txt木马演示
今天给大家演示一个可能我们从未想过的一个可怕的事情。
你们有想过 一个txt的文本格式 他会是一个木马吗？ 恐怕没有人会想过吧 也许你们觉得不可思议 然后 确实 这是现实，。
在97年的一个编程大赛 mekka intro 比赛的一等奖作品
整个程序全长4095字节
用汇编语言 写出来的 大家可以看到 这就是一个txt文本 双击打开 跟原来的txt的程序是没有任何差别的
我们来i看下是怎样执行这个所谓的 txt的文本木马
用dos命令 进入桌面，
是不是非常不可思议
进去之后是一个3d游戏的旋转页面 类似迷宫
还有一段音乐
视频下载地址：链接：http://pan.baidu.com/s/1eROFC5O 密码：x3ft
责任编辑：
声明：该文观点仅代表作者本人，搜狐号系信息发布平台，搜狐仅提供信息存储空间服务。
我们是网络世界的启明星，安全之路的垫脚石。
信息安全人才的学习、交流与分享平台！
我们的宗旨是：免费、自由、共享！
今日搜狐热点RDIFramework.NET,基于.NET的快速信息化系统开发、整合框架,给用户和开发者最佳的.Net框架部署方案...
木马的危害性
通过媒体的广泛宣传报道，使我们知道了木马的危害性，一个功能强大的木马一旦被植入你的机器，攻击者就可以象操作自己的机器一样控制你的机器，甚至可以远程监控你的所有操作。其实，木马的危害不仅如此，部分木马如文件关联木马，还有其它“副”作用??更改文件关联！特别是手工清除木马后，如果不恢复文件关联，则被关联文件无法打开，许多操作因此不能进行，你说气人不气人？
　　一、基本概念 1.什么是文件关联 　　简单地说，就是单击不同类型文件时，在鼠标右键菜单上看到的关联项目。对于已注册的文件，会以不同的图标显示它们，双击它时会启动不同的关联程序，而所有这些设置信息都存放在注册表中，因此，只要掌握其基本结构和各键值项的设置，就能随心所欲地定义文件关联了。 2.文件关联木马 一般木马服务端会把自己复制为两个文件，这里我把文件名定为1号和2号，1号文件是用来当机器开机时立刻运行打开连接端口的，2号文件一般就和TXT或EXE文件打开方式连起来(即关联)！当中木马者发现自己中了木马而在DOS下把1号文件删除后，服务端就暂时被关闭，即木马暂时删除，当他运行“记事本”或任何EXE文件时，隐蔽的2号木马文件被击活再次生成1号文件，即木马又被种入！
　　二、具体实例分析（我们以大名鼎鼎的木马冰河为例） 冰河就是典型的文件关联木马，只要在配置木马时选中关联文本文档（如图），以后打开文本文档，不是用记事本Notepad.exe打开，而是调用冰河的服务端程序打开，这样木马就被加载运行了（潘多拉的盒子打开了）。如果服务端程序被您手工删除了，在打开文件文档时由于无法找到该程序导致文件无法打开。 如果中了冰河，为了达到自动装载服务端的目的，首先，冰河会在注册表的HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun和RUNSERVICE键值中加上kernl32.exe（“”是系统目录），以便电脑每次启动时加载运行木马（幽灵又出现了……）；其次，如果你删除了这个键值，自以为得意地喝著茶的时候，冰河又阴魂不散地出现了！怎么回事？原来冰河的服务端会在c:windows下生成一个叫sysexplr.exe文件（太象超级解霸了，好毒呀，冰河！），这个文件是与文本文件相关联的，它改变了注册表中有关TXT文件的关联，如下：在注册表HKEY_CLASSES_ROOTtxtfileshellopencommand下，将键值改为为C:windowssystemSysexplr.exe%1（正常情况下键值为“Notepad.exe
%1”），只要你打开文本文件（哪天不打开几次文本文件？），sysexplr.exe文件就会重新生成krnel32.exe，结果你又被冰河控制了。（冰河就是这样长期霸占著穷苦劳动人民宝贵的系统资源的，555555） 三、文件关联的恢复 方法一、 1.如果在五天以内，可以使用Windows每天开机自己备份的注册表恢复！步骤是：重新启动到DOS下（可不是WINDOWS下的MS－DOS），然后键入Scanreg/Restore，选择离现在日期最近的一个恢复注册表，然后根据提示重新启动即可。 2.如果超过五天，用以前备份过的注册表，导入注册表进行恢复（不会问我怎样导入吧？只要双击以前备份的注册表即可）。 方法二、首先在桌面上打开“我的电脑”，然后在菜单栏选择查看→文件夹选项→文件类型”选择被木马关联的文件类型。以冰河关联的文本文件为例：找到文本文件，看到了吧，打开方式不是Notepad（记事本），而是另外一个程序，赶紧把它改过来，选择“编辑”，点击操作框中的“打开”→“编辑”→“浏览”，找到Notepad，Notepad在Windows目录下，然后点“确定”即可。其它类型根据此方法依次类推。 方法三、直接新建注册表文件导入即可。 ①首先以恢复关联应用程序为例。打开记事本，键入以下值： REGEDIT4 [HKEY_CLASSES_ROOTcomfile] @="MS-DOS
应用程序" "EditFlags"=hex:d8,07,00,00 [HKEY_CLASSES_ROOTcomfileshell] @="" [HKEY_CLASSES_ROOTcomfileshellopen] @="" "EditFlags"=hex:00,00,00,00 [HKEY_CLASSES_ROOTcomfileshellopencommand] @=""%1"
%"" [HKEY_CLASSES_ROOTcomfileshellex] [HKEY_CLASSES_ROOTcomfileshellexPropertySheetHandlers] [HKEY_CLASSES_ROOTcomfileshellexPropertySheetHandlers{86F19A00-42A0--D}] @="" [HKEY_CLASSES_ROOTcomfileDefaultIcon] @="C:WINDOWSSYSTEMshell32.dll,2" 然后保存，另存为以reg为后缀名的注册表文件，双击导入即可！要注意的是，在“REGEDIT4”后面一定要空一行，并且“REGEDIT4”中的“4”和“T”之间一定不能有空格，否则将前功尽弃！ ②接下来以恢复关联文本文件为例讲讲。打开记事本，键入以下值：
REGEDIT4 [HKEY_CLASSES_ROOTtxtfile] @="文本文档" [HKEY_CLASSES_ROOTtxtfileDefaultIcon] @="shell32.dll,-152" [HKEY_CLASSES_ROOTtxtfileshell] [HKEY_CLASSES_ROOTtxtfileshellopen] [HKEY_CLASSES_ROOTtxtfileshellopencommand] @="Notepad.exe
%1" [HKEY_CLASSES_ROOTtxtfileshellprint] [HKEY_CLASSES_ROOTtxtfileshellprintcommand] @="C:WINDOWSNOTEPAD.EXE
%1" 然后保存，另存为以reg为后缀名的注册表文件，双击导入即可！注意事项如①中所述。 最后建议您，一旦中了木马赶快下线断开连接，然后用杀毒及反黑软件进行查杀（当然手工查杀也可）。对文件关联木马不要忘了检查注册表，看文件关联是否被改变了（TXT,EXE,ZIP,COM,HTM等文件都有可能被木马改变文件关联方式），如果的确是被改变了，就按本文所说的方法试试吧，保管有效哦！
没有更多推荐了，病毒和木马能感染什么格式的文件，比如txt、bmp、doc等格式会被感染吗？_百度知道
病毒和木马能感染什么格式的文件，比如txt、bmp、doc等格式会被感染吗？
我有更好的答案
会的，doc易感染宏病毒，txt易被篡改成可执行文件。
采纳率：29%
首先要注意常在河边站哪有不湿鞋：不要上不安全的网站。其次有防胜无防：可以用如360之类的杀软，简单方便，放心省心。我用的是360杀软+安全卫士+浏览器。感觉不错
其他1条回答
为您推荐：
其他类似问题
您可能关注的内容
bmp的相关知识
换一换
回答问题，赢新手礼包
个人、企业类
违法有害信息,请在下方选择后提交
色情、暴力
我们会通过消息、邮箱等方式尽快将举报结果通知您。透视木马黑洞2001
您的位置：
透视木马黑洞2001
[甘肃白银公司冶炼厂检验室 吴建蓉 ]
一、黑洞2001简介及工作原理&
&&& 黑洞2001是国产木马程序，它是黑洞2000的升级版本。在这个版本中作者加入了一些新的功能和特性，最最可怕之处就是它的进程监控功能。实际上，在黑洞2000中就已经有了这个功能，但黑洞2000只能监控“天网”一个进程，黑洞2001却能同时对多进程进行监控！下面让我们一起来了解一下黑洞2001。&
　　黑洞2001下载解压后只有一个文件s_client.exe，它是监控端执行程序，用于监控远程计算机，大小807,424字节。有经验的朋友可能要问了，怎么只有一个监控端文件？它的服务端呢？哈哈，问得好！黑洞2001的服务端隐藏在客户端程序中，只要你运行s_client.exe(如图1)，点其中的“生成服务端文件”即可生成一个服务端文件，生成的服务端文件名为S_Server.exe，大小397,632字节。服务端的图标是普通文件夹所用的图标，如果你下载了这个服务端，并且你的系统设置为“隐藏已知文件类型的扩展名”，这时服务端看起来就是一个普通的文件夹(如图2)，当你好奇的点击，打算进入看看有什么文件在其中时，潘多拉的盒子打开了！噩梦由此开始！&
&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&
&&&&&&&&&&&&&&&&&&&&&&&&&&&&&
&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&
　　黑洞2001服务端被执行后，会在c:\windows\system下生成两个文件，一个是S_Server.exe，S_Server.exe的是服务端的直接复制，用的是文件夹的图标，一定要小心了，这是个可执行文件，可不是文件夹哦；另一个文件是windows.exe，大小为255,488字节，用的是未定义类型的图标。黑洞2001是典型的文件关联木马，windows.exe文件用来机器开机时立刻运行，并打开默认连接端口2001，S_Server.exe文件用来和TXT文件打开方式连起来(即关联)！当中木马者发现自己中了木马而在DOS下把windows.exe文件删除后，服务端就暂时被关闭，即木马被暂时删除；当你运行了任何文本文件，隐蔽的S_Server.exe木马文件就又被激活了，于是它再次生成windows.exe文件，即木马又被种入！这也就是这种文件关联木马难以清除的一个原因。要说明的是，黑洞2001允许控制端用户自由定制安装后的木马文件名和所使用的端口，因此如果中了黑洞2001，那么你看到的文件名完全可能与此不同，木马连接端口也可能不是2001，关联的文件也可以是EXE、ZIP等文件。本文是按其默认服务端配置来讲的(以下所说皆如此)。&
&&& 修改文件关联是国产木马常用手段，黑洞2001也不例外(令人惊讶的是老外的木马大都没有这个功能，从这个角度来说还是我们中国人更聪明、更……呵呵)。我们来看看黑洞2001躲在注册表的什么对方。&
&&& 用来每次开机就运行的windows.exe隐藏在注册表的HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices下；
用来关联TXT文件的S_Server.exe躲在HKEY_CLASSES_ROOT\txtfile\shell\open\command和HKEY_LOCAL_MACHINE\Software\CLASSES\txtfile\shell\open\command下，它将系统默认值由C:\WINDOWS\NOTEPAD.EXE %1改为了S_SERVER.EXE %1，请大家注意，就是在这里黑洞2001改变了TXT文件打开方式，因此就算你删除了windows.exe这个文件，但当你打开TXT文件时，那个可怕的“幽灵”又回来了――它再次生成windows.exe，演绎了一场经典的“人鬼情未了”大戏。在注册表的HKEY_CLASSES_ROOT和HKEY_LOCAL_MACHINE\Software\CLASSES下，黑洞2001还建立了一个主键Winvxd，记载了一些经过加密的server配置信息，如Password、Runkey、Runkeyname、Smpt、Email等信息，这些信息不起控制作用，可以不用管它。&
二、黑洞2001的危害&
&&& 作为木马，黑洞2001除了具有获取系统信息、远程文件操作、屏幕监控、限制系统功能、记录各种口令信息、注册表操作、点对点通讯和IP报信等功能外，它最具特色的(也是最可怕之处)是其多进程监控功能。离开了这一点黑洞2001只能算作一个很普通的木马，但有了多进程监控功能就使得黑洞2001得以进入优秀木马行列。&
&&& 多进程监控功能是干什么用的呢？原来随着大家安全意识的不断提高，大多数人都安装了防火墙(你没安装？I服了You)，木马们的生存空间越来越小，为生存计，木马开发者想出了一个办法，他让木马服务端定时刷新进程，如果发现其中的进程名称与其事先定义好的相符合，就将这个进程关闭，如果这个被关闭的进程恰巧就是防火墙，那你的网络大门就完全敞开了，监控端就可为所欲为了。事实上这个功能就是针对防火墙出现的，“一切堡垒都是从内部被攻破的”在此得到了充分的体现。其实这个功能在黑洞2000中就有了，只不过黑洞2000只能关闭天网防火墙，对其它防火墙没有任何作用。黑洞2001则可以欲定义长达99个英文字符号，完全可以将您可能会用到的防火墙都定义到其中，从而可将这些防火墙全部关闭！&
&&& 对于黑洞2001的多进程监控功能，让我们作一个小测试。首先，在客户端作一下配置。点击“修改远程服务器端设置”按钮，再点击其中的“智能监控”标签，出现如图所示画面(如图3)。在“进程监控”栏中添入“墙，毒，LOCK”，选中“使用进程监控”，然后点击“修改配置”保存设置。在服务端运行天网防火墙、金山毒霸、Lockdown、PC-Cillin等软件，一分钟后这些软件被自动关闭！由上可以看出如果你中了黑洞2001，那么你的防火墙就全成了聋子的耳朵――摆设！&
&&&&&&&&&&&&&&&&&&&&
&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&
&&& 由此我们不难看出黑洞2001有多么的可怕！其强大的杀进程功能可以说是各类防火墙的最大克星！如果你不小心中了黑洞2001，那么你就惨了！你的电脑如同一台傀儡机，对方可以在你的电脑上传下载文件，偷窥你的私人文件，偷取你的各种密码及口令信息……你的一切秘密都将暴露在别人面前，隐私？不复存在！更可怕的是即使你安装了防火墙也没有用，控制端可以随意终止被控端的某个进程，如果这个进程是天网之类的防火墙，那么你的保护就全无了，黑客可以由此而长驱直入，在你的系统中肆意纵横。更令人担心的是黑洞2001也有冰河那样的万能密码――babycjtiloveyou，通过它即便是不知道连接密码，也可以自由的控制服务端电脑，也就是说，互联网上所有人都可以通过客户端程序来控制服务端电脑！&
三、检测方法&
要检查系统中是否有黑洞2001服务端存在，可以采用以下一些方法：&
1.检查文件&
&&& 如果怀疑自己中了木马黑洞2001，可以到c:\windows\system下检查是否存在S_Server.exe和windows.exe这两个文件，即便是木马服务端被配置过使这两个文件被改名，也没有关系，因为它们的大小是固定的，分别为397,632字节和255,488字节。&
&&& 作者为保护服务端文件不被发现，使S_Server.exe和windows.exe分别用的是文件夹和未定义文件图标，其实，这样做反倒给了我们发现它们的机会！因为一旦你发现所谓的文件夹和未定义文件其实还有一个扩展名“exe”，你就会明白怎么回事了！用下面的方法就可以使它们现出“原形”：在“我的电脑”中点击“查看”→“文件夹选项”→“查看”，把“隐藏已知类型文件的扩展名”前面的“√”去掉，瞧瞧，漏出马脚了吧？所谓的文件夹“S_Server”和未定义文件“windows”都有一个扩展名“exe”，真是欲盖弥彰！&
2.检查注册表&
&&& 展开注册表到HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion和HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion下，检查所有以“run”开头的键值，看其下是否有windows.exe隐藏在其中。这一步也可通过运行系统配置程序msconfig.exe来检查，点击“开始”→“运行”，在对话框中输入msconfig，回车，点击“确定”，就调出系统配置程序了，再点击“启动”标签，检查windows.exe是否在其中被加载运行，如果“是”那就表示是你中了黑洞2001了，快想办法清除它吧。&
3.检查端口&
&&& 黑客要进入你的电脑，必须要有通往你电脑的途径，也就是说，木马必须打开某个端口。木马端口即控制端和服务端之间的数据入口，通过这个入口，数据可直达控制端程序或木马程序。既然如此我们检查端口就有可能发现木马。黑洞2001默认连接端口是2001，因此如果发现这个端口被打开，那你很有可能就是中了可怕的黑洞2001。&
&&& 我们可以通过检查自己电脑的端口来查木马。在检查前关闭你所有的软件，包括防火墙、QQ等，这一步非常重要，否则不容易做出判断。然后使用windows自带的一个命令Netstat来检查。方法是：在MS－DOS窗口中执行命令“Netstat －a”，如果发现除了137、138、139等端口外，还有其他端口开启，并且端口号大于1024以上，请注意了这很可能就是木马！你可以在浏览器的地址栏中输入
http://*.*.*.*:xxxx/(在检查时要把*.*.*.*换成你的IP，XXXX是你看到已开启的端口)，如果你发现在浏览器里显示了一些字符，那是什么？好象是一种木马的版本嘛。哇，看来真的中了木马！用这个方法不仅可以查黑洞2001，对其它木马也有效哦。&
4.检查进程&
&&& 想通过按“Crtl＋Alt＋Del”来发现黑洞2001的守护进程是不可能的。木马会想尽一切办法隐藏自己，主要途径有：在任务栏中隐藏自己，这是最基本的办法。只要把Form的Visible属性设为False，ShowInTaskBar设为False，程序运行时就不会出现在任务栏中了。在任务管理器中隐形：将程序设为“系统服务”可以很轻松地伪装自己(这里用到了一个未公开的API调用RegisterServiceProcess()函数，此函数将进程注册为一个服务程序，这样程序将不会显示在任务列表中)。&
&&& 为此，要发现黑洞2001最好的方法就是检查进程！查看进程的软件有很多，大家熟悉的系统优化软件Windows优化大师就有进程监测功能。运行它，点击其中的“系统安全优化”→“进程管理”，则可以看到本机上所有进程名称，如果你中了黑洞2001，那么在Windows优化大师的“进程管理”中，可以清楚的看到windows.exe这个进程(如图4)！&
四、清除方法：&
方法一：手工清除。&
1. 更改注册表：
①将HKEY_CLASSES_ROOT\txtfile\shell\open\command下的默认键值由&
S_SERVER.EXE %1改为C:\WINDOWS\NOTEPAD.EXE %1&
②将HKEY_LOCAL_MACHINE\Software\CLASSES\txtfile\shell\open\command下的默认键值由 S_SERVER.EXE %1改为C:\WINDOWS\NOTEPAD.EXE %1&
③将HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices\下的串值windows删除。&
④将HKEY_CLASSES_ROOT和HKEY_LOCAL_MACHINE\Software\CLASSES下的Winvxd主键删除。&
其实只要做完前三步就算成功的清除了注册表中的黑洞2001，但完美的做法是将Winvxd也删除，这样做不仅可以减少注册表体积，同时也有利于“环保”。&
2.删除文件&
到C:\Windows\System下，删除windows.exe和S_Server.exe这两个木马文件。要注意的是如果已经中了黑洞2001，那么windows.exe这个文件在windows环境下是无法直接删除的，这时我们可以在DOS方式下将它删除，或者用前面提到的windows优化大师终止windows.exe这个进程，然后再将它删除。&
方法二：使用软件。&
这里推荐用木马克星，木马克星是木马查杀软件，对付国产木马最在行了。如果已经中了黑洞2001，运行木马克星，它会提示发现了黑洞2001。并将C:\Windows\System下的windows.exe改名为windows.exe_iparmor，同时将windows.exe这个进程关闭，重新启动机子，就将黑洞2001清除了，TXT文件关联功能也恢复了正常。但改名后的windows.exe_iparmor和S_Server.exe仍然在C:\Windows\System下，为了安全起见，将它们都删除吧。由于木马克星没能将Winvxd主键删除，因此我们还要自己动手将其删除，采用方法一中的步骤④即可。&
方法三：自动卸载。
下载并运行黑洞2001客户端控制程序 S_Client.EXE，执行“命令控制台”中的“控制类命令”→“系统控制”→“远程卸载”，卸载后的注册表相关项目全部恢复正常，S_Server.exe和windows.exe也被安全清除。不过如果那个下套的人曾经使用了“感染EXE”这个功能，就要先用“清除EXE”来清除，否则服务端所有被感染的EXE文件一运行，服务端又会重新出现。用自动卸载来清除最省事、最方便，可以对相关文件和注册表信息做最安全、妥当的处理，连那个讨厌的Winvxd主键也可自动清除。&
&&& 现在，可以和黑洞2001说ByeBye了。告诉我，看了上面的介绍，你对木马的恐惧感和神秘感是否有所减少？是的！哈哈，吾愿足矣！&
基本概念：木马，其实质只是一个网络客户/服务程序。网络客户/服务模式的原理是一台主机提供服务(服务器)，另一台主机接受服务(客户机)。作为服务器的主机一般会打开一个默认的端口并进行监听(Listen), 如果有客户机向服务器的这一端口提出连接请求(Connect Request), 服务器上的相应程序就会自动运行，来应答客户机的请求，这个程序我们称为守护进程。就我们前面所讲木马来说，被控制端相当于一台服务器，控制端则相当于一台客户机，被控制端为控制端提供服务。&
控制端：对服务端进行远程控制的一方。&
服务端：被控制端远程控制的一方。&
控制端程序：控制端用以远程控制服务端的程序。&
木马程序：潜入服务端内部，获取其操作权限的程序。&
木马端口：即控制端和服务端之间的数据入口，通过这个入口，数据可直达控制端程序或木马程序。&
(摘自www.cw.com.cn)基本简介/木马
木马“木马”程序是目前比较流行的病毒文件，与一般的病毒不同，它不会自我繁殖，也并不“刻意”地去感染其他文件，它通过将自身伪装吸引用户下载执行，向施种木马者提供打开被种者的门户，使施种者可以任意毁坏、窃取被种者的文件，甚至被种者的电脑。“木马”与计算机网络中常常要用到的远程控制软件有些相似，但由于远程控制软件是“善意”的控制，因此通常不具有隐蔽性；“木马”则完全相反，木马要达到的是“偷窃”性的远程控制，如果没有很强的隐蔽性的话，那就是“毫无价值”的。
起源传说/木马
木马木马（Trojan）这个名字来源于传说，它是指通过一段特定的程序（木马程序）来控制另一台计算机。木马通常有两个：一个是客户端，即控制端，另一个是服务端，即被控制端。木马的设计者为了防止木马被发现，而采用多种手段隐藏木马。木马的服务一旦运行并被控制端连接，其控制端将享有服务端的大部分操作权限，例如给计算机增加，浏览、移动、复制、删除文件，修改，更改计算机配置等。随着病毒编写技术的发展，木马程序对用户的威胁越来越大，尤其是一些木马程序采用了极其狡猾的手段来隐蔽自己，使普通用户很难在中毒后发觉。 特洛伊木马：木马全称为（Trojan Horse）。 “特洛伊木马”这一词最早出先在传说中。相传在3000年前，在一次希腊战争中。（人名）派兵讨伐（王国），但久攻不下。他们想出了一个主意：首先他们假装被打败，然后留下一个木马。而木马里面却藏着最强悍的勇士！最后等时间一到，木马里的勇士全部冲出来把敌人打败了！
运行原理/木马
木马一、基础知识一个完整的木马系统由部分，软件部分和具体连接部分组成。 (1)硬件部分：建立木马连接所必须的硬件实体。 控制端：对服务端进行远程控制的一方。 服务端：被控制端远程控制的一方。 INTERNET：控制端对服务端进行远程控制，传输的网络载体。 (2)软件部分：实现远程控制所必须的软件程序。 控制端程序：控制端用以远程控制服务端的程序。 木马：潜入服务端内部，获取其操作权限的程序。 木马配置程序：设置木马程序的端口号，触发条件，木马名称等，使其在服务端藏得更隐蔽的程序。 (3)具体连接部分：通过INTERNET在服务端和控制端之间建立一条木马通道所必须的元素。 控制端，服务端IP：即控制端，服务端的网络地址，也是木马进行数据传输的目的地。 控制端端口，木马端口：即控制端，服务端的数据入口，通过这个入口，数据可直达控制端程序或木马程序。配置木马一般来说一个设计成熟的木马都有木马配置程序，从具体的配置内容看，主要是为了实现以下两方面功能： (1)木马伪装：木马配置程序为了在服务端尽可能的好的隐藏木马，会采用多种伪装手段，如修改图标 ，捆绑文件，定制端口，自我销毁等。(2)信息反馈：木马配置程序将就信息反馈的方式或地址进行设置，如设置信息反馈的邮件地址，IRC号 ，ICO号等等。二、传播木马木马(1)传播方式: 木马的传播方式主要有两种：一种是通过，控制端将木马程序以附件的形式夹在邮件中发送出去，收信人只要打开附件系统就会感染木马；另一种是软件下载，一些非正规的网站以提供软件下载为名义，将木马捆绑在软件安装程序上，下载后，只要一运行这些程序，木马就会自动安装。 (2)伪装方式:鉴于木马的危害性，很多人对木马知识还是有一定了解的，这对木马的传播起了一定的抑制作用，这是木马设计者所不愿见到的，因此他们开发了多种功能来伪装木马，以达到降低用户警觉，欺骗用户的目的。 (一)修改图标当你在E-MAIL的附件中看到这个图标时，是否会认为这是个文本文件呢?但是我不得不告诉你，这也有可能是个木马程序，现在已经有木马可以将木马服务端程序的图标改成HTML，TXT，ZIP等各种文件的图标，这有相当大的迷惑性，但是目前提供这种功能的木马还不多见，并且这种伪装也不是无懈可击的，所以不必整天提心吊胆，疑神疑鬼的。 (二)捆绑文件这种伪装手段是将木马捆绑到一个上，当安装程序运行时，木马在用户毫无察觉的情况下，偷偷的进入了系统。至于被捆绑的文件一般是可执行文件(即EXE，COM一类的文件)。 (三)出错显示有一定木马的人都知道，如果打开一个文件，没有任何反应，这很可能就是个木马程序，木马的设计者也意识到了这个缺陷，所以已经有木马提供了一个叫做出错显示的功能。当用户打开木马程序时，会弹出一个如下图所示的错误提示框(这当然是假的)，错误内容可自由定义，大多会定制成 一些诸如“文件已破坏，无法打开的！”之类的信息，当服务端用户信以 为真时，木马却悄悄侵入了系统。 (四)定制端口很多老式的木马端口都是固定的，这给判断是否感染了木马带来了方便，只要查一下特定的端口就知道感染了什么木马，所以现在很多新式的木马都加入了定制端口的功能，控制端用户可以在1024---65535之间任选一个端口作为木马端口(一般不选1024以下的端口)，这样就给判断 所感染木马类型带来了麻烦。 (五)自我销毁这项功能是为了弥补木马的一个缺陷。我们知道当服务端用户打开含有木马的后，木马会将自己拷贝到WINDOWS的系统文件夹中(C：WINDOWS或C：WINDOWSSYSTEM目录下)，一般来说原木马文件和系统文件夹中的木马文件的大小是一样的(捆绑文件的木马除外)，那么中了木马的朋友只要在近来收到的信件和下载的软件中找到原木马文件，然后根据原木马的大小去系统 文件夹找相同大小的文件，判断一下哪个是木马就行了。而木马的自我销毁功能是指安装完木马后，原木马文件将自动销毁，这样服务端用户就很难找到木马的来源，在没有查杀木马的工 具帮助下，就很难删除木马了。 (六)木马更名安装到系统文件夹中的木马的文件名一般是固定的，那么只要根据一些查杀木马的文章，按图索骥在系统文件夹查找特定的文件，就可以断定中了什么木马。所以现在有很多木马都允许控制端用户自由定制安装后的木马文件名，这样很难判断所感染的木马类型了。 三.运行木马木马服务端用户运行木马或捆绑木马的程序后，木马就会自动进行安装。首先将自身拷贝到WINDOWS的 系统文件夹中(C:WINDOWS或C:WINDOWSSYSTEM目录下)，然后在注册表，启动组，非启动组中设置好木马 的触发条件 ，这样木马的安装就完成了。安装后就可以启动木马了。(1)由触发条件激活木马触发条件是指启动木马的条件，大致出现在下面八个地方: 1.：打开HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersion下的五个以Run 和RunServices主键，在其中寻找可能是启动木马的键值。 2.WIN.INI：C:WINDOWS目录下有一个配置文件win.ini，用文本方式打开，在[windows]字段中有启动 命令 load=和run=，在一般情况下是空白的，如果有启动程序，可能是木马。 3.SYSTEM.INI：C:WINDOWS目录下有个配置文件system.ini，用文本方式打开，在[386Enh]，[mic]， [drivers32]中有命令行，在其中寻找木马的启动命令。4.Autoexec.bat和Config.sys:在C盘根下的这两个文件也可以启动木马。但这种加载方式一般都 需要控制端用户与服务端建立连接后，将已添加木马启动命令的同名 文件上传 到服务端覆盖这两个文件才行。 5.*.INI：即应用程序的启动配置文件，利用这些文件能启动程序的特点，将制作好的带有木马 启动命令的同名文件上传到服务端覆盖这同名文件，这样就可以达到启动木马的目的了。 6.注册表：HKEY_CLASSES_ROOT文件类型\shellopencommand主键，查看其键值。举个例子，国产木马“”就是修改HKEY_CLASSES_ROOT xtfileshellopencommand下的键值，将“C :WINDOWS NOTEPAD.EXE %1”改为“C:WINDOWSSYSTEMSYXXXPLR.EXE %1”，这时你双 击一个TXT文件 后，原本应用NOTEPAD打开文件的，现在却变成启动木马程序了。还要说明 的是不光是TXT文件 ，通过修改HTML，EXE，ZIP等文件的启动命令的键值都可以启动木马 ，不同之处只在于“文件类型”这个主键的差别，TXT是txtfile，ZIP是WINZIP，大家可以 试着去找一下。 7.捆绑文件：实现这种触发条件首先要控制端和服务端已通过木马建立连接，然后控制端用户用工具 软件将木马文件和某一应用程序捆绑在一起，然后上传到服务端，这样即使 木马被删 除了，只要运行捆绑了木马的应用程序，木马又会被安装上去了。 8.启动：在“开始---程序---启动”选项下也可能有木马的触发条件。(2)木马运行过程木马被激活后，进入内存，并开启事先定义的木马端口，准备与控制端建立连接。这时服务端用 户可以在MS-DOS方式下，键入NETSTAT -AN查看端口状态，一般个人电脑在脱机状态下是不会有端口 开放的，如果有端口开放，你就要注意是否感染木马了。下面是感染木马后，用NETSTAT命令查 看端口的两个实例： 其中①是服务端与控制端建立连接时的显示状态，②是服务端与控制端还未建立连接时的显示状态。 在上网过程中要下载软件，发送信件，网上聊天等必然打开一些端口，下面是一些常用的端口： (1)1---1024之间的端口：这些端口叫保留端口，是专给一些对外通讯的程序用的，如FTP使用21，SMTP使用25，POP3使用110等。只有很少木马会用保留端口作为木马端口的。 (2)1025以上的连续端口：在上网浏览网站时，浏览器会打开多个连续的端口下载文字，图片到本地 硬盘上，这些端口都是1025以上的连续。 (3)4000端口：这是OICQ的通讯端口。 (4)6667端口：这是IRC的通讯端口。 除上述的端口基本可以排除在外，如发现还有其它端口打开，尤其是数值比较大的端口，那就要怀疑 是否感染了木马，当然如果木马有定制端口的功能，那任何端口都有可能是木马端口。 四.信息泄露木马一般来说，设计成熟的木马都有一个信息反馈机制。所谓信息反馈机制是指木马成功安装后会收集 一些服务端的软硬件信息，并通过E-MAIL，IRC或的方式告知控制端用户。 从反馈信息中控制端可以知道服务端的一些软硬件信息，包括使用的操作系统，系统目录，分区况， 系统口令等，在这些信息中，最重要的是服务端IP，因为只有得到这个参数，控制端才能与服务端建立 连接，具体的连接方法我们会在下一节中讲解。 五.建立连接一个木马连接的建立首先必须满足两个条件：一是服务端已安装了木马程序；二是控制端，服务端都要在线 。在此基础上控制端可以通过木马端口与服务端建立连接。假设A机为控制端，B机为服务端，对于A机来说要与B机建立连接必须知道B机的木马端口和IP地 址，由于木马端口是A机事先设定的，为已知项，所以最重要的是如何获得B机的IP地址。获得B机的IP地址的方法主要有两种：反馈和IP扫描。因为B机装有木马程序，所以它的木马端口7626是处于开放状态的，所以现在A机只 要扫描IP地址段中7626端口开放的主机就行了，例如图中B机的IP地址是202.102.47.56，当A机扫描到 这个IP时发现它的7626端口是开放的，那么这个IP就会被添加到列表中，这时A机就可以通过木马的控 制端程序向B机发出连接信号，B机中的木马程序收到信号后立即作出响应，当A机收到响应的信号后，开启一个随即端口1031与B机的木马端口7626建立连接，到这时一个木马连接才算真正建立。值得一提 的要扫描整个IP地址段显然费时费力，一般来说控制端都是先通过信息反馈获得服务端的IP地址，由于 拨号上网的IP是动态的，即用户每次的IP都是不同的，但是这个IP是在一定范围内变动的，如图中 B机的IP是202.102.47.56，那么B机上网IP的变动范围是在202.102.000.000---202.102.255.255，所以 每次控制端只要搜索这个IP地址段就可以找到B机了。 六.远程控制木马木马连接建立后，控制端端口和木马端口之间将会出现一条通道。控制端上的控制端程序可藉这条通道与服务端上的木马程序取得联系，并通过木马程序对服务端进行远程控制。(1)窃取：一切以明文的形式，*形式或缓存在CACHE中的密码都能被木马侦测到，此外很多木马还 提供有击键记录功能，它将会记录服务端每次敲击键盘的动作，所以一旦有木马入侵， 密码将很容易被窃取。(2)文件操作：控制端可藉由远程控制对服务端上的文件进行删除，新建，修改，上传，下载，运行，更改属 性等一系列操作，基本涵盖了WINDOWS平台上所有的文件操作功能。 (3)修改注册表：控制端可任意修改服务端注册表，包括删除，新建或修改主键，子键，键值。有了这 项功能控制端就可以禁止服务端软驱，的使用，锁住服务端的注册表，将服务端 上木马的触发条件设置得更隐蔽的一系列高级操作。 (4)系统操作：这项内容包括重启或关闭服务端操作系统，断开服务端网络连接，控制服务端的，键盘，监视服务端桌面操作，查看服务端进程等，控制端甚至可以随时给服务端发送信息，想象一下，当服务端的桌面上突然跳出一段话，不吓人一跳才怪。
病毒种类/木马
木马1、破坏型 惟一的功能就是破坏并且删除文件，可以自动的删除电脑上的、INI、EXE文件。2、密码发送型可以找到隐藏密码并把它们发送到指定的信箱。有人喜欢把自己的各种密码以文件的形式存放在计算机中，认为这样方便；还有人喜欢用WINDOWS提供的密码记忆功能，这样就可以不必每次都输入密码了。许多黑客软件可以寻找到这些文件，把它们送到黑客手中。也有些软件长期潜伏，记录操作者的键盘操作，从中寻找有用的密码。在这里提醒一下，不要认为自己在文档中加了密码而把重要的保密文件存在公用计算机中，那你就大错特错了。别有用心的人完全可以用穷举法暴力破译你的密码。利用WINDOWS API和对当前运行的所有程序的所有窗口（包括控件）进行遍历，通过窗口标题查找密码输入和出确认重新输入窗口，通过按钮标题查找我们应该单击的按钮，通过ES_PASSWORD查找我们需要键入的密码窗口。向密码输入窗口发送WM_SETTEXT消息模拟输入密码，向按钮窗口发送消息模拟单击。在破解过程中，把密码保存在一个文件中，以便在下一个序列的密码再次进行穷举或多部机器同时进行分工穷举，直到找到密码为止。此类程序在黑客网站上唾手可得，精通程序设计的人，完全可以自编一个。3、远程访问型最广泛的是特洛伊马，只需有人运行了服务端程序，如果客户知道了服务端的IP地址，就可以实现远程控制。以下的程序可以实现观察“害者”正在干什么，当然这个程序完全可以用在正道上的，比如监视学生机的操作。程序中用的UDP（User Datagram Protocol，用户报文协议）是因特网上广泛采用的通信协议之一。与TCP协议不同，它是一种非连接的传输协议，没有确认机制，可靠性不如TCP，但它的效率却比TCP高，用于远程屏幕监视还是比较适合的。它不区分服务器端和客户端，只区分发送端和接收端，编程上较为简单，故选用了UDP协议。本程序中用了DELPHI提供的TNMUDP控件。4.键盘记录木马这种特洛伊木马是非常简单的。它们只做一件事情，就是记录受害者的键盘敲击并且在LOG文件里查找密码。据笔者经验，这种特洛伊木马随着Windows的启动而启动。它们有在线和离线记录这样的选项，顾名思义，它们分别记录你在线和离线状态下敲击键盘时的按键情况。也就是说你按过什么按键，下木马的人都知道，从这些按键中他很容易就会得到你的密码等有用信息，甚至是你的信用卡账号哦!当然，对于这种类型的木马，邮件发送功能也是必不可少的。5.DoS攻击木马木马随着DoS攻击越来越广泛的应用，被用作DoS攻击的木马也越来越流行起来。当你入侵了一台，给他种上DoS攻击木马，那么日后这台计算机就成为你DoS攻击的最得力助手了。你控制的肉鸡数量越多，你发动DoS攻击取得成功的机率就越大。所以，这种木马的危害不是体现在被感染计算机上，而是体现在攻击者可以利用它来攻击一台又一台计算机，给网络造成很大的伤害和带来损失。还有一种类似DoS的木马叫做邮件炸弹木马，一旦机器被感染，木马就会随机生成各种各样主题的信件，对特定的邮箱不停地发送邮件，一直到对方瘫痪、不能接受邮件为止。6.代理木马黑客在入侵的同时掩盖自己的足迹，谨防别人发现自己的身份是非常重要的，因此，给被控制的肉鸡种上代理木马，让其变成攻击者发动攻击的跳板就是代理木马最重要的任务。通过，攻击者可以在匿名的情况下使用Telnet，ICQ，IRC等程序，从而隐蔽自己的踪迹。7.FTP木马这种木马可能是最简单和古老的木马了，它的惟一功能就是打开，等待用户连接。现在新FTP木马还加上了密码功能，这样，只有攻击者本人才知道正确的密码，从而进人对方计算机。8.木马上面的木马功能虽然形形色色，不过到了对方机器上要发挥自己的作用，还要过防木马软件这一关才行。常见的防木马软件有ZoneAlarm，Norton Anti-Virus等。程序杀手木马的功能就是关闭对方机器上运行的这类程序，让其他的木马更好地发挥作用。9.木马是木马开发者在分析了防火墙的特性后发现:防火墙对于连入的链接往往会进行非常严格的过滤，但是对于连出的却疏于防范。于是，与一般的木马相反，反弹端口型木马的服务端 (被控制端)使用主动端口，客户端 (控制端)使用被动端口。木马定时监测控制端的存在，发现控制端上线立即弹出端口主动连结控制端打开的主动端口;为了隐蔽起见，控制端的被动端口一般开在80，即使用户使用扫描软件检查自己的端口，发现类似TCP UserIP:1026 ControllerIP:80ESTABLISHED的情况，稍微疏忽一点，你就会以为是自己在浏览网页。
启动方式/木马
木马作为一个优秀的木马，自启动功能是必不可少的，这样可以保证木马不会因为你的一次关机操作而彻底失去作用。正因为该项技术如此重要，所以，很多人员都在不停地研究和探索新的自启动技术，并且时常有新的发现。一个典型的例子就是把木马加入到用户经常执行的程序 (例如explorer.exe)中，用户执行该程序时，则木马自动发生作用。当然，更加普遍的方法是通过修改Windows系统文件和注册表达到目的，现经常用的方法主要有以下几种:1.在Win.ini中启动在Win.ini的[windows]字段中有启动命令"load＝"和"run＝"，在一般情况下 "＝"后面是空白的，如果有后跟程序，比方说是这个样子：run=c:\windows\file.exe load=c:\windows\file.exe要小心了，这个file.exe很可能是木马哦。2.在System.ini中启动System.ini位于Windows的安装目录下，其[boot]字段的shell=Explorer.exe是木马喜欢的隐藏加载之所，木马通常的做法是将该何变为这样:shell=Explorer.exefile.exe。注意这里的file.exe就是木马服务端程序！另外，在System.中的[386Enh]字段，要注意检查在此段内的"driver＝路径\程序名"这里也有可能被木马所利用。再有，在System.ini中的[mic]、[drivers]、[drivers32]这3个字段，这些段也是起到加载驱动程序的作用，但也是增添木马程序的好场所，现在你该知道也要注意这里喽。3.利用注册表加载运行4.在Autoexec.bat和Config.sys中加载运行木马在C盘根目录下的这两个文件也可以启动木马。但这种加载方式一般都需要控制端用户与服务端建立连接后，将己添加木马启动命令的同名文件上传到服务端覆盖这两个文件才行，而且采用这种方式不是很隐蔽。容易被发现，所以在Autoexec.bat和Confings中加载木马程序的并不多见，但也不能因此而掉以轻心。5.在Winstart.bat中启动Winstart.bat是一个特殊性丝毫不亚于Autoexec.bat的批处理文件，也是一个能自动被Windows加载运行的文件。它多数情况下为应用程序及Windows自动生成，在执行了Windows自动生成，在执行了Win.com并加截了多数之后开始执行 (这一点可通过启动时按F8键再选择逐步跟踪启动过程的启动方式可得知)。由于Autoexec.bat的功能可以由Witart.bat代替完成，因此木马完全可以像在Autoexec.bat中那样被加载运行，危险由此而来。6.启动组木马们如果隐藏在启动组虽然不是十分隐蔽，但这里的确是自动加载运行的好场所，因此还是有木马喜欢在这里驻留的。启动组对应的文件夹为C:\Windows\start menu\programs\startup，在注册表中的位置:HKEY_CURRENT_USER\Software\Microsoft\windows\CurrentVersion\Explorer\shellFolders Startup="c:\windows\start menu\programs\startup"。要注意经常检查启动组哦！7.*.INI即应用程序的启动配置文件，控制端利用这些文件能启动程序的特点，将制作好的带有木马启动命令的同名文件上传到服务端覆盖这同名文件，这样就可以达到启动木马的目的了。只启动一次的方式:在winint.ini.中(用于安装较多)。8.修改文件关联修改文件关联是木马们常用手段 (主要是国产木马，老外的木马大都没有这个功能)，比方说正常情况下TXT文件的打开方式为Notepad.EXE文件，但一旦中了文件关联木马，则txt文件打开方式就会被修改为用木马程序打开，如著名的国产木马冰河就是这样干的. "冰河"就是通过修改HKEY_CLASSES_ROOT\txtfile\whell\open\command下的键值，将“C:\WINDOWS\NOTEPAD.EXE本应用Notepad打开，如著名的国产HKEY一CLASSES一ROOT\txt闹e\shell\open\commandT的键值，将 "C:\WINDOWS\NOTEPAD.EXE%l"改为 "C:\WINDOWS\SYSTEM\%l"，这样，一旦你双击一个TXT文件，原本应用Notepad打开该文件，现在却变成启动木马程序了，好狠毒哦!请大家注意，不仅仅是TXT文件，其他诸如HTM、EXE、ZIP.COM等都是木马的目标，要小心搂。对付这类木马，只能经常检查HKEY_C\shell\open\command主键，查看其键值是否正常。9.捆绑文件木马实现这种触发条件首先要控制端和服务端已通过木马建立连接，然后控制端用户用工具软件将木马文件和某一应用程序捆绑在一起，然后上传到服务端覆盖源文件，这样即使木马被删除了，只要运行捆绑了木马的应用程序，木马义会安装上去。绑定到某一应用程序中，如绑定到系统文件，那么每一次Windows启动均会启动木马。10.反弹端口型木马的主动连接方式反弹端口型木马我们已经在前面说过了，由于它与一般的木马相反，其服务端 (被控制端)主动与客户端 (控制端)建立连接，并且监听端口一般开在80，所以如果没有合适的工具、丰富的经验真的很难防范。这类木马的典型代表就是“网络神偷”。由于这类木马仍然要在注册表中建立键值注册表的变化就不难查到它们。同时，最新的天网防火墙(如我们在第三点中所讲的那样)，因此只要留意也可在网络神偷服务端进行主动连接时发现它。
防范方法/木马
木马随着病毒编写技术的发展，木马程序对用户的威胁越来越大，尤其是一些木马程序采用了极其狡猾的手段来隐蔽自己，使普通用户很难在中毒后发觉。防治木马的危害，应该采取以下措施：第一，安装杀毒软件和个人，并及时升级。第二，把个人防火墙设置好安全等级，防止未知程序向外传送数据。第三，可以考虑使用安全性比较好的浏览器和电子邮件客户端工具。第四，如果使用，应该安装卡卡安全助手，防止恶意网站在自己电脑上安装不明软件和浏览器插件，以免被木马趁机侵入。
专杀方法/木马
木马远程控制的木马有：冰河（国人的骄傲，中国第一款木马），灰鸽子，上兴，，网络神偷，FLUX等。专杀方法1.加密法常用的是MS的源码加密工具screnc.exe。优点：见效明显，一般的有害代码用工具加密后，可以存在于服务器，发挥源有功能，缺点：代码经过加密后为不可识别字符，可就是常说的不可逆。2.大小写转换把被杀程序的代码大小写稍做转换，对aspx马免杀很有效果3.浑水摸鱼法如把：fso写成“f”&vbs&“s”&vbs&“o”，运行的结果一样，却达到了免杀的目的。4.图片法或者组合法把asp木马的代码保存为.jpg，引用，或把asp木马的很多代码分别分配到1.asp，2.asp，3.asp.....，再通过#include合并起来，可逃过and条件的杀毒软件5.移位，逆位，添零法属于加密形式6.asp结构特征法在程序开头和结尾加上图片数据库之类的特征码，改变本身结构。
藏身之地/木马
木马是一种基于远程控制的病毒程序，该程序具有很强的隐蔽性和危害性，它可以在人不知鬼不觉的状态下控制你或者监视你。下面就是木马潜伏的诡招，看了以后不要忘记采取绝招来对付这些损招。
1、集成到程序中
其实木马也是一个服务器――客户端程序，它为了不让用户能轻易地把它删除，就常常集成到程序里，一旦用户激活木马程序，那么木马文件和某一应用程序捆绑在一起，然后上传到服务端覆盖原文件，这样即使木马被删除了，只要运行捆绑了木马的应用程序，木马又会被安装上去了。绑定到某一应用程序中，如绑定到系统文件，那么每一次Windows启动均会启动木马。
2、隐藏在配置文件中
木马实在是太狡猾，知道菜鸟们平时使用的是图形化界面的操作系统，对于那些已经不太重要的配置文件大多数是不闻不问了，这正好给木马提供了一个藏身之处。而且利用配置文件的特殊作用，木马很容易就能在大家的计算机中运行、发作，从而偷窥或者监视大家。不过，这种方式不是很隐蔽，容易被发现，所以在Autoexec.bat和Config.sys中加载木马程序的并不多见，但也不能因此而掉以轻心。
3、潜伏在Win.ini中
木马要想达到控制或者监视计算机的目的，必须要运行，然而没有人会傻到自己在自己的计算机中运行这个该死的木马。当然，木马也早有心理准备，知道人类是高智商的动物，不会帮助它工作的，因此它必须找一个既安全又能在系统启动时自动运行的地方，于是潜伏在Win.ini中是木马感觉比较惬意的地方。大家不妨打开Win.ini来看看，在它的[windows]字段中有启动命令“load=”和“run=”，在一般情况下“=”后面是空白的，如果有后跟程序，比方说是这个样子：run=c：windowsfile.&Exeload=c：windowsfile.exe。这时你就要小心了，这个file.exe很可能是木马。
4、伪装在普通文件中
这个方法出现的比较晚，不过很流行，对于不熟练的windows操作者，很容易上当。具体方法是把可执行文件伪装成图片或文本——在程序中把图标改成Windows的默认图片图标，再把文件名改为*.jpg.exe，由于Win98默认设置是“不显示已知的文件后缀名”，文件将会显示为*.jpg，不注意的人一点这个图标就中木马了（如果你在程序中嵌一张图片就更完美了）。
5、内置到注册表中
上面的方法让木马着实舒服了一阵，既没有人能找到它，又能自动运行，真是快哉！然而好景不长，人类很快就把它的马脚揪了出来，并对它进行了严厉的惩罚！但是它还心有不甘，总结了失败教训后，认为上面的藏身之处很容易找，注册表！的确注册表由于比较复杂，木马常常喜欢藏在这里快活，赶快检查一下，有什么程序在其下，睁大眼睛仔细看了，别放过木马：
HKEY_LOCAL_MACHINE\Software\Microsof\tWindows\CurrentVersion\&下所有以“run”开头的键值；&HKEY_CURRENT_USER\Software\Microsof\tWindows\CurrentVersion\&下所有以“run”开头的键值；&HKEY-USERS\.Default\Software\Microsoft\Windows\CurrentVersion\&下所有以“run”开头的键值。
6、在驱动程序中藏身
木马真是无处不在呀！什么地方有空子，它就往哪里钻！这不，Windows安装目录下的System.ini也是木马喜欢隐蔽的地方。还是小心点，打开这个文件看看，它与正常文件有什么不同，在该文件的[boot]字段中，是不是有这样的内容，那就是shell=Explorer.exe&file.exe，如果确实有这样的内容，那你就不幸了，因为这里的file.exe就是木马服务端程序！另外，在System.ini中的[386Enh]字段，要注意检查在此段内的“driver=路径程序名”，这里也有可能被木马所利用。再有，在System.ini中的[mic]、[drivers]、[drivers32]这三个字段，这些段也是起到加载驱动程序的作用，但也是增添木马程序的好场所，你该知道也要注意这里。
7、隐形于启动组中
有时木马并不在乎自己的行踪，它更注意的是能否自动加载到系统中，因为一旦木马加载到系统中，任你用什么方法你都无法将它赶跑（哎，这木马脸皮也真是太厚），因此按照这个逻辑，启动组也是木马可以藏身的好地方，因为这里的确是自动加载运行的好场所。假设启动组对应的文件夹为：
C:\windows\startmenu\programs\startup
在注册表中的位置：
HKEY_CURRENT_USER\Softwar\eMicrosoft\Windows\&CurrentVersio\nExplorer\ShellFolders\Startup=&“C：windows\startmenu\programs\startup”
要注意经常检查启动组。
8、在Winstart.bat中
按照上面的逻辑理论，凡是利于木马能自动加载的地方，木马都喜欢待。这不，Winstart.bat也是一个能自动被Windows加载运行的文件，它多数情况下为应用程序及Windows自动生成，在执行了Win.&com并加载了多数驱动程序之后开始执行（这一点可通过启动时按F8键再选择逐步跟踪启动过程的启动方式可得知）。由于Autoexec.bat的功能可以由Winstart.bat代替完成，因此木马完全可以像在Autoexec.bat中那样被加载运行，危险由此而来。
9、捆绑在启动文件中
即应用程序的启动配置文件，控制端利用这些文件能启动程序的特点，将制作好的带有木马启动命令的同名文件上传到服务端覆盖这同名文件，这样就可以达到启动木马的目的了。
10、设置在超级连接中
木马的主人在网页上放置恶意代码，引诱用户点击，用户点击的结果不言而喻：开门揖盗！奉劝不要随便点击网页上的链接，除非你了解它，信任它。
危害网站/木马
恶意程序破坏网站
页面中的木马主要指的就是利用网站建设的安全漏洞来窃取网站机密的工具。其通过执行嵌入在网页HTML超文本标记语言内的Java&Applet小应用程序，JavaScript脚本语言程序，ActiveX软件部件网络交互技术支持可自动执行的代码程序，以强行修改用户操作系统的注册表设置及系统实用配置程序，或非法控制系统资源盗取用户文件，或恶意删除硬盘文件、格式化硬盘为行为目标的非法恶意程序。这种非法恶意程序能够得以被自动执行，在于它完全不受用户的控制。一旦浏览含有该病毒的网页，即可以在你不知不觉的情况下马上中招，给用户的系统带来一般性的、轻度性的、严重恶性等不同程度的破坏。
下载存在漏洞
网站建设中一旦被发现有木马的痕迹，主要原因就是在其它站点下载所致，目前国内的大多数中小网站都是从网络上下载的免费系统建成的，这些系统在设计的时候存在或多或少的安全漏洞，如动网和动易以前都存在过上传漏洞，导致骇客可以上传木马至网站，轻易获得管理权限。同时Win2003本身也存在设计缺陷，如前段时间出现的新漏洞：“IIS6&目录检查漏洞”。
伪装方式/木马
鉴于木马病毒的危害性，很多人对木马知识还是有一定了解的，这对木马的传播起了一定的抑制作用，这&是木马设计者所不愿见到的，因此他们开发了多种功能来伪装木马，以达到降低用户警觉，欺骗用户的目的。
当你在E-MAIL的附件中看到这个图标时，是否会认为这是个文本文件呢?但是我不得不告&诉你,这也有可能是个木马程序，&已经有木马可以将木马服务端程序的图标改成HTML,TXT,ZIP等各种文件的图标，这有相当大的迷&惑性，但是提供这种功能的木马还不多见，并且这种&伪装也不是无懈可击的，所以不必整天提心吊胆，疑神疑鬼的。
这种伪装手段是将木马捆绑到一个安装程序上，当安装程序运行时，木马在用户毫无察觉的情况下，偷偷的进入了系统。至于被捆绑的文件一般是可执行文件（即EXE,COM一类的文件）。
有一定木马知识的人都知道，如果打开一个文件，没有任何反应，这很可能就是个木马程序，木马的设计者也意识到了这个缺陷，所以已经有木马提供了一个叫做出错显示的功能。当服务端用户打开木马程序时，会弹出一个错误提示框（这当然是假的），错误内容可自由&定义，大多会定制成&一些诸如“文件已破坏，无法打开的！”之类的信息，当服务端用户信以&为真时，木马却悄悄侵入了系统。
很多老式的木马端口都是固定的，这给判断是否感染了木马带来了方便，只要查一下特定的&端口就&知道感染了什么木马，所以很多新式的木马都加入了定制端口的功能，控制端用户可&以在1024---65535之间任选一个端口作为木马端口（一般不选1024以下的端口），这样就给判断&所感染木马类型带&来了麻烦。
这项功能是为了弥补木马的一个缺陷。我们知道当服务端用户打开含有木马的文件后，木马会将自己拷贝到WINDOWS的系统文件夹中（C:WINDOWS或C:WINDOWSSYSTEM目录下），一般来说&原木马文件&和系统文件夹中的木马文件的大小是一样的（捆绑文件的木马除外），那么中了木马&的朋友只要在收到的信件和下载的软件中找到原木马文件，然后根据原木马的大小去系统&文件夹找相同大小的文件，判断一下哪个是木马就行了。而木马的自我销毁功能是指安装完木马后，原木马文件将自动销毁，这样服务端用户就很难找到木马的来源，在没有查杀木马的工&具帮助下，就很难删除木马了。
安装到系统文件夹中的木马的文件名一般是固定的，那么只要根据一些查杀木马的文章，按&图索骥在系统文件夹查找特定的文件，就可以断定中了什么木马。所以有很多木马都允许控&制端用户自由定制安装后的木马文件名，这样很难判断所感染的木马类型了。
相关案例/木马
因好莱坞大片《特洛伊》而一举成名的“木马”（Trojan），在互联网时代让无数网民深受其害。无论是“网购”、“网银”还是“网游”的账户密码，只要与钱有关的网络交易，都是当下木马攻击的重灾区，用户稍有不慎极有可能遭受重大钱财损失甚至隐私被窃。以下列举一些案例。
No1：“支付大盗”“支付大盗”木马出现在百度搜索结果首位
日，一款名为“支付大盗”的新型网购木马被发现。木马网站利用百度排名机制伪装为“阿里旺旺官网”，诱骗网友下载运行木马，再暗中劫持受害者网上支付资金，把付款对象篡改为黑客账户。
No2：“新鬼影”
“新鬼影”借《江南Style》疯传。
火遍全球的《江南Style》很不幸被一种名为“新鬼影”的木马盯上了。此木马主要寄生在硬盘MBR（主引导扇区）中，如果用户电脑没有开启安全软件防护，中招后无论重装系统还是格式化硬盘，都无法将其彻底清除干净。
No3：“图片大盗”
“图片大盗”最爱私密照。
绝大多数网民都有一个困惑，为什么自己电脑中的私密照会莫名其妙的出现在网上。“图片大盗”木马运行后会全盘扫描搜集JPG、PNG格式图片，并筛选大小在100KB到2MB之间的文件，暗中将其发送到黑客服务器上，对受害者隐私造成严重危害。
No4：“浮云”
“浮云”木马震惊全国。
盗取网民钱财高达千万元的“浮云”成为了2012年度震惊全国的木马。首先诱骗网民支付一笔小额假订单，却在后台执行另外一个高额定单，用户确认后，高额转账资金就会进入黑客的账户。该木马可以对20多家银行的网上交易系统实施盗窃
No5：“黏虫”
“黏虫”木马专盗QQ。
“黏虫”木马制造的虚假QQ登录框
“QQ黏虫”在2011年度就被业界评为十大高危木马之一，2012年该木马变种卷土重来，伪装成QQ登录框窃取用户QQ帐号及密码。值得警惕的是不法分子盗窃QQ后，除了窃取帐号关联的虚拟财产外，还有可能假冒身份向被害者的亲友借钱。
No6：“怪鱼”
“怪鱼”木马袭击微博。
2012年十一长假刚刚结束，一种名为“怪鱼”的新型木马开始肆虐网络。该木马充分利用了新兴的社交网络，在中招电脑上自动登录受害者微博帐号，发布虚假中奖等钓鱼网站链接，绝对是2012年最具欺骗性的钓鱼攻击方式之一。
No7：“打印机木马”
“打印机木马”疯狂消耗纸张。
打印机木马病毒疯狂打印纸张
2012年6月，号称史上最不环保的“打印机木马”（Trojan.Milicenso）现身，美国、印度、北欧等地区大批企业电脑中招，导致数千台打印机疯狂打印毫无意义的内容，直到耗完纸张或强行关闭打印机才会停止。
No8：“网银刺客”
“网银刺客”木马暗算多家网银。
2012年“3.15”期间大名鼎鼎的“网银刺客”木马开始大规模爆发，该木马恶意利用某截图软件，把正当合法软件作为自身保护伞，从而避开了不少杀毒软件的监控。运行后会暗中劫持网银支付资金，影响十余家主流网上银行。
No9：“遥控弹窗机”
“遥控弹窗机”木马爱上偷菜。
“遥控弹窗机”是一款伪装成“QQ农牧餐大师”等游戏外挂的恶意木马，运行后会劫持正常的QQ弹窗，不断弹出大量低俗页面及网购钓鱼弹窗，并暗中与黑客服务器连接，随时获取更新指令，使受害者面临网络帐号被盗、个人隐私泄露的危险。
No10：“Q币木马”
“Q币木马”元旦来袭。
新年历来是木马病毒活跃的高峰期，2012元旦爆发的“Q币木马”令不少网民深受其害。该木马伪造“元旦五折充值Q币”的虚假QQ弹窗，诱骗中招用户在Q币充值页面上进行支付，充值对象则被木马篡改为黑客的QQ号码，相当于掏钱替黑客买Q币。
No11:&“修改中奖号码”
2009年6月，深圳一起涉及3305万元的福利彩票诈骗案成了社会关注的焦点，深圳市某技术公司软件开发工程师程某，利用在深圳福彩中心实施技术合作项目的机会，通过木马程序，攻击了存储福彩信息的数据库，并进一步进行了篡改彩票中奖数据的恶意行为，以期达到其牟取非法利益的目的。
攻击木马/木马
随着DOS攻击越来越广泛的应用，被用作DOS攻击的木马也越来越流行起来。当你入侵了一台机器，给他种上DOS攻击木马，那么日后这台计算机就成为你DOS攻击的最得力助手了。你控制的肉鸡数量越多，你发动DOS攻击取得成功的机率就越大。所以，这种木马的危害不是体现在被感染计算机上，而是体现在攻击者可以利用它来攻击一台又一台计算机，给网络造成很大的伤害和带来损失。还有一种类似DOS的木马叫做邮件炸弹木马，一旦机器被感染，木马就会随机生成各种各样主题的信件，对特定的邮箱不停地发送邮件，一直到对方瘫痪、不能接受邮件为止。
&|&相关影像
互动百科的词条（含所附图片）系由网友上传，如果涉嫌侵权，请与客服联系，我们将按照法律之相关规定及时进行处理。未经许可，禁止商业网站等复制、抓取本站内容；合理使用者，请注明来源于www.baike.com。
登录后使用互动百科的服务，将会得到个性化的提示和帮助，还有机会和专业认证智愿者沟通。
此词条还可添加&
编辑次数：28次
参与编辑人数：20位
最近更新时间： 02:22:05
贡献光荣榜
扫码下载APP