木马，也称特伊洛木马，名称源于古希腊的特伊洛马神话，此词语来源于古希腊的神话故事，传说希腊人围攻特洛伊城，久久不能得手。后来想出了一个木马计，让士兵藏匿于巨大的木马中。大部队假装撤退而将木马摈弃于特洛伊城下，让敌人将其作为战利品拖入城内。木马内的士兵则乘夜晚敌人庆祝胜利、放松警惕的时候从木马中爬出来，与城外的部队里应外合而攻下了特洛伊城。
尽管资深的黑客不屑于使用木马，但在对以往网络安全事件的分析统计里，我们发现，有相当部分的网络入侵是通过木马来进行的，包括去年微软被黑一案，据称该黑客是通过一种普通的蠕虫木马侵入微软的系统的，并且窃取了微软部分产品的源码。
木马的危害性在于它对电脑系统强大的控制和破坏能力，窃取密码、控制系统操作、进行文件操作等等，一个功能强大的木马一旦被植入你的机器，攻击者就可以象操作自己的机器一样控制你的机器，甚至可以远程监控你的所有操作。

木马是如何侵入的？

一般的木马都有客户端和服务器端两个执行程序，其中客户端是用于攻击者远程控制植入木马的机器，服务器端程序即是木马程序。攻击者要通过木马攻击你的系统，他所做的第一步是要把木马的服务器端程序植入到你的电脑里面。
目前木马入侵的主要途径还是先通过一定的方法把木马执行文件弄到被攻击者的电脑系统里，如邮件、下载等，然后通过一定的提示故意误导被攻击者打开执行文件，比如故意谎称这是个木马执行文件是你朋友送给你贺卡，可能你打开这个文件后，确实有贺卡的画面出现，但这时可能木马已经悄悄在你的后台运行了。
一般的木马执行文件非常小，大到都是几K到几十K，如果把木马捆绑到其它正常文件上，你很难发现的，所以，有一些网站提供的软件下载往往是捆绑了木马文件的，在你执行这些下载的文件，也同时运行了木马。
木马也可以通过Script、ActiveX及Asp、Cgi交互脚本的方式植入，由于微软的浏览器在执行Script脚本上存在一些漏洞，攻击者可以利用这些漏洞传皤病毒和木马，甚至直接对浏览者电脑进行文件操作等控制，前不久就出现一个利用微软Scripts脚本漏洞对浏览者硬盘进行格式化的Html页面。如果攻击者有办法把木马执行文件上载到攻击主机的一个可执行WWW目录夹里面，他可以通过编制Cgi程序在攻击主机上执行木马目录
木马还可以利用系统的一些漏洞进行植入，如微软著名的IIS服务器溢出漏洞，通过一个IISHACK攻击程序即在把IIS服务器崩溃，并且同时在攻击服务器执行远程木马执行文件。

相关参考文章：
特洛伊木马大揭密
UNIX特洛伊木马
网络后门面面观

木马如何将入侵主机信息发送给攻击者？

木马在被植入攻击主机后，它一般会通过一定的方式把入侵主机的信息，如主机的IP地址、木马植入的端口等发送给攻击者，这样攻击者有这些信息才能够与木马里应外合控制攻击主机。
在早期的木马里面，大多都是通过发送电子邮件的方式把入侵主机信息告诉攻击者，有一些木马文件干脆把主机所有的密码用邮件的形式通知给攻击者，这样攻击都就不用直接连接攻击主机即可获得一些重要数据，如攻击OICQ密码的GOP木马即是如此。
使用电子邮件的方式对攻击者来说并不是最好的一种选择，因为如果木马被发现，可以能过这个电子邮件的地址找出攻击者。现在还有一些木马采用的是通过发送UDP或者ICMP数据包的方式通知攻击者。

木马隐身术

在运行前，很一些木马经常故意弄成Txt、Html等你认为对你系统没有多少危害性质的文件图标，这样很容易迷诱你把它打开。
在运行中，木马的作者也意识到如果程序打开后像早期木马一样没有什么反应的话，这样只要对木马稍有了解的人都会知道这个程序有鬼，这样他们往往会有采取行动杀除木马。所以，新的木马大多都以弹出某种欺骗性质的错误窗口使执行者不起疑心，比如操作系统版本错误等等。
在运行后，木马在运行后需要自我销毁和隐藏，木马分为两种类型，一种是随系统自动启动的，另一种附加或者捆绑在Windows系统或者其它应用程序上，或者干脆替代成它们。如果是前者，木马会把自己拷贝到windows系统目录夹下面一个隐蔽的地方，当然是会把自己的文件属性设为隐藏，然后再删除自己。如果是后者，木马会寻找系统程序把自己捆绑或者替换到它们身上，这样你运行这些系统程序的时候就会激活木马。
还有一种技术更为先进的木马，它是把自己复制取代成为动态链结dll文件.，如果系统正常的调用请求，它把请求转到原先的DLL，对于一些事先约定好的木马操作，DLL文件就跟一个木马程序毫无区别。
隐藏通讯，任何木马运行后都要和攻击者进行通讯连接，或者通过即时连接，如攻击者通过客户端直接接入被植入木马的主机，或者通过间接通讯，如通过电子邮件的方式，木马把侵入主机的敏感信息送给攻击者。现在大部分木马一般在占领主机后，会在1024以上不易发现的高端口上驻留，有一些木马会选择一些常用的端口，如80、23，有一种非常先进的木马还可以做到在占领80HTTP端口后，收到正常的HTTP请求仍然把它交与Web服务器处理，只有收到一些特殊约定的数据包后，才调用木马程序。
目前大部分木马都是采用TCP连接的方式使攻击者控制主机，这样通过简单的netstat命令或者监视数据包等方式即可以查出攻击，现在有的木马可以通过ICMP数据包进行通讯控制，这样除非分析数据包里面的内容，否则很难发现木马连接。
通过电子邮件这类间接通讯的木马一般是以窃取主机密码等机密文件为主，它们比较难觉察，不过，如果采用这种方式，一旦被发现，很容易查出邮箱和邮箱的主人。
隐藏进程，在win9X系统里面，简单的注册为系统进程即可以从任务栏里消失，但在windows2000系统里面，任何一个运行的进程都会在Administrator权限下显示出来，并且可以直接关闭掉。在最新的一些木马里面，开始采用了先进的DLL陷进技术，
DLL陷阱技术是一种针对DLL（动态链接库）的高级编程技术，编程者用特洛伊DLL替换已知的系统DLL，并对所有的函数调用进行过滤，对于正常的调用，使用函数转发器直接转发给被替换的系统DLL,对于一些事先约定好的特殊情况，DLL会执行一些相对应的操作，一个比较简单的方法是起一个进程，虽然所有的操作都在DLL中完成会更加隐蔽，但是这大大增加了程序编写的难度，实际上这样的木马大多数只是使用DLL进行监听，一旦发现控制端的连接请求就激活自身，起一个绑端口的进程进行正常的木马操作。操作结束后关掉进程，继续进入休眠状况。

相关参考文章：
《 智斗"notepad" 》

木马是如何启动的？

在Windows系统下，木马可以通过注册表、Win.ini、system.ini、Autoexec.bat和Config.sys、捆绑替换系统文件、启动菜单及程序配置.ini文件来自我启动运行。
Win.in：[WINDOWS]下面，"run="和"load="行是Windows启动时要自动加载运行的程序项目
System.ini：[BOOT]下面有个"shell=Explorer.exe"项。正确的表述方法就是这样。如果等号后面不仅仅是explorer.exe，而是"shell=Explorer.exe 程序名"，那么后面跟着的那个程序就是木马程序
注册表：在KEY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersion\下面五个以Run开头的主键目录都是系统自启的键值。

相关参考文章：
好老师教大家最新防黑客
木马病毒的通用解法

未来木马发展的方向

1、传统的TCP端对端连接会被抛弃，未来木马要么就采用非TCP/UDP的IP族数据包，它们十分隐蔽，如果不对数据包详细分析，很难察出木马入侵；要么就采用寄生Tcp端口，这样木马传输的数据包和正常的数据包很难区分开来。
2、在传播方式上，未来木马会和病毒一样，采用交叉式迅速大规模扩散，并且运行方式越来越隐蔽，可能通过浏览一个html页面即可把木马植入你的主机。
3、未来木马将更注重底层的通讯编程，如针对网卡和Modem的通讯编程，这样可以逃过防火墙的监视和过滤。

如何发现侦探木马？

对于一些常见的木马，如SUB7、,BO2000,冰河等等，它们都是采用打开TCP端口监听和写入注册表启动等方式，使用Cllean之类的软件可以检测到这些木马，在我们快要推出的最新版天网个人防火墙也将提供强大的木马检测和清除功能。
这些检测木马的软件大多都是利用检测TCP连结、注册表等信息来判断是否有木马入侵，这也可以通过手工来探测。
如果你发现自己的硬盘老没原由的读盘，软驱灯经常自己亮起，网络连接及鼠标屏幕出现异常现象，很可能就是因为有木马潜伏在你的机器里面。这时最简单的方法就是使用netstat命令查看：

Proto Local Address Foreign Address State
TCP dddd-gam68abjr9:1662 202.106.184.200:http ESTABLISHE
TCP dddd-gam68abjr9:1694 TCE-E-7-182-210.bta.net.cn:http
TCP dddd-gam68abjr9:1702 202.106.184.200:http ESTABLISHE
TCP dddd-gam68abjr9:1823 202.106.184.158:http CLOSE_WAIT
TCP dddd-gam68abjr9:1824 202.106.184.158:http CLOSE_WAIT

从左到右依次是连接类型、本地连接地址端口、远程连接地址端口、连接状态，你可以通过这个命令发现所有网络连接，如果这是有攻击者通过木马连接，你可以通过这些信息发现异状。通过端口扫描的方法也可以发现一些弱智的木马，特别是一些早期的木马，它们捆绑的端口不能更改的，通过扫描这些固定的端口也可以发现木马是否被植入。
你还可以通过手工检测上文所述的和木马启动的系统文件和注册表的方式把那些不明的自启动运行文件清除掉。如果在发生系统异常后，最好将系统断线再诊断木马。

如何清除掉木马

目前已经有一些专门的清除木马的软件，我们在新推出天网防火墙里面也会捆绑强大的木马清除功能，清除一般木马的机制原理主要是：

1、检测木马。
2、找到木马启动文件，一般在注册表及与系统启动有关的文件里能找到木马文件的位置，
3、删除木马文件，并且删除注册表或系统启动文件中关于木马的信息。

但对于一些十分狡滑的木马，这些措施是无法把它们找出来的，我们现在检测木马的手段无非是通过网络连接和查看系统进程，事实上，一些技术高明的木马编制者完全可以通过合理的隐藏通讯和进程使木马很难被检测到。

相关参考文章：
冰河浅析揭开木马的神秘面纱
谨防网上"特洛依木马"
手工发现和清除木马的方法
用Netstal命令查木马

如何防范木马

自然，如果你不打开任何木马文件，就不会有木马的入侵，但这种保证是不可靠的，因为木马植入方式更为先进，甚至你在接到一封伊妹，只要简单的浏览一下即可被植入木马，而且你下载各种软件时，你根本不知道这里面是否掺了别的东西，何况，攻击者还可以利用你系统的漏洞来植入木马。
防火墙是抵挡木马入侵的最好途径，绝大多数木马都是必须采用直接通讯的方式进行连接，虽然它们可以采用一定的方式隐藏这种连结，如只有在收到攻击者特殊数据包的时候才激活木马打开通讯端口，连接完毕业，木马则马上进入休眠状态。
防火墙这种阻塞方式不仅适用于TCP数据包，还能够阻止UDP、ICMP等其它IP数据包的通讯控制。
防火墙完全可以进行数据包过滤检查，在适当规则的限制下，如对通讯端口进行限制，只允许系统接受限定几个端口的数据请求，这样即使木马植入成功，攻击者也是无法进入到你的系统，因为防火墙把攻击者和木马分隔开来了。
尽管如此，对一些技术高明的木马，防火墙有时也是无能为力，如寄生在Http端口上的木马。还有一种是与木马正常控制程序相反的木马，它是通过木马向外面的端口发送数据，比如它发一个数据到一个主机的80端口，任何防火墙都不可能阻塞这种数据请求，要不然整个系统就不用上网浏览网页了。
在天网防火墙里面，还有专门针对各种木马攻击的防御规则，防火墙可以确保你免受木马攻击。

相关参考文章：
1.病毒与木马的防范

一、病毒
由于网络是一个开放的环境，因此网上用户受到恶意的程序的威胁要比普通用户大一些，其中主要的是病毒和特络绎木马程序。当然对中国的用户来说，主要的威胁似乎仍然来自光盘或者磁盘这样的传统介质，可以作为以上观点重要佐证的就是：以光盘为主要传播手段的CIH病毒给国内造成了巨大损失，而以邮件附件传播的melissa病毒则在国内没有掀起什么波澜。
我一向认为，对普通用户来说，除了了解病毒的一些知识，破除病毒的神秘感，增强保护意识之外，更重要的是要选择一套可靠的杀毒软件，但关于杀毒软件的优劣是一个非常敏感的问题。我认为，一个合格95/98平台的杀毒软件至少实现以下特点：
1、 软件结构合理，采用反病毒引擎/反病毒库分离的结构，具有成熟的虚拟机和启发式扫描引擎的机制。
2、 合理嵌入95/98内核，兼容性好，占用系统资源低，有在线防御能力，能监控用户的多项操作。
3、 对病毒处理安全可靠，没有造成文件损坏、数据和分区丢失的安全隐患。
4、 出品公司有覆盖面广泛的反病毒网络，或者与其他反病毒公司形成有效的标本共享机制，对新病毒反应时间短，可处理病毒总数至少在15000以上。
5、 能查解各种常见压缩包，能一定程度上抵御恶意active X和JAVA小程序。
6、 完善的数据保护机制，可以备份重要信息到应急盘。
7、 有完整的帮助机制和详细的病毒库资料，提示信息准确。
8、 有完善的升级机制，支持自动网上升级、下载升级等方式。… …等等，难以一一列举。
这些都是先进反病毒产品的有效特征，国外这样产品的代表是AVP、NAV、MCAFEE SCAN等等，国内的AV98和金辰与美国CA公司联合推出的KILL98、趋势与乐亿阳发布的PC-CILLIN也是非常不错的。另外，金山公司的金山毒霸目前还没有正式上市，如果这个程序能进一步提高运行效率和稳定性，也将是一个不错的产品。
WIN9X用户对于病毒防御必须有一些观念的变革，第一是为了杀毒而杀毒：我再次重申一个观点，杀毒的目的是保证用户数据安全和正常使用，如果某个杀毒软件解毒后的情况比杀毒前更坏，造成文件损坏、分区丢失、系统无法正常启动等情况，这决不是病毒造成的，而是杀毒软件的质量造成的。不能保证用户数据安全的的杀毒软件是没有意义的。如果你的杀毒软件是可以信赖的，一般的来说，你也无须想到从新格式化硬盘。顺便说一下，我特别反对低格硬盘，杀除任何病毒都无须低格，低格是损害硬盘寿命的，这两点都已经是技术定论，。如果你认为系统必须重灌的话，用干净引导盘启动，用fdisk/mbr可以清除主引导扇的病毒，然后重新format就可以保证没有病毒的存在。

第二个必须更新的观念是反病毒就个从DOS软盘启动,运行一个or DOS的程序；不在DOS下启动病毒杀不干净等等。我认为，一好的具备实时检测能力的软件加上用户的按时升级足够满足9X用的需要，一般的来说用户根本没有必要从软盘启动杀毒，9X下杀软件可以让你高枕无忧。开机对引导区、自动批处理和注册表的检，在9X环境下的内存解毒、引导区病毒的清除、系统独占访问的毒文件的解毒，比较出色的for 9X的反病毒产品都有一些自己的理思路，不是非要用DOS下的杀毒软件不可。重要的是，一个好杀毒软件的在线检查机制，基本可以保证你不被病毒感染。9X环 境下病毒能否杀干净的问题也就无从谈起。因此，我特别建议你，要分利用你手中反病毒产品的在线功能，一般的来说，你只需要他在台运行就可以了，你需要做的是定期升级你的程序就可以了，你可并没有必要经常扫描你的驱动器，比如你要从光盘安装某软件，你扫描再安装和你在在线监控下安装并安全系数实际并没有区别。特注意，不要关闭你的反病毒产品的在线检查功能，如果你觉得开放个功能占用系统负荷比较严重，甚至死机频频，那就说明你选择的种杀毒软件设计有缺陷，技术不成熟，你应当更换他。同时我建议把，CMOS SETUP的启动顺序设定为C ONLY，禁止机器A盘启动有效的防御引导型病毒。
关于反病毒方面的误区实在很多，这里难以说的很清楚，我今后会进一步撰文继续澄清。

二、特络绎木马

除了病毒之外，网上用户特别需要小心的就是特络绎木马，大多木马程序，都是一个执行文件，当被用户执行后，会带来一些恶性后果。比如我收到的一个求救MAIL是这样的，某个网友在3月5收到一个名为leifeng.exe的程序（真实卑劣之极），他就运行了，果死机，而后软盘硬盘都不能启动了，其实，这个木马程序就是利 用高版本DOS启动中要读取分区信息的特性，制造分区表循环，使
系统在启动过程中死机。除了这种直接破坏性的木马程序外，有很多木马程序是隐藏在你机器中，使你的机器可以被他人远程控制。 这种远程控制程序可以被称为后门工具，它一般都采用SERVER/CLIENT的模式，SERVER端在你机器上运行，因此大家不必害怕，一般的说，如果你没有开放可以写的共享目录，它不会自己跑到你的机器上，同时如果不运行它的SERVER端，对方也无法控
制你。即使你的机器已经在它控制之下，但是你还是能发现一些蛛丝马迹，首先，既然要控制你的机器，一般要能够伴随开机运行。主要实现的方式有在WIN.INI的load和run选项中加载，在启动组中加载，和在注册表HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion项下五个RUN开头的项目中加载，都可以起到开机运行的作用。正常情况下，在95/98系统的win.ini的load
选项不应该有任何东西，而注册表上述选项下可能有一些需要开机运行的程序和系统一些进程，比如intenent、systray、taskmon、以及用户安全的在线查毒工具、系统在线维护和优化工具等，也会在此处。当然，用自身替代这些程序运行，自己加载完毕后再把正常程序运行，或者干脆如病毒般的附身在某个系统的驱动或者应用程序上，更为隐蔽，后门工具的编制者们决不会想不到，但很少有人采用，我认为这其实更出于某种黑客式的道德因素。Autoexe.bat下的东东当然也会随开机运行，但目前还没有关于加载到atuoexec.bat中的后门工具的报道，因为先于9X系统的驱动和GUI进入系统，毕竟做起来不舒服。你可以对这几处加以检查，win.ini可以用任何编辑器查看，检查注册表可以在运行中执行regedit，查看上面提到的位置，如果你对此不是很了解，对98系统你可以通过MSCONFIG命令加以检查，这个工具显示你的常规信息和config.sys、atuoexec.bat、win.ini、system.ini和开机启动选项。其次，既然也是一个程序，就要作为一个进程存在，这意味着你可以用进程查看工具发现它的存在，有的你甚至用ctrl+alt+del激活的窗口中就能发现。最后，既然是要与你进行通讯就一定要有一定的通讯方式，通讯时要开放一些port。你可以用netstat -an命令进行观察，这个命令可以查看你当前所有的网络连接和开放端口，包括WWW、FTP、telnet等等，当然也可能发现后门工具的存在。因为一般的说，一个后门工具要通过TCP或者UDP的方式借助一个或多个PORT同clent端连接，因此，如果通讯正在进行，你一般还可以在Foreign Address处看到入侵者的IP。当然，这项操作最好是你断开其他网络连接后，因为从一堆连接中猜测哪个可能是可疑的也不见得很方便，最好是你对一些常见黑客工具的PORT有所警惕，比如netbus，它的port是12345，如果你用netstat -an 发现其中包含如下信息。

C:\>netstat -an

Active Connections
Proto Local Address Foreign Address State
… … …
TCP 0.0.0.0:12345 0.0.0.0:0 LISTENING
TCP 0.0.0.0:12346 0.0.0.0:0 LISTENING
… … …
则说明你的机器已经运行了netbus的server端，但目前没有人遥控你的机器，如果netbus连接对应的Foreign Address处有一个地址，那么这个IP就是控制你的人的地址。其实我倾向于普通用户借助工具，来检查处理感染后门程序，但就我用十一种比较常见的木马程序对常见杀毒软件进行测试，发现没有一种可以全部发现，他们的表现甚至不如共享的专门清除后门工具的共享软件，因此还有必要介绍几种共享、清除实例和一些常见的后门工具，加强用户的自救意识。
LOCKDOWN：LOCKDOWN是一个个人防火墙性质的软件，他会以在线方式，监控你的网络连接，记录访问和入侵者的IP、主机名等信息，也可以清除BO、NETBUS等木马程序。
CLEANER：这是一个专门用来清除黑客程序的工具，据说能清除上千种木马，只能静态扫描。
SUDO99：搜毒99是由上海程序员陶辰制作的一个很出色的共享杀毒软件，特别一提的是其在清除BO时，会全面告知你Boserver端的设定信息，如端口、密码等等。
下面举一个发现清除特络绎木马的例子，为了给大家一个新鲜感，我举一个不太常见的木马happypig，它的标本是的站长小鲤提供给本人的。假定，我误运行了happypig.exe,此时屏幕出现了一只小猪，这时怎么办，是不是欣赏一下。我给网友最根本的忠告是，对网上的外来程序（也包括.doc、.exl），即使通过了你反病毒软件的检查也不要运行。如果一旦误运行了，要果断处理，比如发现运行后硬盘狂转，有可能是该程序开始破坏你的硬盘，你要马上关机，可能还有的补救。如果运行后毫无反映、或程序自身消失、或屏幕上出现一些好看的信息，这可能是某个黑客工具，你需要做的应该是马上断线，进行检查。好了，我看到屏幕的小猪，马上断线。用NETSTART命令检查一下，发现开放着一个44445端口，检查autoexec.bat和win.ini都没发现什么，注册表呢？也没看见什么呀。仔细看看HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersio
n\下，哦？ Run下有个systray, RunServices下怎么还有一个，原来RunServices下的那个是happypig添加的主键，对应的程序名称是5ystray.exe，真狡猾，因为从注册表的字体看起来，5和S非常相象。好了，把这个主键删除，此时系统目录下的5ystray.exe因被系统占用，删除不掉，须重新启动，这是又发生问题，老说因进程无法终止不能关机，按crtl+alt+del一下，果然有个进程叫5ystray，把他结束任务就可以了。重启动后，把对应程序删除就可以了。
以上举了一个分析清除后门工具的例子，还要再强调几点，第一、就是不要过分敏感、疑神疑鬼，比如一般情况下，比如只要你装了microsoft网络的文件和打印机共享，你的139、138、137等端口就是开放的，并不是黑客工具开的。你的HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RUNXX中，有很多的正常工具和进程，也不要乱改乱删。第二、就是要谨慎小心。不能过分敏感当然也不能麻木，如果机器表现异常，是否中了后门工具的标，也是考虑因素之一。再次提醒的是千万不要运行一些来历不明的程序，即使来自熟人，比如你的朋友的机器感染了HAPPY99，他向你发送邮件时，HAPPY99就会自己加在附件当中，而你的朋友一无所知。无论病毒还是后门，大家切记一个原则是，与其感染了再杀，不如不感染，特别是你的机器一旦被他人侵入过，他就可能埋下一些新后门，使你防不胜防。

2.特洛依木馬防范八招

什么是特洛依木馬？特洛依木馬應該算是一種騙子程序，提供某些功能作為誘餌，背地里干一些鬼事…… 記得希臘神話中關于特洛依木馬的故事嗎？典故就是從那兒出的。中了木馬時有什么現象？很難說，因為它們發作時的情況多種多樣。
　　
　　但是如果你的計算機有以下表現，就很可能染上黑客病毒了。

　　計算機有時死機，有時又重新啟動﹔在沒有執行什么操作的時候，卻在拼命讀寫硬盤﹔系統莫明其妙地對軟驅進行搜索﹔沒有運行大的程序，而系統的速度越來越慢，系統資源占用很多﹔用CTRL＋ALT＋DEL調出任務表，發現有多個名字相同的程序在運行，而且可能會隨時間的增加而增多。（可是，有一些程序是不會出現在這個列表里的。懂得編程的朋友應該知道這不難做到，借助PVIEW95就可以看到）。特別是在連入Internet網或是局域網后，如果你的機器有這些現象，就應小心了，當然也有可能是一些其它的病毒在作怪。由于木馬程序的破壞通常需要里應外合，大多數的木馬不如病毒般可怕。即使運行了，也不一定會對你的機器造成危害。不過，潛在的危害還是有的。比如，你的上網密碼有可能已經跑到別人的收件箱里了！

　　一般中了木馬程序最簡單的辦法就是用殺毒軟件清除，如金山毒霸等。如果對系統熟悉也可以手動清除，首先應該按照"Win9x下程序自啟動的方法"中所述的情況檢查一下是否有可疑程序（最好的情況是你熟悉你的系統正常時的這些項，用系統自帶的regedit程序查看 /修改注冊表）。發現可疑程序將其連同該注冊表項一起刪除即可，重啟系統則木馬就已經被清除了。
　　
　　這里也有几點需要說明：

　　1、如果木馬正在運行，則你無法刪除其程序，這時你可以重啟動到DOS方式然后將其刪除﹔

　　2、有的木馬會自動檢查其在注冊表中的自啟動項，如果你是在木馬處于活動時刪除該項的話它能自動恢復，這時你可以重啟到DOS下將其程序刪除后再進入Win9x下將其注冊表中的自啟動項刪除﹔

　　3、在做刪除操作和注冊表修改操作前一定要先備份。

如何防止再次中黑客程序呢？我得出一些防范后門的經驗：

　　一、永遠不要執行任何來歷不明的軟件或程序，除非自己的計算機水平確信到了百毒不侵的地步。謹慎對待就是下載后先用殺毒軟件檢查一遍，確定無害了再執行 、使用。許多網友就是懶得進行這几秒種的檢查，才中木馬。輕則被侵入者刪了系統文件，重裝系統﹔重則數據全無，硬盤邏輯鎖！再不然，就是被人破譯上網帳號，那就慘了！

　　二、永遠不要相信你的郵箱不會收到垃圾和"毒品"，即使從沒露過面的郵箱或是isp郵箱，有些時候你永遠沒辦法知道別人如何得知你的mail地址的。

　　三、給朋友mail軟件時記得千萬要叮囑他記得先查毒，因為在自己的電腦上不發作的未必就沒有病毒。就如我的電腦上裝了病毒防火牆，所以我絕不保証我mail出的軟件有否病毒。

　　四、永遠不要因為對方是你的好朋友就輕易執行他發過來的軟件或程序，因為你不確信他是否也像我一樣裝上了病毒防火牆，也許你的朋友中了黑客程序還不知道，還以為是什么好東西寄來與你分享呢！同時，你也不能擔保是否有別人冒他的名給你發mail。

　　五、千萬不要隨便留下你的個人資料，因為你永遠不會知道是否有人會處心積慮收集起來。

　　六、千萬不要輕易相信網絡上認識的新朋友，因為"在網絡上，沒有人會知道你是一只狗！"（說笑的！^_^）但你卻不能保証，對方是否想利用你做實驗品。

　　七、永遠不要以為網絡上誰也不認識誰就出言不遜，這樣會不小心開罪某些高人到時找你開刀。

　　八、最后是永遠不要隨便說別人的壞話，正如永遠不要得罪女人一樣。^_^雖說網絡是虛幻的，但跟現實一樣會有爾虞我詐，還是小心為上。

3.揭开木马的神秘面纱

离冰河二的问世已经快一年了，大家对于木马这种远程控制软件也有了一定的认识，比如：他会改注册表，他会监听端口等等，和一年前几乎没有人懂得木马是什么东西相比，这是一个质的飞跃。但是，在这个连“菜鸟”都会用NETSTAT看端口，用LOCKDOWN保护注册表的今天，难道木马就停步不前，等待我们的“杀戮”么？回答显然是否定的。木马在这一年当中，同样也不断进步，不断发展，他们变得更加隐蔽，更加灵活。本文试图通过分析近一年以来木马软件的发展，向大家介绍木马的最新攻防技巧，从而使大家能够更加安全地畅游在Internet上。（本文中默认的操作系统为Win2000，默认的编程环境是VC++6.0）

在过去的一年当中，出过很多有名的木马，SUB7,BO2000,冰河等等，他们都有几个共同的特点，比如：开TCP端口监听，写注册表等等，因此，针对这些特点，也涌现出了不少查杀木马的工具，比如LockDown2000, Clean等，这些工具一般都是利用检查注册表和端口来寻找木马（也有利用特征码来查找的，那种原始的思路我们就不说了，谁都知道，只要源码稍微改改，特征码查询就毫无用处）甚至还出了一些号称能防范未来多少年木马的软件。而在大家的不断宣传下，以下的木马法则已经妇孺皆知：
1、不要随便从不知名的网站上下载可执行文件，不要随便运行别人给的软件；
2、不要过于相信别人，不要随便打开邮件的附件；
3、经常检查自己的系统文件、注册表、端口、进程；
4、经常去查看最新的木马公告，更新自己防火墙的木马库；

这样看来，第一代木马的特性大家都已经耳熟能详，在这种情况下，作为一个地下工作者，木马的日子会非常难过。那么，木马就这样甘受屠戮，坐以待毙么？人类就这样灭绝了木马这个种族么？不是！木马为了生存，也在不断进化，在我们放松警惕，庆祝胜利的时候，木马已经经历了几次质的突变，现在的木马比起他们的前辈要更加隐蔽，更加巧妙，更难以发现，功能更强大。

一、关端口

祸从口出，同样，端口也是木马的最大漏洞，经过大家的不断宣传，现在连一个刚刚上网没有多久的“菜鸟”也知道用NETSTAT查看端口，木马的端口越做越高，越做越象系统端口，被发现的概率却越来越大。但是端口是木马的生命之源，没有端口木马是无法和外界进行通讯的，更不要说进行远程控制了。为了解决这个矛盾，木马们深入研究了Richard Stevens的TCP/IP协议详解，决定：放弃原来他们赖以生存的端口，转而进入地下。放弃了端口后木马怎么和控制端联络呢？对于这个问题，不同的木马采用了不同的方法，大致分为以下两种方法：寄生、潜伏。

1、寄生就是找一个已经打开的端口，寄生其上，平时只是监听，遇到特殊的指令就进行解释执行；因为木马实际上是寄生在已有的系统服务之上的，因此，你在扫描或查看系统端口的时候是没有任何异常的。据我所知，在98下进行这样的操作是比较简单的，但是对于Win2000 相对要麻烦得多。由于作者对这种技术没有很深的研究，在这里就不赘述了，感兴趣的朋友可以去http://www.ahjmw.gov.cn/cit/或者西祠胡同的WinSock版查看相关的资料。

2、潜伏是说使用IP协议族中的其它协议而非TCP/UDP来进行通讯，从而瞒过Netstat和端口扫描软件。一种比较常见的潜伏手段是使用ICMP协议，ICMP（Internet控制报文）是IP协议的附属协议，它是由内核或进程直接处理而不需要通过端口，一个最常见的ICMP协议就是Ping，它利用了ICMP的回显请求和回显应答报文。一个普通的ICMP木马会监听ICMP报文，当出现特殊的报文时（比如特殊大小的包、特殊的报文结构等）它会打开TCP端口等待控制端的连接，这种木马在没有激活时是不可见的，但是一旦连接上了控制端就和普通木马一样，本地可以看到状态为Established的链接（如果端口的最大连接数设为1，在远程使用Connect方法进行端口扫描还是没有办法发现的）；而一个真正意义上的ICMP木马则会严格地使用ICMP协议来进行数据和控制命令的传递（数据放在ICMP的报文中），在整个过程中，它都是不可见的。（除非使用嗅探软件分析网络流量）

3、除了寄生和潜伏之外，木马还有其他更好的方法进行隐藏，比如直接针对网卡或Modem进行底层的编程，这涉及到更高的编程技巧