一个困扰我这个高级程序员的挺牛的病毒或叫木马，达人请进！
最新补充：楼主的探索精神值得肯定，忧国忧民也反映楼主的爱国情怀。但我要说的是，世界上的病毒是以亿为单位的，恐怕穷尽一生也无法都理解和解决。正如现在很多做杀毒软件的，又有几家能做到杀尽天下毒呢？大多用户最终对杀毒软件丧失信心，直接分区格盘来解决问题。如果楼主非要弄清楚自己中的毒原理：
一：寻找制作该病毒的人，问他原理，然后自己破解
二：去各大杀毒软件网站，询问里面研究病毒的人。
三：去各大黑客去的网站和论坛，请教他们
注：在百度知道里，估计你也只能找到像我们这样给你直接解决方法的人，而不是能告诉你原理的人。
楼主别以为自己是高级程序员，就等同自己是解决木马或病毒的高手
做病毒和木马的人比你这个高级程序员更加高级！你怎么可能用自己初级的水平来与之抗衡呢！
1、你恢复过c盘吗？没恢复过怎么知道恢复后还是不能解决呢？先试了再下结论！
2、当然恢复好后不要点任何一个盘，立刻更新杀软然后对全盘进行杀毒
只要不是最强的病毒，一般这样做已经能够杀死病毒。如果是最强的，正如你说的，可以通过重新对硬盘进行重新分区，至于你那些所谓重要的资料可以用移动硬盘拷出，弄好后在拷回来就行了。
3、有些清高的人，老是想走捷径来杀死病毒，但往往是杀了后又会自动重生，最终还不是要靠最简单的重装系统或重新对硬盘进行分区来解决吗？绕一大圈还是回到原点，还不是早点用简单方法呢！
4、如果该病毒并不能影响你的正常使用，你又何苦要杀掉它呢？比如说中了盗号木马，你没有什么可被人偷的，尽可以让他留着，等到自己实验的东西结束后再回过头干掉它！
help.vagaa.com
现在的vagaa启动后会自动下载木马程序，不光关机会出现问题，就是默认启动vagaa自动下载没下载完的任务也会不好用，并在每次退出都开始修改注册表。
这个木马是挂在了vagaa安装程序上，我和这个木马奋战了好几天了，有点心得。
首先，你要想用vagaa就自动加载了这个568的流氓软件，这是不能避免的。除非你不用vagaa。
在安装完vagaa后，会自动在你的硬盘每个分区都建立文件夹，比如你硬盘有3个分区，那么他就在每个分区都建立Downloads、TDDownloads、VGDownloads文件夹。每个分区都建立一个文件夹，名称不确定，但肯定是上诉3个中的一个。我的电脑上安装了2个硬盘，vagaa只是在系统盘所在的硬盘加载文件夹，另一块硬盘不加载。
下面就是关键了，你要到vagaa安装目录的文件夹，找到Downloads和TDDownloads文件夹，清除里边的所有文件，然后到每个盘符下，找到类似Downloads、TDDownloads、VGDownloads这3个文件夹，把里边的所有文件都清空。然后启动vagaa,点查看共享，点共享文件和共享目录里边的3个文件夹，你会发现里边已经自动加载了木马程序，一般是大小为几k的exe文件，删除它们。现在你退出vagaa就不会在桌面上出现3个快捷键了。
其实不光建立3个快捷键，每次退出vagaa，都会自动修改注册表，把568做为首页。如果你在vagaa中设置了启动vagaa自动下载没完成的任务，也会不好用。
但由于vagaa是自动在互联网上下载文件的，你不可能把他的下载封了，那样vagaa也就失去意义了，所以他还会不断的下载木马到你的电脑中，并修改成568，所以，你每次退出vagaa前都要到共享文件中看看，把他下载的木马删除，vagaa确实挺流氓的，都快恨死我了，但用他下载好片还真是不错，唉，又爱又恨啊。
你的2.6.6.5版本比2.6.6.6还垃圾，他的木马更多，还自动添加启动项，修改的网址不是568，是另外一个。
Windows系统下常遇的木马预防技巧总结
木马程序是目前比较流行的一类病毒文件，它与一般的病毒不同，它不会自我繁殖，也并不刻意地去感染其他文件。它通过将自身伪装吸引用户下载执行，或以捆绑在网页中的形式，当用户浏览网页时受害。木马程序向施种木马者提供打开被种者电脑的门户，使施种者可以任意毁坏、窃取被种者的文件和隐私，甚至远程操控被种者的电脑。木马的原理和计算机网络中常常要用到的远程控制软件相似，但由于远程控制软件是“善意”的控制，因此通常不具有隐蔽性;而木马程序则完全相反，木马要达到的是“偷窃”性的远程控制，如果没有很强的隐蔽性的话，那就是毫无价值的。
木马通常有两个可执行程序:一个是客户端，即控制端，另一个是服务端，即被控制端。木马的设计者为了防止木马被发现，而采用多种手段隐藏木马。木马的服务一旦运行，电脑就会有一个或几个端口被打开，黑客就可以利用控制端进入运行了服务端的电脑，甚至可以控制被种者的电脑，所以被种者的安全和个人隐私也就全无保障了!
随着微软的.操作系统从Win9X过渡到WinNT系统(包括2000/xp/2003)，微软的任务管理器也一下子“脱胎换骨”，变得“火眼金睛”起来 (在Win9X中，只需要将进程注册为系统服务就能够从进程查看器中隐形，可是这一切在WinNT中却完全不同，无论木马从端口、启动文件上如何巧妙地隐藏自己，始终都不能欺骗WinNT的任务管理器)，这使得以前在win9X操作系统下靠将进程注册为系统服务就能够从任务管理器中隐形的木马面临前所未有的危机，所以木马的开发者及时调整了开发思路，转入了开发可以躲避WinNT的任务管理器的进程查询的动态嵌入式DLL木马。
要弄清楚什么是动态嵌入式DLL木马，我们必须要先了解Windows系统的另一种“可执行文件”——DLL，DLL是Dynamic Link Library(动态链接库)的缩写，DLL文件是Windows的基础，因为所有的API函数都是在DLL中实现的。DLL文件没有程序逻辑，是由多个功能函数构成，它并不能独立运行，DLL文件一般都是由进程加载并调用的。
因为DLL文件不能独立运行，所以在进程列表中并不会出现DLL。所以木马的开发者就通过编写动态嵌入式DLL木马，并且通过别的进程来运行它，那么无论是入侵检测软件还是进程列表中，都只会出现那个进程而并不会出现那个DLL木马。如果那个进程是可信进程(例如资源管理器Explorer.exe)，那么就没人会怀疑DLL文件也是个木马了。从而木马就又实现了自己的隐蔽性的功能，所以，预防DLL木马也是相当重要的。
怎么用木马？
木马和冰河的使用！【教程】
木马
大家对他的名字很熟悉吧？？是啊木马作为一个远程控制的软件已经深入人心，木马是
什么那？如何使用木马程序控制他人那？？先不要着急，我们来看看木马的发展，对这
个工具作一个简单的介绍：
黑客程序里的特洛伊木马有以下的特点：
（1）主程序有两个，一个是服务端，另一个是控制端。（如果你下载了，请千万不要
用鼠标双击服务器端）
（2）服务端需要在主机（被你控制的电脑）执行。
（3）一般特洛伊木马程序都是隐蔽的进程。（需要专业的软件来查杀，也有不用软件
查杀的办法，我会介绍）
（4）当控制端连接服务端主机后，控制端会向服务端主机发出命令。而服务端主机在
接受命令后，会执行相应的任务。
（5）每个系统都存在特洛伊木马。（包括Windows，Unix，liunx等）
眼中，特洛伊木马是一种病毒。其实特洛伊木马并不是一种病毒，它没有完全具备病
毒的性质。（包括：转播，感染文件等，但是很多的杀毒软件还是可以查杀，毕竟这是
一种使用简单但是危害比较大的软件）
木马的发展：
第一代木马：控制端 -- 连接 -- 服务端
特点：属于被动型木马。能上传，下载，修改注册表，得到内存密码等。
典型木马：冰河，NetSpy，back orifice（简称：BO）等。
第二代木马：服务端 -- 连接 -- 控制端
特点：属于主动型木马。隐蔽性更强，有利用ICMP协议隐藏端口的，有利用DLL（动态
连接库）隐藏进程的，甚至出现能传播的木马。
典型木马：网络神偷，广外女生等。（反弹端口型木马）
第二代木马象广外女生可以使用WINDOWS的漏洞，越过许多防火墙从而进行对系统的监
控（像金山，天网等）
随着木马的发展，并且作为很多人使用的软件，杀毒软件也越来越对这个传播很广的半
病毒不病毒的软件越来越关注（因为作为服务器端可以夹带在任何文件中传播，只要你
打开这个文件，你就肯定会被中上木马，甚至可以在网络上通过下载来传播）所以查杀
木马的工具很多，但是道高一尺，魔高一丈，木马又不断演化出新的品种来对抗杀毒软
件，毕竟中国的广大网民的安全意识不高，加上盗版猖狂，可以正式在网络上进行升级
的并不多，所以木马还是很有使用空间的。下面，我们将介绍一款国产的木马-------
冰河。
需要工具：冰河（随便你找什么版本，因为界面根本就差不多）
Superscan3.0 中文汉化版（上黑白搜索一下可以找到）
首先最重要的一步-------工具接压缩（啊~~我知道是废话。。大家多多包涵嘛。。不
要打拉）
然后运行Superscan3.0（就是那连着的两个电脑图标）
出现界面在IP表里面有两个选项
起始IP：
终止IP：
随便填上两个IP地址（最好是C类IP范围从192.0.0.0--223.255.255.255）
顺便讲一下IP的类型：
A类范围：0.0.0.0---127.255.255.255
B类范围：128.0.0.0---191.255.255.255
C类范围：192.0.0.0---223.255.255.255
D类范围：224.0.0.0---239.255.255.255
E类范围：240.0.0.0---247.255.255.255
一般只有B、C类用的着D类地址是用于多点播送的其他的我也不是很清楚，有兴趣的朋
友可以看看相关的资料。。。。。
闲话说到这里我们继续看起始IP和终止IP
我给大家一个参考
起始IP：202.103.139.1
终止IP：2020103.139.255
填好这个在扫描类型里看列表中定义：
你可以扫描很多的端口，但那对我们的木马攻击没有实际意义
所以我们把两个窗口填上7626（冰河服务端开的端口）。
好了，点开始。
扫描结果会出现在底下兰色的列表中
当然不是所有的结果都有用你要按“Prune”把多余的IP删除掉。剩下IP就是中了冰河
的主机。（假如没有找到，请不要灰心，继续扫描。一个成功的黑客最重要是有耐心
！）
好了打开我们的冰河的客户端（再次提醒！！千万不要点服务器端！！！否则你等于种
木马给自己！！什么？？你已经点了？？你不会那么傻吧。。。。）
具体功能包括:
1．自动跟踪目标机屏幕变化，同时可以完全模拟键盘及鼠标输入,即在同步被控端屏幕
变化的同时，监控端的一切键盘及鼠标*作将反映在被控端屏幕（局域网适用）；
2．记录各种口令信息：包括开机口令、屏保口令、各种共享资源口令及绝大多数在对
话框中出现过的口令信息；
3．获取系统信息：包括计算机名、注册公司、当前用户、系统路径、*作系统版本、当
前显示分辨率、物理及逻辑磁盘信息等多项系统数据；
4．限制系统功能：包括远程关机、远程重启计算机、锁定鼠标、锁定系统热键及锁定
注册表等多项功能限制；
5．远程文件*作：包括创建、上传、下载、复制、删除文件或目录、文件压缩、快速浏
览文本文件、远程打开文件（提供了四中不同的打开方式--正常方式、最大化、最小化
和隐藏方式）等多项文件*作功能；
6．注册表*作：包括对主键的浏览、增删、复制、重命名和对键值的读写等所有注册表
*作功能；
7．发送信息：以四种常用图标向被控端发送简短信息；
8．点对点通讯：以聊天室形式同被控端进行在线交谈。
呵呵，是不是很拽？？哼哼~~我叫你不服！！！我要删掉你C盘文件！！！修改你注册
表！！盗你QQ号码！！上网帐号！！
！………………………………………………………………
罗嗦一下！！你们千万不要搞破坏哦，学会了使用就好。。。
接着，我会介绍特洛伊木马“冰河”的使用：
首先打开客户端
出现*作界面
文件 编辑 设置 帮助
点文件出现下拉菜单
点自动搜索
出现提示框
里面只有起始域 起使地址 终止地址
这三个比较有用
比如我刚才用Superscan3.0 中文汉化版搜索到的IP是202.103.139.25
那么我们就在起始域里输入：202.103.139
起始地址：25
终止地址：25
表示搜索这一个主机
如果扫描结果里显示ERR表示该计算机没有种木马，如果是OK你就爽拉~~
（你也可以在起始域里输入：202.103.139起始里面：1终止里面255，这样是搜索
202.103.139子网里所有的计算机）
看到这里有的朋友会问拉，既然木马可以自己扫描为什么还要上面哪个工具？？嘿嘿~~
哪个比较快嘛，多学一点没有坏处的~~（啊~~我错了还不行？？大家息怒）
只要有扫到的OK的IP就会把该计算机的IP添到主界面的文件管理的下面他的前面有一个
小加号，点开他你可以随便对对方的文件进行修改删除了，你甚至可以上传一个病毒到
他的文件夹中（不推荐，你们没那么大仇吧？？）
好了我们再来看看文件管理右面的命令控制台，这里有你感兴趣的东西哦~~命令很简单
都是一看就会的，你们只要每个都实验一下就知道作什么用的拉
由于危害性我只介绍一个点“命令控制台”---“控制类命令”---“系统控制”
简单的就象小孩子的游戏~~~
看看下面有什么？？
远程关闭计算机
远程从新启动计算机
后面两个没什么用不理他也罢
你只要点一下远程“关闭计算机”
OK拉，他的电脑自己关机拉，不相信？？好，QQ上和他说话，他能回答你才怪：）
好了，关于*作的方法我已经向大家介绍了，这是一个傻瓜式的软件，*作命令全中文，
作用一看就知道，很容易上手，用他来盗QQ也不错哦~~~~（在口令类命令的系统信息及
口令里，要先做键盘记录哦）具体方法请自己研究，我可不想犯罪。。
关于使用方法就介绍到这里，到这里以上为止都是对不特定人物的入侵，那么要怎么对
特定的人物进行入侵那？？记得我不叫你们点的服务器端吗？呵呵，就是他，他是没有
图标的一个运行文件，可以夹带在几乎任何文件里运送，比如照片，FLASH等……（有
相关的合成软件，我不知道具体那里有下载，不过我有的，你们需要可以找我，不过不
要拿来作坏事）你只需要给你的网友用QQ传送个照片呀，一篇文章呀就可以顺利种上木
马，然后你要取得他（她）的IP地址就可以对他进行控制拉，这方法不是我教你们的啊
！！以后不要出卖我，还有电子邮件也可以传播。。。。。。。木马病毒。。
方法有很多大家可以自己研究。。。。。。
下面有几点提示：
1：为什么我解压缩的时候杀毒软件老是报有病毒呀？？
木马本身就是一个病毒，只要你不点服务器端，对你不会造成任何影响
运行的时候也要关掉防火墙，否则系统无法运行。
2：为什么我种上木马以后连接不到计算机？？
很简单，你的版本过旧拉，去下载新的版本吧，再者对方在网吧，由于
设定和家里不一样所以无法连接请尽量选择在家里的倒霉鬼进行实验。
什么？？你不知道他是不是在家？？看QQ的IP地址
比如对方IP是202.103.139.22：4000表示在家
202.103.139.22：1030网吧
只有后面是4000、7000的用户是在家
有的时候是4001、4002表示对方现在运行的QQ数目，不用管他
3：关于冰河的万能密码：
2.2版：Can you speak chinese?
2.2版：05181977
3.0版：yzkzero
3.0版：yzkzero.51.net
3.0版：yzkzero!
3.1-netbug版密码: 123456!@
2.2杀手专版：05181977
2.2杀手专版：dzq2000!
有的是要密码口令登陆的，不过一般不要，也不用刻意注意
4：我也种上服务器端了，对方也在家，他也并没发觉我给他种了，但就是连接不正常
呵呵，对方懂得使用代理服务器那你看到的IP地址不是真实的IP地址。这种情况，你还
是放弃吧。
5：冰河是一个很麻烦的家伙，卸载很麻烦就是你安装以后卸载和其他的程序不一样
网上相关文章很多，我由于最近考试关系就不一一介绍了，你可以去黑白网络看看：）
6：如果清除冰河服务端：
方法一： 俗话说，解铃还需系铃人。中了冰河，就用它的控制端来卸载服务端。具体
方法：
1、启动“冰河”的控制端程序。
2、选择“文件”--“添加主机”，或者直接点击快接按钮栏的第一个图标 。
3、弹出的对话框中，“远程主机”一项，填写自己的IP。
4、连接服务端，然后，点击“命令控制台”标签。
5、选择“控制类命令”--“系统控制”，在右面的窗口下方，你会发现四个按钮。点
击“自动卸载”，就将冰河的服务器端清除了。
方法二：
冰河 v1.1
1、打开注册表“Regedit.exe”。（可以在“开始”--“运行”里输入
“regedit”。）
2、点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
3、查找以下的两个路径，并删除
“C:\windows\system\kernel32.exe”
"“C:\windows\system\sysexplr.exe”
4、关闭“Regedit.exe”，重新启动Windows。
5、删除“C:\windows\system\kernel32.exe”和
“C:\windows\system\sysexplr.exe”木马程序。
6：重新启动。完成。
方法一是对于你给别人种的服务器端的，记得玩完以后给人家清除掉，作事情不要那么
决情！！
方法二是对于清除自己计算机里的服务器端的，现在就好好看看是不是由于自己的疏忽
被人家种下冰河。。。。。。。。。
小结：对于木马的大家庭来说冰河只是一个小弟弟，但是大家也看到了他的危害性，所
以本人只建议大家学习这个软件，并不是用他去干什么，恶意破坏是低级黑客（根本可
以说是菜鸟）的做法，建议大家不要搞破坏，学习就好。。。。。。。。。。
木马程序病毒对计算机有何伤害？
它是一种基于远程控制的黑客工具，具有隐蔽性和非授权性的特点。
所谓隐蔽性是指木马的设计者为了防止木马被发现，会采用多种手段隐藏木马，这样服务端即使发现感染了木马，由于不能确定其具体位置，往往只能望“马”兴叹。
所谓非授权性是指一旦控制端与服务端连接后，控制端将享有服务端的大部分操作权限，包括修改文件，修改注册表，控制鼠标，键盘等等，而这些权力并不是服务端赋予的，而是通过木马程序窃取的。
从木马的发展来看，基本上可以分为两个阶段。
最初网络还处于以UNIX平台为主的时期，木马就产生了，当时的木马程序的功能相对简单，往往是将一段程序嵌入到系统文件中，用跳转指令来执行一些木马的功能，在这个时期木马的设计者和使用者大都是些技术人员，必须具备相当的网络和编程知识。
而后随着WINDOWS平台的日益普及，一些基于图形操作的木马程序出现了，用户界面的改善，使使用者不用懂太多的专业知识就可以熟练的操作木马，相对的木马入侵事件也频繁出现，而且由于这个时期木马的功能已日趋完善，因此对服务端的破坏也更大了。
所以所木马发展到今天，已经无所不用其极，一旦被木马控制，你的电脑将毫无秘密可言。
二、木马原理
鉴于木马的巨大危害性，我们将分原理篇，防御与反击篇，资料篇三部分来详细介绍木马，希望大家对特洛伊木马这种攻击手段有一个透彻的了解。
【一、基础知识 】
在介绍木马的原理之前有一些木马构成的基础知识我们要事先加以说明,因为下面有很多地方会提到这些内容。
一个完整的木马系统由硬件部分，软件部分和具体连接部分组成。
(1)硬件部分：建立木马连接所必须的硬件实体。 控制端：对服务端进行远程控制的一方。 服务端：被控制端远程控制的一方。 INTERNET：控制端对服务端进行远程控制，数据传输的网络载体。
(2)软件部分：实现远程控制所必须的软件程序。 控制端程序：控制端用以远程控制服务端的程序。 木马程序：潜入服务端内部，获取其操作权限的程序。 木马配置程序：设置木马程序的端口号，触发条件，木马名称等，使其在服务端藏得更隐蔽的程序。
(3)具体连接部分：通过INTERNET在服务端和控制端之间建立一条木马通道所必须的元素。 控制端IP，服务端IP：即控制端，服务端的网络地址，也是木马进行数据传输的目的地。 控制端端口，木马端口：即控制端，服务端的数据入口，通过这个入口，数据可直达控制端程序或木马 程序。
用木马这种黑客工具进行网络入侵，从过程上看大致可分为六步(具体可见下图)，下面我们就按这六步来详细阐述木马的攻击原理。
一.配置木马
一般来说一个设计成熟的木马都有木马配置程序，从具体的配置内容看，主要是为了实现以下两方 面功能：
(1)木马伪装：木马配置程序为了在服务端尽可能的好的隐藏木马，会采用多种伪装手段，如修改图标 ，捆绑文件，定制端口，自我销毁等，我们将在“传播木马”这一节中详细介绍。
(2)信息反馈：木马配置程序将就信息反馈的方式或地址进行设置，如设置信息反馈的邮件地址，IRC号 ，ICO号等等，具体的我们将在“信息反馈”这一节中详细介绍。
【二、传播木马】.
(1)传播方式:
木马的传播方式主要有两种:一种是通过E-MAIL,控制端将木马程序以附件的形式夹在邮件中发送出 去, 收信人只要打开附件系统就会感染木马;另一种是软件下载，一些非正规的网站以提供软件下载为名义， 将木马捆绑在软件安装程序上，下载后，只要一运行这些程序，木马就会自动安装。
(2)伪装方式:
鉴于木马的危害性,很多人对木马知识还是有一定了解的,这对木马的传播起了一定的抑制作用,这 是木马设计者所不愿见到的,因此他们开发了多种功能来伪装木马,以达到降低用户警觉,欺骗用户的目的。
(一)修改图标
当你在E-MAIL的附件中看到这个图标时,是否会认为这是个文本文件呢?但是我不得不告 诉你,这也有可能是个木马程序,现在 已经有木马可以将木马服务端程序的图标改成HTML,TXT, ZIP等各种文件的图标,这有相当大的迷 惑性,但是目前提供这种功能的木马还不多见,并且这种 伪装也不是无懈可击的,所以不必整天提心吊胆,疑神疑鬼的。
(二)捆绑文件
这种伪装手段是将木马捆绑到一个安装程序上,当安装程序运行时,木马在用户毫无察觉的 情况下 ,偷偷的进入了系统。至于被捆绑的文件一般是可执行文件(即EXE,COM一类的文件)。
(三)出错显示
有一定木马知识的人都知道,如果打开一个文件,没有任何反应,这很可能就是个木马程序, 木马的 设计者也意识到了这个缺陷,所以已经有木马提供了一个叫做出错显示的功能。当服务 端用户打开木 马程序时,会弹出一个如下图所示的错误提示框(这当然是假的),错误内容可自由 定义,大多会定制成 一些诸如“文件已破坏，无法打开的！”之类的信息，当服务端用户信以 为真时,木马却悄悄侵入了 系统。
(四)定制端口
很多老式的木马端口都是固定的,这给判断是否感染了木马带来了方便,只要查一下特定的 端口就 知道感染了什么木马,所以现在很多新式的木马都加入了定制端口的功能,控制端用户可 以在1024---65535之间任选一个端口作为木马端口(一般不选1024以下的端口)，这样就给判断 所感染木马类型带 来了麻烦。
(五)自我销毁
这项功能是为了弥补木马的一个缺陷。我们知道当服务端用户打开含有木马的文件后，木马 会将自己拷贝到WINDOWS的系统文件夹中(C:WINDOWS或C:WINDOWSSYSTEM目录下)，一般来说 原木马文件 和系统文件夹中的木马文件的大小是一样的(捆绑文件的木马除外),那么中了木马 的朋友只要在近来 收到的信件和下载的软件中找到原木马文件,然后根据原木马的大小去系统 文件夹找相同大小的文件, 判断一下哪个是木马就行了。而木马的自我销毁功能是指安装完木 马后，原木马文件将自动销毁，这 样服务端用户就很难找到木马的来源，在没有查杀木马的工 具帮助下，就很难删除木马了。
(六)木马更名
安装到系统文件夹中的木马的文件名一般是固定的，那么只要根据一些查杀木马的文章,按 图索骥在系统文件夹查找特定的文件,就可以断定中了什么木马。所以现在有很多木马都允许控 制端用户自由定制安装后的木马文件名，这样很难判断所感染的木马类型了。
【三.运行木马】
服务端用户运行木马或捆绑木马的程序后,木马就会自动进行安装。首先将自身拷贝到WINDOWS的 系统文件夹中(C:WINDOWS或C:WINDOWSSYSTEM目录下),然后在注册表,启动组,非启动组中设置好木马 的触发条件 ,这样木马的安装就完成了。安装后就可以启动木马了，具体过程见下文：
①由自启动激活木马
自启动木马的条件,大致出现在下面6个地方:
1.注册表:打开HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersion下的五个以Run 和RunServices主键,在其中寻找可能是启动木马的键值。
2.WIN.INI:C:WINDOWS目录下有一个配置文件win.ini，用文本方式打开，在[windows]字段中有启动 命令 load=和run=,在一般情况下是空白的,如果有启动程序,可能是木马。 3.SYSTEM.INI:C:WINDOWS目录下有个配置文件system.ini，用文本方式打开，在[386Enh],[mic]， [drivers32]中有命令行,在其中寻找木马的启动命令。
4.Autoexec.bat和Config.sys:在C盘根目录下的这两个文件也可以启动木马。但这种加载方式一般都 需要控制端用户与服务端建立连接后，将已添加木马启动命令的同名 文件上传 到服务端覆盖这两个文件才行。
5.*.INI:即应用程序的启动配置文件，控制端利用这些文件能启动程序的特点，将制作好的带有木马 启动命令的同名文件上传到服务端覆盖这同名文件，这样就可以达到启动木马的目的了。
6.启动菜单:在“开始---程序---启动”选项下也可能有木马的触发条件。
②由触发式激活木马
1.注册表:打开HKEY_CLASSES_ROOT文件类型\shellopencommand主键,查看其键值。举个例子,国产 木马“冰河”就是修改HKEY_CLASSES_ROOT xtfileshellopencommand下的键值,将“C :WINDOWS NOTEPAD.EXE %1”该为“C:WINDOWSSYSTEMSYXXXPLR.EXE %1”，这时你双 击一个TXT文件 后，原本应用NOTEPAD打开文件的，现在却变成启动木马程序了。还要说明 的是不光是TXT文件 ，通过修改HTML，EXE，ZIP等文件的启动命令的键值都可以启动木马 ，不同之处只在于“文件类型”这个主键的差别，TXT是txtfile,ZIP是WINZIP，大家可以 试着去找一下。
2.捆绑文件:实现这种触发条件首先要控制端和服务端已通过木马建立连接，然后控制端用户用工具 软件将木马文件和某一应用程序捆绑在一起，然后上传到服务端覆盖原文件，这样即使 木马被删 除了，只要运行捆绑了木马的应用程序，木马又会被安装上去了。
3.自动播放式:自动播放本是用于光盘的，当插入一个电影光盘到光驱时，系统会自动播放里面的内容，这就是自动播放的本意，播放什么是由光盘中的AutoRun.inf文件指定的，修改AutoRun.inf中的open一行可以指定在自动播放过程中运行的程序。后来有人用于了硬盘与U盘，在U盘或硬盘的分区，创建Autorun.inf文件，并在Open中指定木马程序，这样，当你打开硬盘分区或U盘时，就会触发木马程序的运行。
木马作者还在不断寻找“可乘之机”这里只是举例，又有不断的自启动的地方被挖掘出来。
(2)木马运行过程
木马被激活后，进入内存，并开启事先定义的木马端口，准备与控制端建立连接。这时服务端用 户可以在MS-DOS方式下，键入NETSTAT -AN查看端口状态，一般个人电脑在脱机状态下是不会有端口 开放的，如果有端口开放，你就要注意是否感染木马了。下面是电脑感染木马后，用NETSTAT命令查 看端口的两个实例：
其中①是服务端与控制端建立连接时的显示状态，②是服务端与控制端还未建立连接时的显示状态。
在上网过程中要下载软件，发送信件，网上聊天等必然打开一些端口，下面是一些常用的端口：
(1)1---1024之间的端口：这些端口叫保留端口，是专给一些对外通讯的程序用的，如FTP使用21， SMTP使用25，POP3使用110等。只有很少木马会用保留端口作为木马端口 的。
(2)1025以上的连续端口：在上网浏览网站时，浏览器会打开多个连续的端口下载文字，图片到本地 硬盘上，这些端口都是1025以上的连续端口。
(3)4000端口：这是OICQ的通讯端口。
(4)6667端口：这是IRC的通讯端口。 除上述的端口基本可以排除在外，如发现还有其它端口打开，尤其是数值比较大的端口，那就要怀疑 是否感染了木马，当然如果木马有定制端口的功能，那任何端口都有可能是木马端口。
【四.信息泄露】
一般来说，设计成熟的木马都有一个信息反馈机制。所谓信息反馈机制是指木马成功安装后会收集 一些服务端的软硬件信息，并通过E-MAIL，IRC或ICO的方式告知控制端用户。
从反馈信息中控制端可以知道服务端的一些软硬件信息，包括使用的操作系统，系统目录，硬盘分区况， 系统口令等，在这些信息中，最重要的是服务端IP，因为只有得到这个参数，控制端才能与服务端建立 连接，具体的连接方法我们会在下一节中讲解。
【五.建立连接】
这一节我们讲解一下木马连接是怎样建立的 。一个木马连接的建立首先必须满足两个条件：一是 服务端已安装了木马程序；二是控制端，服务端都要在线 。在此基础上控制端可以通过木马端口与服 务端建立连接。
假设A机为控制端，B机为服务端，对于A机来说要与B机建立连接必须知道B机的木马端口和IP地 址，由于木马端口是A机事先设定的，为已知项，所以最重要的是如何获得B机的IP地址。获得B机的IP 地址的方法主要有两种：信息反馈和IP扫描。对于前一种已在上一节中已经介绍过了，不再赘述，我们 重点来介绍IP扫描，因为B机装有木马程序，所以它的木马端口7626是处于开放状态的，所以现在A机只 要扫描IP地址段中7626端口开放的主机就行了，例如图中B机的IP地址是202.102.47.56，当A机扫描到 这个IP时发现它的7626端口是开放的，那么这个IP就会被添加到列表中，这时A机就可以通过木马的控 制端程序向B机发出连接信号，B机中的木马程序收到信号后立即作出响应，当A机收到响应的信号后， 开启一个随即端口1031与B机的木马端口7626建立连接，到这时一个木马连接才算真正建立。值得一提 的要扫描整个IP地址段显然费时费力，一般来说控制端都是先通过信息反馈获得服务端的IP地址，由于 拨号上网的IP是动态的，即用户每次上网的IP都是不同的，但是这个IP是在一定范围内变动的，如图中 B机的IP是202.102.47.56，那么B机上网IP的变动范围是在202.102.000.000---202.102.255.255，所以 每次控制端只要搜索这个IP地址段就可以找到B机了。
【六.远程控制】
木马连接建立后，控制端端口和木马端口之间将会出现一条通道。
控制端上的控制端程序可藉这条通道与服务端上的木马程序取得联系,并通过木马程序对服务端进行远 程控制。下面我们就介绍一下控制端具体能享有哪些控制权限，这远比你想象的要大。
(1)窃取密码：一切以明文的形式，*形式或缓存在CACHE中的密码都能被木马侦测到，此外很多木马还 提供有击键记录功能，它将会记录服务端每次敲击键盘的动作，所以一旦有木马入侵， 密码将很容易被窃取。
(2)文件操作：控制端可藉由远程控制对服务端上的文件进行删除,新建,修改,上传,下载,运行,更改属 性等一系列操作,基本涵盖了WINDOWS平台上所有的文件操作功能。
(3)修改注册表：控制端可任意修改服务端注册表，包括删除，新建或修改主键，子键，键值。有了这 项功能控制端就可以禁止服务端软驱，光驱的使用，锁住服务端的注册表，将服务端 上木马的触发条件设置得更隐蔽的一系列高级操作。
(4)系统操作：这项内容包括重启或关闭服务端操作系统，断开服务端网络连接，控制服务端的鼠标， 键盘，监视服务端桌面操作，查看服务端进程等，控制端甚至可以随时给服务端发送信息，想象一下，当服务端的桌面上突然跳出一段话，不吓人一跳才怪
木马和病毒都是一种人为的程序,都属于电脑病毒,为什么木马要单独提出来说内?大家都知道以前的电脑病毒的作用,其实完全就是为了搞破坏,破坏电脑里的资料数据,除了破坏之外其它无非就是有些病毒制造者为了达到某些目的而进行的威慑和敲诈勒索的作用,或为了炫耀自己的技术. "木马"不一样,木马的作用是赤裸裸的偷偷监视别人和盗窃别人密码,数据等,如盗窃管理员密码-子网密码搞破坏,或者好玩,偷窃上网密码用于它用,游戏帐号,股票帐号,甚至网上银行帐户等.达到偷窥别人隐私和得到经济利益的目的.所以木马的作用比早期的电脑病毒更加有用.更能够直接达到使用者的目的!导致许多别有用心的程序开发者大量的编写这类带有偷窃和监视别人电脑的侵入性程序,这就是目前网上大量木马泛滥成灾的原因.鉴于木马的这些巨大危害性和它与早期病毒的作用性质不一样,所以木马虽然属于病毒中的一类,但是要单独的从病毒类型中间剥离出来.独立的称之为"木马"程序.
一般来说一种杀毒软件程序,它的木马专杀程序能够查杀某某木马的话,那么它自己的普通杀毒程序也当然能够杀掉这种木马,因为在木马泛滥的今天,为木马单独设计一个专门的木马查杀工具,那是能提高该杀毒软件的产品档次的,对其声誉也大大的有益,实际上一般的普通杀毒软件里都包含了对木马的查杀功能.如果现在大家说某某杀毒软件没有木马专杀的程序,那这家杀毒软件厂商自己也好像有点过意不去,即使它的普通杀毒软件里当然的有杀除木马的功能.
还有一点就是,把查杀木马程序单独剥离出来,可以提高查杀效率,现在很多杀毒软件里的木马专杀程序只对木马进行查杀,不去检查普通病毒库里的病毒代码,也就是说当用户运行木马专杀程序的时候,程序只调用木马代码库里的数据,而不调用病毒代码库里的数据,大大提高木马查杀速度.我们知道查杀普通病毒的速度是比较慢的,因为现在有太多太多的病毒.每个文件要经过几万条木马代码的检验,然后再加上已知的差不多有近10万个病毒代码的检验,那速度岂不是很慢了.省去普通病毒代码检验,是不是就提高了效率,提高了速度内? 也就是说现在好多杀毒软件自带的木马专杀程序只查杀木马而一般不去查杀病毒,但是它自身的普通病毒查杀程序既查杀病毒又查杀木马!
三、隐形木马启动方式揭秘
大家所熟知的木马程序一般的启动方式有：加载到“开始”菜单中的“启动”项、记录到注册表的[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]项和[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]项中，更高级的木马还会注册为系统的“服务”程序，以上这几种启动方式都可以在“系统配置实用程序”(在“开始→运行”中执行“Msconfig”)的“启动”项和“服务”项中找到它的踪迹。
另一种鲜为人知的启动方式，是在“开始→运行”中执行“Gpedit.msc”。打开“组策略”，可看到“本地计算机策略”中有两个选项：“计算机配置”与“用户配置”，展开“用户配置→管理模板→系统→登录”，双击“在用户登录时运行这些程序”子项进行属性设置，选定“设置”项中的“已启用”项并单击“显示”按钮弹出“显示内容”窗口，再单击“添加”按钮，在“添加项目”窗口内的文本框中输入要自启动的程序的路径，如图所示，单击“确定”按钮就完成了。
添加需要启动的文件面
重新启动计算机，系统在登录时就会自动启动你添加的程序，如果刚才添加的是木马程序，那么一个“隐形”木马就这样诞生了。因为用这种方式添加的自启动程序在系统的“系统配置实用程序”是找不到的，同样在我们所熟知的注册表项中也是找不到的，所以非常危险。
通过这种方式添加的自启动程序虽然被记录在注册表中，但是不在我们所熟知的注册表的[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]项和[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]项内，而是在册表的[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]项。如果你怀疑你的电脑被种了“木马”，可是又找不到它在哪儿，建议你到注册表的[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]项里找找吧，或是进入“组策略”的“在用户登录时运行这些程序”看看有没有启动的程序。
现在网页木马无非有以下几种方式中到你的机器里
1：把木马文件改成BMP文件，然后配合你机器里的DEBUG来还原成EXE，网上存在该木马20%
2：下载一个TXT文件到你机器，然后里面有具体的FTP^-^作，FTP连上他们有木马的机器下载木马，网上存在该木马20%
3：也是最常用的方式，下载一个HTA文件，然后用网页控件解释器来还原木马。该木马在网上存在50%以上
4：采用JS脚本，用VBS脚本来执行木马文件，该型木马偷QQ的比较多，偷传奇的少，大概占10%左右
5：ARP欺骗，利用ARP欺骗拦截局域网数据，攻击网关。在数据包中插入木马。解决方案，安装ARP防火墙。
四、防治木马
现在我们来说防范的方法。。。。。。。。。不要丢金砖
那就是把 windows\system\mshta.exe文件改名，
改成什么自己随便 (xp和win2000是在system32下)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\ 下为Active Setup controls创建一个基于CLSID的新键值 {6E449683_C509_11CF_AAFA_00AA00 B6015C}，然后在新键值下创建一个REG_DWORD 类型的键Compatibility，并设定键值为0x00000400即可。
还有windows\command\debug.exe和windows\都给改个名字 (或者删除)
一些最新流行的木马 最有效果的防御~~
比如网络上流行 的木马 smss.exe 这个是其中一种木马的主体 潜伏在 98/winme/xp c:\windows目录下 2000 c:\winnt .....
假如你中了这个木马 首先我们用进程管理器结束 正在运行的木马smss.exe 然后在C:\windows 或 c:\winnt\目录下 创建一个假的 smss.exe 并设置为只读属性~ （2000/XP NTFS的磁盘格式 的话那就更好 可以用“安全设置” 设置为读取） 这样木马没了~ 以后也不会在感染了这个办法本人测试过对很多木马
都很有效果的
经过这样的修改后，我现在专门找别人发的木马网址去测试，实验结果是上了大概20个木马网站，有大概15个瑞星会报警，另外5个瑞星没有反映，而我的机器没有添加出来新的EXE文件，也没有新的进程出现，只不过有些木马的残骸留在了IE的临时文件夹里，他们没有被执行起来，没有危险性，所以建议大家经常清理 临时文件夹和IE
木马（Trojan）这个名字来源于古希腊传说，它是指通过一段特定的程序（木马程序）来控制另一台计算机。木马通常有两个可执行程序：一个是客户端，即控制端，另一个是服务端，即被控制端。木马的设计者为了防止木马被发现，而采用多种手段隐藏木马。木马的服务一旦运行并被控制端连接，其控制端将享有服务端的大部分操作权限，例如给计算机增加口令，浏览、移动、复制、删除文件，修改注册表，更改计算机配置等。
随着病毒编写技术的发展，木马程序对用户的威胁越来越大，尤其是一些木马程序采用了极其狡猾的手段来隐蔽自己，使普通用户很难在中毒后发觉。
防治木马的危害，应该采取以下措施：
第一，安装杀毒软件和个人防火墙，并及时升级。
第二，把个人防火墙设置好安全等级，防止未知程序向外传送数据。
第三，可以考虑使用安全性比较好的浏览器和电子邮件客户端工具。
第四，如果使用IE浏览器，应该安装卡卡安全助手，防止恶意网站在自己电脑上安装不明软件和浏览器插件，以免被木马趁机侵入。
木马：特洛伊木马，大家在电影《特洛伊》里应该看到了，战争是特络伊故意留下了个木马，多方以为是战利品，带回城后，木马里面全是战士，（呵呵，自己看电影吧）这种东西，就叫做木马，可以说木马就是一方给肉鸡留下的东西，可以做到远程控制的目的，木马还分不同的作用，有盗号专用的木马，有远程控制专用的木马，下面介绍点：盗号专用的有许多，盗QQ的有 啊拉QQ大盗，强强盗QQ，传奇木马生成器，魔兽木马生成器等；
远程控制的木马有：冰河（国人的骄傲，中国第一款木马），灰鸽子，上兴,PCshare，网络神偷，FLUX等，现在通过线程插入技术的木马也有很多
木马~!!!大家近来讨论一下
木马是一种基于远程控制的病毒程序，该程序具有很强的隐蔽性和危害性，它可以在人不知鬼不觉的状态下控制你或者监视你。有人说，既然木马这么厉害，那我离它远一点不就可以了！然而这个木马实在是“淘气”，它可不管你是否欢迎，只要它高兴，它就会想法设法地闯到你“家”中来的！哎呀，那还了得，赶快看看自己的电脑中有没有木马，说不定正在“家”中兴风作浪呢！那我怎么知道木马在哪里呢，相信不熟悉木马的菜鸟们肯定想知道这样的问题。下面就是木马潜伏的诡招，看了以后不要忘记采取绝招来对付这些损招哟！
1、集成到程序中
其实木马也是一个服务器-客户端程序，它为了不让用户能轻易地把它删除，就常常集成到程序里，一旦用户激活木马程序，那么木马文件和某一应用程序捆绑在一起，然后上传到服务端覆盖原文件，这样即使木马被删除了，只要运行捆绑了木马的应用程序，木马又会被安装上去了。绑定到某一应用程序中，如绑定到系统文件，那么每一次Windows启动均会启动木马。
2、隐藏在配置文件中
木马实在是太狡猾，知道菜鸟们平时使用的是图形化界面的操作系统，对于那些已经不太重要的配置文件大多数是不闻不问了，这正好给木马提供了一个藏身之处。而且利用配置文件的特殊作用，木马很容易就能在大家的计算机中运行、发作，从而偷窥或者监视大家。不过，现在这种方式不是很隐蔽，容易被发现，所以在Autoexec.bat和Config.sys中加载木马程序的并不多见，但也不能因此而掉以轻心哦。
3、潜伏在Win.ini中
木马要想达到控制或者监视计算机的目的，必须要运行，然而没有人会傻到自己在自己的计算机中运行这个该死的木马。当然，木马也早有心理准备，知道人类是高智商的动物，不会帮助它工作的，因此它必须找一个既安全又能在系统启动时自动运行的地方，于是潜伏在Win.ini中是木马感觉比较惬意的地方。大家不妨打开Win.ini来看看，在它的[windows]字段中有启动命令“load=”和“run=”，在一般情况下“＝”后面是空白的，如果有后跟程序，比方说是这个样子：run=c:＼windows＼file.exe load=c:＼windows＼file.exe
这时你就要小心了，这个file.exe很可能是木马哦。
4、伪装在普通文件中
这个方法出现的比较晚，不过现在很流行，对于不熟练的windows操作者，很容易上当。具体方法是把可执行文件伪装成图片或文本----在程序中把图标改成Windows的默认图片图标,再把文件名改为*.jpg.exe,由于Win98默认设置是"不显示已知的文件后缀名",文件将会显示为*.jpg,不注意的人一点这个图标就中木马了(如果你在程序中嵌一张图片就更完美了)。
5、内置到注册表中
上面的方法让木马着实舒服了一阵，既没有人能找到它，又能自动运行，真是快哉！然而好景不长，人类很快就把它的马脚揪了出来，并对它进行了严厉的惩罚！但是它还心有不甘，总结了失败教训后，认为上面的藏身之处很容易找，现在必须躲在不容易被人发现的地方，于是它想到了注册表！的确注册表由于比较复杂，木马常常喜欢藏在这里快活，赶快检查一下，有什么程序在其下，睁大眼睛仔细看了，别放过木马哦：HKEY_LOCAL_MACHINE＼Software＼Microsoft＼Windows＼CurrentVersion下所有以“run”开头的键值；HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼CurrentVersion下所有以“run”开头的键值；HKEY-USERS＼.Default＼Software＼Microsoft＼Windows＼CurrentVersion下所有以“run”开头的键值。
6、在System.ini中藏身
木马真是无处不在呀！什么地方有空子，它就往哪里钻！这不，Windows安装目录下的System.ini也是木马喜欢隐蔽的地方。还是小心点，打开这个文件看看，它与正常文件有什么不同，在该文件的[boot]字段中，是不是有这样的内容，那就是shell=Explorer.exe file.exe，如果确实有这样的内容，那你就不幸了，因为这里的file.exe就是木马服务端程序！另外，在System.ini中的[386Enh]字段，要注意检查在此段内的“driver=路径＼程序名”，这里也有可能被木马所利用。再有，在System.ini中的[mic]、[drivers]、[drivers32]这三个字段，这些段也是起到加载驱动程序的作用，但也是增添木马程序的好场所，现在你该知道也要注意这里喽。
7、隐形于启动组中
有时木马并不在乎自己的行踪，它更注意的是能否自动加载到系统中，因为一旦木马加载到系统中，任你用什么方法你都无法将它赶跑(哎，这木马脸皮也真是太厚)，因此按照这个逻辑，启动组也是木马可以藏身的好地方，因为这里的确是自动加载运行的好场所。动组对应的文件夹为：C:＼windows＼start menu＼programs＼startup，在注册表中的位置：HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼CurrentVersion＼
Explorer＼ShellFolders Startup="C:＼windows＼start menu＼programs＼startup"。要注意经常检查启动组哦！
8、隐蔽在Winstart.bat中
按照上面的逻辑理论，凡是利于木马能自动加载的地方，木马都喜欢呆。这不，Winstart.bat也是一个能自动被Windows加载运行的文件，它多数情况下为应用程序及Windows自动生成，在执行了Win.com并加载了多数驱动程序之后开始执行(这一点可通过启动时按F8键再选择逐步跟踪启动过程的启动方式可得知)。由于Autoexec.bat的功能可以由Winstart.bat代替完成，因此木马完全可以像在Autoexec.bat中那样被加载运行，危险由此而来。
9、捆绑在启动文件中
即应用程序的启动配置文件，控制端利用这些文件能启动程序的特点，将制作好的带有木马启动命令的同名文件上传到服务端覆盖这同名文件，这样就可以达到启动木马的目的了。
10、设置在超级连接中
木马的主人在网页上放置恶意代码，引诱用户点击，用户点击的结果不言而喻：开门揖盗！奉劝不要随便点击网页上的链接，除非你了解它，信任它，为它死了也愿意等等。
0条大神的评论