DEBUG來還原成EXE，網上存在該木馬20%?
2：下載一個TXT文件到你機器，然后里面有具體的FTP^-^作，FTP連上他們有木馬的機器下載木馬，網上存在該木馬20%?
3：也是最常用的方式，下載一個HTA文件，然后用網頁控件解釋器來還原木馬。該木馬在網上存在50%以上?
4：采用JS腳本，用VBS腳本來執行木馬文件，該型木馬偷QQ的比較多，偷傳奇的少，大概占10%左右?
5：其他方式未知。。。。。。。。。。。。。?
現在我們來說防范的方法。。。。。。。。。不要丟金磚?
那就是把 windows\system\mshta.exe文件改名，?
改成什么自己隨便 (s個屁和瘟2000是在system32下)?
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\ 下為Active Setup controls創建一個基于CLSID的新鍵值 {6E449683_C509_11CF_AAFA_00AA00 B6015C}，然后在新鍵值下創建一個REG_DWORD 類型的鍵Compatibility，并設定鍵值為0x00000400即可。?
?
還有windows\command\debug.exe和windows\ftp.exe都給改個名字 (或者刪除)?
一些最新流行的木馬 最有效果的防御~~?
比如網絡上流行 的木馬 smss.exe 這個是其中一種木馬的主體 潛伏在 98/winme/xp c:\windows目錄下 2000 c:\winnt .....?
假如你中了這個木馬 首先我們用進程管理器結束 正在運行的木馬smss.exe 然后在C:\windows 或 c:\winnt\目錄下 創建一個假的 smss.exe 并設置為只讀屬性~ （2000/XP NTFS的磁盤格式 的話那就更好 可以用“安全設置” 設置為讀取） 這樣木馬沒了~ 以后也不會在感染了這個辦法本人測試過對很多木馬?
都很有效果的?
經過這樣的修改后，我現在專門找別人發的木馬網址去測試，實驗結果是上了大概20個木馬網站，有大概15個瑞星會報警，另外5個瑞星沒有反映，而我的機器沒有添加出來新的EXE文件，也沒有新的進程出現，只不過有些木馬的殘骸留在了IE的臨時文件夾里，他們沒有被執行起來，沒有危險性，所以建議大家經常清理 臨時文件夾和IE
木馬（Trojan）這個名字來源于古希臘傳說，它是指通過一段特定的程序（木馬程序）來控制另一臺計算機。木馬通常有兩個可執行程序：一個是客戶端，即控制端，另一個是服務端，即被控制端。木馬的設計者為了防止木馬被發現，而采用多種手段隱藏木馬。木馬的服務一旦運行并被控制端連接，其控制端將享有服務端的大部分操作權限，例如給計算機增加口令，瀏覽、移動、復制、刪除文件，修改注冊表，更改計算機配置等。
隨著病毒編寫技術的發展，木馬程序對用戶的威脅越來越大，尤其是一些木馬程序采用了極其狡猾的手段來隱蔽自己，使普通用戶很難在中毒后發覺。
防治木馬的危害，應該采取以下措施：
第一，安裝殺毒軟件和個人防火墻，并及時升級。
第二，把個人防火墻設置好安全等級，防止未知程序向外傳送數據。
第三，可以考慮使用安全性比較好的瀏覽器和電子郵件客戶端工具。
第四，如果使用IE瀏覽器，應該安裝卡卡安全助手，防止惡意網站在自己電腦上安裝不明軟件和瀏覽器插件，以免被木馬趁機侵入 “特洛伊木馬”（trojan horse）簡稱“木馬”，據說這個名稱來源于希臘神話《木馬屠城記》。古希臘有大軍圍攻特洛伊城，久久無法攻下。于是有人獻計制造一只高二丈的大木馬，假裝作戰馬神，讓士兵藏匿于巨大的木馬中，大部隊假裝撤退而將木馬擯棄于特洛伊城下。城中得知解圍的消息后，遂將“木馬”作為奇異的戰利品拖入城內，全城飲酒狂歡。到午夜時分，全城軍民盡入夢鄉，匿于木馬中的將士開秘門游繩而下，開啟城門及四處縱火，城外伏兵涌入，部隊里應外合，焚屠特洛伊城。后世稱這只大木馬為“特洛伊木馬”。如今黑客程序借用其名，有“一經潛入，后患無窮”之意。?
完整的木馬程序一般由兩個部份組成：一個是服務器程序，一個是控制器程序。“中了木馬”就是指安裝了木馬的服務器程序，若你的電腦被安裝了服務器程序，則擁有控制器程序的人就可以通過網絡控制你的電腦、為所欲為，這時你電腦上的各種文件、程序，以及在你電腦上使用的帳號、密碼就無安全可言了。?
木馬程序不能算是一種病毒，但越來越多的新版的殺毒軟件，已開始可以查殺一些木馬了，所以也有不少人稱木馬程序為黑客病毒。
一般的木馬程序都包括客戶端和服務端兩個程序，其中客戶端是用于攻擊者遠程控制植入木馬的機器，服務器端程序即是木馬程序他所做的第一步是要把木馬的服務器端。攻擊者要通過木馬攻擊你的系統，程序植入到你的電腦里面。
目前木馬入侵的主要途徑還是先通過一定的方法把木馬執行文件弄到被攻擊者的電腦系統里，利用的途徑有郵件附件、下載軟件中等，然后通過一定的提示故意誤導被攻擊者打開執行文件，比如故意謊稱這個木馬執行文件，是你朋友送給你賀卡，可能你打開這個文件后，確實有賀卡的畫面出現，但這時可能木馬已經悄悄在你的后臺運行了。一般的木馬執行文件非常小，大部分都是幾K到幾十K，如果把木馬捆綁到其他正常文件上，你很難發現，所以，有一些網站提供的軟件下載往往是捆綁了木馬文件的，你執行這些下載的文件，也同時運行了木馬。
木馬也可以通過Script、ActiveX及Asp.CGI交互腳本的方式植入，由于微軟的瀏覽器在執行Senipt腳本存在一些漏洞。攻擊者可以利用這些漏洞傳播病毒和木馬，甚至直接對瀏覽者電腦進行文件操作等控制。前不久獻出現一個利用微軟Scripts腳本漏洞對瀏覽者硬盤進行格式化的HTML頁面。如果攻擊者有辦法把木馬執行文件下載到攻擊主機的一個可執行WWW目錄夾里面，他可以通過編制CGI程序在攻擊主機上執行木馬目錄。此外，木馬還可以利用系統的一些漏洞進行植人，如微軟著名的US服務器溢出漏洞，通過一個IISHACK攻擊程序即可使IIS服務器崩潰，并且同時攻擊服務器，執行遠程木馬執行文件。
當服務端程序在被感染的機器上成功運行以后，攻擊者就可以使用客戶端與服務端建立連接，并進一步控制被感染的機器。在客戶端和服務端通信協議的選擇上，絕大多數木馬使用的是TCP/IP協議，但是也有一些木馬由于特殊的原因，使用UDP協議進行通訊。當服務端在被感染機器上運行以后，它一方面盡量把自己隱藏在計算機的某個角落里面，以防被用戶發現；同時監聽某個特定的端口，等待客戶端與其取得連接;另外為了下次重啟計算機時仍然能正常工作。木馬程序一般會通過修改注冊表或者其他的方法讓自己成為自啟動程序。?
木馬是如何啟動的
作為一個優秀的木馬，自啟動功能是必不可少的，這樣可以保證木馬不會因為你的一次關機操作而徹底失去作用。正因為該項技術如此重要，所以，很多編程人員都在不停地研究和探索新的自啟動技術，并且時常有新的發現。一個典型的例子就是把木馬加入到用戶經常執行的程序 (例如explorer.exe)中，用戶執行該程序時，則木馬自動發生作用。當然，更加普遍的方法是通過修改Windows系統文件和注冊表達到目的，現經常用的方法主要有以下幾種:
1.在Win.ini中啟動
在Win.ini的[windows]字段中有啟動命令"load＝"和"run＝"，在一般情況下 "＝"后面是空白的，如果有后跟程序，比方說是這個樣子：
run=c:\windows\file.exe?
load=c:\windows\file.exe
要小心了，這個file.exe很可能是木馬哦。
2.在System.ini中啟動
System.ini位于Windows的安裝目錄下，其[boot]字段的shell=Explorer.exe是木馬喜歡的隱藏加載之所，木馬通常的做法是將該何變為這樣:shell=Explorer.exefile.exe。注意這里的file.exe就是木馬服務端程序!
另外，在System.中的[386Enh]字段，要注意檢查在此段內的"driver＝路徑\程序名"這里也有可能被木馬所利用。再有，在System.ini中的[mic]、[drivers]、[drivers32]這3個字段，這些段也是起到加載驅動程序的作用，但也是增添木馬程序的好場所，現在你該知道也要注意這里嘍。
3.利用注冊表加載運行
如下所示注冊表位置都是木馬喜好的藏身加載之所，趕快檢查一下，有什么程序在其下。
4.在Autoexec.bat和Config.sys中加載運行
請大家注意，在C盤根目錄下的這兩個文件也可以啟動木馬。但這種加載方式一般都需要控制端用戶與服務端建立連接后，將己添加木馬啟動命令的同名文件上傳到服務端覆蓋這兩個文件才行，而且采用這種方式不是很隱蔽。容易被發現，所以在Autoexec.bat和Confings中加載木馬程序的并不多見，但也不能因此而掉以輕心。
5.在Winstart.bat中啟動
Winstart.bat是一個特殊性絲毫不亞于Autoexec.bat的批處理文件，也是一個能自動被Windows加載運行的文件。它多數情況下為應用程序及Windows自動生成，在執行了Windows自動生成，在執行了Win.com并加截了多數驅動程序之后
開始執行 (這一點可通過啟動時按F8鍵再選擇逐步跟蹤啟動過程的啟動方式可得知)。由于Autoexec.bat的功能可以由Witart.bat代替完成，因此木馬完全可以像在Autoexec.bat中那樣被加載運行，危險由此而來。
6.啟動組
木馬們如果隱藏在啟動組雖然不是十分隱蔽，但這里的確是自動加載運行的好場所，因此還是有木馬喜歡在這里駐留的。啟動組對應的文件夾為C:\Windows\start menu\programs\startup,在注冊表中的位置:HKEY_CURRENT_USER\Software\Microsoft\windows\CurrentVersion\Explorer\shell
Folders Startup="c:\windows\start menu\programs\startup"。要注意經常檢查啟動組哦!
7.*.INI
即應用程序的啟動配置文件，控制端利用這些文件能啟動程序的特點，將制作好的帶有木馬啟動命令的同名文件上傳到服務端覆蓋這同名文件，這樣就可以達到啟動木馬的目的了。只啟動一次的方式:在winint.ini.中(用于安裝較多)。
8.修改文件關聯
修改文件關聯是木馬們常用手段 (主要是國產木馬，老外的木馬大都沒有這個功能)，比方說正常情況下TXT文件的打開方式為Notepad.EXE文件，但一旦中了文件關聯木馬，則txt文件打開方式就會被修改為用木馬程序打開，如著名的國產木馬冰河就是這樣干的. "冰河"就是通過修改HKEY_CLASSES_ROOT\txtfile\whell\open\command下的鍵值，將“C:\WINDOWS\NOTEPAD.EXE本應用Notepad打開，如著名的國產HKEY一CLASSES一ROOT\txt鬧e\shell\open\commandT的鍵值，將 "C:\WINDOWS\NOTEPAD.EXE%l"改為 "C:\WINDOWS\SYSTEM\SYSEXPLR.EXE%l"，這樣，一旦你雙擊一個TXT文件，原本應用Notepad打開該文件，現在卻變成啟動木馬程序了，好狠毒哦!請大家注意，不僅僅是TXT文件，其他諸如HTM、EXE、ZIP.COM等都是木馬的目標，要小心摟。
對付這類木馬，只能經常檢查HKEY_C\shell\open\command主鍵，查看其鍵值是否正常。
9.捆綁文件
實現這種觸發條件首先要控制端和服務端已通過木馬建立連接，然后控制端用戶用工具軟件將木馬文件和某一應用程序捆綁在一起，然后上傳到服務端覆蓋源文件，這樣即使木馬被刪除了，只要運行捆綁了木馬的應用程序，木馬義會安裝上去。綁定到某一應用程序中，如綁定到系統文件，那么每一次Windows啟動均會啟動木馬。
10.反彈端口型木馬的主動連接方式
反彈端口型木馬我們已經在前面說過了，由于它與一般的木馬相反，其服務端 (被控制端)主動與客戶端 (控制端)建立連接，并且監聽端口一般開在80，所以如果沒有合適的工具、豐富的經驗真的很難防范。這類木馬的典型代表就是網絡神偷"。由于這類木馬仍然要在注冊表中建立鍵值注冊表的變化就不難查到它們。同時，最新的天網防火墻(如我們在第三點中所講的那樣)，因此只要留意也可在網絡神偷服務端進行主動連接時發現它。
特洛伊木馬具有的特性
1.包含干正常程序中，當用戶執行正常程序時，啟動自身，在用戶難以察覺的情況下，完成一些危害用戶的操作，具有隱蔽性
由于木馬所從事的是 "地下工作"，因此它必須隱藏起來，它會想盡一切辦法不讓你發現它。很多人對木馬和遠程控制軟件有點分不清，還是讓我們舉個例子來說吧。我們進行局域網間通訊的常用軟件PCanywhere大家一定不陌生吧?我們都知道它是一款遠程控制軟件。PCanywhere比在服務器端運行時，客戶端與服務器端連接成功后，客戶端機上會出現很醒目的提示標志;而木馬類的軟件的服務器端在運行的時候應用各種手段隱藏自己，不可能出現任何明顯的標志。木馬開發者早就想到了可能暴露木馬蹤跡的問題，把它們隱藏起來了。例如大家所熟悉木馬修改注冊表和而文件以便機器在下一次啟動后仍能載入木馬程式，它不是自己生成一個啟動程序，而是依附在其他程序之中。有些木馬把服務器端和正常程序綁定成一個程序的軟件，叫做exe-binder綁定程序，可以讓人在使用綁定的程序時，木馬也入侵了系統。甚至有個別木馬程序能把它自身的exe文件和服務端的圖片文件綁定，在你看圖片的時候，木馬便侵人了你的系統。它的隱蔽性主要體現在以下兩個方面:
(1)不產生圖標
木馬雖然在你系統啟動時會自動運行，但它不會在 "任務欄"中產生一個圖標，這是容易理解的，不然的話，你看到任務欄中出現一個來歷不明的圖標，你不起疑心才怪呢!
(2)木馬程序自動在任務管理器中隱藏，并以"系統服務"的方式欺騙操作系統。?
2.具有自動運行性。
木馬為了控制服務端。它必須在系統啟動時即跟隨啟動，所以它必須潛人在你的啟動配置文件中，如win.ini、system.ini、winstart.bat以及啟動組等文件之中。
3.包含具有未公開并且可能產生危險后果的功能的程序。
4.具備自動恢復功能。
現在很多的木馬程序中的功能模塊巴不再由單一的文件組成，而是具有多重備份，可以相互恢復。當你刪除了其中的一個，以為萬事大吉又運行了其他程序的時候，誰知它又悄然出現。像幽靈一樣，防不勝防。
5.能自動打開特別的端口。
木馬程序潛人你的電腦之中的目的主要不是為了破壞你的系統，而是為了獲取你的系統中有用的信息，當你上網時能與遠端客戶進行通訊，這樣木馬程序就會用服務器客戶端的通訊手段把信息告訴黑客們，以便黑客們控制你的機器，或實施進一步的人侵企圖。你知道你的電腦有多少個端口?不知道吧?告訴你別嚇著:根據TCP/IP協議，每臺電腦可以有256乘以256個端口，也即從0到65535號 "門"，但我們常用的只有少數幾個，木馬經常利用我們不大用的這些端口進行連接，大開方便之 "門"。
6、功能的特殊性。
通常的木馬功能都是十分特殊的，除了普通的文件操作以外，還有些木馬具有搜索cache中的口令、設置口令、掃描目標機器人的IP地址、進行鍵盤記錄、遠程注冊表的操作以及鎖定鼠標等功能。上面所講的遠程控制軟件當然不會有這些功能，畢竟遠程控制軟件是用來控制遠程機器，方便自己操作而已，而不是用來黑對方的機器的。?
HKEY_CURRENT_USER為HKCU?
HKEY_LOCAL_MACHINE為HKLM
LODE注冊鍵——很少人知道這個注冊表，實際上它也能自動啟動程序。具體位置在HKEY_CURRENT_USER—SOFTWARE—MICROSOFT—WINDOWSNT—CURRENTVERSION—WINDOWS—LOAD
USERINIT注冊鍵——也是一個不為人知的能夠使系統在啟動時自動初始化程序的注冊鍵。它的具體位置在HKEY_LOCAL_MACHINE—SOFTWARE—MICROSOFT—WINDOWSNT—CURRENTVERSION—WINLOGON—USERINIT
EXPLORERRUN注冊鍵——和LOAD~USERINIT不同，EXPLORERRUN鍵在HKCU和HKLM下都有，具體位置是在HKCU—SOFTWARE—MICROSOFT—WINDOWSCURRENTVERSION—POLICIES—EX—PLORER—RUN以及HKLM—SOFTWARE—MICROSOFT—WINDOWSCURRENTVERSION—POLICIES—EXPLORER—RUN。
RUNSERVICESONCE注冊鍵——RUNSERVICESONCE注冊鍵是用來啟動服務程序，啟動時間在用戶登錄之前。 本文轉自 沐小七 ?51CTO博客，原文鏈接:http://blog.51cto.com/3088522/567288
它是一種基于遠程控制的黑客工具，具有隱蔽性和非授權性的特點。?
所謂隱蔽性是指木馬的設計者為了防止木馬被發現，會采用多種手段隱藏木馬，這樣服務端即使發現感染了木馬，由于不能確定其具體位置，往往只能望“馬”興嘆。?
所謂非授權性是指一旦控制端與服務端連接后，控制端將享有服務端的大部分操作權限，包括修改文件，修改注冊表，控制鼠標，鍵盤等等，而這些權力并不是服務端賦予的，而是通過木馬程序竊取的。?
從木馬的發展來看，基本上可以分為兩個階段。?
最初網絡還處于以UNIX平臺為主的時期，木馬就產生了，當時的木馬程序的功能相對簡單，往往是將一段程序嵌入到系統文件中，用跳轉指令來執行一些木馬的功能，在這個時期木馬的設計者和使用者大都是些技術人員，必須具備相當的網絡和編程知識。?
而后隨著WINDOWS平臺的日益普及，一些基于圖形操作的木馬程序出現了，用戶界面的改善，使使用者不用懂太多的專業知識就可以熟練的操作木馬，相對的木馬入侵事件也頻繁出現，而且由于這個時期木馬的功能已日趨完善，因此對服務端的破壞也更大了。?
所以所木馬發展到今天，已經無所不用其極，一旦被木馬控制，你的電腦將毫無秘密可言。?
鑒于木馬的巨大危害性，我們將分原理篇，防御與反擊篇，資料篇三部分來詳細介紹木馬，希望大家對特洛伊木馬這種攻擊手段有一個透徹的了解。?
原 理 篇?
基礎知識?
在介紹木馬的原理之前有一些木馬構成的基礎知識我們要事先加以說明,因為下面有很多地方會提到這些內容。?
一個完整的木馬系統由硬件部分，軟件部分和具體連接部分組成。?
(1)硬件部分：建立木馬連接所必須的硬件實體。 控制端：對服務端進行遠程控制的一方。 服務端：被控制端遠程控制的一方。 INTERNET：控制端對服務端進行遠程控制，數據傳輸的網絡載體。?
(2)軟件部分：實現遠程控制所必須的軟件程序。 控制端程序：控制端用以遠程控制服務端的程序。 木馬程序：潛入服務端內部，獲取其操作權限的程序。 木馬配置程序：設置木馬程序的端口號，觸發條件，木馬名稱等，使其在服務端藏得更隱蔽的程序。?
(3)具體連接部分：通過INTERNET在服務端和控制端之間建立一條木馬通道所必須的元素。 控制端IP，服務端IP：即控制端，服務端的網絡地址，也是木馬進行數據傳輸的目的地。 控制端端口，木馬端口：即控制端，服務端的數據入口，通過這個入口，數據可直達控制端程序或木馬 程序。?
木馬原理?
用木馬這種黑客工具進行網絡入侵，從過程上看大致可分為六步(具體可見下圖)，下面我們就按這六步來詳細闡述木馬的攻擊原理。?
一.配置木馬?
一般來說一個設計成熟的木馬都有木馬配置程序，從具體的配置內容看，主要是為了實現以下兩方 面功能：?
(1)木馬偽裝：木馬配置程序為了在服務端盡可能的好的隱藏木馬，會采用多種偽裝手段，如修改圖標 ，捆綁文件，定制端口，自我銷毀等，我們將在“傳播木馬”這一節中詳細介紹。?
(2)信息反饋：木馬配置程序將就信息反饋的方式或地址進行設置，如設置信息反饋的郵件地址，IRC號 ，ICO號等等，具體的我們將在“信息反饋”這一節中詳細介紹。?
二.傳播木馬?
(1)傳播方式:?
木馬的傳播方式主要有兩種:一種是通過E-MAIL,控制端將木馬程序以附件的形式夾在郵件中發送出 去, 收信人只要打開附件系統就會感染木馬;另一種是軟件下載，一些非正規的網站以提供軟件下載為名義， 將木馬捆綁在軟件安裝程序上，下載后，只要一運行這些程序，木馬就會自動安裝。?
(2)偽裝方式:?
鑒于木馬的危害性,很多人對木馬知識還是有一定了解的,這對木馬的傳播起了一定的抑制作用,這 是木馬設計者所不愿見到的,因此他們開發了多種功能來偽裝木馬,以達到降低用戶警覺,欺騙用戶的目的。?
(一)修改圖標?
當你在E-MAIL的附件中看到這個圖標時,是否會認為這是個文本文件呢?但是我不得不告 訴你,這也有可能是個木馬程序,現在 已經有木馬可以將木馬服務端程序的圖標改成HTML,TXT, ZIP等各種文件的圖標,這有相當大的迷 惑性,但是目前提供這種功能的木馬還不多見,并且這種 偽裝也不是無懈可擊的,所以不必整天提心吊膽,疑神疑鬼的。?
(二)捆綁文件?
這種偽裝手段是將木馬捆綁到一個安裝程序上,當安裝程序運行時,木馬在用戶毫無察覺的 情況下 ,偷偷的進入了系統。至于被捆綁的文件一般是可執行文件(即EXE,COM一類的文件)。?
(三)出錯顯示?
有一定木馬知識的人都知道,如果打開一個文件,沒有任何反應,這很可能就是個木馬程序, 木馬的 設計者也意識到了這個缺陷,所以已經有木馬提供了一個叫做出錯顯示的功能。當服務 端用戶打開木 馬程序時,會彈出一個如下圖所示的錯誤提示框(這當然是假的),錯誤內容可自由 定義,大多會定制成 一些諸如“文件已破壞，無法打開的！”之類的信息，當服務端用戶信以 為真時,木馬卻悄悄侵入了 系統。?
(四)定制端口?
很多老式的木馬端口都是固定的,這給判斷是否感染了木馬帶來了方便,只要查一下特定的 端口就 知道感染了什么木馬,所以現在很多新式的木馬都加入了定制端口的功能,控制端用戶可 以在1024---65535之間任選一個端口作為木馬端口(一般不選1024以下的端口)，這樣就給判斷 所感染木馬類型帶 來了麻煩。?
(五)自我銷毀?
這項功能是為了彌補木馬的一個缺陷。我們知道當服務端用戶打開含有木馬的文件后，木馬 會將自己拷貝到WINDOWS的系統文件夾中(C:WINDOWS或C:WINDOWSSYSTEM目錄下)，一般來說 原木馬文件 和系統文件夾中的木馬文件的大小是一樣的(捆綁文件的木馬除外),那么中了木馬 的朋友只要在近來 收到的信件和下載的軟件中找到原木馬文件,然后根據原木馬的大小去系統 文件夾找相同大小的文件, 判斷一下哪個是木馬就行了。而木馬的自我銷毀功能是指安裝完木 馬后，原木馬文件將自動銷毀，這 樣服務端用戶就很難找到木馬的來源，在沒有查殺木馬的工 具幫助下，就很難刪除木馬了。?
(六)木馬更名?
安裝到系統文件夾中的木馬的文件名一般是固定的，那么只要根據一些查殺木馬的文章,按 圖索驥在系統文件夾查找特定的文件,就可以斷定中了什么木馬。所以現在有很多木馬都允許控 制端用戶自由定制安裝后的木馬文件名，這樣很難判斷所感染的木馬類型了。?
三.運行木馬?
服務端用戶運行木馬或捆綁木馬的程序后,木馬就會自動進行安裝。首先將自身拷貝到WINDOWS的 系統文件夾中(C:WINDOWS或C:WINDOWSSYSTEM目錄下),然后在注冊表,啟動組,非啟動組中設置好木馬 的觸發條件 ,這樣木馬的安裝就完成了。安裝后就可以啟動木馬了，具體過程見下圖：?
(1)由觸發條件激活木馬?
觸發條件是指啟動木馬的條件,大致出現在下面八個地方:?
1.注冊表:打開HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersion下的五個以Run 和RunServices主鍵,在其中尋找可能是啟動木馬的鍵值。?
2.WIN.INI:C:WINDOWS目錄下有一個配置文件win.ini，用文本方式打開，在[windows]字段中有啟動 命令 load=和run=,在一般情況下是空白的,如果有啟動程序,可能是木馬。 3.SYSTEM.INI:C:WINDOWS目錄下有個配置文件system.ini，用文本方式打開，在[386Enh],[mic]， [drivers32]中有命令行,在其中尋找木馬的啟動命令。?
4.Autoexec.bat和Config.sys:在C盤根目錄下的這兩個文件也可以啟動木馬。但這種加載方式一般都 需要控制端用戶與服務端建立連接后，將已添加木馬啟動命令的同名 文件上傳 到服務端覆蓋這兩個文件才行。?
5.*.INI:即應用程序的啟動配置文件，控制端利用這些文件能啟動程序的特點，將制作好的帶有木馬 啟動命令的同名文件上傳到服務端覆蓋這同名文件，這樣就可以達到啟動木馬的目的了。?
6.注冊表:打開HKEY_CLASSES_ROOT文件類型\shellopencommand主鍵,查看其鍵值。舉個例子,國產 木馬“冰河”就是修改HKEY_CLASSES_ROOT??????? xtfileshellopencommand下的鍵值,將“C :WINDOWS NOTEPAD.EXE %1”該為“C:WINDOWSSYSTEMSYXXXPLR.EXE %1”，這時你雙 擊一個TXT文件 后，原本應用NOTEPAD打開文件的，現在卻變成啟動木馬程序了。還要說明 的是不光是TXT文件 ，通過修改HTML，EXE，ZIP等文件的啟動命令的鍵值都可以啟動木馬 ，不同之處只在于“文件類型”這個主鍵的差別，TXT是txtfile,ZIP是WINZIP，大家可以 試著去找一下。?
7.捆綁文件:實現這種觸發條件首先要控制端和服務端已通過木馬建立連接，然后控制端用戶用工具 軟件將木馬文件和某一應用程序捆綁在一起，然后上傳到服務端覆蓋原文件，這樣即使 木馬被刪 除了，只要運行捆綁了木馬的應用程序，木馬又會被安裝上去了。?
8.啟動菜單:在“開始---程序---啟動”選項下也可能有木馬的觸發條件。?
(2)木馬運行過程?
木馬被激活后，進入內存，并開啟事先定義的木馬端口，準備與控制端建立連接。這時服務端用 戶可以在MS-DOS方式下，鍵入NETSTAT -AN查看端口狀態，一般個人電腦在脫機狀態下是不會有端口 開放的，如果有端口開放，你就要注意是否感染木馬了。下面是電腦感染木馬后，用NETSTAT命令查 看端口的兩個實例：?
其中①是服務端與控制端建立連接時的顯示狀態，②是服務端與控制端還未建立連接時的顯示狀態。?
在上網過程中要下載軟件，發送信件，網上聊天等必然打開一些端口，下面是一些常用的端口：?
(1)1---1024之間的端口：這些端口叫保留端口，是專給一些對外通訊的程序用的，如FTP使用21， SMTP使用25，POP3使用110等。只有很少木馬會用保留端口作為木馬端口 的。?
(2)1025以上的連續端口：在上網瀏覽網站時，瀏覽器會打開多個連續的端口下載文字，圖片到本地 硬盤上，這些端口都是1025以上的連續端口。?
(3)4000端口：這是OICQ的通訊端口。?
(4)6667端口：這是IRC的通訊端口。 除上述的端口基本可以排除在外，如發現還有其它端口打開，尤其是數值比較大的端口，那就要懷疑 是否感染了木馬，當然如果木馬有定制端口的功能，那任何端口都有可能是木馬端口。?
四.信息泄露:?
一般來說，設計成熟的木馬都有一個信息反饋機制。所謂信息反饋機制是指木馬成功安裝后會收集 一些服務端的軟硬件信息，并通過E-MAIL，IRC或ICO的方式告知控制端用戶。?
從反饋信息中控制端可以知道服務端的一些軟硬件信息，包括使用的操作系統，系統目錄，硬盤分區況， 系統口令等，在這些信息中，最重要的是服務端IP，因為只有得到這個參數，控制端才能與服務端建立 連接，具體的連接方法我們會在下一節中講解。?
五.建立連接：?
這一節我們講解一下木馬連接是怎樣建立的 。一個木馬連接的建立首先必須滿足兩個條件：一是 服務端已安裝了木馬程序；二是控制端，服務端都要在線 。在此基礎上控制端可以通過木馬端口與服 務端建立連接。
假設A機為控制端，B機為服務端，對于A機來說要與B機建立連接必須知道B機的木馬端口和IP地 址，由于木馬端口是A機事先設定的，為已知項，所以最重要的是如何獲得B機的IP地址。獲得B機的IP 地址的方法主要有兩種：信息反饋和IP掃描。對于前一種已在上一節中已經介紹過了，不再贅述，我們 重點來介紹IP掃描，因為B機裝有木馬程序，所以它的木馬端口7626是處于開放狀態的，所以現在A機只 要掃描IP地址段中7626端口開放的主機就行了，例如圖中B機的IP地址是202.102.47.56，當A機掃描到 這個IP時發現它的7626端口是開放的，那么這個IP就會被添加到列表中，這時A機就可以通過木馬的控 制端程序向B機發出連接信號，B機中的木馬程序收到信號后立即作出響應，當A機收到響應的信號后， 開啟一個隨即端口1031與B機的木馬端口7626建立連接，到這時一個木馬連接才算真正建立。值得一提 的要掃描整個IP地址段顯然費時費力，一般來說控制端都是先通過信息反饋獲得服務端的IP地址，由于 撥號上網的IP是動態的，即用戶每次上網的IP都是不同的，但是這個IP是在一定范圍內變動的，如圖中 B機的IP是202.102.47.56，那么B機上網IP的變動范圍是在202.102.000.000---202.102.255.255，所以 每次控制端只要搜索這個IP地址段就可以找到B機了。?
六.遠程控制：?
木馬連接建立后，控制端端口和木馬端口之間將會出現一條通道。
控制端上的控制端程序可藉這條通道與服務端上的木馬程序取得聯系,并通過木馬程序對服務端進行遠 程控制。下面我們就介紹一下控制端具體能享有哪些控制權限，這遠比你想象的要大。?
(1)竊取密碼：一切以明文的形式，*形式或緩存在CACHE中的密碼都能被木馬偵測到，此外很多木馬還 提供有擊鍵記錄功能，它將會記錄服務端每次敲擊鍵盤的動作，所以一旦有木馬入侵， 密碼將很容易被竊取。?
(2)文件操作：控制端可藉由遠程控制對服務端上的文件進行刪除,新建,修改,上傳,下載,運行,更改屬 性等一系列操作,基本涵蓋了WINDOWS平臺上所有的文件操作功能。?
(3)修改注冊表：控制端可任意修改服務端注冊表，包括刪除，新建或修改主鍵，子鍵，鍵值。有了這 項功能控制端就可以禁止服務端軟驅，光驅的使用，鎖住服務端的注冊表，將服務端 上木馬的觸發條件設置得更隱蔽的一系列高級操作。?
(4)系統操作：這項內容包括重啟或關閉服務端操作系統，斷開服務端網絡連接，控制服務端的鼠標， 鍵盤，監視服務端桌面操作，查看服務端進程等，控制端甚至可以隨時給服務端發送信息，想象一下，當服務端的桌面上突然跳出一段話，不嚇人一跳才怪
木馬和病毒都是一種人為的程序,都屬于電腦病毒,為什么木馬要單獨提出來說內?大家都知道以前的電腦病毒的作用,其實完全就是為了搞破壞,破壞電腦里的資料數據,除了破壞之外其它無非就是有些病毒制造者為了達到某些目的而進行的威懾和敲詐勒索的作用,或為了炫耀自己的技術. "木馬"不一樣,木馬的作用是赤裸裸的偷偷監視別人和盜竊別人密碼,數據等,如盜竊管理員密碼-子網密碼搞破壞,或者好玩,偷竊上網密碼用于它用,游戲帳號,股票帳號,甚至網上銀行帳戶等.達到偷窺別人隱私和得到經濟利益的目的.所以木馬的作用比早期的電腦病毒更加有用.更能夠直接達到使用者的目的!導致許多別有用心的程序開發者大量的編寫這類帶有偷竊和監視別人電腦的侵入性程序,這就是目前網上大量木馬泛濫成災的原因.鑒于木馬的這些巨大危害性和它與早期病毒的作用性質不一樣,所以木馬雖然屬于病毒中的一類,但是要單獨的從病毒類型中間剝離出來.獨立的稱之為"木馬"程序.?
一般來說一種殺毒軟件程序,它的木馬專殺程序能夠查殺某某木馬的話,那么它自己的普通殺毒程序也當然能夠殺掉這種木馬,因為在木馬泛濫的今天,為木馬單獨設計一個專門的木馬查殺工具,那是能提高該殺毒軟件的產品檔次的,對其聲譽也大大的有益,實際上一般的普通殺毒軟件里都包含了對木馬的查殺功能.如果現在大家說某某殺毒軟件沒有木馬專殺的程序,那這家殺毒軟件廠商自己也好像有點過意不去,即使它的普通殺毒軟件里當然的有殺除木馬的功能.?
還有一點就是,把查殺木馬程序單獨剝離出來,可以提高查殺效率,現在很多殺毒軟件里的木馬專殺程序只對木馬進行查殺,不去檢查普通病毒庫里的病毒代碼,也就是說當用戶運行木馬專殺程序的時候,程序只調用木馬代碼庫里的數據,而不調用病毒代碼庫里的數據,大大提高木馬查殺速度.我們知道查殺普通病毒的速度是比較慢的,因為現在有太多太多的病毒.每個文件要經過幾萬條木馬代碼的檢驗,然后再加上已知的差不多有近10萬個病毒代碼的檢驗,那速度豈不是很慢了.省去普通病毒代碼檢驗,是不是就提高了效率,提高了速度內? 也就是說現在好多殺毒軟件自帶的木馬專殺程序只查殺木馬而一般不去查殺病毒,但是它自身的普通病毒查殺程序既查殺病毒又查殺木馬!
?
?
隱形”木馬啟動方式揭秘
大家所熟知的木馬程序一般的啟動方式有：加載到“開始”菜單中的“啟動”項、記錄到注冊表的[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]項和[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]項中，更高級的木馬還會注冊為系統的“服務”程序，以上這幾種啟動方式都可以在“系統配置實用程序”(在“開始→運行”中執行“Msconfig”)的“啟動”項和“服務”項中找到它的蹤跡。?
另一種鮮為人知的啟動方式，是在“開始→運行”中執行“Gpedit.msc”。打開“組策略”，可看到“本地計算機策略”中有兩個選項：“計算機配置”與“用戶配置”，展開“用戶配置→管理模板→系統→登錄”，雙擊“在用戶登錄時運行這些程序”子項進行屬性設置，選定“設置”項中的“已啟用”項并單擊“顯示”按鈕彈出“顯示內容”窗口，再單擊“添加”按鈕，在“添加項目”窗口內的文本框中輸入要自啟動的程序的路徑，如圖所示，單擊“確定”按鈕就完成了。 添加需要啟動的文件面?
重新啟動計算機，系統在登錄時就會自動啟動你添加的程序，如果剛才添加的是木馬程序，那么一個“隱形”木馬就這樣誕生了。因為用這種方式添加的自啟動程序在系統的“系統配置實用程序”是找不到的，同樣在我們所熟知的注冊表項中也是找不到的，所以非常危險。?
通過這種方式添加的自啟動程序雖然被記錄在注冊表中，但是不在我們所熟知的注冊表的[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]項和[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]項內，而是在冊表的[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]項。如果你懷疑你的電腦被種了“木馬”，可是又找不到它在哪兒，建議你到注冊表的[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]項里找找吧，或是進入“組策略”的“在用戶登錄時運行這些程序”看看有沒有啟動的程序。?
?
? 特洛伊木馬NetBus v.1.60的中文說明
概 述?
此程序是一個遙控管理工具,更是一個在局域網或在全球因特網上同朋友逗樂的軟件.?
安 裝?
NetBus包含服務器和客戶機部分,服務器必須安裝在你想逗樂的人的計算機上.客戶機屬你掌握,它是控?
制目標計算機的好程序.?
把NetSever服務器,Patch.exe(可更名),放入目標計算機的任意位置并運行它,缺省時安裝在Windows中,?
以更開機時自動運行. 把NetSever客戶機,裝在自己的計算機里.開始NetBus,聯結你選擇的域名或(IP地?
址);如果Patch已在你聯結的目標計算機中已運行. 讓我們開始逗樂!?
?
注意:你看不到Patch在運行-它Windows開始時自動運行,并隱藏.?
Netbus和Patch使用TCP/IP協議.因此,你的地址有域名或IP號.NetBus會用Connect按鈕把你和某人聯上.?
?
功 能?
*彈開/關閉CD-ROM一次或間隔性自動開關.?
*顯示所選擇的圖象,如果你沒有圖像文件的路徑,可在Pacth的目錄中找.支持BMP和JPG格式.?
*交換鼠標按鈕-鼠標右鍵變成鼠標左鍵的功能.?
*開始所選擇的應用程序.?
*播放所選擇的聲音文件, 如果你沒有聲音文件的路徑,可在Pacth的目錄中找.支持WAV格式.?
*點擊所選的鼠標坐標,你甚至可你的鼠標在目標計算機中運行.?
*在銀屏上顯示對話框,回答會返回你的計算機中.?
*關閉系統,刪除用戶記錄等.?
*用缺省網絡瀏覽器,瀏覽所選擇的URL.?
*發送鍵盤輸入的信息到目標計算機中的活動應用程序中!?
*監視對方的鍵盤輸入的信息,并發回到你的計算機.?
*清屏!(連接速度慢時禁用).?
*獲取目標計算機中的信息.?
*上載你的文件到目標計算機中!用此功能,可上載Patch的最新版本.?
*增大和減少聲音音量.?
*記錄麥克風的聲音,并將聲音返回.?
*按一次鍵每次有聲音.?
*下載和刪除目標中的任何文件.你能下載/刪除在目標計算機硬盤中所選擇的文件.?
*鍵盤禁用功能.?
*密碼保護管理.?
*記錄鍵盤活動
*顯示,死機和集中系統中的窗囗.?
?
上述功能一些選項在執行時,(邏輯排異),可能會延遲幾秒.?
連 接?
Connect按鈕有個很好的特點,它能掃描NetBus計算機中的IP地址.一旦連接它會停止掃描.IP掃描的?
參數是xx.xx.xx.xx+xx,等.?
127.0.0.1+15 將掃描IP地址的范圍是127.0.0.1到 127.0.0.16
但是木馬大多數殺毒軟件殺不到,我推薦木馬殺客\木馬克星.
木馬后來會將電腦變成一只"肉雞",任幕后人控制,只要你連了網,他就可以肆意控制你的主機,只有拔電源才不會被控制. ___________________________________________________________________________________________________________現在網頁木馬無非有以下幾種方式中到你的機器里?
1：把木馬文件改成BMP文件，然后配合你機器里的DEBUG來還原成EXE，網上存在該木馬20%?
2：下載一個TXT文件到你機器，然后里面有具體的FTP^-^作，FTP連上他們有木馬的機器下載木馬，網上存在該木馬20%?
3：也是最常用的方式，下載一個HTA文件，然后用網頁控件解釋器來還原木馬。該木馬在網上存在50%以上?
4：采用JS腳本，用VBS腳本來執行木馬文件，該型木馬偷QQ的比較多，偷傳奇的少，大概占10%左右?
5：其他方式未知。。。。。。。。。。。。。?
現在我們來說防范的方法。。。。。。。。。不要丟金磚?
那就是把 windows\system\mshta.exe文件改名，?
改成什么自己隨便 (s個屁和瘟2000是在system32下)?
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\ 下為Active Setup controls創建一個基于CLSID的新鍵值 {6E449683_C509_11CF_AAFA_00AA00 B6015C}，然后在新鍵值下創建一個REG_DWORD 類型的鍵Compatibility，并設定鍵值為0x00000400即可。?
?
還有windows\command\debug.exe和windows\ftp.exe都給改個名字 (或者刪除)?
一些最新流行的木馬 最有效果的防御~~?
比如網絡上流行 的木馬 smss.exe 這個是其中一種木馬的主體 潛伏在 98/winme/xp c:\windows目錄下 2000 c:\winnt .....?
假如你中了這個木馬 首先我們用進程管理器結束 正在運行的木馬smss.exe 然后在C:\windows 或 c:\winnt\目錄下 創建一個假的 smss.exe 并設置為只讀屬性~ （2000/XP NTFS的磁盤格式 的話那就更好 可以用“安全設置” 設置為讀取） 這樣木馬沒了~ 以后也不會在感染了這個辦法本人測試過對很多木馬?
都很有效果的?
經過這樣的修改后，我現在專門找別人發的木馬網址去測試，實驗結果是上了大概20個木馬網站，有大概15個瑞星會報警，另外5個瑞星沒有反映，而我的機器沒有添加出來新的EXE文件，也沒有新的進程出現，只不過有些木馬的殘骸留在了IE的臨時文件夾里，他們沒有被執行起來，沒有危險性，所以建議大家經常清理 臨時文件夾和IE
木馬（Trojan）這個名字來源于古希臘傳說，它是指通過一段特定的程序（木馬程序）來控制另一臺計算機。木馬通常有兩個可執行程序：一個是客戶端，即控制端，另一個是服務端，即被控制端。木馬的設計者為了防止木馬被發現，而采用多種手段隱藏木馬。木馬的服務一旦運行并被控制端連接，其控制端將享有服務端的大部分操作權限，例如給計算機增加口令，瀏覽、移動、復制、刪除文件，修改注冊表，更改計算機配置等。
隨著病毒編寫技術的發展，木馬程序對用戶的威脅越來越大，尤其是一些木馬程序采用了極其狡猾的手段來隱蔽自己，使普通用戶很難在中毒后發覺。
防治木馬的危害，應該采取以下措施：
第一，安裝殺毒軟件和個人防火墻，并及時升級。
第二，把個人防火墻設置好安全等級，防止未知程序向外傳送數據。
第三，可以考慮使用安全性比較好的瀏覽器和電子郵件客戶端工具。
第四，如果使用IE瀏覽器，應該安裝卡卡安全助手，防止惡意網站在自己電腦上安裝不明軟件和瀏覽器插件，以免被木馬趁機侵入 “特洛伊木馬”（trojan horse）簡稱“木馬”，據說這個名稱來源于希臘神話《木馬屠城記》。古希臘有大軍圍攻特洛伊城，久久無法攻下。于是有人獻計制造一只高二丈的大木馬，假裝作戰馬神，讓士兵藏匿于巨大的木馬中，大部隊假裝撤退而將木馬擯棄于特洛伊城下。城中得知解圍的消息后，遂將“木馬”作為奇異的戰利品拖入城內，全城飲酒狂歡。到午夜時分，全城軍民盡入夢鄉，匿于木馬中的將士開秘門游繩而下，開啟城門及四處縱火，城外伏兵涌入，部隊里應外合，焚屠特洛伊城。后世稱這只大木馬為“特洛伊木馬”。如今黑客程序借用其名，有“一經潛入，后患無窮”之意。?
完整的木馬程序一般由兩個部份組成：一個是服務器程序，一個是控制器程序。“中了木馬”就是指安裝了木馬的服務器程序，若你的電腦被安裝了服務器程序，則擁有控制器程序的人就可以通過網絡控制你的電腦、為所欲為，這時你電腦上的各種文件、程序，以及在你電腦上使用的帳號、密碼就無安全可言了。?
木馬程序不能算是一種病毒，但越來越多的新版的殺毒軟件，已開始可以查殺一些木馬了，所以也有不少人稱木馬程序為黑客病毒。
一般的木馬程序都包括客戶端和服務端兩個程序，其中客戶端是用于攻擊者遠程控制植入木馬的機器，服務器端程序即是木馬程序他所做的第一步是要把木馬的服務器端。攻擊者要通過木馬攻擊你的系統，程序植入到你的電腦里面。
目前木馬入侵的主要途徑還是先通過一定的方法把木馬執行文件弄到被攻擊者的電腦系統里，利用的途徑有郵件附件、下載軟件中等，然后通過一定的提示故意誤導被攻擊者打開執行文件，比如故意謊稱這個木馬執行文件，是你朋友送給你賀卡，可能你打開這個文件后，確實有賀卡的畫面出現，但這時可能木馬已經悄悄在你的后臺運行了。一般的木馬執行文件非常小，大部分都是幾K到幾十K，如果把木馬捆綁到其他正常文件上，你很難發現，所以，有一些網站提供的軟件下載往往是捆綁了木馬文件的，你執行這些下載的文件，也同時運行了木馬。
木馬也可以通過Script、ActiveX及Asp.CGI交互腳本的方式植入，由于微軟的瀏覽器在執行Senipt腳本存在一些漏洞。攻擊者可以利用這些漏洞傳播病毒和木馬，甚至直接對瀏覽者電腦進行文件操作等控制。前不久獻出現一個利用微軟Scripts腳本漏洞對瀏覽者硬盤進行格式化的HTML頁面。如果攻擊者有辦法把木馬執行文件下載到攻擊主機的一個可執行WWW目錄夾里面，他可以通過編制CGI程序在攻擊主機上執行木馬目錄。此外，木馬還可以利用系統的一些漏洞進行植人，如微軟著名的US服務器溢出漏洞，通過一個IISHACK攻擊程序即可使IIS服務器崩潰，并且同時攻擊服務器，執行遠程木馬執行文件。
當服務端程序在被感染的機器上成功運行以后，攻擊者就可以使用客戶端與服務端建立連接，并進一步控制被感染的機器。在客戶端和服務端通信協議的選擇上，絕大多數木馬使用的是TCP/IP協議，但是也有一些木馬由于特殊的原因，使用UDP協議進行通訊。當服務端在被感染機器上運行以后，它一方面盡量把自己隱藏在計算機的某個角落里面，以防被用戶發現；同時監聽某個特定的端口，等待客戶端與其取得連接;另外為了下次重啟計算機時仍然能正常工作。木馬程序一般會通過修改注冊表或者其他的方法讓自己成為自啟動程序。?
木馬是如何啟動的
作為一個優秀的木馬，自啟動功能是必不可少的，這樣可以保證木馬不會因為你的一次關機操作而徹底失去作用。正因為該項技術如此重要，所以，很多編程人員都在不停地研究和探索新的自啟動技術，并且時常有新的發現。一個典型的例子就是把木馬加入到用戶經常執行的程序 (例如explorer.exe)中，用戶執行該程序時，則木馬自動發生作用。當然，更加普遍的方法是通過修改Windows系統文件和注冊表達到目的，現經常用的方法主要有以下幾種:
1.在Win.ini中啟動
在Win.ini的[windows]字段中有啟動命令"load＝"和"run＝"，在一般情況下 "＝"后面是空白的，如果有后跟程序，比方說是這個樣子：
run=c:\windows\file.exe?
load=c:\windows\file.exe
要小心了，這個file.exe很可能是木馬哦。
2.在System.ini中啟動
System.ini位于Windows的安裝目錄下，其[boot]字段的shell=Explorer.exe是木馬喜歡的隱藏加載之所，木馬通常的做法是將該何變為這樣:shell=Explorer.exefile.exe。注意這里的file.exe就是木馬服務端程序!
另外，在System.中的[386Enh]字段，要注意檢查在此段內的"driver＝路徑\程序名"這里也有可能被木馬所利用。再有，在System.ini中的[mic]、[drivers]、[drivers32]這3個字段，這些段也是起到加載驅動程序的作用，但也是增添木馬程序的好場所，現在你該知道也要注意這里嘍。
3.利用注冊表加載運行
如下所示注冊表位置都是木馬喜好的藏身加載之所，趕快檢查一下，有什么程序在其下。
4.在Autoexec.bat和Config.sys中加載運行
請大家注意，在C盤根目錄下的這兩個文件也可以啟動木馬。但這種加載方式一般都需要控制端用戶與服務端建立連接后，將己添加木馬啟動命令的同名文件上傳到服務端覆蓋這兩個文件才行，而且采用這種方式不是很隱蔽。容易被發現，所以在Autoexec.bat和Confings中加載木馬程序的并不多見，但也不能因此而掉以輕心。
5.在Winstart.bat中啟動
Winstart.bat是一個特殊性絲毫不亞于Autoexec.bat的批處理文件，也是一個能自動被Windows加載運行的文件。它多數情況下為應用程序及Windows自動生成，在執行了Windows自動生成，在執行了Win.com并加截了多數驅動程序之后
開始執行 (這一點可通過啟動時按F8鍵再選擇逐步跟蹤啟動過程的啟動方式可得知)。由于Autoexec.bat的功能可以由Witart.bat代替完成，因此木馬完全可以像在Autoexec.bat中那樣被加載運行，危險由此而來。
6.啟動組
木馬們如果隱藏在啟動組雖然不是十分隱蔽，但這里的確是自動加載運行的好場所，因此還是有木馬喜歡在這里駐留的。啟動組對應的文件夾為C:\Windows\start menu\programs\startup,在注冊表中的位置:HKEY_CURRENT_USER\Software\Microsoft\windows\CurrentVersion\Explorer\shell
Folders Startup="c:\windows\start menu\programs\startup"。要注意經常檢查啟動組哦!
7.*.INI
即應用程序的啟動配置文件，控制端利用這些文件能啟動程序的特點，將制作好的帶有木馬啟動命令的同名文件上傳到服務端覆蓋這同名文件，這樣就可以達到啟動木馬的目的了。只啟動一次的方式:在winint.ini.中(用于安裝較多)。
8.修改文件關聯
修改文件關聯是木馬們常用手段 (主要是國產木馬，老外的木馬大都沒有這個功能)，比方說正常情況下TXT文件的打開方式為Notepad.EXE文件，但一旦中了文件關聯木馬，則txt文件打開方式就會被修改為用木馬程序打開，如著名的國產木馬冰河就是這樣干的. "冰河"就是通過修改HKEY_CLASSES_ROOT\txtfile\whell\open\command下的鍵值，將“C:\WINDOWS\NOTEPAD.EXE本應用Notepad打開，如著名的國產HKEY一CLASSES一ROOT\txt鬧e\shell\open\commandT的鍵值，將 "C:\WINDOWS\NOTEPAD.EXE%l"改為 "C:\WINDOWS\SYSTEM\SYSEXPLR.EXE%l"，這樣，一旦你雙擊一個TXT文件，原本應用Notepad打開該文件，現在卻變成啟動木馬程序了，好狠毒哦!請大家注意，不僅僅是TXT文件，其他諸如HTM、EXE、ZIP.COM等都是木馬的目標，要小心摟。
對付這類木馬，只能經常檢查HKEY_C\shell\open\command主鍵，查看其鍵值是否正常。
9.捆綁文件
實現這種觸發條件首先要控制端和服務端已通過木馬建立連接，然后控制端用戶用工具軟件將木馬文件和某一應用程序捆綁在一起，然后上傳到服務端覆蓋源文件，這樣即使木馬被刪除了，只要運行捆綁了木馬的應用程序，木馬義會安裝上去。綁定到某一應用程序中，如綁定到系統文件，那么每一次Windows啟動均會啟動木馬。
10.反彈端口型木馬的主動連接方式
反彈端口型木馬我們已經在前面說過了，由于它與一般的木馬相反，其服務端 (被控制端)主動與客戶端 (控制端)建立連接，并且監聽端口一般開在80，所以如果沒有合適的工具、豐富的經驗真的很難防范。這類木馬的典型代表就是網絡神偷"。由于這類木馬仍然要在注冊表中建立鍵值注冊表的變化就不難查到它們。同時，最新的天網防火墻(如我們在第三點中所講的那樣)，因此只要留意也可在網絡神偷服務端進行主動連接時發現它。
特洛伊木馬具有的特性
1.包含干正常程序中，當用戶執行正常程序時，啟動自身，在用戶難以察覺的情況下，完成一些危害用戶的操作，具有隱蔽性
由于木馬所從事的是 "地下工作"，因此它必須隱藏起來，它會想盡一切辦法不讓你發現它。很多人對木馬和遠程控制軟件有點分不清，還是讓我們舉個例子來說吧。我們進行局域網間通訊的常用軟件PCanywhere大家一定不陌生吧?我們都知道它是一款遠程控制軟件。PCanywhere比在服務器端運行時，客戶端與服務器端連接成功后，客戶端機上會出現很醒目的提示標志;而木馬類的軟件的服務器端在運行的時候應用各種手段隱藏自己，不可能出現任何明顯的標志。木馬開發者早就想到了可能暴露木馬蹤跡的問題，把它們隱藏起來了。例如大家所熟悉木馬修改注冊表和而文件以便機器在下一次啟動后仍能載入木馬程式，它不是自己生成一個啟動程序，而是依附在其他程序之中。有些木馬把服務器端和正常程序綁定成一個程序的軟件，叫做exe-binder綁定程序，可以讓人在使用綁定的程序時，木馬也入侵了系統。甚至有個別木馬程序能把它自身的exe文件和服務端的圖片文件綁定，在你看圖片的時候，木馬便侵人了你的系統。它的隱蔽性主要體現在以下兩個方面:
(1)不產生圖標
木馬雖然在你系統啟動時會自動運行，但它不會在 "任務欄"中產生一個圖標，這是容易理解的，不然的話，你看到任務欄中出現一個來歷不明的圖標，你不起疑心才怪呢!
(2)木馬程序自動在任務管理器中隱藏，并以"系統服務"的方式欺騙操作系統。?
2.具有自動運行性。
木馬為了控制服務端。它必須在系統啟動時即跟隨啟動，所以它必須潛人在你的啟動配置文件中，如win.ini、system.ini、winstart.bat以及啟動組等文件之中。
3.包含具有未公開并且可能產生危險后果的功能的程序。
4.具備自動恢復功能。
現在很多的木馬程序中的功能模塊巴不再由單一的文件組成，而是具有多重備份，可以相互恢復。當你刪除了其中的一個，以為萬事大吉又運行了其他程序的時候，誰知它又悄然出現。像幽靈一樣，防不勝防。
5.能自動打開特別的端口。
木馬程序潛人你的電腦之中的目的主要不是為了破壞你的系統，而是為了獲取你的系統中有用的信息，當你上網時能與遠端客戶進行通訊，這樣木馬程序就會用服務器客戶端的通訊手段把信息告訴黑客們，以便黑客們控制你的機器，或實施進一步的人侵企圖。你知道你的電腦有多少個端口?不知道吧?告訴你別嚇著:根據TCP/IP協議，每臺電腦可以有256乘以256個端口，也即從0到65535號 "門"，但我們常用的只有少數幾個，木馬經常利用我們不大用的這些端口進行連接，大開方便之 "門"。
6、功能的特殊性。
通常的木馬功能都是十分特殊的，除了普通的文件操作以外，還有些木馬具有搜索cache中的口令、設置口令、掃描目標機器人的IP地址、進行鍵盤記錄、遠程注冊表的操作以及鎖定鼠標等功能。上面所講的遠程控制軟件當然不會有這些功能，畢竟遠程控制軟件是用來控制遠程機器，方便自己操作而已，而不是用來黑對方的機器的。?
HKEY_CURRENT_USER為HKCU?
HKEY_LOCAL_MACHINE為HKLM
LODE注冊鍵——很少人知道這個注冊表，實際上它也能自動啟動程序。具體位置在HKEY_CURRENT_USER—SOFTWARE—MICROSOFT—WINDOWSNT—CURRENTVERSION—WINDOWS—LOAD
USERINIT注冊鍵——也是一個不為人知的能夠使系統在啟動時自動初始化程序的注冊鍵。它的具體位置在HKEY_LOCAL_MACHINE—SOFTWARE—MICROSOFT—WINDOWSNT—CURRENTVERSION—WINLOGON—USERINIT
EXPLORERRUN注冊鍵——和LOAD~USERINIT不同，EXPLORERRUN鍵在HKCU和HKLM下都有，具體位置是在HKCU—SOFTWARE—MICROSOFT—WINDOWSCURRENTVERSION—POLICIES—EX—PLORER—RUN以及HKLM—SOFTWARE—MICROSOFT—WINDOWSCURRENTVERSION—POLICIES—EXPLORER—RUN。
RUNSERVICESONCE注冊鍵——RUNSERVICESONCE注冊鍵是用來啟動服務程序，啟動時間在用戶登錄之前。 本文轉自 沐小七 ?51CTO博客，原文鏈接:http://blog.51cto.com/3088522/567288
總結
- 上一篇： Python爬虫-JS破解openlaw
- 下一篇： 腾讯实习小结