『壹』 如何判斷電腦是否感染木馬病毒
電腦一旦感染病毒是比較難判斷的，有些病毒會潛伏在電腦了，過一段時間才回發作，但一般電腦要是中了病毒，就會使電腦的速度減慢，佔有大量系統資源，還有，就是主機箱上的硬碟指示燈，在沒有操作的情況下，會長時間的閃動，那就基本上可以肯定是有了病毒，在就是網路木馬，只要檢查一下你對外連接的埠就可以查出來，木馬進入電腦後，會開放一個埠，與外界進行連接，一般情況下，接入網路開放的埠是137、138和139埠，在就是一些軟體的埠，比如，訊雷默認埠是3077，其餘的埠在不使用的時候是不開放的，如果你發現有長時間開放的埠，那就是中了木馬。
木馬簡介前言
在我潛意識中說起「木馬」馬上就聯想到三國時期諸葛亮先生發明的木牛流馬，當初怎麼就想不通它與病毒扯上關系了。經過一番了解，原來它是借用了一個古希臘士兵藏在木馬中潛入敵方城市，從而一舉佔領敵方城市的故事，因為現在所講的木馬病毒侵入遠程主機的方式在戰略上與其攻城的方式一致。通個這樣的解釋相信大多數朋友對木馬入侵主機的方式所有領悟：它就是通過潛入你的電腦系統，通過種種隱蔽的方式在系統啟動時自動在後台執行的程序，以「里應外合」的工作方式，用伺服器/客戶端的通訊手段，達到當你上網時控制你的電腦，以竊取你的密碼、游覽你的硬碟資源，修改你的文件或注冊表、偷看你的郵件等等。
一旦你的電腦被它控制，則通常表現為藍屏然死機；CD-ROM莫名其妙地自己彈出；滑鼠左右鍵功能顛倒或者失靈或文件被刪除；時而死機，時而又重新啟動；在沒有執行什麼操作的時候，卻在拚命讀寫硬碟；系統莫明其妙地對軟碟機進行搜索；沒有運行大的程序，而系統的速度越來越慢，系統資源佔用很多；用 CTRL＋ALT＋DEL調出任務表，發現有多個名字相同的程序在運行，而且可能會隨時間的增加而增多等等。
不過要知道，即使發現了你的機器染上木馬病毒，也不必那麼害怕，因為木馬病毒與一般病毒在目的上有很大的區別，即使木馬運行了，也不一定會對你的機器造成危害。但肯定有壞處，你的上網密碼有可能已經跑到別人的收件箱里了，這樣黑客們就可以盜用你的上網賬號上網了！木馬程序也是病毒程序的一類，但更具體的被認為黑客程序，因為它入侵的目的是為發布這些木馬程序的人，即所謂的黑客服務的。
本文將就木馬的一些特徵、木馬入侵的一些常用手法及清除方法以及如何避免木馬的入侵以及幾款常見木馬程序的清除四個方面作一些綜合說明。
木馬的基本特徵
木馬是病毒的一種，同時木馬程序又有許多種不同的種類，那是受不同的人、不同時期開發來區別的，如BackOrifice(BO)、 BackOrifice2000、Netspy、Picture、Netbus、Asylum、冰河等等這些都屬於木馬病毒種類。綜合現在流行的木馬程序，它們都有以下基本特徵：
1、隱蔽性是其首要的特徵
如其它所有的病毒一樣，木馬也是一種病毒，它必需隱藏在你的系統之中，它會想盡一切辦法不讓你發現它。很多人的對木馬和遠程式控制制軟體有點分不清，因為我前面講了木馬程序就要通過木馬程序駐留目標機器後通過遠程式控制制功能控制目標機器。實際上他們兩者的最大區別就是在於這一點，舉個例子來說吧，象我們進行區域網間通訊的常軟體——PCanywhere大家一定不陌生吧，大家也知道它是一款遠程通訊軟體。PCanwhere在伺服器端運行時，客戶端與伺服器端連接成功後客戶端機上會出現很醒目的提示標志。而木馬類的軟體的伺服器端在運行的時候應用各種手段隱藏自己,不可能還出現什麼提示，這些黑客們早就想到了方方面面可能發生的跡象，把它們扼殺了。例如大家所熟悉木馬修改注冊表和ini文件以便機器在下一次啟動後仍能載入木馬程式，它不是自己生成一個啟動程序，而是依附在其它程序之中。有些把伺服器端和正常程序綁定成一個程序的軟體,叫做exe-binder綁定程式，可以讓人在使用綁定的程式時，木馬也入侵了系統，甚至有個別木馬程序能把它自身的exe文件和伺服器端的圖片文件綁定，在你看圖片的時候，木馬也侵入了你的系統。它的隱蔽性主要體現在以下兩個方面：
a、不產生圖標
它雖然在你系統啟動時會自動運行，但它不會在「任務欄」中產生一個圖標，這是容易理解的，不然的話，憑你的火眼金睛你一定會發現它的。我們知道要想在任務欄中隱藏圖標，只需要在木馬程序開發時把「Form」的「Visible 」屬性設置為「False」、把「ShowintaskBar」屬性設置為「Flase」即可；
b、木馬程序自動在任務管理器中隱藏，並以「系統服務」的方式欺騙操作系統。
2、它具有自動運行性
它是一個當你系統啟動時即自動運行的程序，所以它必需潛入在你的啟動配置文件中，如win.ini、system.ini、winstart.bat以及啟動組等文件之中。
3、木馬程序具有欺騙性
木馬程序要達到其長期隱蔽的目的，就必需藉助系統中已有的文件，以防被你發現，它經常使用的是常見的文件名或擴展名，如「dll\win\sys \explorer等字樣，或者仿製一些不易被人區別的文件名，如字母「l」與數字「1」、字母「o」與數字「0」，常修改基本個文件中的這些難以分辨的字元，更有甚者乾脆就借用系統文件中已有的文件名，只不過它保存在不同路徑之中。還有的木馬程序為了隱藏自己，也常把自己設置成一個ZIP文件式圖標，當你一不小心打開它時，它就馬上運行。等等這些手段那些編制木馬程序的人還在不斷地研究、發掘，總之是越來越隱蔽，越來越專業，所以有人稱木馬程序為「騙子程序」。
4、具備自動恢復功能
現在很多的木馬程序中的功能模塊已不再是由單一的文件組成，而是具有多重備份，可以相互恢復。
5、能自動打開特別的埠
木馬程序潛入人的電腦之中的目的不主要為了破壞你的系統，更是為了獲取你的系統中有用的信息，這樣就必需當你上網時能與遠端客戶進行通訊，這樣木馬程序就會用伺服器/客戶端的通訊手段把信息告訴黑客們，以便黑客們控制你的機器，或實施更加進一步入侵企圖。你知不知道你的電腦有多少個對外的「門」，不知道吧，告訴你別嚇著，根據TCP/IP協議，每台電腦可以有256乘以256扇門，也即從0到65535號「門，但我們常用的只有少數幾個，你想有這么門可以進，還能進不來？當然有門我們還是可以關上它們的，這我在預防木馬的辦法中將會講到。
6、 功能的特殊性
通常的木馬的功能都是十分特殊的，除了普通的文件操作以外，還有些木馬具有搜索cache中的口令、設置口令、掃描目標機器人的IP地址、進行鍵盤記錄、遠程注冊表的操作、以及鎖定滑鼠等功能,上面所講的遠程式控制制軟體的功能當然不會有的，畢竟遠程式控制制軟體是用來控制遠程機器，方便自己操作而已，而不是用來黑對方的機器的。
7、黑客組織趨於公開化
以往還從未發現有什麼公開化的病毒組織（也許是我孤陋寡聞），多數病毒是由個別人出於好奇（當然也有專門從事這一職業的），想試一下自己的病毒程序開發水平而做的，但他（她）絕對不敢公開，因為一旦發現是有可能被判坐牢或罰款的，這樣的例子已不再什麼新聞了。如果以前真的也有專門開發病毒的病毒組織，但應絕對是屬於「地下」的。現在倒好，什麼專門開發木馬程序的組織到處都是，不光存在，而且還公開在網上大肆招兵買馬，似乎已經合法化。正因如此所以黑客程序不斷升級、層出不窮，黑的手段也越來越高明。我不知道為什麼，但據講其理由是「為了自衛、為了愛國」 。
木馬入侵的常用手法及清除方法
雖然木馬程序千變萬化，但正如一位木馬組織的負責人所講，大多數木馬程序沒有特別的功能，入侵的手法也差不多，只是以前有關木馬程序的重復，只是改了個名而已，現在他們都要講究效率，據說他們要杜絕重復開發，浪費資源。當然我們也只能講講以前的一些通用入侵手法，因為我們畢竟不是木馬的開發者，不可能有先知先覺。
1、在win.ini文件中載入
一般在win.ini文件中的[windwos]段中有如下載入項：
run= load= ，一般此兩項為空，如圖1所示。
圖1
如果你發現你的系統中的此兩項載入了任何可疑的程序時，應特別當心，這時可根據其提供的源文件路徑和功能進一步檢查。我們知道這兩項分別是用來當系統啟動時自動運行和載入程序的，如果木馬程序載入到這兩個子項中之後，那麼當你的系統啟動後即可自動運行或載入了。當然也有可能你的系統之中確是需要載入某一程序，但你要知道這更是木馬利用的好機會，它往往會在現有載入的程序文件名之後再加一個它自己的文件名或者參數，這個文件名也往往用你常見的文件，如command.exe、sys.com等來偽裝。
2、在System.ini文件中載入
我們知道在系統信息文件system.ini中也有一個啟動載入項，那就是在[BOOT]子項中的「Shell」項，如圖2所示。
圖2
在這里木馬最慣用的伎倆就是把本應是「Explorer」變成它自己的程序名，名稱偽裝成幾乎與原來的一樣，只需稍稍改"Explorer」的字母「l」改為數字「1」，或者把其中的「o」改為數字「0」，這些改變如果不仔細留意是很難被人發現的，這就是我們前面所講的欺騙性。當然也有的木馬不是這樣做的，而是直接把「Explorer」改為別的什麼名字，因為他知道還是有很多朋友不知道這里就一定是「Explorer」，或者在 「Explorer」加上點什麼東東，加上的那些東東肯定就是木馬程序了。
3、修改注冊表
如果經常研究注冊表的朋友一定知道，在注冊表中我們也可以設置一些啟動載入項目的，編制木馬程序的高手們當然不會放過這樣的機會的，況且他們知道注冊表中更安全，因為會看注冊表的人更少。事實上，只要是」Run\Run-\RunOnce\RunOnceEx\ RunServices \RunServices-\RunServicesOnce 等都是木馬程序載入的入口，如[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft \Windows\CurrentVersion\Run或\RunOnce]，如圖3所示；
圖3
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run或Run -或RunOnce或RunOnceEx或RunServices或RunServices-或RunServicesOnce]，如圖4所示。
圖4
你只要按照其指定的源文件路徑一路查過去，並具體研究一下它在你系統這中的作用就不難發現這些鍵值的作用了，不過同樣要注意木馬的欺騙性，它可是最善於偽裝自己呵！同時還要仔細觀察一下在這些鍵值項中是否有類似netspy.exe、空格、.exe或其它可疑的文件名，如有則立即刪除。
4、修改文件打開關聯
木馬程序發展到了今天，他們發現以上的那些老招式不靈了，為了更加隱蔽自己，他們所採用隱蔽的手段也是越來越高明了（不過這也是萬物的生存之道，你說呢？），它們採用修改文件打開關聯來達到載入的目的，當你打開了一個已修改了打開關聯的文件時，木馬也就開始了它的運作，如冰河木馬就是利用文本文件（.txt）這個最常見，但又最不引人注目的文件格式關聯來載入自己，當有人打開文本文件時就自動載入了冰河木馬。
修改關聯的途經還是選擇了注冊表的修改，它主要選擇的是文件格式中的「打開」、「編輯」、「列印」項目，如冰河木馬修改的對象如圖5所示，
圖5
如果感染了冰河木馬病毒則在[HKEY_CLASSES_ROOT\txtfile\shell\open\command]中的鍵值不是「c:\windows\notepad.exe %1」，而是改為「sy***plr.exe %1」。
以上所介紹的幾種木馬入侵方式，如果發現了我們當然是立即對其刪除，並要立即與網路斷開，切斷黑客通訊的途徑，在以上各種途徑中查找，如果是在注冊表發現的，則要利用注冊表的查找功能全部查找一篇，清除所有的木馬隱藏的窩點，做到徹底清除。如果作了注冊表備份，最好全部刪除注冊表後再導入原來的備份注冊表。
在清除木馬前一定要注意，如果木馬正在運行，則你無法刪除其程序，這時你可以重啟動到DOS方式然後將其刪除。有的木馬會自動檢查其在注冊表中的自啟動項，如果你是在木馬處於活動時刪除該項的話它能自動恢復，這時你可以重啟到DOS下將其程序刪除後再進入Win9x下將其注冊表中的自啟動項刪除。
『貳』 病毒是怎麼傳播的它是怎麼感染內網的其他的電腦的
病毒傳播形式和如何感染其他電腦的分析如下：
1.網際網路傳播:
Internet既方便又快捷，不僅提高人們的工作效率，而且降低運作成本，逐步被人們所接受並得到廣泛的使用。商務來往的電子郵件，還有瀏覽網頁、下載軟體、即時通訊軟體、網路游戲等等，都是通過互聯網這一媒介進行。如此頻繁的使用率，註定備受病毒的「青睞」。
2.通過電子郵件傳播:
在電腦和網路日益普及的今天，商務聯通更多使用電子郵件傳遞，病毒也隨之找到了載體，最常見的是通過Internet交換Word格式的文檔。由於Internet使用的廣泛，其傳播速度相當神速。電子郵件攜帶病毒、木馬及其他惡意程序，會導致收件者的計算機被黑客入侵。email協議的新聞組、文件伺服器、FTP下載和BBS文件區也是病毒傳播的主要形式。經常有病毒製造者上傳帶毒文件到FTP和BBS上，通常是使用群發到不同組，很多病毒偽裝成一些軟體的新版本，甚至是殺毒軟體。很多病毒流行都是依靠這種方式同時使上千台計算機染毒。
3.通過瀏覽網頁和下載軟體傳播:
很多網友都遇到過這樣的情況，在瀏覽過某網頁之後，IE標題便被修改了，並且每次打開IE都被迫登陸某一固定網站，有的還被禁止恢復還原，這便是惡意代碼在作怪。當瀏覽一些不健康網站或誤入一些黑客站點，訪問這些站點的同時或單擊其中某些鏈接或下載軟體時，便會自動在您的瀏覽器或系統中安裝上某種間諜程序。這些間諜程序便可讓您的瀏覽器不定時地訪問其站點，或者截獲您的私人信息並發送給他人。
『叄』 電腦木馬病毒是如何傳播的
1、感染病毒的機器自動掃描其他機器，通過漏洞自動傳播 。
2、捆綁在下載的軟體上傳播。
3、電腦系統存在有漏洞，被別人入侵並上傳了病毒。
4、打開的網頁中利用系統或者IE等漏洞編寫，自動下載病毒。
5、電腦的病毒會通過相關的病毒源傳播到網站，組織或者是個人，電腦病毒具備很強的感染能力。
6、對於電腦中病毒後，我們需要及時的針對電腦進行病毒查殺和清理，方便我們更好的使用電腦。
『肆』 木馬&病毒
分類: 電腦/網路 >> 反病毒
問題描述:
木馬與病毒有什麼區別?
大家來說說啊
解析:
一 計算機病毒的定義計算機病毒(Computer Virus)在《中華人民共和國計算機信息系統安全保護條例》中被明確定義，病毒「指編制或者在計算機程序中插入的破壞計算機功能或者破壞數據，影響計算機使用並且能夠自我復制的一組計算機指令或者程序代碼」。
二 計算機病毒的特點計算機病毒是人為的特製程序，具有自我復制能力，很強的感染性，一定的潛伏性，特定的觸發性和很大的破壞性。
三 病毒存在的必然性計算機的信息需要存取、復制、傳送，病毒作為信息的一種形式可以隨之繁殖、感染、破壞，而當病毒取得控制權之後，他們會主動尋找感染目標，使自身廣為流傳。
四 計算機病毒的長期性病毒往往會利用計算機操作系統的弱點進行傳播，提高系統的安全性是防病毒的一個重要方面，但完美的系統是不存在的，過於強調提高系統的安全性將使系統多數時間用於病毒檢查，系統失去了可用性、實用性和易用性，另一方面，信息保密的要求讓人們在泄密和抓住病毒之間無法選擇。病毒與反病毒將作為一種技術對抗長期存在，兩種技術都將隨計算機技術的發展而得到長期的發展。
五 計算機病毒的產生病毒不是來源於突發或偶然的原因．一次突發的停電和偶然的錯誤，會在計算機的磁碟和內存中產生一些亂碼和隨機指令，但這些代碼是無序和混亂的，病毒則是一種比較完美的，精巧嚴謹的代碼，按照嚴格的秩序組織起來，與所在的系統網路環境相適應和配合起來，病毒不會通過偶然形成，並且需要有一定的長度，這個基本的長度從概率上來講是不可能通過隨機代碼產生的。病毒是人為的特製程序現在流行的病毒是由人為故意編寫的，多數病毒可以找到作者信息和產地信息，通過大量的資料分析統計來看，病毒作者主要情況和目的是：一些天才的程序員為了表現自己和證明自己的能力，處於對上司的不滿，為了好奇，為了報復，為了祝賀和求愛，為了得到控制口令，為了軟體拿不到報酬預留的陷阱等．當然也有因政治，軍事，宗教，民族．專利等方面的需求而專門編寫的，其中也包括一些病毒研究機構和黑客的測試病毒．
六 計算機病毒分類根據多年對計算機病毒的研究，按照科學的、系統的、嚴密的方法，計算機病毒可分類如下：按照計算機病毒屬性的方法進行分類，計算機病毒可以根據下面的屬性進行分類：
按照計算機病毒存在的媒體進行分類根據病毒存在的媒體，病毒可以劃分為網路病毒，文件病毒，引導型病毒。網路病毒通過計算機網路傳播感染網路中的可執行文件，文件病毒感染計算機中的文件（如：COM，EXE，DOC等），引導型病毒感染啟動扇區（Boot）和硬碟的系統引導扇區（MBR），還有這三種情況的混合型，例如：多型病毒（文件和引導型）感染文件和引導扇區兩種目標，這樣的病毒通常都具有復雜的演算法，它們使用非常規的辦法侵入系統，同時使用了加密和變形演算法。
按照計算機病毒傳染的方法進行分類根據病毒傳染的方法可分為駐留型病毒和非駐留型病毒，駐留型病毒感染計算機後，把自身的內存駐留部分放在內存（RAM）中，這一部分程序掛接系統調用並合並到操作系統中去,他處於激活狀態,一直到關機或重新啟動.非駐留型病毒在得到機會激活時並不感染計算機內存,一些病毒在內存中留有小部分,但是並不通過這一部分進行傳染,這類病毒也被劃分為非駐留型病毒。
按照計算機病毒破壞的能力進行分類根據病毒破壞的能力可劃分為以下幾種：無害型除了傳染時減少磁碟的可用空間外，對系統沒有其它影響。無危險型這類病毒僅僅是減少內存、顯示圖像、發出聲音及同類音響。危險型這類病毒在計算機系統操作中造成嚴重的錯誤。非常危險型這類病毒刪除程序、破壞數據、清除系統內存區和操作系統中重要的信息。這些病毒對系統造成的危害，並不是本身的演算法中存在危險的調用，而是當它們傳染時會引起無法預料的和災難性的破壞。由病毒引起其它的程序產生的錯誤也會破壞文件和扇區，這些病毒也按照他們引起的破壞能力劃分。一些現在的無害型病毒也可能會對新版的DOS、Windows和其它操作系統造成破壞。例如：在早期的病毒中，有一個「Denzuk」病毒在360K磁碟上很好的工作，不會造成任何破壞，但是在後來的高密度軟盤上卻能引起大量的數據丟失。
按照計算機病毒特有的演算法進行分類根據病毒特有的演算法，病毒可以劃分為：伴隨型病毒這一類病毒並不改變文件本身，它們根據演算法產生EXE文件的伴隨體，具有同樣的名字和不同的擴展名（COM），例如：XCOPY.EXE的伴隨體是XCOPY.COM。病毒把自身寫入COM文件並不改變EXE文件，當DOS載入文件時，伴隨體優先被執行到，再由伴隨體載入執行原來的EXE文件。「蠕蟲」型病毒通過計算機網路傳播，不改變文件和資料信息，利用網路從一台機器的內存傳播到其它機器的內存，計算網路地址，將自身的病毒通過網路發送。有時它們在系統存在，一般除了內存不佔用其它資源。寄生型病毒除了伴隨和「蠕蟲」型，其它病毒均可稱為寄生型病毒，它們依附在系統的引導扇區或文件中，通過系統的功能進行傳播，按其演算法不同可分為：練習型病毒病毒自身包含錯誤，不能進行很好的傳播，例如一些病毒在調試階段。詭秘型病毒它們一般不直接修改DOS中斷和扇區數據，而是通過設備技術和文件緩沖區等DOS內部修改，不易看到資源，使用比較高級的技術。利用DOS空閑的數據區進行工作。變型病毒（又稱幽靈病毒）這一類病毒使用一個復雜的演算法，使自己每傳播一份都具有不同的內容和長度。它們一般的作法是一段混有無關指令的解碼演算法和被變化過的病毒體組成。
特洛伊木馬(以下簡稱木馬)，英文叫做「Trojan house」，其名稱取自希臘神話的特洛伊木馬記。
它是一種基於遠程式控制制的黑客工具，具有隱蔽性和非授權性的特點。
所謂隱蔽性是指木馬的設計者為了防止木馬被發現，會採用多種手段隱藏木馬，這樣服務端即使發現感染了木馬，由於不能確定其具 *** 置，往往只能望「馬」興嘆。
所謂非授權性是指一旦控制端與服務端連接後，控制端將享有服務端的大部分操作許可權，包括修改文件，修改注冊表，控制滑鼠，鍵盤等等，而這些權力並不是服務端賦予的，而是通過木馬程序竊取的。
從木馬的發展來看，基本上可以分為兩個階段。
最初網路還處於以UNIX平台為主的時期，木馬就產生了，當時的木馬程序的功能相對簡單，往往是將一段程序嵌入到系統文件中，用跳轉指令來執行一些木馬的功能，在這個時期木馬的設計者和使用者大都是些技術人員，必須具備相當的網路和編程知識。
而後隨著WINDOWS平台的日益普及，一些基於圖形操作的木馬程序出現了，用戶界面的改善，使使用者不用懂太多的專業知識就可以熟練的操作木馬，相對的木馬入侵事件也頻繁出現，而且由於這個時期木馬的功能已日趨完善，因此對服務端的破壞也更大了。
所以所木馬發展到今天，已經無所不用其極，一旦被木馬控制，你的電腦將毫無秘密可言。
鑒於木馬的巨大危害性，我們將分原理篇，防禦與反擊篇，資料篇三部分來詳細介紹木馬，希望大家對特洛伊木馬這種攻擊手段有一個透徹的了解。
原 理 篇
基礎知識
在介紹木馬的原理之前有一些木馬構成的基礎知識我們要事先加以說明,因為下面有很多地方會提到這些內容。
一個完整的木馬系統由硬體部分，軟體部分和具體連接部分組成。
(1)硬體部分：建立木馬連接所必須的硬體實體。 控制端：對服務端進行遠程式控制制的一方。 服務端：被控制端遠程式控制制的一方。 INTERNET：控制端對服務端進行遠程式控制制，數據傳輸的網路載體。
(2)軟體部分：實現遠程式控制制所必須的軟體程序。 控制端程序：控制端用以遠程式控制制服務端的程序。 木馬程序：潛入服務端內部，獲取其操作許可權的程序。 木馬配置程序：設置木馬程序的埠號，觸發條件，木馬名稱等，使其在服務端藏得更隱蔽的程序。
(3)具體連接部分：通過INTERNET在服務端和控制端之間建立一條木馬通道所必須的元素。 控制端IP，服務端IP：即控制端，服務端的網路地址，也是木馬進行數據傳輸的目的地。 控制端埠，木馬埠：即控制端，服務端的數據入口，通過這個入口，數據可直達控制端程序或木馬 程序。
木馬原理
用木馬這種黑客工具進行網路入侵，從過程上看大致可分為六步(具體可見下圖)，下面我們就按這六步來詳細闡述木馬的攻擊原理。
一.配置木馬
一般來說一個設計成熟的木馬都有木馬配置程序，從具體的配置內容看，主要是為了實現以下兩方 面功能：
(1)木馬偽裝：木馬配置程序為了在服務端盡可能的好的隱藏木馬，會採用多種偽裝手段，如修改圖標 ，捆綁文件，定製埠，自我銷毀等，我們將在「傳播木馬」這一節中詳細介紹。
(2)信息反饋：木馬配置程序將就信息反饋的方式或地址進行設置，如設置信息反饋的郵件地址，IRC號 ，ICO號等等，具體的我們將在「信息反饋」這一節中詳細介紹。
二.傳播木馬
(1)傳播方式:
木馬的傳播方式主要有兩種:一種是通過E-MAIL,控制端將木馬程序以附件的形式夾在郵件中發送出 去, 收信人只要打開附件系統就會感染木馬;另一種是軟體下載，一些非正規的網站以提供軟體下載為 名義， 將木馬捆綁在軟體安裝程序上，下載後，只要一運行這些程序，木馬就會自動安裝。
(2)偽裝方式:
鑒於木馬的危害性,很多人對木馬知識還是有一定了解的,這對木馬的傳播起了一定的抑製作用,這 是木馬設計者所不願見到的,因此他們開發了多種功能來偽裝木馬,以達到降低用戶警覺,欺騙用戶的目 的。
(一)修改圖標
當你在E-MAIL的附件中看到這個圖標時,是否會認為這是個文本文件呢?但是我不得不告 訴你,這也有可能是個木馬程序,現在 已經有木馬可以將木馬服務端程序的圖標改成HTML,TXT, ZIP等各種文件的圖標,這有相當大的迷 惑性,但是目前提供這種功能的木馬還不多見,並且這種 偽裝也不是無懈可擊的,所以不必整天提 心吊膽,疑神疑鬼的。
(二)捆綁文件
這種偽裝手段是將木馬捆綁到一個安裝程序上,當安裝程序運行時,木馬在用戶毫無察覺的 情況下 ,偷偷的進入了系統。至於被捆綁的文件一般是可執行文件(即EXE,COM一類的文件)。
(三)出錯顯示
有一定木馬知識的人都知道,如果打開一個文件,沒有任何反應,這很可能就是個木馬程序, 木馬的 設計者也意識到了這個缺陷,所以已經有木馬提供了一個叫做出錯顯示的功能。當服務 端用戶打開木 馬程序時,會彈出一個如下圖所示的錯誤提示框(這當然是假的),錯誤內容可自由 定義,大多會定製成 一些諸如「文件已破壞，無法打開的！」之類的信息，當服務端用戶信以 為真時,木馬卻悄悄侵入了 系統。
(四)定製埠
很多老式的木馬埠都是固定的,這給判斷是否感染了木馬帶來了方便,只要查一下特定的 埠就 知道感染了什麼木馬,所以現在很多新式的木馬都加入了定製埠的功能,控制端用戶可 以在1024---65535之間任選一個埠作為木馬埠(一般不選1024以下的埠)，這樣就給判斷 所感染木馬類型帶 來了麻煩。
(五)自我銷毀
這項功能是為了彌補木馬的一個缺陷。我們知道當服務端用戶打開含有木馬的文件後，木馬 會將自己拷貝到WINDOWS的系統文件夾中(C:\WINDOWS或C:\WINDOWS\SYSTEM目錄下)，一般來說 原木馬文件 和系統文件夾中的木馬文件的大小是一樣的(捆綁文件的木馬除外),那麼中了木馬 的朋友只要在近來 收到的信件和下載的軟體中找到原木馬文件,然後根據原木馬的大小去系統 文件夾找相同大小的文件, 判斷一下哪個是木馬就行了。而木馬的自我銷毀功能是指安裝完木 馬後，原木馬文件將自動銷毀，這 樣服務端用戶就很難找到木馬的來源，在沒有查殺木馬的工 具幫助下，就很難刪除木馬了。
(六)木馬更名
安裝到系統文件夾中的木馬的文件名一般是固定的，那麼只要根據一些查殺木馬的文章,按 圖索驥在系統文件夾查找特定的文件,就可以斷定中了什麼木馬。所以現在有很多木馬都允許控 制端用戶自由定製安裝後的木馬文件名，這樣很難判斷所感染的木馬類型了。
三.運行木馬
服務端用戶運行木馬或捆綁木馬的程序後,木馬就會自動進行安裝。首先將自身拷貝到WINDOWS的 系統文件夾中(C:\WINDOWS或C:\WINDOWS\SYSTEM目錄下),然後在注冊表,啟動組,非啟動組中設置好木馬 的觸發條件 ,這樣木馬的安裝就完成了。安裝後就可以啟動木馬了，具體過程見下圖：
(1)由觸發條件激活木馬
觸發條件是指啟動木馬的條件,大致出現在下面八個地方:
1.注冊表:打開HKEY_LOCAL_MACHINE\Sofare\Microsoft\Windows\CurrentVersion\下的五個以Run 和RunServices主鍵,在其中尋找可能是啟動木馬的鍵值。
2.WIN.INI:C:\WINDOWS目錄下有一個配置文件win.ini，用文本方式打開，在[windows]欄位中有啟動 命令 load=和run=,在一般情況下是空白的,如果有啟動程序,可能是木馬。 3.SYSTEM.INI:C:\WINDOWS目錄下有個配置文件system.ini，用文本方式打開，在[386Enh],[mic]， [drivers32]中有命令行,在其中尋找木馬的啟動命令。
4.Autoexec.bat和Config.sys:在C盤根目錄下的這兩個文件也可以啟動木馬。但這種載入方式一般都 需要控制端用戶與服務端建立連接後，將已添加木馬啟動命令的同名 文件上傳 到服務端覆蓋這兩個文件才行。
5.*.INI:即應用程序的啟動配置文件，控制端利用這些文件能啟動程序的特點，將製作好的帶有木馬 啟動命令的同名文件上傳到服務端覆蓋這同名文件，這樣就可以達到啟動木馬的目的了。
6.注冊表:打開HKEY_CLASSES_ROOT\文件類型\shell\open\mand主鍵,查看其鍵值。舉個例子,國產 木馬「冰河」就是修改HKEY_CLASSES_ROOT\txtfile\shell\open\mand下的鍵值,將「C :\WINDOWS \NOTEPAD.EXE %1」該為「C:\WINDOWS\SYSTEM\SYXXXPLR.EXE %1」，這時你雙 擊一個TXT文件 後，原本應用NOTEPAD打開文件的，現在卻變成啟動木馬程序了。還要說明 的是不光是TXT文件 ，通過修改HTML，EXE，ZIP等文件的啟動命令的鍵值都可以啟動木馬 ，不同之處只在於「文件類型」這個主鍵的差別，TXT是txtfile,ZIP是WINZIP，大家可以 試著去找一下。
7.捆綁文件:實現這種觸發條件首先要控制端和服務端已通過木馬建立連接，然後控制端用戶用工具 軟體將木馬文件和某一應用程序捆綁在一起，然後上傳到服務端覆蓋原文件，這樣即使 木馬被刪 除了，只要運行捆綁了木馬的應用程序，木馬又會被安裝上去了。
8.啟動菜單:在「開始---程序---啟動」選項下也可能有木馬的觸發條件。
(2)木馬運行過程
木馬被激活後，進入內存，並開啟事先定義的木馬埠，准備與控制端建立連接。這時服務端用 戶可以在MS-DOS方式下，鍵入NETSTAT -AN查看埠狀態，一般個人電腦在離線狀態下是不會有埠 開放的，如果有埠開放，你就要注意是否感染木馬了。下面是電腦感染木馬後，用NETSTAT命令查 看埠的兩個實例：
其中①是服務端與控制端建立連接時的顯示狀態，②是服務端與控制端還未建立連接時的顯示狀態。
在上網過程中要下載軟體，發送信件，網上聊天等必然打開一些埠，下面是一些常用的埠：
(1)1---1024之間的埠：這些埠叫保留埠，是專給一些對外通訊的程序用的，如FTP使用21， SMTP使用25，POP3使用110等。只有很少木馬會用保留埠作為木馬埠 的。
(2)1025以上的連續埠：在上網瀏覽網站時，瀏覽器會打開多個連續的埠下載文字，圖片到本地 硬碟上，這些埠都是1025以上的連續埠。
(3)4000埠：這是OICQ的通訊埠。
(4)6667埠：這是IRC的通訊埠。 除上述的埠基本可以排除在外，如發現還有其它埠打開，尤其是數值比較大的埠，那就要懷疑 是否感染了木馬，當然如果木馬有定製埠的功能，那任何埠都有可能是木馬埠。
四.信息泄露:
一般來說，設計成熟的木馬都有一個信息反饋機制。所謂信息反饋機制是指木馬成功安裝後會收集 一些服務端的軟硬體信息，並通過E-MAIL，IRC或ICO的方式告知控制端用戶。下圖是一個典型的信息反 饋郵件。
從這封郵件中我們可以知道服務端的一些軟硬體信息，包括使用的操作系統，系統目錄，硬碟分區況， 系統口令等，在這些信息中，最重要的是服務端IP，因為只有得到這個參數，控制端才能與服務端建立 連接，具體的連接方法我們會在下一節中講解。
五.建立連接：
這一節我們講解一下木馬連接是怎樣建立的 。一個木馬連接的建立首先必須滿足兩個條件：一是 服務端已安裝了木馬程序；二是控制端，服務端都要在線 。在此基礎上控制端可以通過木馬埠與服 務端建立連接。為了便於說明我們採用圖示的形式來講解。
如上圖所示A機為控制端，B機為服務端，對於A機來說要與B機建立連接必須知道B機的木馬埠和IP地 址，由於木馬埠是A機事先設定的，為已知項，所以最重要的是如何獲得B機的IP地址。獲得B機的IP 地址的方法主要有兩種：信息反饋和IP掃描。對於前一種已在上一節中已經介紹過了，不再贅述，我們 重點來介紹IP掃描，因為B機裝有木馬程序，所以它的木馬埠7626是處於開放狀態的，所以現在A機只 要掃描IP地址段中7626埠開放的主機就行了，例如圖中B機的IP地址是202.102.47.56，當A機掃描到 這個IP時發現它的7626埠是開放的，那麼這個IP就會被添加到列表中，這時A機就可以通過木馬的控 制端程序向B機發出連接信號，B機中的木馬程序收到信號後立即作出響應，當A機收到響應的信號後， 開啟一個隨即埠1031與B機的木馬埠7626建立連接，到這時一個木馬連接才算真正建立。值得一提 的要掃描整個IP地址段顯然費時費力，一般來說控制端都是先通過信息反饋獲得服務端的IP地址，由於 撥號上網的IP是動態的，即用戶每次上網的IP都是不同的，但是這個IP是在一定范圍內變動的，如圖中 B機的IP是202.102.47.56，那麼B機上網IP的變動范圍是在202.102.000.000---202.102.255.255，所以 每次控制端只要搜索這個IP地址段就可以找到B機了。
六.遠程式控制制：
木馬連接建立後，控制端埠和木馬埠之間將會出現一條通道，見下圖
控制端上的控制端程序可藉這條通道與服務端上的木馬程序取得聯系,並通過木馬程序對服務端進行遠 程式控制制。下面我們就介紹一下控制端具體能享有哪些控制許可權，這遠比你想像的要大。
(1)竊取密碼：一切以明文的形式，*形式或緩存在CACHE中的密碼都能被木馬偵測到，此外很多木馬還 提供有擊鍵記錄功能，它將會記錄服務端每次敲擊鍵盤的動作，所以一旦有木馬入侵， 密碼將很容易被竊取。
(2)文件操作：控制端可藉由遠程式控制制對服務端上的文件進行刪除,新建,修改,上傳,下載,運行,更改屬 性等一系列操作,基本涵蓋了WINDOWS平台上所有的文件操作功能。
(3)修改注冊表：控制端可任意修改服務端注冊表，包括刪除，新建或修改主鍵，子鍵，鍵值。有了這 項功能控制端就可以禁止服務端軟碟機，光碟機的使用，鎖住服務端的注冊表，將服務端 上木馬的觸發條件設置得更隱蔽的一系列高級操作。
(4)系統操作：這項內容包括重啟或關閉服務端操作系統，斷開服務端網路連接，控制服務端的滑鼠， 鍵盤，監視服務端桌面操作，查看服務端進程等，控制端甚至可以隨時給服務端發送信 息，想像一下，當服務端的桌面上突然跳出一段話，不嚇人一跳才怪.
『伍』 電腦病毒木馬怎麼辦
問題一：電腦被設置了木馬病毒了，怎麼辦？ 50分 木馬小常識
特洛伊木馬(以下簡稱木馬)，英文叫做「Trojan house」，其名稱取自希臘神話的特洛伊木馬記,它是一種基於遠程式控制制的黑客工具。在黑客進行的各種攻擊行為中，木馬都起到了開路先鋒的作用。
一、木馬的危害
相信木馬對於眾多網民來說不算陌生。它是一種遠程式控制制工具，以簡便、易行、有效而深受廣大黑客青睞。一台電腦一旦中上木馬，它就變成了一台傀儡機，對方可以在你的電腦上上傳下載文件，偷窺你的私人文件，偷取你的各種密碼及口令信息……中了木馬你的一切秘密都將暴露在別人面前，隱私？不復存在！
木馬在黑客入侵中也是一種不可缺少的工具。就在去年的10月28日，一個黑客入侵了美國微軟的門戶網站，而網站的一些內部信息則是被一種叫做QAZ的木馬傳出去的。就是這小小的QAZ讓龐大的微軟丟盡了顏面！
廣大網民比較熟悉的木馬當數國產軟體冰河了。冰河是由黃鑫開發的免費軟體，冰河面世後，以它簡單的操作方法和強大的控制能力令人膽寒，可以說是達到了談「冰」色變的地步。
二、木馬原理
特洛伊木馬屬於客戶/服務模式。它分為兩大部分，即客戶端和服務端。其原理是一台主機提供服務(伺服器)，另一台主機接受服務(客戶機)，作為伺服器的主機一般會打開一個默認的埠進行監聽。如果有客戶機向伺服器的這一埠提出連接請求，伺服器上的相應程序就會自動運行，來應答客戶機的請求。這個程序被稱為守護進程。以大名鼎鼎的木馬冰河為例，被控制端可視為一台伺服器，控制端則是一台客戶機，服務端程序G_Server.exe是守護進程，G_Client.exe是客戶端應用程序。
為進一步了解木馬，我們來看看它們的隱藏方式，木馬隱藏方法主要有以下幾種：
1.)在任務欄里隱藏
這是最基本的。如果在windows的任務來歷出現一個莫名其妙的圖標，傻子都會明白怎麼回事。在VB中，只要把form的Viseble屬性設置為False，ShowInTaskBar設為False程序就不會出現在任務欄里了。
2.)在任務管理器里隱藏
查看正在運行的進程最簡單的方法就是按下ctrl+alt+del時出現的任務管理器。如果你按下ctrl+alt+del後可以看見一個木馬程序在運行，那麼這肯定不是什麼好的木馬。所以，木馬千方百計的偽裝自己，使自己不出現在任務管理器里。木馬發現把自己設為「系統服務」就可以輕松的騙過去。因此希望通過按ctrl+alt+del發現木馬是不大現實的。
3.)埠
一台機器由65536個埠，你會注意這么多埠么？而木馬就很注意你的埠。如果你稍微留意一下，不難發現，大多數木馬使用的埠在1024以上，而且呈越來越大的趨勢。當然也有佔用1024以下埠的木馬。但這些埠是常用埠，佔用這些埠可能會造成系統不正常。這樣的話，木馬就會很容易暴露。也許你知道一些木馬佔用的埠，你或許會經常掃描這些埠，但現在的木馬都提供埠修改功能，你有時間掃描65536個埠么？
4.)木馬的載入方式隱蔽
木馬載入的方式可以說千奇百怪，無奇不有。但殊途同歸，都為了達到一個共同的目的，那就是使你運行木馬的服務端程序。如果木馬不加任何偽裝。就告訴你這是木馬，你會運行它才怪呢。而隨著網站互動化進程的不斷進步，越來越多的東西可以成為木馬的傳播介質，javaScript、VBScript、ActiveX、XLM……..幾乎每一個新功能都會導致木馬的快速進化。
5.)木馬的命名
木馬服務端程序的命名也有很大的學問。如果你不做任何修改的話，就使......>>
問題二：我的電腦怎麼反復感染木馬病毒，怎麼解決 你好：
你應該是中的感染型木馬，所以只要有一個木馬沒有清除，那麼一段時間之後，就會感染很多文件，造成你反復查殺，都無法清除的現象
你可以訪問騰訊電腦管家官網，下載安裝一個電腦管家
使用電腦管家工具箱中的頑固木馬剋星來查殺一下
它專門為普通殺軟檢測不到，或者檢測到無法清除的頑固威脅而設計
採用特別強力的查殺引擎，可以清除各種頑固的木馬病毒
如果以後有什麼問題，歡迎再來電腦管家企業平台詢問，我們會盡心為您解答
問題三：如果電腦系統內存有木馬病毒怎麼才能清除干凈 這是因為現在的很多的木馬病毒都是驅動型、注入型的。這類木馬病毒都是將自己進程注入到系統的進程中，而且將自己寫進系統服務當中，一開機就自動運行，自動從網上下載最新的木馬病毒變種，殺毒軟體也對之措手無策。對於這類病毒，應該配合手工操作進行殺掉。 首先，必須斷開網路，而且最好是進入安全去。這一點一定要注意，不然永遠有殺不完的病毒。 1、先打開我的電腦→工具→文件夾選項→查看→選中顯示所有文件和文件夾，去掉「隱藏受保護的系統文件」的選中，讓所有的文件都顯示出來 2、利用操作系統本身具有的軟體限制策略禁止病毒文件或進程被調用運行：手工關閉相關進程後，在「管理工具」→「本地安全策略」→「軟體限制策略」→「其他規則」→右鍵單擊→選「新散列規則」→點「文件散列」右邊的「瀏覽」→找到「病毒文件或可疑文件」，點「打開」返回後，將病毒文件安全級別設置為不允許，最後點「確定」；這樣就禁止病毒運行或被其他系統進程調用。 3、用360安全衛士掃描，配合使用Unlocker.EXE軟體，找到病毒文件，右鍵單擊，選擇Unlocker.EXE，在彈出的對話框中，選「解鎖」或「過程結束」，再右鍵單擊，選擇Unlocker.EXE，如果這回彈出另外一個對話框，可以直接選刪除，手工刪木馬病毒，同樣的其他病毒文件也按這樣的辦法來殺 4、重啟，進入安全模式，強烈推薦用卡巴斯基全面掃病毒。 5、殺完毒後須進行下面的操作：我的電腦→工具→文件夾選項→查看→選中顯示所有文件和文件夾，鉤選「隱藏受保護的系統文件」的選中，隱藏系統文件。
希望採納
問題四：我的電腦中了病毒，是木馬病毒和後台程序？怎麼辦？ 建議下載360系統急救箱(原頑固木馬專殺大全) 下載完成後斷網進入安全模式下查殺，切記一定要斷網，如果發現打不開把360急救箱就把它重命名之後打開 。下載不了360系統急救箱軟體那麼您就叫別人上傳一個給你 !或者拿優盤去別的電腦上下載過來！然後重新安裝360殺毒全盤查殺!還不行就全盤格式化 重裝系統就絕對沒問題了！
問題五：電腦中木馬病毒了怎麼辦？ 你電腦里有安全軟體嗎？沒有的話現在趕緊下個騰訊電腦管家，用它對你的電腦進行全盤掃描，深入檢查一下。如果真的像你說的是因為下載到了有毒的文件導致的，它會幫你把這個文件揪出來的。你電腦里現在那些亂七八糟的程序，應該是中毒後導致的，這些程序也需要集體刪除，你可以在清除病毒後再使用管家的軟體卸載功能徹底卸載掉，這樣就沒事了，不要太擔心了，很容易解決的。
現在最新版本的騰訊電腦管家星星版還是金秀賢代言的哦~它除了殺毒還有很多別的功能呢，像小火箭加速就很好用，可以即時立刻為電腦提速；還有管家鎖是保護游戲裝備安全的，如果你玩游戲是很有用的。
好了我回答這么多，記得採納我哦！
問題六：電腦被木馬攻擊了 怎麼辦 殺不出毒來怎麼辦 經常上網的你可能都遇到過發現木馬病毒卻無法殺掉的情況，其實並不是殺毒軟體無能，而是病毒和木馬總是先殺毒軟體一步，病毒和木馬技術也是也是計算機行業最先進的技術代表，如果殺毒軟體沒有檢測過或者收到過這個木馬病毒的樣本，並且這個木馬或者病毒的行為和之前的木馬和病毒不一樣，那麼殺毒軟體就不會有對策，比方說將自己隱藏在系統進程里，並且沒有特殊的的條件不予激活，那麼這個木馬或者病毒就看起來是一個安分守己的程序。這就是很多時候實際上我們的電腦並不幹凈，雖然用殺毒軟體沒有發現木馬或病毒。
但是，有時候，我們確實會遇到能夠查到木馬病毒卻無法刪除的情況。這種主要是四種原因：
1、木馬或者病毒文件「綁架」了程序的核心進程或文件，殺毒軟體無法下手（此種情況居多，若下手就有可能是誤殺了）；
2、木馬或病毒禁止了殺毒軟體的某些核心進程或已將殺毒軟體禁用；（此種情況也不少，不少木馬程序對於國內的殺毒軟體就是這么乾的）
3、殺毒軟體收到了這種病毒的樣本，卻還沒有找到解決的辦法；
4、殺毒軟體的主動防禦機制發現了這個文件的異常行為，並且和以上3條中的某一條相結合；
但是，對於用戶的我們如果真的遇到這種查到病毒無法清除的情況怎麼辦？
對於那些隱藏的比較深的木馬或病毒，只有靠對計算機的熟悉程度，經常關注系統的進程來發現；
對於那些能夠查到但無法清除的情況反而比較好辦了，你可以試試有圖給你提供的以下方法。
1、使用木馬病毒專殺工具試試。既然能查到病毒的名稱，不妨搜索一下是否有專殺軟體，金山和瑞星喜歡出專殺工具，360也有不錯的木馬專殺工具。
2、更換一個殺毒軟體。如果當前你的殺毒軟體遇到了殺不掉的木馬病毒，建議你卸掉當前的殺毒軟體（如果你願意），然後安裝其他的殺毒軟體試試，特別是比較嚴格的卡巴斯基或者nod32，並且更新到最新的病毒庫查殺一下試試。（很多殺毒軟體都可以可以免費試用）
3、手工查殺。比較麻煩，漫漫看。
第一步、查找木馬病毒文件。
啟動計算機後，按Ctr+Alt+Del或右鍵單擊「任務欄」空白處，選擇「任務管理器」，找到進程，看到可疑進程在網上查一下來歷，如果嫌疑身份沒有排除，就查找位置，如果在windows目錄下或者Windows\system32目錄下，就更可疑了，如果碰巧和我們殺毒軟體查到的是同一個文件，那就可以確信無疑了。記錄下他們的詳細位置，後面用得到。
第二步、去掉木馬病毒自動運行。
如果是Windows Xp、vista、windows7可以 在開始菜單「運行」欄輸入「msconfig」，進入啟動項管理，如果找不到運行，可以按鍵盤上的windows徽標小旗幟加 R 鍵，只留下殺毒軟體進程，或者更徹底一些，你可以將所有的對勾都去掉。
第三步、刪除木馬病毒。
重新啟動計算機按F8進入安全模式，逐個尋找在第一步中記錄的病毒文件位置，逐個刪除（特別提醒：刪除有可能造成不測，請慎重，對文件要確認是高度嫌疑文件之後再刪除），如果無法刪除，可以嘗試使用attrib命令在命令行去掉文件各種屬性，然後就可以刪除了。
第四步、善後工作。
1）、重新啟動計算機，如果提示有什麼文件找不到，進入注冊表（regedit），查找這些文件名稱，逐個清空。注意，不是刪除相關的項目，而是清空和這些文件相關的項目，例如如果病毒文件綁架核心進程 explorer.exe 那麼在注冊表中就會在相關的explorer.exe後面加上病毒的名稱，以隨explorer的啟動而自動啟動，我們需要清除的是和病毒有關的內容，所以不能將explorer的值也清除掉，這樣會造成無法見到桌面。
2）、進入啟動項......>>
問題七：電腦中木馬和病毒了，怎麼辦，還原系統可以嗎？ 大多數情況還原了系統之後就可以把病毒清除掉，但是也不是所有情況，比如中毒文件不在C盤而是在其他盤附下，在你運行某些程序的時候有可能使機器再次感染。
關於還原的問題給你解釋一下，還原必須是做了備份之後才可以的，當然有些系統盤在安裝系統的時候自動的把系統在硬碟里做了備份，這樣的系統就可以直接還原，如果你說的系統還原打不開，估計是裝系統的時候沒有備份或者備份出錯，如果是這樣的話你可以重裝一下系統。
再給點建議吧，如果機器上存有重要的資料的話上網的時候一定要小心，不要打開陌生的鏈接，不要隨便上一些無聊的網站。養成良好的上網習慣是避免中毒最好的方法哦。
問題八：我的電腦有一個木馬病毒老殺不掉怎麼辦？ 病毒什麼名字？肯定病毒還沒殺完全，有的可以在安全模式下殺干凈，有的是病毒加了殼，部分文件殺毒軟體識別不出來！
我這里經常遇到的就是fsutk.dll和liprip.dll這兩個總是存在的病毒~
其實重做系統也不是好方法，沒准哪又感染上它了，你還重做嗎？
……
沒有提供足夠信息，沒法提供准確解決方法。
問題九：電腦中木馬病毒了，怎麼查殺？ 你好！
如果確認機子中了病毒，不要那麼驚慌，首先你要確認中病毒的文件存在哪個盤，然後用殺毒軟體進行全面的查殺，騰訊電腦管家基本可殺市面上出現的病毒，並且病毒庫還在不斷的更新中，完全可以幫你解決病毒的問題
首先我們在騰訊電腦管家官網下載騰訊安全管家，安裝完成後打開，選擇【殺毒】--【全盤查殺】
騰訊電腦管家企業平台：./c/guanjia/
問題十：木馬病毒如何徹底清除？ 徹底清除trojan-downloader.win32.agent.bbb病毒前些天上網下載一個軟體，下載後發現是exe格式的，有點懷疑的病毒。但是由於要得很急，所以也沒殺毒就直接運行了，結果發現果然是一個流氓軟體包。這個流氓軟體包首先在你電腦里安裝一個木馬病毒，然後會不斷地下載安裝各類流氓軟體到你的電腦上。做這個軟體包的人真是太缺德了，會生個小孩都搞不好會沒 *** 。先不罵這些人了，說正事。經過仔細檢查發現，這個核心的木馬就是trojan-downloader.win32.agent.bbb病毒。中了這個病毒後，我是這樣清除的：1、用超級兔子清理自動安裝的流氓軟體。再清理注冊表。2、用mcafee查毒，沒發現病毒。改用奇虎的安全衛士360（我很不喜歡這個由周宏一這個老流氓投資開發的軟體），但抱著死馬當活馬醫的想法，還是試了一下。發現每次把由木馬自動安裝的流氓軟體清理掉後，再起機又會重新安裝，360對這個病毒也起不到什麼作用。後來再改用卡巴斯基，發現可以刪除大部分被木馬程序安裝的其他流氓軟體和木馬，就剩下trojan-downloader.win32.agent.bbb這個病毒刪除不了。3、經過分析，發現這個病毒是寫入到explorer進程的，核心是一個名為kumiq.dll的組件（這個組件的名字不一定，也可能你電腦上是別的名字），這個組件是在windows/system32目錄下。由於被explorer調用，所以無法刪除，因為explorer是隨系統啟動就會運行的，因而進入安全模式也沒用。4、進到注冊表(進入注冊表方法：點「開始」＝》「運行」＝》鍵入「regedit「，點確定，然後按F3,把下面的這個鍵值名復制進去。在操作注冊表的時候最好做一下備份，），把所有與這個名字（kumiq.dll)有關的項目全部刪除，但經這么一番折騰後，發現起碼不會再自動安裝其他木馬和流氓軟體了（以前每次啟動都會自動生成一個pvsec.dll的組件，並且進程裡面有好幾個木馬的進程，這些全都被清理掉了）。5、下載一個叫做unlocker的軟體，安裝好後把kumiq.dll的調用進程殺掉，再刪除這個組件（用其他所謂的文件粉碎機之類的東西是刪不掉這頑固的病毒組件的）。6、重啟後，再用卡巴斯基全面查一遍毒，防止殘留。再用超級兔子清理一下注冊表（因為清理掉了很多病毒組件，如果不清理注冊表，開機會提示「***找不到組件」之類的，很煩人）。完工。8、總結：病毒雖然清理掉了，但是由於在手工刪除注冊表欄位的時候下手太狠，可能把一些與病毒無關的也幹掉了，所以重啟後，個人設置以及其他程序的默認設置全部丟失。雖然後來手工把一些丟失的欄位加了進去，解決了一部分問題，但總是會發現新的問題，系統不是很穩定。並且為了手工清除這個病毒，花了很長的時間，這個時間足夠重新安裝一遍系統了。我是為了順便研究一下這個病毒，才沒有選擇重新安裝的。所以大家如果是遇到這個病毒，我建議還是把要緊的資料備份一下，再重新安裝一遍系統來得更快。＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝由於trojan-downloader.win32.agent.bbb病毒會修改系統配置，可能一些組件的調用會寫入到IE的一些配置程序里，而不是寫入到注冊表中。建議重新安裝IE試試。to:qiujiu可能是你對unlocker的使用不太熟悉，簡要介紹一下unlocker的使用方法：1、安裝unlocker2、找到你要刪除的文件，點右鍵，在右鍵菜單中選擇unlocker選項。然後會......>>
『陸』 請高手解答！木馬是什麼它有多少種有什麼辦法去防預它被木馬入侵後有什麼現象
什麼是木馬?
特洛伊木馬(以下簡稱木馬)，英文叫做「Trojan house」，其名稱取自希臘神話的特洛伊木馬記。
它是一種基於遠程式控制制的黑客工具，具有隱蔽性和非授權性的特點。
所謂隱蔽性是指木馬的設計者為了防止木馬被發現，會採用多種手段隱藏木馬，這樣服務端即使發現感染了木馬，由於不能確定其具體位置，往往只能望「馬」興嘆。
所謂非授權性是指一旦控制端與服務端連接後，控制端將享有服務端的大部分操作許可權，包括修改文件，修改注冊表，控制滑鼠，鍵盤等等，而這些權力並不是服務端賦予的，而是通過木馬程序竊取的。
從木馬的發展來看，基本上可以分為兩個階段。
最初網路還處於以UNIX平台為主的時期，木馬就產生了，當時的木馬程序的功能相對簡單，往往是將一段程序嵌入到系統文件中，用跳轉指令來執行一些木馬的功能，在這個時期木馬的設計者和使用者大都是些技術人員，必須具備相當的網路和編程知識。
而後隨著WINDOWS平台的日益普及，一些基於圖形操作的木馬程序出現了，用戶界面的改善，使使用者不用懂太多的專業知識就可以熟練的操作木馬，相對的木馬入侵事件也頻繁出現，而且由於這個時期木馬的功能已日趨完善，因此對服務端的破壞也更大了。
所以所木馬發展到今天，已經無所不用其極，一旦被木馬控制，你的電腦將毫無秘密可言。
參考資料：http://bbs.51ww.com/365000/ShowPost.aspx
回答者：完顏康康 - 探花 十一級 9-18 12:40
--------------------------------------------------------------------------------
DLL 木馬揭秘
相信經常玩木馬的朋友們都會知道一些木馬的特性，也會有自己最喜愛的木馬，不過，很多朋友依然不知道近年興起的「DLL木馬」為何物。什麼是「DLL木馬」呢？它與一般的木馬有什麼不同？
一、從DLL技術說起
要了解DLL木馬，就必須知道這個「DLL」是什麼意思，所以，讓我們追溯到幾年前，DOS系統大行其道的日子裡。在那時候，寫程序是一件繁瑣的事情，因為每個程序的代碼都是獨立的，有時候為了實現一個功能，就要為此寫很多代碼，後來隨著編程技術發展，程序員們把很多常用的代碼集合（通用代碼）放進一個獨立的文件里，並把這個文件稱為「庫」（Library），在寫程序的時候，把這個庫文件加入編譯器，就能使用這個庫包含的所有功能而不必自己再去寫一大堆代碼，這個技術被稱為「靜態鏈接」（Static Link）。靜態鏈接技術讓勞累的程序員鬆了口氣，一切似乎都很美好。可是事實證明，美好的事物不會存在太久，因為靜態鏈接就像一個粗魯的推銷員，不管你想不想要宣傳單，他都全部塞到你的手上來。寫一個程序只想用到一個庫文件包含的某個圖形效果，就因為這個，你不得不把這個庫文件攜帶的所有的圖形效果都加入程序，留著它們當花瓶擺設，這倒沒什麼重要，可是這些花瓶卻把道路都阻塞了——靜態鏈接技術讓最終的程序成了大塊頭，因為編譯器把整個庫文件也算進去了。
時代在發展，靜態鏈接技術由於天生的弊端，不能滿足程序員的願望，人們開始尋找一種更好的方法來解決代碼重復的難題。後來，Windows系統出現了，時代的分水嶺終於出現。Windows系統使用一種新的鏈接技術，這種被稱為「動態鏈接」（Dynamic Link）的新技術同樣也是使用庫文件，微軟稱它們為「動態鏈接庫」——Dynamic Link Library，DLL的名字就是這樣來的。動態鏈接本身和靜態鏈接沒什麼區別，也是把通用代碼寫進一些獨立文件里，但是在編譯方面，微軟繞了個圈子，並沒有採取把庫文件加進程序的方法，而是把庫文件做成已經編譯好的程序文件，給它們開個交換數據的介面，程序員寫程序的時候，一旦要使用某個庫文件的一個功能函數，系統就把這個庫文件調入內存，連接上這個程序佔有的任務進程，然後執行程序要用的功能函數，並把結果返回給程序顯示出來，在我們看來，就像是程序自己帶有的功能一樣。完成需要的功能後，這個DLL停止運行，整個調用過程結束。微軟讓這些庫文件能被多個程序調用，實現了比較完美的共享，程序員無論要寫什麼程序，只要在代碼里加入對相關DLL的調用聲明就能使用它的全部功能。最重要的是，DLL絕對不會讓你多拿一個花瓶，你要什麼它就給你什麼，你不要的東西它才不會給你。這樣，寫出來的程序就不能再攜帶一大堆垃圾了——絕對不會讓你把吃剩的東西帶回家，否則罰款，這是自助餐。
DLL技術的誕生，使編寫程序變成一件簡單的事情，Windows為我們提供了幾千個函數介面，足以滿足大多數程序員的需要。而且，Windows系統自身就是由幾千個DLL文件組成，這些DLL相互扶持，組成了強大的Windows系統。如果Windows使用靜態鏈接技術，它的體積會有多大？我不敢想。
二、應用程序介面API
上面我們對DLL技術做了個大概分析，在裡面我提到了「介面」，這又是什麼呢？因為DLL不能像靜態庫文件那樣塞進程序里，所以，如何讓程序知道實現功能的代碼和文件成了問題，微軟就為DLL技術做了標准規范，讓一個DLL文件像乳酪一樣開了許多小洞，每個洞口都註明裡面存放的功能的名字，程序只要根據標准規范找到相關洞口就可以取得它要的美味了，這個洞口就是「應用程序介面」（Application Programming Interface），每個DLL帶的介面都不相同，盡最大可能的減少了代碼的重復。用Steven的一句話：API就是一個工具箱，你根據需要取出螺絲刀、扳手，用完後再把它們放回原處。在Windows里，最基本的3個DLL文件是kernel32.dll、user32.dll、gdi32.dll。它們共同構成了基本的系統框架。
三、DLL與木馬
DLL是編譯好的代碼，與一般程序沒什麼大差別，只是它不能獨立運行，需要程序調用。那麼，DLL與木馬能扯上什麼關系呢？如果你學過編程並且寫過DLL，就會發現，其實DLL的代碼和其他程序幾乎沒什麼兩樣，僅僅是介面和啟動模式不同，只要改動一下代碼入口，DLL就變成一個獨立的程序了。當然，DLL文件是沒有程序邏輯的，這里並不是說DLL=EXE，不過，依然可以把DLL看做缺少了main入口的EXE，DLL帶的各個功能函數可以看作一個程序的幾個函數模塊。DLL木馬就是把一個實現了木馬功能的代碼，加上一些特殊代碼寫成DLL文件，導出相關的API，在別人看來，這只是一個普通的DLL，但是這個DLL卻攜帶了完整的木馬功能，這就是DLL木馬的概念。也許有人會問，既然同樣的代碼就可以實現木馬功能，那麼直接做程序就可以，為什麼還要多此一舉寫成DLL呢？這是為了隱藏，因為DLL運行時是直接掛在調用它的程序的進程里的，並不會另外產生進程，所以相對於傳統EXE木馬來說，它很難被查到。
四、DLL的運行
雖然DLL不能自己運行，可是Windows在載入DLL的時候，需要一個入口函數，就如同EXE的main一樣，否則系統無法引用DLL。所以根據編寫規范，Windows必須查找並執行DLL里的一個函數DllMain作為載入DLL的依據，這個函數不作為API導出，而是內部函數。DllMain函數使DLL得以保留在內存里，有的DLL裡面沒有DllMain函數，可是依然能使用，這是因為Windows在找不到DllMain的時候，會從其它運行庫中找一個不做任何操作的預設DllMain函數啟動這個DLL使它能被載入，並不是說DLL可以放棄DllMain函數。
五、DLL木馬技術分析
到了這里，您也許會想，既然DLL木馬有那麼多好處，以後寫木馬都採用DLL方式不就好了嗎？話雖然是這么說沒錯，但是DLL木馬並不是一些人想像的那麼容易寫的。要寫一個能用的DLL木馬，你需要了解更多知識。
1.木馬的主體
千萬別把木馬模塊寫得真的像個API庫一樣，這不是開發WINAPI。DLL木馬可以導出幾個輔助函數，但是必須有一個過程負責主要執行代碼，否則這個DLL只能是一堆零碎API函數，別提工作了。
如果涉及一些通用代碼，可以在DLL里寫一些內部函數，供自己的代碼使用，而不是把所有代碼都開放成介面，這樣它自己本身都難調用了，更不可能發揮作用。
DLL木馬的標准執行入口為DllMain，所以必須在DllMain里寫好DLL木馬運行的代碼，或者指向DLL木馬的執行模塊。
2.動態嵌入技術
Windows中，每個進程都有自己的私有內存空間，別的進程是不允許對這個私人領地進行操作的，但是，實際上我們仍然可以利用種種方法進入並操作進程的私有內存，這就是動態嵌入，它是將自己的代碼嵌入正在運行的進程中的技術。動態嵌入有很多種，最常見的是鉤子、API以及遠程線程技術，現在的大多數DLL木馬都採用遠程線程技術把自己掛在一個正常系統進程中。其實動態嵌入並不少見，羅技的MouseWare驅動就掛著每一個系統進程-_-
遠程線程技術就是通過在另一個進程中創建遠程線程（RemoteThread）的方法進入那個進程的內存地址空間。在DLL木馬的范疇里，這個技術也叫做「注入」，當載體在那個被注入的進程里創建了遠程線程並命令它載入DLL時，木馬就掛上去執行了，沒有新進程產生，要想讓木馬停止惟有讓掛接這個木馬DLL的進程退出運行。但是，很多時候我們只能束手無策——它和Explorer.exe掛在一起了，你確定要關閉Windows嗎？
3.木馬的啟動
有人也許會迫不及待的說，直接把這個DLL加入系統啟動項目不就可以了。答案是NO，前面說過，DLL不能獨立運行，所以無法在啟動項目里直接啟動它。要想讓木馬跑起來，就需要一個EXE使用動態嵌入技術讓DLL搭上其他正常進程的車，讓被嵌入的進程調用這個DLL的DllMain函數，激發木馬運行，最後啟動木馬的EXE結束運行，木馬啟動完畢。
啟動DLL木馬的EXE是個重要角色，它被稱為Loader，如果沒有Loader，DLL木馬就是破爛一堆，因此，一個算得上成熟的DLL木馬會想辦法保護它的Loader不會那麼容易被毀滅。記得狼狽為奸的故事嗎？DLL木馬就是爬在狼Loader上的狽。
Loader可以是多種多樣的，Windows的rundll32.exe也被一些DLL木馬用來做了Loader，這種木馬一般不帶動態嵌入技術，它直接掛著rundll32進程運行，用rundll32的方法（rundll32.exe [DLL名],[函數] [參數]）像調用API一樣去引用這個DLL的啟動函數激發木馬模塊開始執行，即使你殺了rundll32，木馬本體還是在的，一個最常見的例子就是3721中文實名，雖然它不是木馬。
注冊表的AppInit_DLLs鍵也被一些木馬用來啟動自己，如求職信病毒。利用注冊表啟動，就是讓系統執行DllMain來達到啟動木馬的目的。因為它是kernel調入的，對這個DLL的穩定性有很大要求，稍有錯誤就會導致系統崩潰，所以很少看到這種木馬。
有一些更復雜點的DLL木馬通過svchost.exe啟動，這種DLL木馬必須寫成NT-Service，入口函數是ServiceMain，一般很少見，但是這種木馬的隱蔽性也不錯，而且Loader有保障。
4.其它
到這里大家也應該對DLL木馬有個了解了，是不是很想寫一個？別急，不知道大家想過沒有，既然DLL木馬這么好，為什麼到現在能找到的DLL木馬寥寥無幾？現在讓我來潑冷水，最重要的原因只有一個：由於DLL木馬掛著系統進程運行，如果它本身寫得不好，例如沒有防止運行錯誤的代碼或者沒有嚴格規范用戶的輸入，DLL就會出錯崩潰。別緊張，一般的EXE也是這樣完蛋的，但是DLL崩潰會導致它掛著的程序跟著遭殃，別忘記它掛接的是系統進程哦，結局就是……慘不忍睹。所以寫一個能公布的DLL木馬，在排錯檢查方面做的工作要比一般的EXE木馬多，寫得多了自己都煩躁……
六、DLL木馬的發現和查殺
經常看看啟動項有沒有多出莫名其妙的項目，這是Loader的所在，只要殺了狼，狽就不能再狂了。而DLL木馬本體比較難發現，需要你有一定編程知識和分析能力，在Loader里查找DLL名稱，或者從進程里看多掛接了什麼陌生的DLL，可是對新手來說……總之就是比較難啊比較難，所以，最簡單的方法：殺毒軟體和防火牆（不是萬能葯，切忌長期服用）。
『柒』 什麼是木馬它的工作原理是什麼如何應付它
木馬（Trojan）,也稱木馬病毒，是指通過特定的程序（木馬程序）來控制另一台計算機。木馬通常有兩個可執行程序：一個是控制端，另一個是被控制端。木馬這個名字來源於古希臘傳說（荷馬史詩中木馬計的故事，Trojan一詞的特洛伊木馬本意是特洛伊的，即代指特洛伊木馬，也就是木馬計的故事）。「木馬」程序是目前比較流行的病毒文件，與一般的病毒不同，它不會自我繁殖，也並不「刻意」地去感染其他文件，它通過將自身偽裝吸引用戶下載執行，向施種木馬者提供打開被種主機的門戶，使施種者可以任意毀壞、竊取被種者的文件，甚至遠程操控被種主機。木馬病毒的產生嚴重危害著現代網路的安全運行。
一個完整的特洛伊木馬套裝程序含了兩部分：服務端（伺服器部分）和客戶端（控制器部分）。植入對方電腦的是服務端，而黑客正是利用客戶端進入運行了服務端的電腦。運行了木馬程序的服務端以後，會產生一個有著容易迷惑用戶的名稱的進程，暗中打開埠，向指定地點發送數據（如網路游戲的密碼，即時通信軟體密碼和用戶上網密碼等），黑客甚至可以利用這些打開的埠進入電腦系統。
特洛伊木馬程序不能自動操作， 一個特洛伊木馬程序是包含或者安裝一個存心不良的程序的， 它可能看起來是有用或者有趣的計劃（或者至少無害）對一不懷疑的用戶來說，但是實際上有害當它被運行。特洛伊木馬不會自動運行，它是暗含在某些用戶感興趣的文檔中，用戶下載時附帶的。當用戶運行文檔程序時，特洛伊木馬才會運行，信息或文檔才會被破壞和遺失。特洛伊木馬和後門不一樣，後門指隱藏在程序中的秘密功能，通常是程序設計者為了能在日後隨意進入系統而設置的。
特洛伊木馬有兩種，universal的和transitive的，universal就是可以控制的，而transitive是不能控制，刻死的操作。
詳見網路：http://ke..com/subview/16873/16873.htm
『捌』 木馬是怎麼侵入電腦的
1】網路是互聯的，當你從中獲取資源的同時，也要經受其中的考驗，木馬程序會修改並破壞電腦的系統和文件，除了安裝殺毒軟體(包括防火牆)外，還應該盡可能地掌握系統文件知識。下面簡單介紹一下木馬的載入方式： 載入方式：定位於System.ini和Win.ini文件 System.ini(位置C:\windows\) [boot]項原始值配置：「shell=explorer.exe」，explorer.exe是Windows的核心文件之一，每次系統啟動時，都會自動載入。 [boot]項修改後配置：「shell=explorer C:\windows\xxx.exe」(xxx.exe假設一木馬程序)。 Win.ini(位置C:\windows\) [windows]項原始值配置：「load=」；「run=」，一般情況下，等號後無啟動載入項。 [windows]項修改後配置：「load=」和「run=」後跟非系統、應用啟動文件，而是一些你不熟悉的文件名。 解決辦法： 執行「運行→msconfig」命令，將System.ini文件和Win.ini文件中被修改的值改回原值，並將原木馬程序刪除。若不能進入系統，則在進入系統前按「Shift+F5」進入Command Prompt Only方式，分別鍵入命令edit system.ini和edit win.ini進行修改。 載入方式：隱藏在注冊表中(此方式最為隱蔽)。注意以下注冊表項：HKEY_LOCAL_MACHINE\Software\classes\exefile\shell\open\command\ 原始數值數據："%1"% 被修改後的數值數據：C:\system\xxx.exe "%1"% 原注冊表項是運行可執行文件的格式，被修改後就變為每次運行可執行文件時都會先運行C:\system\xxx.exe這個程序。 例如：開機後運行QQ主程序時，該xxx.exe(木馬程序)就先被載入了。 解決辦法： 當通過防火牆得知某埠被監聽，立即下線，檢查注冊表及系統文件是否被修改，找到木馬程序，將其刪除。 所謂「病從口入」感染源還是在於載入了木馬程序的伺服器端。目前，偽裝可執行文件圖標的方法很多，如：修改擴展名，將文件圖標改為文件夾的圖標等，並隱藏擴展名，因此接收郵件和下載軟體時一定要小心。許多木馬程序的文件名很像系統文件名，造成用戶對其沒有把握，不敢隨意刪除，因此要不斷增長自己的知識才可防備萬一。 可以藉助一些軟體來狙擊木馬，如：The Cleaner、Trojan Remover等。建議經常去微軟網站下載補丁包來修補系統；及時升級病毒庫。
2】你不去動它就沒事
動了以後重啟沒用
估計不會在開機啟動項裡面
而是感染了其他程序，比如你的桌面程序等
所以最好不要動它
『玖』 計算機病毒和木馬的工作原理和過程（好的追加200）
「木馬」程序是目前比較流行的病毒文件，與一般的病毒不同，它不會自我繁殖，也並不「刻意」地去感染其他文件，它通過將自身偽裝吸引用戶下載執行，向施種木馬者提供打開被種者電腦的門戶，使施種者可以任意毀壞、竊取被種者的文件，甚至遠程操控被種者的電腦。「木馬」與計算機網路中常常要用到的遠程式控制制軟體有些相似，但由於遠程式控制制軟體是「善意」的控制，因此通常不具有隱蔽性；「木馬」則完全相反，木馬要達到的是「偷竊」性的遠程式控制制，如果沒有很強的隱蔽性的話，那就是「毫無價值」的。
一個完整的「木馬」程序包含了兩部分：「伺服器」和「控制器」。植入被種者電腦的是「伺服器」部分，而所謂的「黑客」正是利用「控制器」進入運行了「伺服器」的電腦。運行了木馬程序的「伺服器」以後，被種者的電腦就會有一個或幾個埠被打開，使黑客可以利用這些打開的埠進入電腦系統，安全和個人隱私也就全無保障了！
病毒是附著於程序或文件中的一段計算機代碼，它可在計算機之間傳播。它一邊傳播一邊感染計算機。病毒可損壞軟體、硬體和文件。
病毒 (n.)：以自我復制為明確目的編寫的代碼。病毒附著於宿主程序，然後試圖在計算機之間傳播。它可能損壞硬體、軟體和信息。
與人體病毒按嚴重性分類（從 Ebola 病毒到普通的流感病毒）一樣，計算機病毒也有輕重之分，輕者僅產生一些干擾，重者徹底摧毀設備。令人欣慰的是，在沒有人員操作的情況下，真正的病毒不會傳播。必須通過某個人共享文件和發送電子郵件來將它一起移動。
「木馬」全稱是「特洛伊木馬(TrojanHorse)」，原指古希臘士兵藏在木馬內進入敵方城市從而佔領敵方城市的故事。在Internet上，「特洛伊木馬」指一些程序設計人員(或居心不良的馬夫)在其可從網路上下載(Download)的應用程序或游戲外掛、或網頁中，包含了可以控制用戶的計算機系統或通過郵件盜取用戶信息的惡意程序，可能造成用戶的系統被破壞、信息丟失甚至令系統癱瘓。
一、木馬的特性
特洛伊木馬屬於客戶/服務模式。它分為兩大部分，既客戶端和服務端。其原理是一台主機提供服務(伺服器端)，另一台主機接受服務(客戶端)，作為伺服器的主機一般會打開一個默認的埠進行監聽。如果有客戶機向伺服器的這一埠提出連接請求，伺服器上的相應程序就會自動運行，來答應客戶機的請求。這個程序被稱為進程。
木馬一般以尋找後門、竊取密碼為主。統計表明，現在木馬在病毒中所佔的比例已經超過了四分之一，而在近年湧起的病毒潮中，木馬類病毒占絕對優勢，並將在未來的若干年內愈演愈烈。木馬是一類特殊的病毒，如果不小心把它當成一個軟體來使用，該木馬就會被「種」到電腦上，以後上網時，電腦控制權就完全交給了「黑客」，他便能通過跟蹤擊鍵輸入等方式，竊取密碼、信用卡號碼等機密資料，而且還可以對電腦進行跟蹤監視、控制、查看、修改資料等操作。
二、木馬發作特性
在使用計算機的過程中如果您發現:計算機反應速度發生了明顯變化，硬碟在不停地讀寫,滑鼠不聽使喚,鍵盤無效,自己的一些窗口在被關閉，新的窗口被莫名其妙地打開，網路傳輸指示燈一直在閃爍，沒有運行大的程序，而系統卻越來越慢，系統資源站用很多，或運行了某個程序沒有反映(此類程序一般不大，從十幾k到幾百k都有)或在關閉某個程序時防火牆探測到有郵件發出……這些不正常現象表明:您的計算機中了木馬病毒。
三、木馬的工作原理以及手動查殺介紹
由於大多玩家對安全問題了解不多，所以並不知道自己的計算機中了「木馬」該怎麼樣清除。因此最關鍵的還是要知道「木馬」的工作原理，這樣就會很容易發現「木馬」。相信你看了這篇文章之後，就會成為一名查殺「木馬」的高手了。(如果成不了高手建議大家用皮筋打斑竹家玻璃，嘿嘿)
「木馬」程序會想盡一切辦法隱藏自己，主要途徑有：在任務欄中隱藏自己，這是最基本的只要把Form的Visible屬性設為False。ShowInTaskBar設為False，程序運行時就不會出現在任務欄中了。在任務管理器中隱形：將程序設為「系統服務」可以很輕松地偽裝自己。
A、啟動組類(就是機器啟動時運行的文件組)
當然木馬也會悄無聲息地啟動，你當然不會指望用戶每次啟動後點擊「木馬」圖標來運行服務端，(沒有人會這么傻吧？？)。「木馬」會在每次用戶啟動時自動裝載服務端，Windows系統啟動時自動載入應用程序的方法，「木馬」都會用上，如：啟動組、win.ini、system.ini、注冊表等等都是「木馬」藏身的好地方。通過win.ini和system.ini來載入木馬。在Windows系統中，win.ini和system.ini這兩個系統配置文件都存放在C:windows目錄下，你可以直接用記事本打開。可以通過修改win.ini文件中windows節的「load=file.exe，run=file.exe」語句來達到木馬自動載入的目的。此外在system.ini中的boot節，正常的情況下是「Shell=Explorer.exe」(Windows系統的圖形界面命令解釋器)。下面具體談談「木馬」是怎樣自動載入的。
1、在win.ini文件中，在[WINDOWS]下面，「run=」和「load=」是可能載入「木馬」程序的途徑，必須仔細留心它們。一般情況下，它們的等號後面什麼都沒有，如果發現後面跟有路徑與文件名不是你熟悉的啟動文件，你的計算機就可能中上「木馬」了。當然你也得看清楚，因為好多「木馬」，如「AOLTrojan木馬」，它把自身偽裝成command.exe文件，如果不注意可能不會發現它不是真正的系統啟動文件。
通過c:windowswininit.ini文件。很多木馬程序在這里做一些小動作，這種方法往往是在文件的安裝過程中被使用，程序安裝完成之後文件就立即執行，與此同時安裝的原文件被Windows刪除干凈，因此隱蔽性非常強，例如在wininit.ini中如果Rename節有如下內容:NUL=c:windowspicture.exe，該語句將c:windowspicture.exe發往NUL,這就意味著原來的文件pictrue.exe已經被刪除，因此它運行起來就格外隱蔽。
2、在system.ini文件中，在[BOOT]下面有個「shell=文件名」。正確的文件名應該是「explorer.exe」，如果不是「explorer.exe」，而是「shell=explorer.exe程序名」，那麼後面跟著的那個程序就是「木馬」程序，就是說你已經中「木馬」了。
win.ini、system.ini文件可以通過「開始」菜單里的「運行」來查看。只要在「運行」對話框中輸入「msconfig」,後點擊「確定」按鈕就行了。(這里大家一定要注意，如果你對計算機不是很了解，請不要輸入此命令或刪除里邊的文件，否則一切後果和損失自己負責。斑竹和本人不承擔任何責任。)
3、對於下面所列的文件也要勤加檢查，木馬們也可能隱藏在
C：\windows\winstart.bat和C:\windows\winnint.ini，還有Autoexec.bat
B、注冊表(注冊表就是注冊表，懂電腦的人一看就知道了)
1、從菜單中載入。如果自動載入的文件是直接通過在Windows菜單上自定義添加的，一般都會放在主菜單的「開始->程序->啟動」處，在Win98資源管理器里的位置是「C:windowsstartmenuprograms啟動」處。通過這種方式使文件自動載入時，一般都會將其存放在注冊表中下述4個位置上：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellFolders
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\UserS!hellFolders
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\explorer\UserShellFolders
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\explorer\ShellFolders
2、在注冊表中的情況最復雜，在點擊至：「HKEY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersion\Run」目錄下，查看鍵值中有沒有自己不熟悉的自動啟動文件，擴展名為EXE，這里切記：有的「木馬」程序生成的文件很像系統自身文件，想通過偽裝矇混過關，如「AcidBatteryv1.0木馬」，它將注冊表「HKEY-LOCAL-MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run」下的Explorer鍵值改為Explorer=「C:\WINDOWS\expiorer.exe」，「木馬」程序與真正的Explorer之間只有「i」與「l」的差別。當然在注冊表中還有很多地方都可以隱藏「木馬」程序，如：「HKEY-CURRENT-USER\Software\Microsoft\Windows\CurrentVersion\Run」、「HKEY-USERS\＊＊＊＊\Software\Microsoft\Windows\CurrentVersion\Run」的目錄下都有可能，最好的辦法就是在「HKEY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersion\Run」下找到「木馬」程序的文件名，再在整個注冊表中搜索即可。
3、此外在注冊表中的HKEY_CLASSES_ROOT\exefile\shell\open\command=
「1」「*」處，如果其中的「1」被修改為木馬，那麼每次啟動一個該可執行文件時木馬就會啟動一次，例如著名的冰河木馬就是將TXT文件的Notepad.exe改成!了它自己的啟動文件，每次打開記事本時就會自動啟動冰河木馬，做得非常隱蔽。
注冊表可以通過在「運行」對話框中輸入「regedit」來查看。需要說明的是，對系統注冊表進行刪除修改操作前一定要將注冊表備份，因為對注冊表操作有一定的危險性，加上木馬的隱藏較隱蔽，可能會有一些誤操作，如果發現錯誤，可以將備份的注冊表文件導入到系統中進行恢復。(次命令同樣很危險，如不懂計算機請不要嘗試。切記)
C、埠(埠，其實就是網路數據通過操作系統進入計算機的入口)
1、萬變不離其宗，木馬啟動都有一個方式，它只是在一個特定的情況下啟動。所以平常多注意你的埠。一般的木馬默認埠有
BO31337，YAL1999，Deep2140，Throat3150，冰河7636，Sub71243
那麼如何查看本機開放哪些埠呢？
在dos里輸入以下命令：netstat-an,就能看到自己的埠了，一般網路常用埠有：21,23,25,53,80,110,139，如果你的埠還有其他的，你可要注意了，因為現在有許多木馬可以自己設定埠。(上面這些木馬的埠是以前的，由於時間和安全的關系現在好多新木馬的埠我不知道，也不敢去試，因為技術更新的太快了，我跟不上了。55555555555555)
2、由於木馬的運行常通過網路的連接來實現的，因此如果發現可疑的網路連接就可以推測木馬的存在，最簡單的辦法是利用Windows自帶的Netstat命令來查看。一般情況下，如果沒有進行任何上網操作，在MS-DOS窗口中用Netstat命令將看不到什麼信息，此時可以使用「netstat-a」,「-a」選項用以顯示計算機中目前所有處於監聽狀態的埠。如果出現不明埠處於監聽狀態，而目前又沒有進行任何網路服務的操作，那麼在監聽該埠的很可能是木馬。
3、系統進程：
在Win2000/XP中按下「CTL+ALT+DEL」，進入任務管理器，就可看到系統正在運行的全部進程，一一清查即可發現木馬的活動進程。
在Win98下，查找進程的方法不那麼方便，但有一些查找進程的工具可供使用。通過查看系統進程這種方法來檢測木馬非常簡便易行，但是對系統必須熟悉，因為Windows系統在運行時本身就有一些我們不是很熟悉的進程在運行著，因此這個時候一定要小心操作，木馬還是可以通過這種方法被檢測出來的。
四、軟體查殺木馬介紹
上面所介紹的都是以手工方式來檢測或者清除木馬，但一般情況下木馬沒有那麼容易就能發現，木馬是很會隱藏的哦。幸好在已經有了不少的反木馬軟體。下面介紹幾款軟體，
1、瑞星殺毒軟體。
2、個人版天網防火牆。根據反彈式木馬的原理，就算你中了別人的木馬，但由於防火牆把你的計算機和外界隔開，木馬的客戶端也連接不上你。防火牆啟動之後，一旦有可疑的網路連接或者木馬對電腦進行控制，防火牆就會報警，同時顯示出對方的IP地址、接入埠等提示信息，通過手工設置之後即可使對方無法進行攻擊。不過對於一些個別機器來說，運行天網會影響機器的運行速度。
3、木馬剋星。目前具我所知，是只查殺木馬的軟體，也是能查殺木馬種類最多的軟體。顧名思義，木馬剋星不克乾坤無敵槌也不克北冥槌法，專克各種木馬。但也不是絕對哦，好象「灰鴿子」能屏蔽掉木馬剋星。(聽說而已沒試過哦。「灰鴿子」也是一種木馬，和冰河差不多。)(現在木馬剋星大多是沒注冊的版本。用木馬剋星查木馬時，要是提示你發現木馬只有注冊用戶才能清除，這只是作者的一個小手段，其實他的意思是如果發現木馬，那麼只有注冊用戶才能清楚，要是真的發現了木馬，軟體會告訴你木馬的具體位置和名字是什麼。我們用其他的軟體和手段清除不就行了)
4。綠鷹PC萬能精靈。他會實時監控你的計算機，看著「系統安全」心理舒服多了。
有了類似的這些防護軟體，你的計算機基本上是安全了。但道高一尺，魔高一丈。最近又出現了一種可以把木馬偽裝易容的程序(不知道是哪個高手搞的，很是厲害)，就是把木馬本體根據排列組合生成多個木馬，而殺毒軟體只能查殺他們的母體。而後生成的木馬就不能查到了，所以手動人工的清除木馬我們還是要掌握一些地。
軟體查殺其他病毒很有效，對木馬的檢查也是蠻成功地，但徹底地清除不很理想，因為一般情況下木馬在電腦每次啟動時都會自動載入，而殺病毒軟體卻不能完全清除木馬文件，總的說來，殺病毒軟體作為防止木馬的入侵來說更有效。
五、木馬的防禦
隨著網路的普及和網路游戲裝備可以換人民幣的浪潮，木馬的傳播越來越快，而且新的變種層出不窮，我們在檢測清除它的同時，更要注意採取措施來預防它，下面列舉幾種預防木馬的方法。(大家的意見，我借用而已)
1、不要下載、接收、執行任何來歷不明的軟體或文件
很多木馬病毒都是通過綁定在其他的軟體或文件中來實現傳播的，一旦運行了這個被綁定的軟體或文件就會被感染，因此在下載的時候需要特別注意，一般推薦去一些信譽比較高的站點。在軟體安裝之前一定要用反病毒軟體檢查一下，建議用專門查殺木馬的軟體來進行檢查，確定無毒和無馬後再使用。
2、不要隨意打開郵件的附件，也不要點擊郵件中的可疑圖片。(後邊另外介紹一個關於郵件的例子，大家注意收看。)
3、將資源管理器配置成始終顯示擴展名。將Windows資源管理器配置成始終顯示擴展名，一些文件擴展名為vbs、shs、pif的文件多為木馬病毒的特徵文件，如果碰到這些可疑的文件擴展名時就應該引起注意。
4、盡量少用共享文件夾。如果因工作等原因必須將電腦設置成共享，則最好單獨開一個共享文!件夾，把所有需共享的文件都放在這個共享文件夾中，注意千萬不要將系統目錄設置成共享。
5、運行反木馬實時監控程序。木馬防範重要的一點就是在上網時最好運行反木馬實時監控程序，PC萬用精靈等軟體一般都能實時顯示當前所有運行程序並有詳細的描述信息。此外如加上一些專業的最新殺毒軟體、個人防火牆等進行監控基本就可以放心了。
6、經常升級系統。很多木馬都是通過系統漏洞來進行攻擊的，微軟公司發現這些漏洞之後都會在第一時間內發布補丁，很多時候打過補丁之後的系統本身就是一種最好的木馬防範辦法。
六、木馬傳播的個別範例(給大家介紹一個郵件類的)
1、來自網路的攻擊手段越來越多了，一些帶木馬的惡意網頁會利用軟體或系統操作平台等的安全漏洞，通過執行嵌入在網頁HTML超文本標記語言內的JavaApplet小應用程序、javascript腳本語言程序、ActiveX軟體部件交互技術支持可自動執行的代碼程序，強行修改用戶操作系統的注冊表及系統實用配置程序，從而達到非法控制系統資源、破壞數據、格式化硬碟、感染木馬程序、盜取用戶數據資料等目的。
目前來自網頁的攻擊分為兩種：一種是通過編輯的腳本程序修改IE瀏覽器；另外一種是直接破壞Windows系統。前者一般會修改IE瀏覽器的標題欄、默認主頁或直接將木馬「種」在你的機器里等等；後者是直接鎖定你的鍵盤、滑鼠等輸入設備然後對系統進行破壞。
(作者插言)：還好目前盜取千年用戶名和密碼的「木馬」功能還僅僅是偷盜行為，沒有發展成破壞行為。要不然號被盜了，在順便把硬碟被格式化了。那樣想第一時間找回密碼就都沒可能。希望這種情況不要發生。(啊門我彌佗佛)
下邊是正題了，大家看仔細了！
假如您收到的郵件附件中有一個看起來是這樣的文件(或者貌似這類文件，總之是特別誘人的文件，而且格式還很安全。)：QQ靚號放送.txt，您是不是認為它肯定是純文本文件？我要告訴您，不一定！它的實際文件名可以是QQ靚號放送.txt.{3050F4D8-98B5-11CF-BB82-00AA00BDCE0B}。
{3050F4D8-98B5-11CF-BB82-00AA00BDCE0B}在注冊表裡是HTML文件關聯的意思。但是存成文件名的時候它並不會顯現出來，您看到的就是個.txt文件，這個文件實際上等同於QQ靚號放送.txt.html。那麼直接打開這個文件為什麼有危險呢？請看如果這個文件的內容如下：
您可能以為它會調用記事本來運行，可是如果您雙擊它，結果它卻調用了HTML來運行，並且自動在後台開始通過網頁載入木馬文件。同時顯示「正在打開文件」之類的這樣一個對話框來欺騙您。您看隨意打開附件中的.txt的危險夠大了吧？
欺騙實現原理：當您雙擊這個偽裝起來的.txt時候，由於真正文件擴展名是.{3050F4D8-98B5-11CF-BB82-00AA00BDCE0B}，也就是.html文件，於是就會以html文件的形式運行，這是它能運行起來的先決條件。
在某些惡意網頁木馬中還會調用「WScript」。
WScript全稱WindowsScriptingHost，它是Win98新加進的功能,是一種批次語言/自動執行工具——它所對應的程序「WScript.exe」是一個腳本語言解釋器，位於c:\WINDOWS下，正是它使得腳本可以被執行，就象執行批處理一樣。在WindowsScriptingHost腳本環境里，預定義了一些對象，通過它自帶的幾個內置對象，可以實現獲取環境變數、創建快捷方式、載入程序、讀寫注冊表等功能。
最近聽不少玩家反映，許多馬夫通過冒充千年官方網站的辦法給玩家發名字類似「您的千年密碼確認函」、「您的千年資料保護建議」等的郵件，來騙取玩家的信任，來點擊運行該木馬郵件。希望廣大玩家在點擊這類郵件時一定要看清郵件是否來自於千年官方網站。如是來自其他什麼網站或個人郵箱的，馬上刪除，記得一定要馬上刪除，別抱任何僥幸心理。
七、關於「木馬」的防禦(純屬個人意見，不付法律責任)
防止木馬對在家上網來說是很簡單的事，無非就是裝一大堆殺毒軟體，並及時升級。(再新的木馬只要傳播速度快的話很快就會成為各種殺毒軟體的戰利品，除非此人專門定做個人木馬)在加上天網防火牆(很多黑客就是利用口令和漏洞進行遠程式控制制，該防火牆可以防止口令和漏洞入侵)基本上就可以解決問題啦，除非是自己好奇或是不小心打開了木馬服務端，我想這種情況還是佔一定的比例！
但是對網吧上網的來說，再好的防禦也是白撤。
據我所知，現在的網吧安全系數幾乎等於00000000，現在最厲害的應該就是裝個還「原精靈吧」，但是......我個人認為那東西用處不是很大，說是保護用戶密碼還不如說它是網吧保護系統的一種軟體。現在的木馬一般都是通過郵件方式傳送密碼的，也就是說，你只要在輸入框內輸入你的密碼之後，木馬控制方就已經得到你的ID和密碼了(一般不會超過三分鍾)！對網吧上網的朋友來說，靠復制方法輸入ID和密碼算最安全的了，很多木馬程序實際上就是一個鍵盤記錄工具，在你不知情的情況下把你的鍵盤輸入情況全部記錄了下來，然後通過網路發送出去！(好可怕哦，不過具我所知現在公安部和文化部已經明令禁止網吧安裝還原精靈了，說是為了保留歷史記錄雲雲。唉~~就這么點防禦手段也給封殺了，哭哦)
總之，家庭上網用戶記得隨時更新自己的病毒庫，隨時檢查計算機進程，發現不明進程馬上格殺，不瀏覽一些不明站點(我通常是靠域名來分析站點的可靠程度，一般一級域名都不會出現惡意代碼和網頁木馬)，更別隨意接收別人給你發送的文件和郵件！
網吧防盜真的很困難了，什麼人都有，復雜了，就算老闆花錢去注冊一個木馬剋星，呵呵。。。都沒用，想做壞事的人同樣能把他幹掉~~~~我個人認為，網吧上網除了復制ID密碼粘貼到輸入框，其他的就得聽天由命了~~~~~
八、關於大家都用的醉翁巷1.1G的說明
用了人家的軟體，就總要替人家說句公道話。前些時候，有人說醉翁1.1G軟體運行後，沒什麼反映。當關閉軟體的一剎那，一些防護類軟體提示：此軟體正在監視本機鍵盤！！
其實就是醉翁巷中的hook.dll文件在作怪。下面給大家說說「勾子」的我問題。
什麼是勾子
在Windows系統中，勾子(hook)是一種特殊的消息處理機制。勾子可以監視系統或進程中的各種事件消息，截獲發往目標窗口的消息並進行處理。這樣，我們就可以在系統中安裝自定義的勾子，監視系統中特定事件的發生，完成特定的功能，比如截獲鍵盤、滑鼠的輸入，屏幕取詞，日誌監視等等。可見，利用勾子可以實現許多特殊而有用的功能。因此，對於高級編程人員來說，掌握勾子的編程方法是很有必要的。
勾子的類型
按使用范圍分類，主要有線程勾子和系統勾子
(1)線程勾子監視指定線程的事件消息。
(2)系統勾子監視系統中的所有線程的事件消息。因為系統勾子會影響系統中所有的應用程序，所以勾子函數必須放在獨立的動態鏈接庫(DLL)中。這是系統勾子和線程勾子很大的不同之處。
醉翁巷中的hook.dll就是完成以上功能的程序，由於勾子對程序的特殊性，所以會有部分軟體報告發現他在記錄鍵盤動作，不過不會報告說他是木馬。(呵呵搞的確實挺嚇人的。不過就算它記錄鍵盤動作，只要不發送就沒太大危險了)
九、大總結(就是對上邊的大總結啦)
大家知道了「木馬」的工作原理，查殺「木馬」就變得很容易，如果發現有「木馬」存在，最安全也是最有效的方法就是馬上將計算機與網路斷開，防止黑客通過網路對你進行攻擊。然後在根據實際情況進行處理。
『拾』 伺服器上有木馬怎麼解決啊急!~
一、備份重要文件、數據後重裝。
1、解釋：很明顯，你的伺服器被人非法登錄（入侵）。入侵後黑客可做的事很多，比如植入遠程式控制制、遠程上傳下載類程序等。 故此，不要去想著如何清理。伺服器的安全是非常重要的。
2、重裝時，請選用比較新的伺服器操作系統，在當前應選擇windows 2003或windows 2008。
3、請使用可靠的win版本，千萬不要使用所謂的「xxx專版」或「xxx免激活版」。如果你購買了正版，請使用正版，如果沒有購買正版，可以考慮使用伺服器品牌對應的OEM版或改伺服器的BIOS偽裝成某品版的機器後安裝對應的OEM版（僅win2003有效）。
4、安裝伺服器時一定不要使用伺服器上已存在任何文件，伺服器C盤在安裝過程中直接刪去分區後重分。其它盤在安裝過程中不要打開以防止「雙擊盤符便自動運行類病類」，並自個去網上查一下此類病毒的相關防護和處理辦法（可以很方便地手工處理掉）（當然，你的機器上很可能沒有，只是小心為好）。驅動請從可靠來源盤安裝（比如正版光碟、隨機光碟，或對無毒的機器上下載後刻錄盤）。
5、安裝完系統後不要訪問任何不可靠網站，第一時間使用windows updata升級windows，完成所有可升級補丁後，對系統分區進行鏡像備份。對於伺服器來說，當前最可靠的還是在DOS下使用ghost進行系統備份。
6、加裝殺毒軟體、正確設定你的伺服器的工作狀態後，再一次使用ghost進行系統備份。伺服器的網站目錄、數據目錄不應存在於系統分區，且應對它們進行每日備份。
7、在這里個人推薦Mcafee 8.7i。
二、安裝、並設定好防火牆。
1、安裝軟體防火牆，使你的伺服器的外聯只開放最必要的埠。 個人推薦Mcafee的防火牆。
2、最好安裝硬體防火牆，如果經濟條件不足，至少買一個比較好的soho級的路由器(價格只需二百元左右)，並使用埠印射來向外提供服務，這樣，伺服器就不直接與外界聯通，黑客想單方面從外部攻入是非常難的。
三、控制好伺服器硬碟的讀寫權，及網站讀寫權。
1、如果是win系的伺服器，請一定使用NTFS，系統分區使用默認讀寫權（不要去修改），其它分區加上Users組的可讀寫權，並向下繼承。
2、網站文件、數據文件不要放在「我的文檔」中。
3、關閉所有網站的可持行權！除非你非常確信你在幹嘛。
四、特別提示：伺服器的管理員口令請全部更換，不要用原來的！
五、對於你的網頁掛馬，最簡單的做法是將重要數據留下，所有的網頁文件全更換為干凈的。
六、對於網頁掛馬，當前最常用的方式是：伺服器系統漏洞（從你的說法來看這是最可能的）、SQL注入（請升級你的資料庫伺服器到最新）。