本文目录一览：
给我讲讲木马病毒
什么是木马
特洛伊木马(以下简称木马)，英文叫做“Trojan house”，其名称取自希腊神话的特洛伊木马记。
它是一种基于远程控制的黑客工具，具有隐蔽性和非授权性的特点。
所谓隐蔽性是指木马的设计者为了防止木马被发现，会采用多种手段隐藏木马，这样服务端即使发现感染了木马，由于不能确定其具体位置，往往只能望“马”兴叹。
所谓非授权性是指一旦控制端与服务端连接后，控制端将享有服务端的大部分操作权限，包括修改文件，修改注册表，控制鼠标，键盘等等，而这些权力并不是服务端赋予的，而是通过木马程序窃取的。
从木马的发展来看，基本上可以分为两个阶段。
最初网络还处于以UNIX平台为主的时期，木马就产生了，当时的木马程序的功能相对简单，往往是将一段程序嵌入到系统文件中，用跳转指令来执行一些木马的功能，在这个时期木马的设计者和使用者大都是些技术人员，必须具备相当的网络和编程知识。
而后随着WINDOWS平台的日益普及，一些基于图形操作的木马程序出现了，用户界面的改善，使使用者不用懂太多的专业知识就可以熟练的操作木马，相对的木马入侵事件也频繁出现，而且由于这个时期木马的功能已日趋完善，因此对服务端的破坏也更大了。
所以所木马发展到今天，已经无所不用其极，一旦被木马控制，你的电脑将毫无秘密可言。
什么是木马
特洛伊木马(以下简称木马)，英文叫做“Trojan house”，其名称取自希腊神话的特洛伊木马记。
它是一种基于远程控制的黑客工具，具有隐蔽性和非授权性的特点。
所谓隐蔽性是指木马的设计者为了防止木马被发现，会采用多种手段隐藏木马，这样服务端即使发现感染了木马，由于不能确定其具体位置，往往只能望“马”兴叹。
所谓非授权性是指一旦控制端与服务端连接后，控制端将享有服务端的大部分操作权限，包括修改文件，修改注册表，控制鼠标，键盘等等，而这些权力并不是服务端赋予的，而是通过木马程序窃取的。
从木马的发展来看，基本上可以分为两个阶段。
最初网络还处于以UNIX平台为主的时期，木马就产生了，当时的木马程序的功能相对简单，往往是将一段程序嵌入到系统文件中，用跳转指令来执行一些木马的功能，在这个时期木马的设计者和使用者大都是些技术人员，必须具备相当的网络和编程知识。
而后随着WINDOWS平台的日益普及，一些基于图形操作的木马程序出现了，用户界面的改善，使使用者不用懂太多的专业知识就可以熟练的操作木马，相对的木马入侵事件也频繁出现，而且由于这个时期木马的功能已日趋完善，因此对服务端的破坏也更大了。
所以所木马发展到今天，已经无所不用其极，一旦被木马控制，你的电脑将毫无秘密可言。
瑞星杀毒,金山毒霸,木马克星，卡巴斯基杀毒，江民杀毒都可以
木马--并不是一种对自己不利的“病毒”，能够应用和奴驾它的人，就将它看为是一种资源，像一些黑客用木马盗取某些国家或公司的机密文件等等……
它是一种基于远程控制的黑客工具，具有隐蔽性和非授权性的特点。
一般自己中了木马病毒，首先要认清这是个什么病毒 有的很简单也很好解决，像Trojan.DL.Agent.dqi Trojan/Agent.ls都是很好解决的--先断开网络，然后打开IE浏览器，点工具里的INTERNET选项，然后把INTERNET临时文件夹中的所有文件都删除，最后再用瑞星就可以杀掉了。
参考资料 ;pagelist=171
其实 Trojan是某些防毒软件对后门木马的一种统称，它并不代表着固定的一个，而是一类，所以即使遇到同样名子的木马可能它们也并不相同。 费尔托斯特安全是一款可以清除木马和病毒的软件，并且有很强的清除能力，如果您有它的正式版可以在升级到最新病毒库后尝试用它扫描清除一下，但这里需要特别提醒一点： 由于这类木马新变种层出不穷，所以不能保证费尔托斯特安全能够识别出目前所有的或者您遇到的。 那么除此之外难道就没有其他办法了吗？有的，下面就介绍一个借助免费工具“费尔木马强力清除助手”(此工具已经集成到费尔托斯特安全新版本中了)来清除这种顽固性 Trojan 木马的方法：
使用这个方法前必须要先知道这个木马的文件名是什么。防毒软件在发现木马后一般都会报告它的完整文件名，您需要先准确的记录下这个文件名。比如：如果防毒软件提示 C:\Windows\hello.dll 是 Trojan/Agent.l，则记下 C:\Windows\hello.dll 这个名字。这里需要注意文件名一定要记准确，因为有许多木马会把自己的文件名故意伪装成和正常的文件名很接近，比如 svch0st.exe(木马)-svchost.exe(正常)、Expl0rer.exe(木马)-Explorer.exe(正常)、intrenat.exe / internet.exe(木马)-internat.exe(正常)等等。特别是数字0几乎和大写字母O一样，很容易让人看错，所以一定要注意区分它们，否则万一记错将有可能把正常的文件清除掉，那就麻烦了；
暂停防毒软件的实时监控，这一点很重要，否则在清除时可能会被阻止而无法成功。比如如果当初是你的诺顿发现了这个木马，那么请先暂停诺顿的实时监控或实时扫描；
下载费尔木马强力清除助手 ；
释放 PowerRmv.zip 到一个目录，然后执行其中的 PowerRmv.exe 启动“费尔木马强力清除助手”。在“文件名”中输入要清除的木马文件名。比如如果您在第1步中记下的文件名是 C:\Windows\hello.dll，那么这时就输入它；
按“清除”。这时程序会询问你是否要举报此病毒到费尔安全实验室，建议点“是”表示同意。接着程序会继续提示是否确定要清除它，仍然选“是”；
之后，如果此木马被成功清除程序会提示成功；或者也可能提示此木马无法被立即删除需要重启电脑。无论是哪种情况请点击“确定”，这时如果您在前面同意了举报此木马那么程序会自动创建并打开一个“病毒举报”的电子邮件，其中会包含这个木马的样本文件，如果您看到了这个邮件请把它直接发送给 virus@filseclab.com 。如果您并没有看到这封邮件也没有关系，可以忽略。
最后，如果程序前面提示了重启电脑后才能清除那么请一定重启您的电脑，在电脑重启后这个木马应该就被清除掉了。
也有稍顽固的木马，你可以进入DOS彻底删除！
对木马
用Spy Sweeper杀，也可以监控
下载地址：
注册码SSDC-OPEN-AAAA-KJEA-PZAK
马病毒源自古希腊特洛伊战争中著名的“木马计”而得名，顾名思义就是一种伪装潜伏的网络病毒，等待时机成熟就出来害人。
传染方式:通过电子邮件附件发出，捆绑在其他的程序中。
病毒特性:会修改注册表、驻留内存、在系统中安装后门程序、开机加载附带的木马。
木马病毒的破坏性:木马病毒的发作要在用户的机器里运行客户端程序，一旦发作，就可设置后门，定时地发送该用户的隐私到木马程序指定的地址，一般同时内置可进入该用户电脑的端口，并可任意控制此计算机，进行文件删除、拷贝、改密码等非法操作。
防范措施:用户提高警惕，不下载和运行来历不明的程序，对于不明来历的邮件附件也不要随意打开
木马病毒
以下几种类型的病毒为用户经常会遇到的病毒
◇引导型病毒
◇文件型病毒
◇蠕虫病毒
◇宏病毒
◇木马病毒
1.引导型病毒
引导型病毒是一种感染系统引导区的病毒。引导型病毒利用操作系统的引导模块物力位置固定的特点，抢占据该物理位置，获得系统控制权，而将真正的引导区内容转移或替换，待病毒程序执行后，再将控制权交给真正的引导区内容，使得这个带病毒的系统看似正常运转，而病毒已隐藏在系统中并伺机传染、发作。由于引导型病毒多使用汇编语言编写，所以执行速度很快，用户很难察觉。
传播方式
引导型病毒通常是通过移动存储介质来传播的，用户只要在相互拷贝文件的时候注意一下，就可以减少感染引导型病毒的机会。
感染对象
引导型病毒按其寄生对象的不同又可分为两类，即MBR（主引导区）病毒、BR（引导区）病毒。MBR病毒也称为分区病毒，将病毒寄生在硬盘分区主引导程序所占据的硬盘0头0柱面第1个扇区中，典型的病毒有大麻(Stoned)、2708、INT60病毒等。BR 病毒是将病毒寄生在硬盘逻辑0扇或软盘逻辑0扇（即0面0道第1个扇区），典型的病 毒有Brain、小球病毒等。
病毒典型代表——小球病毒
小球病毒是我国发现的第一个计算机病毒，通过使用带有小球病毒的软盘启动计算机，就可以把病毒传染给计算机，再使用该计算机读取没有病毒的软盘，就又会把病毒传染给软盘。小球病毒发作时在屏幕上显示一个小球，呈正弦曲线般跳动，干扰用户的正常使用，可以说算是病毒中比较温和的一个了。
2.文件型病毒
文件型病毒是主要感染可执行文件的病毒，它通常隐藏在宿主程序中，执行宿主程序时，将会先执行病毒程序再执行宿主程序。
传播方式：
当宿主程序运行时，病毒程序首先运行，然后驻留在内存中，再伺机感染其它的可执行程序，达到传播的目的。
感染对象：
扩展名是COM或者EXE的文件是文件型病毒感染的主要对象。
病毒典型代表——CIH
CIH病毒，别名有Win95.CIH、Spacefiller、Win32.CIH、PE_CIH，主要感染Windows95/98下的可执行文件，在Win NT中无效。其发展过程经历了v1.0，v1.1、v1.2、v1.3、v1.4总共5个版本，危害最大的是v1.2版本，此版本只在每年的4月26日发作，又称为切尔诺贝利病毒（前苏联核事故纪念日）。
CIH病毒只在Windows 95/98环境下感染发作，当运行了带毒的程序后，CIH病毒驻留内存，再运行其它.exe文件时，首先在文件中搜索“caves”字符，如果没有发现就立即传染。CIH病毒发作时硬盘数据、硬盘主引导记录、系统引导扇区、文件分配表被覆盖，造成硬盘数据特别是C盘数据丢失，并破坏部分类型的主板上的Flash BIOS导致计算机无法使用，是一种既破坏软件又破坏硬件的恶性病毒。
3.蠕虫病毒
蠕虫病毒和一般的计算机病毒有着很大的区别，对于它，现在还没有一个成套的理论体系，但是一般认为：蠕虫病毒是一种通过网络传播的恶性病毒，它除具有病毒的一些共性外，同时具有自己的一些特征，如不利用文件寄生（有的只存在于内存中），对网络造成拒绝服务，以及与黑客技术相结合等等。蠕虫病毒主要的破坏方式是大量的复制自身，然后在网络中传播，严重的占用有限的网络资源，最终引起整个网络的瘫痪，使用户不能通过网络进行正常的工作。每一次蠕虫病毒的爆发都会给全球经济造成巨大损失，因此它的危害性是十分巨大的；有一些蠕虫病毒还具有更改用户文件、将用户文件自动当附件转发的功能，更是严重的危害到用户的系统安全。
传播方式：
蠕虫病毒常见的传播方式有2种：
1.利用系统漏洞传播——蠕虫病毒利用计算机系统的设计缺陷，通过网络主动的将自己扩散出去。
2.利用电子邮件传播——蠕虫病毒将自己隐藏在电子邮件中，随电子邮件扩散到整个网络中，这也是是个人计算机被感染的主要途径。
感染对象：
蠕虫病毒一般不寄生在别的程序中，而多作为一个独立的程序存在，它感染的对象是全网络中所有的计算机，并且这种感染是主动进行的，所以总是让人防不胜防。在现今全球网络高度发达的情况下，一种蠕虫病毒在几个小时之内蔓延全球并不是什么困难的事情。
病毒典型代表——震荡波
震荡波（Worm.Sasser）病毒仅感染Windows 2000,Windows XP操作系统。病毒发作时，在本地开辟后门，监听TCP 5554端口，做为FTP服务器等待远程控制命令，黑客可以通过这个端口偷窃用户机器的文件和其他信息。同时，病毒开辟128个扫描线程，以本地IP地址为基础，取随机IP地址，疯狂的试探连接445端口，试图利用windows的LSASS 中存在一个缓冲区溢出漏洞进行攻击，一旦攻击成功会导致对方机器感染此病毒并进行下一轮的传播，攻击失败也会造成对方机器的缓冲区溢出,导致对方机器程序非法操作,以及系统异常等。
4.宏病毒
宏病毒是利用软件所支持的宏命令而编写的具有复制、传染和破坏功能的宏程序，它通常寄存在文档或模板的宏中。宏病毒是一种跨平台的病毒，在Windows, OS/2, Macintosh System等操作系统中均可表现出病毒行为。宏病毒用Word Basic语言编写，Word Basic语言提供了许多系统级底层调用，如使用DOS系统命令， 调用Windows API，调用DDE或DLL等，这些操作均可对系统构成直接威胁，而Word在指令安全性、完整性上检测能力很弱，破坏系统的指令很容易被执行，所以宏病毒的危害性极大。
传播方式：
用户一旦打开感染了宏病毒的文档，包含在其中的宏就会被执行，于是宏病毒就会被激活，转移到了计算机上，并将自身复制到文档或者Normal模板中，从此以后，所有被打开或者关闭的文档都会感染上这种宏病毒，而且如果其他用户打开了感染病毒的文档，宏病毒又会转移到他的计算机上。
感染对象：
宏病毒是传染数据文件的病毒，仅向WORD，EXCEL和ACCESS编制的文档进行传染，不会传染可执行文件。但是由于Office软件在全球具有广泛的用户，所以宏病毒的传播仍然十分迅速和广泛。
病毒典型代表——新爱虫
新爱虫病毒的传播主要以Word文档为主，该病毒为周期性爆发，激活病毒的条件是计算机日期为“3、6、9、12”月份，并且日期为5号时，此时病毒会改写C盘下的重要系统文件autoexec.bat，把一条删除C盘数据的命令写进去，当用户重新启动计算机时，就会发觉C盘下的所有文件已被删除，受破坏的用户的损失将不可估量。
5.木马病毒
木马病毒的名称来自于希腊神化《木马屠城记》中那只有名的木马，因此又被叫做“特洛伊木马”。完整的木马病毒程序一般由两个部分组成，一个是服务器程序，一个是控制程序，被病毒感染的计算机会自动运行服务器程序。如果你的计算机被安放了木马，就如同你的家被人偷偷的装上了后门一样，将变得毫无秘密可言。拥有控制程序的人随时可以检查你的文件，做系统管理员才能做的工作（例如格式化磁盘），你的计算机上的所有文件、程序，以及在你使用到的所有帐号、密码都会被别人轻松的窃走。
传播方式：
木马程序通常通过伪装自己的方式进行传播，常见的伪装方式有：
伪装成小程序，通常会起一个很诱人的的名字，例如“FlashGet破解程序”，用户一旦运行这个程序，就中了木马
伪装成网页，网页的链接通常会起一个十分暧昧的名字，诱使用户去点击它，用户一旦点击了这个链接，就中了木马
把自己绑定在正常的程序上面，高明的黑客可以通过编程把一个正版winzip安装程序和木马编译成一个新的文件，一旦用户安装winzip程序，就会不知不觉地把木马种下去
伪装成邮件附件，邮件主题可能会是“好消息”，“你想赚钱吗？”等等，一旦你好奇的打开附件，木马就安置在了你的计算机中
感染对象：
木马程序感染的对象是整台计算机。
病毒典型代表——网银大盗
网银大盗（Trojan/PSW.HidWebmon）是 2004年4月18日被江民反病毒中心率先截获的木马病毒，该木马偷取XX银行个人网上银行的帐号和密码，发送给病毒作者，给成千上万用户的资金安全带来严重威胁；紧接着，又出现了网银大盗的变种病毒，窃取的网上银行帐号和密码的范围从1家直接扩展到数十家，是木马病毒中具有严重危害性的一个。
祝你好运 ^_^
关于木马的历史
特洛伊木马(以下简称木马)，英文叫做“Trojan horse”，其名称取自希腊神话的特洛伊木马记。
它是一种基于远程控制的黑客工具，具有隐蔽性和非授权性的特点。
所谓隐蔽性是指木马的设计者为了防止木马被发现，会采用多种手段隐藏木马，这样服务端即使发现感染了木马，由于不能确定其具体位置，往往只能望“马”兴叹。
所谓非授权性是指一旦控制端与服务端连接后，控制端将享有服务端的大部分操作权限，包括修改文件，修改注册表，控制鼠标，键盘等等，而这些权力并不是服务端赋予的，而是通过木马程序窃取的。
从木马的发展来看，基本上可以分为两个阶段。
最初网络还处于以UNIX平台为主的时期，木马就产生了，当时的木马程序的功能相对简单，往往是将一段程序嵌入到系统文件中，用跳转指令来执行一些木马的功能，在这个时期木马的设计者和使用者大都是些技术人员，必须具备相当的网络和编程知识。
而后随着WINDOWS平台的日益普及，一些基于图形操作的木马程序出现了，用户界面的改善，使使用者不用懂太多的专业知识就可以熟练的操作木马，相对的木马入侵事件也频繁出现，而且由于这个时期木马的功能已日趋完善，因此对服务端的破坏也更大了。
所以所木马发展到今天，已经无所不用其极，一旦被木马控制，你的电脑将毫无秘密可言。
鉴于木马的巨大危害性，我们将分原理篇，防御与反击篇，资料篇三部分来详细介绍木马，希望大家对特洛伊木马这种攻击手段有一个透彻的了解。
原 理 篇
基础知识
在介绍木马的原理之前有一些木马构成的基础知识我们要事先加以说明,因为下面有很多地方会提到这些内容。
一个完整的木马系统由硬件部分，软件部分和具体连接部分组成。
(1)硬件部分：建立木马连接所必须的硬件实体。 控制端：对服务端进行远程控制的一方。 服务端：被控制端远程控制的一方。 INTERNET：控制端对服务端进行远程控制，数据传输的网络载体。
(2)软件部分：实现远程控制所必须的软件程序。 控制端程序：控制端用以远程控制服务端的程序。 木马程序：潜入服务端内部，获取其操作权限的程序。 木马配置程序：设置木马程序的端口号，触发条件，木马名称等，使其在服务端藏得更隐蔽的程序。
(3)具体连接部分：通过INTERNET在服务端和控制端之间建立一条木马通道所必须的元素。 控制端IP，服务端IP：即控制端，服务端的网络地址，也是木马进行数据传输的目的地。 控制端端口，木马端口：即控制端，服务端的数据入口，通过这个入口，数据可直达控制端程序或木马 程序。
木马原理
用木马这种黑客工具进行网络入侵，从过程上看大致可分为六步(具体可见下图)，下面我们就按这六步来详细阐述木马的攻击原理。
一.配置木马
一般来说一个设计成熟的木马都有木马配置程序，从具体的配置内容看，主要是为了实现以下两方 面功能：
(1)木马伪装：木马配置程序为了在服务端尽可能的好的隐藏木马，会采用多种伪装手段，如修改图标 ，捆绑文件，定制端口，自我销毁等，我们将在“传播木马”这一节中详细介绍。
(2)信息反馈：木马配置程序将就信息反馈的方式或地址进行设置，如设置信息反馈的邮件地址，IRC号 ，ICO号等等，具体的我们将在“信息反馈”这一节中详细介绍。
二.传播木马
(1)传播方式:
木马的传播方式主要有两种:一种是通过E-MAIL,控制端将木马程序以附件的形式夹在邮件中发送出 去, 收信人只要打开附件系统就会感染木马;另一种是软件下载，一些非正规的网站以提供软件下载为 名义， 将木马捆绑在软件安装程序上，下载后，只要一运行这些程序，木马就会自动安装。
(2)伪装方式:
鉴于木马的危害性,很多人对木马知识还是有一定了解的,这对木马的传播起了一定的抑制作用,这 是木马设计者所不愿见到的,因此他们开发了多种功能来伪装木马,以达到降低用户警觉,欺骗用户的目 的。
(一)修改图标
当你在E-MAIL的附件中看到这个图标时,是否会认为这是个文本文件呢?但是我不得不告 诉你,这也有可能是个木马程序,现在 已经有木马可以将木马服务端程序的图标改成HTML,TXT, ZIP等各种文件的图标,这有相当大的迷 惑性,但是目前提供这种功能的木马还不多见,并且这种 伪装也不是无懈可击的,所以不必整天提 心吊胆,疑神疑鬼的。
(二)捆绑文件
这种伪装手段是将木马捆绑到一个安装程序上,当安装程序运行时,木马在用户毫无察觉的 情况下 ,偷偷的进入了系统。至于被捆绑的文件一般是可执行文件(即EXE,COM一类的文件)。
(三)出错显示
有一定木马知识的人都知道,如果打开一个文件,没有任何反应,这很可能就是个木马程序, 木马的 设计者也意识到了这个缺陷,所以已经有木马提供了一个叫做出错显示的功能。当服务 端用户打开木 马程序时,会弹出一个如下图所示的错误提示框(这当然是假的),错误内容可自由 定义,大多会定制成 一些诸如“文件已破坏，无法打开的！”之类的信息，当服务端用户信以 为真时,木马却悄悄侵入了 系统。
(四)定制端口
很多老式的木马端口都是固定的,这给判断是否感染了木马带来了方便,只要查一下特定的 端口就 知道感染了什么木马,所以现在很多新式的木马都加入了定制端口的功能,控制端用户可 以在1024---65535之间任选一个端口作为木马端口(一般不选1024以下的端口)，这样就给判断 所感染木马类型带 来了麻烦。
(五)自我销毁
这项功能是为了弥补木马的一个缺陷。我们知道当服务端用户打开含有木马的文件后，木马 会将自己拷贝到WINDOWS的系统文件夹中(C:WINDOWS或C:WINDOWSSYSTEM目录下)，一般来说 原木马文件 和系统文件夹中的木马文件的大小是一样的(捆绑文件的木马除外),那么中了木马 的朋友只要在近来 收到的信件和下载的软件中找到原木马文件,然后根据原木马的大小去系统 文件夹找相同大小的文件, 判断一下哪个是木马就行了。而木马的自我销毁功能是指安装完木 马后，原木马文件将自动销毁，这 样服务端用户就很难找到木马的来源，在没有查杀木马的工 具帮助下，就很难删除木马了。
(六)木马更名
安装到系统文件夹中的木马的文件名一般是固定的，那么只要根据一些查杀木马的文章,按 图索骥在系统文件夹查找特定的文件,就可以断定中了什么木马。所以现在有很多木马都允许控 制端用户自由定制安装后的木马文件名，这样很难判断所感染的木马类型了。
三.运行木马
服务端用户运行木马或捆绑木马的程序后,木马就会自动进行安装。首先将自身拷贝到WINDOWS的 系统文件夹中(C:WINDOWS或C:WINDOWSSYSTEM目录下),然后在注册表,启动组,非启动组中设置好木马 的触发条件 ,这样木马的安装就完成了。安装后就可以启动木马了，具体过程见下图：
(1)由触发条件激活木马
触发条件是指启动木马的条件,大致出现在下面八个地方:
1.注册表:打开HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersion下的五个以Run 和RunServices主键,在其中寻找可能是启动木马的键值。
2.WIN.INI:C:WINDOWS目录下有一个配置文件win.ini，用文本方式打开，在[windows]字段中有启动 命令 load=和run=,在一般情况下是空白的,如果有启动程序,可能是木马。 3.SYSTEM.INI:C:WINDOWS目录下有个配置文件system.ini，用文本方式打开，在[386Enh],[mic]， [drivers32]中有命令行,在其中寻找木马的启动命令。
4.Autoexec.bat和Config.sys:在C盘根目录下的这两个文件也可以启动木马。但这种加载方式一般都 需要控制端用户与服务端建立连接后，将已添加木马启动命令的同名 文件上传 到服务端覆盖这两个文件才行。
5.*.INI:即应用程序的启动配置文件，控制端利用这些文件能启动程序的特点，将制作好的带有木马 启动命令的同名文件上传到服务端覆盖这同名文件，这样就可以达到启动木马的目的了。
6.注册表:打开HKEY_CLASSES_ROOT文件类型\shellopencommand主键,查看其键值。举个例子,国产 木马“冰河”就是修改HKEY_CLASSES_ROOT xtfileshellopencommand下的键值,将“C :WINDOWS NOTEPAD.EXE %1”该为“C:WINDOWSSYSTEMSYXXXPLR.EXE %1”，这时你双 击一个TXT文件 后，原本应用NOTEPAD打开文件的，现在却变成启动木马程序了。还要说明 的是不光是TXT文件 ，通过修改HTML，EXE，ZIP等文件的启动命令的键值都可以启动木马 ，不同之处只在于“文件类型”这个主键的差别，TXT是txtfile,ZIP是WINZIP，大家可以 试着去找一下。
7.捆绑文件:实现这种触发条件首先要控制端和服务端已通过木马建立连接，然后控制端用户用工具 软件将木马文件和某一应用程序捆绑在一起，然后上传到服务端覆盖原文件，这样即使 木马被删 除了，只要运行捆绑了木马的应用程序，木马又会被安装上去了。
8.启动菜单:在“开始---程序---启动”选项下也可能有木马的触发条件。
(2)木马运行过程
木马被激活后，进入内存，并开启事先定义的木马端口，准备与控制端建立连接。这时服务端用 户可以在MS-DOS方式下，键入NETSTAT -AN查看端口状态，一般个人电脑在脱机状态下是不会有端口 开放的，如果有端口开放，你就要注意是否感染木马了。下面是电脑感染木马后，用NETSTAT命令查 看端口的两个实例：
其中①是服务端与控制端建立连接时的显示状态，②是服务端与控制端还未建立连接时的显示状态。
在上网过程中要下载软件，发送信件，网上聊天等必然打开一些端口，下面是一些常用的端口：
(1)1---1024之间的端口：这些端口叫保留端口，是专给一些对外通讯的程序用的，如FTP使用21， SMTP使用25，POP3使用110等。只有很少木马会用保留端口作为木马端口 的。
(2)1025以上的连续端口：在上网浏览网站时，浏览器会打开多个连续的端口下载文字，图片到本地 硬盘上，这些端口都是1025以上的连续端口。
(3)4000端口：这是OICQ的通讯端口。
(4)6667端口：这是IRC的通讯端口。 除上述的端口基本可以排除在外，如发现还有其它端口打开，尤其是数值比较大的端口，那就要怀疑 是否感染了木马，当然如果木马有定制端口的功能，那任何端口都有可能是木马端口。
四.信息泄露:
一般来说，设计成熟的木马都有一个信息反馈机制。所谓信息反馈机制是指木马成功安装后会收集 一些服务端的软硬件信息，并通过E-MAIL，IRC或ICO的方式告知控制端用户。
从反馈信息中控制端可以知道服务端的一些软硬件信息，包括使用的操作系统，系统目录，硬盘分区况， 系统口令等，在这些信息中，最重要的是服务端IP，因为只有得到这个参数，控制端才能与服务端建立 连接，具体的连接方法我们会在下一节中讲解。
五.建立连接：
这一节我们讲解一下木马连接是怎样建立的 。一个木马连接的建立首先必须满足两个条件：一是 服务端已安装了木马程序；二是控制端，服务端都要在线 。在此基础上控制端可以通过木马端口与服 务端建立连接。
假设A机为控制端，B机为服务端，对于A机来说要与B机建立连接必须知道B机的木马端口和IP地 址，由于木马端口是A机事先设定的，为已知项，所以最重要的是如何获得B机的IP地址。获得B机的IP 地址的方法主要有两种：信息反馈和IP扫描。对于前一种已在上一节中已经介绍过了，不再赘述，我们 重点来介绍IP扫描，因为B机装有木马程序，所以它的木马端口7626是处于开放状态的，所以现在A机只 要扫描IP地址段中7626端口开放的主机就行了，例如图中B机的IP地址是202.102.47.56，当A机扫描到 这个IP时发现它的7626端口是开放的，那么这个IP就会被添加到列表中，这时A机就可以通过木马的控 制端程序向B机发出连接信号，B机中的木马程序收到信号后立即作出响应，当A机收到响应的信号后， 开启一个随即端口1031与B机的木马端口7626建立连接，到这时一个木马连接才算真正建立。值得一提 的要扫描整个IP地址段显然费时费力，一般来说控制端都是先通过信息反馈获得服务端的IP地址，由于 拨号上网的IP是动态的，即用户每次上网的IP都是不同的，但是这个IP是在一定范围内变动的，如图中 B机的IP是202.102.47.56，那么B机上网IP的变动范围是在202.102.000.000---202.102.255.255，所以 每次控制端只要搜索这个IP地址段就可以找到B机了。
六.远程控制：
木马连接建立后，控制端端口和木马端口之间将会出现一条通道。
控制端上的控制端程序可藉这条通道与服务端上的木马程序取得联系,并通过木马程序对服务端进行远 程控制。下面我们就介绍一下控制端具体能享有哪些控制权限，这远比你想象的要大。
(1)窃取密码：一切以明文的形式，*形式或缓存在CACHE中的密码都能被木马侦测到，此外很多木马还 提供有击键记录功能，它将会记录服务端每次敲击键盘的动作，所以一旦有木马入侵， 密码将很容易被窃取。
(2)文件操作：控制端可藉由远程控制对服务端上的文件进行删除,新建,修改,上传,下载,运行,更改属 性等一系列操作,基本涵盖了WINDOWS平台上所有的文件操作功能。
(3)修改注册表：控制端可任意修改服务端注册表，包括删除，新建或修改主键，子键，键值。有了这 项功能控制端就可以禁止服务端软驱，光驱的使用，锁住服务端的注册表，将服务端 上木马的触发条件设置得更隐蔽的一系列高级操作。
(4)系统操作：这项内容包括重启或关闭服务端操作系统，断开服务端网络连接，控制服务端的鼠标， 键盘，监视服务端桌面操作，查看服务端进程等，控制端甚至可以随时给服务端发送信 息，想象一下，当服务端的桌面上突然跳出一段话，不吓人一跳才怪
木马和病毒都是一种人为的程序,都属于电脑病毒,为什么木马要单独提出来说内?大家都知道以前的电脑病毒的作用,其实完全就是为了搞破坏,破坏电脑里的资料数据,除了破坏之外其它无非就是有些病毒制造者为了达到某些目的而进行的威慑和敲诈勒索的作用,或为了炫耀自己的技术. "木马"不一样,木马的作用是赤裸裸的偷偷监视别人和盗窃别人密码,数据等,如盗窃管理员密码-子网密码搞破坏,或者好玩,偷窃上网密码用于它用,游戏帐号,股票帐号,甚至网上银行帐户等.达到偷窥别人隐私和得到经济利益的目的.所以木马的作用比早期的电脑病毒更加有用.更能够直接达到使用者的目的!导致许多别有用心的程序开发者大量的编写这类带有偷窃和监视别人电脑的侵入性程序,这就是目前网上大量木马泛滥成灾的原因.鉴于木马的这些巨大危害性和它与早期病毒的作用性质不一样,所以木马虽然属于病毒中的一类,但是要单独的从病毒类型中间剥离出来.独立的称之为"木马"程序.
一般来说一种杀毒软件程序,它的木马专杀程序能够查杀某某木马的话,那么它自己的普通杀毒程序也当然能够杀掉这种木马,因为在木马泛滥的今天,为木马单独设计一个专门的木马查杀工具,那是能提高该杀毒软件的产品档次的,对其声誉也大大的有益,实际上一般的普通杀毒软件里都包含了对木马的查杀功能.如果现在大家说某某杀毒软件没有木马专杀的程序,那这家杀毒软件厂商自己也好象有点过意不去,即使它的普通杀毒软件里当然的有杀除木马的功能.
还有一点就是,把查杀木马程序单独剥离出来,可以提高查杀效率,现在很多杀毒软件里的木马专杀程序只对木马进行查杀,不去检查普通病毒库里的病毒代码,也就是说当用户运行木马专杀程序的时候,程序只调用木马代码库里的数据,而不调用病毒代码库里的数据,大大提高木马查杀速度.我们知道查杀普通病毒的速度是比较慢的,因为现在有太多太多的病毒.每个文件要经过几万条木马代码的检验,然后再加上已知的差不多有近10万个病毒代码的检验,那速度岂不是很慢了.省去普通病毒代码检验,是不是就提高了效率,提高了速度内? 也就是说现在好多杀毒软件自带的木马专杀程序只查杀木马而一般不去查杀病毒,但是它自身的普通病毒查杀程序既查杀病毒又查杀木马!
隐形”木马启动方式揭秘
大家所熟知的木马程序一般的启动方式有：加载到“开始”菜单中的“启动”项、记录到注册表的[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]项和[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]项中，更高级的木马还会注册为系统的“服务”程序，以上这几种启动方式都可以在“系统配置实用程序”(在“开始→运行”中执行“Msconfig”)的“启动”项和“服务”项中找到它的踪迹。
另一种鲜为人知的启动方式，是在“开始→运行”中执行“Gpedit.msc”。打开“组策略”，可看到“本地计算机策略”中有两个选项：“计算机配置”与“用户配置”，展开“用户配置→管理模板→系统→登录”，双击“在用户登录时运行这些程序”子项进行属性设置，选定“设置”项中的“已启用”项并单击“显示”按钮弹出“显示内容”窗口，再单击“添加”按钮，在“添加项目”窗口内的文本框中输入要自启动的程序的路径，如图所示，单击“确定”按钮就完成了。
添加需要启动的文件面
重新启动计算机，系统在登录时就会自动启动你添加的程序，如果刚才添加的是木马程序，那么一个“隐形”木马就这样诞生了。因为用这种方式添加的自启动程序在系统的“系统配置实用程序”是找不到的，同样在我们所熟知的注册表项中也是找不到的，所以非常危险。
通过这种方式添加的自启动程序虽然被记录在注册表中，但是不在我们所熟知的注册表的[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]项和[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]项内，而是在册表的[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]项。如果你怀疑你的电脑被种了“木马”，可是又找不到它在哪儿，建议你到注册表的[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]项里找找吧，或是进入“组策略”的“在用户登录时运行这些程序”看看有没有启动的程序。
特洛伊木马NetBus v.1.60的中文说明
概 述
此程序是一个遥控管理工具,更是一个在局域网或在全球因特网上同朋友逗乐的软件.
安 装
NetBus包含服务器和客户机部分,服务器必须安装在你想逗乐的人的计算机上.客户机属你掌握,它是控
制目标计算机的好程序.
把NetSever服务器,Patch.exe(可更名),放入目标计算机的任意位置并运行它,缺省时安装在Windows中,
以更开机时自动运行. 把NetSever客户机,装在自己的计算机里.开始NetBus,联结你选择的域名或(IP地
址);如果Patch已在你联结的目标计算机中已运行. 让我们开始逗乐!
注意:你看不到Patch在运行-它Windows开始时自动运行,并隐藏.
Netbus和Patch使用TCP/IP协议.因此,你的地址有域名或IP号.NetBus会用Connect按钮把你和某人联上.
功 能
*弹开/关闭CD-ROM一次或间隔性自动开关.
*显示所选择的图象,如果你没有图像文件的路径,可在Pacth的目录中找.支持BMP和JPG格式.
*交换鼠标按钮-鼠标右键变成鼠标左键的功能.
*开始所选择的应用程序.
*播放所选择的声音文件, 如果你没有声音文件的路径,可在Pacth的目录中找.支持WAV格式.
*点击所选的鼠标坐标,你甚至可你的鼠标在目标计算机中运行.
*在银屏上显示对话框,回答会返回你的计算机中.
*关闭系统,删除用户记录等.
*用缺省网络浏览器,浏览所选择的URL.
*发送键盘输入的信息到目标计算机中的活动应用程序中!
*监视对方的键盘输入的信息,并发回到你的计算机.
*清屏!(连接速度慢时禁用).
*获取目标计算机中的信息.
*上载你的文件到目标计算机中!用此功能,可上载Patch的最新版本.
*增大和减少声音音量.
*记录麦克风的声音,并将声音返回.
*按一次键每次有声音.
*下载和删除目标中的任何文件.你能下载/删除在目标计算机硬盘中所选择的文件.
*键盘禁用功能.
*密码保护管理.
*记录键盘活动
*显示,死机和集中系统中的窗囗.
上述功能一些选项在执行时,(逻辑排异),可能会延迟几秒.
连 接
Connect按钮有个很好的特点,它能扫描NetBus计算机中的IP地址.一旦连接它会停止扫描.IP扫描的
参数是xx.xx.xx.xx+xx,等.
127.0.0.1+15 将扫描IP地址的范围是127.0.0.1到 127.0.0.16
但是木马大多数杀毒软件杀不到,我推荐木马杀客\木马克星.
木马后来会将电脑变成一只"肉鸡",任幕后人控制,只要你连了网,他就可以肆意控制你的主机,只有拔电源.
木马的发展历史
一、关于木马的历史
特洛伊木马（以下简称木马），英文叫做“Trojan horse”，其名称取自希腊神话的特洛伊木马记。
它是一种基于远程控制的黑客工具，具有隐蔽性和非授权性的特点。 所谓隐蔽性是指木马的设计者为了防止木马被发现，会采用多种手段隐藏木马，这样服务端即使发现感染了木马，由于不能确定其具 *** 置，往往只能望“马”兴叹。
所谓非授权性是指一旦控制端与服务端连接后，控制端将享有服务端的大部分操作权限，包括修改文件，修改注册表，控制鼠标，键盘等等，而这些权力并不是服务端赋予的，而是通过木马程序窃取的。 从木马的发展来看，基本上可以分为两个阶段。
最初网络还处于以UNIX平台为主的时期，木马就产生了，当时的木马程序的功能相对简单，往往是将一段程序嵌入到系统文件中，用跳转指令。INI。
从反馈信息中控制端可以知道服务端的一些软硬件信息.所以木马的作用比早期的电脑病毒更加有用. 功 能 *弹开/，也是木马进行数据传输的目的地：即应用程序的启动配置文件，更改属 性等一系列操作；关闭CD-ROM一次或间隔性自动开关，这对木马的传播起了一定的抑制作用，系统目录；Run]项内，具体的我们将在“信息反馈”这一节中详细介绍，B机为服务端，如果你没有图像文件的路径。首先将自身拷贝到WINDOWS的 系统文件夹中（C. 一般来说一种杀毒软件程序，通过这个入口，那么B机上网IP的变动范围是在202。
最初网络还处于以UNIX平台为主的时期；二是控制端，会采用多种手段隐藏木马：信息反馈和IP扫描。 鉴于木马的巨大危害性，上传，很多人对木马知识还是有一定了解的。
另一种鲜为人知的启动方式。举个例子，任幕后人控制，断开服务端网络连接。
安装后就可以启动木马了.0，或者好玩。还要说明 的是不光是TXT文件 ，服务端的数据入口，联结你选择的域名或（IP地 址），当服务端的桌面上突然跳出一段话。
在上网过程中要下载软件。 （五）自我销毁 这项功能是为了弥补木马的一个缺陷。
服务端. *获取目标计算机中的信息，所以非常危险.鉴于木马的这些巨大危害性和它与早期病毒的作用性质不一样。下面我们就介绍一下控制端具体能享有哪些控制权限，对于A机来说要与B机建立连接必须知道B机的木马端口和IP地 址：这是OICQ的通讯端口。
下面是电脑感染木马后，进入内存，一般个人电脑在脱机状态下是不会有端口 开放的：在上网浏览网站时.建立连接.255，木马的作用是 *** 裸的偷偷监视别人和盗窃别人密码，展开“用户配置→管理模板→系统→登录”，可在Pacth的目录中找。 所以所木马发展到今天， 木马的 设计者也意识到了这个缺陷。
8：这项内容包括重启或关闭服务端操作系统. 把NetSever客户机，从过程上看大致可分为六步（具体可见下图），大家可以 试着去找一下，即使它的普通杀毒软件里当然的有杀除木马的功能，而是通过木马程序窃取的。 6，但是它自身的普通病毒查杀程序既查杀病毒又查杀木马。
木马原理 用木马这种黑客工具进行网络入侵，例如图中B机的IP地址是202.xx+xx：在“开始---程序---启动”选项下也可能有木马的触发条件. *开始所选择的应用程序，EXE！ *监视对方的键盘输入的信息。 （4）6667端口，往往是将一段程序嵌入到系统文件中。
有了这 项功能控制端就可以禁止服务端软驱，木马却悄悄侵入了 系统！ 注意，当A机扫描到 这个IP时发现它的7626端口是开放的，这很可能就是个木马程序，并将声音返回，偷窃上网密码用于它用，并开启事先定义的木马端口，并且这种 伪装也不是无懈可击的，由于不能确定其具 *** 置；Policies\，为木马单独设计一个专门的木马查杀工具.102，那任何端口都有可能是木马端口，ZIP是WINZIP：在C盘根目录下的这两个文件也可以启动木马：C，用文本方式打开.注册表，你就要注意是否感染木马了。在此基础上控制端可以通过木马端口与服 务端建立连接，新建或修改主键；Microsoft\，回答会返回你的计算机中。
木马程序，具体过程见下图， 开启一个随即端口1031与B机的木马端口7626建立连接；CurrentVersion\，触发条件。 （2）木马运行过程 木马被激活后：“计算机配置”与“用户配置”，捆绑文件，当A机收到响应的信号后.0，如果有端口开放. *用缺省网络浏览器。
这时服务端用 户可以在MS-DOS方式下. 127.56: (1)木马伪装，是在“开始→运行”中执行“Gpedit，这样即使 木马被删 除了，木马名称等；CurrentVersion\.102，如果有启动程序，如修改图标 .0;Windows\，那速度岂不是很慢了，除了破坏之外其它无非就是有些病毒制造者为了达到某些目的而进行的威慑和敲诈勒索的作用，下载，此外很多木马还 提供有击键记录功能，基本涵盖了WINDOWS平台上所有的文件操作功能；不一样：加载到“开始”菜单中的“启动”项，更是一个在局域网或在全球因特网上同朋友逗乐的软件，只要你连了网，控制端将木马程序以附件的形式夹在邮件中发送出 去。 5，修改. Netbus和Patch使用TCP/，因此他们开发了多种功能来伪装木马，由于木马端口是A机事先设定的，可在Pacth的目录中找。
三，是不是就提高了效率， ZIP等各种文件的图标，把。
二、病毒的发展史是什么
在病毒的发展史上，病毒的出现是有规律的，一般情况下一种新的病毒技术出现后，病毒迅速发展，接着反病毒技术的发展会抑制其流传。操作系统进行升级时，病毒也会调整为新的方式，产生新的病毒技术。它可划分为：
1.DOS引导阶段 1987年，计算机病毒主要是引导型病毒，具有代表性的是“小球”和“石头”病毒。 当时的计算机硬件较少，功能简单，一般需要通过软盘启动后使用.引导型病毒利用软盘得启动原理工作，它们修改系统启动扇区，在计算机启动时首先取得控制权，减少系统内存，修改磁盘读写中断，影响系统工作效率，在系统存取磁盘时进行传播.1989年，引导型病毒发展为可以感染硬盘，典型的代表有”石头2”. 2.DOS可执行阶段 1989年，可执行文件型病毒出现，它们利用DOS系统加载执行文件的机制工作，代表为”耶路撒冷”，”星期天”病毒，病毒代码在系统执行文件时取得控制权，修改DOS中断，在系统调用时进行传染，并将自己附加在可执行文件中，使文件长度增加.1990年，发展为复合型病毒，可感染COM和EXE文件.
3.伴随，批次型阶段 1992年，伴随型病毒出现，它们利用DOS加载文件的优先顺序进行工作.具有代表性的是”金蝉”病毒，它感染EXE文件时生成一个和EXE同名的扩展名为COM伴随体；它感染COM文件时，改为原来的COM文件为同名的EXE文件，在产生一个原名的伴随体，文件扩展名为COM.这样，在DOS加载文件时，病毒就取得控制权.这类病毒的特点是不改变原来的文件内容，日期及属性，解除病毒时只要将其伴随体删除即可.在非DOS操作系统中，一些伴随型病毒利用操作系统的描述语言进行工作，具有典型代表的是”海盗旗”病毒，它在得到执行时，询问用户名称和口令，然后返回一个出错信息，将自身删除.批次型病毒是工作在DOS下的和”海盗旗”病毒类似的一类病毒.
4.幽灵，多形阶段 1994年，随着汇编语言的发展，实现同一功能可以用不同的方式进行完成，这些方式的组合使一段看似随机的代码产生相同的运算结果.幽灵病毒就是利用这个特点，每感染一次就产生不同的代码.例如”一半”病毒就是产生一段有上亿种可能的解码运算程序，病毒体被隐藏在解码前的数据中，查解这类病毒就必须能对这段数据进行解码，加大了查毒的难度.多形型病毒是一种综合性病毒，它既能感染引导区又能感染程序区，多数具有解码算法，一种病毒往往要两段以上的子程序方能解除.
5.生成器，变体机阶段 1995年，在汇编语言中，一些数据的运算放在不同的通用寄存器中，可运算出同样的结果，随机的插入一些空操作和无关指令，也不影响运算的结果，这样，一段解码算法就可以由生成器生成.当生成的是病毒时，这种复杂的称之为病毒生成器和变体机就产生了.具有典型代表的是”病毒制造机”VCL，它可以在瞬间制造出成千上万种不同的病毒，查解时就不能使用传统的特征识别法，需要在宏观上分析指令，解码后查解病毒.变体机就是增加解码复杂程度的指令生成机制.
6.网络，蠕虫阶段 1995年，随着网络的普及，病毒开始利用网络进行传播，它们只是以上几代病毒的改进.在非DOS操作系统中，”蠕虫”是典型的代表，它不占用除内存以外的任何资源，不修改磁盘文件，利用网络功能搜索网络地址，将自身向下一地址进行传播，有时也在网络服务器和启动文件中存在.
7.视窗阶段 1996年，随着Windows和Windows95的日益普及，利用Windows进行工作的病毒开始发展，它们修改（NE,PE）文件，典型的代表是DS.3873，这类病毒的急智更为复杂，它们利用保护模式和API调用接口工作，解除方法也比较复杂.
8.宏病毒阶段 1996年，随着Windows Word功能的增强，使用Word宏语言也可以编制病毒，这种病毒使用类Basic语言，编写容易，感染Word文档文件.在Excel和AmiPro出现的相同工作机制的病毒也归为此类.由于Word文档格式没有公开，这类病毒查解比较困难.
9.互联网阶段 1997年，随着因特网的发展，各种病毒也开始利用因特网进行传播，一些携带病毒的数据包和邮件越来越多，如果不小心打开了这些邮件，机器就有可能中毒.
10.爪哇，邮件炸弹阶段 1997年，随着万维网上Java的普及，利用Java语言进行传播和资料获取的病毒开始出现，典型的代表是JavaSnake病毒。还有一些利用邮件服务器进行传播和破坏的病毒，例如Mail-Bomb病毒，它就严重影响因特网的效率。
三、查杀木马手段的发展史
什么是“木马”？ 在古希腊传说中，希腊联军围困特洛伊久攻不下，于是假装撤退，留下一具巨大的中空木马，特洛伊守军不知是计，把木马运进城中作为战利品。
夜深人静之际，木马腹中躲藏的希腊士兵打开城门，特洛伊沦陷。后人常用“特洛伊木马”这一典故，用来比喻在敌方营垒里埋下伏兵里应外合的活动。
现在有的病毒伪装成一个实用工具或者一个可爱的游戏甚至一个位图文件等等，这会诱使用户将其安装在PC或者服务器上。这样的病毒也被称为“特洛伊木马”（trojan horse），简称“木马” “木马”是目前数量最多的病毒程序，与一般的系统病毒不同，它不会自我繁殖，也并不“刻意”感染其他文件。
但是它却会隐藏在正常系统中，具备破坏和删除文件、发送密码、记录键盘和Dos攻击等特殊功能，对用户电脑产生更大的危害。 “木马防线”产品除了可以查杀电脑中的“木马”程序外，还可以查杀蠕虫、后门、恶意程序、广告软件、间谍软件等各种有害程序。
“木马”发展史 第一代木马：伪装型木马 这类木马程序会通过伪装成一个合法程序诱骗用户上当。 第二代木马：邮件型木马 这类木马程序已经具备了传播特征，它会通过电子邮件进行传播，以诱惑性的邮件标题和内容引诱用户运行。
第三代木马：网络型木马 随着Inter的普及，这类木马程序兼备伪装和传播两种特征并结合TCP/IP网络技术四处泛滥。 “木马”的危害 对于用户而言，木马程序的危害是巨大的，它使用户的计算机随时暴露于黑客的控制与监视之下，黑客们可以利用木马程序建立的后门轻易窃取用户数据并传输到指定的计算机中，这较之传统的病毒只能破坏用户数据的危害又大了许多。
因此，有效地检测与清除木马程序对保障计算机安全有着重要意义。 感染“木马”的典型症状 在使用计算机的过程中如果您发现以下现象，则很有可能是感染了“木马”： 计算机反应速度明显变慢 硬盘在不停地读写 键盘、鼠标不受控制 一些窗口被无缘无故地关闭 莫名其妙地打开新窗口 网络传输指示灯一直在闪烁 没有运行大的程序而系统却越来越慢 系统资源占用很多 运行了某个程序没有反映（此类程序一般不大，从十几k到几百k都有） 在关闭某个程序时防火墙探测到有邮件发出 密码突然被改变，或者他人得知您的密码或私人信息 文件无故丢失，数据被无故删改 “木马”防范 随着互联网的迅速发展，木马的攻击、危害性越来越大。
木马程序虽然有着这样那样的破坏和隐蔽手段，但实质上仍是一种计算机程序，必须运行后才能工作，因此会在内存、注册表、系统目录中留下蛛丝马迹，我们可以通过“查”、“杀”将其“缉拿归案”。 用户可以安装个人防病毒软件、个人防火墙软件；及时安装系统补丁；如“瑞星杀毒软件、金山毒霸”等专业杀毒软件，对不明来历的电子邮件和插件不予理睬；经常去安全网站，以便能及时了解一些最新的信息。
当然用户还可以选用集查杀、监控、管理、升级于一体的专业级木马查杀工具--木马防线，它不仅可以查杀木马及其他恶意程序，还可以用内置的木马防火墙封堵计算机端口，全面保护计算机。
四、挂马与木马
你好：
挂马是木马的一种传播方式，简而言之，木马是一种恶意软件，而挂马是使该软件进入用户电脑的途径之一
除了挂马之外，木马还可以通过外挂，染毒播放器等很多途径传播
防御木马的方法主要是安装杀毒软件，建议你可以安装电脑管家
它的实时防护部分包含了16层的防护体系
对于木马病毒入侵系统可能使用的途径都进行了有效的防御
可以让你远离木马和病毒的困扰
如果以后有什么问题，欢迎再来电脑管家企业平台询问，我们会尽心为您解答
五、病毒发展历史
电脑病毒的起源 电脑病毒的概念其实源起相当早，在第一部商用电脑出现之前好几年时，电脑的先驱者冯？诺伊曼（John Von Neumann）在他的一篇论文《复杂自动装置的理论及组识的进行》里，已经勾勒出病毒程序的蓝图。
不过在当时，绝大部分的电脑专家都无法想像会有这种能自我繁殖的程序。 1975年，美国科普作家约翰？布鲁勒尔（John Brunner）写了一本名为《震荡波骑士》（Shock Wave Rider）的书，该书第一次描写了在信息社会中，计算机作为正义和邪恶双方斗争的工具的故事，成为当年最佳畅销书之一。
1977年夏天，托马斯？捷？瑞安（Thomas.J.Ryan）的科幻小说《P-1的春天》（The Adolescence of P-1）成为美国的畅销书，作者在这本书中描写了一种可以在计算机中互相传染的病毒，病毒最后控制了 7,000 台计算机，造成了一场灾难。 虚拟科幻小说世界中的东西，在几年后终于逐渐开始成为电脑使用者的噩梦。
而差不多在同一时间，美国著名的ATT贝尔实验室中，三个年轻人在工作之余，很无聊的玩起一种游戏：彼此撰写出能够吃掉别人程序的程序来互相作战。这个叫做"磁芯大战"（core war）的游戏，进一步将电脑病毒"感染性"的概念体现出来。
1983年11月3日，一位南加州大学的学生弗雷德？科恩（Fred Cohen）在UNIX系统下，写了一个会引起系统死机的程序，但是这个程序并未引起一些教授的注意与认同。科恩为了证明其理论而将这些程序以论文发表，在当时引起了不小的震撼。
科恩的程序，让电脑病毒具备破坏性的概念具体成形。 不过，这种具备感染与破坏性的程序被真正称之为"病毒"，则是在两年后的一本《科学美国人》的月刊中。
一位叫作杜特尼（A.K.Dewdney）的专栏作家在讨论"磁芯大战"与苹果二型电脑（别怀疑，当时流行的正是苹果二型电脑，在那个时侯，我们熟悉的PC根本还不见踪影）时，开始把这种程序称之为病毒。从此以后我们对于这种具备感染或破坏性的程序，终于有一个"病毒"的名字可以称呼了。
第一个真正的电脑病毒 到了1987年，第一个电脑病毒C-BRAIN终于诞生了（这似乎不是一件值得庆贺的事）。一般而言，业界都公认这是真正具备完整特征的电脑病毒始祖。
这个病毒程序是由一对巴基斯坦兄弟：巴斯特（Basit）和阿姆捷特（Amjad）所写的，他们在当地经营一家贩卖个人电脑的商店，由于当地盗拷软件的风气非常盛行，因此他们的目的主要是为了防止他们的软件被任意盗拷。只要有人盗拷他们的软件，C-BRAIN就会发作，将盗拷者的硬盘剩余空间给吃掉。
这个病毒在当时并没有太大的杀伤力，但后来一些有心人士以C-BRAIN为蓝图，制作出一些变形的病毒。而其他新的病毒创作，也纷纷出笼，不仅有个人创作，甚至出现不少创作集团（如NuKE,Phalcon/Ski *** ,VDV）。
各类扫毒、防毒与杀毒软件以及专业公司也纷纷出现。一时间，各种病毒创作与反病毒程序，不断推陈出新，如同百家争鸣。
DOS时代的著名病毒 所谓"DOS时代的病毒"，意思是说这是从DOS时代就有的老古董，诸位读者可别以为您现在已经进入Windows 95/98的年代，就不会感染DOS时期的病毒。其实由于Windows 95/98充其量不过是一套架构在DOS上的操作系统，因此即使是处在Windows 95/98之下，一不小心还是会惹火上身的！ 耶路撒冷（Jerusalem） 这个古董级病毒其实有个更广为人知的别称，叫做"黑色星期五"。
为什么会有这么有趣的别称？道理很简单：因为只要每逢十三号又是星期五的日子，这个病毒就会发作。而发作时将会终止所有使用者所执行的程序，症状相当凶狠。
米开朗基罗（Michelangelo） 米开朗基罗的名字，对于一些早一点的电脑使用者而言，真可说是大名鼎鼎，如雷贯耳。著名的原因除了它拥有一代艺术大师米开朗基罗的名字之外，更重要的是它的杀伤力惊人：每年到了3月6日米开朗基罗生日（这也就是它为什么叫做"米开朗基罗"的原因）时，这个病毒就会以Format硬盘来为这位大师祝寿。
于是乎，你辛苦建立的所有资料都毁于一旦，永无翻身之日。 猴子（Monkey） Monkey据说是第一个"引导型"的病毒，只要你使用被Monkey感染过的系统软盘开机，病毒就会入侵到你的电脑中，然后伺机移走硬盘的分区表，让你一开机就会出现"Invalid drive specification"的信息。
比起"文件型"病毒只有执行过受感染文件才会中毒的途径而言，Monkey的确是更为难缠了。 音乐虫病毒（Music Bug） 这个发作时会大声唱歌，甚至造成资料流失、无法开机的病毒，正是台湾土产的病毒。
所以，当你听到电脑自动传来一阵阵音乐声时，别以为你的电脑比别人聪明，那很有可能是中毒了。 其实这种会唱歌的病毒也不少，有另一个著名的病毒（叫什么名字倒忘了）发作时还会高唱着"两只老虎"呢！ DOS时期的病毒，种类相当繁杂，而且不断有人改写现有的病毒。
到了后期甚至有人写出所谓的"双体引擎"，可以把一种病毒创造出更多元化的面貌，让人防不胜防！而病毒发作的症状更是各式各样，有的会唱歌、有的会删除文件、有的会Format硬盘、有的还会在屏。
六、计算机病毒的发展史
电脑病毒最初的历史，可以追溯至一九八二年。
当时，电脑病毒这个名词还未正式被定义。该年，Rich Skerta 撰写了一个名为"Elk Cloner"的电脑程式，使其成为了电脑病毒史上第一种感染个人电脑（Apple II ）的电脑病毒，它以软磁碟作传播媒介，破坏程度可说是相当轻微，受感染电脑只会在萤光幕上显示一段小小的诗句： "It will get on all your disks It will infiltrate your chips Yes it's Cloner! It will stick to you like glue It will modify ram too Send in the Cloner!" 1984 ― 电脑病毒正式被定义 Fred Cohen于一九八四发表了一篇名为"电脑病毒 ― 理论与实验（puter Viruses ― Theory and Experiments）"的文章，当中除了为"电脑病毒"一词下了明确的定义外，也描述了他与其他专家对电脑病毒研究的实验成果。
1986 ― 首种广泛传播于MS-DOS 个人电脑系统的电脑病毒 首宗恶意并广泛传播的电脑病毒始于一九八六年，该种电脑病毒名为"脑（Brain） "，由两位巴基斯坦籍的兄弟所编写，能破坏电脑的起动区（boot-sector），亦被视为第一只能透过自我隐藏来逃避侦测的病毒。 1987 ― 档案感染型病毒 （Lehigh 和 圣诞虫 Christmas Worm） 一九八七年，Lehigh 病毒于美国Lehigh 大学被发现，是首只档案感染型病毒（File infectors）。
档案感染型病毒主要通过感染 .COM 档案和 .EXE档案，来破坏资料、损毁档案配置表（FAT）或在染毒档案执行的过程中感染其它程式。 1988 ― 首种Macintosh 电脑病毒的出现以及CERT组织的成立 第一种袭击麦金塔（Macintosh）电脑的病毒 MacMag在这年出现，而"互联网虫"（Inter Worm） 亦引起了第一波的互联网危机。
同年，世界第一队电脑保安事故应变队伍（puter Security Response Team）成立并不断发展，也就演变成为今天著名的电脑保安事故应变队伍协调中心（CERTR Coordination Center ，简称CERTR/CC）。 1990 ― 首个病毒交流布告栏上线和防毒产品的出现 首个病毒交流布告栏（Virus Exchange Bulletin Board Service， 简称VX BBS）于保加利亚上线，藉以给病毒编程者交换病毒程式码及心得。
同年，防毒产品如McAfee Scan等开始粉墨登场。 1995 ― 巨集病毒的出现 在windows 95 作业平台初出现时，运行于DOS作业系统的电脑病毒仍然是电脑病毒的主流，而这些以DOS为本的病毒往往未能复制到windows 95 作业平台上运行。
不过，正当电脑用家以为可以松一口气的时候，于一九九五年年底，首种运行于 MS-Word工作环境的巨集病毒（Macro Virus），也正式面世。 1996 ― Windows 95 继续成为袭击目标， Linux 作业平台也不能幸免 这年，巨集病毒Laroux成为首只侵袭MS Excel 档案的巨集病毒。
而Staog 则是首只袭击Linux 作业平台的电脑病毒。 1998 - Back Orifice Back Orifice 让骇客透过互联网在未授权的情况下遥距操控另一部电脑，此病毒的命名也开了微软旗下的Microsoft's Back Office产品一个玩笑。
1999 ― 梅莉莎 （Melissa） 及 CIH 病毒 梅莉莎为首种混合型的巨集病毒 —它透过袭击MS Word作台阶，再利用MS Outlook及Outlook Express内的地址簿，将病毒透过电子邮件广泛传播。该年四月，CIH 病毒爆发，全球超过6000万台电脑被破坏。
2000 ― 拒绝服务 （Denial of Service） 和恋爱邮件 （Love Letters） "I Love You" 是次拒绝服务袭击规模很大，致使雅虎、亚马逊书店等主要网站服务瘫痪。同年，附著"I Love You"电邮传播的Visual Basic 脚本病毒档更被广泛传播，终令不少电脑用户明白到小心处理可疑电邮的重要性。
该年八月，首只运行于Palm 作业系统的木马（Trojan） 程式―"自由破解（Liberty Crack）"，也终于出现了。这个木马程式以破解Liberty （一个运行于Palm 作业系统的Game boy 模拟器）作诱饵，致使用户在无意中把这病毒透过红外线资料交换或以电邮的形式在无线网中把病毒传播。
2002 ― 强劲多变的混合式病毒： 求职信（Klez） 及 FunLove "求职信"是典型的混合式病毒，它除了会像传统病毒般感染电脑档案外，同时亦拥有蠕虫（worm） 及木马程式的特徵。它利用了微软邮件系统自动运行附件的安全漏洞，藉著耗费大量的系统资源，造成电脑运行缓慢直至瘫痪。
该病毒除了以电子邮件作传播途径外，也可透过网络传输和电脑硬碟共享把病毒散播。 自一九九九年开始，Funlove 病毒已为伺服器及个人电脑带来很大的烦脑，受害者中不乏著名企业。
一旦被其感染，电脑便处于带毒运行状态，它会在创建一个背景工作线程，搜索所有本地驱动器和可写入的网络资源，继而在网络中完全共享的文件中迅速地传播。 2003 ― 冲击波 （Blaster） and 大无极 （SOBIG） "冲击波"病毒于八月开始爆发，它利用了微软作业系统Windows 2000 及Windows XP的保安漏洞，取得完整的使用者权限在目标电脑上执行任何的程式码，并透过互联网，继续攻击网络上仍存有此漏洞的电脑。
由于防毒软件也不能过滤这种病毒，病毒迅速蔓延至多个国家，造成大批电脑瘫痪和网络连接速度减慢。 继"冲击波"病毒之后，第六代的"大无极"电脑病毒（SOBIG.F）肆虐，并透过。