如何彻底清楚adware开头的所有木马程序！？
什么是Spyware?
双重特性软件是对Spyware 的最好描述。它驻留在计算机的硬盘中，通常具备实用的、具吸引力的基本功能。这一核心功能与间谍作用无关。它通常以免费软件的形式提供，有可能是一个实用程序、MP3 播放器或某种游戏。问题在于，除了主要功能外，Spyware还具有一个次要的、较为隐秘的组件。它收集有关用户操作习惯的信息并将这些信息通过互联网发送给软件的发布者。由于这一过程是在您不知情的情况下进行，因此具有此类双重功能的软件通常被称作Spyware(间谍软件)。[发表评论]
怎样保护自己?
如果想把彻底Spyware拒之门外，请按照这几个步骤来做。
1、断开网络连接并备份注册表和重要用户数据；
2、下载反间谍工具；
3、扫描并清除。4、安装防火墙
5、安装反病毒软件
Spyware如何进入我的计算机?
您计算机中存在的Spyware有可能是您自己安装的。当您下载免费音乐播放器或实用程序时，您可能并不知道该软件还能够收集并传输用户的个人信息。通常情况下，软件的发布者会在最终用户协议中提及这一次要功能。但是，如您所知，大多数用户从不阅读最终用户协议，或仅阅读其中的部分内容。我们只是简单地单击“OK”以继续，特别是当我们下载免费软件时。有时，即使您阅读了整个协议，但是由于对Spyware组件的描述过于模糊，您仍然无法了解该组件的作用。无论如何，在您的计算机中可能存在Spyware，而且您可能对其危险性和合法性心存疑问。
Spyware一词最早出现在1995年10月16日。在搜索引擎Lexis/Nexis中我们可以查到，这一词最早用来统称间谍随身携带的诸如微型照相机之类的专用设备�大家可以联想一下007的各种神奇装备 。
1999年，Zone Labs()在发布其个人防火墙产品“ZoneAlarm”时赋予Spyware网络时代的新含义，并被广泛沿用。2000年初，第一款反间谍软件OptOut问世，如今为大家所熟悉的这类安全软件还有SpySweeper、Adware Spyware Firewall等。
Spyware并非都是真间谍
Spyware的来历算是很清楚了，但对其定义却难以做到准确，它们往往存在双重特性——一方面它们有可能是一个实用程序，比如MP3 播放器或某种游戏(或者附着在这些软件上面)，具备实用、有吸引力的基本功能；另一方面它们又不断地将真假难辨的广告信息强行塞到用户眼前，甚至搜集用户的使用习惯乃至隐私信息。后来一些从事网络安全研究的人士干脆发明了一个不至于像Spyware这样敏感的新词来统称所有具备这样双重特性的软件(插件)，“malware”，意为“可能有害的软件”。
虽然一些其实可以算作“特洛伊木马”的Spyware被发布者用于恶意攻击或进一步的身份窃取，但大多数 Spyware使用的其实是合法的技术，并且由Overture这样的正规公司开发、运营，甚至是互联网广告业不可或缺的一个组成部分。除了发布广告之外，它们通常被用来收集广告数据供市场营销之用，甚至能够使用户的在线商务体验更为集中和便利。比方说对你关注的在线广告类型进行跟踪，然后发布者根据统计数据进行分析，并用与你的兴趣相切合的广告来替换随机广告。这样，你在软件界面上看到的广告将更贴近自己的喜好。
对于这类Spyware，从业的程序员更愿意把它称为Adware，意即“广告软件(插件)”，以示和“特洛伊木马”、键盘记录程序这样臭名昭著的间谍软件相区别。
不是爱风尘，似被前缘误
不论是叫做Spyware还是Adware，绝大多数网民对于这类东西还是望而生厌的；但如今，它们却有日益兴旺的趋势。促成Adware发展的原因有三：首先是低价软件难以在零售渠道中立足，其次是P2P的网络传输方式开始盛行，最后是按点击量付费的网络广告模式升温。
在欧美，不管是网购还是零售，售价在30美元以下的新软件都很难进入市场；高利润的操作系统、财务软件等更是已培养起了相对稳定的用户群，形成垄断(类似的情况在国内的通用软件市场更为显著)。近来惟一的特例仅有视频编辑和DVD播录类软件，著名的Intervideo就在这一领域获得了巨大的成功。
零售挤不进去，小型软件厂商或者个人开发者想再沿用以前靠共享软件注册收费的方式也行不通。网虫们如今已经默认那些功能相对简单的软件在网上就应该是完全免费的，原因很简单：许多优秀的互联网软件都是免费的，有IM客户端、Web浏览器、邮件客户端，甚至还有众多的棋牌类游戏……凭什么“小”软件还要收费？
这样的环境下，共享软件开发者要想维持生存，就只有依靠捆绑形形色色的Adware插件了(加入广告插件的FlashGet就是一例)。所以，如果你是一个不折不扣的网虫，习惯不断试用功能新奇的共享软件，那么“中招”的机会就会更多。
Spyware解决之道
首先当然是要做好预防措施，我们可以从这样几个方面入手：
●对将要在计算机上安装的共享软件进行甄别选择，尤其是那些你并不熟悉的，可以登录其官方网站了解更详细的情况。
●在安装共享软件时，不要总是心不在焉地一路单击“OK”按钮，而应仔细阅读各个步骤出现的协议条款，特别留意那些有关Spyware行为的语句。
●对于在用户界面上出现不固定广告的程序，要格外小心。大多数Spyware会跟踪我们对这些广告的反应，因此我们可以将这类广告的存在看做是遭遇Spyware入侵的警示信号。
通过NoAdware等专用工具可以清除系统中隐匿的Spyware，一些杀毒软件也有部分此类功能。由于Spyware会持续不断地通过网络向发布者发送信息，因此Norton Personal Firewall等网络防火墙同样能将其侦测到并予以阻断。
作者:David M. Piscitello，Core Competence总裁
许多用户对于因为在计算机上秘密和恶意地安装spyware(间谍软件)所带来的安全风险、隐私泄露以及绩效损失，许多用户都只是有一些含糊的认识。只有极少数用户知道spyware所具有的多种形式以及它们所采取的一些非常恶劣的行动。除了泛泛地知道spyware是一种不请自来的、恶意的软件之外，普通用户对其知之甚少。
直到最近，人们还是认为spyware的危害比不上病毒和垃圾邮件。但是，我相信spyware具有比病毒和垃圾邮件更大的威胁。spyware可能会像最恶毒的病毒那样凶险。相较于电子邮件信用卡诈骗(phishing)，spyware对金融所产生的威胁不仅范围要大得多，也要严重得多。另外，spyware还会对隐私造成严重的危害。中小型企业必须理解spyware是什么，以及它会造成什么威胁。本文将解释为什么说spyware所具有的安全风险要比您想象的大得多。
分析spyware
如果只是认为spyware是一种不请自带的软件，那么这种认识是有失偏颇的。安装到您的PC上的spyware可能修改Windows注册表，并在您的系统上添加动态链接库(DLL)文件，以及下载程序文件(称为DPF文件，例如恶意的ActiveX或Java VM对象)。有的spyware会利用Web浏览器的漏洞(尤其是Internet Explorer)，在您的系统上安装ActiveX控件、浏览器helper对象(BHO)以及工具条，或者修改浏览器的Internet选项，其中包括主页、收藏夹以及上下文关联菜单。有的spyware甚至能修改TCP/IP设置和hosts文件。
在联机spyware百科全书和字典数据库中，列出了数量众多的、可以被定性为spyware的恶意代码。一些常见的spyware类型包括:
Adware
浏览器会话劫持
远程管理工具(Remote Administration Tool，RAT)
跟踪代理
双代理(Double agent)spyware。
下面让我们简要分析一下每种spyware所存在的安全风险。
从技术上说，并非所有adware都是spyware。但是，许多专家认为，只要adware采取了非用户自愿的广告发布动作，那么即使这个adware是您许可安装的，那么它也属于spyware。常见的广告发布方法包括突然弹出的浏览器窗口以及由广告商赞助的应用程序。目前存在着大约800个由广告商赞助的、有spyware嫌疑的软件。其中包括某些游戏的免费版本(Midnight Oil Solitaire)、FTP客户端(FTP Works)、电子邮件客户端(Eudora)、音乐播放软件、Web和系统实用程序等待。这些所谓的“免费软件”能通过窗口或者工具条来发布广告，使软件开发者通过广告来获得收入。有的adware(比如FlashTrack)能跟踪记录一个用户的Web活动和网上查询动作，然后将这些信息发送给广告服务器(比如Aureate和Aveo)，后者根据关键字和短语向用户返回有针对性的广告(通常采取弹出广告窗口的形式)。正如许多父母所知道的，即使一些良性的关键字，比如“kittens”(小猫)，都有可能使他们的孩子接触到不良内容，其中包括黄色内容。
浏览器会话劫持是在虚拟世界使用的一种“狸猫换太子”的手法。这种spyware(比如Icoo、WurldMedia、Xupiter Toolbar、Lop、BonziBuddy、CoolWebSearch)会重定向浏览器会话和搜索请求，将用户引导至他们原本不打算去的网站和搜索引擎。被劫持的用户可能看到不希望的、令人不快的内容和广告。在这种情况下，劫持者通过将用户引导(诱拐)到一个电子商务网站，并提供与用户希望的相似的服务或产品，从而获取推荐费或者加盟费。
某些远程管理工具(RAT)和按键记录程序是具有木马性质的spyware的例子。正如名字所暗示的，它们能为攻击者赋予管理权限，或者赋予特别的偷窥及拦截能力。攻击在远程采取操作，可以拦截并记录用户的按键操作，监视应用程序和浏览器活动，甚至能拦截WebCam(网络摄影机)数据流。BackOrifice和Sub7是恶意的攻击性RAT的典型例子，它们还会带来DDoS的威胁。除此之外，还有一些商业性RAT，比如NetObserve和Spyagent，它们表面上出于“合法跟踪”的目的而向企业经理、父母以及多疑的配偶出售。最近出现的Bankhook.A是一个按键记录BHO，它以电子邮件附件的形式来传播。一旦安装，Bankhook就会试着查找一台PC上的银行帐号访问数据。
跟踪代理、Web bug和data miner(数据采集程序) 是虚拟世界中的“垃圾翻找者”。它们监视您的Web浏览、购物、电子邮件和即时消息活动，而且可能同时收集系统配置和个人信息。有的跟踪公司利用这种信息来发布目标广告，另一些则出售或者滥用他们收集到的信息。作为一款流行的搜索工具条，Alexa同时也是一个data miner。Transponder/VX2能采集电子邮件地址和浏览器历史，并从Web表单和配置文件中收集数据。Gator/GAIN(现在叫做Claria)声称是一个合法软件，但反spyware专家指出，这个软件的客户端能自动填写表单和保存密码，它同时还会跟踪用户的购物习惯。
双代理spyware。令人遗憾的是，某些软件打着反spyware的旗号，但它本身就是一个spyware。用户们兴致勃勃地下载这种所谓安全软件的试用或免费版本，并指望它们能移除adware，最后却发现这些版本本身就是adware。著名的spyware查杀软件厂商(比如PestPatrol和Kephyr Labs)指出RedV EasyInstaller和SpyBlast本身就是spyware。假如您认为不会有比这更严重的行为，那么请重新考虑一下:有的spyware查杀工具(SpyWiper)能够劫持主页，企图恐吓不知情的用户购买他们的产品(这其实就在虚拟世界勒索保护费的一种行为)。
认识spyware威胁等级
spyware的“威胁等级”介于Elevated和High之间。如果您的企业对安全性有很高的要求，请将威胁等级设置在High和Severe之间。请考虑以下威胁:
泄露敏感的或者受限制的信息。能跟踪浏览器活动的spyware不会区分是内部网还是Internet请求。超链接、浏览器历史、收藏夹以及缓存的Web表单数据可能包含业务记录、保密信息、商业机密、信用卡和个人资料、医疗和财务数据以及帐号密码等等，它们可能由收集代理滥用，或者转卖给第三方。
用户可能成为严重犯罪行为的受害者。按键记录程序(Keylogger)会造成敏感的个人及企业信息的泄密，其中包括密码、信用卡和财务信息等。并可能造成一些令人难堪的个人信息的泄露。一个被拦截的WebCam数据流可能暴露令人难堪的个人活动。spyware可能为信用卡欺诈、身份伪装以及针对个人/企业的勒索行为带来可乘之机，我们必须对此有清醒的认识。
生产力的损失。spyware会在运行时占用CPU和带宽。spyware在编写时不会进行什么优化，通常会造成系统不稳定，并可能出现蓝屏死机故障。移除spyware通常十分费力，结果往往是破坏性的。有的spyware会在您卸载了freeware之后驻留在系统上，而且可能会在完全移除之后重新安装它自身。假如spyware已经在您的网络上全面地滋生，就可能需要花费大量时间来进行修复，其中涉及的工作量和遭遇一次病毒入侵或者后门攻击时的工作量差不多。
系统和网络入侵。由跟踪程序、数据采集程序和RAT收集的信息对于从事信息收集活动的任何入侵者来说都是一座金矿。信息收集通常是发动一次定向攻击的准备阶段。超链接和系统配置信息中标识的主机能帮助攻击者描绘网络和服务结构图。有的组织不明智地以明文形式通过内部网链接传送帐户名和密码。对此，还需要我进一步解释吗?
影响品牌形象和失去客户。您的公司可能已经受到spyware的影响，即使您的每一台计算机上面都不存在spyware。假如一款具有劫持能力的spyware希望您的公司成为受害者，那么当用户在访问您的网站时，就可能被重定向到某个竞争公司的网站，造成您的公司失去大量商机。这种spyware还可以用于欺骗为点击广告支付广告费的公司。一家声名狼藉的广告公司，为了欺骗用户访问它的赞助商的电子商务网站，制作了一个“必须安装”的工具条，并将spyware嵌入其中。这个spyware会替换用户的默认搜索引擎，强迫用户访问它的赞助商的页面——即使目标网页和用户的搜索条件并不相符。在这种情况下，赞助商将为这些强制性的访问而支付广告费，但通常无法因为这种访问获得预期的产品销售收入。
面临诉讼。有的员工对令人厌恶的、尤其是性题材的广告十分反感，而且可能因此而投诉被性骚扰。不管此类投诉的结果如何，公众形象、打官司的时间/费用以及对公司可信度的影响，都是一家公司不希望承受的。
通过本文的描述，希望我已经说服您将spyware视为一种严重的威胁。在我的下一篇文章中，将描述如何识别和修复受spyware影响的系统，并介绍如何不间断地防护spyware。我还会推荐一些spyware移除和封锁软件，以便简化您的操作。同时，还会介绍一些预防spyware的措施。
BPS Spyware/Adware Remover v8.2
;down=1
Spybot Search and Destroy V1.4
;sID=0
我中了个 木马程序 'Trojan-Downloader.Win32.Agent.llm'.求大神帮助
是木马。下载个木马查杀工具就好了。 AVG Anti-Spyware(原Ewido Anti-Spyware) V7.5.1.43 汉化版 下载地址: 破解补丁下载:
请高手解答！木马是什么？它有多少种？有什么办法去防预它？被木马入侵后有什么现象？
什么是木马?
特洛伊木马(以下简称木马)，英文叫做“Trojan house”，其名称取自希腊神话的特洛伊木马记。
它是一种基于远程控制的黑客工具，具有隐蔽性和非授权性的特点。
所谓隐蔽性是指木马的设计者为了防止木马被发现，会采用多种手段隐藏木马，这样服务端即使发现感染了木马，由于不能确定其具体位置，往往只能望“马”兴叹。
所谓非授权性是指一旦控制端与服务端连接后，控制端将享有服务端的大部分操作权限，包括修改文件，修改注册表，控制鼠标，键盘等等，而这些权力并不是服务端赋予的，而是通过木马程序窃取的。
从木马的发展来看，基本上可以分为两个阶段。
最初网络还处于以UNIX平台为主的时期，木马就产生了，当时的木马程序的功能相对简单，往往是将一段程序嵌入到系统文件中，用跳转指令来执行一些木马的功能，在这个时期木马的设计者和使用者大都是些技术人员，必须具备相当的网络和编程知识。
而后随着WINDOWS平台的日益普及，一些基于图形操作的木马程序出现了，用户界面的改善，使使用者不用懂太多的专业知识就可以熟练的操作木马，相对的木马入侵事件也频繁出现，而且由于这个时期木马的功能已日趋完善，因此对服务端的破坏也更大了。
所以所木马发展到今天，已经无所不用其极，一旦被木马控制，你的电脑将毫无秘密可言。
参考资料：
回答者：完颜康康 - 探花 十一级 9-18 12:40
--------------------------------------------------------------------------------
DLL 木马揭秘
相信经常玩木马的朋友们都会知道一些木马的特性，也会有自己最喜爱的木马，不过，很多朋友依然不知道近年兴起的“DLL木马”为何物。什么是“DLL木马”呢？它与一般的木马有什么不同？
一、从DLL技术说起
要了解DLL木马，就必须知道这个“DLL”是什么意思，所以，让我们追溯到几年前，DOS系统大行其道的日子里。在那时候，写程序是一件繁琐的事情，因为每个程序的代码都是独立的，有时候为了实现一个功能，就要为此写很多代码，后来随着编程技术发展，程序员们把很多常用的代码集合（通用代码）放进一个独立的文件里，并把这个文件称为“库”（Library），在写程序的时候，把这个库文件加入编译器，就能使用这个库包含的所有功能而不必自己再去写一大堆代码，这个技术被称为“静态链接”（Static Link）。静态链接技术让劳累的程序员松了口气，一切似乎都很美好。可是事实证明，美好的事物不会存在太久，因为静态链接就像一个粗鲁的推销员，不管你想不想要宣传单，他都全部塞到你的手上来。写一个程序只想用到一个库文件包含的某个图形效果，就因为这个，你不得不把这个库文件携带的所有的图形效果都加入程序，留着它们当花瓶摆设，这倒没什么重要，可是这些花瓶却把道路都阻塞了——静态链接技术让最终的程序成了大块头，因为编译器把整个库文件也算进去了。
时代在发展，静态链接技术由于天生的弊端，不能满足程序员的愿望，人们开始寻找一种更好的方法来解决代码重复的难题。后来，Windows系统出现了，时代的分水岭终于出现。Windows系统使用一种新的链接技术，这种被称为“动态链接”（Dynamic Link）的新技术同样也是使用库文件，微软称它们为“动态链接库”——Dynamic Link Library，DLL的名字就是这样来的。动态链接本身和静态链接没什么区别，也是把通用代码写进一些独立文件里，但是在编译方面，微软绕了个圈子，并没有采取把库文件加进程序的方法，而是把库文件做成已经编译好的程序文件，给它们开个交换数据的接口，程序员写程序的时候，一旦要使用某个库文件的一个功能函数，系统就把这个库文件调入内存，连接上这个程序占有的任务进程，然后执行程序要用的功能函数，并把结果返回给程序显示出来，在我们看来，就像是程序自己带有的功能一样。完成需要的功能后，这个DLL停止运行，整个调用过程结束。微软让这些库文件能被多个程序调用，实现了比较完美的共享，程序员无论要写什么程序，只要在代码里加入对相关DLL的调用声明就能使用它的全部功能。最重要的是，DLL绝对不会让你多拿一个花瓶，你要什么它就给你什么，你不要的东西它才不会给你。这样，写出来的程序就不能再携带一大堆垃圾了——绝对不会让你把吃剩的东西带回家，否则罚款，这是自助餐。
DLL技术的诞生，使编写程序变成一件简单的事情，Windows为我们提供了几千个函数接口，足以满足大多数程序员的需要。而且，Windows系统自身就是由几千个DLL文件组成，这些DLL相互扶持，组成了强大的Windows系统。如果Windows使用静态链接技术，它的体积会有多大？我不敢想。
二、应用程序接口API
上面我们对DLL技术做了个大概分析，在里面我提到了“接口”，这又是什么呢？因为DLL不能像静态库文件那样塞进程序里，所以，如何让程序知道实现功能的代码和文件成了问题，微软就为DLL技术做了标准规范，让一个DLL文件像奶酪一样开了许多小洞，每个洞口都注明里面存放的功能的名字，程序只要根据标准规范找到相关洞口就可以取得它要的美味了，这个洞口就是“应用程序接口”（Application Programming Interface），每个DLL带的接口都不相同，尽最大可能的减少了代码的重复。用Steven的一句话：API就是一个工具箱，你根据需要取出螺丝刀、扳手，用完后再把它们放回原处。在Windows里，最基本的3个DLL文件是kernel32.dll、user32.dll、gdi32.dll。它们共同构成了基本的系统框架。
三、DLL与木马
DLL是编译好的代码，与一般程序没什么大差别，只是它不能独立运行，需要程序调用。那么，DLL与木马能扯上什么关系呢？如果你学过编程并且写过DLL，就会发现，其实DLL的代码和其他程序几乎没什么两样，仅仅是接口和启动模式不同，只要改动一下代码入口，DLL就变成一个独立的程序了。当然，DLL文件是没有程序逻辑的，这里并不是说DLL=EXE，不过，依然可以把DLL看做缺少了main入口的EXE，DLL带的各个功能函数可以看作一个程序的几个函数模块。DLL木马就是把一个实现了木马功能的代码，加上一些特殊代码写成DLL文件，导出相关的API，在别人看来，这只是一个普通的DLL，但是这个DLL却携带了完整的木马功能，这就是DLL木马的概念。也许有人会问，既然同样的代码就可以实现木马功能，那么直接做程序就可以，为什么还要多此一举写成DLL呢？这是为了隐藏，因为DLL运行时是直接挂在调用它的程序的进程里的，并不会另外产生进程，所以相对于传统EXE木马来说，它很难被查到。
四、DLL的运行
虽然DLL不能自己运行，可是Windows在加载DLL的时候，需要一个入口函数，就如同EXE的main一样，否则系统无法引用DLL。所以根据编写规范，Windows必须查找并执行DLL里的一个函数DllMain作为加载DLL的依据，这个函数不作为API导出，而是内部函数。DllMain函数使DLL得以保留在内存里，有的DLL里面没有DllMain函数，可是依然能使用，这是因为Windows在找不到DllMain的时候，会从其它运行库中找一个不做任何操作的缺省DllMain函数启动这个DLL使它能被载入，并不是说DLL可以放弃DllMain函数。
五、DLL木马技术分析
到了这里，您也许会想，既然DLL木马有那么多好处，以后写木马都采用DLL方式不就好了吗？话虽然是这么说没错，但是DLL木马并不是一些人想象的那么容易写的。要写一个能用的DLL木马，你需要了解更多知识。
1.木马的主体
千万别把木马模块写得真的像个API库一样，这不是开发WINAPI。DLL木马可以导出几个辅助函数，但是必须有一个过程负责主要执行代码，否则这个DLL只能是一堆零碎API函数，别提工作了。
如果涉及一些通用代码，可以在DLL里写一些内部函数，供自己的代码使用，而不是把所有代码都开放成接口，这样它自己本身都难调用了，更不可能发挥作用。
DLL木马的标准执行入口为DllMain，所以必须在DllMain里写好DLL木马运行的代码，或者指向DLL木马的执行模块。
2.动态嵌入技术
Windows中，每个进程都有自己的私有内存空间，别的进程是不允许对这个私人领地进行操作的，但是，实际上我们仍然可以利用种种方法进入并操作进程的私有内存，这就是动态嵌入，它是将自己的代码嵌入正在运行的进程中的技术。动态嵌入有很多种，最常见的是钩子、API以及远程线程技术，现在的大多数DLL木马都采用远程线程技术把自己挂在一个正常系统进程中。其实动态嵌入并不少见，罗技的MouseWare驱动就挂着每一个系统进程-_-
远程线程技术就是通过在另一个进程中创建远程线程（RemoteThread）的方法进入那个进程的内存地址空间。在DLL木马的范畴里，这个技术也叫做“注入”，当载体在那个被注入的进程里创建了远程线程并命令它加载DLL时，木马就挂上去执行了，没有新进程产生，要想让木马停止惟有让挂接这个木马DLL的进程退出运行。但是，很多时候我们只能束手无策——它和Explorer.exe挂在一起了，你确定要关闭Windows吗？
3.木马的启动
有人也许会迫不及待的说，直接把这个DLL加入系统启动项目不就可以了。答案是NO，前面说过，DLL不能独立运行，所以无法在启动项目里直接启动它。要想让木马跑起来，就需要一个EXE使用动态嵌入技术让DLL搭上其他正常进程的车，让被嵌入的进程调用这个DLL的DllMain函数，激发木马运行，最后启动木马的EXE结束运行，木马启动完毕。
启动DLL木马的EXE是个重要角色，它被称为Loader，如果没有Loader，DLL木马就是破烂一堆，因此，一个算得上成熟的DLL木马会想办法保护它的Loader不会那么容易被毁灭。记得狼狈为奸的故事吗？DLL木马就是爬在狼Loader上的狈。
Loader可以是多种多样的，Windows的rundll32.exe也被一些DLL木马用来做了Loader，这种木马一般不带动态嵌入技术，它直接挂着rundll32进程运行，用rundll32的方法（rundll32.exe [DLL名],[函数] [参数]）像调用API一样去引用这个DLL的启动函数激发木马模块开始执行，即使你杀了rundll32，木马本体还是在的，一个最常见的例子就是3721中文实名，虽然它不是木马。
注册表的AppInit_DLLs键也被一些木马用来启动自己，如求职信病毒。利用注册表启动，就是让系统执行DllMain来达到启动木马的目的。因为它是kernel调入的，对这个DLL的稳定性有很大要求，稍有错误就会导致系统崩溃，所以很少看到这种木马。
有一些更复杂点的DLL木马通过svchost.exe启动，这种DLL木马必须写成NT-Service，入口函数是ServiceMain，一般很少见，但是这种木马的隐蔽性也不错，而且Loader有保障。
4.其它
到这里大家也应该对DLL木马有个了解了，是不是很想写一个？别急，不知道大家想过没有，既然DLL木马这么好，为什么到现在能找到的DLL木马寥寥无几？现在让我来泼冷水，最重要的原因只有一个：由于DLL木马挂着系统进程运行，如果它本身写得不好，例如没有防止运行错误的代码或者没有严格规范用户的输入，DLL就会出错崩溃。别紧张，一般的EXE也是这样完蛋的，但是DLL崩溃会导致它挂着的程序跟着遭殃，别忘记它挂接的是系统进程哦，结局就是……惨不忍睹。所以写一个能公布的DLL木马，在排错检查方面做的工作要比一般的EXE木马多，写得多了自己都烦躁……
六、DLL木马的发现和查杀
经常看看启动项有没有多出莫名其妙的项目，这是Loader的所在，只要杀了狼，狈就不能再狂了。而DLL木马本体比较难发现，需要你有一定编程知识和分析能力，在Loader里查找DLL名称，或者从进程里看多挂接了什么陌生的DLL，可是对新手来说……总之就是比较难啊比较难，所以，最简单的方法：杀毒软件和防火墙（不是万能药，切忌长期服用）。
木马是什么 木马是什么程序 了解木马病毐
木马程序是目前比较流行的一类病毒文件，它与一般的病毒不同，它不会自我繁殖，也并不刻意地去感染其他文件。它通过将自身伪装吸引用户下载执行，或以捆绑在网页中的形式，当用户浏览网页时受害。木马程序向施种木马者提供打开被种者电脑的门户，使施种者可以任意毁坏、窃取被种者的文件和隐私，甚至远程操控被种者的电脑。木马的原理和计算机网络中常常要用到的远程控制软件相似，但由于远程控制软件是“善意”的控制，因此通常不具有隐蔽性;而木马程序则完全相反，木马要达到的是“偷窃”性的远程控制，如果没有很强的隐蔽性的话，那就是毫无价值的。
木马通常有两个可执行程序:一个是客户端，即控制端，另一个是服务端，即被控制端。木马的设计者为了防止木马被发现，而采用多种手段隐藏木马。木马的服务一旦运行，电脑就会有一个或几个端口被打开，黑客就可以利用控制端进入运行了服务端的电脑，甚至可以控制被种者的电脑，所以被种者的安全和个人隐私也就全无保障了!
随着微软的操作系统从Win9X过渡到WinNT系统(包括2000/xp/2003)，微软的任务管理器也一下子“脱胎换骨”，变得“火眼金睛”起来 (在Win9X中，只需要将进程注册为系统服务就能够从进程查看器中隐形，可是这一切在WinNT中却完全不同，无论木马从端口、启动文件上如何巧妙地隐藏自己，始终都不能欺骗WinNT的任务管理器)，这使得以前在win9X操作系统下靠将进程注册为系统服务就能够从任务管理器中隐形的木马面临前所未有的危机，所以木马的开发者及时调整了开发思路，转入了开发可以躲避WinNT的任务管理器的进程查询的动态嵌入式DLL木马。
要弄清楚什么是动态嵌入式DLL木马，我们必须要先了解Windows系统的另一种“可执行文件”——DLL，DLL是Dynamic Link Library(动态链接库)的缩写，DLL文件是Windows的基础，因为所有的API函数都是在DLL中实现的。DLL文件没有程序逻辑，是由多个功能函数构成，它并不能独立运行，DLL文件一般都是由进程加载并调用的。
因为DLL文件不能独立运行，所以在进程列表中并不会出现DLL。所以木马的开发者就通过编写动态嵌入式DLL木马，并且通过别的进程来运行它，那么无论是入侵检测软件还是进程列表中，都只会出现那个进程而并不会出现那个DLL木马。如果那个进程是可信进程(例如资源管理器Explorer.exe)，那么就没人会怀疑DLL文件也是个木马了。从而木马就又实现了自己的隐蔽性的功能，所以，预防DLL木马也是相当重要的。
在WinNT系统，DLL木马一般都藏在System32目录下(因为System32是系统文件存放的目录，里面的文件很多，在里面隐藏当然很方便了)，针对这一点我们可以在安装好系统和必要的应用程序后，对该目录下的EXE和DLL文件作一次记录:点击开始—运行—输入cmd回车—出现DOS命令行模式—输入cd\回车，再输入cd C:\Windows\System32回车，这就转换目录到了System32目录(要还是不知道怎么进入的，请参看DOS的cd命令的使用)，输入命令:dir *.exeexebackup.txt dir *.dlldllbackup.txt回车。
这样，我们就把System32目录下所有的exe文件和所有的dll文件都记录在exebackup.txt和dllbackup.txt里面了。日后如发现系统异常而用传统的方法又查不出问题时，则要考虑是不是系统中已经潜入了DLL木马。
这时我们用同样的方法将System32目录下的EXE和DLL文件记录到另外exebackup1.txt和dllbackup1.txt中，然后运行 CMD—fc exebackup.txt exebackup1.txtdifferent.txt fc dllbackup.txt dllbackup1.txtdifferent.txt(使用FC命令比较前后两次的DLL和EXE文件，并将结果输入到 different.txt中)，这样我们就能发现一些多出来的DLL和EXE文件，然后通过查看创建时间、版本、是否经过压缩等就能够比较容易地判断出是不是已经被DLL木马光顾了。
没有是最好，如果有的话也不要直接删除掉，可以先把它移到回收站里，若系统没有异常反应再将之彻底删除，或者把DLL文件上报给反病毒研究中心检查。
最后，防治木马的危害，专家建议大家应采取以下措施:
第一，安装反病毒软件和个人防火墙，并及时升级。
第二，把个人防火墙设置好安全等级，防止未知程序向外传送数据。
第三，使用安全性比较好的浏览器和电子邮件客户端工具。
第四，操作系统的补丁要经常进行更新。
第五，不要随便打开陌生网友传送的文件和下载、使用破解软件。
相信大家只要做好安全防护工作，防治木马并不是那么可怕的。
什么是木马软件？
木马（Trojan）,也称木马病毒，是指通过特定的程序（木马程序）来控制另一台计算机。木马通常有两个可执行程序：一个是控制端，另一个是被控制端。木马这个名字来源于古希腊传说（荷马史诗中木马计的故事，Trojan一词的特洛伊木马本意是特洛伊的，即代指特洛伊木马，也就是木马计的故事）。“木马”程序是目前比较流行的病毒文件，与一般的病毒不同，它不会自我繁殖，也并不“刻意”地去感染其他文件，它通过将自身伪装吸引用户下载执行，向施种木马者提供打开被种主机的门户，使施种者可以任意毁坏、窃取被种者的文件，甚至远程操控被种主机。木马病毒的产生严重危害着现代网络的安全运行。
“木马”与计算机网络中常常要用到的远程控制软件有些相似，但由于远程控制软件是“善意”的控制，因此通常不具有隐蔽性；“木马”则完全相反，木马要达到的是“偷窃”性的远程控制，如果没有很强的隐蔽性的话，那就是“毫无价值”的。
它是指通过一段特定的程序（木马程序）来控制另一台计算机。木马通常有两个可执行程序：一个是客户端，即控制端；另一个是服务端，即被控制端。植入被种者电脑的是“服务器”部分，而所谓的“黑客”正是利用“控制器”进入运行了“服务器”的电脑。运行了木马程序的“服务器”以后，被种者的电脑就会有一个或几个端口被打开，使黑客可以利用这些打开的端口进入电脑系统，安全和个人隐私也就全无保障了！ 木马的设计者为了防止木马被发现，而采用多种手段隐藏木马。木马的服务一旦运行并被控制端连接，其控制端将享有服务端的大部分操作权限，例如给计算机增加口令，浏览、移动、复制、删除文件，修改注册表，更改计算机配置等。
在网上公开发布木马病毒 并利用木马程序来卖钱 算不算违法 如何报案
算违法的，这种危害网络安全、非法获利的都算违法的，你可以找网警，你从网上搜一下，找到你所在省市的网警的网站，报案就行了，匿名的..
0条大神的评论