| | | 即“木馬計”(760頁)。 | | | ◎ 特洛伊木馬 Tèluòyī mùmǎ | | | 為了破壞和指使本地的顛覆集團的目的,把間諜和宣傳人員安置在打算作為犧牲品的國傢內的計策 | | | 蓄意或可能要暗中破壞既有的制度的個人、組織或因素 | | 特洛伊木馬（trojan horse）
傳說古希臘傳說，特洛伊王子帕裏斯訪問希臘，誘走了王後海倫，希臘人因此遠征特洛伊。圍攻9年後，到第10年，希臘將領奧德修斯獻了一計，就是把一批勇士埋伏在一匹巨大的木馬腹內，放在城外後，佯作退兵。特洛伊人以為敵兵已退，就把木馬作為戰利品搬入城中。到了夜間，埋伏在木馬中的勇士跳出來，打開了城門，希臘將士一擁而入攻下了城池。後來，人們在寫文章時就常用“特洛伊木馬”這一典故，用來比喻在敵方營壘裏埋下伏兵裏應外合的活動。
電腦中的特洛伊木馬
特洛伊木馬沒有復製能力，它的特點是偽裝成一個實用工具或者一個可愛的遊戲，這會誘使用戶將其安裝在pc或者服務器上。
“特洛伊木馬”（trojan horse）簡稱“木馬”，據說這個名稱來源於希臘神話《木馬屠城記》。古希臘有大軍圍攻特洛伊城，久久無法攻下。於是有人獻計製造一隻高二丈的大木馬，假裝作戰馬神，讓士兵藏匿於巨大的木馬中，大部隊假裝撤退而將木馬擯棄於特洛伊城下。城中得知解圍的消息後，遂將“木馬”作為奇異的戰利品拖入城內，全城飲酒狂歡。到午夜時分，全城軍民盡入夢鄉，匿於木馬中的將士開秘門遊繩而下，開啓城門及四處縱火，城外伏兵涌入，部隊裏應外合，焚屠特洛伊城。後世稱這衹大木馬為“特洛伊木馬”。如今黑客程序藉用其名，有“一經潛入，後患無窮”之意。
完整的木馬程序一般由兩個部分組成：一個是服務器程序，一個是控製器程序。“中了木馬”就是指安裝了木馬的服務器程序，若你的電腦被安裝了服務器程序，則擁有控製器程序的人就可以通過網絡控製你的電腦、為所欲為，這時你電腦上的各種文件、程序，以及在你電腦上使用的帳號、密碼就無安全可言了。
木馬程序不能算是一種病毒，但越來越多的新版的殺毒軟件，已開始可以查殺一些木馬了，所以也有不少人稱木馬程序為黑客病毒。
詳解木馬原理
介紹特洛伊木馬程序的原理、特徵以及中了木馬後係統出現的情況……
quote:
特洛伊木馬是如何啓動的
作為一個優秀的木馬，自啓動功能是必不可少的，這樣可以保證木馬不會因為你的一次關機操作而徹底失去作用。正因為該項技術如此重要，所以，很多編程人員都在不停地研究和探索新的自啓動技術，並且時常有新的發現。一個典型的例子就是把木馬加入到用戶經常執行的程序 (例如explorer.exe)中，用戶執行該程序時，則木馬自動發生作用。當然，更加普遍的方法是通過修改windows係統文件和註册表達到目的，現經常用的方法主要有以下幾種:
1.在win.ini中啓動
在win.ini的[windows]字段中有啓動命令"load＝"和"run＝"，在一般情況下 "＝"後面是空白的，如果有後跟程序，比方說是這個樣子：
run=c:windowsfile.exe
load=c:windowsfile.exe
要小心了，這個file.exe很可能是木馬哦。
2.在system.ini中啓動
system.ini位於windows的安裝目錄下，其[boot]字段的shell=explorer.exe是木馬喜歡的隱藏加載之所，木馬通常的做法是將該何變為這樣:shell=explorer.exefile.exe。註意這裏的file.exe就是木馬服務端程序!
另外，在system.中的[386enh]字段，要註意檢查在此段內的"driver＝路徑程序名"這裏也有可能被木馬所利用。再有，在system.ini中的[mic]、[drivers]、[drivers32]這3個字段，這些段也是起到加載驅動程序的作用，但也是增添木馬程序的好場所，現在你該知道也要註意這裏嘍。
3.利用註册表加載運行
如下所示註册表位置都是木馬喜好的藏身加載之所，趕快檢查一下，有什麽程序在其下。
4.在autoexec.bat和config.sys中加載運行
請大傢註意，在c盤根目錄下的這兩個文件也可以啓動木馬。但這種加載方式一般都需要控製端用戶與服務端建立連接後，將己添加木馬啓動命令的同名文件上傳到服務端覆蓋這兩個文件纔行，而且采用這種方式不是很隱蔽。容易被發現，所以在autoexec.bat和confings中加載木馬程序的並不多見，但也不能因此而掉以輕心。
5.在winstart.bat中啓動
winstart.bat是一個特殊性絲毫不亞於autoexec.bat的批處理文件，也是一個能自動被windows加載運行的文件。它多數情況下為應用程序及windows自動生成，在執行了windows自動生成，在執行了win.com並加截了多數驅動程序之後
開始執行 (這一點可通過啓動時按f8鍵再選擇逐步跟蹤啓動過程的啓動方式可得知)。由於autoexec.bat的功能可以由witart.bat代替完成，因此木馬完全可以像在autoexec.bat中那樣被加載運行，危險由此而來。
6.啓動組
木馬們如果隱藏在啓動組雖然不是十分隱蔽，但這裏的確是自動加載運行的好場所，因此還是有木馬喜歡在這裏駐留的。啓動組對應的文件夾為c:windowsstart menuprogramsstartup,在註册表中的位置:hkey_current_usersoftwaremicrosoftwindowscurrentversionexplorershell
folders startup="c:windowsstart menuprogramsstartup"。要註意經常檢查啓動組哦!
7.*.ini
即應用程序的啓動配置文件，控製端利用這些文件能啓動程序的特點，將製作好的帶有木馬啓動命令的同名文件上傳到服務端覆蓋這同名文件，這樣就可以達到啓動木馬的目的了。衹啓動一次的方式:在winint.ini.中(用於安裝較多)。
8.修改文件關聯
修改文件關聯是木馬們常用手段 (主要是國産木馬，老外的木馬大都沒有這個功能)，比方說正常情況下txt文件的打開方式為notepad.exe文件，但一旦中了文件關聯木馬，則txt文件打開方式就會被修改為用木馬程序打開，如著名的國産木馬冰河就是這樣幹的. "冰河"就是通過修改hkey_classes_root xtfilewhellopencommand下的鍵值，將“c:windows
otepad.exe本應用notepad打開，如著名的國産hkey一classes一root xt鬧eshellopencommandt的鍵值，將 "c:windows
otepad.exe%l"改為 "c:windowssystemsysexplr.exe%l"，這樣，一旦你雙擊一個txt文件，原本應用notepad打開該文件，現在卻變成啓動木馬程序了，好狠毒哦!請大傢註意，不僅僅是txt文件，其他諸如htm、exe、zip.com等都是木馬的目標，要小心摟。
對付這類木馬，衹能經常檢查hkey_cshellopencommand主鍵，查看其鍵值是否正常。
9.捆綁文件
實現這種觸發條件首先要控製端和服務端已通過木馬建立連接，然後控製端用戶用工具軟件將木馬文件和某一應用程序捆綁在一起，然後上傳到服務端覆蓋源文件，這樣即使木馬被刪除了，衹要運行捆綁了木馬的應用程序，木馬義會安裝上去。綁定到某一應用程序中，如綁定到係統文件，那麽每一次windows啓動均會啓動木馬。
10.反彈端口型木馬的主動連接方式
反彈端口型木馬我們已經在前面說過了，由於它與一般的木馬相反，其服務端 (被控製端)主動與客戶端 (控製端)建立連接，並且監聽端口一般開在80，所以如果沒有合適的工具、豐富的經驗真的很難防範。這類木馬的典型代表就是網絡神偷"。由於這類木馬仍然要在註册表中建立鍵值註册表的變化就不難查到它們。同時，最新的天網防火墻(如我們在第三點中所講的那樣)，因此衹要留意也可在網絡神偷服務端進行主動連接時發現它。
quote:
木馬的隱藏方式
1.在任務欄裏隱藏
這是最基本的隱藏方式。如果在windows的任務欄裏出現一個莫名其妙的圖標，傻子都會明白是怎麽回事。要實現在任務欄中隱藏在編程時是很容易實現的。我們以vb為例。在vb中，衹要把from的visible屬性設置為false,showintaskbar設為false程序就不會出現在任務欄裏了。
2.在任務管理器裏隱藏
查看正在運行的進程最簡單的方法就是按下ctrl+alt+del時出現的任務管理器。如果你按下ctrl+alt+del後可以看見一個木馬程序在運行，那麽這肯定不是什麽好木馬。所以，木馬會千方百計地偽裝自己，使自己不出現在任務管理器裏。木馬發現把自己設為 "係統服務“就可以輕鬆地騙過去。
因此，希望通過按ctrl+alt+del發現木馬是不大現實的。
3.端口
一臺機器有65536個端口，你會註意這麽多端口麽?而木馬就很註意你的端口。如果你稍微留意一下，不難發現，大多數木馬使用的端口在1024以上，而且呈越來越大的趨勢;當然也有占用1024以下端口的木馬，但這些端口是常用端口，占用這些端口可能會造成係統不正常，這樣的話，木馬就會很容易暴露。也許你知道一些木馬占用的端口，你或許會經常掃描這些端口，但現在的木馬都提供端口修改功能，你有時間掃描65536個端口麽?
4.隱藏通訊
隱藏通訊也是木馬經常采用的手段之一。任何木馬運行後都要和攻擊者進行通訊連接，或者通過即時連接，如攻擊者通過客戶端直接接人被植人木馬的主機;或者通過間接通訊。如通過電子郵件的方式，木馬把侵入主機的敏感信息送給攻擊者。現在大部分木馬一般在占領主機後會在1024以上不易發現的高端口上駐留;有一些木馬會選擇一些常用的端口，如80、23,有一種非常先進的木馬還可以做到在占領80http端口後，收到正常的http請求仍然把它交與web服務器處理，衹有收到一些特殊約定的數據包後，才調用木馬程序。
5.隱藏隱加載方式
木馬加載的方式可以說千奇百怪，無奇不有。但殊途同歸，都為了達到一個共同的目的，那就是使你運行木馬的服務端程序。如果木馬不做任何偽裝，就告訴你這是木馬，你會運行它纔怪呢。而隨着網站互動化避程的不斷進步，越來越多的東西可以成為木馬的傳播介質，java script、vbscript、activex.xlm....幾乎www每一個新功能部會導致木馬的快速進化。
6.最新隱身技術
在win9x時代，簡單地註册為係統進程就可以從任務欄中消失，可是在windows2000盛行的今天。這種方法遭到了慘敗。註册為係統進程不僅僅能在任務欄中看到，而且可以直接在services中直接控製停止。運行(太搞笑了，木馬被客戶端控製)。使用隱藏窗體或控製臺的方法也不能欺騙無所不見的admlin大人(要知道，在nt下，administrator是可以看見所有進程的)。在研究了其他軟件的長處之後，木馬發現，windows下的中文漢化軟件采用的陷阱技術非常適合木馬的使用。
這是一種更新、更隱蔽的方法。通過修改虛擬設備驅動程序(vxd)或修改動態遵掇庫 (dll)來加載木馬。這種方法與一般方法不同，它基本上擺脫了原有的木馬模式---監聽端口，而采用替代係統功能的方法(改寫vxd或dll文件)，木馬會將修改後的dll替換係統已知的dll，並對所有的函數調用進行過濾。對於常用的調用，使用函數轉發器直接轉發給被替換的係統dll，對於一些相應的操作。實際上。這樣的事先約定好的特種情況，dll會執行一般衹是使用dll進行監聽，一旦發現控製端的請求就激活自身，綁在一個進程上進行正常的木馬操作。這樣做的好處是沒有增加新的文件，不需要打開新的端口，沒有新的進程，使用常規的方法監測不到它。在往常運行時，木馬幾乎沒有任何癱狀，且木馬的控製端嚮被控製端發出特定的信息後，隱藏的程序就立即開始運作。
quote:
特洛伊木馬具有的特性
1.包含幹正常程序中，當用戶執行正常程序時，啓動自身，在用戶難以察覺的情況下，完成一些危害用戶的操作，具有隱蔽性
由於木馬所從事的是 "地下工作"，因此它必須隱藏起來，它會想盡一切辦法不讓你發現它。很多人對木馬和遠程控製軟件有點分不清，還是讓我們舉個例子來說吧。我們進行局域網間通訊的常用軟件pcanywhere大傢一定不陌生吧?我們都知道它是一款遠程控製軟件。pcanywhere比在服務器端運行時，客戶端與服務器端連接成功後，客戶端機上會出現很醒目的提示標志;而木馬類的軟件的服務器端在運行的時候應用各種手段隱藏自己，不可能出現任何明顯的標志。木馬開發者早就想到了可能暴露木馬蹤跡的問題，把它們隱藏起來了。例如大傢所熟悉木馬修改註册表和而文件以便機器在下一次啓動後仍能載入木馬程式，它不是自己生成一個啓動程序，而是依附在其他程序之中。有些木馬把服務器端和正常程序綁定成一個程序的軟件，叫做exe-binder綁定程序，可以讓人在使用綁定的程序時，木馬也入侵了係統。甚至有個別木馬程序能把它自身的exe文件和服務端的圖片文件綁定，在你看圖片的時候，木馬便侵人了你的係統。它的隱蔽性主要體現在以下兩個方面:
(1)不産生圖標
木馬雖然在你係統啓動時會自動運行，但它不會在 "任務欄"中産生一個圖標，這是容易理解的，不然的話，你看到任務欄中出現一個來歷不明的圖標，你不起疑心纔怪呢!
(2)木馬程序自動在任務管理器中隱藏，並以"係統服務"的方式欺騙操作係統。
2.具有自動運行性。
木馬為了控製服務端。它必須在係統啓動時即跟隨啓動，所以它必須潛人在你的啓動配置文件中，如win.ini、system.ini、winstart.bat以及啓動組等文件之中。
3.包含具有未公開並且可能産生危險後果的功能的程序。
4.具備自動恢復功能。
現在很多的木馬程序中的功能模塊巴不再由單一的文件組成，而是具有多重備份，可以相互恢復。當你刪除了其中的一個，以為萬事大吉又運行了其他程序的時候，誰知它又悄然出現。像幽靈一樣，防不勝防。
5.能自動打開特別的端口。
木馬程序潛人你的電腦之中的目的主要不是為了破壞你的係統，而是為了獲取你的係統中有用的信息，當你上網時能與遠端客戶進行通訊，這樣木馬程序就會用服務器客戶端的通訊手段把信息告訴黑客們，以便黑客們控製你的機器，或實施進一步的入侵企圖。你知道你的電腦有多少個端口?不知道吧?告訴你別嚇着:根據tcp/ip協議，每臺電腦可以有256乘以256個端口，也即從0到65535號 "門"，但我們常用的衹有少數幾個，木馬經常利用我們不大用的這些端口進行連接，大開方便之 "門"。
6、功能的特殊性。
通常的木馬功能都是十分特殊的，除了普通的文件操作以外，還有些木馬具有搜索cache中的口令、設置口令、掃描目標機器人的ip地址、進行鍵盤記錄、遠程註册表的操作以及鎖定鼠標等功能。上面所講的遠程控製軟件當然不會有這些功能，畢竟遠程控製軟件是用來控製遠程機器，方便自己操作而已，而不是用來黑對方的機器的。
quote:
木馬采用的偽裝方法
1.修改圖標
木馬服務端所用的圖標也是有講究的，木馬經常故意偽裝成了xtl等你可能認為對係統沒有多少危害的文件圖標，這樣很容易誘惑你把它打開。看看，木馬是不是很狡猾?
2.捆綁文件
這種偽裝手段是將木馬捆綁到一個安裝程序上，當安裝程序運行時，木馬在用戶毫無察覺的情況下，偷偷地進入了係統。被捆綁的文件一般是可執行文件 (即exe、com一類的文件)。
3.出錯顯示
有一定木馬知識的人部知道，如果打開一個文件，沒有任何反應，這很可能就是個木馬程序。木馬的設計者也意識到了這個缺陷，所以已經有木馬提供了一個叫做出錯顯示的功能。當服務端用戶打開木馬程序時，會彈出一個錯誤提示框 (這當然是假的)，錯誤內容可自由定義，大多會定製成一些諸如 "文件已破壞，無法打開!"之類的信息，當服務端用戶信以為真時，木馬卻悄悄侵人了係統。
4.自我銷毀
這項功能是為了彌補木馬的一個缺陷。我們知道，當服務端用戶打開含有木馬的文件後，木馬會將自己拷貝到windows的係統文件夾中(c;wmdows或c:windowssystem目錄下),一般來說，源木馬文件和係統文件夾中的木馬文件的大小是一樣的 (捆綁文件的木馬除外)，那麽，中了木馬的朋友衹要在近來收到的信件和下載的軟件中找到源木馬文件，然後根據源木馬的大小去係統文件夾找相同大小的文件，判斷一下哪個是木馬就行了。而木馬的自我銷毀功能是指安裝完木馬後，源木馬文件自動銷毀，這樣服務端用戶就很難找到木馬的來源，在沒有查殺木馬的工具幫助下。就很難刪除木馬了。
5.木馬更名
木馬服務端程序的命名也有很大的學問。如果不做任何修改，就使用原來的名字，誰不知道這是個木馬程序呢?所以木馬的命名也是千奇百怪，不過大多是改為和係統文件名差不多的名字，如果你對係統文件不夠瞭解，那可就危險了。例如有的木馬把名字改為window.exe，如果不告訴你這是木馬的話，你敢刪除嗎?還有的就是更改一些後綴名，比如把dll改為dl等，不仔細看的，你會發現嗎?
quote:
木馬的種類
1、破壞型
惟一的功能就是破壞並且刪除文件，可以自動的刪除電腦上的dll、ini、exe文件。
2、密碼發送型
可以找到隱藏密碼並把它們發送到指定的信箱。有人喜歡把自己的各種密碼以文件的形式存放在計算機中，認為這樣方便；還有人喜歡用windows提供的密碼記憶功能，這樣就可以不必每次都輸入密碼了。許多黑客軟件可以尋找到這些文件，把它們送到黑客手中。也有些黑客軟件長期潛伏，記錄操作者的鍵盤操作，從中尋找有用的密碼。
在這裏提醒一下，不要認為自己在文檔中加了密碼而把重要的保密文件存在公用計算機中，那你就大錯特錯了。別有用心的人完全可以用窮舉法暴力破譯你的密碼。利用windows api函數enumwindows和enumchildwindows對當前運行的所有程序的所有窗口（包括控件）進行遍歷，通過窗口標題查找密碼輸入和出確認重新輸入窗口，通過按鈕標題查找我們應該單擊的按鈕，通過es_password查找我們需要鍵入的密碼窗口。嚮密碼輸入窗口發送wm_settext消息模擬輸入密碼，嚮按鈕窗口發送wm_command消息模擬單擊。在破解過程中，把密碼保存在一個文件中，以便在下一個序列的密碼再次進行窮舉或多部機器同時進行分工窮舉，直到找到密碼為止。此類程序在黑客網站上唾手可得，精通程序設計的人，完全可以自編一個。
3、遠程訪問型
最廣泛的是特洛伊馬，衹需有人運行了服務端程序，如果客戶知道了服務端的ip地址，就可以實現遠程控製。以下的程序可以實現觀察"受害者"正在幹什麽，當然這個程序完全可以用在正道上的，比如監視學生機的操作。
程序中用的udp（user datagram protocol，用戶報文協議）是因特網上廣泛采用的通信協議之一。與tcp協議不同，它是一種非連接的傳輸協議，沒有確認機製，可靠性不如tcp，但它的效率卻比tcp高，用於遠程屏幕監視還是比較適合的。它不區分服務器端和客戶端，衹區分發送端和接收端，編程上較為簡單，故選用了udp協議。本程序中用了delphi提供的tnmudp控件。
4.鍵盤記錄木馬
這種特洛伊木馬是非常簡單的。它們衹做一件事情，就是記錄受害者的鍵盤敲擊並且在log文件裏查找密碼。據筆者經驗，這種特洛伊木馬隨着windows的啓動而啓動。它們有在綫和離綫記錄這樣的選項，顧名思義，它們分別記錄你在綫和離綫狀態下敲擊鍵盤時的按鍵情況。也就是說你按過什麽按鍵，下木馬的人都知道，從這些按鍵中他很容易就會得到你的密碼等有用信息，甚至是你的信用卡賬號哦!當然，對於這種類型的木馬，郵件發送功能也是必不可少的。
5.dos攻擊木馬
隨着dos攻擊越來越廣泛的應用，被用作dos攻擊的木馬也越來越流行起來。當你入侵了一臺機器，給他種上dos攻擊木馬，那麽日後這臺計算機就成為你dos攻擊的最得力助手了。你控製的肉雞數量越多，你發動dos攻擊取得成功的機率就越大。所以，這種木馬的危害不是體現在被感染計算機上，而是體現在攻擊者可以利用它來攻擊一臺又一臺計算機，給網絡造成很大的傷害和帶來損失。
還有一種類似dos的木馬叫做郵件炸彈木馬，一旦機器被感染，木馬就會隨機生成各種各樣主題的信件，對特定的郵箱不停地發送郵件，一直到對方癱瘓、不能接受郵件為止。
6.代理木馬
黑客在入侵的同時掩蓋自己的足跡，謹防別人發現自己的身份是非常重要的，因此，給被控製的肉雞種上代理木馬，讓其變成攻擊者發動攻擊的跳板就是代理木馬最重要的任務。通過代理木馬，攻擊者可以在匿名的情況下使用telnet,icq,irc等程序，從而隱蔽自己的蹤跡。
7.ftp木馬
這種木馬可能是最簡單和古老的木馬了，它的惟一功能就是打開21端口，等待用戶連接。現在新ftp木馬還加上了密碼功能，這樣，衹有攻擊者本人才知道正確的密碼，從而進入對方計算機。
8.程序殺手木馬
上面的木馬功能雖然形形色色，不過到了對方機器上要發揮自己的作用，還要過防木馬軟件這一關纔行。常見的防木馬軟件有zonealarm,norton anti-virus等。程序殺手木馬的功能就是關閉對方機器上運行的這類程序，讓其他的木馬更好地發揮作用。
9.反彈端口型木馬
木馬是木馬開發者在分析了防火墻的特性後發現:防火墻對於連入的鏈接往往會進行非常嚴格的過濾，但是對於連出的鏈接卻疏於防範。於是，與一般的木馬相反，反彈端口型木馬的服務端 (被控製端)使用主動端口，客戶端 (控製端)使用被動端口。木馬定時監測控製端的存在，發現控製端上綫立即彈出端口主動連結控製端打開的主動端口;為了隱蔽起見，控製端的被動端口一般開在80，即使用戶使用掃描軟件檢查自己的端口，發現類似tcp userip:1026 controllerip:80established的情況，稍微疏忽一點，你就會以為是自己在瀏覽網頁。
quote:
中木馬後出現的狀況
對於一些常見的木馬，如sub7、bo2000、冰河等等，它們都是采用打開tcp端口監聽和寫人註册表啓動等方式，使用木馬剋星之類的軟件可以檢測到這些木馬，這些檢測木馬的軟件大多都是利用檢測tcp連結、註册表等信息來判斷是否有木馬入侵，因此我們也可以通過手工來偵測木馬。
也許你會對硬盤空間莫名其妙減少500m感到習以為常，這的確算不了什麽，天知道windows的臨時文件和那些烏七八糟的遊戲吞噬了自己多少硬盤空間。可是，還是有一些現象會讓你感到警覺，一旦你覺得你自己的電腦感染了木馬，你應該馬上用殺毒軟件檢查一下自己的計算機，然後不管結果如何，就算是norton告訴你，你的機器沒有木馬，你也應該再親自作一次更深人的調查，確保自己機器安全。經常關註新的和出名的木馬的特性報告，這將對你診斷自己的計算機問題很有幫助。
(1)當你瀏覽一個網站，彈出來一些廣告窗口是很正常的事情，可是如果你根本沒有打開瀏覽器，而覽瀏器突然自己打開，並且進入某個網站，那麽，你要小心。
(2)你正在操作電腦，突然一個警告框或者是詢問框彈出來，問一些你從來沒有在電腦上接觸過的間題。
(3)你的windows係統配置老是自動莫名其妙地被更改。比如屏保顯示的文字，時間和日期，聲音大小，鼠標靈敏度，還有cd-rom的自動運行配置。
(4)硬盤老沒緣由地讀盤，軟驅燈經常自己亮起，網絡連接及鼠標屏幕出現異常現象。
這時，最簡單的方法就是使用netstat-a命令查看。你可以通過這個命令發現所有網絡連接，如果這時有攻擊者通過木馬連接，你可以通過這些信息發現異常。通過端口掃描的方法也可以發現一些弱智的木馬，特別是一些早期的木馬，它們捆綁的端口不能更改，通過掃描這些固定的端口也可以發現木馬是否被植入。
當然，沒有上面的種種現象並不代表你就絶對安全。有些人攻擊你的機器不過是想尋找一個跳板。做更重要的事情;可是有些人攻擊你的計算機純粹是為了好玩。對於純粹處於好玩目的的攻擊者，你可以很容易地發現攻擊的痕跡;對於那些隱藏得很深，並且想把你的機器變成一臺他可以長期使用的肉雞的黑客們，你的檢查工作將變得異常艱苦並且需要你對入侵和木馬有超人的敏感度，而這些能力，都是在平常的電腦使用過程日積月纍而成的。
我們還可以通過軟件來檢查係統進程來發現木馬。如利用進程管理軟件來查看進程，如果發現可疑進程就殺死它。那麽，如何知道哪個進程是可疑的呢?教你一個笨方法，有以下進程絶對是正常的：explorer.exe、kernel32.dll、mprexe.exe、msgsrvinternat.exe、32.exe、spool32.exeiexplore.exe(如果打開了ie)，而出現了其他的、你沒有運行的程序的進程就很可疑了。一句話，具體情況具體分析。
quote:
被感染後的緊急措施
如果不幸你的計算機已經被木馬光臨過了，你的係統文件被黑客改得一塌糊塗，硬盤上稀裏糊塗得多出來一大堆亂七八糟的文件，很多重要的數據也可能被黑客竊取。這裏給你提供3條建議，希望可以幫助你:
(1)所有的賬號和密碼都要馬上更改，例如撥號連接，icq,mirc,ftp，你的個人站點，免費郵箱等等，凡是需要密碼的地方，你都要把密碼盡快改過來。
(2)刪掉所有你硬盤上原來沒有的東西。
(4)檢查一次硬盤上是否有病毒存在 。
木馬技術篇
這裏就不介紹木馬是如何寫成的了,畢竟大多數網友不會去編寫什麽木馬,也沒有足夠的知識和能力來編寫,包括我自己:)
quote:
黑客是如何騙取你執行木馬的
1、冒充為圖像文件
首先，黑客最常使用騙別人執行木馬的方法，就是將特洛伊木馬說成為圖像文件，比如說是照片等，應該說這是一個最不合邏輯的方法，但卻是最多人中招的方法，有效而又實用 。
衹要入侵者扮成美眉及更改服務器程序的文件名(例如 sam.exe )為“類似”圖像文件的名稱 ，再假裝傳送照片給受害者，受害者就會立刻執行它。為甚麽說這是一個不合邏輯的方法呢？圖像文件的擴展名根本就不可能是 exe，而木馬程序的擴展名基本上又必定是 exe ，明眼人一看就會知道有問題，多數人在接收時一看見是exe文件，便不會接收了，那有什麽方法呢? 其實方法很簡單，他衹要把文件名改變，例如把“sam.exe” 更改為“sam.jpg” ，那麽在傳送時，對方衹會看見sam.jpg 了，而到達對方電腦時，因為windows 默認值是不顯示擴展名的，所以很多人都不會註意到擴展名這個問題，而恰好你的計算機又是設定為隱藏擴展名的話，那麽你看到的衹是sam.jpg 了，受騙也就在所難免了!
還有一個問題就是，木馬本身是沒有圖標的，而在電腦中它會顯示一個windows 預設的圖標，別人一看便會知道了！但入侵者還是有辦法的，這就是給文件換個“馬甲”，即修改文件圖標。
修改文件圖標的方法如下:
（1）比如到http://www.mydown.com 下載一個名為iconforge 的軟件，再進行安裝。
（2）執行程序，按下file > open
（3）在file type 選擇exe 類
（4）在file > open 中載入預先製作好的圖標( 可以用繪圖軟件或專門製作icon 的軟件製作，也可以在網上找找) 。
（5）然後按下file > save 便可以了。
如此這般最後得出的，便是看似jpg 或其他圖片格式的木馬了，很多人就會不經意間執行了它。
2、合併程序欺騙
通常有經驗的用戶，是不會將圖像文件和可執行文件混淆的，所以很多入侵者一不做二不休，幹脆將木馬程序說成是應用程序：反正都是以 exe 作為擴展名的。然後再變着花樣欺騙受害者，例如說成是新出爐的遊戲，無所不能的黑客程序等等，目地是讓受害者立刻執行它。而木馬程序執行後一般是沒有任何反應的，於是在悄無聲息中，很多受害者便以為是傳送時文件損壞了而不再理會它。
如果有更小心的用戶，上面的方法有可能會使他們的産生壞疑，所以就衍生了一些合拼程序。合拼程序是可以將兩個或以上的可執行文件(exe文件) 結合為一個文件，以後祇需執行這個合拼文件，兩個可執行文件就會同時執行。如果入侵者將一個正常的可執行文件(一些小遊戲如 wrap.exe) 和一個木馬程序合拼，由於執行合拼文件時 wrap.exe會正常執行，受害者在不知情中，背地裏木馬程序也同時執行了。而這其中最常用到的軟件就是joiner，由於它具有更大的欺騙性，使得安裝特洛伊木馬的一舉一動了無痕跡，是一件相當危險的黑客工具。讓我們來看一下它是如何運作的:
以往有不少可以把兩個程序合拼的軟件為黑客所使用，但其中大多都已被各大防毒軟件列作病毒了，而且它們有兩個突出的問題存在，這問題就是：
（1）合拼後的文件體積過大
（2）衹能合拼兩個執行文件
正因為如此，黑客們紛紛棄之轉而使用一個更簡單而功能更強的軟件，那就是joiner 了。此軟件不但把軟件合拼後的體積減少，而且可以待使用者執行後立馬就能收到一個icq 的信息，告訴你對方已中招及對方的ip ，更重要的是這個軟件可以把圖像文件、音頻文件與可執行文件合拼，用起來相當方便。
首先把joiner 解壓，然後執行joiner ，在程序的畫面裏，有“first executable : ”及“ second file : ”兩項，這兩行的右方都有一個文件夾圖標，分別各自選擇想合拼的文件。
下面還有一個enable icq notification 的空格，如果選取後，當對方執行了文件時，便會收到對方的一個icq web messgaer ，裏面會有對方的ip ，當然要在下面的icq number 填上欲收取信息的icq 號碼。但開啓這個功能後，合拼後的文件會比較大。
最後便按下“join” ，在joiner 的文件夾裏，便會出現一個result.exe 的文件，文件可更改名稱，因而這種“混合體”的隱蔽性是不言而喻的。
3、以z-file 偽裝加密程序
z-file 偽裝加密軟件是臺灣華順科技的産品，其經過將文件壓縮加密之後，再以 bmp圖像文件格式顯示出來(擴展名是 bmp，執行後是一幅普通的圖像)。當初設計這個軟件的本意衹是用來加密數據，用以就算計算機被入侵或被非法使使用時，也不容易泄漏你的機密數據所在。不過如果到了黑客手中，卻可以變成一個入侵他人的幫兇。 使用者會將木馬程序和小遊戲合拼，再用 z-file 加密及將 此“混合體”發給受害者，由於看上去是圖像文件，受害者往往都不以為然，打開後又衹是一般的圖片，最可怕的地方還在於就連殺毒軟件也檢測不出它內藏特洛伊木馬，甚至病毒！當打消了受害者警惕性後，再讓他用winzip 解壓縮及執行 “偽裝體 (比方說還有一份小禮物要送給他)，這樣就可以成功地安裝了木馬程序。 如果入侵者有機會能使用受害者的電腦(比如上門維修電腦)，衹要事先已經發出了“混合體，則可以直接用 winzip 對其進行解壓及安裝。由於上門維修是赤着手使用其電腦，受害者根本不會懷疑有什麽植入他的計算機中，而且時間並不長，30秒時間已經足夠。就算是“明晃晃”地在受害者面前操作，他也不見得會看出這一雙黑手正在幹什麽。特別值得一提的是，由於 “混合體” 可以躲過反病毒程序的檢測，如果其中內含的是一觸即發的病毒，那麽一經結開壓縮，後果將是不堪設想。
4、偽裝成應用程序擴展組件
此類屬於最難識別的特洛伊木馬。黑客們通常將木馬程序寫成為任何類型的文件 (例如 dll、ocx等) 然後挂在一個十分出名的軟件中，例如 oicq 。由於oicq本身已有一定的知名度，沒有人會懷疑它的安全性，更不會有人檢查它的文件多是否多了。而當受害者打開oicq時，這個有問題的文件即會同時執行。 此種方式相比起用合拼程序有一個更大的好處，那就是不用更改被入侵者的登錄文件，以後每當其打開oicq時木馬程序就會同步運行 ，相較一般特洛伊木馬可說是“踏雪無痕”。更要命的是，此類入侵者大多也是特洛伊木馬編寫者，衹要稍加改動，就會派生出一支新木馬來，所以即使殺是毒軟件也拿它沒有絲毫辦法。
quote:
ip安全策略 vs 特洛伊木馬
當木馬悄悄打開某扇“方便之門”（端口）時，不速之客就會神不知鬼不覺地侵入你的電腦。如果被種下木馬其實也不必擔心，首先我們要切斷它們與外界的聯繫（就是 堵住可疑端口）。
在win 2000/xp/2003係統中，microsoft管理控製臺（mmc）已將係統的配置功能匯集成配置模塊，大大方便我們進行特殊的設置（以telnet利用的23端口為例，筆者的操作係統為win xp）。
操作步驟
首先單擊“運行”在框中輸入“mmc”後回車，會彈出“控製臺1”的窗口。我們依次選擇“文件→添加/刪除管理單元→在獨立標簽欄中點擊‘添加’→ip安全策略管理”，最後按提示完成操作。這時，我們已把“ip安全策略，在本地計算機”（以下簡稱“ip安全策略”）添加到“控製臺根節點”下。
現在雙擊“ip安全策略”就可以新建一個管理規則了。右擊“ip安全策略”，在彈出的快捷菜單中選擇“創建ip安全策略”，打開ip安全策略嚮導，點擊“下一步→名稱默認為‘新ip安全策略’→下一步→不必選擇‘激活默認響應規則’”（註意：在點擊“下一步的同時，需要確認此時“編輯屬性”被選中），然後選擇“完成→在“新ip安全策略屬性→添加→不必選擇‘使用添加嚮導’”。
在尋址欄的源地址應選擇“任何ip地址”，目標地址選擇“我的ip地址”（不必選擇鏡像）。在協議標簽欄中，註意類型應為tcp，並設置ip協議端口從任意端口到此端口23，最後點擊“確定”即可。這時在“ip篩選器列表”中會出現一個“新ip篩選器”，選中它，切換到“篩選器操作”標簽欄，依次點擊“添加→名稱默認為‘新篩選器操作’→添加→阻止→完成”。
新策略需要被激活才能起作用，具體方法是：在“新ip安全策略”上點右鍵，“指派”剛纔製定的策略。
效果
現在，當我們從另一臺電腦telnet到設防的這一臺時，係統會報告登錄失敗；用掃描工具掃描這臺機子，會發現23端口仍然在提供服務。以同樣的方法，大傢可以把其它任何可疑的端口都封殺掉，讓不速之客們大叫“不妙”去吧!
教您手工輕鬆清除隱藏在電腦裏的病毒和木馬
現在上網的朋友越來越多了，其中有一點不可避免的就是如何防範和查殺病毒和惡意攻擊程序了。但是，如果不小心中了病毒而身邊又沒有殺毒軟件怎麽辦?沒有關係，今天我就來教大傢怎樣輕鬆地手工清除藏在電腦裏的病毒和木馬。
檢查註册表
註册表一直都是很多木馬和病毒“青睞”的寄生場所，註意在檢查註册表之前要先給註册表備份。
1、 檢查註册表中hkey_local_machine＼software＼microsoft＼windows＼currentversion＼run和hkey_local_machine＼software＼microsoft＼windows＼currentversion＼runserveice，查看鍵值中有沒有自己不熟悉的自動啓動文件，擴展名一般為exe，然後記住木馬程序的文件名，再在整個註册表中搜索，凡是看到了一樣的文件名的鍵值就要刪除，接着到電腦中找到木馬文件的藏身地將其徹底刪除?比如“愛蟲”病毒會修改上面所提的第一項，bo2000木馬會修改上面所提的第二項)。
2、 檢查註册表hkey_local_machine和hkey_current_user＼software＼microsoft＼internet explorer＼main中的幾項(如local page)，如果發現鍵值被修改了，衹要根據你的判斷改回去就行了。惡意代碼(如“萬花𠔌”)就經常修改這幾項。
3、檢查hkey_classes_root＼inifile ＼shell＼open＼command和hkey_classes_root ＼txtfile＼shell＼open＼command等等幾個常用文件類型的默認打開程序是否被更改。這個一定要改回來，很多病毒就是通過修改.txt、.ini等的默認打開程序而清除不了的。例如“羅密歐與朱麗葉”?blebla病毒就修改了很多文件(包括.jpg、.rar、.mp3等)的默認打開程序。
檢查你的係統配置文件
其實檢查係統配置文件最好的方法是打開windows“係統配置實用程序”(從開始菜單運行msconfig.exe)，在裏面你可以配置config.sys、autoexec.bat、system.ini和win.ini，並且可以選擇啓動係統的時間。
1、檢查win.ini文件(在c?＼windows＼下)，打開後，在?windows?下面，“run=”和“load=”是可能加載“木馬”程序的途徑，必須仔細留心它們。在一般情況下，在它們的等號後面什麽都沒有，如果發現後面跟有路徑與文件名不是你熟悉的啓動文件，你的計算機就可能中上“木馬”了。比如攻擊qq的“gop木馬”就會在這裏留下痕跡。
2、檢查system.ini文件(在c:＼windows＼下)，在boot下面有個“shell=文件名”。正確的文件名應該是“explorer.exe”，如果不是“explorer.exe”，而是“shell= explorer.exe 程序名”，那麽後面跟着的那個程序就是“木馬”程序，然後你就要在硬盤找到這個程序並將其刪除了。這類的病毒很多，比如“尼姆達”病毒就會把該項修改為“shell=explorer.exe load.exe -dontrunold”。
quote:
查看文件屬性幫你清除木馬
近日，筆者用bt下載了一個格鬥遊戲，運行安裝程序後沒有任何反應。起初，筆者以為是安裝程序已經損壞就順手給刪掉了，沒有特別留意。但第二天開機時，金山毒霸突然無法加載。由於以前也有過類似的經歷，所以筆者感覺昨天下載的那個格鬥遊戲多半捆綁了木馬。
為了安全起見，筆者立刻斷掉了網絡連 接，然後打開“windows任務管理器”，經過排除找到了名為“sprite.exe”的可疑進程。結束該進程後金山毒霸就可以正常運行了，但仍然無法查出木馬的所在。利用windows自帶的搜索功能搜索“sprite.exe”，選擇包括隱藏文件，也衹搜到文件“sprite.exe”。正要刪除時，筆者突發奇想：木馬通常進駐內存時都會自動生成一些輔助文件，何不利用windows自帶的查看文件屬性功能達到一勞永逸的目的?說幹就幹，找到文件“sprite.exe”用右鍵點擊，在彈出的對話框中選擇 “屬性”，電腦顯示該文件創建於2003年10月9日18:08:19。點擊“開始→高級搜索”，將文件創建日期設定為10月9日，搜索……在搜索結果中找到兩個創建時間為2003年10月9日18:08:19的文件:“hiddukel.exe”和“hiddukel.dll”(大小分別為71kb和15kb)，一並刪除，大功告成。
後來筆者從網上瞭解到這種木馬叫做“妖精”。最新版本的殺毒軟件和防火墻均不能清除這種木馬。以下是手工清除此木馬的方法:
1.打開註册表編輯器，找到“hkey_ classes_rootexefileshellopencommand”下的“c:windowssystemhiddukel.exe”鍵值和“hkey_local_machinesoftwareclassesexefileshellopencommand”下的“c:windowssystemhiddukel.exe”鍵值後，將它們刪除；
2.打開c:windowssystem目錄，找到hiddukel.exe（71kb）和hiddukel.dll（15kb）兩個文件後，將它們刪除；
3.查找你的電腦裏是否有sprite.exe（132kb）或者crawler.exe（131kb），如果有的話也要徹底將它們刪除。
現在的木馬多數都會在進駐內存時自動生成一些動態鏈接文件。筆者介紹的這種利用查看文件創建時間進行文件搜索的方法，有些時候是很好用的，感興趣的朋友不妨試試（對於經常安裝遊戲和軟件的玩傢可能不適用）。
quote:
查看開放端口判斷木馬的方法
當前最為常見的木馬通常是基於tcp/udp協議進行client端與server端之間的通訊的，既然利用到這兩個協議，就不可避免要在server端（就是被種了木馬的機器了）打開監聽端口來等待連接。例如鼎鼎大名的冰河使用的監聽端口是7626，back orifice 2000則是使用54320等等。那麽，我們可以利用查看本機開放端口的方法來檢查自己是否被種了木馬或其它黑客程序。以下是詳細方法介紹。
1． windows本身自帶的netstat命令
關於netstat命令，我們先來看看windows幫助文件中的介紹：
netstat
顯示協議統計和當前的 tcp/ip 網絡連接。該命令衹有在安裝了 tcp/ip 協議後纔可以使用。
netstat [-a] [-e] [-n] [-s] [-p protocol] [-r] [interval]
參數
-a
顯示所有連接和偵聽端口。服務器連接通常不顯示。
-e
顯示以太網統計。該參數可以與 -s 選項結合使用。
-n
以數字格式顯示地址和端口號（而不是嘗試查找名稱）。
-s
顯示每個協議的統計。默認情況下，顯示 tcp、udp、icmp 和 ip 的統計。-p 選項可以用來指定默認的子集。
-p protocol
顯示由 protocol 指定的協議的連接；protocol 可以是 tcp 或 udp。如果與 -s 選項一同使用顯示每個協議的統計，protocol 可以是 tcp、udp、icmp 或 ip。
-r
顯示路由表的內容。
interval
重新顯示所選的統計，在每次顯示之間暫停 interval 秒。按 ctrl+b 停止重新顯示統計。如果省略該參數，netstat 將打印一次當前的配置信息。
好了，看完這些幫助文件，我們應該明白netstat命令的使用方法了。現在就讓我們現學現用，用這個命令看一下自己的機器開放的端口。進入到命令行下，使用netstat命令的a和n兩個參數：
c:>netstat -an
active connections
proto local address foreign address state
tcp 0.0.0.0:80 0.0.0.0:0 listening
tcp 0.0.0.0:21 0.0.0.0:0 listening
tcp 0.0.0.0:7626 0.0.0.0:0 listening
udp 0.0.0.0:445 0.0.0.0:0
udp 0.0.0.0:1046 0.0.0.0:0
udp 0.0.0.0:1047 0.0.0.0:0
解釋一下，active connections是指當前本機活動連接，proto是指連接使用的協議名稱，local address是本地計算機的 ip 地址和連接正在使用的端口號，foreign address是連接該端口的遠程計算機的 ip 地址和端口號，state則是表明tcp 連接的狀態，你可以看到後面三行的監聽端口是udp協議的，所以沒有state表示的狀態。看！我的機器的7626端口已經開放，正在監聽等待連接，像這樣的情況極有可能是已經感染了冰河！急忙斷開網絡，用殺毒軟件查殺病毒是正確的做法。
2．工作在windows2000下的命令行工具fport
使用windows2000的朋友要比使用windows9x的幸運一些，因為可以使用fport這個程序來顯示本機開放端口與進程的對應關係。
fport是foundstone出品的一個用來列出係統中所有打開的tcp/ip和udp端口，以及它們對應應用程序的完整路徑、pid標識、進程名稱等信息的軟件。在命令行下使用，請看例子：
d:>fport.exe
fport v1.33 - tcp/ip process to port mapper
copyright 2000 by foundstone, inc.
http://www.foundstone.com
pid process port proto path
748 tcpsvcs -> 7 tcp c:winntsystem32 tcpsvcs.exe
748 tcpsvcs -> 9 tcp c:winntsystem32 cpsvcs.exe
748 tcpsvcs -> 19 tcp c:winntsystem32 cpsvcs.exe
416 svchost -> 135 tcp c:winntsystem32svchost.exe
是不是一目瞭然了。這下，各個端口究竟是什麽程序打開的就都在你眼皮底下了。如果發現有某個可疑程序打開了某個可疑端口，可千萬不要大意哦，也許那就是一隻狡猾的木馬！
fport的最新版本是2.0。在很多網站都提供下載，但是為了安全起見，當然最好還是到它的老傢去下：http://www.foundstone.com/knowledge/zips/fport.zip
3.與fport功能類似的圖形化界面工具active ports
active ports為smartline出品，你可以用來監視電腦所有打開的tcp/ip/udp端口，不但可以將你所有的端口顯示出來，還顯示所有端口所對應的程序所在的路徑，本地ip和遠端ip(試圖連接你的電腦ip)是否正在活動。下面是軟件截圖：
是不是很直觀？更棒的是，它還提供了一個關閉端口的功能，在你用它發現木馬開放的端口時，可以立即將端口關閉。這個軟件工作在windows nt/2000/xp平臺下。你可以在http://www.smartline.ru/software/aports.zip得到它。
其實使用windows xp的用戶無須藉助其它軟件即可以得到端口與進程的對應關係，因為windows xp所帶的netstat命令比以前的版本多了一個o參數，使用這個參數就可以得出端口與進程的對應來。
上面介紹了幾種查看本機開放端口，以及端口和進程對應關係的方法，通過這些方法可以輕鬆的發現基於tcp/udp協議的木馬，希望能給你的愛機帶來幫助。但是對木馬重在防範，而且如果碰上反彈端口木馬，利用驅動程序及動態鏈接庫技術製作的新木馬時，以上這些方法就很難查出木馬的痕跡了。所以我們一定要養成良好的上網習慣，不要隨意運行郵件中的附件，安裝一套殺毒軟件，像國內的瑞星就是個查殺病毒和木馬的好幫手。從網上下載的軟件先用殺毒軟件檢查一遍再使用，在上網時打開網絡防火墻和病毒實時監控，保護自己的機器不被可恨的木馬入侵。
木馬還包括webshell
遊戲五卡名
卡包:sod
日文名:トロイホース
中文名:特洛伊木馬
星級:4
罕貴度:平卡n
卡種:效果怪獸
屬性:地
種族:獸
攻:1600
防:1200
效果:作為地屬性怪獸的祭品時，這衹怪獸可以1衹當作2衹用。
用於：地屬性卡組 | | | 古希臘傳說，特洛伊王子帕裏斯訪問希臘，誘走了王後海倫，希臘人因此遠征特洛伊。圍攻9年後，到第10年，希臘將領奧德修斯獻了一計，就是把一批勇士埋伏在一匹巨大的木馬腹內，放在城外後，佯作退兵。特洛伊人以為敵兵已退，就把木馬作為戰利品搬入城中。到了夜間，埋伏在木馬中的勇士跳出來，打開了城門，希臘將士一擁而入攻下了城池。後來，人們在寫文章時,就常用“特洛伊木馬”這一典故，用來比喻在敵方營壘裏埋下伏兵裏應外合的活動。 | | 特洛伊木馬沒有復製能力，它的特點是偽裝成一個實用工具或者一個可愛的遊戲，這會誘使用戶將其安裝在PC或者服務器上。
“特洛伊木馬”（trojan horse）簡稱“木馬（wooden horse）”，據說這個名稱來源於希臘神話《木馬屠城記》。古希臘有大軍圍攻特洛伊城，久久無法攻下。於是有人獻計製造一隻高二丈的大木馬，假裝作戰馬神，讓士兵藏匿於巨大的木馬中，大部隊假裝撤退而將木馬擯棄於特洛伊城下。城中得知解圍的消息後，遂將“木馬”作為奇異的戰利品拖入城內，全城飲酒狂歡。到午夜時分，全城軍民盡入夢鄉，匿於木馬中的將士開秘門遊繩而下，開啓城門及四處縱火，城外伏兵涌入，部隊裏應外合，焚屠特洛伊城。後世稱這衹大木馬為“特洛伊木馬”。如今黑客程序藉用其名，有“一經潛入，後患無窮”之意。
完整的木馬程序一般由兩個部分組成：一個是服務器端，一個是控製器端。“中了木馬”就是指安裝了木馬的客戶端程序，若你的電腦被安裝了客戶端程序，則擁有相應服務器端的人就可以通過網絡控製你的電腦、為所欲為，這時你電腦上的各種文件、程序，以及在你電腦上使用的賬號、密碼無安全可言了。
木馬程序不能算是一種病毒，但可以和最新病毒、漏洞利用工具一起使用用，幾乎可以躲過各大殺毒軟件，儘管現在越來越多的新版的殺毒軟件，可以查殺一些防殺木馬了，所以不要認為使用有名的殺毒軟件電腦就絶對安全，木馬永遠是防不勝防的，除非你不上網。 | | 介紹特洛伊木馬程序的原理、特徵以及中了木馬後係統出現的情況……
QUOTE:
特洛伊木馬是如何啓動的
作為一個優秀的木馬，自啓動功能是必不可少的，這樣可以保證木馬不會因為你的一次關機操作而徹底失去作用。正因為該項技術如此重要，所以，很多編程人員都在不停地研究和探索新的自啓動技術，並且時常有新的發現。一個典型的例子就是把木馬加入到用戶經常執行的程序 (例如explorer.exe)中，用戶執行該程序時，則木馬自動發生作用。當然，更加普遍的方法是通過修改Windows係統文件和註册表達到目的，現經常用的方法主要有以下幾種:
1.在Win.ini中啓動
在Win.ini的[windows]字段中有啓動命令"load＝"和"run＝"，在一般情況下 "＝"後面是空白的，如果有後跟程序，比方說是這個樣子：
run=c:windowsfile.exe
load=c:windowsfile.exe
要小心了，這個file.exe很可能是木馬哦。
2.在System.ini中啓動
System.ini位於Windows的安裝目錄下，其[boot]字段的shell=Explorer.exe是木馬喜歡的隱藏加載之所，木馬通常的做法是將該何變為這樣:shell=Explorer.exefile.exe。註意這裏的file.exe就是木馬服務端程序!
另外，在System.中的[386Enh]字段，要註意檢查在此段內的"driver＝路徑程序名"這裏也有可能被木馬所利用。再有，在System.ini中的[mic]、[drivers]、[drivers32]這3個字段，這些段也是起到加載驅動程序的作用，但也是增添木馬程序的好場所，現在你該知道也要註意這裏嘍。
3.利用註册表加載運行
如下所示註册表位置都是木馬喜好的藏身加載之所，趕快檢查一下，有什麽程序在其下。
4.在Autoexec.bat和Config.sys中加載運行
請大傢註意，在C盤根目錄下的這兩個文件也可以啓動木馬。但這種加載方式一般都需要控製端用戶與服務端建立連接後，將己添加木馬啓動命令的同名文件上傳到服務端覆蓋這兩個文件纔行，而且采用這種方式不是很隱蔽。容易被發現，所以在Autoexec.bat和Confings中加載木馬程序的並不多見，但也不能因此而掉以輕心。
5.在Winstart.bat中啓動
Winstart.bat是一個特殊性絲毫不亞於Autoexec.bat的批處理文件，也是一個能自動被Windows加載運行的文件。它多數情況下為應用程序及Windows自動生成，在執行了Windows自動生成，在執行了Win.com並加截了多數驅動程序之後
開始執行 (這一點可通過啓動時按F8鍵再選擇逐步跟蹤啓動過程的啓動方式可得知)。由於Autoexec.bat的功能可以由Witart.bat代替完成，因此木馬完全可以像在Autoexec.bat中那樣被加載運行，危險由此而來。
6.啓動組
木馬們如果隱藏在啓動組雖然不是十分隱蔽，但這裏的確是自動加載運行的好場所，因此還是有木馬喜歡在這裏駐留的。啓動組對應的文件夾為C:Windowsstart menuprogramsstartup,在註册表中的位置:HKEY_CURRENT_USERSoftwareMicrosoftwindowsCurrentVersionExplorershell
Folders Startup="c:windowsstart menuprogramsstartup"。要註意經常檢查啓動組哦!
7.*.INI
即應用程序的啓動配置文件，控製端利用這些文件能啓動程序的特點，將製作好的帶有木馬啓動命令的同名文件上傳到服務端覆蓋這同名文件，這樣就可以達到啓動木馬的目的了。衹啓動一次的方式:在winint.ini.中(用於安裝較多)。
8.修改文件關聯
修改文件關聯是木馬們常用手段 (主要是國産木馬，老外的木馬大都沒有這個功能)，比方說正常情況下TXT文件的打開方式為Notepad.EXE文件，但一旦中了文件關聯木馬，則txt文件打開方式就會被修改為用木馬程序打開，如著名的國産木馬冰河就是這樣幹的. "冰河"就是通過修改HKEY_CLASSES_ROOTtxtfilewhellopencommand下的鍵值，將“C:WINDOWSNOTEPAD.EXE本應用Notepad打開，如著名的國産HKEY一CLASSES一ROOTtxt鬧eshellopencommandT的鍵值，將 "C:WINDOWSNOTEPAD.EXE%l"改為 "C:WINDOWSSYSTEMSYSEXPLR.EXE%l"，這樣，一旦你雙擊一個TXT文件，原本應用Notepad打開該文件，現在卻變成啓動木馬程序了，好狠毒哦!請大傢註意，不僅僅是TXT文件，其他諸如HTM、EXE、ZIP.COM等都是木馬的目標，要小心摟。
對付這類木馬，衹能經常檢查HKEY_Cshellopencommand主鍵，查看其鍵值是否正常。
9.捆綁文件
實現這種觸發條件首先要控製端和服務端已通過木馬建立連接，然後控製端用戶用工具軟件將木馬文件和某一應用程序捆綁在一起，然後上傳到服務端覆蓋源文件，這樣即使木馬被刪除了，衹要運行捆綁了木馬的應用程序，木馬義會安裝上去。綁定到某一應用程序中，如綁定到係統文件，那麽每一次Windows啓動均會啓動木馬。
10.反彈端口型木馬的主動連接方式
反彈端口型木馬我們已經在前面說過了，由於它與一般的木馬相反，其服務端 (被控製端)主動與客戶端 (控製端)建立連接，並且監聽端口一般開在80，所以如果沒有合適的工具、豐富的經驗真的很難防範。這類木馬的典型代表就是網絡神偷"。由於這類木馬仍然要在註册表中建立鍵值註册表的變化就不難查到它們。同時，最新的天網防火墻(如我們在第三點中所講的那樣)，因此衹要留意也可在網絡神偷服務端進行主動連接時發現它。
QUOTE:
木馬的隱藏方式
1.在任務欄裏隱藏
這是最基本的隱藏方式。如果在windows的任務欄裏出現一個莫名其妙的圖標，傻子都會明白是怎麽回事。要實現在任務欄中隱藏在編程時是很容易實現的。我們以VB為例。在VB中，衹要把from的Visible屬性設置為False,ShowInTaskBar設為False程序就不會出現在任務欄裏了。
2.在任務管理器裏隱藏
查看正在運行的進程最簡單的方法就是按下Ctrl+Alt+Del時出現的任務管理器。如果你按下Ctrl+Alt+Del後可以看見一個木馬程序在運行，那麽這肯定不是什麽好木馬。所以，木馬會千方百計地偽裝自己，使自己不出現在任務管理器裏。木馬發現把自己設為 "係統服務“就可以輕鬆地騙過去。
因此，希望通過按Ctrl+Alt+Del發現木馬是不大現實的。
3.端口
一臺機器有65536個端口，你會註意這麽多端口麽?而木馬就很註意你的端口。如果你稍微留意一下，不難發現，大多數木馬使用的端口在1024以上，而且呈越來越大的趨勢;當然也有占用1024以下端口的木馬，但這些端口是常用端口，占用這些端口可能會造成係統不正常，這樣的話，木馬就會很容易暴露。也許你知道一些木馬占用的端口，你或許會經常掃描這些端口，但現在的木馬都提供端口修改功能，你有時間掃描65536個端口麽?
4.隱藏通訊
隱藏通訊也是木馬經常采用的手段之一。任何木馬運行後都要和攻擊者進行通訊連接，或者通過即時連接，如攻擊者通過客戶端直接接人被植人木馬的主機;或者通過間接通訊。如通過電子郵件的方式，木馬把侵入主機的敏感信息送給攻擊者。現在大部分木馬一般在占領主機後會在1024以上不易發現的高端口上駐留;有一些木馬會選擇一些常用的端口，如80、23,有一種非常先進的木馬還可以做到在占領80HTTP端口後，收到正常的HTTP請求仍然把它交與Web服務器處理，衹有收到一些特殊約定的數據包後，才調用木馬程序。
5.隱藏隱加載方式
木馬加載的方式可以說千奇百怪，無奇不有。但殊途同歸，都為了達到一個共同的目的，那就是使你運行木馬的服務端程序。如果木馬不做任何偽裝，就告訴你這是木馬，你會運行它纔怪呢。而隨着網站互動化避程的不斷進步，越來越多的東西可以成為木馬的傳播介質，Java Script、VBScript、ActiveX.XLM....幾乎WWW每一個新功能部會導致木馬的快速進化。
6.最新隱身技術
在Win9x時代，簡單地註册為係統進程就可以從任務欄中消失，可是在Windows2000盛行的今天。這種方法遭到了慘敗。註册為係統進程不僅僅能在任務欄中看到，而且可以直接在Services中直接控製停止。運行(太搞笑了，木馬被客戶端控製)。使用隱藏窗體或控製臺的方法也不能欺騙無所不見的Admlin大人(要知道，在NT下，Administrator是可以看見所有進程的)。在研究了其他軟件的長處之後，木馬發現，Windows下的中文漢化軟件采用的陷阱技術非常適合木馬的使用。
這是一種更新、更隱蔽的方法。通過修改虛擬設備驅動程序(VXD)或修改動態遵掇庫 (DLL)來加載木馬。這種方法與一般方法不同，它基本上擺脫了原有的木馬模式---監聽端口，而采用替代係統功能的方法(改寫vxd或DLL文件)，木馬會將修改後的DLL替換係統已知的DLL，並對所有的函數調用進行過濾。對於常用的調用，使用函數轉發器直接轉發給被替換的係統DLL，對於一些相應的操作。實際上。這樣的事先約定好的特種情況，DLL會執行一般衹是使用DLL進行監聽，一旦發現控製端的請求就激活自身，綁在一個進程上進行正常的木馬操作。這樣做的好處是沒有增加新的文件，不需要打開新的端口，沒有新的進程，使用常規的方法監測不到它。在往常運行時，木馬幾乎沒有任何癱狀，且木馬的控製端嚮被控製端發出特定的信息後，隱藏的程序就立即開始運作。
QUOTE:
特洛伊木馬具有的特性
1.包含在正常程序中，當用戶執行正常程序時，啓動自身，在用戶難以察覺的情況下，完成一些危害用戶的操作，具有隱蔽性
由於木馬所從事的是 "地下工作"，因此它必須隱藏起來，它會想盡一切辦法不讓你發現它。很多人對木馬和遠程控製軟件有點分不清，還是讓我們舉個例子來說吧。我們進行局域網間通訊的常用軟件PCanywhere大傢一定不陌生吧?我們都知道它是一款遠程控製軟件。PCanywhere比在服務器端運行時，客戶端與服務器端連接成功後，客戶端機上會出現很醒目的提示標志;而木馬類的軟件的服務器端在運行的時候應用各種手段隱藏自己，不可能出現任何明顯的標志。木馬開發者早就想到了可能暴露木馬蹤跡的問題，把它們隱藏起來了。例如大傢所熟悉木馬修改註册表和而文件以便機器在下一次啓動後仍能載入木馬程式，它不是自己生成一個啓動程序，而是依附在其他程序之中。有些木馬把服務器端和正常程序綁定成一個程序的軟件，叫做exe-binder綁定程序，可以讓人在使用綁定的程序時，木馬也入侵了係統。甚至有個別木馬程序能把它自身的exe文件和服務端的圖片文件綁定，在你看圖片的時候，木馬便侵人了你的係統。它的隱蔽性主要體現在以下兩個方面:
(1)不産生圖標
木馬雖然在你係統啓動時會自動運行，但它不會在 "任務欄"中産生一個圖標，這是容易理解的，不然的話，你看到任務欄中出現一個來歷不明的圖標，你不起疑心纔怪呢!
(2)木馬程序自動在任務管理器中隱藏，並以"係統服務"的方式欺騙操作係統。
2.具有自動運行性。
木馬為了控製服務端。它必須在係統啓動時即跟隨啓動，所以它必須潛人在你的啓動配置文件中，如win.ini、system.ini、winstart.bat以及啓動組等文件之中。
3.包含具有未公開並且可能産生危險後果的功能的程序。
4.具備自動恢復功能。
現在很多的木馬程序中的功能模塊巴不再由單一的文件組成，而是具有多重備份，可以相互恢復。當你刪除了其中的一個，以為萬事大吉又運行了其他程序的時候，誰知它又悄然出現。像幽靈一樣，防不勝防。
5.能自動打開特別的端口。
木馬程序潛人你的電腦之中的目的主要不是為了破壞你的係統，而是為了獲取你的係統中有用的信息，當你上網時能與遠端客戶進行通訊，這樣木馬程序就會用服務器客戶端的通訊手段把信息告訴黑客們，以便黑客們控製你的機器，或實施進一步的入侵企圖。你知道你的電腦有多少個端口?不知道吧?告訴你別嚇着:根據TCP/IP協議，每臺電腦可以有256乘以256個端口，也即從0到65535號 "門"，但我們常用的衹有少數幾個，木馬經常利用我們不大用的這些端口進行連接，大開方便之 "門"。
6、功能的特殊性。
通常的木馬功能都是十分特殊的，除了普通的文件操作以外，還有些木馬具有搜索cache中的口令、設置口令、掃描目標機器人的IP地址、進行鍵盤記錄、遠程註册表的操作以及鎖定鼠標等功能。上面所講的遠程控製軟件當然不會有這些功能，畢竟遠程控製軟件是用來控製遠程機器，方便自己操作而已，而不是用來黑對方的機器的。
QUOTE:
木馬采用的偽裝方法
1.修改圖標
木馬服務端所用的圖標也是有講究的，木馬經常故意偽裝成了XT.HTML等你可能認為對係統沒有多少危害的文件圖標，這樣很容易誘惑你把它打開。看看，木馬是不是很狡猾?
2.捆綁文件
這種偽裝手段是將木馬捆綁到一個安裝程序上，當安裝程序運行時，木馬在用戶毫無察覺的情況下，偷偷地進入了係統。被捆綁的文件一般是可執行文件 (即EXE、COM一類的文件)。
3.出錯顯示
有一定木馬知識的人部知道，如果打開一個文件，沒有任何反應，這很可能就是個木馬程序。木馬的設計者也意識到了這個缺陷，所以已經有木馬提供了一個叫做出錯顯示的功能。當服務端用戶打開木馬程序時，會彈出一個錯誤提示框 (這當然是假的)，錯誤內容可自由定義，大多會定製成一些諸如 "文件已破壞，無法打開!"之類的信息，當服務端用戶信以為真時，木馬卻悄悄侵人了係統。
4.自我銷毀
這項功能是為了彌補木馬的一個缺陷。我們知道，當服務端用戶打開含有木馬的文件後，木馬會將自己拷貝到Windows的係統文件夾中(C;wmdows或C:windowssystem目錄下),一般來說，源木馬文件和係統文件夾中的木馬文件的大小是一樣的 (捆綁文件的木馬除外)，那麽，中了木馬的朋友衹要在近來收到的信件和下載的軟件中找到源木馬文件，然後根據源木馬的大小去係統文件夾找相同大小的文件，判斷一下哪個是木馬就行了。而木馬的自我銷毀功能是指安裝完木馬後，源木馬文件自動銷毀，這樣服務端用戶就很難找到木馬的來源，在沒有查殺木馬的工具幫助下。就很難刪除木馬了。
5.木馬更名
木馬服務端程序的命名也有很大的學問。如果不做任何修改，就使用原來的名字，誰不知道這是個木馬程序呢?所以木馬的命名也是千奇百怪，不過大多是改為和係統文件名差不多的名字，如果你對係統文件不夠瞭解，那可就危險了。例如有的木馬把名字改為window.exe，如果不告訴你這是木馬的話，你敢刪除嗎?還有的就是更改一些後綴名，比如把dll改為dl等，不仔細看的，你會發現嗎?
QUOTE:
木馬的種類
1、破壞型
惟一的功能就是破壞並且刪除文件，可以自動的刪除電腦上的DLL、INI、EXE文件。
2、密碼發送型
可以找到隱藏密碼並把它們發送到指定的信箱。有人喜歡把自己的各種密碼以文件的形式存放在計算機中，認為這樣方便；還有人喜歡用WINDOWS提供的密碼記憶功能，這樣就可以不必每次都輸入密碼了。許多黑客軟件可以尋找到這些文件，把它們送到黑客手中。也有些黑客軟件長期潛伏，記錄操作者的鍵盤操作，從中尋找有用的密碼。
在這裏提醒一下，不要認為自己在文檔中加了密碼而把重要的保密文件存在公用計算機中，那你就大錯特錯了。別有用心的人完全可以用窮舉法暴力破譯你的密碼。利用WINDOWS API函數EnumWindows和EnumChildWindows對當前運行的所有程序的所有窗口（包括控件）進行遍歷，通過窗口標題查找密碼輸入和出確認重新輸入窗口，通過按鈕標題查找我們應該單擊的按鈕，通過ES_PASSWORD查找我們需要鍵入的密碼窗口。嚮密碼輸入窗口發送WM_SETTEXT消息模擬輸入密碼，嚮按鈕窗口發送WM_COMMAND消息模擬單擊。在破解過程中，把密碼保存在一個文件中，以便在下一個序列的密碼再次進行窮舉或多部機器同時進行分工窮舉，直到找到密碼為止。此類程序在黑客網站上唾手可得，精通程序設計的人，完全可以自編一個。
3、遠程訪問型
最廣泛的是特洛伊馬，衹需有人運行了服務端程序，如果客戶知道了服務端的IP地址，就可以實現遠程控製。以下的程序可以實現觀察"受害者"正在幹什麽，當然這個程序完全可以用在正道上的，比如監視學生機的操作。
程序中用的UDP（User Datagram Protocol，用戶報文協議）是因特網上廣泛采用的通信協議之一。與TCP協議不同，它是一種非連接的傳輸協議，沒有確認機製，可靠性不如TCP，但它的效率卻比TCP高，用於遠程屏幕監視還是比較適合的。它不區分服務器端和客戶端，衹區分發送端和接收端，編程上較為簡單，故選用了UDP協議。本程序中用了DELPHI提供的TNMUDP控件。
4.鍵盤記錄木馬
這種特洛伊木馬是非常簡單的。它們衹做一件事情，就是記錄受害者的鍵盤敲擊並且在LOG文件裏查找密碼。據筆者經驗，這種特洛伊木馬隨着Windows的啓動而啓動。它們有在綫和離綫記錄這樣的選項，顧名思義，它們分別記錄你在綫和離綫狀態下敲擊鍵盤時的按鍵情況。也就是說你按過什麽按鍵，下木馬的人都知道，從這些按鍵中他很容易就會得到你的密碼等有用信息，甚至是你的信用卡賬號哦!當然，對於這種類型的木馬，郵件發送功能也是必不可少的。
5.DoS攻擊木馬
隨着DoS攻擊越來越廣泛的應用，被用作DoS攻擊的木馬也越來越流行起來。當你入侵了一臺機器，給他種上DoS攻擊木馬，那麽日後這臺計算機就成為你DoS攻擊的最得力助手了。你控製的肉雞數量越多，你發動DoS攻擊取得成功的機率就越大。所以，這種木馬的危害不是體現在被感染計算機上，而是體現在攻擊者可以利用它來攻擊一臺又一臺計算機，給網絡造成很大的傷害和帶來損失。
還有一種類似DoS的木馬叫做郵件炸彈木馬，一旦機器被感染，木馬就會隨機生成各種各樣主題的信件，對特定的郵箱不停地發送郵件，一直到對方癱瘓、不能接受郵件為止。
6.代理木馬
黑客在入侵的同時掩蓋自己的足跡，謹防別人發現自己的身份是非常重要的，因此，給被控製的肉雞種上代理木馬，讓其變成攻擊者發動攻擊的跳板就是代理木馬最重要的任務。通過代理木馬，攻擊者可以在匿名的情況下使用Telnet,ICQ,IRC等程序，從而隱蔽自己的蹤跡。
7.FTP木馬
這種木馬可能是最簡單和古老的木馬了，它的惟一功能就是打開21端口，等待用戶連接。現在新FTP木馬還加上了密碼功能，這樣，衹有攻擊者本人才知道正確的密碼，從而進入對方計算機。
8.程序殺手木馬
上面的木馬功能雖然形形色色，不過到了對方機器上要發揮自己的作用，還要過防木馬軟件這一關纔行。常見的防木馬軟件有ZoneAlarm,Norton Anti-Virus等。程序殺手木馬的功能就是關閉對方機器上運行的這類程序，讓其他的木馬更好地發揮作用。
9.反彈端口型木馬
木馬是木馬開發者在分析了防火墻的特性後發現:防火墻對於連入的鏈接往往會進行非常嚴格的過濾，但是對於連出的鏈接卻疏於防範。於是，與一般的木馬相反，反彈端口型木馬的服務端 (被控製端)使用主動端口，客戶端 (控製端)使用被動端口。木馬定時監測控製端的存在，發現控製端上綫立即彈出端口主動連結控製端打開的主動端口;為了隱蔽起見，控製端的被動端口一般開在80，即使用戶使用掃描軟件檢查自己的端口，發現類似TCP UserIP:1026 ControllerIP:80ESTABLISHED的情況，稍微疏忽一點，你就會以為是自己在瀏覽網頁。
QUOTE:
中木馬後出現的狀況
對於一些常見的木馬，如SUB7、BO2000、冰河等等，它們都是采用打開TCP端口監聽和寫人註册表啓動等方式，使用木馬剋星之類的軟件可以檢測到這些木馬，這些檢測木馬的軟件大多都是利用檢測TCP連結、註册表等信息來判斷是否有木馬入侵，因此我們也可以通過手工來偵測木馬。
也許你會對硬盤空間莫名其妙減少500M感到習以為常，這的確算不了什麽，天知道Windows的臨時文件和那些烏七八糟的遊戲吞噬了自己多少硬盤空間。可是，還是有一些現象會讓你感到警覺，一旦你覺得你自己的電腦感染了木馬，你應該馬上用殺毒軟件檢查一下自己的計算機，然後不管結果如何，就算是Norton告訴你，你的機器沒有木馬，你也應該再親自作一次更深入的調查，確保自己機器安全。經常關註新的和出名的木馬的特性報告，這將對你診斷自己的計算機問題很有幫助。
(1)當你瀏覽一個網站，彈出來一些廣告窗口是很正常的事情，可是如果你根本沒有打開瀏覽器，而覽瀏器突然自己打開，並且進入某個網站，那麽，你要小心。
(2)你正在操作電腦，突然一個警告框或者是詢問框彈出來，問一些你從來沒有在電腦上接觸過的間題。
(3)你的Windows係統配置老是自動莫名其妙地被更改。比如屏保顯示的文字，時間和日期，聲音大小，鼠標靈敏度，還有CD-ROM的自動運行配置。
(4)硬盤老沒緣由地讀盤，軟驅燈經常自己亮起，網絡連接及鼠標屏幕出現異常現象。
這時，最簡單的方法就是使用netstat-a命令查看。你可以通過這個命令發現所有網絡連接，如果這時有攻擊者通過木馬連接，你可以通過這些信息發現異常。通過端口掃描的方法也可以發現一些弱智的木馬，特別是一些早期的木馬，它們捆綁的端口不能更改，通過掃描這些固定的端口也可以發現木馬是否被植入。
當然，沒有上面的種種現象並不代表你就絶對安全。有些人攻擊你的機器不過是想尋找一個跳板。做更重要的事情;可是有些人攻擊你的計算機純粹是為了好玩。對於純粹處於好玩目的的攻擊者，你可以很容易地發現攻擊的痕跡;對於那些隱藏得很深，並且想把你的機器變成一臺他可以長期使用的肉雞的黑客們，你的檢查工作將變得異常艱苦並且需要你對入侵和木馬有超人的敏感度，而這些能力，都是在平常的電腦使用過程日積月纍而成的。
我們還可以通過軟件來檢查係統進程來發現木馬。如利用進程管理軟件來查看進程，如果發現可疑進程就殺死它。那麽，如何知道哪個進程是可疑的呢?教你一個笨方法，有以下進程絶對是正常的：EXPLORER.EXE、KERNEL32.DLL、MPREXE.EXE、MSGSRVINTERNAT.EXE、32.EXE、SPOOL32.EXEIEXPLORE.EXE(如果打開了IE)，而出現了其他的、你沒有運行的程序的進程就很可疑了。一句話，具體情況具體分析。
QUOTE:
被感染後的緊急措施
如果不幸你的計算機已經被木馬光臨過了，你的係統文件被黑客改得一塌糊塗，硬盤上稀裏糊塗得多出來一大堆亂七八糟的文件，很多重要的數據也可能被黑客竊取。這裏給你提供3條建議，希望可以幫助你:
(1)所有的賬號和密碼都要馬上更改，例如撥號連接，ICQ,mIRC,FTP，你的個人站點，免費郵箱等等，凡是需要密碼的地方，你都要把密碼盡快改過來。
(2)刪掉所有你硬盤上原來沒有的東西。
(4)檢查一次硬盤上是否有病毒存在 。
木馬技術篇
這裏就不介紹木馬是如何寫成的了,畢竟大多數網友不會去編寫什麽木馬,也沒有足夠的知識和能力來編寫,包括我自己:)
QUOTE:
黑客是如何騙取你執行木馬的
1、冒充為圖像文件
首先，黑客最常使用騙別人執行木馬的方法，就是將特洛伊木馬說成為圖像文件，比如說是照片等，應該說這是一個最不合邏輯的方法，但卻是最多人中招的方法，有效而又實用 。
衹要入侵者扮成美眉及更改服務器程序的文件名(例如 sam.exe )為“類似”圖像文件的名稱 ，再假裝傳送照片給受害者，受害者就會立刻執行它。為甚麽說這是一個不合邏輯的方法呢？圖像文件的擴展名根本就不可能是 exe，而木馬程序的擴展名基本上又必定是 exe ，明眼人一看就會知道有問題，多數人在接收時一看見是exe文件，便不會接收了，那有什麽方法呢? 其實方法很簡單，他衹要把文件名改變，例如把“sam.exe” 更改為“sam.jpg” ，那麽在傳送時，對方衹會看見sam.jpg 了，而到達對方電腦時，因為windows 默認值是不顯示擴展名的，所以很多人都不會註意到擴展名這個問題，而恰好你的計算機又是設定為隱藏擴展名的話，那麽你看到的衹是sam.jpg 了，受騙也就在所難免了!
還有一個問題就是，木馬本身是沒有圖標的，而在電腦中它會顯示一個windows 預設的圖標，別人一看便會知道了！但入侵者還是有辦法的，這就是給文件換個“馬甲”，即修改文件圖標。
修改文件圖標的方法如下:
（1）比如到http://www.mydown.com 下載一個名為IconForge 的軟件，再進行安裝。
（2）執行程序，按下File > Open
（3）在File Type 選擇exe 類
（4）在File > Open 中載入預先製作好的圖標( 可以用繪圖軟件或專門製作icon 的軟件製作，也可以在網上找找) 。
（5）然後按下File > Save 便可以了。
如此這般最後得出的，便是看似jpg 或其他圖片格式的木馬了，很多人就會不經意間執行了它。
2、合併程序欺騙
通常有經驗的用戶，是不會將圖像文件和可執行文件混淆的，所以很多入侵者一不做二不休，幹脆將木馬程序說成是應用程序：反正都是以 exe 作為擴展名的。然後再變着花樣欺騙受害者，例如說成是新出爐的遊戲，無所不能的黑客程序等等，目地是讓受害者立刻執行它。而木馬程序執行後一般是沒有任何反應的，於是在悄無聲息中，很多受害者便以為是傳送時文件損壞了而不再理會它。
如果有更小心的用戶，上面的方法有可能會使他們的産生壞疑，所以就衍生了一些合拼程序。合拼程序是可以將兩個或以上的可執行文件(exe文件) 結合為一個文件，以後祇需執行這個合拼文件，兩個可執行文件就會同時執行。如果入侵者將一個正常的可執行文件(一些小遊戲如 wrap.exe) 和一個木馬程序合拼，由於執行合拼文件時 wrap.exe會正常執行，受害者在不知情中，背地裏木馬程序也同時執行了。而這其中最常用到的軟件就是joiner，由於它具有更大的欺騙性，使得安裝特洛伊木馬的一舉一動了無痕跡，是一件相當危險的黑客工具。讓我們來看一下它是如何運作的:
以往有不少可以把兩個程序合拼的軟件為黑客所使用，但其中大多都已被各大防毒軟件列作病毒了，而且它們有兩個突出的問題存在，這問題就是：
（1）合拼後的文件體積過大
（2）衹能合拼兩個執行文件
正因為如此，黑客們紛紛棄之轉而使用一個更簡單而功能更強的軟件，那就是Joiner 了。此軟件不但把軟件合拼後的體積減少，而且可以待使用者執行後立馬就能收到一個icq 的信息，告訴你對方已中招及對方的IP ，更重要的是這個軟件可以把圖像文件、音頻文件與可執行文件合拼，用起來相當方便。
首先把Joiner 解壓，然後執行Joiner ，在程序的畫面裏，有“First executable : ”及“ Second File : ”兩項，這兩行的右方都有一個文件夾圖標，分別各自選擇想合拼的文件。
下面還有一個Enable ICQ notification 的空格，如果選取後，當對方執行了文件時，便會收到對方的一個ICQ Web Messgaer ，裏面會有對方的ip ，當然要在下面的ICQ number 填上欲收取信息的icq 號碼。但開啓這個功能後，合拼後的文件會比較大。
最後便按下“Join” ，在Joiner 的文件夾裏，便會出現一個Result.exe 的文件，文件可更改名稱，因而這種“混合體”的隱蔽性是不言而喻的。
3、以Z-file 偽裝加密程序
Z-file 偽裝加密軟件是臺灣華順科技的産品，其經過將文件壓縮加密之後，再以 bmp圖像文件格式顯示出來(擴展名是 bmp，執行後是一幅普通的圖像)。當初設計這個軟件的本意衹是用來加密數據，用以就算計算機被入侵或被非法使使用時，也不容易泄漏你的機密數據所在。不過如果到了黑客手中，卻可以變成一個入侵他人的幫兇。 使用者會將木馬程序和小遊戲合拼，再用 Z-file 加密及將 此“混合體”發給受害者，由於看上去是圖像文件，受害者往往都不以為然，打開後又衹是一般的圖片，最可怕的地方還在於就連殺毒軟件也檢測不出它內藏特洛伊木馬，甚至病毒！當打消了受害者警惕性後，再讓他用WinZip 解壓縮及執行 “偽裝體 (比方說還有一份小禮物要送給他)，這樣就可以成功地安裝了木馬程序。 如果入侵者有機會能使用受害者的電腦(比如上門維修電腦)，衹要事先已經發出了“混合體，則可以直接用 Winzip 對其進行解壓及安裝。由於上門維修是赤着手使用其電腦，受害者根本不會懷疑有什麽植入他的計算機中，而且時間並不長，30秒時間已經足夠。就算是“明晃晃”地在受害者面前操作，他也不見得會看出這一雙黑手正在幹什麽。特別值得一提的是，由於 “混合體” 可以躲過反病毒程序的檢測，如果其中內含的是一觸即發的病毒，那麽一經結開壓縮，後果將是不堪設想。
4、偽裝成應用程序擴展組件
此類屬於最難識別的特洛伊木馬。黑客們通常將木馬程序寫成為任何類型的文件 (例如 dll、ocx等) 然後挂在一個十分出名的軟件中，例如 OICQ 。由於OICQ本身已有一定的知名度，沒有人會懷疑它的安全性，更不會有人檢查它的文件多是否多了。而當受害者打開OICQ時，這個有問題的文件即會同時執行。 此種方式相比起用合拼程序有一個更大的好處，那就是不用更改被入侵者的登錄文件，以後每當其打開OICQ時木馬程序就會同步運行 ，相較一般特洛伊木馬可說是“踏雪無痕”。更要命的是，此類入侵者大多也是特洛伊木馬編寫者，衹要稍加改動，就會派生出一支新木馬來，所以即使殺是毒軟件也拿它沒有絲毫辦法。
QUOTE:
IP安全策略 VS 特洛伊木馬
當木馬悄悄打開某扇“方便之門”（端口）時，不速之客就會神不知鬼不覺地侵入你的電腦。如果被種下木馬其實也不必擔心，首先我們要切斷它們與外界的聯繫（就是 堵住可疑端口）。
在Win 2000/XP/2003係統中，Microsoft管理控製臺（MMC）已將係統的配置功能匯集成配置模塊，大大方便我們進行特殊的設置（以Telnet利用的23端口為例，筆者的操作係統為Win XP）。
操作步驟
首先單擊“運行”在框中輸入“mmc”後回車，會彈出“控製臺1”的窗口。我們依次選擇“文件→添加/刪除管理單元→在獨立標簽欄中點擊‘添加’→IP安全策略管理”，最後按提示完成操作。這時，我們已把“IP安全策略，在本地計算機”（以下簡稱“IP安全策略”）添加到“控製臺根節點”下。
現在雙擊“IP安全策略”就可以新建一個管理規則了。右擊“IP安全策略”，在彈出的快捷菜單中選擇“創建IP安全策略”，打開IP安全策略嚮導，點擊“下一步→名稱默認為‘新IP安全策略’→下一步→不必選擇‘激活默認響應規則’”（註意：在點擊“下一步的同時，需要確認此時“編輯屬性”被選中），然後選擇“完成→在“新IP安全策略屬性→添加→不必選擇‘使用添加嚮導’”。
在尋址欄的源地址應選擇“任何IP地址”，目標地址選擇“我的IP地址”（不必選擇鏡像）。在協議標簽欄中，註意類型應為TCP，並設置IP協議端口從任意端口到此端口23，最後點擊“確定”即可。這時在“IP篩選器列表”中會出現一個“新IP篩選器”，選中它，切換到“篩選器操作”標簽欄，依次點擊“添加→名稱默認為‘新篩選器操作’→添加→阻止→完成”。
新策略需要被激活才能起作用，具體方法是：在“新IP安全策略”上點右鍵，“指派”剛纔製定的策略。
效果
現在，當我們從另一臺電腦Telnet到設防的這一臺時，係統會報告登錄失敗；用掃描工具掃描這臺機子，會發現23端口仍然在提供服務。以同樣的方法，大傢可以把其它任何可疑的端口都封殺掉，讓不速之客們大叫“不妙”去吧!
教您手工輕鬆清除隱藏在電腦裏的病毒和木馬
現在上網的朋友越來越多了，其中有一點不可避免的就是如何防範和查殺病毒和惡意攻擊程序了。但是，如果不小心中了病毒而身邊又沒有殺毒軟件怎麽辦?沒有關係，今天我就來教大傢怎樣輕鬆地手工清除藏在電腦裏的病毒和木馬。
檢查註册表
註册表一直都是很多木馬和病毒“青睞”的寄生場所，註意在檢查註册表之前要先給註册表備份。
1、 檢查註册表中HKEY_LOCAL_MACHINE＼Software＼Microsoft＼Windows＼CurrentVersion＼Run和HKEY_LOCAL_MACHINE＼Software＼Microsoft＼Windows＼CurrentVersion＼Runserveice，查看鍵值中有沒有自己不熟悉的自動啓動文件，擴展名一般為EXE，然後記住木馬程序的文件名，再在整個註册表中搜索，凡是看到了一樣的文件名的鍵值就要刪除，接着到電腦中找到木馬文件的藏身地將其徹底刪除?比如“愛蟲”病毒會修改上面所提的第一項，BO2000木馬會修改上面所提的第二項)。
2、 檢查註册表HKEY_LOCAL_MACHINE和HKEY_CURRENT_USER＼SOFTWARE＼Microsoft＼Internet Explorer＼Main中的幾項(如Local Page)，如果發現鍵值被修改了，衹要根據你的判斷改回去就行了。惡意代碼(如“萬花𠔌”)就經常修改這幾項。
3、檢查HKEY_CLASSES_ROOT＼inifile ＼shell＼open＼command和HKEY_CLASSES_ROOT ＼txtfile＼shell＼open＼command等等幾個常用文件類型的默認打開程序是否被更改。這個一定要改回來，很多病毒就是通過修改.txt、.ini等的默認打開程序而清除不了的。例如“羅密歐與朱麗葉”?BleBla病毒就修改了很多文件(包括.jpg、.rar、.mp3等)的默認打開程序。
檢查你的係統配置文件
其實檢查係統配置文件最好的方法是打開Windows“係統配置實用程序”(從開始菜單運行msconfig.exe)，在裏面你可以配置Config.sys、Autoexec.bat、system.ini和win.ini，並且可以選擇啓動係統的時間。
1、檢查win.ini文件(在C?＼windows＼下)，打開後，在?WINDOWS?下面，“run=”和“load=”是可能加載“木馬”程序的途徑，必須仔細留心它們。在一般情況下，在它們的等號後面什麽都沒有，如果發現後面跟有路徑與文件名不是你熟悉的啓動文件，你的計算機就可能中上“木馬”了。比如攻擊QQ的“GOP木馬”就會在這裏留下痕跡。
2、檢查system.ini文件(在C:＼windows＼下)，在BOOT下面有個“shell=文件名”。正確的文件名應該是“explorer.exe”，如果不是“explorer.exe”，而是“shell= explorer.exe 程序名”，那麽後面跟着的那個程序就是“木馬”程序，然後你就要在硬盤找到這個程序並將其刪除了。這類的病毒很多，比如“尼姆達”病毒就會把該項修改為“shell=explorer.exe load.exe -dontrunold”。
QUOTE:
查看文件屬性幫你清除木馬
近日，筆者用BT下載了一個格鬥遊戲，運行安裝程序後沒有任何反應。起初，筆者以為是安裝程序已經損壞就順手給刪掉了，沒有特別留意。但第二天開機時，金山毒霸突然無法加載。由於以前也有過類似的經歷，所以筆者感覺昨天下載的那個格鬥遊戲多半捆綁了木馬。
為了安全起見，筆者立刻斷掉了網絡連 接，然後打開“Windows任務管理器”，經過排除找到了名為“sprite.exe”的可疑進程。結束該進程後金山毒霸就可以正常運行了，但仍然無法查出木馬的所在。利用Windows自帶的搜索功能搜索“sprite.exe”，選擇包括隱藏文件，也衹搜到文件“sprite.exe”。正要刪除時，筆者突發奇想：木馬通常進駐內存時都會自動生成一些輔助文件，何不利用Windows自帶的查看文件屬性功能達到一勞永逸的目的?說幹就幹，找到文件“sprite.exe”用右鍵點擊，在彈出的對話框中選擇 “屬性”，電腦顯示該文件創建於2003年10月9日18:08:19。點擊“開始→高級搜索”，將文件創建日期設定為10月9日，搜索……在搜索結果中找到兩個創建時間為2003年10月9日18:08:19的文件:“Hiddukel.exe”和“Hiddukel.dll”(大小分別為71KB和15KB)，一並刪除，大功告成。
後來筆者從網上瞭解到這種木馬叫做“妖精”。最新版本的殺毒軟件和防火墻均不能清除這種木馬。以下是手工清除此木馬的方法:
1.打開註册表編輯器，找到“HKEY_ CLASSES_ROOTexefileshellopencommand”下的“C:WindowsSystemHiddukel.exe”鍵值和“HKEY_LOCAL_MACHINESoftwareCLASSESexefileshellopencommand”下的“C:WindowsSystemHiddukel.exe”鍵值後，將它們刪除；
2.打開C:WindowsSystem目錄，找到Hiddukel.exe（71KB）和Hiddukel.dll（15KB）兩個文件後，將它們刪除；
3.查找你的電腦裏是否有Sprite.exe（132KB）或者crawler.exe（131KB），如果有的話也要徹底將它們刪除。
現在的木馬多數都會在進駐內存時自動生成一些動態鏈接文件。筆者介紹的這種利用查看文件創建時間進行文件搜索的方法，有些時候是很好用的，感興趣的朋友不妨試試（對於經常安裝遊戲和軟件的玩傢可能不適用）。
QUOTE:
查看開放端口判斷木馬的方法
當前最為常見的木馬通常是基於TCP/UDP協議進行client端與server端之間的通訊的，既然利用到這兩個協議，就不可避免要在server端（就是被種了木馬的機器了）打開監聽端口來等待連接。例如鼎鼎大名的冰河使用的監聽端口是7626，Back Orifice 2000則是使用54320等等。那麽，我們可以利用查看本機開放端口的方法來檢查自己是否被種了木馬或其它黑客程序。以下是詳細方法介紹。
1． Windows本身自帶的netstat命令
關於netstat命令，我們先來看看windows幫助文件中的介紹：
Netstat
顯示協議統計和當前的 TCP/IP 網絡連接。該命令衹有在安裝了 TCP/IP 協議後纔可以使用。
netstat [-a] [-e] [-n] [-s] [-p protocol] [-r] [interval]
參數
-a
顯示所有連接和偵聽端口。服務器連接通常不顯示。
-e
顯示以太網統計。該參數可以與 -s 選項結合使用。
-n
以數字格式顯示地址和端口號（而不是嘗試查找名稱）。
-s
顯示每個協議的統計。默認情況下，顯示 TCP、UDP、ICMP 和 IP 的統計。-p 選項可以用來指定默認的子集。
-p protocol
顯示由 protocol 指定的協議的連接；protocol 可以是 tcp 或 udp。如果與 -s 選項一同使用顯示每個協議的統計，protocol 可以是 tcp、udp、icmp 或 ip。
-r
顯示路由表的內容。
interval
重新顯示所選的統計，在每次顯示之間暫停 interval 秒。按 CTRL+B 停止重新顯示統計。如果省略該參數，netstat 將打印一次當前的配置信息。
好了，看完這些幫助文件，我們應該明白netstat命令的使用方法了。現在就讓我們現學現用，用這個命令看一下自己的機器開放的端口。進入到命令行下，使用netstat命令的a和n兩個參數：
C:>netstat -an
Active Connections
Proto Local Address Foreign Address State
TCP 0.0.0.0:80 0.0.0.0:0 LISTENING
TCP 0.0.0.0:21 0.0.0.0:0 LISTENING
TCP 0.0.0.0:7626 0.0.0.0:0 LISTENING
UDP 0.0.0.0:445 0.0.0.0:0
UDP 0.0.0.0:1046 0.0.0.0:0
UDP 0.0.0.0:1047 0.0.0.0:0
解釋一下，Active Connections是指當前本機活動連接，Proto是指連接使用的協議名稱，Local Address是本地計算機的 IP 地址和連接正在使用的端口號，Foreign Address是連接該端口的遠程計算機的 IP 地址和端口號，State則是表明TCP 連接的狀態，你可以看到後面三行的監聽端口是UDP協議的，所以沒有State表示的狀態。看！我的機器的7626端口已經開放，正在監聽等待連接，像這樣的情況極有可能是已經感染了冰河！急忙斷開網絡，用殺毒軟件查殺病毒是正確的做法。
2．工作在windows2000下的命令行工具fport
使用windows2000的朋友要比使用windows9X的幸運一些，因為可以使用fport這個程序來顯示本機開放端口與進程的對應關係。
Fport是FoundStone出品的一個用來列出係統中所有打開的TCP/IP和UDP端口，以及它們對應應用程序的完整路徑、PID標識、進程名稱等信息的軟件。在命令行下使用，請看例子：
D:>fport.exe
FPort v1.33 - TCP/IP Process to Port Mapper
Copyright 2000 by Foundstone, Inc.
http://www.foundstone.com
Pid Process Port Proto Path
748 tcpsvcs -> 7 TCP C:WINNTSystem32 tcpsvcs.exe
748 tcpsvcs -> 9 TCP C:WINNTSystem32tcpsvcs.exe
748 tcpsvcs -> 19 TCP C:WINNTSystem32tcpsvcs.exe
416 svchost -> 135 TCP C:WINNTsystem32svchost.exe
是不是一目瞭然了。這下，各個端口究竟是什麽程序打開的就都在你眼皮底下了。如果發現有某個可疑程序打開了某個可疑端口，可千萬不要大意哦，也許那就是一隻狡猾的木馬！
Fport的最新版本是2.0。在很多網站都提供下載，但是為了安全起見，當然最好還是到它的老傢去下：http://www.foundstone.com/knowledge/zips/fport.zip
3.與Fport功能類似的圖形化界面工具Active Ports
Active Ports為SmartLine出品，你可以用來監視電腦所有打開的TCP/IP/UDP端口，不但可以將你所有的端口顯示出來，還顯示所有端口所對應的程序所在的路徑，本地IP和遠端IP(試圖連接你的電腦IP)是否正在活動。下面是軟件截圖：
是不是很直觀？更棒的是，它還提供了一個關閉端口的功能，在你用它發現木馬開放的端口時，可以立即將端口關閉。這個軟件工作在Windows NT/2000/XP平臺下。你可以在http://www.smartline.ru/software/aports.zip得到它。
其實使用windows xp的用戶無須藉助其它軟件即可以得到端口與進程的對應關係，因為windows xp所帶的netstat命令比以前的版本多了一個O參數，使用這個參數就可以得出端口與進程的對應來。
上面介紹了幾種查看本機開放端口，以及端口和進程對應關係的方法，通過這些方法可以輕鬆的發現基於TCP/UDP協議的木馬，希望能給你的愛機帶來幫助。但是對木馬重在防範，而且如果碰上反彈端口木馬，利用驅動程序及動態鏈接庫技術製作的新木馬時，以上這些方法就很難查出木馬的痕跡了。所以我們一定要養成良好的上網習慣，不要隨意運行郵件中的附件，安裝一套殺毒軟件，像國內的瑞星就是個查殺病毒和木馬的好幫手。從網上下載的軟件先用殺毒軟件檢查一遍再使用，在上網時打開網絡防火墻和病毒實時監控，保護自己的機器不被可恨的木馬入侵。
木馬還包括Webshell | | | | 基本信息
特洛伊木馬沒有復製能力，它的特點是偽裝成一個實用工具或者一個可愛的遊戲，這會誘使用戶將其安裝在PC或者服務器上。
“特洛伊木馬”（trojan horse）簡稱“木馬（wooden horse）”，據說這個名稱來源於希臘神話《木馬屠城記》。古希臘有大軍圍攻特洛伊城，久久無法攻下。於是有人獻計製造一隻高二丈的大木馬，假裝作戰馬神，讓士兵藏匿於巨大的木馬中，大部隊假裝撤退而將木馬擯棄於特洛伊城下。城中得知解圍的消息後，遂將“木馬”作為奇異的戰利品拖入城內，全城飲酒狂歡。到午夜時分，全城軍民盡入夢鄉，匿於木馬中的將士開秘門遊繩而下，開啓城門及四處縱火，城外伏兵涌入，部隊裏應外合，焚屠特洛伊城。後世稱這衹大木馬為“特洛伊木馬”。如今黑客程序藉用其名，有“一經潛入，後患無窮”之意。
組成
完整的木馬程序一般由兩個部分組成：一個是服務器端，一個是控製器端。“中了木馬”就是指安裝了木馬的客戶端程序，若你的電腦被安裝了客戶端程序，則擁有相應服務器端的人就可以通過網絡控製你的電腦、為所欲為，這時你電腦上的各種文件、程序，以及在你電腦上使用的賬號、密碼無安全可言了。
木馬程序不能算是一種病毒，但可以和最新病毒、漏洞利用工具一起使用用，幾乎可以躲過各大殺毒軟件，儘管現在越來越多的新版的殺毒軟件，可以查殺一些防殺木馬了，所以不要認為使用有名的殺毒軟件電腦就絶對安全，木馬永遠是防不勝防的，除非你不上網。
啓動
作為一個優秀的木馬，自啓動功能是必不可少的，這樣可以保證木馬不會因為你的一次關機操作而徹底失去作用。正因為該項技術如此重要，所以，很多編程人員都在不停地研究和探索新的自啓動技術，並且時常有新的發現。一個典型的例子就是把木馬加入到用戶經常執行的程序 (例如explorer.exe)中，用戶執行該程序時，則木馬自動發生作用。當然，更加普遍的方法是通過修改Windows係統文件和註册表達到目的，現經常用的方法主要有以下幾種:
1.在Win.ini中啓動
在Win.ini的[windows]字段中有啓動命令"load＝"和"run＝"，在一般情況下 "＝"後面是空白的，如果有後跟程序，比方說是這個樣子：
run=c:windowsfile.exe
load=c:windowsfile.exe
要小心了，這個file.exe很可能是木馬哦。
2.在System.ini中啓動
System.ini位於Windows的安裝目錄下，其[boot]字段的shell=Explorer.exe是木馬喜歡的隱藏加載之所，木馬通常的做法是將該何變為這樣:shell=Explorer.exefile.exe。註意這裏的file.exe就是木馬服務端程序!
另外，在System.中的[386Enh]字段，要註意檢查在此段內的"driver＝路徑程序名"這裏也有可能被木馬所利用。再有，在System.ini中的[mic]、[drivers]、[drivers32]這3個字段，這些段也是起到加載驅動程序的作用，但也是增添木馬程序的好場所，現在你該知道也要註意這裏嘍。
3.利用註册表加載運行
如下所示註册表位置都是木馬喜好的藏身加載之所，趕快檢查一下，有什麽程序在其下。
4.在Autoexec.bat和Config.sys中加載運行
請大傢註意，在C盤根目錄下的這兩個文件也可以啓動木馬。但這種加載方式一般都需要控製端用戶與服務端建立連接後，將己添加木馬啓動命令的同名文件上傳到服務端覆蓋這兩個文件纔行，而且采用這種方式不是很隱蔽。容易被發現，所以在Autoexec.bat和Confings中加載木馬程序的並不多見，但也不能因此而掉以輕心。
5.在Winstart.bat中啓動
Winstart.bat是一個特殊性絲毫不亞於Autoexec.bat的批處理文件，也是一個能自動被Windows加載運行的文件。它多數情況下為應用程序及Windows自動生成，在執行了Windows自動生成，在執行了Win.com並加截了多數驅動程序之後
開始執行 (這一點可通過啓動時按F8鍵再選擇逐步跟蹤啓動過程的啓動方式可得知)。由於Autoexec.bat的功能可以由Witart.bat代替完成，因此木馬完全可以像在Autoexec.bat中那樣被加載運行，危險由此而來。
6.啓動組
木馬們如果隱藏在啓動組雖然不是十分隱蔽，但這裏的確是自動加載運行的好場所，因此還是有木馬喜歡在這裏駐留的。啓動組對應的文件夾為C:Windowsstart menuprogramsstartup,在註册表中的位置:HKEY_CURRENT_USERSoftwareMicrosoftwindowsCurrentVersionExplorershell
Folders Startup="c:windowsstart menuprogramsstartup"。要註意經常檢查啓動組哦!
7.*.INI
即應用程序的啓動配置文件，控製端利用這些文件能啓動程序的特點，將製作好的帶有木馬啓動命令的同名文件上傳到服務端覆蓋這同名文件，這樣就可以達到啓動木馬的目的了。衹啓動一次的方式:在winint.ini.中(用於安裝較多)。
8.修改文件關聯
修改文件關聯是木馬們常用手段 (主要是國産木馬，老外的木馬大都沒有這個功能)，比方說正常情況下TXT文件的打開方式為Notepad.EXE文件，但一旦中了文件關聯木馬，則txt文件打開方式就會被修改為用木馬程序打開，如著名的國産木馬冰河就是這樣幹的. "冰河"就是通過修改HKEY_CLASSES_ROOTtxtfilewhellopencommand下的鍵值，將“C:WINDOWSNOTEPAD.EXE本應用Notepad打開，如著名的國産HKEY一CLASSES一ROOTtxt鬧eshellopencommandT的鍵值，將 "C:WINDOWSNOTEPAD.EXE%l"改為 "C:WINDOWSSYSTEMSYSEXPLR.EXE%l"，這樣，一旦你雙擊一個TXT文件，原本應用Notepad打開該文件，現在卻變成啓動木馬程序了，好狠毒哦!請大傢註意，不僅僅是TXT文件，其他諸如HTM、EXE、ZIP.COM等都是木馬的目標，要小心摟。
對付這類木馬，衹能經常檢查HKEY_Cshellopencommand主鍵，查看其鍵值是否正常。
9.捆綁文件
實現這種觸發條件首先要控製端和服務端已通過木馬建立連接，然後控製端用戶用工具軟件將木馬文件和某一應用程序捆綁在一起，然後上傳到服務端覆蓋源文件，這樣即使木馬被刪除了，衹要運行捆綁了木馬的應用程序，木馬義會安裝上去。綁定到某一應用程序中，如綁定到係統文件，那麽每一次Windows啓動均會啓動木馬。
10.反彈端口型木馬的主動連接方式
反彈端口型木馬我們已經在前面說過了，由於它與一般的木馬相反，其服務端 (被控製端)主動與客戶端 (控製端)建立連接，並且監聽端口一般開在80，所以如果沒有合適的工具、豐富的經驗真的很難防範。這類木馬的典型代表就是網絡神偷"。由於這類木馬仍然要在註册表中建立鍵值註册表的變化就不難查到它們。同時，最新的天網防火墻(如我們在第三點中所講的那樣)，因此衹要留意也可在網絡神偷服務端進行主動連接時發現它。
隱藏方式
1.在任務欄裏隱藏
這是最基本的隱藏方式。如果在windows的任務欄裏出現一個莫名其妙的圖標，傻子都會明白是怎麽回事。要實現在任務欄中隱藏在編程時是很容易實現的。我們以VB為例。在VB中，衹要把from的Visible屬性設置為False,ShowInTaskBar設為False程序就不會出現在任務欄裏了。
2.在任務管理器裏隱藏
查看正在運行的進程最簡單的方法就是按下Ctrl+Alt+Del時出現的任務管理器。如果你按下Ctrl+Alt+Del後可以看見一個木馬程序在運行，那麽這肯定不是什麽好木馬。所以，木馬會千方百計地偽裝自己，使自己不出現在任務管理器裏。木馬發現把自己設為 "係統服務“就可以輕鬆地騙過去。
因此，希望通過按Ctrl+Alt+Del發現木馬是不大現實的。
3.端口
一臺機器有65536個端口，你會註意這麽多端口麽?而木馬就很註意你的端口。如果你稍微留意一下，不難發現，大多數木馬使用的端口在1024以上，而且呈越來越大的趨勢;當然也有占用1024以下端口的木馬，但這些端口是常用端口，占用這些端口可能會造成係統不正常，這樣的話，木馬就會很容易暴露。也許你知道一些木馬占用的端口，你或許會經常掃描這些端口，但現在的木馬都提供端口修改功能，你有時間掃描65536個端口麽?
4.隱藏通訊
隱藏通訊也是木馬經常采用的手段之一。任何木馬運行後都要和攻擊者進行通訊連接，或者通過即時連接，如攻擊者通過客戶端直接接人被植人木馬的主機;或者通過間接通訊。如通過電子郵件的方式，木馬把侵入主機的敏感信息送給攻擊者。現在大部分木馬一般在占領主機後會在1024以上不易發現的高端口上駐留;有一些木馬會選擇一些常用的端口，如80、23,有一種非常先進的木馬還可以做到在占領80HTTP端口後，收到正常的HTTP請求仍然把它交與Web服務器處理，衹有收到一些特殊約定的數據包後，才調用木馬程序。
5.隱藏隱加載方式
木馬加載的方式可以說千奇百怪，無奇不有。但殊途同歸，都為了達到一個共同的目的，那就是使你運行木馬的服務端程序。如果木馬不做任何偽裝，就告訴你這是木馬，你會運行它纔怪呢。而隨着網站互動化避程的不斷進步，越來越多的東西可以成為木馬的傳播介質，Java Script、VBScript、ActiveX.XLM....幾乎WWW每一個新功能部會導致木馬的快速進化。
6.最新隱身技術
在Win9x時代，簡單地註册為係統進程就可以從任務欄中消失，可是在Windows2000盛行的今天。這種方法遭到了慘敗。註册為係統進程不僅僅能在任務欄中看到，而且可以直接在Services中直接控製停止。運行(太搞笑了，木馬被客戶端控製)。使用隱藏窗體或控製臺的方法也不能欺騙無所不見的Admlin大人(要知道，在NT下，Administrator是可以看見所有進程的)。在研究了其他軟件的長處之後，木馬發現，Windows下的中文漢化軟件采用的陷阱技術非常適合木馬的使用。
這是一種更新、更隱蔽的方法。通過修改虛擬設備驅動程序(VXD)或修改動態遵掇庫 (DLL)來加載木馬。這種方法與一般方法不同，它基本上擺脫了原有的木馬模式---監聽端口，而采用替代係統功能的方法(改寫vxd或DLL文件)，木馬會將修改後的DLL替換係統已知的DLL，並對所有的函數調用進行過濾。對於常用的調用，使用函數轉發器直接轉發給被替換的係統DLL，對於一些相應的操作。實際上。這樣的事先約定好的特種情況，DLL會執行一般衹是使用DLL進行監聽，一旦發現控製端的請求就激活自身，綁在一個進程上進行正常的木馬操作。這樣做的好處是沒有增加新的文件，不需要打開新的端口，沒有新的進程，使用常規的方法監測不到它。在往常運行時，木馬幾乎沒有任何癱狀，且木馬的控製端嚮被控製端發出特定的信息後，隱藏的程序就立即開始運作。
特性
1.包含在正常程序中，當用戶執行正常程序時，啓動自身，在用戶難以察覺的情況下，完成一些危害用戶的操作，具有隱蔽性
由於木馬所從事的是 "地下工作"，因此它必須隱藏起來，它會想盡一切辦法不讓你發現它。很多人對木馬和遠程控製軟件有點分不清，還是讓我們舉個例子來說吧。我們進行局域網間通訊的常用軟件PCanywhere大傢一定不陌生吧?我們都知道它是一款遠程控製軟件。PCanywhere比在服務器端運行時，客戶端與服務器端連接成功後，客戶端機上會出現很醒目的提示標志;而木馬類的軟件的服務器端在運行的時候應用各種手段隱藏自己，不可能出現任何明顯的標志。木馬開發者早就想到了可能暴露木馬蹤跡的問題，把它們隱藏起來了。例如大傢所熟悉木馬修改註册表和而文件以便機器在下一次啓動後仍能載入木馬程式，它不是自己生成一個啓動程序，而是依附在其他程序之中。有些木馬把服務器端和正常程序綁定成一個程序的軟件，叫做exe-binder綁定程序，可以讓人在使用綁定的程序時，木馬也入侵了係統。甚至有個別木馬程序能把它自身的exe文件和服務端的圖片文件綁定，在你看圖片的時候，木馬便侵人了你的係統。它的隱蔽性主要體現在以下兩個方面:
(1)不産生圖標
木馬雖然在你係統啓動時會自動運行，但它不會在 "任務欄"中産生一個圖標，這是容易理解的，不然的話，你看到任務欄中出現一個來歷不明的圖標，你不起疑心纔怪呢!
(2)木馬程序自動在任務管理器中隱藏，並以"係統服務"的方式欺騙操作係統。
2.具有自動運行性。
木馬為了控製服務端。它必須在係統啓動時即跟隨啓動，所以它必須潛人在你的啓動配置文件中，如win.ini、system.ini、winstart.bat以及啓動組等文件之中。
3.包含具有未公開並且可能産生危險後果的功能的程序。
4.具備自動恢復功能。
現在很多的木馬程序中的功能模塊巴不再由單一的文件組成，而是具有多重備份，可以相互恢復。當你刪除了其中的一個，以為萬事大吉又運行了其他程序的時候，誰知它又悄然出現。像幽靈一樣，防不勝防。
5.能自動打開特別的端口。
木馬程序潛人你的電腦之中的目的主要不是為了破壞你的係統，而是為了獲取你的係統中有用的信息，當你上網時能與遠端客戶進行通訊，這樣木馬程序就會用服務器客戶端的通訊手段把信息告訴黑客們，以便黑客們控製你的機器，或實施進一步的入侵企圖。你知道你的電腦有多少個端口?不知道吧?告訴你別嚇着:根據TCP/IP協議，每臺電腦可以有256乘以256個端口，也即從0到65535號 "門"，但我們常用的衹有少數幾個，木馬經常利用我們不大用的這些端口進行連接，大開方便之 "門"。
6、功能的特殊性。
通常的木馬功能都是十分特殊的，除了普通的文件操作以外，還有些木馬具有搜索cache中的口令、設置口令、掃描目標機器人的IP地址、進行鍵盤記錄、遠程註册表的操作以及鎖定鼠標等功能。上面所講的遠程控製軟件當然不會有這些功能，畢竟遠程控製軟件是用來控製遠程機器，方便自己操作而已，而不是用來黑對方的機器的。
偽裝方法
1.修改圖標
木馬服務端所用的圖標也是有講究的，木馬經常故意偽裝成了XT.HTML等你可能認為對係統沒有多少危害的文件圖標，這樣很容易誘惑你把它打開。看看，木馬是不是很狡猾?
2.捆綁文件
這種偽裝手段是將木馬捆綁到一個安裝程序上，當安裝程序運行時，木馬在用戶毫無察覺的情況下，偷偷地進入了係統。被捆綁的文件一般是可執行文件 (即EXE、COM一類的文件)。
3.出錯顯示
有一定木馬知識的人部知道，如果打開一個文件，沒有任何反應，這很可能就是個木馬程序。木馬的設計者也意識到了這個缺陷，所以已經有木馬提供了一個叫做出錯顯示的功能。當服務端用戶打開木馬程序時，會彈出一個錯誤提示框 (這當然是假的)，錯誤內容可自由定義，大多會定製成一些諸如 "文件已破壞，無法打開!"之類的信息，當服務端用戶信以為真時，木馬卻悄悄侵人了係統。
4.自我銷毀
這項功能是為了彌補木馬的一個缺陷。我們知道，當服務端用戶打開含有木馬的文件後，木馬會將自己拷貝到Windows的係統文件夾中(C;wmdows或C:windowssystem目錄下),一般來說，源木馬文件和係統文件夾中的木馬文件的大小是一樣的 (捆綁文件的木馬除外)，那麽，中了木馬的朋友衹要在近來收到的信件和下載的軟件中找到源木馬文件，然後根據源木馬的大小去係統文件夾找相同大小的文件，判斷一下哪個是木馬就行了。而木馬的自我銷毀功能是指安裝完木馬後，源木馬文件自動銷毀，這樣服務端用戶就很難找到木馬的來源，在沒有查殺木馬的工具幫助下。就很難刪除木馬了。
5.木馬更名
木馬服務端程序的命名也有很大的學問。如果不做任何修改，就使用原來的名字，誰不知道這是個木馬程序呢?所以木馬的命名也是千奇百怪，不過大多是改為和係統文件名差不多的名字，如果你對係統文件不夠瞭解，那可就危險了。例如有的木馬把名字改為window.exe，如果不告訴你這是木馬的話，你敢刪除嗎?還有的就是更改一些後綴名，比如把dll改為dl等，不仔細看的，你會發現嗎?
種類
1、破壞型
惟一的功能就是破壞並且刪除文件，可以自動的刪除電腦上的DLL、INI、EXE文件。
2、密碼發送型
可以找到隱藏密碼並把它們發送到指定的信箱。有人喜歡把自己的各種密碼以文件的形式存放在計算機中，認為這樣方便；還有人喜歡用WINDOWS提供的密碼記憶功能，這樣就可以不必每次都輸入密碼了。許多黑客軟件可以尋找到這些文件，把它們送到黑客手中。也有些黑客軟件長期潛伏，記錄操作者的鍵盤操作，從中尋找有用的密碼。
在這裏提醒一下，不要認為自己在文檔中加了密碼而把重要的保密文件存在公用計算機中，那你就大錯特錯了。別有用心的人完全可以用窮舉法暴力破譯你的密碼。利用WINDOWS API函數EnumWindows和EnumChildWindows對當前運行的所有程序的所有窗口（包括控件）進行遍歷，通過窗口標題查找密碼輸入和出確認重新輸入窗口，通過按鈕標題查找我們應該單擊的按鈕，通過ES_PASSWORD查找我們需要鍵入的密碼窗口。嚮密碼輸入窗口發送WM_SETTEXT消息模擬輸入密碼，嚮按鈕窗口發送WM_COMMAND消息模擬單擊。在破解過程中，把密碼保存在一個文件中，以便在下一個序列的密碼再次進行窮舉或多部機器同時進行分工窮舉，直到找到密碼為止。此類程序在黑客網站上唾手可得，精通程序設計的人，完全可以自編一個。
3、遠程訪問型
最廣泛的是特洛伊馬，衹需有人運行了服務端程序，如果客戶知道了服務端的IP地址，就可以實現遠程控製。以下的程序可以實現觀察"受害者"正在幹什麽，當然這個程序完全可以用在正道上的，比如監視學生機的操作。
程序中用的UDP（User Datagram Protocol，用戶報文協議）是因特網上廣泛采用的通信協議之一。與TCP協議不同，它是一種非連接的傳輸協議，沒有確認機製，可靠性不如TCP，但它的效率卻比TCP高，用於遠程屏幕監視還是比較適合的。它不區分服務器端和客戶端，衹區分發送端和接收端，編程上較為簡單，故選用了UDP協議。本程序中用了DELPHI提供的TNMUDP控件。
4.鍵盤記錄木馬
這種特洛伊木馬是非常簡單的。它們衹做一件事情，就是記錄受害者的鍵盤敲擊並且在LOG文件裏查找密碼。據筆者經驗，這種特洛伊木馬隨着Windows的啓動而啓動。它們有在綫和離綫記錄這樣的選項，顧名思義，它們分別記錄你在綫和離綫狀態下敲擊鍵盤時的按鍵情況。也就是說你按過什麽按鍵，下木馬的人都知道，從這些按鍵中他很容易就會得到你的密碼等有用信息，甚至是你的信用卡賬號哦!當然，對於這種類型的木馬，郵件發送功能也是必不可少的。
5.DoS攻擊木馬
隨着DoS攻擊越來越廣泛的應用，被用作DoS攻擊的木馬也越來越流行起來。當你入侵了一臺機器，給他種上DoS攻擊木馬，那麽日後這臺計算機就成為你DoS攻擊的最得力助手了。你控製的肉雞數量越多，你發動DoS攻擊取得成功的機率就越大。所以，這種木馬的危害不是體現在被感染計算機上，而是體現在攻擊者可以利用它來攻擊一臺又一臺計算機，給網絡造成很大的傷害和帶來損失。
還有一種類似DoS的木馬叫做郵件炸彈木馬，一旦機器被感染，木馬就會隨機生成各種各樣主題的信件，對特定的郵箱不停地發送郵件，一直到對方癱瘓、不能接受郵件為止。
6.代理木馬
黑客在入侵的同時掩蓋自己的足跡，謹防別人發現自己的身份是非常重要的，因此，給被控製的肉雞種上代理木馬，讓其變成攻擊者發動攻擊的跳板就是代理木馬最重要的任務。通過代理木馬，攻擊者可以在匿名的情況下使用Telnet,ICQ,IRC等程序，從而隱蔽自己的蹤跡。
7.FTP木馬
這種木馬可能是最簡單和古老的木馬了，它的惟一功能就是打開21端口，等待用戶連接。現在新FTP木馬還加上了密碼功能，這樣，衹有攻擊者本人才知道正確的密碼，從而進入對方計算機。
8.程序殺手木馬
上面的木馬功能雖然形形色色，不過到了對方機器上要發揮自己的作用，還要過防木馬軟件這一關纔行。常見的防木馬軟件有ZoneAlarm,Norton Anti-Virus等。程序殺手木馬的功能就是關閉對方機器上運行的這類程序，讓其他的木馬更好地發揮作用。
9.反彈端口型木馬
木馬是木馬開發者在分析了防火墻的特性後發現:防火墻對於連入的鏈接往往會進行非常嚴格的過濾，但是對於連出的鏈接卻疏於防範。於是，與一般的木馬相反，反彈端口型木馬的服務端 (被控製端)使用主動端口，客戶端 (控製端)使用被動端口。木馬定時監測控製端的存在，發現控製端上綫立即彈出端口主動連結控製端打開的主動端口;為了隱蔽起見，控製端的被動端口一般開在80，即使用戶使用掃描軟件檢查自己的端口，發現類似TCP UserIP:1026 ControllerIP:80ESTABLISHED的情況，稍微疏忽一點，你就會以為是自己在瀏覽網頁。
中木馬後出現的狀況
對於一些常見的木馬，如SUB7、BO2000、冰河等等，它們都是采用打開TCP端口監聽和寫人註册表啓動等方式，使用木馬剋星之類的軟件可以檢測到這些木馬，這些檢測木馬的軟件大多都是利用檢測TCP連結、註册表等信息來判斷是否有木馬入侵，因此我們也可以通過手工來偵測木馬。
也許你會對硬盤空間莫名其妙減少500M感到習以為常，這的確算不了什麽，天知道Windows的臨時文件和那些烏七八糟的遊戲吞噬了自己多少硬盤空間。可是，還是有一些現象會讓你感到警覺，一旦你覺得你自己的電腦感染了木馬，你應該馬上用殺毒軟件檢查一下自己的計算機，然後不管結果如何，就算是Norton告訴你，你的機器沒有木馬，你也應該再親自作一次更深入的調查，確保自己機器安全。經常關註新的和出名的木馬的特性報告，這將對你診斷自己的計算機問題很有幫助。
(1)當你瀏覽一個網站，彈出來一些廣告窗口是很正常的事情，可是如果你根本沒有打開瀏覽器，而覽瀏器突然自己打開，並且進入某個網站，那麽，你要小心。
(2)你正在操作電腦，突然一個警告框或者是詢問框彈出來，問一些你從來沒有在電腦上接觸過的間題。
(3)你的Windows係統配置老是自動莫名其妙地被更改。比如屏保顯示的文字，時間和日期，聲音大小，鼠標靈敏度，還有CD-ROM的自動運行配置。
(4)硬盤老沒緣由地讀盤，軟驅燈經常自己亮起，網絡連接及鼠標屏幕出現異常現象。
這時，最簡單的方法就是使用netstat-a命令查看。你可以通過這個命令發現所有網絡連接，如果這時有攻擊者通過木馬連接，你可以通過這些信息發現異常。通過端口掃描的方法也可以發現一些弱智的木馬，特別是一些早期的木馬，它們捆綁的端口不能更改，通過掃描這些固定的端口也可以發現木馬是否被植入。
當然，沒有上面的種種現象並不代表你就絶對安全。有些人攻擊你的機器不過是想尋找一個跳板。做更重要的事情;可是有些人攻擊你的計算機純粹是為了好玩。對於純粹處於好玩目的的攻擊者，你可以很容易地發現攻擊的痕跡;對於那些隱藏得很深，並且想把你的機器變成一臺他可以長期使用的肉雞的黑客們，你的檢查工作將變得異常艱苦並且需要你對入侵和木馬有超人的敏感度，而這些能力，都是在平常的電腦使用過程日積月纍而成的。
我們還可以通過軟件來檢查係統進程來發現木馬。如利用進程管理軟件來查看進程，如果發現可疑進程就殺死它。那麽，如何知道哪個進程是可疑的呢?教你一個笨方法，有以下進程絶對是正常的：EXPLORER.EXE、KERNEL32.DLL、MPREXE.EXE、MSGSRVINTERNAT.EXE、32.EXE、SPOOL32.EXEIEXPLORE.EXE(如果打開了IE)，而出現了其他的、你沒有運行的程序的進程就很可疑了。一句話，具體情況具體分析。
被感染後的緊急措施
如果不幸你的計算機已經被木馬光臨過了，你的係統文件被黑客改得一塌糊塗，硬盤上稀裏糊塗得多出來一大堆亂七八糟的文件，很多重要的數據也可能被黑客竊取。這裏給你提供3條建議，希望可以幫助你:
(1)所有的賬號和密碼都要馬上更改，例如撥號連接，ICQ,mIRC,FTP，你的個人站點，免費郵箱等等，凡是需要密碼的地方，你都要把密碼盡快改過來。
(2)刪掉所有你硬盤上原來沒有的東西。
(4)檢查一次硬盤上是否有病毒存在 。
木馬技術篇
這裏就不介紹木馬是如何寫成的了,畢竟大多數網友不會去編寫什麽木馬,也沒有足夠的知識和能力來編寫,包括我自己:)
黑客是如何騙取你執行木馬的
1、冒充為圖像文件
首先，黑客最常使用騙別人執行木馬的方法，就是將特洛伊木馬說成為圖像文件，比如說是照片等，應該說這是一個最不合邏輯的方法，但卻是最多人中招的方法，有效而又實用 。
衹要入侵者扮成美眉及更改服務器程序的文件名(例如 sam.exe )為“類似”圖像文件的名稱 ，再假裝傳送照片給受害者，受害者就會立刻執行它。為甚麽說這是一個不合邏輯的方法呢？圖像文件的擴展名根本就不可能是 exe，而木馬程序的擴展名基本上又必定是 exe ，明眼人一看就會知道有問題，多數人在接收時一看見是exe文件，便不會接收了，那有什麽方法呢? 其實方法很簡單，他衹要把文件名改變，例如把“sam.exe” 更改為“sam.jpg” ，那麽在傳送時，對方衹會看見sam.jpg 了，而到達對方電腦時，因為windows 默認值是不顯示擴展名的，所以很多人都不會註意到擴展名這個問題，而恰好你的計算機又是設定為隱藏擴展名的話，那麽你看到的衹是sam.jpg 了，受騙也就在所難免了!
還有一個問題就是，木馬本身是沒有圖標的，而在電腦中它會顯示一個windows 預設的圖標，別人一看便會知道了！但入侵者還是有辦法的，這就是給文件換個“馬甲”，即修改文件圖標。
修改文件圖標的方法如下:
（1）比如到http://www.mydown.com 下載一個名為IconForge 的軟件，再進行安裝。
（2）執行程序，按下File > Open
（3）在File Type 選擇exe 類
（4）在File > Open 中載入預先製作好的圖標( 可以用繪圖軟件或專門製作icon 的軟件製作，也可以在網上找找) 。
（5）然後按下File > Save 便可以了。
如此這般最後得出的，便是看似jpg 或其他圖片格式的木馬了，很多人就會不經意間執行了它。
2、合併程序欺騙
通常有經驗的用戶，是不會將圖像文件和可執行文件混淆的，所以很多入侵者一不做二不休，幹脆將木馬程序說成是應用程序：反正都是以 exe 作為擴展名的。然後再變着花樣欺騙受害者，例如說成是新出爐的遊戲，無所不能的黑客程序等等，目地是讓受害者立刻執行它。而木馬程序執行後一般是沒有任何反應的，於是在悄無聲息中，很多受害者便以為是傳送時文件損壞了而不再理會它。
如果有更小心的用戶，上面的方法有可能會使他們的産生壞疑，所以就衍生了一些合拼程序。合拼程序是可以將兩個或以上的可執行文件(exe文件) 結合為一個文件，以後祇需執行這個合拼文件，兩個可執行文件就會同時執行。如果入侵者將一個正常的可執行文件(一些小遊戲如 wrap.exe) 和一個木馬程序合拼，由於執行合拼文件時 wrap.exe會正常執行，受害者在不知情中，背地裏木馬程序也同時執行了。而這其中最常用到的軟件就是joiner，由於它具有更大的欺騙性，使得安裝特洛伊木馬的一舉一動了無痕跡，是一件相當危險的黑客工具。讓我們來看一下它是如何運作的:
以往有不少可以把兩個程序合拼的軟件為黑客所使用，但其中大多都已被各大防毒軟件列作病毒了，而且它們有兩個突出的問題存在，這問題就是：
（1）合拼後的文件體積過大
（2）衹能合拼兩個執行文件
正因為如此，黑客們紛紛棄之轉而使用一個更簡單而功能更強的軟件，那就是Joiner 了。此軟件不但把軟件合拼後的體積減少，而且可以待使用者執行後立馬就能收到一個icq 的信息，告訴你對方已中招及對方的IP ，更重要的是這個軟件可以把圖像文件、音頻文件與可執行文件合拼，用起來相當方便。
首先把Joiner 解壓，然後執行Joiner ，在程序的畫面裏，有“First executable : ”及“ Second File : ”兩項，這兩行的右方都有一個文件夾圖標，分別各自選擇想合拼的文件。
下面還有一個Enable ICQ notification 的空格，如果選取後，當對方執行了文件時，便會收到對方的一個ICQ Web Messgaer ，裏面會有對方的ip ，當然要在下面的ICQ number 填上欲收取信息的icq 號碼。但開啓這個功能後，合拼後的文件會比較大。
最後便按下“Join” ，在Joiner 的文件夾裏，便會出現一個Result.exe 的文件，文件可更改名稱，因而這種“混合體”的隱蔽性是不言而喻的。
3、以Z-file 偽裝加密程序
Z-file 偽裝加密軟件是臺灣華順科技的産品，其經過將文件壓縮加密之後，再以 bmp圖像文件格式顯示出來(擴展名是 bmp，執行後是一幅普通的圖像)。當初設計這個軟件的本意衹是用來加密數據，用以就算計算機被入侵或被非法使使用時，也不容易泄漏你的機密數據所在。不過如果到了黑客手中，卻可以變成一個入侵他人的幫兇。 使用者會將木馬程序和小遊戲合拼，再用 Z-file 加密及將 此“混合體”發給受害者，由於看上去是圖像文件，受害者往往都不以為然，打開後又衹是一般的圖片，最可怕的地方還在於就連殺毒軟件也檢測不出它內藏特洛伊木馬，甚至病毒！當打消了受害者警惕性後，再讓他用WinZip 解壓縮及執行 “偽裝體 (比方說還有一份小禮物要送給他)，這樣就可以成功地安裝了木馬程序。 如果入侵者有機會能使用受害者的電腦(比如上門維修電腦)，衹要事先已經發出了“混合體，則可以直接用 Winzip 對其進行解壓及安裝。由於上門維修是赤着手使用其電腦，受害者根本不會懷疑有什麽植入他的計算機中，而且時間並不長，30秒時間已經足夠。就算是“明晃晃”地在受害者面前操作，他也不見得會看出這一雙黑手正在幹什麽。特別值得一提的是，由於 “混合體” 可以躲過反病毒程序的檢測，如果其中內含的是一觸即發的病毒，那麽一經結開壓縮，後果將是不堪設想。
4、偽裝成應用程序擴展組件
此類屬於最難識別的特洛伊木馬。黑客們通常將木馬程序寫成為任何類型的文件 (例如 dll、ocx等) 然後挂在一個十分出名的軟件中，例如 OICQ 。由於OICQ本身已有一定的知名度，沒有人會懷疑它的安全性，更不會有人檢查它的文件多是否多了。而當受害者打開OICQ時，這個有問題的文件即會同時執行。 此種方式相比起用合拼程序有一個更大的好處，那就是不用更改被入侵者的登錄文件，以後每當其打開OICQ時木馬程序就會同步運行 ，相較一般特洛伊木馬可說是“踏雪無痕”。更要命的是，此類入侵者大多也是特洛伊木馬編寫者，衹要稍加改動，就會派生出一支新木馬來，所以即使殺是毒軟件也拿它沒有絲毫辦法。
安全策略
當木馬悄悄打開某扇“方便之門”（端口）時，不速之客就會神不知鬼不覺地侵入你的電腦。如果被種下木馬其實也不必擔心，首先我們要切斷它們與外界的聯繫（就是 堵住可疑端口）。
在Win 2000/XP/2003係統中，Microsoft管理控製臺（MMC）已將係統的配置功能匯集成配置模塊，大大方便我們進行特殊的設置（以Telnet利用的23端口為例，筆者的操作係統為Win XP）。
操作步驟
首先單擊“運行”在框中輸入“mmc”後回車，會彈出“控製臺1”的窗口。我們依次選擇“文件→添加/刪除管理單元→在獨立標簽欄中點擊‘添加’→IP安全策略管理”，最後按提示完成操作。這時，我們已把“IP安全策略，在本地計算機”（以下簡稱“IP安全策略”）添加到“控製臺根節點”下。
現在雙擊“IP安全策略”就可以新建一個管理規則了。右擊“IP安全策略”，在彈出的快捷菜單中選擇“創建IP安全策略”，打開IP安全策略嚮導，點擊“下一步→名稱默認為‘新IP安全策略’→下一步→不必選擇‘激活默認響應規則’”（註意：在點擊“下一步的同時，需要確認此時“編輯屬性”被選中），然後選擇“完成→在“新IP安全策略屬性→添加→不必選擇‘使用添加嚮導’”。
在尋址欄的源地址應選擇“任何IP地址”，目標地址選擇“我的IP地址”（不必選擇鏡像）。在協議標簽欄中，註意類型應為TCP，並設置IP協議端口從任意端口到此端口23，最後點擊“確定”即可。這時在“IP篩選器列表”中會出現一個“新IP篩選器”，選中它，切換到“篩選器操作”標簽欄，依次點擊“添加→名稱默認為‘新篩選器操作’→添加→阻止→完成”。
新策略需要被激活才能起作用，具體方法是：在“新IP安全策略”上點右鍵，“指派”剛纔製定的策略。
效果
現在，當我們從另一臺電腦Telnet到設防的這一臺時，係統會報告登錄失敗；用掃描工具掃描這臺機子，會發現23端口仍然在提供服務。以同樣的方法，大傢可以把其它任何可疑的端口都封殺掉，讓不速之客們大叫“不妙”去吧!
教您手工輕鬆清除隱藏在電腦裏的病毒和木馬
現在上網的朋友越來越多了，其中有一點不可避免的就是如何防範和查殺病毒和惡意攻擊程序了。但是，如果不小心中了病毒而身邊又沒有殺毒軟件怎麽辦?沒有關係，今天我就來教大傢怎樣輕鬆地手工清除藏在電腦裏的病毒和木馬。
檢查註册表
註册表一直都是很多木馬和病毒“青睞”的寄生場所，註意在檢查註册表之前要先給註册表備份。
1、 檢查註册表中HKEY_LOCAL_MACHINE＼Software＼Microsoft＼Windows＼CurrentVersion＼Run和HKEY_LOCAL_MACHINE＼Software＼Microsoft＼Windows＼CurrentVersion＼Runserveice，查看鍵值中有沒有自己不熟悉的自動啓動文件，擴展名一般為EXE，然後記住木馬程序的文件名，再在整個註册表中搜索，凡是看到了一樣的文件名的鍵值就要刪除，接着到電腦中找到木馬文件的藏身地將其徹底刪除?比如“愛蟲”病毒會修改上面所提的第一項，BO2000木馬會修改上面所提的第二項)。
2、 檢查註册表HKEY_LOCAL_MACHINE和HKEY_CURRENT_USER＼SOFTWARE＼Microsoft＼Internet Explorer＼Main中的幾項(如Local Page)，如果發現鍵值被修改了，衹要根據你的判斷改回去就行了。惡意代碼(如“萬花𠔌”)就經常修改這幾項。
3、檢查HKEY_CLASSES_ROOT＼inifile ＼shell＼open＼command和HKEY_CLASSES_ROOT ＼txtfile＼shell＼open＼command等等幾個常用文件類型的默認打開程序是否被更改。這個一定要改回來，很多病毒就是通過修改.txt、.ini等的默認打開程序而清除不了的。例如“羅密歐與朱麗葉”?BleBla病毒就修改了很多文件(包括.jpg、.rar、.mp3等)的默認打開程序。
檢查你的係統配置文件
其實檢查係統配置文件最好的方法是打開Windows“係統配置實用程序”(從開始菜單運行msconfig.exe)，在裏面你可以配置Config.sys、Autoexec.bat、system.ini和win.ini，並且可以選擇啓動係統的時間。
1、檢查win.ini文件(在C?＼windows＼下)，打開後，在?WINDOWS?下面，“run=”和“load=”是可能加載“木馬”程序的途徑，必須仔細留心它們。在一般情況下，在它們的等號後面什麽都沒有，如果發現後面跟有路徑與文件名不是你熟悉的啓動文件，你的計算機就可能中上“木馬”了。比如攻擊QQ的“GOP木馬”就會在這裏留下痕跡。
2、檢查system.ini文件(在C:＼windows＼下)，在BOOT下面有個“shell=文件名”。正確的文件名應該是“explorer.exe”，如果不是“explorer.exe”，而是“shell= explorer.exe 程序名”，那麽後面跟着的那個程序就是“木馬”程序，然後你就要在硬盤找到這個程序並將其刪除了。這類的病毒很多，比如“尼姆達”病毒就會把該項修改為“shell=explorer.exe load.exe -dontrunold”。
清除木馬
近日，筆者用BT下載了一個格鬥遊戲，運行安裝程序後沒有任何反應。起初，筆者以為是安裝程序已經損壞就順手給刪掉了，沒有特別留意。但第二天開機時，金山毒霸突然無法加載。由於以前也有過類似的經歷，所以筆者感覺昨天下載的那個格鬥遊戲多半捆綁了木馬。
為了安全起見，筆者立刻斷掉了網絡連 接，然後打開“Windows任務管理器”，經過排除找到了名為“sprite.exe”的可疑進程。結束該進程後金山毒霸就可以正常運行了，但仍然無法查出木馬的所在。利用Windows自帶的搜索功能搜索“sprite.exe”，選擇包括隱藏文件，也衹搜到文件“sprite.exe”。正要刪除時，筆者突發奇想：木馬通常進駐內存時都會自動生成一些輔助文件，何不利用Windows自帶的查看文件屬性功能達到一勞永逸的目的?說幹就幹，找到文件“sprite.exe”用右鍵點擊，在彈出的對話框中選擇 “屬性”，電腦顯示該文件創建於2003年10月9日18:08:19。點擊“開始→高級搜索”，將文件創建日期設定為10月9日，搜索……在搜索結果中找到兩個創建時間為2003年10月9日18:08:19的文件:“Hiddukel.exe”和“Hiddukel.dll”(大小分別為71KB和15KB)，一並刪除，大功告成。
後來筆者從網上瞭解到這種木馬叫做“妖精”。最新版本的殺毒軟件和防火墻均不能清除這種木馬。以下是手工清除此木馬的方法:
1.打開註册表編輯器，找到“HKEY_ CLASSES_ROOTexefileshellopencommand”下的“C:WindowsSystemHiddukel.exe”鍵值和“HKEY_LOCAL_MACHINESoftwareCLASSESexefileshellopencommand”下的“C:WindowsSystemHiddukel.exe”鍵值後，將它們刪除；
2.打開C:WindowsSystem目錄，找到Hiddukel.exe（71KB）和Hiddukel.dll（15KB）兩個文件後，將它們刪除；
3.查找你的電腦裏是否有Sprite.exe（132KB）或者crawler.exe（131KB），如果有的話也要徹底將它們刪除。
現在的木馬多數都會在進駐內存時自動生成一些動態鏈接文件。筆者介紹的這種利用查看文件創建時間進行文件搜索的方法，有些時候是很好用的，感興趣的朋友不妨試試（對於經常安裝遊戲和軟件的玩傢可能不適用）。
判斷木馬的方法
當前最為常見的木馬通常是基於TCP/UDP協議進行client端與server端之間的通訊的，既然利用到這兩個協議，就不可避免要在server端（就是被種了木馬的機器了）打開監聽端口來等待連接。例如鼎鼎大名的冰河使用的監聽端口是7626，Back Orifice 2000則是使用54320等等。那麽，我們可以利用查看本機開放端口的方法來檢查自己是否被種了木馬或其它黑客程序。以下是詳細方法介紹。
1． Windows本身自帶的netstat命令
關於netstat命令，我們先來看看windows幫助文件中的介紹：
Netstat
顯示協議統計和當前的 TCP/IP 網絡連接。該命令衹有在安裝了 TCP/IP 協議後纔可以使用。
netstat [-a] [-e] [-n] [-s] [-p protocol] [-r] [interval]
參數
-a
顯示所有連接和偵聽端口。服務器連接通常不顯示。
-e
顯示以太網統計。該參數可以與 -s 選項結合使用。
-n
以數字格式顯示地址和端口號（而不是嘗試查找名稱）。
-s
顯示每個協議的統計。默認情況下，顯示 TCP、UDP、ICMP 和 IP 的統計。-p 選項可以用來指定默認的子集。
-p protocol
顯示由 protocol 指定的協議的連接；protocol 可以是 tcp 或 udp。如果與 -s 選項一同使用顯示每個協議的統計，protocol 可以是 tcp、udp、icmp 或 ip。
-r
顯示路由表的內容。
interval
重新顯示所選的統計，在每次顯示之間暫停 interval 秒。按 CTRL+B 停止重新顯示統計。如果省略該參數，netstat 將打印一次當前的配置信息。
好了，看完這些幫助文件，我們應該明白netstat命令的使用方法了。現在就讓我們現學現用，用這個命令看一下自己的機器開放的端口。進入到命令行下，使用netstat命令的a和n兩個參數：
C:>netstat -an
Active Connections
Proto Local Address Foreign Address State
TCP 0.0.0.0:80 0.0.0.0:0 LISTENING
TCP 0.0.0.0:21 0.0.0.0:0 LISTENING
TCP 0.0.0.0:7626 0.0.0.0:0 LISTENING
UDP 0.0.0.0:445 0.0.0.0:0
UDP 0.0.0.0:1046 0.0.0.0:0
UDP 0.0.0.0:1047 0.0.0.0:0
解釋一下，Active Connections是指當前本機活動連接，Proto是指連接使用的協議名稱，Local Address是本地計算機的 IP 地址和連接正在使用的端口號，Foreign Address是連接該端口的遠程計算機的 IP 地址和端口號，State則是表明TCP 連接的狀態，你可以看到後面三行的監聽端口是UDP協議的，所以沒有State表示的狀態。看！我的機器的7626端口已經開放，正在監聽等待連接，像這樣的情況極有可能是已經感染了冰河！急忙斷開網絡，用殺毒軟件查殺病毒是正確的做法。
2．工作在windows2000下的命令行工具fport
使用windows2000的朋友要比使用windows9X的幸運一些，因為可以使用fport這個程序來顯示本機開放端口與進程的對應關係。
Fport是FoundStone出品的一個用來列出係統中所有打開的TCP/IP和UDP端口，以及它們對應應用程序的完整路徑、PID標識、進程名稱等信息的軟件。在命令行下使用，請看例子：
D:>fport.exe
FPort v1.33 - TCP/IP Process to Port Mapper
Copyright 2000 by Foundstone, Inc.
http://www.foundstone.com
Pid Process Port Proto Path
748 tcpsvcs -> 7 TCP C:WINNTSystem32 tcpsvcs.exe
748 tcpsvcs -> 9 TCP C:WINNTSystem32tcpsvcs.exe
748 tcpsvcs -> 19 TCP C:WINNTSystem32tcpsvcs.exe
416 svchost -> 135 TCP C:WINNTsystem32svchost.exe
是不是一目瞭然了。這下，各個端口究竟是什麽程序打開的就都在你眼皮底下了。如果發現有某個可疑程序打開了某個可疑端口，可千萬不要大意哦，也許那就是一隻狡猾的木馬！
Fport的最新版本是2.0。在很多網站都提供下載，但是為了安全起見，當然最好還是到它的老傢去下：http://www.foundstone.com/knowledge/zips/fport.zip
3.與Fport功能類似的圖形化界面工具Active Ports
Active Ports為SmartLine出品，你可以用來監視電腦所有打開的TCP/IP/UDP端口，不但可以將你所有的端口顯示出來，還顯示所有端口所對應的程序所在的路徑，本地IP和遠端IP(試圖連接你的電腦IP)是否正在活動。下面是軟件截圖：
是不是很直觀？更棒的是，它還提供了一個關閉端口的功能，在你用它發現木馬開放的端口時，可以立即將端口關閉。這個軟件工作在Windows NT/2000/XP平臺下。你可以在http://www.smartline.ru/software/aports.zip得到它。
其實使用windows xp的用戶無須藉助其它軟件即可以得到端口與進程的對應關係，因為windows xp所帶的netstat命令比以前的版本多了一個O參數，使用這個參數就可以得出端口與進程的對應來。
上面介紹了幾種查看本機開放端口，以及端口和進程對應關係的方法，通過這些方法可以輕鬆的發現基於TCP/UDP協議的木馬，希望能給你的愛機帶來幫助。但是對木馬重在防範，而且如果碰上反彈端口木馬，利用驅動程序及動態鏈接庫技術製作的新木馬時，以上這些方法就很難查出木馬的痕跡了。所以我們一定要養成良好的上網習慣，不要隨意運行郵件中的附件，安裝一套殺毒軟件，像國內的瑞星就是個查殺病毒和木馬的好幫手。從網上下載的軟件先用殺毒軟件檢查一遍再使用，在上網時打開網絡防火墻和病毒實時監控，保護自己的機器不被可恨的木馬入侵。 | | - n.: Trojan horse
| | | 特洛伊木馬計 | 特洛伊木馬屠城 | 特洛伊木馬程序 | | 特洛伊木馬攻擊 | 特洛伊木馬有多重 | 什麽是特洛伊木馬 | | 破小孩和特洛伊木馬 | 一、什麽是特洛伊木馬 | 一什麽是特洛伊木馬 | |
|
|
|