特洛伊木馬(計算機木馬病毒)

特洛伊木馬目前一般可理解為“為進行非法目的的計算機病毒”，在電腦中潛伏，以達到黑客目的。

原指一希臘傳說。在古希臘傳說中，希臘聯軍圍困特洛伊久攻不下，於是假裝撤退，留下一具巨大的中空木馬，特洛伊守軍不知是計，把木馬運進城中作為戰利品。夜深人靜之際，木馬腹中躲藏的希臘士兵打開城門，特洛伊淪陷。後人常用“特洛伊木馬”這一典故，用來比喻在敵方營壘里埋下伏兵裡應外合的活動。現在有的病毒偽裝成一個實用工具、一個可愛的遊戲、一個點陣圖檔案、甚至系統檔案等等，這會誘使用戶將其打開等操作直到PC或者伺服器上。這樣的病毒也被稱為“特洛伊木馬”（trojan wooden-horse），簡稱“木馬”。

基本介紹

• 中文名：特洛伊木馬
• 外文名：Trojan Wooden-horse
• 本質：計算機病毒
• 出處：古希臘傳說
• 比喻：伏兵裡應外合的活動
• 別名：木馬病毒、木馬程式

名稱來源

“特洛伊木馬”（trojan wooden-horse）簡稱“木馬（wooden-horse）”，名稱來源於希臘神話《木馬屠城記》，如今黑客程式借用其名，有“一經潛入，後患無窮”之意。特洛伊木馬沒有複製能力，它的特點是偽裝成一個實用工具、一個可愛的遊戲、圖片、軟體，誘使用戶將其安裝在PC端或者伺服器上，從而秘密獲取信息。

原理與發展

原理

一個完整的特洛伊木馬套裝程式含了兩部分：服務端（伺服器部分）和客戶端（控制器部分）。植入對方電腦的是服務端，而黑客正是利用客戶端進入運行了服務端的電腦。運行了木馬程式的服務端以後，會產生一個有著容易迷惑用戶的名稱的進程，暗中打開連線埠，向指定地點傳送數據（如網路遊戲的密碼，實時通信軟體密碼和用戶上網密碼等），黑客甚至可以利用這些打開的連線埠進入電腦系統。這時你電腦上的各種檔案、程式，以及在你電腦上使用的賬號、密碼無安全可言了。

特洛伊木馬程式不能自動操作， 一個特洛伊木馬程式是包含或者安裝一個存心不良的程式的，對一個不懷疑的用戶來說，它可能看起來是有用或者有趣的計畫（或者至少無害），但是實際上當它被運行時是有害的。 特洛伊木馬不會自動運行，它是暗含在某些用戶感興趣的文檔中，用戶下載時附帶的。當用戶運行文檔程式時，特洛伊木馬才會運行，信息或文檔才會被破壞和丟失。 特洛伊木馬和後門不一樣，後門指隱藏在程式中的秘密功能，通常是程式設計者為了能在日後隨意進入系統而設定的。

特洛伊木馬有兩種，universale的和transitive的，universal就是可以控制的，而transitive是不能控制，刻死的操作。
木馬程式不能算是一種病毒，但可以和最新病毒、漏洞利用工具一起使用，幾乎可以躲過各大防毒軟體，儘管越來越多的新版的防毒軟體可以查殺一些防殺木馬了，但是不要認為使用有名的防毒軟體電腦就絕對安全，木馬永遠是防不勝防的，除非你不上網。

發展

木馬程式技術發展可以說非常迅速。主要是有些年輕人出於好奇，或是急於顯示自己實力，不斷改進木馬程式的編寫。至今木馬程式已經經歷了6代的改進：

第一代木馬：偽裝型病毒
這種病毒通過偽裝成一個合法性程式誘騙用戶上當。世界上第一個計算機木馬是出現在1986年的PC-Write木馬。它偽裝成共享軟體PC-Write的2.72版本（事實上，編寫PC-Write的Quicksoft公司從未發行過2.72版本），一旦用戶信以為真運行該木馬程式，那么他的下場就是硬碟被格式化。在我剛剛上大學的時候，曾聽說我校一個前輩牛人在WAX機房上用BASIC作了一個登錄界面木馬程式，當你把你的用戶ID，密碼輸入一個和正常的登錄界面一模一樣的偽登錄界面後後，木馬程式一面保存你的ID,和密碼，一面提示你密碼錯誤讓你重新輸入，當你第二次登錄時，你已成了木馬的犧牲品。此時的第一代木馬還不具備傳染特徵。
第二代木馬：AIDS型木馬
繼PC-Write之後，1989年出現了AIDS木馬。由於當時很少有人使用電子郵件，所以AIDS的作者就利用現實生活中的郵件進行散播：給其他人寄去一封封含有木馬程式軟碟的郵件。之所以叫這個名稱是因為軟碟中包含有AIDS和HIV疾病的藥品，價格，預防措施等相關信息。軟碟中的木馬程式在運行後，雖然不會破壞數據，但是他將硬碟加密鎖死，然後提示受感染用戶花錢消災。可以說第二代木馬已具備了傳播特徵（儘管通過傳統的郵遞方式）。
第三代木馬：網路傳播型木馬
隨著Internet的普及，這一代木馬兼備偽裝和傳播兩種特徵並結合TCP/IP網路技術四處泛濫。同時他還有新的特徵：
第一，添加了後門功能。所謂後門就是一種可以為計算機系統秘密開啟訪問入口的程式。一旦被安裝，這些程式就能夠使攻擊者繞過安全程式進入系統。該功能的目的就是收集系統中的重要信息，例如，財務報告、口令及信用卡號。此外，攻擊者還可以利用後門控制系統，使之成為攻擊其它計算機的幫凶。由於後門是隱藏在系統背後運行的，因此很難被檢測到。它們不像病毒和蠕蟲那樣通過消耗記憶體而引起注意。
第二，添加了擊鍵記錄功能。
從名稱上就可以知道，該功能主要是記錄用戶所有的擊鍵內容然後形成擊鍵記錄的日誌檔案傳送給惡意用戶。惡意用戶可以從中找到用戶名、口令以及信用卡號等用戶信息。這一代木馬比較有名的有國外的BO2000（BackOrifice）和國內的冰河木馬。它們有如下共同特點：基於網路的客戶端/伺服器應用程式。具有蒐集信息、執行系統命令、重新設定機器、重新定向等功能。當木馬程式攻擊得手後，計算機就完全在黑客控制的傀儡主機，黑客成了超級用戶，用戶的所有計算機操作不但沒有任何秘密而言，而且黑客可以遠程控制傀儡主機對別的主機發動攻擊，這時候背俘獲的傀儡主機成了黑客進行進一步攻擊的擋箭牌和跳板。雖然木馬程式手段越來越隱蔽，但是蒼蠅不叮無縫的蛋，只要加強個人安全防範意識，還是可以大大降低中招的幾率。對此筆者有如下建議：安裝個人防病毒軟體、個人防火牆軟體；及時安裝系統補丁；對不明來歷的電子郵件和外掛程式不予理睬；經常去安全網站轉一轉，以便及時了解一些新木馬的底細，做到知己知彼，百戰不殆；

• 第一代，是最原始的木馬程式。主要是簡單的密碼竊取，通過電子郵件傳送信息等，具備了木馬最基本的功能。
• 第二代，在技術上有了很大的進步，冰河是中國木馬的典型代表之一。
• 第三代，主要改進在數據傳遞技術方面，出現了ICMP等類型的木馬，利用畸形報文傳遞數據，增加了防毒軟體查殺識別的難度。
• 第四代，在進程隱藏方面有了很大改動，採用了核心插入式的嵌入方式，利用遠程插入執行緒技術，嵌入DLL執行緒。或者掛接PSAPI，實現木馬程式的隱藏，甚至在WindowsNT/2000下，都達到了良好的隱藏效果。灰鴿子和蜜蜂大盜是比較出名的DLL木馬。
• 第五代，驅動級木馬。驅動級木馬多數都使用了大量的Rootkit技術來達到在深度隱藏的效果，並深入到核心空間的，感染後針對防毒軟體和網路防火牆進行攻擊，可將系統SSDT初始化，導致防毒防火牆失去效應。有的驅動級木馬可駐留BIOS，並且很難查殺。
• 第六代，隨著身份認證UsbKey和防毒軟體主動防禦的興起，黏蟲技術類型和特殊反顯技術類型木馬逐漸開始系統化。前者主要以盜取和篡改用戶敏感信息為主，後者以動態口令和硬證書攻擊為主。PassCopy和暗黑蜘蛛俠是這類木馬的代表。

啟動隱藏方式

啟動方式

作為一個優秀的木馬，自動啟動功能是必不可少的，這樣可保證木馬不會因為你的一次關機操作而徹底失去作用。正因為該項技術如此重要，所以，很多編程人員都在不停地研究和探索新的自啟動技術，並且時常有新的發現。一個典型的例子就是把木馬加入到用戶經常執行的程式 （例如explorer.exe）中，用戶執行該程式時，則木馬自動發生作用。當然，更加普遍的方法是通過修改Windows系統檔案和註冊表達到目的，現經常用的方法主要有以下幾種：

⒈在Win.ini中自啟動

在Win.ini的[windows]欄位中有啟動命令"load="和"run="，在一般情況下 "="後面是空白的，這裡是開機自啟動的地方，如果有後跟程式，比方說是這個樣子：

[windows]

run=c:\windows\file.exe

load=c:\windows\file.exe

要小心了，這個file.exe很可能是木馬喔。

⒉在System.ini中啟動

System.ini位於Windows的安裝目錄下，其[boot]欄位的shell=Explorer.exe是木馬喜歡的隱藏載入之所，木馬通常的做法是將該何變為這樣：shell=Explorer.exefile.exe。注意這裡的file.exe就是木馬服務端程式！

另外，在System.中的[386Enh]欄位，要注意檢查在此段內的"driver=路徑\程式名"這裡也有可能被木馬所利用。再有，在System.ini中的[mic]、[drivers]、[drivers32]這3個欄位，這些段也是起到載入驅動程式的作用，但也是增添木馬程式的好場所，你現在該知道也要注意這裡了，平時應該是不會注意的。

⒊利用註冊表載入運行

註冊表並不是容易找到而且容易損壞，建議大家用防毒軟體為妙。

⒋在Autoexec.bat和Config.sys中載入運行

請大家注意，在C糟根目錄（即打開C糟就可以看到的）下的這兩個檔案也可以啟動木馬，這2個檔案是隱藏的，一般情況下看不到。但這種載入方式一般都需要控制端用戶與服務端建立連線後，將己添加木馬啟動命令的同名檔案上傳到服務端覆蓋這兩個檔案才行，而且採用這種方式不是很隱蔽。容易被發現，所以在Autoexec.bat和Confings中載入木馬程式的並不多見，但也不能因此而掉以輕心。

⒌在Winstart.bat中啟動

Winstart.bat是一個特殊性絲毫不亞於Autoexec.bat的批處理檔案，也是一個能自動被Windows載入運行的檔案。它多數情況下為應用程式及Windows自動生成，由於Autoexec.bat的功能可以由Witart.bat代替完成，因此木馬完全可以像在Autoexec.bat中那樣被載入運行，危險由此而來。

⒍啟動組

木馬們如果隱藏在啟動組雖然不是十分隱蔽，但這裡的確是自動載入運行的好場所，因此還是有木馬喜歡在這裡駐留的。啟動組對應的資料夾為C:\Windows\start menu\programs\startup，在註冊表中的位置：HKEY_CURRENT_USER\Software\Microsoft\windows\CurrentVersion\Explorer\shell

Folders Startup="c:\windows\start menu\programs\startup"。但是大家放心大部分的防毒軟體對這一塊極為敏感因為修改極為容易，所以不需要這么緊張。

⒎*.INI

即應用程式的啟動配置檔案，控制端利用這些檔案能啟動程式的特點，將製作好的帶有木馬啟動命令的同名檔案上傳到服務端覆蓋這同名檔案，這樣就可以達到啟動木馬的目的了。只啟動一次的方式：在winint.ini.中（用於安裝較多）。

⒏修改檔案關聯

修改檔案關聯是木馬們常用手段 （主要是國產木馬，國外的木馬大都沒有這個功能），比方說正常情況下TXT檔案的打開方式為Notepad.EXE檔案，但一旦中了檔案關聯木馬，則txt檔案打開方式就會被修改為用木馬程式打開，如著名的國產木馬冰河就是這樣乾的. "冰河"就是通過修改HKEY_CLASSES_ROOT\txtfile\shell\open\command下的鍵值，將“C:\WINDOWS\NOTEPAD.EXE本套用Notepad打開，如著名的國產HKEY一CLASSES一ROOT\txt鬧e\shell\open\commandT的鍵值，將 "C:\WINDOWS\NOTEPAD.EXE%l"改為 "C:\WINDOWS\SYSTEM\SYSEXPLR.EXE%l"，這樣，一旦你雙擊一個TXT檔案，原本套用Notepad打開該檔案，卻變成啟動木馬程式了，好狠毒喔！請大家注意，不僅僅是TXT檔案，其他諸如HTM、EXE、ZIP等都是木馬的目標，要小心嘍。

對付這類木馬，可以Win+R組合鍵，輸入cmd，在新打開的黑視窗裡面輸入assoc >D:\1.log 在打開D:\1.log就可以查看當前檔案關聯了！

⒐捆綁檔案

實現這種觸發條件首先要控制端和服務端已通過木馬建立連線，然後控制端用戶用工具軟體將木馬檔案和某一應用程式捆綁在一起，然後上傳到服務端覆蓋源檔案，這樣即使木馬被刪除了，只要運行捆綁了木馬的應用程式，木馬義會安裝上去。綁定到某一應用程式中，如綁定到系統檔案，那么每一次Windows啟動均會啟動木馬。

⒑反彈連線埠型木馬的主動連線方式

反彈連線埠型木馬我們已經在前面說過了，由於它與一般的木馬相反，其服務端（被控制端）主動與客戶端（控制端）建立連線，並且監聽連線埠一般開在80，所以如果沒有合適的工具、豐富的經驗真的很難防範。這類木馬的典型代表就是網路神偷"。由於這類木馬仍然要在註冊表中建立鍵值註冊表的變化就不難查到它們。同時，最新的天網防火牆（如我們在第三點中所講的那樣），因此只要留意也可在網路神偷服務端進行主動連線時發現它。

隱藏方式

⒈在系統列里隱藏

這是最基本的隱藏方式。如果在windows的系統列里出現一個莫名其妙的圖示，傻子都會明白是怎么回事。要實現在系統列中隱藏在編程時是很容易實現的。我們以VB為例。在VB中，只要把from的Visible屬性設定為False,ShowInTaskBar設為False程式就不會出現在系統列里了。

⒉在任務管理器里隱藏

查看正在運行的進程最簡單的方法就是按下Ctrl+Alt+Del時出現的任務管理器。如果你按下Ctrl+Alt+Del後可以看見一個木馬程式在運行，那么這肯定不是什麼好木馬。所以，木馬會千方百計地偽裝自己，使自己不出現在任務管理器里。木馬發現把自己設為 "系統服務“就可以輕鬆地騙過去。

因此，希望通過按Ctrl+Alt+Del發現木馬是不大現實的。

⒊連線埠

一台機器有65536個連線埠，你會注意這么多連線埠么?而木馬就很注意你的連線埠。如果你稍微留意一下，不難發現，大多數木馬使用的連線埠在1024以上，而且呈越來越大的趨勢；當然也有占用1024以下連線埠的木馬，但這些連線埠是常用連線埠，占用這些連線埠可能會造成系統不正常，這樣的話，木馬就會很容易暴露。也許你知道一些木馬占用的連線埠，你或許會經常掃描這些連線埠，但木馬都提供連線埠修改功能，你有時間掃描65536個連線埠么?

⒋隱藏通訊

隱藏通訊也是木馬經常採用的手段之一。任何木馬運行後都要和攻擊者進行通訊連線，或者通過即時連線，如攻擊者通過客戶端直接接入被植入木馬的主機；或者通過間接通訊。如通過電子郵件的方式，木馬把侵入主機的敏感信息送給攻擊者。大部分木馬一般在占領主機後會在1024以上不易發現的高連線埠上駐留；有一些木馬會選擇一些常用的連線埠，如80、23，有一種非常先進的木馬還可以做到在占領80HTTP連線埠後，收到正常的HTTP請求仍然把它交與Web伺服器處理，只有收到一些特殊約定的數據包後，才調用木馬程式。

⒌隱藏隱載入方式

木馬載入的方式可以說千奇百怪，無奇不有。但殊途同歸，都為了達到一個共同的目的，那就是使你運行木馬的服務端程式。如果木馬不做任何偽裝，就告訴你這是木馬，你會運行它才怪呢。而隨著網站互動化避程的不斷進步，越來越多的東西可以成為木馬的傳播介質，Java Script、VBScript、ActiveX.XLM....幾乎WWW每一個新功能部會導致木馬的快速進化。

⒍最新隱身技術

在Win9x時代，簡單地註冊為系統進程就可以從系統列中消失，可是在Windows xp盛行時，這種方法遭到了慘敗。註冊為系統進程不僅僅能在系統列中看到，而且可以直接在Services中直接控制停止運行（太搞笑了，木馬被客戶端控制）。使用隱藏窗體或控制台的方法也不能欺騙無所不見的Admin大人（要知道，在NT下，Administrator是可以看見所有進程的）。在研究了其他軟體的長處之後，木馬發現，Windows下的中文漢化軟體採用的陷阱技術非常適合木馬的使用。

這是一種更新、更隱蔽的方法。通過修改虛擬設備驅動程式（VXD）或修改系統動態資料庫 (DLL）來載入木馬。這種方法與一般方法不同，它基本上擺脫了原有的木馬模式---監聽連線埠，而採用替代系統功能的方法（改寫vxd或DLL檔案），木馬會將修改後的DLL替換系統已知的DLL，並對所有的函式調用進行過濾。對於常用的調用，使用函式轉發器直接轉發給被替換的系統DLL，對於一些相應的操作。實際上。這樣的事先約定好的特種情況，DLL會執行一般只是使用DLL進行監聽，一旦發現控制端的請求就激活自身，綁在一個進程上進行正常的木馬操作。這樣做的好處是沒有增加新的檔案，不需要打開新的連線埠，沒有新的進程，使用常規的方法監測不到它。在往常運行時，木馬幾乎沒有任何癱狀，且木馬的控制端向被控制端發出特定的信息後，隱藏的程式就立即開始運作。

特徵及特性

特徵
特洛伊木馬不經電腦用戶準許就可獲得電腦的使用權。程式容量十分輕小，運行時不會浪費太多資源，因此沒有使用防毒軟體是難以發覺的；運行時很難阻止它的行動，運行後，立刻自動登錄在系統啟動區，之後每次在Windows載入時自動運行；或立刻自動變更檔案名稱，甚至隱形；或馬上自動複製到其他資料夾中，運行連用戶本身都無法運行的動作；或瀏覽器自動連往奇怪或特定的網頁。　
特性　
⒈包含在正常程式中，當用戶執行正常程式時，啟動自身，在用戶難以察覺的情況下，完成一些危害用戶的操作，具有隱蔽性

由於木馬所從事的是 "地下工作"，因此它必須隱藏起來，它會想盡一切辦法不讓你發現它。很多人對木馬和遠程控制軟體有點分不清，還是讓我們舉個例子來說吧。我們進行區域網路間通訊的常用軟體PCanywhere大家一定不陌生吧?我們都知道它是一款遠程控制軟體。PCanywhere比在伺服器端運行時，客戶端與伺服器端連線成功後，客戶端機上會出現很醒目的提示標誌；而木馬類的軟體的伺服器端在運行的時候套用各種手段隱藏自己，不可能出現任何明顯的標誌。木馬開發者早就想到了可能暴露木馬蹤跡的問題，把它們隱藏起來了。例如大家所熟悉木馬修改註冊表和檔案以便機器在下一次啟動後仍能載入木馬程式，它不是自己生成一個啟動程式，而是依附在其他程式之中。有些木馬把伺服器端和正常程式綁定成一個程式的軟體，叫做exe-binder綁定程式，可以讓人在使用綁定的程式時，木馬也入侵了系統。甚至有個別木馬程式能把它自身的exe檔案和服務端的圖片檔案綁定，在你看圖片的時候，木馬便侵人了你的系統。它的隱蔽性主要體現在以下兩個方面：

⑴不產生圖示

木馬雖然在你系統啟動時會自動運行，但它不會在 "系統列"中產生一個圖示，這是容易理解的，不然的話，你看到系統列中出現一個來歷不明的圖示，你不起疑心才怪呢！

⑵木馬程式自動在任務管理器中隱藏，並以"系統服務"的方式欺騙作業系統。

⒉具有自動運行性。

木馬為了控制服務端。它必須在系統啟動時即跟隨啟動，所以它必須潛人在你的啟動配置檔案中，如win.ini、system.ini、winstart.bat以及啟動組等檔案之中。

⒊包含具有未公開並且可能產生危險後果的功能的程式。

⒋具備自動恢復功能。

很多的木馬程式中的功能模組巴不再由單一的檔案組成，而是具有多重備份，可以相互恢復。當你刪除了其中的一個，以為萬事大吉又運行了其他程式的時候，誰知它又悄然出現。像幽靈一樣，防不勝防。

⒌能自動打開特別的連線埠。

木馬程式潛人你的電腦之中的目的主要不是為了破壞你的系統，而是為了獲取你的系統中有用的信息，當你上網時能與遠端客戶進行通訊，這樣木馬程式就會用伺服器客戶端的通訊手段把信息告訴黑客們，以便黑客們控制你的機器，或實施進一步的入侵企圖。你知道你的電腦有多少個連線埠?不知道吧?告訴你別嚇著：根據TCP/IP協定，每台電腦可以有256乘以256個連線埠，也即從0到65535號 "門"，但我們常用的只有少數幾個，木馬經常利用我們不大用的這些連線埠進行連線，大開方便之 "門"。

6、功能的特殊性。

通常的木馬功能都是十分特殊的，除了普通的檔案操作以外，還有些木馬具有搜尋cache中的口令、設定口令、掃描目標機器人的IP位址、進行鍵盤記錄、遠程註冊表的操作以及鎖定滑鼠等功能。上面所講的遠程控制軟體當然不會有這些功能，畢竟遠程控制軟體是用來控制遠程機器，方便自己操作而已，而不是用來黑對方的機器的。

偽裝方法

⒈修改圖示

木馬服務端所用的圖示也是有講究的，木馬經常故意偽裝成了XT.HTML等你可能認為對系統沒有多少危害的檔案圖示，這樣很容易誘惑你把它打開。看看，木馬是不是很狡猾?

⒉捆綁檔案

這種偽裝手段是將木馬捆綁到一個安裝程式上，當安裝程式運行時，木馬在用戶毫無察覺的情況下，偷偷地進入了系統。被捆綁的檔案一般是執行檔 （即EXE、COM一類的檔案）。

⒊出錯顯示

有一定木馬知識的人部知道，如果打開一個檔案，沒有任何反應，這很可能就是個木馬程式。木馬的設計者也意識到了這個缺陷，所以已經有木馬提供了一個叫做出錯顯示的功能。當服務端用戶打開木馬程式時，會彈出一個錯誤提示框 （這當然是假的），錯誤內容可自由定義，大多會定製成一些諸如 "檔案已破壞，無法打開！"之類的信息，當服務端用戶信以為真時，木馬卻悄悄侵人了系統。

⒋自我銷毀

這項功能是為了彌補木馬的一個缺陷。我們知道，當服務端用戶打開含有木馬的檔案後，木馬會將自己拷貝到Windows的系統資料夾中（C;\windows或C:\windows\system目錄下）,一般來說，源木馬檔案和系統資料夾中的木馬檔案的大小是一樣的 （捆綁檔案的木馬除外），那么，中了木馬的朋友只要在收到的信件和下載的軟體中找到源木馬檔案，然後根據源木馬的大小去系統資料夾找相同大小的檔案，判斷一下哪個是木馬就行了。而木馬的自我銷毀功能是指安裝完木馬後，源木馬檔案自動銷毀，這樣服務端用戶就很難找到木馬的來源，在沒有查殺木馬的工具幫助下。就很難刪除木馬了。

⒌木馬更名

木馬服務端程式的命名也有很大的學問。如果不做任何修改，就使用原來的名字，誰不知道這是個木馬程式呢?所以木馬的命名也是千奇百怪，不過大多是改為和系統檔案名稱差不多的名字，如果你對系統檔案不夠了解，那可就危險了。例如有的木馬把名字改為microsoft-windows.bat（原名應為“win.bat"或"windows.bat”），如果不告訴你這是木馬的話，你敢刪除嗎?還有的就是更改一些後綴名，比如把.dll改為.dl等，不仔細看的，你會發現嗎?

種類

1、破壞型

唯一的功能就是破壞並且刪除檔案，可以自動的刪除電腦上的DLL、INI、EXE等重要檔案。

2、密碼傳送型

可以找到隱藏密碼並把它們傳送到指定的信箱。有人喜歡把自己的各種密碼以檔案的形式存放在計算機中，認為這樣方便；還有人喜歡用WINDOWS提供的密碼記憶功能，這樣就可以不必每次都輸入密碼了。許多黑客軟體可以尋找到這些檔案，把它們送到黑客手中。也有些黑客軟體長期潛伏，記錄操作者的鍵盤操作，從中尋找有用的密碼。

在這裡提醒一下，不要認為自己在文檔中加了密碼而把重要的保密檔案存在公用計算機中，那你就大錯特錯了。別有用心的人完全可以用窮舉法暴力破譯你的密碼。利用WINDOWS API函式EnumWindows和EnumChildWindows對當前運行的所有程式的所有視窗（包括控制項）進行遍歷，通過視窗標題查找密碼輸入和出確認重新輸入視窗，通過按鈕標題查找我們應該單擊的按鈕，通過ES_PASSWORD查找我們需要鍵入的密碼視窗。向密碼輸入視窗傳送WM_SETTEXT訊息模擬輸入密碼，向按鈕視窗傳送WM_COMMAND訊息模擬單擊。在破解過程中，把密碼保存在一個檔案中，以便在下一個序列的密碼再次進行窮舉或多部機器同時進行分工窮舉，直到找到密碼為止。此類程式在黑客網站上唾手可得，精通程式設計的人，完全可以自編一個。

最後，如果真的想將賬號密碼儲存在計算機里，可以先將數據寫在TXT檔案里，再將後綴名改成.17864（隨便輸入），這可以最大限度地防止黑客的入侵。需要用的時候再改過來。

3、遠程訪問型

最廣泛的是特洛伊木馬，只需有人運行了服務端程式，如果客戶知道了服務端的IP位址，就可以實現遠程控制。以下的程式可以實現觀察"受害者"正在乾什麼，當然這個程式完全可以用在正道上的，比如監視學生機的操作。

程式中用的UDP（User Datagram Protocol，用戶報文協定）是網際網路上廣泛採用的通信協定之一。與TCP協定不同，它是一種非連線的傳輸協定，沒有確認機制，可靠性不如TCP，但它的效率卻比TCP高，用於遠程螢幕監視還是比較適合的。它不區分伺服器端和客戶端，只區分傳送端和接收端，編程上較為簡單，故選用了UDP協定。本程式中用了DELPHI提供的TNMUDP控制項。

⒋鍵盤記錄木馬

這種特洛伊木馬是非常簡單的。它們只做一件事情，就是記錄受害者的鍵盤敲擊並且在LOG檔案里查找密碼。據筆者經驗，這種特洛伊木馬隨著Windows的啟動而啟動。它們有線上和離線記錄這樣的選項，顧名思義，它們分別記錄你線上和離線狀態下敲擊鍵盤時的按鍵情況。也就是說你按過什麼按鍵，下木馬的人都知道，從這些按鍵中他很容易就會得到你的密碼等有用信息，甚至是你的信用卡賬號喔！當然，對於這種類型的木馬，郵件傳送功能也是必不可少的。

⒌Dos攻擊木馬

隨著DoS攻擊越來越廣泛的套用，被用作DoS攻擊的木馬也越來越流行起來。當你入侵了一台機器，給他種上DoS攻擊木馬，那么日後這台計算機就成為你DoS攻擊的最得力助手了。你控制的肉雞數量越多，你發動DoS攻擊取得成功的機率就越大。所以，這種木馬的危害不是體現在被感染計算機上，而是體現在攻擊者可以利用它來攻擊一台又一台計算機，給網路造成很大的傷害和帶來損失。

還有一種類似DoS的木馬叫做郵件炸彈木馬，一旦機器被感染，木馬就會隨機生成各種各樣主題的信件，對特定的信箱不停地傳送郵件，一直到對方癱瘓、不能接受郵件為止。

⒍代理木馬

黑客在入侵的同時掩蓋自己的足跡，謹防別人發現自己的身份是非常重要的，因此，給被控制的肉雞種上代理木馬，讓其變成攻擊者發動攻擊的跳板就是代理木馬最重要的任務。通過代理木馬，攻擊者可以在匿名的情況下使用Telnet,ICQ,IRC等程式，從而隱蔽自己的蹤跡。

⒎FTP木馬

這種木馬可能是最簡單和古老的木馬了，它的唯一功能就是打開21連線埠，等待用戶連線。新FTP木馬還加上了密碼功能，這樣，只有攻擊者本人才知道正確的密碼，從而進入對方計算機。

⒏程式殺手木馬

上面的木馬功能雖然形形色色，不過到了對方機器上要發揮自己的作用，還要過防木馬軟體這一關才行。常見的防木馬軟體有ZoneAlarm,Norton Anti-Virus等。程式殺手木馬的功能就是關閉對方機器上運行的這類程式，讓其他的木馬更好地發揮作用。

⒐反彈連線埠型木馬

木馬是木馬開發者在分析了防火牆的特性後發現：防火牆對於連入的連結往往會進行非常嚴格的過濾，但是對於連出的連結卻疏於防範。於是，與一般的木馬相反，反彈連線埠型木馬的服務端（被控制端）使用主動連線埠，客戶端（控制端）使用被動連線埠。木馬定時監測控制端的存在，發現控制端上線立即彈出連線埠主動連結控制端打開的主動連線埠；為了隱蔽起見，控制端的被動連線埠一般開在80，即使用戶使用掃描軟體檢查自己的連線埠，發現類似TCP UserIP:1026 ControllerIP:80ESTABLISHED的情況，稍微疏忽一點，你就會以為是自己在瀏覽網頁。

著名木馬

（1）海外著名木馬

• Back Orifice（BO）
• NetBus Pro
• SUB7

（2）中國大陸著名木馬

• 灰鴿子
• 蜜蜂大盜
• Dropper

中毒症狀

木馬的植入通常是利用了作業系統的漏洞，繞過了對方的防禦措施（如防火牆）。中了特洛伊木馬程式的計算機，因為資源被占用，速度會減慢，莫名當機，且用戶信息可能會被竊取，導致數據外泄..等情況發生。
對於一些常見的木馬，如SUB7、BO2000、冰河等等，它們都是採用打開TCP連線埠監聽和寫入註冊表啟動等方式，使用木馬剋星之類的軟體可以檢測到這些木馬，這些檢測木馬的軟體大多都是利用檢測TCP連結、註冊表等信息來判斷是否有木馬入侵，因此我們也可以通過手工來偵測木馬。

也許你會對硬碟空間莫名其妙減少500M感到習以為常，這的確算不了什麼，天知道Windows的臨時檔案、快取檔案和瀏覽器的cookie占用了自己多少硬碟空間。可是，還是有一些現象會讓你感到警覺，一旦你覺得你自己的電腦感染了木馬，你應該馬上用防毒軟體檢查一下自己的計算機，然後不管結果如何，就算是防毒軟體告訴你，你的機器沒有木馬，你也應該再親自作一次更深入的調查，確保自己機器安全。經常關注新的和出名的木馬的特性報告，這將對你診斷自己的計算機問題很有幫助。

⑴當你瀏覽一個網站，彈出來一些廣告視窗是很正常的事情，可是如果你根本沒有打開瀏覽器，而覽瀏器突然自己打開，並且進入某個網站，那么，你要注意。⑵你正在操作電腦，突然一個警告框或者是詢問框彈出來，問一些你從來沒有在電腦上接觸過的問題。

⑶你的Windows系統配置老是自動莫名其妙地被更改。比如屏保顯示的文字，時間和日期，聲音大小，滑鼠靈敏度，還有CD-ROM的自動運行配置。

⑷硬碟老沒緣由地讀盤，軟碟機燈經常自己亮起，網路連線及滑鼠螢幕出現異常現象。

這時，最簡單的方法就是使用netstat-a命令查看。你可以通過這個命令發現所有網路連線，如果這時有攻擊者通過木馬連線，你可以通過這些信息發現異常。通過連線埠掃描的方法也可以發現一些弱智的木馬，特別是一些早期的木馬，它們捆綁的連線埠不能更改，通過掃描這些固定的連線埠也可以發現木馬是否被植入。

當然，沒有上面的種種現象並不代表你就絕對安全。有些人攻擊你的機器不過是想尋找一個跳板。做更重要的事情；可是有些人攻擊你的計算機純粹是為了好玩。對於純粹處於好玩目的的攻擊者，你可以很容易地發現攻擊的痕跡；對於那些隱藏得很深，並且想把你的機器變成一台他可以長期使用的肉雞的黑客們，你的檢查工作將變得異常艱苦並且需要你對入侵和木馬有超人的敏感度，而這些能力，都是在平常的電腦使用過程日積月累而成的。

我們還可以通過軟體來檢查系統進程來發現木馬。如利用進程管理軟體來查看進程，如果發現可疑進程就殺死它。那么，如何知道哪個進程是可疑的呢?教你一個笨方法，有以下進程絕對是正常的：EXPLORER.EXE、KERNEL32.DLL、MPREXE.EXE、MSGSRⅥNTERNAT.EXE、32.EXE、SPOOL32.EXEIEXPLORE.EXE（如果打開了IE），而出現了其他的、你沒有運行的程式的進程就很可疑了。一句話，具體情況具體分析。

騙取執行方法

1、冒充為圖像檔案

首先，黑客最常使用騙別人執行木馬的方法，就是將特洛伊木馬說成為圖像檔案，比如說是照片等，應該說這是一個最不合邏輯的方法，但卻是最多人中招的方法，有效而又實用。

只要入侵者扮成美眉及更改伺服器程式的檔案名稱（例如 sam.exe）為“類似”圖像檔案的名稱 ，再假裝傳送照片給受害者，受害者就會立刻執行它。為甚么說這是一個不合邏輯的方法呢？圖像檔案的擴展名根本就不可能是 exe，而木馬程式的擴展名基本上又必定是 exe ，明眼人一看就會知道有問題，多數人在接收時一看見是exe檔案，便不會接收了，那有什麼方法呢? 其實方法很簡單，他只要把檔案名稱改變，例如把“sam.exe” 更改為“sam.jpg.exe” ，那么在傳送時，對方只會看見sam.jpg 了，而到達對方電腦時，因為windows 默認值是不顯示擴展名的，所以很多人都不會注意到擴展名這個問題，而恰好你的計算機又是設定為隱藏擴展名的話，那么你看到的只是sam.jpg 了，受騙也就在所難免了！

還有一個問題就是，木馬本身是沒有圖示的，而在電腦中它會顯示一個windows 預設的圖示，別人一看便會知道了！但入侵者還是有辦法的，這就是給檔案換個“馬甲”，即修改檔案圖示。

修改檔案圖示的方法如下：

⑴下載一個名為IconForge 的軟體，再進行安裝。

⑵執行程式，按下File > Open

⑶在File Type 選擇exe 類

⑷在File > Open 中載入預先製作好的圖示（可以用繪圖軟體或專門製作icon 的軟體製作，也可以在網上找找）。

⑸然後按下File > Save 便可以了。

如此這般最後得出的，便是看似jpg 或其他圖片格式的木馬了，很多人就會不經意間執行了它。

2、合併程式欺騙

通常有經驗的用戶，是不會將圖像檔案和執行檔混淆的，所以很多入侵者一不做二不休，乾脆將木馬程式說成是應用程式：反正都是以 exe 作為擴展名的。然後再變著花樣欺騙受害者，例如說成是新出爐的遊戲，無所不能的黑客程式等等，目地是讓受害者立刻執行它。而木馬程式執行後一般是沒有任何反應的，於是在悄無聲息中，很多受害者便以為是傳送時檔案損壞了而不再理會它。

如果有更小心的用戶，上面的方法有可能會使他們的產生壞疑，所以就衍生了一些合拼程式。合拼程式是可以將兩個或以上的執行檔（exe檔案） 結合為一個檔案，以後祇需執行這個合拼檔案，兩個執行檔就會同時執行。如果入侵者將一個正常的執行檔（一些小遊戲如 wrap.exe) 和一個木馬程式合拼，由於執行合拼檔案時 wrap.exe會正常執行，受害者在不知情中，背地裡木馬程式也同時執行了。而這其中最常用到的軟體就是joiner，由於它具有更大的欺騙性，使得安裝特洛伊木馬的一舉一動了無痕跡，是一件相當危險的黑客工具。讓我們來看一下它是如何運作的：

以往有不少可以把兩個程式合拼的軟體為黑客所使用，但其中大多都已被各大防毒軟體列作病毒了，而且它們有兩個突出的問題存在，這問題就是：

⑴合拼後的檔案體積過大

⑵只能合拼兩個執行檔案

正因為如此，黑客們紛紛棄之轉而使用一個更簡單而功能更強的軟體，那就是Joiner 了。此軟體不但把軟體合拼後的體積減少，而且可以待使用者執行後立馬就能收到一個icq 的信息，告訴你對方已中招及對方的IP ，更重要的是這個軟體可以把圖像檔案、音頻檔案與執行檔合拼，用起來相當方便。

首先把Joiner 解壓，然後執行Joiner ，在程式的畫面里，有“First executable : ”及“ Second File : ”兩項，這兩行的右方都有一個資料夾圖示，分別各自選擇想合拼的檔案。

下面還有一個Enable ICQ notification 的空格，如果選取後，當對方執行了檔案時，便會收到對方的一個ICQ Web Messgaer ，裡面會有對方的ip ，當然要在下面的ICQ number 填上欲收取信息的icq 號碼。但開啟這個功能後，合拼後的檔案會比較大。

最後便按下“Join” ，在Joiner 的資料夾里，便會出現一個Result.exe 的檔案，檔案可更改名稱，因而這種“混合體”的隱蔽性是不言而喻的。

3、以Z-file偽裝加密程式

Z-file 偽裝加密軟體是台灣華順科技的產品，其經過將檔案壓縮加密之後，再以 bmp圖像檔案格式顯示出來（擴展名是 bmp，執行後是一幅普通的圖像）。當初設計這個軟體的本意只是用來加密數據，用以就算計算機被入侵或被非法使使用時，也不容易泄漏你的機密數據所在。不過如果到了黑客手中，卻可以變成一個入侵他人的幫凶。使用者會將木馬程式和小遊戲合拼，再用 Z-file 加密及將 此“混合體”發給受害者，由於看上去是圖像檔案，受害者往往都不以為然，打開後又只是一般的圖片，最可怕的地方還在於就連防毒軟體也檢測不出它內藏特洛伊木馬，甚至病毒！當打消了受害者警惕性後，再讓他用WinZip 解壓縮及執行 “偽裝體 （比方說還有一份小禮物要送給他），這樣就可以成功地安裝了木馬程式。如果入侵者有機會能使用受害者的電腦（比如上門維修電腦），只要事先已經發出了“混合體，則可以直接用 Winzip 對其進行解壓及安裝。由於上門維修是赤著手使用其電腦，受害者根本不會懷疑有什麼植入他的計算機中，而且時間並不長，30秒時間已經足夠。就算是“明晃晃”地在受害者面前操作，他也不見得會看出這一雙黑手正在乾什麼。特別值得一提的是，由於 “混合體” 可以躲過反病毒程式的檢測，如果其中內含的是一觸即發的病毒，那么一經解開壓縮，後果將是不堪構想。

4、偽裝成應用程式擴展組件

此類屬於最難識別的特洛伊木馬。黑客們通常將木馬程式寫成為任何類型的檔案 (例如 dll、ocx等） 然後掛在一個十分出名的軟體中，例如 OICQ。由於OICQ本身已有一定的知名度，沒有人會懷疑它的安全性，更不會有人檢查它的檔案多是否多了。而當受害者打開OICQ時，這個有問題的檔案即會同時執行。此種方式相比起用合拼程式有一個更大的好處，那就是不用更改被入侵者的登錄檔案，以後每當其打開OICQ時木馬程式就會同步運行 ，相較一般特洛伊木馬可說是“踏雪無痕”。更要命的是，此類入侵者大多也是特洛伊木馬編寫者，只要稍加改動，就會派生出一支新木馬來，所以即使殺是毒軟體也拿它沒有絲毫辦法。

判斷方法

當前最為常見的木馬通常是基於TCP/UDP協定進行client端與server端之間的通訊的，既然利用到這兩個協定，就不可避免要在server端（就是被種了木馬的機器了）打開監聽連線埠來等待連線。例如鼎鼎大名的冰河使用的監聽連線埠是7626，Back Orifice 2000則是使用54320等等。那么，我們可以利用查看本機開放連線埠的方法來檢查自己是否被種了木馬或其它黑客程式。以下是詳細方法介紹。

1． Windows本身自帶的netstat命令

關於netstat命令，我們先來看看windows幫助檔案中的介紹：

Netstat

顯示協定統計和當前的 TCP/IP 網路連線。該命令只有在安裝了 TCP/IP 協定後才可以使用。

netstat [-a] [-e] [-n] [-s] [-p protocol] [-r] [interval]

參數

-a

顯示所有連線和偵聽連線埠。伺服器連線通常不顯示。

-e

顯示乙太網統計。該參數可以與 -s 選項結合使用。

-n

以數字格式顯示地址和連線埠號（而不是嘗試查找名稱）。

-s

顯示每個協定的統計。默認情況下，顯示 TCP、UDP、ICMP 和 IP 的統計。-p 選項可以用來指定默認的子集。

-p protocol

顯示由 protocol 指定的協定的連線；protocol 可以是 tcp 或 udp。如果與 -s 選項一同使用顯示每個協定的統計，protocol 可以是 tcp、udp、icmp 或 ip。

-r

顯示路由表的內容。

interval

重新顯示所選的統計，在每次顯示之間暫停 interval 秒。按 CTRL+B 停止重新顯示統計。如果省略該參數，netstat 將列印一次當前的配置信息。

好了，看完這些幫助檔案，我們應該明白netstat命令的使用方法了。就讓我們現學現用，用這個命令看一下自己的機器開放的連線埠。進入到命令行下，使用netstat命令的a和n兩個參數：

C:\>netstat -an

Active Connections

Proto Local Address Foreign Address State

TCP 0.0.0.0:80 0.0.0.0:0 LISTENING

TCP 0.0.0.0:21 0.0.0.0:0 LISTENING

TCP 0.0.0.0:7626 0.0.0.0:0 LISTENING

UDP 0.0.0.0:445 0.0.0.0:0

UDP 0.0.0.0:1046 0.0.0.0:0

UDP 0.0.0.0:1047 0.0.0.0:0

解釋一下，Active Connections是指當前本機活動連線，Proto是指連線使用的協定名稱，Local Address是本地計算機的 IP 地址和連線正在使用的連線埠號，Foreign Address是連線該連線埠的遠程計算機的 IP 地址和連線埠號，State則是表明TCP 連線的狀態，你可以看到後面三行的監聽連線埠是UDP協定的，所以沒有State表示的狀態。看！我的機器的7626連線埠已經開放，正在監聽等待連線，像這樣的情況極有可能是已經感染了冰河！急忙斷開網路，用防毒軟體查殺病毒是正確的做法。

2．工作在windows2000下的命令行工具fport

使用windows2000的朋友要比使用windows9X的幸運一些，因為可以使用fport這個程式來顯示本機開放連線埠與進程的對應關係。

Fport是FoundStone出品的一個用來列出系統中所有打開的TCP/IP和UDP連線埠，以及它們對應應用程式的完整路徑、PID標識、進程名稱等信息的軟體。在命令行下使用，請看例子：

D:\>fport.exe

FPort v1.33 - TCP/IP Process to Port Mapper

Copyright 2000 by Foundstone,Inc.

Pid Process Port Proto Path

748 tcpsvcs -> 7TCP C:\WINNT\System32\tcpsvcs.exe

748 tcpsvcs -> 9TCP C:\WINNT\System32\tcpsvcs.exe

748 tcpsvcs -> 19TCP C:\WINNT\System32\tcpsvcs.exe

416 svchost -> 135 TCP C:\WINNT\system32\svchost.exe

是不是一目了然了。這下，各個連線埠究竟是什麼程式打開的就都在你眼皮底下了。如果發現有某個可疑程式打開了某個可疑連線埠，可千萬不要大意喔，也許那就是一隻狡猾的木馬！

Fport的最新版本是2.0。在很多網站都提供下載，但是為了安全起見，當然最好還是到它的老家去下：

⒊與Fport功能類似的圖形化界面工具Active Ports

Active Ports為SmartLine出品，你可以用來監視電腦所有打開的TCP/IP/UDP連線埠，不但可以將你所有的連線埠顯示出來，還顯示所有連線埠所對應的程式所在的路徑，本地IP和遠端IP（試圖連線你的電腦IP）是否正在活動。下面是軟體截圖：

是不是很直觀？更棒的是，它還提供了一個關閉連線埠的功能，在你用它發現木馬開放的連線埠時，可以立即將連線埠關閉。這個軟體工作在Windows NT/2000/XP平台下。你可以在得到它。

其實使用windows xp的用戶無須藉助其它軟體即可以得到連線埠與進程的對應關係，因為windows xp所帶的netstat命令比以前的版本多了一個O參數，使用這個參數就可以得出連線埠與進程的對應來。

上面介紹了幾種查看本機開放連線埠，以及連線埠和進程對應關係的方法，通過這些方法可以輕鬆的發現基於TCP/UDP協定的木馬，希望能給你的愛機帶來幫助。但是對木馬重在防範，而且如果碰上反彈連線埠木馬，利用驅動程式及動態程式庫技術製作的新木馬時，以上這些方法就很難查出木馬的痕跡了。所以我們一定要養成良好的上網習慣，不要隨意運行郵件中的附屬檔案，安裝一套防毒軟體，像國內的瑞星就是個查殺病毒和木馬的好幫手。從網上下載的軟體先用防毒軟體檢查一遍再使用，在上網時打開網路防火牆和病毒實時監控，保護自己的機器不被可恨的木馬入侵。

感染後措施

如果不幸你的計算機已經被木馬光臨過了，你的系統檔案被黑客改得一塌糊塗，硬碟上稀里糊塗得多出來一大堆亂七八糟的檔案，很多重要的數據也可能被黑客竊取。這裡給你提供3條建議，希望可以幫助你：

（1）所有的賬號和密碼都要馬上更改，例如撥號連線，ICQ,mIRC,FTP，你的個人站點，免費信箱等等，凡是需要密碼的地方，你都要把密碼儘快改過來。

（2）刪掉所有你硬碟上原來沒有的東西。

（3）檢查一次硬碟上是否有病毒存在。

（4）如果條件允許、重灌系統或是拷貝數據後直接換掉硬碟！

安全策略

當木馬悄悄打開某扇“方便之門”（連線埠）時，不速之客就會神不知鬼不覺地侵入你的電腦。如果被種下木馬其實也不必擔心，首先我們要切斷它們與外界的聯繫（就是 堵住可疑連線埠）。

在Win 2000/XP/2003系統中，Microsoft管理控制台（MMC）已將系統的配置功能匯集成配置模組，大大方便我們進行特殊的設定（以Telnet利用的23連線埠為例，筆者的作業系統為Win XP）。

操作步驟

首先單擊“運行”在框中輸入“mmc”後回車，會彈出“控制台1”的視窗。我們依次選擇“檔案→添加/刪除管理單元→在獨立標籤欄中點擊‘添加’→IP安全策略管理”，最後按提示完成操作。這時，我們已把“IP安全策略，在本地計算機”（以下簡稱“IP安全策略”）添加到“控制台根節點”下。

雙擊“IP安全策略”就可以新建一個管理規則了。右擊“IP安全策略”，在彈出的快捷選單中選擇“創建IP安全策略”，打開IP安全策略嚮導，點擊“下一步→名稱默認為‘新IP安全策略’→下一步→不必選擇‘激活默認回響規則’”（注意：在點擊“下一步的同時，需要確認此時“編輯屬性”被選中），然後選擇“完成→在“新IP安全策略屬性→添加→不必選擇‘使用添加嚮導’”。

在定址欄的源地址應選擇“任何IP位址”，目標地址選擇“我的IP位址”（不必選擇鏡像）。在協定標籤欄中，注意類型應為TCP，並設定IP協定連線埠從任意連線埠到此連線埠23，最後點擊“確定”即可。這時在“IP篩選器列表”中會出現一個“新IP篩選器”，選中它，切換到“篩選器操作”標籤欄，依次點擊“添加→名稱默認為‘新篩選器操作’→添加→阻止→完成”。

新策略需要被激活才能起作用，具體方法是：在“新IP安全策略”上點右鍵，“指派”剛才制定的策略。

效果

當我們從另一台電腦Telnet到設防的這一台時，系統會報告登錄失敗；用掃描工具掃描這台機子，會發現23連線埠仍然在提供服務。以同樣的方法，大家可以把其它任何可疑的連線埠都封殺掉，讓不速之客們大叫“不妙”去吧！

教您手工輕鬆清除隱藏在電腦里的病毒和木馬

上網的朋友越來越多了，其中有一點不可避免的就是如何防範和查殺病毒和惡意攻擊程式了。但是，如果不小心中了病毒而身邊又沒有防毒軟體怎么辦?沒有關係，今天我就來教大家怎樣輕鬆地手工清除藏在電腦里的病毒和木馬。

檢查註冊表

註冊表一直都是很多木馬和病毒“青睞”的寄生場所，注意在檢查註冊表之前要先給註冊表備份。

1、 檢查註冊表中HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run和HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runserveice，查看鍵值中有沒有自己不熟悉的自動啟動檔案，擴展名一般為EXE，然後記住木馬程式的檔案名稱，再在整個註冊表中搜尋，凡是看到了一樣的檔案名稱的鍵值就要刪除，接著到電腦中找到木馬檔案的藏身地將其徹底刪除?比如“愛蟲”病毒會修改上面所提的第一項，BO2000木馬會修改上面所提的第二項）。

2、 檢查註冊表HKEY_LOCAL_MACHINE和HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Main中的幾項（如Local Page），如果發現鍵值被修改了，只要根據你的判斷改回去就行了。惡意代碼（如“萬花谷”）就經常修改這幾項。

3、檢查HKEY_CLASSES_ROOT\inifile \shell\open\command和HKEY_CLASSES_ROOT \txtfile\shell\open\command等等幾個常用檔案類型的默認打開程式是否被更改。這個一定要改回來，很多病毒就是通過修改.txt、.ini等的默認打開程式而清除不了的。例如“羅密歐與朱麗葉”?BleBla病毒就修改了很多檔案（包括.jpg、.rar、.mp3等）的默認打開程式。

系統配置檔案

其實檢查系統配置檔案最好的方法是打開Windows“系統配置實用程式”（從開始選單運行msconfig.exe），在裡面你可以配置Config.sys、Autoexec.bat、system.ini和win.ini，並且可以選擇啟動系統的時間。

1、檢查win.ini檔案（在C?\windows\下），打開後，在?WINDOWS?下面，“run=”和“load=”是可能載入“木馬”程式的途徑，必須仔細留心它們。在一般情況下，在它們的等號後面什麼都沒有，如果發現後面跟有路徑與檔案名稱不是你熟悉的啟動檔案，你的計算機就可能中上“木馬”了。比如攻擊QQ的“GOP木馬”就會在這裡留下痕跡。

2、檢查system.ini檔案（在C:\windows\下），在BOOT下面有個“shell=檔案名稱”。正確的檔案名稱應該是“explorer.exe”，如果不是“explorer.exe”，而是“shell= explorer.exe 程式名”，那么後面跟著的那個程式就是“木馬”程式，然後你就要在硬碟找到這個程式並將其刪除了。這類的病毒很多，比如“尼姆達”病毒就會把該項修改為“shell=explorer.exe load.exe -dontrunold”。

清除木馬

筆者用BT下載了一個格鬥遊戲，運行安裝程式後沒有任何反應。起初，筆者以為是安裝程式已經損壞就順手給刪掉了，沒有特別留意。但第二天開機時，金山毒霸突然無法載入。由於以前也有過類似的經歷，所以筆者感覺昨天下載的那個格鬥遊戲多半捆綁了木馬。

為了安全起見，筆者立刻斷掉了網路連 接，然後打開“Windows任務管理器”，經過排除找到了名為“sprite.exe”的可疑進程。結束該進程後金山毒霸就可以正常運行了，但仍然無法查出木馬的所在。利用Windows自帶的搜尋功能搜尋“sprite.exe”，選擇包括隱藏檔案，也只搜到檔案“sprite.exe”。正要刪除時，筆者突發奇想：木馬通常進駐記憶體時都會自動生成一些輔助檔案，何不利用Windows自帶的查看檔案屬性功能達到一勞永逸的目的?說乾就乾，找到檔案“sprite.exe”用右鍵點擊，在彈出的對話框中選擇 “屬性”，電腦顯示該檔案創建於2003年10月9日18:08:19。點擊“開始→高級搜尋”，將檔案創建日期設定為10月9日，搜尋……在搜尋結果中找到兩個創建時間為2003年10月9日18:08:19的檔案：“Hiddukel.exe”和“Hiddukel.dll”（大小分別為71KB和15KB），一併刪除，大功告成。

後來筆者從網上了解到這種木馬叫做“妖精”。最新版本的防毒軟體和防火牆均不能清除這種木馬。以下是手工清除此木馬的方法：

⒈打開註冊表編輯器，找到“HKEY_ CLASSES_ROOT\exefile\shell\open\command”下的“C:\Windows\System\Hiddukel.exe”鍵值和“HKEY_LOCAL_MACHINE\Software\CLASSES\exefile\shell\open\command”下的“C:\Windows\System\Hiddukel.exe”鍵值後，將它們刪除；

⒉打開C:\Windows\System目錄，找到Hiddukel.exe（71KB）和Hiddukel.dll（15KB）兩個檔案後，將它們刪除；

⒊查找你的電腦里是否有Sprite.exe（132KB）或者crawler.exe（131KB），如果有的話也要徹底將它們刪除。

木馬多數都會在進駐記憶體時自動生成一些動態連結檔案。筆者介紹的這種利用查看檔案創建時間進行檔案搜尋的方法，有些時候是很好用的，感興趣的朋友不妨試試（對於經常安裝遊戲和軟體的玩家可能不適用）。