特洛伊木马病毒是什么?有什么危害??
木马病毒
一般情况下，杀毒软件只要能告诉你木马病毒的名称，肯定就能识别并删除，只是要注意方式 *** 。
原因：木马病毒(特洛伊 后门等)一般情况下都比较顽固，常规模式下不好清除。(容易隐藏病毒文件 容易与其他系统文件关联，以DLL注入或者系统关键进程注入等方式发作等)
*** ：首先重启电脑，进入安全模式，再启动你的杀毒软件扫描一遍就可以了。
安全模式：启动的时候按住 F8 键，出现选择的时候 选“进入安全模式”
杀毒前关闭系统还原：右键 我的电脑 ，属性，系统还原，在所有驱动器上关闭系统还原 打勾即可。
关于特洛伊木马病毒
特洛伊木马(以下简称木马)，英文叫做“Trojan house”，其名称取自希腊神话的特洛伊木马记。
它是一种基于远程控制的黑客工具，具有隐蔽性和非授权性的特点。
所谓隐蔽性是指木马的设计者为了防止木马被发现，会采用多种手段隐藏木马，这样服务端即使发现感染了木马，由于不能确定其具 *** 置，往往只能望“马”兴叹。
所谓非授权性是指一旦控制端与服务端连接后，控制端将享有服务端的大部分操作权限，包括修改文件，修改注册表，控制鼠标，键盘等等，而这些权力并不是服务端赋予的，而是通过木马程序窃取的。
从木马的发展来看，基本上可以分为两个阶段。
最初 *** 还处于以UNIX平台为主的时期，木马就产生了，当时的木马程序的功能相对简单，往往是将一段程序嵌入到系统文件中，用跳转指令来执行一些木马的功能，在这个时期木马的设计者和使用者大都是些技术人员，必须具备相当的 *** 和编程知识。
而后随着WINDOWS平台的日益普及，一些基于图形操作的木马程序出现了，用户界面的改善，使使用者不用懂太多的专业知识就可以熟练的操作木马，相对的木马入侵事件也频繁出现，而且由于这个时期木马的功能已日趋完善，因此对服务端的破坏也更大了。
所以所木马发展到今天，已经无所不用其极，一旦被木马控制，你的电脑将毫无秘密可言。
鉴于木马的巨大危害性，我们将分原理篇，防御与反击篇，资料篇三部分来详细介绍木马，希望大家对特洛伊木马这种攻击手段有一个透彻的了解。
原 理 篇
基础知识
在介绍木马的原理之前有一些木马构成的基础知识我们要事先加以说明,因为下面有很多地方会提到这些内容。
一个完整的木马系统由硬件部分，软件部分和具体连接部分组成。
(1)硬件部分：建立木马连接所必须的硬件实体。 控制端：对服务端进行远程控制的一方。 服务端：被控制端远程控制的一方。 INTERNET：控制端对服务端进行远程控制，数据传输的 *** 载体。
(2)软件部分：实现远程控制所必须的软件程序。 控制端程序：控制端用以远程控制服务端的程序。 木马程序：潜入服务端内部，获取其操作权限的程序。 木马配置程序：设置木马程序的端口号，触发条件，木马名称等，使其在服务端藏得更隐蔽的程序。
(3)具体连接部分：通过INTERNET在服务端和控制端之间建立一条木马通道所必须的元素。控制端IP，服务端IP：即控制端，服务端的 *** 地址，也是木马进行数据传输的目的地。控制端端口，木马端口：即控制端，服务端的数据入口，通过这个入口，数据可直达控制端程序或木马 程序。
木马原理
用木马这种黑客工具进行 *** 入侵，从过程上看大致可分为六步(具体可见下图)，下面我们就按这六步来详细阐述木马的攻击原理。
一.配置木马
一般来说一个设计成熟的木马都有木马配置程序，从具体的配置内容看，主要是为了实现以下两方 面功能：
(1)木马伪装：木马配置程序为了在服务端尽可能的好的隐藏木马，会采用多种伪装手段，如修改图标 ，捆绑文件，定制端口，自我销毁等，我们将在“传播木马”这一节中详细介绍。
(2)信息反馈：木马配置程序将就信息反馈的方式或地址进行设置，如设置信息反馈的邮件地址，IRC号 ，ICO号等等，具体的我们将在“信息反馈”这一节中详细介绍。
二.传播木马
(1)传播方式:
木马的传播方式主要有两种:一种是通过E-MAIL,控制端将木马程序以附件的形式夹在邮件中发送出 去, 收信人只要打开附件系统就会感染木马;另一种是软件下载，一些非正规的网站以提供软件下载为 名义，将木马捆绑在软件安装程序上，下载后，只要一运行这些程序，木马就会自动安装。
(2)伪装方式:
鉴于木马的危害性,很多人对木马知识还是有一定了解的,这对木马的传播起了一定的抑 *** 用,这 是木马设计者所不愿见到的,因此他们开发了多种功能来伪装木马,以达到降低用户警觉,欺骗用户的目 的。
(一)修改图标
当你在E-MAIL的附件中看到这个图标时,是否会认为这是个文本文件呢?但是我不得不告 诉你,这也有可能是个木马程序,现在已经有木马可以将木马服务端程序的图标改成HTML,TXT, ZIP等各种文件的图标,这有相当大的迷惑性,但是目前提供这种功能的木马还不多见,并且这种 伪装也不是无懈可击的,所以不必整天提 心吊胆,疑神疑鬼的。
(二)捆绑文件
这种伪装手段是将木马捆绑到一个安装程序上,当安装程序运行时,木马在用户毫无察觉的 情况下 ,偷偷的进入了系统。至于被捆绑的文件一般是可执行文件(即EXE,COM一类的文件)。
(三)出错显示
有一定木马知识的人都知道,如果打开一个文件,没有任何反应,这很可能就是个木马程序, 木马的设计者也意识到了这个缺陷,所以已经有木马提供了一个叫做出错显示的功能。当服务 端用户打开木马程序时,会弹出一个如下图所示的错误提示框(这当然是假的),错误内容可自由 定义,大多会定制成一些诸如“文件已破坏，无法打开的！”之类的信息，当服务端用户信以 为真时,木马却悄悄侵入了 系统。
(四)定制端口
很多老式的木马端口都是固定的,这给判断是否感染了木马带来了方便,只要查一下特定的 端口就知道感染了什么木马,所以现在很多新式的木马都加入了定制端口的功能,控制端用户可以在1024---65535之间任选一个端口作为木马端口(一般不选1024以下的端口)，这样就给判断 所感染木马类型带 来了麻烦。
(五)自我销毁
这项功能是为了弥补木马的一个缺陷。我们知道当服务端用户打开含有木马的文件后，木马会将自己拷贝到WINDOWS的系统文件夹中(C:\WINDOWS或C:\WINDOWS\SYSTEM目录下)，一般来说 原木马文件和系统文件夹中的木马文件的大小是一样的(捆绑文件的木马除外),那么中了木马 的朋友只要在近来收到的信件和下载的软件中找到原木马文件,然后根据原木马的大小去系统 文件夹找相同大小的文件, 判断一下哪个是木马就行了。而木马的自我销毁功能是指安装完木 马后，原木马文件将自动销毁，这样服务端用户就很难找到木马的来源，在没有查杀木马的工 具帮助下，就很难删除木马了。
(六)木马更名
安装到系统文件夹中的木马的文件名一般是固定的，那么只要根据一些查杀木马的文章,按 图索骥在系统文件夹查找特定的文件,就可以断定中了什么木马。所以现在有很多木马都允许控 制端用户自由定制安装后的木马文件名，这样很难判断所感染的木马类型了。
三.运行木马
服务端用户运行木马或捆绑木马的程序后,木马就会自动进行安装。首先将自身拷贝到WINDOWS的系统文件夹中(C:\WINDOWS或C:\WINDOWS\SYSTEM目录下),然后在注册表,启动组,非启动组中设置好木马 的触发条件 ,这样木马的安装就完成了。安装后就可以启动木马了，具体过程见下图：
(1)由触发条件激活木马
触发条件是指启动木马的条件,大致出现在下面八个地方:
1.注册表:打开HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\下的五个以Run 和RunServices主键,在其中寻找可能是启动木马的键值。
2.WIN.INI:C:\WINDOWS目录下有一个配置文件win.ini，用文本方式打开，在[windows]字段中有启动 命令 load=和run=,在一般情况下是空白的,如果有启动程序,可能是木马。 3.SYSTEM.INI:C:\WINDOWS目录下有个配置文件system.ini，用文本方式打开，在[386Enh],[mic]， [drivers32]中有命令行,在其中寻找木马的启动命令。
4.Autoexec.bat和Config.sys:在C盘根目录下的这两个文件也可以启动木马。但这种加载方式一般都 需要控制端用户与服务端建立连接后，将已添加木马启动命令的同名 文件上传 到服务端覆盖这两个文件才行。
5.*.INI:即应用程序的启动配置文件，控制端利用这些文件能启动程序的特点，将 *** 好的带有木马 启动命令的同名文件上传到服务端覆盖这同名文件，这样就可以达到启动木马的目的了。
6.注册表:打开HKEY_CLASSES_ROOT\文件类型\shell\open\command主键,查看其键值。举个例子,国产木马“冰河”就是修改HKEY_CLASSES_ROOT\txtfile\shell\open\command下的键值,将“C :\WINDOWS \NOTEPAD.EXE %1”该为“C:\WINDOWS\SYSTEM\SYXXXPLR.EXE %1”，这时你双击一个TXT文件 后，原本应用NOTEPAD打开文件的，现在却变成启动木马程序了。还要说明 的是不光是TXT文件，通过修改HTML，EXE，ZIP等文件的启动命令的键值都可以启动木马，不同之处只在于“文件类型”这个主键的差别，TXT是txtfile,ZIP是WINZIP，大家可以 试着去找一下。
7.捆绑文件:实现这种触发条件首先要控制端和服务端已通过木马建立连接，然后控制端用户用工具 软件将木马文件和某一应用程序捆绑在一起，然后上传到服务端覆盖原文件，这样即使 木马被删 除了，只要运行捆绑了木马的应用程序，木马又会被安装上去了。
8.启动菜单:在“开始---程序---启动”选项下也可能有木马的触发条件。
(2)木马运行过程
木马被激活后，进入内存，并开启事先定义的木马端口，准备与控制端建立连接。这时服务端用 户可以在MS-DOS方式下，键入NETSTAT -AN查看端口状态，一般个人电脑在脱机状态下是不会有端口开放的，如果有端口开放，你就要注意是否感染木马了。下面是电脑感染木马后，用NETSTAT命令查 看端口的两个实例：
其中①是服务端与控制端建立连接时的显示状态，②是服务端与控制端还未建立连接时的显示状态。
在上网过程中要下载软件，发送信件，网上聊天等必然打开一些端口，下面是一些常用的端口：
(1)1---1024之间的端口：这些端口叫保留端口，是专给一些对外通讯的程序用的，如FTP使用21， *** TP使用25，POP3使用110等。只有很少木马会用保留端口作为木马端口 的。
(2)1025以上的连续端口：在上网浏览网站时，浏览器会打开多个连续的端口下载文字，图片到本地 硬盘上，这些端口都是1025以上的连续端口。
(3)4000端口：这是OICQ的通讯端口。
(4)6667端口：这是IRC的通讯端口。 除上述的端口基本可以排除在外，如发现还有其它端口打开，尤其是数值比较大的端口，那就要怀疑 是否感染了木马，当然如果木马有定制端口的功能，那任何端口都有可能是木马端口。
四.信息泄露:
一般来说，设计成熟的木马都有一个信息反馈机制。所谓信息反馈机制是指木马成功安装后会收集 一些服务端的软硬件信息，并通过E-MAIL，IRC或ICO的方式告知控制端用户。下图是一个典型的信息反 馈邮件。
从这封邮件中我们可以知道服务端的一些软硬件信息，包括使用的操作系统，系统目录，硬盘分区况， 系统口令等，在这些信息中，最重要的是服务端IP，因为只有得到这个参数，控制端才能与服务端建立 连接，具体的连接 *** 我们会在下一节中讲解。
五.建立连接：
这一节我们讲解一下木马连接是怎样建立的 。一个木马连接的建立首先必须满足两个条件：一是 服务端已安装了木马程序；二是控制端，服务端都要在线 。在此基础上控制端可以通过木马端口与服 务端建立连接。为了便于说明我们采用图示的形式来讲解。
如上图所示A机为控制端，B机为服务端，对于A机来说要与B机建立连接必须知道B机的木马端口和IP地址，由于木马端口是A机事先设定的，为已知项，所以最重要的是如何获得B机的IP地址。获得B机的IP 地址的 *** 主要有两种：信息反馈和IP扫描。对于前一种已在上一节中已经介绍过了，不再赘述，我们重点来介绍IP扫描，因为B机装有木马程序，所以它的木马端口7626是处于开放状态的，所以现在A机只要扫描IP地址段中7626端口开放的主机就行了，例如图中B机的IP地址是202.102.47.56，当A机扫描到这个IP时发现它的7626端口是开放的，那么这个IP就会被添加到列表中，这时A机就可以通过木马的控制端程序向B机发出连接信号，B机中的木马程序收到信号后立即作出响应，当A机收到响应的信号后，开启一个随即端口1031与B机的木马端口7626建立连接，到这时一个木马连接才算真正建立。值得一提的要扫描整个IP地址段显然费时费力，一般来说控制端都是先通过信息反馈获得服务端的IP地址，由于拨号上网的IP是动态的，即用户每次上网的IP都是不同的，但是这个IP是在一定范围内变动的，如图中 B机的IP是202.102.47.56，那么B机上网IP的变动范围是在202.102.000.000---202.102.255.255，所以每次控制端只要搜索这个IP地址段就可以找到B机了。
六.远程控制：
木马连接建立后，控制端端口和木马端口之间将会出现一条通道，见下图
控制端上的控制端程序可藉这条通道与服务端上的木马程序取得联系,并通过木马程序对服务端进行远 程控制。下面我们就介绍一下控制端具体能享有哪些控制权限，这远比你想象的要大。
(1)窃取密码：一切以明文的形式，*形式或缓存在CACHE中的密码都能被木马侦测到，此外很多木马还 提供有击键记录功能，它将会记录服务端每次敲击键盘的动作，所以一旦有木马入侵， 密码将很容易被窃取。
(2)文件操作：控制端可藉由远程控制对服务端上的文件进行删除,新建,修改,上传,下载,运行,更改属 性等一系列操作,基本涵盖了WINDOWS平台上所有的文件操作功能。
(3)修改注册表：控制端可任意修改服务端注册表，包括删除，新建或修改主键，子键，键值。有了这 项功能控制端就可以禁止服务端软驱，光驱的使用，锁住服务端的注册表，将服务端 上木马的触发条件设置得更隐蔽的一系列高级操作。
(4)系统操作：这项内容包括重启或关闭服务端操作系统，断开服务端 *** 连接，控制服务端的鼠标， 键盘，监视服务端桌面操作，查看服务端进程等，控制端甚至可以随时给服务端发送信 息，想象一下，当服务端的桌面上突然跳出一段话，不吓人一跳才怪.
请问有关特洛伊木马病毒
木马病毒(特洛伊 后门等)一般情况下都比较顽固，常规模式下不好清除。(容易隐藏病毒文件 容易与其他系统文件关联，以DLL注入或者系统关键进程注入等方式发作等)
首先重启电脑，进入安全模式，再启动你的杀毒软件扫描一遍就可以了。
安全模式：启动的时候按住 F8 键，出现选择的时候 选“进入安全模式”
可以试试下面几款,因为都是免安装的绿色版本
,不用担心冲突问题,不可能冲突,且都能升级的
顶级木马间谍查杀软件应该是Spy Emergency了
Spy Emergency2005 （一款顶级木马间谍查杀软件）2.0.320 汉化版 下载：http://www.e666.cn/Software/Catalog102/2367.html
专杀木马的应该是木马克星
木马克星iparmor V5.50 Build 2206清爽去广告增强版下载：
http://www.e666.cn/Software/Catalog101/2249.html
还有就是木马分析专家也不错
木马分析专家2006 V7.09 特别版＆02月06日木马库下载：
http://www.e666.cn/Software/Catalog101/1744.html
木马杀客 5.2 绿色特别版 Build 0120 （更新02月21日病毒库）
http://www.e666.cn/Software/Catalog101/1751.html
Autoruns (查木马病毒解决系统启动太慢的工具)v8.43 汉化修正版
http://www.e666.cn/Software/Catalog30/2124.html
推荐采用功能强大的木马专杀工具：ewido （这是目前非常有效、强大的反木马工具，玩马者的克星）
这是绿色版，网站里面也有安装版，随你选择
http://www.orsoon.com/Software/catalog184/2727.html
注册码： 6617-EBE8-D1FD-FEA2
更新时会出现"用户名过期...."字样,别管它,再点击一次就行了,
输入注册码后接着关掉自动更新，每次升级后得再次输入注册码"
最新的升级已经可以查杀27万8294 种木马病毒。(06年3月4日升级）
支持离线升级方式：http://www.ewido.net/en/download/updates/
[使用详细解释： 因为是绿色版，不需要安装，下载完成后将文件释放到C:\即可，到C:\security suite下双击"试用前必须双击此文件破解，每次升级后再双击一次.reg" 点确定，导入注册信息。然后双击SecuritySuite.exe这个文件即可启动Ewido（当然你也可以右键发送一个快捷方式到桌面上去，以方便下次使用。
进入主程序界面后，点“更新”按钮，点“开始更新按钮”，耐心的等待更新完成100％。然后就可以点“扫描器”进行扫描了。剩下来的事情由Ewido帮你来完成。]
什么是特洛伊木马病毒？
特洛伊木马是一种恶意程序，它们悄悄地在宿主机器上运行，就在用户毫无察觉的情况下，让攻击者获得了远程访问和控制系统的权限。一般而言，大多数特洛伊木马都模仿一些正规的远程控制软件的功能，如Symantec的pcAnywhere，但特洛伊木马也有一些明显的特点，例如它的安装和操作都是在隐蔽之中完成。攻击者经常把特洛伊木马隐藏在一些游戏或小软件之中，诱使粗心的用户在自己的机器上运行。最常见的情况是，上当的用户要么从不正规的网站下载和运行了带恶意代码的软件，要么不小心点击了带恶意代码的邮件附件。
大多数特洛伊木马包括客户端和服务器端两个部分。攻击者利用一种称为绑定程序的工具将服务器部分绑定到某个合法软件上，诱使用户运行合法软件。只要用户一运行软件，特洛伊木马的服务器部分就在用户毫无知觉的情况下完成了安装过程。通常，特洛伊木马的服务器部分都是可以定制的，攻击者可以定制的项目一般包括：服务器运行的IP端口号，程序启动时机，如何发出调用，如何隐身，是否加密。另外，攻击者还可以设置登录服务器的密码、确定通信方式。
服务器向攻击者通知的方式可能是发送一个email，宣告自己当前已成功接管的机器；或者可能是联系某个隐藏的Internet交流通道，广播被侵占机器的IP地址；另外，当特洛伊木马的服务器部分启动之后，它还可以直接与攻击者机器上运行的客户程序通过预先定义的端口进行通信。不管特洛伊木马的服务器和客户程序如何建立联系，有一点是不变的，攻击者总是利用客户程序向服务器程序发送命令，达到操控用户机器的目的。
特洛伊木马攻击者既可以随心所欲地查看已被入侵的机器，也可以用广播方式发布命令，指示所有在他控制之下的特洛伊木马一起行动，或者向更广泛的范围传播，或者做其他危险的事情。实际上，只要用一个预先定义好的关键词，就可以让所有被入侵的机器格式化自己的硬盘，或者向另一台主机发起攻击。攻击者经常会用特洛伊木马侵占大量的机器，然后针对某一要害主机发起分布式拒绝服务攻击（Denial of Service，即DoS），当受害者觉察到 *** 要被异乎寻常的通信量淹没，试图找出攻击者时，他只能追踪到大批懵然不知、同样也是受害者的DSL或线缆调制解调器用户，真正的攻击者早就溜之大吉。
特洛伊木马造成的危害可能是非常惊人的，由于它具有远程控制机器以及捕获屏幕、键击、音频、视频的能力，所以其危害程度要远远超过普通的病毒和蠕虫。深入了解特洛伊木马的运行原理，在此基础上采取正确的防卫措施，只有这样才能有效减少特洛伊木马带来的危害.
1. Trojan Remover Update 6.4.7 Date 01.27
一个专门用来清除特洛伊木马和自动修复系统文件的工具。
antivirus.pchome.net/trojan/1070.html
2. ZoneAlarm Free 6.1.737.000
ZoneAlarm来保护你的电脑，防止Trojan(特洛伊木马)程序，Trojan也是一种极为可怕的程
www.onlinedown.net/soft/1017.htm
3. Trojan Remover 6.4.7 Date 01.27
专门用来清除特洛伊木马和自动修复系统文件的工具
antivirus.pchome.net/trojan/7704.html
4. Trojan Remover 6.46(Database 6461)
是一个专门用来清除特洛伊木马和自动修复系统文件的工具。能够检查系统登录文件、扫描
www.onlinedown.net/soft/2902.htm
5. 木马终结者 V3.5
特洛伊木马病毒一种破坏力十分强的黑客病毒，你只要中
www.skycn.com/soft/2519.html
6. LDM木马检测程序 2003钻石版
LDM木马检测程序是大部分流行特洛伊木马病毒的克星，是一个专门防制特洛伊木马病毒的
www.onlinedown.net/soft/11555.htm
7. The Cleaner Database V3887
一个专门检测和清除侵入您系统中的特洛伊木马的专业程
www.skycn.com/soft/3760.html
8. Trojan Remover V6.4.6(Database 6461) Update
Trojan Remover 是一个专门用来清除特洛伊木马和自动修
www.skycn.com/soft/3217.html
9. 木马终结者 3.33
所有特洛伊木马病毒的克星，专门防制特洛伊木马病毒的防毒软件
antivirus.pchome.net/trojan/8238.html
10. 木马杀手 Trojan System Cleaner 3.5.1117
木马杀手会检测现存的特洛伊木马程序的活动、复原被特洛伊木马修改的系统文件，杀除特
www.onlinedown.net/soft/17193.htm
11. Trojan Remover Database Update 6461
Trojan Remover 是一个专门用来清除特洛伊木马和自动修
www.skycn.com/soft/3219.html
12. ZoneAlarm Pro 6.1.737.000
保护你的电脑，防止Trojan(特洛伊木马)程序
antivirus.pchome.net/others/8104.html
13. Trojan Remover 6.4.6 Database 6461 Update
是一个专门用来清除特洛伊木马和自动修复系统文件的工具。能够检查系统登录文件、扫描
www.onlinedown.net/soft/2903.htm
14. ZoneAlarm Security Suite V6.1.737.000
ZoneAlarm 保护你的电脑，防止Trojan(特洛伊木马)程序
www.skycn.com/soft/3769.html
15. 熊猫卫士 钛金版2.05.00
*基于极速“UltraFast”引擎，快速检测和清除所有病毒、特洛依木马、蠕虫、恶意的Java
www.onlinedown.net/soft/9066.htm
16. Trojan Remover Database 6461
是一个专门用来清除特洛伊木马和自动修复系统文件的工具。能够检查系统登录文件、扫描
www.onlinedown.net/soft/2905.htm
17. ZoneAlarm Pro 6.1.737.000
ZoneAlarm来保护你的电脑，防止Trojan(特洛伊木马)程序，Trojan也是一种极为可怕的程
www.onlinedown.net/soft/1019.htm
18. Antiy Ghostbusters Pro 5.05
一个专业级别的特洛伊木马检测和系统安全工具
download.pchome.net/internet/safe/15974.html
19. The Cleaner Pro V4.1 Build 4252
一个专门检测和清除侵入您系统中的特洛伊木马的专业程
www.skycn.com/soft/3758.html
20. ZoneAlarm Free V6.1.737.000
ZoneAlarm 来保护你的电脑，防止Trojan(特洛伊木马)程
www.skycn.com/soft/9443.html
21. ZoneAlarm Pro V6.1.737.000
ZoneAlarm来保护你的电脑，防止Trojan(特洛伊木马)程序
www.skycn.com/soft/3770.html
22. ZoneAlarm Pro V6.1.737.000 Beta
ZoneAlarm来保护你的电脑，防止Trojan(特洛伊木马)程序，Trojan也是一种极为可怕?
download.21cn.com/list.php?id=3458
23. Antiy Ghostbusters Advanced Edition 5.04
AntiyLabs出品的专业级特洛伊木马检测工具，被网友称为“捉鬼队”。该软件可以对驱动
www.onlinedown.net/soft/7660.htm
24. Trojan Remover 木马病毒库 6072
一个专门用来清除特洛伊木马和自动修复系统文件的工具。能够检查系统登录文件、扫
download.21cn.com/list.php?id=5317
25. The Cleaner Pro 4 updates Database 3860
一个专门检测和清除侵入您系统中的特洛伊木马的专业程序,内置3093个木马标识。可在线
www.onlinedown.net/soft/1445.htm
26. Digital Patrol 5.00.31
专门检测系统中特洛伊木马程序的扫毒软件
antivirus.pchome.net/trojan/12504.html
27. 熊猫卫士 7.0铂金版中文测试版
*基于极速“UltraFast”引擎，快速检测和清除所有病毒、特洛依木马、蠕虫、恶意的Java
www.onlinedown.net/soft/9065.htm
28. Trojan Remover V6.4.6(Database 6457)
Trojan Remover 是一个专门用来清除特洛伊木马和自动修复系统文件的工具。能够检?
download.21cn.com/list.php?id=7335
29. Trojan Remover V6.3.3 Date 12.20
Trojan Remover是一个专门用来清除特洛伊木马和自动修复系统文件的工具。能够检查
download.21cn.com/list.php?id=3692
30. The Cleaner V3.5.4.3519(DataBase 3359) 汉化版
一个专门检测和清除侵入您系统中的特洛伊木马的专业程
www.skycn.com/soft/3759.html
31. Anti-Trojan 5.5.421
Anti-Trojan扫描隐藏在你的系统里的具有破坏性的特洛依木马程序。它利用三重扫描来检
www.onlinedown.net/soft/1318.htm
32. TDS-3: Trojan Defence Suite 3.2.0
防特洛伊木马的软件，可以检测到360种以上的特洛伊木马和电脑蠕虫
antivirus.pchome.net/trojan/10170.html
33. ZoneAlarm Pro 4.5.594
保护你的电脑，防止Trojan(特洛伊木马)程序
antivirus.pchome.net/others/10678.html
34. 木马终结者 V3.37
特洛伊木马病毒一种破坏力十分强的黑客病毒。你只要中了毒，你的计算机将被黑客控
download.21cn.com/list.php?id=10681
35. The Cleaner (executable only) 3.54 Build 3528
一个专门检测和清除侵入您系统中的特洛伊木马的专业程序
antivirus.pchome.net/cleaner/8957.html
36. BoDetect 3.5
一个专门用来监测和删除特洛依木马之类的小工具
antivirus.pchome.net/trojan/10171.html
37. ZoneAlarm Anti-Spyware V6.1.737.000
ZoneAlarm 来保护你的电脑，防止Trojan(特洛伊木马)程
www.skycn.com/soft/9442.html
38. ZoneAlarm Free 6.0.629.000 Beta
ZoneAlarm来保护你的电脑，防止Trojan(特洛伊木马)程序，Trojan也是一种极为可怕的程
www.onlinedown.net/soft/20642.htm
39. LDM木马检测程序 Power XP Build 688C
特洛伊木马病毒一种破坏力十分强的黑客病毒，你只要中
www.skycn.com/soft/8731.html
40. Advanced Registry Tracer 2.03
具有侦测出特洛伊木马病毒功能
download.pchome.net/system/treak/10607.html
41. 木马杀手(Trojan System Cleaner) V3.5.1117
木马杀手会检测现存的特洛伊木马程序的活动、复原被特
www.skycn.com/soft/14265.html
木马病毒被成为特洛伊木马
Adware（广告软件）
一种广告显示软件，特别是指某些可能以一种用户想不到和不希望的方式或上下文主要用于潜在地传递广告内容的可执行应用软件。很多广告应用软件还具有跟踪功能，因此也可能被归类为跟踪技术。如果有些消费者反对这样的跟踪，不希望看到程序生成的广告，或者对程序对系统性能的影响感到失望，他们可能希望移除广告软件。另一方面，如果广告程序的出现可以降低得到某种想要的产品或服务的成本，或者它们可以提供像对用户正在考虑或寻找的产品的具有竞争力的或者补充的广告，对用户有用或者是用户想要的，有些用户可能希望保留特定的广告程序。（来源：反间谍软件联盟）
BOT病毒
BOT是机器人（Robot）的缩写，是被设计用于自动执行任务的一种程序。最初，bot是用于在UNIX环境中自动执行那些系统管理员要经常执行的无聊的任务。一些bot可以模拟人类对问题的反应，和用户自动地聊天。Bot也可以被恶意的用于远程攻击者控制受害的计算机。许多bot的实质就是这样，控制一台计算机与控制10万台计算机一样容易。Bot可以用于发送垃圾邮件，下载和存储非法文件，如某些类型的色情文学文件，或者使计算机加入对其他计算机的攻击。有种bot可以用作搜索受害计算机的硬盘驱动器，将机密信息发送到互联网上的远程站点以窃取别人身份信息。感染bot病毒的计算机通常被称为靶标（drones）或者僵尸（zombies）。
BOTNET（僵尸 *** 病毒）
一个botnet是一组被相同的“命令与控制中心”控制的受bot病毒感染的计算机。最近点对点（P2P）botnet已经被使用。这些botnet没有传统的命令与控制中心，而是全部都是同一支“军队”的一部分。
Hoaxes（恶作剧病毒）
Hoaxes通常是无聊恶作剧，使用连锁电子邮件的形式，而且还经常使用城市传说（Urban Legends）。计算机恶作剧病毒试图在收件人中造成恐惧、疑惑和怀疑（FUD），使他们相信他们的系统中有一种“无法侦测出来的病毒”（如果您可以删除它，那么它怎么能被侦测到呢？）。有些实际上就是要求收件人从他们的系统中删除文件的恶意内容。他们应该很简单地删除掉。发送它们给20个您的朋友不会给您带来任何好运，也不是您知道任何有关您的计算机的安全性的方式。
Snopes（http://www.snopes.com/）是一个关于恶作剧病毒、城市传说和欺诈病毒（scam）的优秀资源。
http://www.virushoax.co.uk/ 网站Electronic Ephemera站点包含了许多一般恶作剧病毒的信息，以及关于欺诈病毒如 *** 费欺骗病毒（advanced fraud fee scams）的大量信息。美国能源部计算机事件处理顾问功能（Computer Incident Advisory Capability），请访问http://www.ciac.org/ciac/index.html。
Hoax Busters网站，http://hoaxbusters.ciac.org/HBHoaxCategories.htm。
Malware（恶意软件）
Malware代表有恶意目的的软件。类似Virus（病毒）、Trojan（特洛伊木马）、Worm（蠕虫）与Bot等术语都有特定的意义。Malware用于概括地描述任何恶意软件，不论其技术种类。
Payload病毒
例如盗窃数据、删除文件、重写磁盘、刷新BIOS等附加功能可能包含在蠕虫病毒或特洛伊木马中。注意，payload病毒并不一定是破坏性的——例如Form payload病毒是一种让键盘在每个月的某天产生点击噪音的病毒——除此以外，它没有任何损害。如果是特洛伊木马，它会有程序员希望达到的“秘密”功能。
Phishing（ *** 钓鱼攻击）
Phishing（与fishing发音一样）是一种社会工程攻击，试图骗取敏感的私人信息，如密码和/或信用卡详细资料。这通常是通过发送伪装成您信任的人或交易明显合法地要求获取您信息的电子邮件（或者类似通信手段）来完成的。最常见的钓鱼看起来好像来自于大众的主要街道银行，通常会威胁您，如果您不按照指示做的话，他们会中止服务或造成您不想要的结果。有时这种邮件看起来很真诚，而且包含可能原本来自于它模仿的来源的标识和内容。通常在邮件里会有一个带收件人到某个网站（同样可能看起来非常像合法站点）的链接，而这个站点就是用来获取想“钓”的资料。银行与如Ebay或者PayPal这样的合法公司决不会在未经请求的电子邮件中要求获得您的用户名和密码，记住这点非常重要。同样值得记住的是，钓鱼邮件中的链接尽管可能看起来是合法的，但总是会在下面指向一个不同的站点。当您想进入您的网上银行或者其他在线服务时，请一定要打开一个新的浏览器会话窗口并在地址栏输入正确的网址。
Rootkit
Rootkit是一个或者多个设计用于暗自控制一台计算机的工具的 *** 。最初，rootkit出现于UNIX操作系统中（包括Linux），是使得攻击者能够获取和保持计算机上更高级别用户权限（在UNIX系统中这种用户被称之为“root”——因此rootkit得名）的一个或者多个工具的 *** 。在基于Windows的系统中，rootkit更多地与对用户隐藏程序或进程的工具相关。在安装以后，Windows中的rootkit可以使用操作系统中的功能隐藏自身，以免被侦测出来，并且经常被用于隐藏像键盘记录器之类的其他恶意程序。Rootkit的使用并不一定都是恶意的，但是它们已经越来越多地被用于不受欢迎的行为与恶意软件中。
Scams（欺诈病毒）
Scams与phishing（ *** 钓鱼攻击）十分相似，但是通常它们对获取您的详细资料并不感兴趣，它们更多地是利用同情心或者人类的贪婪。例如，几乎每次灾难（地震、洪水、战争、饥荒）都会产生大量的scams，经常是用以一种“值得尊敬的”理由请求慈善援助的方式出现。 *** 费欺骗（有时称为419欺骗）提供给您一个获得大量金钱的机会，大概是通过帮助欺诈者从一个国家转移出更大一笔钱（通常是像尼日利亚之类的一个非洲国家）。这些scams总是会要求您寄给欺诈者一些钱用于弥补“管理”成本（常常是几千美元）。有时，这些scams会导致被骗者不见了，这是因为被骗者旅行到另一个国家去见他们的“赠送者”时被谋杀或者绑架了。在不这么极端的案例里，很多人损失了成千上万的美元给这些骗子。下面是一些避免类似scams的小贴士：
合法的慈善机构通常只会给那些明确选择（决定参加）接收来自于该慈善机构邮件的人们发送请求呼吁邮件。未经请求的类似邮件几乎都是欺诈——特别是在一个灾难事件之后很快出现的邮件。
不要被表面所欺骗。电子邮件可能会通过复制一个合法机构的图形和语言来使得自身看起来合法。很多包括灾难受害者的悲惨故事。如果有疑问，直接到该机构的网站，找出通过那里捐赠的 *** ，并考虑到类似http://www.charity-navigator.org/的网站验证该慈善机构的合法性。
不要直接点击到链接：电子邮件中的链接可能会通向伪装一个真实机构的外观和感觉的“骗子”网站。
天下没有免费的午餐——如果看起来好的都不真实了，这几乎都是骗局。
有关Scambusters，请看http://www.scambusters.org/Hoax%20Busters，Scams的Hoax Busters，请看http://hoaxbusters.ciac.org/HBScams.shtml。
Spyware（间谍软件）
Spyware这个术语被用于两种方式。
狭义上说，Spyware是指在没有适当的通知、同意许可或者用户控制的情况下安装的追踪软件。
跟踪经常通过报告信息（从浏览历史到信用卡或个人详细资料的一切信息）给第三方完成。有些间谍软件是作为另一个程序的一部分传送，但是有些是作为一个蠕虫的payload（载荷）或者通过利用浏览器弱点在后台静默安装程序的网站传送。也有许多伪装成反间谍软件程序但实际上自身就是间谍软件的程序。（http://www.spywarewarrior.org/上有流氓反间谍与反病毒程序的列表）
广义上说，Spyware被用作反间谍软件联盟称为“间谍软件和其他潜在冗余技术”的同义词。这可以包括一些种类的cookies、商业键盘记录器和其他跟踪技术。
威胁演化的非常快：这不再仅仅指病毒。间谍软件、特洛伊木马、蠕虫和 *** 钓鱼攻击都在上升。恶意软件的开发者正在积极地改进它们的代码，试图躲避安全防护。在这里您将找到各种资源，理解这些不断发展的威胁的本质，它们对您的业务的影响以及为什么预先主动防护是如此重要。
Trojan Horse（特洛伊木马）
Trojan Horse经常也被仅仅称为Trojan，是一种声称做一件事情而实际上做另外一件事情的程序。不是总是破坏性的或者恶意的，它们常常与侦测文件、重写硬盘驱动器之类的事情有关，或者被用于为攻击者提供一个系统的远程访问权限。经典的木马包括作为游戏文件传送的键盘记录器或者伪装成有用应用程序的文件删除者。木马可以用于多种目的，包括：
远程访问（有时称为远程访问工具或RAT’s或者后门）
键盘记录于盗取密码（大部分间谍软件属于此类）
Virus（病毒）
病毒是一种通过拷贝自身或者准确地说以一种改进的形式进入其他一段可执行代码中的程序。病毒可以使用很多类型的宿主，最常见的一些是：
可执行文件（例如您的计算机上的程序）
引导扇区（告诉您的计算机从那里找到用于“引导”或者开启的代码部分）
脚本文件（例如Windows脚本或者Visual Basic脚本）
宏文件（这种现在非常少见了，因为宏在例如微软Word程序中不会默认执行）
当一个病毒把自身嵌入了其他可执行代码中时，这就保证了当其他代码运行时它也运行，并且病毒会通过在每次运行的时候搜索其他“干净”宿主的方式传播。有些病毒会重写原始文件，有效地破坏它们，但是很多仅仅是简单地插入成为宿主程序的一部分，因此两者都能幸存。取决于它们的编码方式，病毒可以通过许多系统文件、 *** 共享文件、文档里和磁盘引导区里传播。尽管某些病毒通过电子邮件传播，但是这样并不能使它们成为病毒，并且事实上，大多数在电子邮件中传播的东西实际上是蠕虫。要成为一个病毒，这个代码只需要去复制，它不需要造成很多损害，或者甚至不需要广泛地传播（参看Payload）。
Worm（蠕虫）
在计算机术语中，蠕虫实际上是病毒的一个子类，但是它们有能力自身复制，不需要一个宿主文件。
简单的说，病毒感染宿主，如何扰乱系统。蠕虫常常利用面向 *** 的服务的弱点。这样的蠕虫能够在易受攻击的系统 *** 上快速传播，因为它们不需要任何用户的介入就能运行。不过，最常见类型的蠕虫都携带在电子邮件中（注意，并不是邮件被感染了，而是它们携带了蠕虫病毒文件，这一点很重要）。在邮件带有蠕虫病毒的情况下，邮件的收件人就是被利用的弱点，通常会有一个诱人的主题或信息。
通常从系统中清除蠕虫比清除病毒容易多了，因为它们并不感染文件。蠕虫经常试图把它们添加到启动文件中，后者修改注册表键值以确保它们在每次系统启动时被加载。此外，蠕虫并不一定要造成任何损害（参看Payload）。
特洛伊木马程序原理及传染机制分析
木马，也称特洛伊木马，英文名称为Trojan Horse，是借自“木马屠城记”中那只木马的名字。古希腊有大军围攻特洛伊城，久久不能得手。有人献计制造一只高二丈的大木马假装作战马神，攻击数天后仍然无功，遂留下木马拔营而去。城中得到解围的消息，及得到 “木马”这个奇异的战利品，全城饮酒狂欢。到午夜时分，全城军民尽入梦乡，匿于木马中的将士开密门游绳而下，开启城门四处纵火，城外伏兵涌入，焚屠特洛伊城。后世称这只木马为 “特洛伊木马”，现今计算机术语借用其名，意思是 “一经进入，后患无穷”。特洛伊木马原则上和一些远程控制程序如PCanywhere等一样，只是一种远程管理工具，而且本身不带伤害性，也没有感染力；但却常常被人们视之为病毒，原因是如果有人不当地使用，破坏力可以比病毒更强。
由于很多新手对安全问题了解不多，再加上木马程序具有隐蔽性强的特点，不借助专门的监控软件，很不容易发现特洛伊木马的存在和黑客的入侵。虽然现在市面上有很多新版杀毒软件都可以自动清除“木马”，但它们并不能防范新出现的 “木马”程序，因此最关键的是要知道“木马”的工作原理，这样就会很容易发现 “木马”，并且知道怎么清除自己计算机中的 “木马”了。
木马攻击原理
木马攻击是黑客最常用的攻击 *** ，因此，在本章中我们将使用较大篇幅来介绍木马的攻防技术。
木马的危害性在于它对电脑系统强大的控制和破坏能力、窃取密码、控制系统操作、进行文件操作等，一台计算机一旦被一个功能强大的木马植入，攻击者就可以像操作自己的计算机一样控制这台计算机，远程监控这台计算机上的所有操作。
在使用木马的人群中菜鸟黑客居多，他们往往接触 *** 不久，对黑客技术很感兴趣，很想向众人和朋友显示一番，但是攻击技术却不高，不能采取别的 *** 攻击。于是木马这种半自动的傻瓜式且非常有效的攻击软件成为了他们的更爱，而且随着国产木马的不断出现，多数黑客的入门攻击几乎无一例外都是使用木马。当然对于那些黑客老手来说他们也并不是不使用木马了，他们通常会在得到一个服务器权限的时候植入自己编写的木马作为后门，以便将来随时方便进出这台服务器。
提示
黑客高手们自己编写的木马一般杀毒软件和木马扫描软件都不会认为是木马或病毒，具有很大的危害性。
1、木马的分类
常见的木马主要可以分为以下9大类：
（1）破坏型
这种木马唯一的功能就是破坏并且删除文件，它们非常简单，很容易使用。能自动删除目标机上的DLL、INI、
EXE文件，所以非常危险，一旦被感染就会严重威胁到电脑的安全。不过，一般黑客不会做这种无意义的纯粹
破坏的事，除非你和他有仇。
（2）密码发送型
这种木马可以找到目标机的隐藏密码，并且在受害者不知道的情况下，把它们发送到指定的信箱。有人
喜欢把自己的各种密码以文件的形式存放在计算机中，认为这样方便；还有人喜欢用Windows提供的密码记
忆功能，这样就可以不必每次都输入密码了。这类木马恰恰是利用这一点获取目标机的密码，它们大多数会
在每次启动Windows时重新运行，而且多使用25号端口上送E-mail。如果目标机有隐藏密码，这些木马是非
常危险的。
（3）远程访问型
这种木马是现在使用最广泛的木马，它可以远程访问被攻击者的硬盘。只要有人运行了服务端程序，客户
端通过扫描等手段知道了服务端的IP地址，就可以实现远程控制。
当然，这种远程控制也可以用在正道上，比如教师监控学生在机器上的所有操作。
远程访问型木马会在目标机上打开一个端口，而且有些木马还可以改变端口、设置连接密码等，为的是只
有黑客自己来控制这个木马。
改变端口的选项非常重要，因为一些常见木马的监听端口已经为大家熟知，改变了端口，才会有更大
的隐蔽性。
（4）键盘记录木马
这种特洛伊木马非常简单。它们只做一件事情，就是记录受害者的键盘敲击并且在LOG文件里查找密码，并且随
着Windows的启动而启动。它们有在线和离线记录这样的选项，可以分别记录你在线和离线状态下敲击键盘时的按键
情况，也就是说你按过什么按键，黑客从记录中都可以知道，并且很容易从中得到你的密码等有用信息，甚至是你
的信用卡账号哦!当然，对于这种类型的木马，很多都具有邮件发送功能，会自动将密码发送到黑客指定的邮箱。
（5）DoS攻击木马
随着DoS攻击越来越广泛的应用，被用作DoS攻击的木马也越来越流行起来。当黑客入侵一台机器后，给
他种上DoS攻击木马，那么日后这台计算机就成为黑客DoS攻击的最得力助手了。黑客控制的肉鸡数量越多，发
动DoS攻击取得成功的机率就越大。所以，这种木马的危害不是体现在被感染计算机上，而是体现在黑客利用
它来攻击一台又一台计算机，给 *** 造成很大的伤害和带来损失。
还有一种类似DoS的木马叫做邮件炸弹木马，一旦机器被感染，木马就会随机生成各种各样主题的信件，对
特定的邮箱不停地发送邮件，一直到对方瘫痪、不能接受邮件为止。
（6）FTP木马
这种木马可能是最简单和古老的木马了，它的惟一功能就是打开21端口，等待用户连接。现在新FTP木马
还加上了密码功能，这样，只有攻击者本人才知道正确的密码，从而进入对方计算机。
（7）反弹端口型木马
木马开发者在分析了防火墙的特性后发现：防火墙对于连入的链接往往会进行非常严格的过滤，但是对于
连出的链接却疏于防范。与一般的木马相反，反弹端口型木马的服务端 （被控制端）使用主动端口，客户端 （控
制端）使用被动端口。木马定时监测控制端的存在，发现控制端上线立即弹出端口主动连结控制端打开的被动
端口；为了隐蔽起见，控制端的被动端口一般开在80，即使用户使用扫描软件检查自己的端口时，发现类似TCP
UserIP:1026 Controller IP:80 ESTABLISHED的情况，稍微疏忽一点，就会以为是自己在浏览网页，因为浏
览网页都会打开80端口的。
（8） *** 木马
黑客在入侵的同时掩盖自己的足迹，谨防别人发现自己的身份是非常重要的，因此，给被控制的肉鸡种上
*** 木马，让其变成攻击者发动攻击的跳板就是 *** 木马最重要的任务。通过 *** 木马，攻击者可以在匿名的
情况下使用Telnet，ICQ，IRC等程序，从而隐蔽自己的踪迹。
（9）程序杀手木马
上面的木马功能虽然形形 *** ，不过到了对方机器上要发挥自己的作用，还要过防木马软件这一关才行。常
见的防木马软件有ZoneAlarm,Norton Anti-Virus等。程序杀手木马的功能就是关闭对方机器上运行的这类程
序，让其他的木马更好地发挥作用。
提示
（8）、（9）两种类型的木马实际上是其它类型的木马可能具有的功能，如很多远程访问型木马都可以使
用 *** 服务器的方式连接肉机，而且连上肉机上首先检查对方不是开启了防火墙，如果有，则杀掉其进程，
这样更有利于黑客隐藏身份，从而实现远程控制的目的。
2、木马是如何侵入系统的
我们知道：一般的木马都有客户端和服务器端两个执行程序，其中客户端用于攻击者远程控
制植入木马的计算机，服务器端程序就是我们通常所说的木马程序。攻击者要通过木马攻击计算机系统，所做的之一步就是要把木马的服务器端程序植入到被攻击的计算机里面。
提示
注意木马的客户端和服务器端的称谓，被置了木马的机器称为服务器端，而黑客控制的一端称为客户端。
目前木马入侵的主要途径是通过一定的 *** 把木马执行文件植入被攻击者的电脑系统里，如通过邮件发送、文件下载、网页浏览等，然后通过一定的提示误导被攻击者打开执行文件，比如谎称该木马执行文件是朋友的贺卡文件，用户在毫无防备的情况下打开这个文件后，确实有贺卡的画面出现，但这时木马可能已经在后台悄悄运行了。
那为什么用户一般都不会发现自己的主机运行了木马程序呢？
这主要是因为木马的执行文件一般都非常小，更大不过几十K。因此，如果把木马捆绑到其他正常文件上是很难发现的。有一些网站提供的软件下载往往是捆绑了木马文件的，在执行这些下载的文件时，也同时运行了木马。
木马在被植入主机后，它一般会通过一定的方式把入侵主机的信息，如主机的IP地址、木马植入的端口等发送给攻击者，攻击者有这些信息才能够与木马里应外合控制攻击主机。
由于任何木马都有一个服务端程序，要对一台目标机进行远程控制都必须将服务端程序送入目标机，并诱骗目标机执行该程序。这是用木马进行远程控制中的重要一步，也是很有技巧的一步。
木马的传播方式主要有两种：
① 通过E-mail，由控制端将木马程序以附件的形式夹在邮件中发送出去，收信人只要打开附件就会感染木马。
这一种方式关键的一点，就是如何让对方打开附件。一般情况可在邮件主题写一些吸引人的、易引起人好奇的内容，促使对方毫无知觉地自动种上木马，被你控制。
② 通过软件下载，一些非正规的网站以提供软件下载为名，将木马捆绑在软件安装程序上，下载后，只要一运行这些程序，木马就会自动安装了。
要想对方下载你放在网站上的软件，可以取一些特诱惑人的名称，如某某明星的图片，某某软件的破解版等让人易上当的名称，从而也让别人在不知不觉中种上木马，将端口开放给你，任你使用。
在早期的木马里面，大多是通过发送电子邮件的方式把入侵主机信息告诉攻击者，有一些木马文件干脆把主机所有的密码用邮件的形式通知给攻击者，这样攻击者就不用直接连接攻击主机即可获得一些重要数据，如攻击OICQ密码的GOP木马即是如此。
不过，使用电子邮件的方式对攻击者来说并不是更好的选择，因为如果木马被发现，就可以通过该电子邮件的地址找出攻击者。现在还有一些木马采用的是通过发送UDP或者ICMP数据包的方式通知攻击者。
除了邮件植入外，木马还可以通过Script、ActiveX及ASP、CGI交互脚本的方式植入，由于IE浏览器在执行Script脚本上存在安全漏洞，因此，木马就可以利用这些漏洞很容易植入被攻击的电脑。
此外，木马还可以利用一些系统漏洞植入，如著名的IIS服务器溢出漏洞，通过一个IISHACK攻击程序使IIS服务器崩溃，同时在服务器上执行木马程序，从而植入木马。
3、木马是如何实施攻击的
木马可以以任何形式出现，可能是任何由用户或客户引入到系统中的程序。它可能泄漏一些系统的私有信息，或者控制该系统，这样，它实际上就潜伏着很大的危险性。
通常木马采取六个步骤实施攻击：配置木马 （伪装木马）→传播木马 （通过E-mail或者下载）→运行木马 （自动安装、自启动)→信息泄漏 （E-mail、IRC或ICQ的方式把你的信息泄露出去）→建立连接→远程控制。
至此，木马就彻底掌握了主动权，而你，就坐以待毙吧！
特洛伊木马病毒
目前，U盘病毒的情况非常严重。几乎所有带病毒的U盘，根目录里都有一个autorun.inf，右键菜单多了“自动播放”、“Open”、“Browser”等项目。由于我们习惯用双击来打开磁盘，但现在我们双击，通常不是打开U盘，而是让autorun.inf里所设的程序自动播放。只需采用鼠标右键单击打开就不会激活病毒。但若你的机子有很多人，又不能保证他们不会双击打开U盘，那就可以采用下面的 *** 。
招一、组策略关闭AutoRun功能（适合不熟悉电脑者）
如果你想一次全部禁用WindowsXP的自动播放功能，那么请按下述步骤操作：
1、单击“开始→运行”，在“打开”框中，键入“gpedit.msc”，单击“确定”按钮，打开“组策略”窗口；
2、在左窗格的“本地计算机策略”下，展开“计算机配置→管理模板→系统”，然后在右窗格的“设置”标题下，双击“关闭自动播放”；
3、单击“设置”选项卡，选中“已启用”复选钮，然后在“关闭自动播放”框中单击“所有驱动器”，单击“确定”按钮，最后关闭“组策略”窗口。
招二、注册表关闭AutoRun功能
在“开始”菜单的“运行”中输入Regedit，打开注册表编辑器，展开到
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPoliciesExploer主键下，在右侧窗格中找到“NoDriveTypeAutoRun”，就是这个键决定了是否执行CDROM或硬盘的AutoRun功能。
双击“NoDriveTypeAutoRun”，在默认状态下（即你没有禁止过AutoRun功能），在弹出窗口中可以看到“NoDriveTypeAutoRun”默认键值为95，00，00，00，附件上传了抓图。其中之一个值“95”是十六进制值，它是所有被禁止自动运行设备的和。将“95”转为二进制就是10010101，其中每位代表一个设备，Windows中不同设备会用如下数值表示：
设备名称第几位值设备用如下数值表示设备名称含义
DKIVE_UNKNOWN0101h不能识别的设备类型
DRIVE_NO_ROOT_DIR1002h没有根目录的驱动器（Drivewithoutrootdirectory）
DRIVE_REMOVABLE2104h可移动驱动器（Removabledrive）
DRIVE_FIXED3008h固定的驱动器（Fixeddrive）
DRIVE_REMOTE4110h *** 驱动器（Networkdrive）
DRIVE_CDROM5020h光驱（CD-ROM）
DRIVE_RAMDISK6040hRAM磁盘（RAMDisk）
保留7180h未指定的驱动器类型
在上面所列的表中值为“0”表示设备运行，值为“1”表示该设备不运行（默认情况下，Windows禁止80h、10h、4h、01h这些设备自动运行，这些数值累加正好是十六进制的95h，所以NoDriveTypeAutoRun”默认键值为95，00，00，00）。
招三、修改权限法
1.点开始-gt;运行输入regedit.exe回车
2.打开注册表编辑器后展开项，也是进入[HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorerMountPoints2]
3.右键点MountPoints2选择权限
4.依次点击“安全中的用户和组”，在下面的权限中都改成拒绝
5.刷新一遍，此后即使U盘有病毒也不会激活，双击U盘会正常进入U盘。
招四、隐藏驱动器法（适合U盘使用频繁者，如打印工作室）
如果上面的 *** 都不够彻底，还有一招就是把驱动器隐藏了，而用一个批处理文件来打开U盘。
1、打开注册表编辑器，还是进入HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer，新建二进制值“NoDrives”，缺省值是00000000，表示不隐藏任何驱动器。键值由4个字节组成，每个字节的每一位（bit）对应从A到Z的一个盘，当相应位为1时，“我的电脑”中的相应驱动器就被隐藏了。之一个字节代表从A到H的八个盘，即01为A、02为B、04为C……依此类推，第二个字节代表I到P；第三个字节代表Q到X；第四个字节代表Y和Z。U盘的盘符是接着现有盘符往下推。若你现在已经使用了C、D、E、F，那么U盘采用G：着盘符，再插入一个U盘就用H：。此时只需将G：和H：隐藏，则插入U盘也不会在“我的电脑”里显示。当然，用注册表编辑器修改注册表操作起来较为复杂，现在有很多专门修改注册表的软件，如WINDOWS优化大师中展开“系统性能优化/系统安全优化/更多设置/选择要隐藏的驱动器”，将要隐藏的盘符前的"□"里打"√"，确定即可。
2、在桌面新建一个文本文件，输入“start（你的盘符）：”，如：“startf：”，另存为“进入U盘.bat”，之后就通过双击该批处理文件来打开U盘，不仅可防病毒，使用也很方便。
招五、禁止创建autorun.inf（保护自己的U盘）
在根目录下建立一个文件夹，名字就叫autorun.inf。由于Windows规定在同一目录中，同名的文件和文件夹不能共存，这样病毒就无法创建autorun.ini文件，即使您双击盘符也不会运行病毒
或者也可以下载360u盘病毒专杀工具
木马病毒，是什么样的病毒，他有什么危害性？
什么是木马
特洛伊木马(以下简称木马)，英文叫做“Trojan house”，其名称取自希腊神话的特洛伊木马记。
它是一种基于远程控制的黑客工具，具有隐蔽性和非授权性的特点。
所谓隐蔽性是指木马的设计者为了防止木马被发现，会采用多种手段隐藏木马，这样服务端即使发现感染了木马，由于不能确定其具 *** 置，往往只能望“马”兴叹。
所谓非授权性是指一旦控制端与服务端连接后，控制端将享有服务端的大部分操作权限，包括修改文件，修改注册表，控制鼠标，键盘等等，而这些权力并不是服务端赋予的，而是通过木马程序窃取的。
从木马的发展来看，基本上可以分为两个阶段。
最初 *** 还处于以UNIX平台为主的时期，木马就产生了，当时的木马程序的功能相对简单，往往是将一段程序嵌入到系统文件中，用跳转指令来执行一些木马的功能，在这个时期木马的设计者和使用者大都是些技术人员，必须具备相当的 *** 和编程知识。
而后随着WINDOWS平台的日益普及，一些基于图形操作的木马程序出现了，用户界面的改善，使使用者不用懂太多的专业知识就可以熟练的操作木马，相对的木马入侵事件也频繁出现，而且由于这个时期木马的功能已日趋完善，因此对服务端的破坏也更大了。
所以所木马发展到今天，已经无所不用其极，一旦被木马控制，你的电脑将毫无秘密可言。
什么是木马
特洛伊木马(以下简称木马)，英文叫做“Trojan house”，其名称取自希腊神话的特洛伊木马记。
它是一种基于远程控制的黑客工具，具有隐蔽性和非授权性的特点。
所谓隐蔽性是指木马的设计者为了防止木马被发现，会采用多种手段隐藏木马，这样服务端即使发现感染了木马，由于不能确定其具 *** 置，往往只能望“马”兴叹。
所谓非授权性是指一旦控制端与服务端连接后，控制端将享有服务端的大部分操作权限，包括修改文件，修改注册表，控制鼠标，键盘等等，而这些权力并不是服务端赋予的，而是通过木马程序窃取的。
从木马的发展来看，基本上可以分为两个阶段。
最初 *** 还处于以UNIX平台为主的时期，木马就产生了，当时的木马程序的功能相对简单，往往是将一段程序嵌入到系统文件中，用跳转指令来执行一些木马的功能，在这个时期木马的设计者和使用者大都是些技术人员，必须具备相当的 *** 和编程知识。
而后随着WINDOWS平台的日益普及，一些基于图形操作的木马程序出现了，用户界面的改善，使使用者不用懂太多的专业知识就可以熟练的操作木马，相对的木马入侵事件也频繁出现，而且由于这个时期木马的功能已日趋完善，因此对服务端的破坏也更大了。
所以所木马发展到今天，已经无所不用其极，一旦被木马控制，你的电脑将毫无秘密可言。
瑞星杀毒,金山毒霸,木马克星，卡巴斯基杀毒，江民杀毒都可以
木马--并不是一种对自己不利的“病毒”，能够应用和奴驾它的人，就将它看为是一种资源，像一些黑客用木马盗取某些国家或公司的机密文件等等……
它是一种基于远程控制的黑客工具，具有隐蔽性和非授权性的特点。
一般自己中了木马病毒，首先要认清这是个什么病毒 有的很简单也很好解决，像Trojan.DL.Agent.dqi Trojan/Agent.ls都是很好解决的--先断开 *** ，然后打开IE浏览器，点工具里的INTERNET选项，然后把INTERNET临时文件夹中的所有文件都删除，最后再用瑞星就可以杀掉了。
参考资料 http://61.135.153.48/2003/virusfaq/index.html?page=174pagelist=171
其实 Trojan是某些防毒软件对后门木马的一种统称，它并不代表着固定的一个，而是一类，所以即使遇到同样名子的木马可能它们也并不相同。 费尔托斯特安全是一款可以清除木马和病毒的软件，并且有很强的清除能力，如果您有它的正式版可以在升级到最新病毒库后尝试用它扫描清除一下，但这里需要特别提醒一点： 由于这类木马新变种层出不穷，所以不能保证费尔托斯特安全能够识别出目前所有的或者您遇到的。 那么除此之外难道就没有其他办法了吗？有的，下面就介绍一个借助免费工具“费尔木马强力清除助手”(此工具已经集成到费尔托斯特安全新版本中了)来清除这种顽固性 Trojan 木马的 *** ：
使用这个 *** 前必须要先知道这个木马的文件名是什么。防毒软件在发现木马后一般都会报告它的完整文件名，您需要先准确的记录下这个文件名。比如：如果防毒软件提示 C:\Windows\hello.dll 是 Trojan/Agent.l，则记下 C:\Windows\hello.dll 这个名字。这里需要注意文件名一定要记准确，因为有许多木马会把自己的文件名故意伪装成和正常的文件名很接近，比如 svch0st.exe(木马)-svchost.exe(正常)、Expl0rer.exe(木马)-Explorer.exe(正常)、intrenat.exe / internet.exe(木马)-internat.exe(正常)等等。特别是数字0几乎和大写字母O一样，很容易让人看错，所以一定要注意区分它们，否则万一记错将有可能把正常的文件清除掉，那就麻烦了；
暂停防毒软件的实时监控，这一点很重要，否则在清除时可能会被阻止而无法成功。比如如果当初是你的诺顿发现了这个木马，那么请先暂停诺顿的实时监控或实时扫描；
下载费尔木马强力清除助手 http://dl.filseclab.com/down/powerrmv.zip；
释放 PowerRmv.zip 到一个目录，然后执行其中的 PowerRmv.exe 启动“费尔木马强力清除助手”。在“文件名”中输入要清除的木马文件名。比如如果您在第1步中记下的文件名是 C:\Windows\hello.dll，那么这时就输入它；
按“清除”。这时程序会询问你是否要举报此病毒到费尔安全实验室，建议点“是”表示同意。接着程序会继续提示是否确定要清除它，仍然选“是”；
之后，如果此木马被成功清除程序会提示成功；或者也可能提示此木马无法被立即删除需要重启电脑。无论是哪种情况请点击“确定”，这时如果您在前面同意了举报此木马那么程序会自动创建并打开一个“病毒举报”的电子邮件，其中会包含这个木马的样本文件，如果您看到了这个邮件请把它直接发送给 virus@filseclab.com 。如果您并没有看到这封邮件也没有关系，可以忽略。
最后，如果程序前面提示了重启电脑后才能清除那么请一定重启您的电脑，在电脑重启后这个木马应该就被清除掉了。
也有稍顽固的木马，你可以进入DOS彻底删除！
对木马
用Spy Sweeper杀，也可以监控
下载地址：http://download.myrice.com//arts/dn01/dn0106/24189.html
注册码SSDC-OPEN-AAAA-KJEA-PZAK
马病毒源自古希腊特洛伊战争中著名的“木马计”而得名，顾名思义就是一种伪装潜伏的 *** 病毒，等待时机成熟就出来害人。
传染方式:通过电子邮件附件发出，捆绑在其他的程序中。
病毒特性:会修改注册表、驻留内存、在系统中安装后门程序、开机加载附带的木马。
木马病毒的破坏性:木马病毒的发作要在用户的机器里运行客户端程序，一旦发作，就可设置后门，定时地发送该用户的隐私到木马程序指定的地址，一般同时内置可进入该用户电脑的端口，并可任意控制此计算机，进行文件删除、拷贝、改密码等非法操作。
防范措施:用户提高警惕，不下载和运行来历不明的程序，对于不明来历的邮件附件也不要随意打开