本文目录一览：
- 1、木马有什么特点？
- 2、木马病毒的六种启动方式？
- 3、木马病毒的特征
木马有什么特点？
木马是病毒的一种，同时木马程序又有许多种不同的种类，那是受不同的人、不同时期开发来区别的，如BackOrifice(BO)、BackOrifice2000、Netspy、Picture、Netbus、Asylum、冰河等等这些都属于木马病毒种类。综合现在流行的木马程序，它们都有以下基本特征：
1、隐蔽性是其首要的特征
2、它具有自动运行性
3、木马程序具有欺骗性
4、具备自动恢复功能
5、能自动打开特别的端口
6、 功能的特殊性
7、黑客组织趋于公开化
建议你使用腾讯电脑管家来进行查杀
因为腾讯电脑管家是4+1杀毒引擎，管家反病毒引擎、金山云查杀引擎、小红伞本地查杀引擎和管家云引擎，新版本在此基础上启用了管家系统修复引擎，重点加强了“云安全”平台的建设和自研引擎的研发能力，也属国内首例采用“4+1”核“芯”杀毒引擎架构的。 所以杀毒能力是很强悍的，可以信赖！
木马病毒的六种启动方式？
木马是随计算机或Windows的启动而启动并掌握一定的控制权的，其启动方式可谓多种多样，通过登录档启动、通过System.ini启动、通过某些特定程式启动等，真是防不胜防。其实只要能够遏制住不让它启动，木马就没什么用了，这里我就简单说说木马的启动方式，知己知彼百战不殆嘛。
一、通过"开始\程式\启动"
隐蔽性：2星
应用程度：较低
这也是一种很常见的方式，很多正常的程式都用它，大家常用的 *** 就是用这种方式实现自启动的，但木马却很少用它。因为启动组的每人会会出现在“系统配置实用程式”***msconfig.exe，以下简称msconfig***中。事实上，出现在“开始”选单的“程式\启动”中足以引起菜鸟的注意，所以，相信不会有木马用这种启动方式。
二、通过Win.ini档案
隐蔽性：3星
应用程度：较低
同启动组一样，这也是从Windows3.2开始就可以使用的 *** ，是从Win16遗传到Win32的。在Windows3.2中，Win.ini就相当于Windows9x中的登录档，在该档案中的[Windows]域中的load和run项会在Windows启动时执行，这两个专案也会出现在msconfig中。而且，在Windows98安装完成后这两项就会被Windows的程式使用了，也不很适合木马使用。
三、通过登录档启动
1、通过HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run，
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run和
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices
隐蔽性：3.5星
应用程度：极高
应用案例：BO2000，GOP，NetSpy，IEthief，冰河……
这是很多Windows程式都采用的 *** ，也是木马最常用的。使用非常方便，但也容易被人发现，由于其应用太广，所以几乎提到木马，就会让人想到这几个登录档中的主键，通常木马会使用最后一个。使用Windows自带的程式：msconfig或登录档编辑器***regedit.exe，以下简称regedit***都可以将它轻易的删除，所以这种 *** 并不十分可靠。但可以在木马程式中加一个时间控制元件，以便实时监视登录档中自身的启动键值是否存在，一旦发现被删除，则立即重新写入，以保证下次Windows启动时自己能被执行。这样木马程式和登录档中的启动键值之间形成了一种互相保护的状态。木马程式未中止，启动键值就无法删除***手工删除后，木马程式又自动新增上了***，相反的，不删除启动键值，下次启动Windows还会启动木马。怎么办呢?其实破解它并不难，即使在没有任何工具软体的情况下也能轻易解除这种互相保护。
破解 *** ：首先，以安全模式启动Windows，这时，Windows不会载入登录档中的专案，因此木马不会被启动，相互保护的状况也就不攻自破了;然后，你就可以删除登录档中的键值和相应的木马程式了。
2、通过HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce，
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce和
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce
隐蔽性：4星
应用程度：较低
应用案例：Happy99月
这种 *** 好像用的人不是很多，但隐蔽性比上一种 *** 好，它的内容不会出现在msconfig中。在这个键值下的专案和上一种相似，会在Windows启动时启动，但Windows启动后，该键值下的专案会被清空，因而不易被发现，但是只能启动一次，木马如何能发挥效果呢?
四、通过Autoexec.bat档案，或winstart.bat，config.sys档案
隐蔽性：3.5星
应用程度：较低
其实这种 *** 并不适合木马使用，因为该档案会在Windows启动前执行，这时系统处于DOS环境，只能执行16位应用程式，Windows下的32位程式是不能执行的。因此也就失去了木马的意义。不过，这并不是说它不能用于启动木马。可以想象，SoftIce for Win98***功能强大的程式除错工具，被黑客奉为至宝，常用于破解应用程式***也是先要在Autoexec.bat档案中执行然后才能在Windows中呼叫出视窗，进行除错的，既然如此，谁能保证木马不会这样启动呢?到目前为止，我还没见过这样启动的木马，我想能写这样木马的人一定是高手中的高手了。
另外，这两个BAT档案常被用于破坏，它们会在这个档案中加入类似"Deltree C：\*.*"和"Format C：/u"的行，这样，在你启动计算机后还未启动Windows，你的C盘已然空空如也。
五、通过System.ini档案
隐蔽性：5星
应用程度：一般
事实上，System.ini档案并没有给使用者可用的启动专案，然而通过它启动却是非常好用的。在System.ini档案的[Boot]域中的Shell项的值正常情况下是"Explorer.exe"，这是Windows的外壳程式，换一个程式就可以彻底改变Windows的面貌***如改为Progman.exe就可以让Win9x变成Windows3.2***。我们可以在"Explorer.exe"后加上木马程式的路径，这样Windows启动后木马也就随之启动，而且即使是安全模式启动也不会跳过这一项，这样木马也就可以保证永远随Windows启动了，名噪一时的尼姆达病毒就是用的这种 *** 。这时，如果木马程式也具有自动检测新增Shell项的功能的话，那简直是天衣无缝的绝配，我想除了使用检视程序的工具中止木马，再修改Shell项和删除木马档案外是没有破解之法了。但这种方式也有个先天的不足，因为只有Shell这一项嘛，如果有两个木马都使用这种方式实现自启动，那么后来的木马可能会使前一个无法启动，呵呵以毒攻毒啊。
六、通过某特定程式或档案启动
1、寄生于特定程式之中
隐蔽性：5星
应用程度：一般
即木马和正常程式捆绑，有点类似于病毒，程式在执行时，木马程式先获得控制权或另开一个执行绪以监视使用者操作，撷取密码等，这类木马编写的难度较大，需要了解PE档案结构和Windows的底层知识***直接使用捆绑程式除外***。
2、将特定的程式改名
隐蔽性：5星
应用程度：常见
这种方式常见于针对 *** 的木马，例如将 *** 的启动档案 *** 2000b.exe，改为 *** 2000b.ico.exe***Windows预设是不显示副档名的，因此它会被显示为 *** 2000b.ico，而使用者会认为它是一个图示***，再将木马程式改为 *** 2000b.exe，此后，使用者执行 *** ，实际是运行了 *** 木马，再由 *** 木马去启动真正的 *** ，这种方式实现起来要比上一种简单的多。
3、档案关联
隐蔽性：5星
应用程度：常见
通常木马程式会将自己和TXT档案或EXE档案关联，这样当你开启一个文字档案或执行一个程式时，木马也就神不知鬼不觉的启动了。
这类通过特定程式或档案启动的木马，发现比较困难，但查杀并不难。一般地，只要删除相应的档案和登录档键值即可。
木马病毒的特征
木马的基本特征
木马是病毒的一种，同时木马程序又有许多种不同的种类，那是受不同的人、不同时期开发来区别的，如BackOrifice(BO)、BackOrifice2000、Netspy、Picture、Netbus、Asylum、冰河等等这些都属于木马病毒种类。综合现在流行的木马程序，它们都有以下基本特征：
1、隐蔽性是其首要的特征
如其它所有的病毒一样，木马也是一种病毒，它必需隐藏在你的系统之中，它会想尽一切办法不让你发现它。很多人的对木马和远程控制软件有点分不清，因为我前面讲了木马程序就要通过木马程序驻留目标机器后通过远程控制功能控制目标机器。实际上他们两者的更大区别就是在于这一点，举个例子来说吧，象我们进行局域网间通讯的常软件——PCanywhere大家一定不陌生吧，大家也知道它是一款远程通讯软件。PCanwhere在服务器端运行时，客户端与服务器端连接成功后客户端机上会出现很醒目的提示标志。而木马类的软件的服务器端在运行的时候应用各种手段隐藏自己,不可能还出现什么提示，这些黑客们早就想到了方方面面可能发生的迹象，把它们扼杀了。例如大家所熟悉木马修改注册表和ini文件以便机器在下一次启动后仍能载入木马程式，它不是自己生成一个启动程序，而是依附在其它程序之中。有些把服务器端和正常程序绑定成一个程序的软件,叫做exe-binder绑定程式，可以让人在使用绑定的程式时，木马也入侵了系统，甚至有个别木马程序能把它自身的exe文件和服务器端的图片文件绑定，在你看图片的时候，木马也侵入了你的系统。 它的隐蔽性主要体现在以下两个方面：
a、不产生图标
它虽然在你系统启动时会自动运行，但它不会在“任务栏”中产生一个图标，这是容易理解的，不然的话，凭你的火眼金睛你一定会发现它的。我们知道要想在任务栏中隐藏图标，只需要在木马程序开发时把“Form”的“Visible ”属性设置为“False”、把“ShowintaskBar”属性设置为“Flase”即可；
b、木马程序自动在任务管理器中隐藏，并以“系统服务”的方式欺骗操作系统。
2、它具有自动运行性
它是一个当你系统启动时即自动运行的程序，所以它必需潜入在你的启动配置文件中，如win.ini、system.ini、winstart.bat以及启动组等文件之中。
3、木马程序具有欺骗性
木马程序要达到其长期隐蔽的目的，就必需借助系统中已有的文件，以防被你发现，它经常使用的是常见的文件名或扩展名，如“dll\win\sys\explorer等字样，或者仿制一些不易被人区别的文件名，如字母“l”与数字“1”、字母“o”与数字“0”，常修改基本个文件中的这些难以分辨的字符，更有甚者干脆就借用系统文件中已有的文件名，只不过它保存在不同路径之中。还有的木马程序为了隐藏自己，也常把自己设置成一个ZIP文件式图标，当你一不小心打开它时，它就马上运行。等等这些手段那些编制木马程序的人还在不断地研究、发掘，总之是越来越隐蔽，越来越专业，所以有人称木马程序为“骗子程序”。
4、具备自动恢复功能
现在很多的木马程序中的功能模块已不再是由单一的文件组成，而是具有多重备份，可以相互恢复。
5、能自动打开特别的端口
木马程序潜入人的电脑之中的目的不主要为了破坏你的系统，更是为了获取你的系统中有用的信息，这样就必需当你上网时能与远端客户进行通讯，这样木马程序就会用服务器/客户端的通讯手段把信息告诉黑客们，以便黑客们控制你的机器，或实施更加进一步入侵企图。你知不知道你的电脑有多少个对外的“门”，不知道吧，告诉你别吓着，根据TCP/IP协议，每台电脑可以有256乘以256扇门，也即从0到65535号“门，但我们常用的只有少数几个，你想有这么门可以进，还能进不来？当然有门我们还是可以关上它们的，这我在预防木马的办法中将会讲到。
6、 功能的特殊性
通常的木马的功能都是十分特殊的，除了普通的文件操作以外，还有些木马具有搜索cache中的口令、设置口令、扫描目标机器人的IP地址、进行键盘记录、远程注册表的操作、以及锁定鼠标等功能,上面所讲的远程控制软件的功能当然不会有的，毕竟远程控制软件是用来控制远程机器，方便自己操作而已，而不是用来黑对方的机器的。
7、黑客组织趋于公开化
以往还从未发现有什么公开化的病毒组织（也许是我孤陋寡闻），多数病毒是由个别人出于好奇（当然也有专门从事这一职业的），想试一下自己的病毒程序开发水平而做的，但他（她）绝对不敢公开，因为一旦发现是有可能被判坐牢或罚款的，这样的例子已不再什么新闻了。如果以前真的也有专门开发病毒的病毒组织，但应绝对是属于“地下”的。现在倒好，什么专门开发木马程序的组织到处都是，不光存在，而且还公开在网上大肆招兵买马，似乎已经合法化。正因如此所以黑客程序不断升级、层出不穷，黑的手段也越来越高明。我不知道为什么，但据讲其理由是“为了自卫、为了爱国” 。
木马入侵的常用手法及清除 ***