（本文洋洋洒洒的，如果你是初学计算机的菜鸟，只要能坚持看下去这篇裹脚布，估计会让你初步了解病毒木马及流氓软件的）　　　　关于病毒防治，老生常谈了。　　本人上初中时，买了一台电脑，从此就和病毒有了不解之缘。我还清晰的记得，当金山毒霸查出我计算机里的病毒时，我是如此的恐惧和兴奋。十年之后，我的杀毒软件由当年横行一时的金山毒霸发展成现在的“卡巴斯基”＋“360安全卫士”＋“***G Anti-Spyware”三套组合，如此可见，病毒已不是当年的病毒啦。　　　　这里，作为应用计算机10年的新人，我从一个非专业的角度，向大家讲讲我对病毒防治的粗浅理解，与大家交流学习。虽然在这里班门弄斧，则更希望得到大家的指点。　　　　针对病毒防治，首先要谈到这样几个名词：“病毒”“木马”“流氓软件”。　　　　一， 病毒　　　　计算机病毒的定义：（详见注释1） 　　　　作为非专业人士，大家没有必要了解“注释1”中的知识，大家只需明白，计算机病毒是人为制作的对计算机硬软件、网络由破坏功能的程序。　　既然病毒是一种程序，他的运行自然离不开计算机这个大环境，从这一点上说，大家不要担心一张染了毒的磁盘会传染到放在一起的其他盘。除非病毒从一张盘里传染到计算机上，通过计算机这个媒介，再传染到另外磁盘。　　病毒是带破坏功能的程序，那它就可以称之为一个起坏作用的应用软件。Word，qq，迅雷，暴风影音都是对我们帮助很大的应用软件，而病毒就是这个大家庭里的坏小子。以QQ为例，如果你删了QQ文件夹里的软件，QQ可能无法运行，同样道理，如果我们删除了某病毒程序的文件，那么病毒就不能正常运行，所以我们就等于除了这个病毒，这就是我们对付病毒的大方向。　　　　二， 木马　　（详细分析见注解2）　　　　从定义上讲木马不是病毒，而是伪装成一个实用软件或者一个的游戏，诱使用户将其***在自己的计算机上从而监视或者盗取信息的一种程序。很多人将木马归类与病毒，是因为现在很多病毒技术与木马技术结合起来，二者总是成对出现的原因。从某种意义上说，木马已经融入到病毒这个大家庭了。　　木马不仅可以起到普通病毒的破坏作用，监视和控制计算机更是木马的拿手绝技。经常有朋友发牢骚说，自己的QQ被盗了，实际上，就是木马程序盗走了他的帐号和密码。很多朋友也再抱怨，自己的电脑动不动就弹出一些莫明其妙的网页，其实，很有可能是木马干的。这些都是一些简单功能的木马，最令人恐惧的，自然是木马的本质功能。　　说起木马的本质功能，要从“特洛伊木马”的故事讲起：古希腊传说，特洛伊王子帕里斯访问希腊，诱走了王后海伦，希腊人因此远征特洛伊。围攻9年后，到第10年，希腊将领奥德修斯献了一计，就是把一批勇士埋伏在一匹巨大的木马腹内，放在城外后，佯作退兵。特洛伊人以为敌兵已退，就把木马作为战利品搬入城中。到了夜间，埋伏在木马中的勇士跳出来，打开了城门，希腊将士一拥而入攻下了城池。后来，人们在写文章时就常用“特洛伊木马”这一典故，用来比喻在敌方营垒里埋下伏兵里应外合的活动。如今黑客程序借用其名，生动形象的让人们理解木马的本质功能。　　很多病毒使用了木马功能，使得病毒愈发的可怕。朋友在使用杀毒软件杀毒的时候，经常出现重启后由提示由病毒，杀来杀去“子子孙孙，无穷尽焉”的情况，这就是木马在作祟。　　实际上你的杀毒软件的确杀死了病毒，但因为木马在后台操作，当你杀死病毒的同时，木马在给你复制上一个，就造成了上诉的现象。所以说，遇到这类问题，一定要先杀木马，在杀病毒，斩草除根。　　　　三， 流氓软件　　流氓软件是指在未明确提示用户或未经用户许可的情况下，在用户计算机或其他终端上***运行，侵犯用户合法权益或者***后，无法顺利清除的软件。　　流氓软件，说白了，也是木马和某软件的结合产物。你删了软件之后，由于木马作祟，又背地里重装了你删的这个软件。　　　　　　谈到这里，根据我的理解，已经把网络上的主流不安全因素提出来了，解决这些问题的话，我的办法是，使用卡巴斯基防毒，使用***G Anti-Spyware防木马，使用360安全卫士防流氓。　　　　这套安全组合，是我一直津津乐道的。首先360安全卫士可以为你的计算机系统打上补丁，更重要的是安全卫士可以为你提供卡巴的短期序列号。而卡巴斯基是世界排名第二位的杀毒软件，很受国内欢迎。很多时候中了木马，卡巴也无能为例，这是就要请***G Anti-Spyware来帮忙了，***G Anti-Spyware是世界排名第一的木马软件ewido的升级产品。这三套软件组合起来，互不冲突，互相补缺。　　　　360安全卫士下载地址/soft/21730.html　　卡巴斯基下载地址/soft/22713.html　　***G Anti-Spyware及汉化下载地址　　/zyzx/attachments/month_169316.rar　　　　　　好多朋友近期总困与木马病毒流氓软件等，所以在博客中写了这篇文章，希望不会一笑大方，更希望大方能不惜笔墨，给与指点。　　　　　　注释1：　　一. 计算机病毒的定义计算机病毒(Computer Virus)在《中华人民共和国计算机信息系统安全保护条例》中被明确定义，病毒“指编制或者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码”。 　　二.计算机病毒的特点计算机病毒是人为的特制程序，具有自我复制能力，很强的感染性，一定的潜伏性，特定的触发性和很大的破坏性。 　　三. 病毒存在的必然性计算机的信息需要存取、复制、传送，病毒作为信息的一种形式可以随之繁殖、感染、破坏，而当病毒取得控制权之后，他们会主动寻找感染目标，使自身广为流传。 　　四.计算机病毒的长期性病毒往往会利用计算机操作系统的弱点进行传播，提高系统的安全性是防病毒的一个重要方面，但完美的系统是不存在的，过于强调提高系统的安全性将使系统多数时间用于病毒检查，系统失去了可用性、实用性和易用性，另一方面，信息保密的要求让人们在泄密和抓住病毒之间无法选择。病毒与反病毒将作为一种技术对抗长期存在，两种技术都将随计算机技术的发展而得到长期的发展。 　　五. 计算机病毒的产生病毒不是来源于突发或偶然的原因．一次突发的停电和偶然的错误，会在计算机的磁盘和内存中产生一些乱码和随机指令，但这些代码是无序和混乱的，病毒则是一种比较完美的，精巧严谨的代码，按照严格的秩序组织起来，与所在的系统网络环境相适应和配合起来，病毒不会通过偶然形成，并且需要有一定的长度，这个基本的长度从概率上来讲是不可能通过随机代码产生的。病毒是人为的特制程序现在流行的病毒是由人为故意编写的，多数病毒可以找到作者信息和产地信息，通过大量的资料分析统计来看，病毒作者主要情况和目的是：一些天才的程序员为了表现自己和证明自己的能力，处于对上司的不满，为了好奇，为了报复，为了祝贺和求爱，为了得到控制口令，为了软件拿不到报酬预留的陷阱等．当然也有因政治，军事，宗教，民族．专利等方面的需求而专门编写的，其中也包括一些病毒研究机构和黑客的测试病毒． 　　六. 计算机病毒分类根据多年对计算机病毒的研究，按照科学的、系统的、严密的方法，计算机病毒可分类如下：按照计算机病毒属性的方法进行分类，计算机病毒可以根据下面的属性进行分类： 　　　　按照计算机病毒存在的媒体进行分类根据病毒存在的媒体，病毒可以划分为网络病毒，文件病毒，引导型病毒。网络病毒通过计算机网络传播感染网络中的可执行文件，文件病毒感染计算机中的文件（如：COM，EXE，DOC等），引导型病毒感染启动扇区（Boot）和硬盘的系统引导扇区（MBR），还有这三种情况的混合型，例如：多型病毒（文件和引导型）感染文件和引导扇区两种目标，这样的病毒通常都具有复杂的算法，它们使用非常规的办法侵入系统，同时使用了加密和变形算法。 　　按照计算机病毒传染的方法进行分类根据病毒传染的方法可分为驻留型病毒和非驻留型病毒，驻留型病毒感染计算机后，把自身的内存驻留部分放在内存（RAM）中，这一部分程序挂接系统调用并合并到操作系统中去,他处于激活状态,一直到关机或重新启动.非驻留型病毒在得到机会激活时并不感染计算机内存,一些病毒在内存中留有小部分,但是并不通过这一部分进行传染,这类病毒也被划分为非驻留型病毒。 　　按照计算机病毒破坏的能力进行分类根据病毒破坏的能力可划分为以下几种：无害型除了传染时减少磁盘的可用空间外，对系统没有其它影响。无危险型这类病毒仅仅是减少内存、显示图像、发出声音及同类音响。危险型这类病毒在计算机系统操作中造成严重的错误。非常危险型这类病毒删除程序、破坏数据、清除系统内存区和操作系统中重要的信息。这些病毒对系统造成的危害，并不是本身的算法中存在危险的调用，而是当它们传染时会引起无法预料的和灾难性的破坏。由病毒引起其它的程序产生的错误也会破坏文件和扇区，这些病毒也按照他们引起的破坏能力划分。一些现在的无害型病毒也可能会对新版的DOS、Windows和其它操作系统造成破坏。例如：在早期的病毒中，有一个“Denzuk”病毒在360K磁盘上很好的工作，不会造成任何破坏，但是在后来的高密度软盘上却能引起大量的数据丢失。 　　按照计算机病毒特有的算法进行分类根据病毒特有的算法，病毒可以划分为：伴随型病毒这一类病毒并不改变文件本身，它们根据算法产生EXE文件的伴随体，具有同样的名字和不同的扩展名（COM），例如：XCOPY.EXE的伴随体是。病毒把自身写入COM文件并不改变EXE文件，当DOS加载文件时，伴随体优先被执行到，再由伴随体加载执行原来的EXE文件。“蠕虫”型病毒通过计算机网络传播，不改变文件和资料信息，利用网络从一台机器的内存传播到其它机器的内存，计算网络地址，将自身的病毒通过网络发送。有时它们在系统存在，一般除了内存不占用其它资源。寄生型病毒除了伴随和“蠕虫”型，其它病毒均可称为寄生型病毒，它们依附在系统的引导扇区或文件中，通过系统的功能进行传播，按其算法不同可分为：练习型病毒病毒自身包含错误，不能进行很好的传播，例如一些病毒在调试阶段。诡秘型病毒它们一般不直接修改DOS中断和扇区数据，而是通过设备技术和文件缓冲区等DOS内部修改，不易看到资源，使用比较高级的技术。利用DOS空闲的数据区进行工作。变型病毒（又称幽灵病毒）这一类病毒使用一个复杂的算法，使自己每传播一份都具有不同的内容和长度。它们一般的作法是一段混有无关指令的解码算法和被变化过的病毒体组成。————————————摘自百度网站　　　　注解2　　详解木马原理　　　　介绍特洛伊木马程序的原理、特征以及中了木马后系统出现的情况…… 　　　　QUOTE:　　　　特洛伊木马是如何启动的　　　　作为一个优秀的木马，自启动功能是必不可少的，这样可以保证木马不会因为你的一次关机操作而彻底失去作用。正因为该项技术如此重要，所以，很多编程人员都在不停地研究和探索新的自启动技术，并且时常有新的发现。一个典型的例子就是把木马加入到用户经常执行的程序 (例如explorer.exe)中，用户执行该程序时，则木马自动发生作用。当然，更加普遍的方法是通过修改Windows系统文件和注册表达到目的，现经常用的方法主要有以下几种:　　　　1.在Win.ini中启动　　　　在Win.ini的[windows]字段中有启动命令&load＝&和&run＝&，在一般情况下 &＝&后面是空白的，如果有后跟程序，比方说是这个样子：　　　　run=c:\windows\file.exe 　　　　load=c:\windows\file.exe　　　　要小心了，这个file.exe很可能是木马哦。　　　　2.在System.ini中启动　　　　System.ini位于Windows的***目录下，其[boot]字段的shell=Explorer.exe是木马喜欢的隐藏加载之所，木马通常的做法是将该何变为这样:shell=Explorer.exefile.exe。注意这里的file.exe就是木马服务端程序!　　　　另外，在System.中的[386Enh]字段，要注意检查在此段内的&driver＝路径\程序名&这里也有可能被木马所利用。再有，在System.ini中的[mic]、[drivers]、[drivers32]这3个字段，这些段也是起到加载驱动程序的作用，但也是增添木马程序的好场所，现在你该知道也要注意这里喽。　　　　3.利用注册表加载运行　　　　如下所示注册表位置都是木马喜好的藏身加载之所，赶快检查一下，有什么程序在其下。　　　　4.在Autoexec.bat和Config.sys中加载运行　　　　请大家注意，在C盘根目录下的这两个文件也可以启动木马。但这种加载方式一般都需要控制端用户与服务端建立连接后，将己添加木马启动命令的同名文件上传到服务端覆盖这两个文件才行，而且采用这种方式不是很隐蔽。容易被发现，所以在Autoexec.bat和Confings中加载木马程序的并不多见，但也不能因此而掉以轻心。　　　　5.在Winstart.bat中启动　　　　Winstart.bat是一个特殊性丝毫不亚于Autoexec.bat的批处理文件，也是一个能自动被Windows加载运行的文件。它多数情况下为应用程序及Windows自动生成，在执行了Windows自动生成，在执行了并加截了多数驱动程序之后　　　　开始执行 (这一点可通过启动时按F8键再选择逐步跟踪启动过程的启动方式可得知)。由于Autoexec.bat的功能可以由Witart.bat代替完成，因此木马完全可以像在Autoexec.bat中那样被加载运行，危险由此而来。　　　　6.启动组　　　　木马们如果隐藏在启动组虽然不是十分隐蔽，但这里的确是自动加载运行的好场所，因此还是有木马喜欢在这里驻留的。启动组对应的文件夹为C:\Windows\start menu\programs\startup,在注册表中的位置:HKEY_CURRENT_USER\Software\Microsoft\windows\CurrentVersion\Explorer\shell　　　　Folders Startup=&c:\windows\start menu\programs\startup&。要注意经常检查启动组哦!　　　　7.*.INI　　　　即应用程序的启动配置文件，控制端利用这些文件能启动程序的特点，将制作好的带有木马启动命令的同名文件上传到服务端覆盖这同名文件，这样就可以达到启动木马的目的了。只启动一次的方式:在winint.ini.中(用于***较多)。　　　　8.修改文件关联　　　　修改文件关联是木马们常用手段 (主要是国产木马，老外的木马大都没有这个功能)，比方说正常情况下TXT文件的打开方式为Notepad.EXE文件，但一旦中了文件关联木马，则txt文件打开方式就会被修改为用木马程序打开，如著名的国产木马冰河就是这样干的. &冰河&就是通过修改HKEY_CLASSES_ROOT\txtfile\whell\open\command下的键值，将“C:\WINDOWS\NOTEPAD.EXE本应用Notepad打开，如著名的国产HKEY一CLASSES一ROOT\txt闹e\shell\open\commandT的键值，将 &C:\WINDOWS\NOTEPAD.EXE%l&改为 &C:\WINDOWS\SYSTEM\SYSEXPLR.EXE%l&，这样，一旦你双击一个TXT文件，原本应用Notepad打开该文件，现在却变成启动木马程序了，好狠毒哦!请大家注意，不仅仅是TXT文件，其他诸如HTM、EXE、等都是木马的目标，要小心搂。　　　　对付这类木马，只能经常检查HKEY_C\shell\open\command主键，查看其键值是否正常。　　　　9.捆绑文件　　　　实现这种触发条件首先要控制端和服务端已通过木马建立连接，然后控制端用户用工具软件将木马文件和某一应用程序捆绑在一起，然后上传到服务端覆盖源文件，这样即使木马被删除了，只要运行捆绑了木马的应用程序，木马义会***上去。绑定到某一应用程序中，如绑定到系统文件，那么每一次Windows启动均会启动木马。　　　　10.反弹端口型木马的主动连接方式　　　　反弹端口型木马我们已经在前面说过了，由于它与一般的木马相反，其服务端 (被控制端)主动与客户端 (控制端)建立连接，并且***端口一般开在80，所以如果没有合适的工具、丰富的经验真的很难防范。这类木马的典型代表就是网络神偷&。由于这类木马仍然要在注册表中建立键值注册表的变化就不难查到它们。同时，最新的天网防火墙(如我们在第三点中所讲的那样)，因此只要留意也可在网络神偷服务端进行主动连接时发现它。 　　　　QUOTE:　　　　木马的隐藏方式　　　　1.在任务栏里隐藏　　　　这是最基本的隐藏方式。如果在windows的任务栏里出现一个莫名其妙的图标，傻子都会明白是怎么回事。要实现在任务栏中隐藏在编程时是很容易实现的。我们以VB为例。在VB中，只要把from的Visible属性设置为False,ShowInTaskBar设为False程序就不会出现在任务栏里了。　　　　2.在任务管理器里隐藏　　　　查看正在运行的进程最简单的方法就是按下Ctrl+Alt+Del时出现的任务管理器。如果你按下Ctrl+Alt+Del后可以看见一个木马程序在运行，那么这肯定不是什么好木马。所以，木马会千方百计地伪装自己，使自己不出现在任务管理器里。木马发现把自己设为 &系统服务“就可以轻松地骗过去。　　　　因此，希望通过按Ctrl+Alt+Del发现木马是不大现实的。　　　　3.端口　　　　一台机器有65536个端口，你会注意这么多端口么?而木马就很注意你的端口。如果你稍微留意一下，不难发现，大多数木马使用的端口在1024以上，而且呈越来越大的趋势;当然也有占用1024以下端口的木马，但这些端口是常用端口，占用这些端口可能会造成系统不正常，这样的话，木马就会很容易暴露。也许你知道一些木马占用的端口，你或许会经常扫描这些端口，但现在的木马都提供端口修改功能，你有时间扫描65536个端口么?　　　　4.隐藏通讯　　　　隐藏通讯也是木马经常采用的手段之一。任何木马运行后都要和攻击者进行通讯连接，或者通过即时连接，如攻击者通过客户端直接接人被植人木马的主机;或者通过间接通讯。如通过电子邮件的方式，木马把侵入主机的敏感信息送给攻击者。现在大部分木马一般在占领主机后会在1024以上不易发现的高端口上驻留;有一些木马会选择一些常用的端口，如80、23,有一种非常先进的木马还可以做到在占领80HTTP端口后，收到正常的HTTP请求仍然把它交与Web服务器处理，只有收到一些特殊约定的数据包后，才调用木马程序。　　　　5.隐藏隐加载方式　　　　木马加载的方式可以说千奇百怪，无奇不有。但殊途同归，都为了达到一个共同的目的，那就是使你运行木马的服务端程序。如果木马不做任何伪装，就告诉你这是木马，你会运行它才怪呢。而随着网站互动化避程的不断进步，越来越多的东西可以成为木马的传播介质，Java Script、VBScript、ActiveX.XLM....几乎WWW每一个新功能部会导致木马的快速进化。　　　　6.最新隐身技术　　　　在Win9x时代，简单地注册为系统进程就可以从任务栏中消失，可是在Windows2000盛行的今天。这种方法遭到了惨败。注册为系统进程不仅仅能在任务栏中看到，而且可以直接在Services中直接控制停止。运行(太搞笑了，木马被客户端控制)。使用隐藏窗体或控制台的方法也不能欺骗无所不见的Admlin大人(要知道，在NT下，Administrator是可以看见所有进程的)。在研究了其他软件的长处之后，木马发现，Windows下的中文汉化软件采用的陷阱技术非常适合木马的使用。　　　　这是一种更新、更隐蔽的方法。通过修改虚拟设备驱动程序(VXD)或修改动态遵掇库 (DLL)来加载木马。这种方法与一般方法不同，它基本上摆脱了原有的木马模式---***端口，而采用替代系统功能的方法(改写vxd或DLL文件)，木马会将修改后的DLL替换系统已知的DLL，并对所有的函数调用进行过滤。对于常用的调用，使用函数转发器直接转发给被替换的系统DLL，对于一些相应的操作。实际上。这样的事先约定好的特种情况，DLL会执行一般只是使用DLL进行***，一旦发现控制端的请求就激活自身，绑在一个进程上进行正常的木马操作。这样做的好处是没有增加新的文件，不需要打开新的端口，没有新的进程，使用常规的方法监测不到它。在往常运行时，木马几乎没有任何瘫状，且木马的控制端向被控制端发出特定的信息后，隐藏的程序就立即开始运作。 　　　　QUOTE:　　　　特洛伊木马具有的特性　　　　1.包含干正常程序中，当用户执行正常程序时，启动自身，在用户难以察觉的情况下，完成一些危害用户的操作，具有隐蔽性　　　　由于木马所从事的是 &地下工作&，因此它必须隐藏起来，它会想尽一切办法不让你发现它。很多人对木马和远程控制软件有点分不清，还是让我们举个例子来说吧。我们进行局域网间通讯的常用软件PCanywhere大家一定不陌生吧?我们都知道它是一款远程控制软件。PCanywhere比在服务器端运行时，客户端与服务器端连接成功后，客户端机上会出现很醒目的提示标志;而木马类的软件的服务器端在运行的时候应用各种手段隐藏自己，不可能出现任何明显的标志。木马开发者早就想到了可能暴露木马踪迹的问题，把它们隐藏起来了。例如大家所熟悉木马修改注册表和而文件以便机器在下一次启动后仍能载入木马程式，它不是自己生成一个启动程序，而是依附在其他程序之中。有些木马把服务器端和正常程序绑定成一个程序的软件，叫做exe-binder绑定程序，可以让人在使用绑定的程序时，木马也入侵了系统。甚至有个别木马程序能把它自身的exe文件和服务端的图片文件绑定，在你看图片的时候，木马便侵人了你的系统。它的隐蔽性主要体现在以下两个方面:　　　　(1)不产生图标　　　　木马虽然在你系统启动时会自动运行，但它不会在 &任务栏&中产生一个图标，这是容易理解的，不然的话，你看到任务栏中出现一个来历不明的图标，你不起疑心才怪呢!　　　　(2)木马程序自动在任务管理器中隐藏，并以&系统服务&的方式欺骗操作系统。 　　　　2.具有自动运行性。　　　　木马为了控制服务端。它必须在系统启动时即跟随启动，所以它必须潜人在你的启动配置文件中，如win.ini、system.ini、winstart.bat以及启动组等文件之中。　　　　3.包含具有未公开并且可能产生危险后果的功能的程序。　　　　4.具备自动恢复功能。　　　　现在很多的木马程序中的功能模块巴不再由单一的文件组成，而是具有多重备份，可以相互恢复。当你删除了其中的一个，以为万事大吉又运行了其他程序的时候，谁知它又悄然出现。像幽灵一样，防不胜防。　　　　5.能自动打开特别的端口。　　　　木马程序潜人你的电脑之中的目的主要不是为了破坏你的系统，而是为了获取你的系统中有用的信息，当你上网时能与远端客户进行通讯，这样木马程序就会用服务器客户端的通讯手段把信息告诉黑客们，以便黑客们控制你的机器，或实施进一步的入侵企图。你知道你的电脑有多少个端口?不知道吧?告诉你别吓着:根据TCP/IP协议，每台电脑可以有256乘以256个端口，也即从0到65535号 &门&，但我们常用的只有少数几个，木马经常利用我们不大用的这些端口进行连接，大开方便之 &门&。　　　　6、功能的特殊性。　　　　通常的木马功能都是十分特殊的，除了普通的文件操作以外，还有些木马具有搜索cache中的口令、设置口令、扫描目标机器人的IP地址、进行键盘记录、远程注册表的操作以及锁定鼠标等功能。上面所讲的远程控制软件当然不会有这些功能，毕竟远程控制软件是用来控制远程机器，方便自己操作而已，而不是用来黑对方的机器的。　　　　QUOTE:　　　　木马采用的伪装方法　　　　1.修改图标　　　　木马服务端所用的图标也是有讲究的，木马经常故意伪装成了XT.HTML等你可能认为对系统没有多少危害的文件图标，这样很容易诱惑你把它打开。看看，木马是不是很狡猾?　　　　2.捆绑文件　　　　这种伪装手段是将木马捆绑到一个***程序上，当***程序运行时，木马在用户毫无察觉的情况下，偷偷地进入了系统。被捆绑的文件一般是可执行文件 (即EXE、COM一类的文件)。　　　　3.出错显示　　　　有一定木马知识的人部知道，如果打开一个文件，没有任何反应，这很可能就是个木马程序。木马的设计者也意识到了这个缺陷，所以已经有木马提供了一个叫做出错显示的功能。当服务端用户打开木马程序时，会弹出一个错误提示框 (这当然是假的)，错误内容可自由定义，大多会定制成一些诸如 &文件已破坏，无法打开!&之类的信息，当服务端用户信以为真时，木马却悄悄侵人了系统。　　　　4.自我销毁　　　　这项功能是为了弥补木马的一个缺陷。我们知道，当服务端用户打开含有木马的文件后，木马会将自己拷贝到Windows的系统文件夹中(C;\wmdows或C:\windows\system目录下),一般来说，源木马文件和系统文件夹中的木马文件的大小是一样的 (捆绑文件的木马除外)，那么，中了木马的朋友只要在近来收到的信件和下载的软件中找到源木马文件，然后根据源木马的大小去系统文件夹找相同大小的文件，判断一下哪个是木马就行了。而木马的自我销毁功能是指***完木马后，源木马文件自动销毁，这样服务端用户就很难找到木马的来源，在没有查杀木马的工具帮助下。就很难删除木马了。　　　　5.木马更名　　　　木马服务端程序的命名也有很大的学问。如果不做任何修改，就使用原来的名字，谁不知道这是个木马程序呢?所以木马的命名也是千奇百怪，不过大多是改为和系统文件名差不多的名字，如果你对系统文件不够了解，那可就危险了。例如有的木马把名字改为window.exe，如果不告诉你这是木马的话，你敢删除吗?还有的就是更改一些后缀名，比如把dll改为dl等，不仔细看的，你会发现吗? 　　　　QUOTE:　　　　木马的种类　　　　1、破坏型　　　　惟一的功能就是破坏并且删除文件，可以自动的删除电脑上的DLL、INI、EXE文件。　　　　2、密码发送型　　　　可以找到隐藏密码并把它们发送到指定的信箱。有人喜欢把自己的各种密码以文件的形式存放在计算机中，认为这样方便；还有人喜欢用WINDOWS提供的密码记忆功能，这样就可以不必每次都输入密码了。许多黑客软件可以寻找到这些文件，把它们送到黑客手中。也有些黑客软件长期潜伏，记录操作者的键盘操作，从中寻找有用的密码。　　　　在这里提醒一下，不要认为自己在文档中加了密码而把重要的保密文件存在公用计算机中，那你就大错特错了。别有用心的人完全可以用穷举法暴力破译你的密码。利用WINDOWS API函数EnumWindows和EnumChildWindows对当前运行的所有程序的所有窗口（包括控件）进行遍历，通过窗口标题查找密码输入和出确认重新输入窗口，通过按钮标题查找我们应该单击的按钮，通过ES_PASSWORD查找我们需要键入的密码窗口。向密码输入窗口发送WM_SETTEXT消息模拟输入密码，向按钮窗口发送WM_COMMAND消息模拟单击。在破解过程中，把密码保存在一个文件中，以便在下一个序列的密码再次进行穷举或多部机器同时进行分工穷举，直到找到密码为止。此类程序在黑客网站上唾手可得，精通程序设计的人，完全可以自编一个。　　　　3、远程访问型　　　　最广泛的是特洛伊马，只需有人运行了服务端程序，如果客户知道了服务端的IP地址，就可以实现远程控制。以下的程序可以实现观察&受害者&正在干什么，当然这个程序完全可以用在正道上的，比如监视学生机的操作。　　　　程序中用的UDP（User Datagram Protocol，用户报文协议）是因特网上广泛采用的通信协议之一。与TCP协议不同，它是一种非连接的传输协议，没有确认机制，可靠性不如TCP，但它的效率却比TCP高，用于远程屏幕监视还是比较适合的。它不区分服务器端和客户端，只区分发送端和接收端，编程上较为简单，故选用了UDP协议。本程序中用了DELPHI提供的TNMUDP控件。　　　　4.键盘记录木马　　　　这种特洛伊木马是非常简单的。它们只做一件事情，就是记录受害者的键盘敲击并且在LOG文件里查找密码。据笔者经验，这种特洛伊木马随着Windows的启动而启动。它们有在线和离线记录这样的选项，顾名思义，它们分别记录你在线和离线状态下敲击键盘时的按键情况。也就是说你按过什么按键，下木马的人都知道，从这些按键中他很容易就会得到你的密码等有用信息，甚至是你的信用卡账号哦!当然，对于这种类型的木马，邮件发送功能也是必不可少的。　　　　5.DoS攻击木马　　　　随着DoS攻击越来越广泛的应用，被用作DoS攻击的木马也越来越流行起来。当你入侵了一台机器，给他种上DoS攻击木马，那么日后这台计算机就成为你DoS攻击的最得力助手了。你控制的肉鸡数量越多，你发动DoS攻击取得成功的机率就越大。所以，这种木马的危害不是体现在被感染计算机上，而是体现在攻击者可以利用它来攻击一台又一台计算机，给网络造成很大的伤害和带来损失。　　　　还有一种类似DoS的木马叫做邮件炸弹木马，一旦机器被感染，木马就会随机生成各种各样主题的信件，对特定的邮箱不停地发送邮件，一直到对方瘫痪、不能接受邮件为止。　　　　6.代理木马　　　　黑客在入侵的同时掩盖自己的足迹，谨防别人发现自己的身份是非常重要的，因此，给被控制的肉鸡种上代理木马，让其变成攻击者发动攻击的跳板就是代理木马最重要的任务。通过代理木马，攻击者可以在匿名的情况下使用Telnet,ICQ,IRC等程序，从而隐蔽自己的踪迹。　　　　7.FTP木马　　　　这种木马可能是最简单和古老的木马了，它的惟一功能就是打开21端口，等待用户连接。现在新FTP木马还加上了密码功能，这样，只有攻击者本人才知道正确的密码，从而进入对方计算机。　　　　8.程序杀手木马　　　　上面的木马功能虽然形形***，不过到了对方机器上要发挥自己的作用，还要过防木马软件这一关才行。常见的防木马软件有ZoneAlarm,Norton Anti-Virus等。程序杀手木马的功能就是关闭对方机器上运行的这类程序，让其他的木马更好地发挥作用。　　　　9.反弹端口型木马　　　　木马是木马开发者在分析了防火墙的特性后发现:防火墙对于连入的链接往往会进行非常严格的过滤，但是对于连出的链接却疏于防范。于是，与一般的木马相反，反弹端口型木马的服务端 (被控制端)使用主动端口，客户端 (控制端)使用被动端口。木马定时监测控制端的存在，发现控制端上线立即弹出端口主动连结控制端打开的主动端口;为了隐蔽起见，控制端的被动端口一般开在80，即使用户使用扫描软件检查自己的端口，发现类似TCP UserIP:1026 ControllerIP:80ESTABLISHED的情况，稍微疏忽一点，你就会以为是自己在浏览网页。　　　　QUOTE:　　　　中木马后出现的状况　　　　对于一些常见的木马，如SUB7、BO2000、冰河等等，它们都是采用打开TCP端口***和写人注册表启动等方式，使用木马克星之类的软件可以检测到这些木马，这些检测木马的软件大多都是利用检测TCP连结、注册表等信息来判断是否有木马人侵，因此我们也可以通过手工来侦测木马。　　　　也许你会对硬盘空间莫名其妙减少500M感到，这的确算不了什么，天知道Windows的临时文件和那些乌七八糟的游戏吞噬了自己多少硬盘空间。可是，还是有一些现象会让你感到警觉，一旦你觉得你自己的电脑感染了木马，你应该马上用杀毒软件检查一下自己的计算机，然后不管结果如何，就算是Norton告诉你，你的机器没有木马，你也应该再亲自作一次更深人的调查，确保自己机器安全。经常关注新的和出名的木马的特性报告，这将对你诊断自己的计算机问题很有帮助。　　　　(1)当你浏览一个网站，弹出来一些广告窗口是很正常的事情，可是如果你根本没有打开浏览器，而览浏器突然自己打开，并且进入某个网站，那么，你要小心。　　　　(2)你正在操作电脑，突然一个警告框或者是询问框弹出来，问一些你从来没有在电脑上接触过的间题。　　　　(3)你的Windows系统配置老是自动莫名其妙地被更改。比如屏保显示的文字，时间和日期，声音大小，鼠标灵敏度，还有CD-ROM的自动运行配置。　　　　(4)硬盘老没缘由地读盘，软驱灯经常自己亮起，网络连接及鼠标屏幕出现异常现象。　　　　这时，最简单的方法就是使用netstat-a命令查看。你可以通过这个命令发现所有网络连接，如果这时有攻击者通过木马连接，你可以通过这些信息发现异常。通过端口扫描的方法也可以发现一些弱智的木马，特别是一些早期的木马，它们捆绑的端口不能更改，通过扫描这些固定的端口也可以发现木马是否被植入。　　　　当然，没有上面的种种现象并不代表你就绝对安全。有些人攻击你的机器不过是想寻找一个跳板。做更重要的事情;可是有些人攻击你的计算机纯粹是为了好玩。对于纯粹处于好玩目的的攻击者，你可以很容易地发现攻击的痕迹;对于那些隐藏得很深，并且想把你的机器变成一台他可以长期使用的肉鸡的黑客们，你的检查工作将变得异常艰苦并且需要你对入侵和木马有超人的敏感度，而这些能力，都是在平常的电脑使用过程日积月累而成的。　　　　我们还可以通过软件来检查系统进程来发现木马。如利用进程管理软件来查看进程，如果发现可疑进程就杀死它。那么，如何知道哪个进程是可疑的呢?教你一个笨方法，有以下进程绝对是正常的：EXPLORER.EXE、KERNEL32.DLL、MPREXE.EXE、MSGSRVINTERNAT.EXE、32.EXE、SPOOL32.EXEIEXPLORE.EXE(如果打开了IE)，而出现了其他的、你没有运行的程序的进程就很可疑了。一句话，具体情况具体分析。 　　　　QUOTE:　　　　被感染后的紧急措施 　　　　如果不幸你的计算机已经被木马光临过了，你的系统文件被黑客改得一塌糊涂，硬盘上稀里糊涂得多出来一大堆乱七八糟的文件，很多重要的数据也可能被黑客窃取。这里给你提供3条建议，希望可以帮助你:　　　　(1)所有的账号和密码都要马上更改，例如拨号连接，ICQ,mIRC,FTP，你的个人站点，免费邮箱等等，凡是需要密码的地方，你都要把密码尽快改过来。　　　　(2)删掉所有你硬盘上原来没有的东西。　　　　(4)检查一次硬盘上是否有病毒存在 。　　　　木马技术篇　　　　这里就不介绍木马是如何写成的了,毕竟大多数网友不会去编写什么木马,也没有足够的知识和能力来编写,包括我自己:)　　　　QUOTE:　　　　黑客是如何骗取你执行木马的　　　　1、冒充为图像文件　　　　首先，黑客最常使用骗别人执行木马的方法，就是将特洛伊木马说成为图像文件，比如说是照片等，应该说这是一个最不合逻辑的方法，但却是最多人中招的方法，有效而又实用 。 　　　　只要入侵者扮成美眉及更改服务器程序的文件名(例如 sam.exe )为“类似”图像文件的名称 ，再假装传送照片给受害者，受害者就会立刻执行它。为甚么说这是一个不合逻辑的方法呢？图像文件的扩展名根本就不可能是 exe，而木马程序的扩展名基本上又必定是 exe ，明眼人一看就会知道有问题，多数人在接收时一看见是exe文件，便不会接收了，那有什么方法呢? 其实方法很简单，他只要把文件名改变，例如把“sam.exe” 更改为“sam.jpg” ，那么在传送时，对方只会看见sam.jpg 了，而到达对方电脑时，因为windows 默认值是不显示扩展名的，所以很多人都不会注意到扩展名这个问题，而恰好你的计算机又是设定为隐藏扩展名的话，那么你看到的只是sam.jpg 了，受骗也就在所难免了! 　　　　还有一个问题就是，木马本身是没有图标的，而在电脑中它会显示一个windows 预设的图标，别人一看便会知道了！但入侵者还是有办法的，这就是给文件换个“马甲”，即修改文件图标。 　　　　修改文件图标的方法如下: 　　　　（1）比如到 下载一个名为IconForge 的软件，再进行***。 　　　　（2）执行程序，按下File & Open 　　　　（3）在File Type 选择exe 类 　　　　（4）在File & Open 中载入预先制作好的图标( 可以用绘图软件或专门制作icon 的软件制作，也可以在网上找找) 。 　　　　（5）然后按下File & Save 便可以了。 　　　　如此这般最后得出的，便是看似jpg 或其他图片格式的木马了，很多人就会不经意间执行了它。 　　　　2、合并程序欺骗 　　　　通常有经验的用户，是不会将图像文件和可执行文件混淆的，所以很多入侵者一不做二不休，干脆将木马程序说成是应用程序：反正都是以 exe 作为扩展名的。然后再变着花样欺骗受害者，例如说成是新出炉的游戏，无所不能的黑客程序等等，目地是让受害者立刻执行它。而木马程序执行后一般是没有任何反应的，于是在悄无声息中，很多受害者便以为是传送时文件损坏了而不再理会它。　　　　如果有更小心的用户，上面的方法有可能会使他们的产生坏疑，所以就衍生了一些合拼程序。合拼程序是可以将两个或以上的可执行文件(exe文件) 结合为一个文件，以后?需执行这个合拼文件，两个可执行文件就会同时执行。如果入侵者将一个正常的可执行文件(一些小游戏如 wrap.exe) 和一个木马程序合拼，由于执行合拼文件时 wrap.exe会正常执行，受害者在不知情中，背地里木马程序也同时执行了。而这其中最常用到的软件就是joiner，由于它具有更大的欺骗性，使得***特洛伊木马的一举一动了无痕迹，是一件相当危险的黑客工具。让我们来看一下它是如何运作的:　　　　以往有不少可以把两个程序合拼的软件为黑客所使用，但其中大多都已被各大防毒软件列作病毒了，而且它们有两个突出的问题存在，这问题就是： 　　　　（1）合拼后的文件体积过大 　　　　（2）只能合拼两个执行文件 　　　　正因为如此，黑客们纷纷弃之转而使用一个更简单而功能更强的软件，那就是Joiner 了。此软件不但把软件合拼后的体积减少，而且可以待使用者执行后立马就能收到一个icq 的信息，告诉你对方已中招及对方的IP ，更重要的是这个软件可以把图像文件、音频文件与可执行文件合拼，用起来相当方便。 　　　　首先把Joiner 解压，然后执行Joiner ，在程序的画面里，有“First executable : ”及“ Second File : ”两项，这两行的右方都有一个文件夹图标，分别各自选择想合拼的文件。 　　　　下面还有一个Enable ICQ notification 的空格，如果选取后，当对方执行了文件时，便会收到对方的一个ICQ Web Messgaer ，里面会有对方的ip ，当然要在下面的ICQ number 填上欲收取信息的icq 号码。但开启这个功能后，合拼后的文件会比较大。 　　　　最后便按下“Join” ，在Joiner 的文件夹里，便会出现一个Result.exe 的文件，文件可更改名称，因而这种“混合体”的隐蔽性是不言而喻的。 　　　　3、以Z-file 伪装加密程序 　　　　Z-file 伪装加密软件是台湾华顺科技的产品，其经过将文件压缩加密之后，再以 bmp图像文件格式显示出来(扩展名是 bmp，执行后是一幅普通的图像)。当初设计这个软件的本意只是用来加密数据，用以就算计算机被入侵或被非法使使用时，也不容易泄漏你的机密数据所在。不过如果到了黑客手中，却可以变成一个入侵他人的帮凶。 使用者会将木马程序和小游戏合拼，再用 Z-file 加密及将 此“混合体”发给受害者，由于看上去是图像文件，受害者往往都不以为然，打开后又只是一般的图片，最可怕的地方还在于就连杀毒软件也检测不出它内藏特洛伊木马，甚至病毒！当打消了受害者警惕性后，再让他用WinZip 解压缩及执行 “伪装体 (比方说还有一份小礼物要送给他)，这样就可以成功地***了木马程序。 如果入侵者有机会能使用受害者的电脑(比如上门维修电脑)，只要事先已经发出了“混合体，则可以直接用 Winzip 对其进行解压及***。由于上门维修是赤着手使用其电脑，受害者根本不会怀疑有什么植入他的计算机中，而且时间并不长，30秒时间已经足够。就算是“明晃晃”地在受害者面前操作，他也不见得会看出这一双黑手正在干什么。特别值得一提的是，由于 “混合体” 可以躲过反病毒程序的检测，如果其中内含的是一触即发的病毒，那么一经结开压缩，后果将是不堪设想。 　　　　4、伪装成应用程序扩展组件 　　　　此类属于最难识别的特洛伊木马。黑客们通常将木马程序写成为任何类型的文件 (例如 dll、ocx等) 然后挂在一个十分出名的软件中，例如 OICQ 。由于OICQ本身已有一定的知名度，没有人会怀疑它的安全性，更不会有人检查它的文件多是否多了。而当受害者打开OICQ时，这个有问题的文件即会同时执行。 此种方式相比起用合拼程序有一个更大的好处，那就是不用更改被入侵者的登录文件，以后每当其打开OICQ时木马程序就会同步运行 ，相较一般特洛伊木马可说是“踏雪无痕”。更要命的是，此类入侵者大多也是特洛伊木马编写者，只要稍加改动，就会派生出一支新木马来，所以即使杀是毒软件也拿它没有丝毫办法。　　　　QUOTE:　　　　IP安全策略 VS 特洛伊木马　　　　当木马悄悄打开某扇“方便之门”（端口）时，不速之客就会神不知鬼不觉地侵入你的电脑。如果被种下木马其实也不必担心，首先我们要切断它们与外界的联系（就是 堵住可疑端口）。　　　　在Win 2000/XP/2003系统中，Microsoft管理控制台（MMC）已将系统的配置功能汇集成配置模块，大大方便我们进行特殊的设置（以Telnet利用的23端口为例，笔者的操作系统为Win XP）。　　　　操作步骤　　　　首先单击“运行”在框中输入“mmc”后回车，会弹出“控制台1”的窗口。我们依次选择“文件→添加/删除管理单元→在独立标签栏中点击‘添加’→IP安全策略管理”，最后按提示完成操作。这时，我们已把“IP安全策略，在本地计算机”（以下简称“IP安全策略”）添加到“控制台根节点”下。　　　　现在双击“IP安全策略”就可以新建一个管理规则了。右击“IP安全策略”，在弹出的快捷菜单中选择“创建IP安全策略”，打开IP安全策略向导，点击“下一步→名称默认为‘新IP安全策略’→下一步→不必选择‘激活默认响应规则’”（注意：在点击“下一步的同时，需要确认此时“编辑属性”被选中），然后选择“完成→在“新IP安全策略属性→添加→不必选择‘使用添加向导’”。　　　　在寻址栏的源地址应选择“任何IP地址”，目标地址选择“我的IP地址”（不必选择镜像）。在协议标签栏中，注意类型应为TCP，并设置IP协议端口从任意端口到此端口23，最后点击“确定”即可。这时在“IP筛选器列表”中会出现一个“新IP筛选器”，选中它，切换到“筛选器操作”标签栏，依次点击“添加→名称默认为‘新筛选器操作’→添加→阻止→完成”。　　　　新策略需要被激活才能起作用，具体方法是：在“新IP安全策略”上点右键，“指派”刚才制定的策略。　　　　效果　　　　现在，当我们从另一台电脑Telnet到设防的这一台时，系统会报告登录失败；用扫描工具扫描这台机子，会发现23端口仍然在提供服务。以同样的方法，大家可以把其它任何可疑的端口都封杀掉，让不速之客们大叫“不妙”去吧!　　　　教您手工轻松清除隐藏在电脑里的病毒和木马　　　　现在上网的朋友越来越多了，其中有一点不可避免的就是如何防范和查杀病毒和恶意攻击程序了。但是，如果不小心中了病毒而身边又没有杀毒软件怎么办?没有关系，今天我就来教大家怎样轻松地手工清除藏在电脑里的病毒和木马。　　　　检查注册表 　　　　注册表一直都是很多木马和病毒“青睐”的寄生场所，注意在检查注册表之前要先给注册表备份。　　　　1、 检查注册表中HKEY_LOCAL_MACHINE＼Software＼Microsoft＼Windows＼CurrentVersion＼Run和HKEY_LOCAL_MACHINE＼Software＼Microsoft＼Windows＼CurrentVersion＼Runserveice，查看键值中有没有自己不熟悉的自动启动文件，扩展名一般为EXE，然后记住木马程序的文件名，再在整个注册表中搜索，凡是看到了一样的文件名的键值就要删除，接着到电脑中找到木马文件的藏身地将其彻底删除?比如“爱虫”病毒会修改上面所提的第一项，BO2000木马会修改上面所提的第二项)。　　　　2、 检查注册表HKEY_LOCAL_MACHINE和HKEY_CURRENT_USER＼SOFTWARE＼Microsoft＼Internet Explorer＼Main中的几项(如Local Page)，如果发现键值被修改了，只要根据你的判断改回去就行了。恶意代码(如“万花谷”)就经常修改这几项。　　　　3、检查HKEY_CLASSES_ROOT＼inifile ＼shell＼open＼command和HKEY_CLASSES_ROOT ＼txtfile＼shell＼open＼command等等几个常用文件类型的默认打开程序是否被更改。这个一定要改回来，很多病毒就是通过修改.txt、.ini等的默认打开程序而清除不了的。例如“罗密欧与朱丽叶”?BleBla病毒就修改了很多文件(包括.jpg、.rar、.mp3等)的默认打开程序。　　　　检查你的系统配置文件 　　　　其实检查系统配置文件最好的方法是打开Windows“系统配置实用程序”(从开始菜单运行msconfig.exe)，在里面你可以配置Config.sys、Autoexec.bat、system.ini和win.ini，并且可以选择启动系统的时间。 　　　　1、检查win.ini文件(在C?＼windows＼下)，打开后，在?WINDOWS?下面，“run=”和“load=”是可能加载“木马”程序的途径，必须仔细留心它们。在一般情况下，在它们的等号后面什么都没有，如果发现后面跟有路径与文件名不是你熟悉的启动文件，你的计算机就可能中上“木马”了。比如攻击QQ的“GOP木马”就会在这里留下痕迹。 　　　　2、检查system.ini文件(在C:＼windows＼下)，在BOOT下面有个“shell=文件名”。正确的文件名应该是“explorer.exe”，如果不是“explorer.exe”，而是“shell= explorer.exe 程序名”，那么后面跟着的那个程序就是“木马”程序，然后你就要在硬盘找到这个程序并将其删除了。这类的病毒很多，比如“尼姆达”病毒就会把该项修改为“shell=explorer.exe load.exe -dontrunold”。　　　　QUOTE:　　　　查看文件属性帮你清除木马　　　　近日，笔者用BT下载了一个格斗游戏，运行***程序后没有任何反应。起初，笔者以为是***程序已经损坏就顺手给删掉了，没有特别留意。但第二天开机时，金山毒霸突然无法加载。由于以前也有过类似的经历，所以笔者感觉昨天下载的那个格斗游戏多半捆绑了木马。　　　　为了安全起见，笔者立刻断掉了网络连 接，然后打开“Windows任务管理器”，经过排除找到了名为“sprite.exe”的可疑进程。结束该进程后金山毒霸就可以正常运行了，但仍然无法查出木马的所在。利用Windows自带的搜索功能搜索“sprite.exe”，选择包括隐藏文件，也只搜到文件“sprite.exe”。正要删除时，笔者突发奇想：木马通常进驻内存时都会自动生成一些辅助文件，何不利用Windows自带的查看文件属性功能达到一劳永逸的目的?说干就干，找到文件“sprite.exe”用右键点击，在弹出的对话框中选择 “属性”，电脑显示该文件创建于日18:08:19。点击“开始→高级搜索”，将文件创建日期设定为10月9日，搜索……在搜索结果中找到两个创建时间为日18:08:19的文件:“Hiddukel.exe”和“Hiddukel.dll”(大小分别为71KB和15KB)，一并删除，大功告成。　　　　后来笔者从网上了解到这种木马叫做“妖精”。最新版本的杀毒软件和防火墙均不能清除这种木马。以下是手工清除此木马的方法:　　　　1.打开注册表编辑器，找到“HKEY_ CLASSES_ROOT\exefile\shell\open\command”下的“C:\Windows\System\Hiddukel.exe”键值和“HKEY_LOCAL_MACHINE\Software\CLASSES\exefile\shell\open\command”下的“C:\Windows\System\Hiddukel.exe”键值后，将它们删除；　　　　2.打开C:\Windows\System目录，找到Hiddukel.exe（71KB）和Hiddukel.dll（15KB）两个文件后，将它们删除；　　　　3.查找你的电脑里是否有Sprite.exe（132KB）或者crawler.exe（131KB），如果有的话也要彻底将它们删除。　　　　现在的木马多数都会在进驻内存时自动生成一些动态链接文件。笔者介绍的这种利用查看文件创建时间进行文件搜索的方法，有些时候是很好用的，感兴趣的朋友不妨试试（对于经常***游戏和软件的玩家可能不适用）。　　　　QUOTE:　　　　查看开放端口判断木马的方法　　　　当前最为常见的木马通常是基于TCP/UDP协议进行client端与server端之间的通讯的，既然利用到这两个协议，就不可避免要在server端（就是被种了木马的机器了）打开***端口来等待连接。例如鼎鼎大名的冰河使用的***端口是7626，Back Orifice 2000则是使用54320等等。那么，我们可以利用查看本机开放端口的方法来检查自己是否被种了木马或其它黑客程序。以下是详细方法介绍。　　　　1． Windows本身自带的netstat命令　　　　关于netstat命令，我们先来看看windows帮助文件中的介绍：　　　　Netstat　　　　显示协议统计和当前的 TCP/IP 网络连接。该命令只有在***了 TCP/IP 协议后才可以使用。　　　　netstat [-a] [-e] [-n] [-s] [-p protocol] [-r] [interval]　　　　参数　　　　-a　　　　显示所有连接和侦听端口。服务器连接通常不显示。　　　　-e　　　　显示以太网统计。该参数可以与 -s 选项结合使用。　　　　-n　　　　以数字格式显示地址和端口号（而不是尝试查找名称）。　　　　-s　　　　显示每个协议的统计。默认情况下，显示 TCP、UDP、ICMP 和 IP 的统计。-p 选项可以用来指定默认的子集。 　　　　-p protocol　　　　显示由 protocol 指定的协议的连接；protocol 可以是 tcp 或 udp。如果与 -s 选项一同使用显示每个协议的统计，protocol 可以是 tcp、udp、icmp 或 ip。　　　　-r　　　　显示路由表的内容。　　　　interval　　　　重新显示所选的统计，在每次显示之间暂停 interval 秒。按 CTRL+B 停止重新显示统计。如果省略该参数，netstat 将打印一次当前的配置信息。　　　　好了，看完这些帮助文件，我们应该明白netstat命令的使用方法了。现在就让我们现学现用，用这个命令看一下自己的机器开放的端口。进入到命令行下，使用netstat命令的a和n两个参数：　　　　C:\&netstat -an　　　　Active Connections　　　　Proto Local Address Foreign Address State　　　　TCP 0.0.0.0:80 0.0.0.0:0 LISTENING　　　　TCP 0.0.0.0:21 0.0.0.0:0 LISTENING　　　　TCP 0.0.0.0:.0.0:0 LISTENING　　　　UDP 0.0.0.0:445 0.0.0.0:0 　　　　UDP 0.0.0.0:.0.0:0 　　　　UDP 0.0.0.0:.0.0:0 　　　　解释一下，Active Connections是指当前本机活动连接，Proto是指连接使用的协议名称，Local Address是本地计算机的 IP 地址和连接正在使用的端口号，Foreign Address是连接该端口的远程计算机的 IP 地址和端口号，State则是表明TCP 连接的状态，你可以看到后面三行的***端口是UDP协议的，所以没有State表示的状态。看！我的机器的7626端口已经开放，正在***等待连接，像这样的情况极有可能是已经感染了冰河！急忙断开网络，用杀毒软件查杀病毒是正确的做法。　　　　2．工作在windows2000下的命令行工具fport　　　　使用windows2000的朋友要比使用windows9X的幸运一些，因为可以使用fport这个程序来显示本机开放端口与进程的对应关系。　　　　Fport是FoundStone出品的一个用来列出系统中所有打开的TCP/IP和UDP端口，以及它们对应应用程序的完整路径、PID标识、进程名称等信息的软件。在命令行下使用，请看例子：　　　　D:\&fport.exe　　　　FPort v1.33 - TCP/IP Process to Port Mapper　　　　Copyright 2000 by Foundstone, Inc.　　　　　　Pid Process Port Proto Path　　　　748 tcpsvcs -& 7 TCP C:\WINNT\System32\ tcpsvcs.exe　　　　748 tcpsvcs -& 9 TCP C:\WINNT\System32\tcpsvcs.exe　　　　748 tcpsvcs -& 19 TCP C:\WINNT\System32\tcpsvcs.exe　　　　416 svchost -& 135 TCP C:\WINNT\system32\svchost.exe　　　　是不是一目了然了。这下，各个端口究竟是什么程序打开的就都在你眼皮底下了。如果发现有某个可疑程序打开了某个可疑端口，可千万不要大意哦，也许那就是一只狡猾的木马！　　　　Fport的最新版本是2.0。在很多网站都提供下载，但是为了安全起见，当然最好还是到它的老家去下：/knowledge/zips/fport.zip　　3.与Fport功能类似的图形化界面工具Active Ports　　　　Active Ports为SmartLine出品，你可以用来监视电脑所有打开的TCP/IP/UDP端口，不但可以将你所有的端口显示出来，还显示所有端口所对应的程序所在的路径，本地IP和远端IP(试图连接你的电脑IP)是否正在活动。下面是软件截图：　　　　是不是很直观？更棒的是，它还提供了一个关闭端口的功能，在你用它发现木马开放的端口时，可以立即将端口关闭。这个软件工作在Windows NT/2000/XP平台下。你可以在http://www.smartline.ru/software/aports.zip得到它。　　　　其实使用windows xp的用户无须借助其它软件即可以得到端口与进程的对应关系，因为windows xp所带的netstat命令比以前的版本多了一个O参数，使用这个参数就可以得出端口与进程的对应来。　　　　上面介绍了几种查看本机开放端口，以及端口和进程对应关系的方法，通过这些方法可以轻松的发现基于TCP/UDP协议的木马，希望能给你的爱机带来帮助。但是对木马重在防范，而且如果碰上反弹端口木马，利用驱动程序及动态链接库技术制作的新木马时，以上这些方法就很难查出木马的痕迹了。所以我们一定要养成良好的上网习惯，不要随意运行邮件中的附件，***一套杀毒软件，像国内的瑞星就是个查杀病毒和木马的好帮手。从网上下载的软件先用杀毒软件检查一遍再使用，在上网时打开网络防火墙和病毒实时监控，保护自己的机器不被可恨的木马入侵。　　　　-------------------------------摘自百度网　　　　　　注释3　　恶意软件(流氓软件)定义：是指在未明确提示用户或未经用户许可的情况下，在用户计算机或其他终端上***运行，侵犯用户合法权益的软件，但已被我国现有法律法规规定的计算机病毒除外。 　　　　-强制***：指在未明确提示用户或未经用户许可的情况下，在用户计算机或其他终端上***软件的行为。 　　-难以卸载：指未提供通用的卸载方式，或在不受其他软件影响、人为破坏的情况下，卸载后仍活动程序的行为。 　　-浏览器劫持：指未经用户许可，修改用户浏览器或其他相关设置，迫使用户访问特定网站或导致用户无法正常上网的行为。 　　-广告弹出：指未明确提示用户或未经用户许可的情况下，利用***在用户计算机或其他终端上的软件弹出广告的行为。 　　-恶意收集用户信息：指未明确提示用户或未经用户许可，恶意收集用户信息的行为。 　　-恶意卸载：指未明确提示用户、未经用户许可，或误导、欺骗用户卸载非恶意软件的行为。 　　-恶意捆绑：指在软件中捆绑已被认定为恶意软件的行为。 　　-其他侵犯用户知情权、选择权的恶意行为。　　　　　　最早提出“流氓软件”概念的是国内最大的杀毒软件厂商瑞星公司。其一位负责人称，“流氓软件”的最大商业用途就是散布广告，并形成了整条灰色产业链：企业为增加注册用户、提高访问量或推销产品，向网络广告公司购买广告窗口流量，网络广告公司用自己控制的广告插件程序，在用户电脑中强行弹出广告窗口。而为了让广告插件神不知鬼不觉地进入用户电脑，大多数时候广告公司是通过联系热门免费共享软件的作者，以每次几分钱的价格把广告程序通过插件的形式捆绑到免费共享软件中，用户在下载***这些免费共享软件时广告程序也就趁虚而入。　　据称，网络广告的计费是按弹出次数进行的，使用“流氓软件”可以在用户根本没有授权的情况下随意弹出广告，提高广告弹出次数，籍此提高广告收益。一个“装机量”大的广告插件公司，凭“流氓软件”月收入在百万元以上。　　　　[律师说法]　　　　理抹“流氓”暂时没法　　　　反流氓软件联盟支援律师黄锦深在其博客上说，流氓软件的行径一旦形成犯罪，不容置疑应按刑法相关规定进行处置即可。但就其民事责任而言，我国目前在立法上仍是空白。黄认为，流氓软件占用用户电脑内存、使CPU运行速度下降、占用硬盘容量，已侵犯了用户的财产权。但侵犯财产权造成的损失怎么计算是个难题。　　　　《中华人民共和国消费者权益保护法》第七条规定了消费者财产不受损害的权利，第八条规定了消费者的知情权，第九条规定了消费者的选择权，第十条规定了消费者的公平交易权，第十一条规定了赔偿权。如果电脑用户因使用流氓软件而遭受财产损失，显然可以适用第七、第十条；如果流氓软件是在电脑用户不知情的情况下强行***，或劫持了浏览器，则可以适用第八、第九、第十条。黄锦深称，消法虽然提供了一定的法律依据，但以上法律规定并不是明确针对流氓软件而设。因此，社会期待尽快出台法规，还这一巨大市场的一片清静。记者罗曙驰　　　　“流氓软件”是介于病毒和正规软件之间的软件。 　　　　计算机病毒指的是：自身具有、或使其它程序具有破坏系统功能、危害用户数据或其它恶意行为的一类程序。这类程序往往影响计算机使用，并能够自我复制。 　　　　正规软件指的是：为方便用户使用计算机工作、娱乐而开发，面向社会公开发布的软件。 　　　　“流氓软件”介于两者之间，同时具备正常功能（下载、媒体播放等）和恶意行为（弹广告、开后门），给用户带来实质危害。 　　　　流氓软件的分类 　　　　根据不同的特征和危害，困扰广大计算机用户的流氓软件主要有如下几类： 　　　　1、广告软件（Adware） 　　　　定义：广告软件是指未经用户允许，下载并***在用户电脑上；或与其他软件捆绑，通过弹出式广告等形式牟取商业利益的程序。 　　　　危害：此类软件往往会强制***并无法卸载；在后台收集用户信息牟利，危及用户隐私；频繁弹出广告，消耗系统资源，使其运行变慢等。 　　　　例如：用户***了某下载软件后，会一直弹出带有广告内容的窗口，干扰正常使用。还有一些软件***后，会在IE浏览器的工具栏位置添加与其功能不相干的广告图标，普通用户很难清除。 　　　　2、间谍软件(Spyware) 　　　　定义：间谍软件是一种能够在用户不知情的情况下，在其电脑上***后门、收集用户信息的软件。 　　　　危害：用户的隐私数据和重要信息会被“后门程序”捕获，并被发送给黑客、商业公司等。这些“后门程序”甚至能使用户的电脑被远程操纵，组成庞大的“僵尸网络”，这是目前网络安全的重要隐患之一。 　　　　例如：某些软件会获取用户的软硬件配置，并发送出去用于商业目的。 　　　　3、浏览器劫持 　　　　定义：浏览器劫持是一种恶意程序，通过浏览器插件、BHO（浏览器辅助对象）、Winsock LSP等形式对用户的浏览器进行篡改，使用户的浏览器配置不正常，被强行引导到商业网站。 　　　　危害：用户在浏览网站时会被强行***此类插件，普通用户根本无法将其卸载，被劫持后，用户只要上网就会被强行引导到其指定的网站，严重影响正常上网浏览。 　　　　例如：一些不良站点会频繁弹出***窗口，迫使用户***某浏览器插件，甚至根本不征求用户意见，利用系统漏洞在后台强制***到用户电脑中。这种插件还采用了不规范的软件编写技术（此技术通常被病毒使用）来逃避用户卸载，往往会造成浏览器错误、系统异常重启等。 　　　　4、行为记录软件（Track Ware） 　　　　定义：行为记录软件是指未经用户许可，窃取并分析用户隐私数据，记录用户电脑使用习惯、网络浏览习惯等个人行为的软件。 　　　　危害：危及用户隐私，可能被黑客利用来进行网络诈骗。 　　　　例如：一些软件会在后台记录用户访问过的网站并加以分析，有的甚至会发送给专门的商业公司或机构，此类机构会据此窥测用户的爱好，并进行相应的广告推广或商业活动。 　　　　5、恶意共享软件(malicious shareware) 　　　　定义：恶意共享软件是指某些共享软件为了获取利益，采用诱骗手段、试用陷阱等方式强迫用户注册，或在软件体内捆绑各类恶意插件，未经允许即将其***到用户机器里。 　　　　危害：使用“试用陷阱”强迫用户进行注册，否则可能会丢失个人资料等数据。软件集成的插件可能会造成用户浏览器被劫持、隐私被窃取等。 　　　　例如：用户***某款媒体播放软件后，会被强迫***与播放功能毫不相干的软件（搜索插件、下载软件）而不给出明确提示；并且用户卸载播放器软件时不会自动卸载这些附加***的软件。 　　　　又比如某加密软件，试用期过后所有被加密的资料都会丢失，只有交费购买该软件才能找回丢失的数据。 　　　　6、其它 　　　　随着网络的发展，“流氓软件”的分类也越来越细，一些新种类的流氓软件在不断出现，分类标准必然会随之调整。　　　　近日，一些“流氓软件”引起了用户和媒体的强烈关注。它们往往采用特殊手段频繁弹出广告窗口、危及用户隐私，严重干扰用户的日常工作、数据安全和个人隐私。这些软件在软件用户中引起了公愤，许多用户指责它们为“彻头彻尾的流氓软件”。　　　　流氓软件是中国大陆对网络上散播的符合如下条件（主要是第一条）的软件的一种称呼：　　　　采用多种社会和技术手段，强行或者秘密***，并抵制卸载； 　　　　强行修改用户软件设置，如浏览器主页，软件自动启动选项，安全选项； 　　　　强行弹出广告，或者其他干扰用户占用系统资源行为； 　　　　有侵害用户信息和财产安全的潜在因素或者隐患； 　　　　未经用户许可，或者利用用户疏忽,或者利用用户缺乏相关知识，秘密收集用户个人信息、秘密和隐私。 　　　　这些软件也可能被称为恶意广告软件(adware)、间谍软件(spyware)、恶意共享软件(malicious shareware)。 与病毒或者蠕虫不同，这些软件很多不是小团体或者个人秘密地编写和散播，反而有很多知名企业和团体涉嫌此类软件。　　　　其中以雅虎旗下的3721最为知名和普遍，也比较典型。该软件采用多种技术手段强行***和对抗删除。很多用户投诉是在不知情的情况下遭到***，而其多种反卸载和自动恢复技术使得很多软件专业人员也感到难以对付，以至于其卸载成为大陆网站上的常常被讨论和咨询的技术问题。　　　　据北京网络协会发起和公布的调查说，在被举报投诉的前几名中比较知名的软件和企业有三七二一的上网助手和网络实名、阿里巴巴旗下的淘宝、ebay易趣、中国互联网络信息中心CNNIC的中文上网、百度的超级搜霸、雅虎的一搜等。　　　　部分被指名的企业否认或者部分否认这些指责，也有企业表示即将或者已经推出的新版软件已经对被投诉的问题作出改正。　　　　有观点认为此次调查原因是知名杀毒软件企业瑞星由于广告或者宣传目的进行的炒作。　　　　网络上有用户表示可以接受这些软件。　　　　“从刑法第268条规定来看，很多流氓软件甚至违法了我们国家的刑法；而根据中华人民共和国反不正当竞争法第9条，很多流氓软件违法了中华人民共和国反不正当竞争法。” 　　　　　　10月16日下午，从上海赶赴北京的国家反计算机入侵和防病毒研究中心总工程师金波，出席了中国反流氓软件联盟的首次媒体会议，向外界表示当前有很多流氓软件都涉嫌违法。 　　　　　　金波解释说，刑法上第268条规定，违反国家规定对计算机信息系统功能进行删除、修改、增加、干扰造成计算机信息系统不能正常运行后果严重的，处五年以下有期徒刑或者拘役，后果特别严重的处5年以上的有期徒刑。 　　　　　　违反国家规定对计算机信息系统中存储、处理或者传输的数据和应用程序进行删除、修改增加的操作，后果严重的按照前款规定进行处理，故意制作传播计算机病毒的破坏程序、影响计算机信息系统正常使用的，后果严重的依照第一款规定处罚。 　　　　　　“从这几条上面来看，很多流氓软件甚至违法了我们国家的刑法”，金波说。 　　　　　　而根据中华人民共和国反不正当竞争法第9条，经营者不得利用广告或者其他分发对商品的质量、制作成份、性能、用途、生产的有效期限、产地等有误解的虚假宣传。 　　　　　　金波指出，从以上一条上看很多“流氓软件”是作了虚假宣传，违法了中华人民共和国反不正当竞争法。 　　　　　　此外，金波还指出很多“流氓软件”对计算机信息的功能进行删除修改或者增加，或者破坏用户的隐私，违反了国务院的第147号令的规定。　　
楼主发言：1次 发图：0张 | 更多
　　这么专业啊
辛苦了哈 顶下
　　这套安全组合，是我一直津津乐道的。首先360安全卫士可以为你的计算机系统打上补丁，更重要的是安全卫士可以为你提供卡巴的短期序列号。而卡巴斯基是世界排名第二位的杀毒软件，很受国内欢迎。很多时候中了木马，卡巴也无能为例，这是就要请***G Anti-Spyware来帮忙了，***G Anti-Spyware是世界排名第一的木马软件ewido的升级产品。这三套软件组合起来，互不冲突，互相补缺。　　____________________-----------------------　　刚才试了一下，结果是用了卡巴，就登不上网络了，卸载了才能登上　　　　偶中了TXT
　　louzhuxinkule