木馬病毒是什麼

木馬病毒是甚麽?



特洛伊木馬程式(Trojan Horse)其實是一種惡性程式，和病毒(Virus)最大的不同是，特洛伊木馬通常不會自我複製，大多用來竊取電腦密碼。原則上它只是一種遠端管理工具。而且本身不帶傷害性，也沒有感染力，所以不能稱之為病毒(但也有人稱之為第二代病毒)。

特洛伊木馬程式一般是以尋找後門、竊取密碼為主的惡性程式。木馬是一類特殊的惡性程式，如果不小心使用了一個含有木馬程式的軟體，該木馬就會被"種"到電腦裡，以後上網時，電腦控制權就完全交給了"駭客"，他便能透過你的電腦，竊取密碼、信用卡號碼等機密資料，而且還可以對電腦進行監視、控制、查看、修改資料等操作。

許多的駭客會先偵測這部電腦中已開啟的port，然後試著利用一些應用軟體的漏洞，或是作業系統本身的bug來侵入這個通訊埠(port。所謂的port，就是電腦為了與外部網路上的資訊相回應所執行程式而開啟的通道)。但是，利用上述方法入侵費時費力。所以駭客會設計一些看似好玩的小遊戲或軟體來提供免費下載，或透過E-mail大量傳送。當使用者在電腦上執行了這些程式，將會被偷偷開啟一到多個port。此時，駭客即可大舉進攻，在電腦上盡情掠奪。這種入侵方式，即所謂的『特洛依木馬(Trojan Horse)』。(由此可知，不要到處下載安裝免費軟體、盡量別開啟執行E-mail附件檔)

在使用電腦的過程中您可能遇到如下情況：電腦的速度明顯下降，硬碟在不停地讀寫，滑鼠不聽使喚，鍵盤無效，使用中的視窗被關閉，新的視窗被莫名其妙地打開，網路傳輸指示燈一直在閃爍，電腦無故重開機…這些不正常現象，可能說明了你的電腦中了木馬程式。木馬是一種破壞力十分強的駭客工具，那應該如何檢測木馬的存在呢？下面介紹幾項木馬的特徵及預防的方法。

特洛伊木馬的特徵

1 不需要本身的使用者準許就可獲得電腦的使用權。

2 程式體積十分微小，執行時不會佔用太多資源。

3 執行時很難停止它的活動。

4 執行時不會在系統中顯示出來。

5 一次執行後，就會自動登錄在系統啟動區，之後

每次在 Windows 載入時自動執行。

6 一次執行後，就會自動變更檔名，甚至隱形。

7 一次執行後，會自動複製到其他資料夾中。

8 做到連本身使用者都無法執行的動作。



預 防 方 法

1 不要執行任何來歷不明的軟體

很多木馬病毒都是透過綁在其他的軟體中來傳播的，一旦運行了這個被綁定的軟體就會被感染，因此在下載軟體的時候需要特別注意。在軟體安裝之前一定要用防毒軟體檢查一下，建議用專門殺木馬的軟體來進行檢查，確定無毒後再使用。

2 不要隨意打開郵件附件

現在絕大部份木馬病毒都是透過郵件來傳遞的，而且有的還會連環擴散，連累其它電腦，因此對郵件附件的運行尤其需要注意。



3 重新選擇新的用戶端軟體

很多木馬病毒主要感染的是Microsoft的Outlook和Outlook Express的郵件用戶端軟體，因為這兩款軟體全球使用量最大，駭客們對它們的漏洞已經洞察得比較透徹。如果選用其他的郵件軟體，收到木馬病毒攻擊的可能性就會減小，至少不會反復感染給通訊錄中的好友。此外也可以直接透過Web方式來開啟信箱，這樣就能大大降低木馬病毒的感染機率。



4 將檔案總管設定成"始終顯示副檔名"

將Windows檔案總管設定成始終顯示副檔名，一些文件副檔名vbs、shs、pif的文件多為木馬病毒的特徵，如果碰到這些可疑的文件副檔名時就應該要特別注意。



5 儘量少用"共用文件夾"

如果因工作等原因必須將電腦設置成共用，則最好單獨開一個共用文件夾，把所有需共用的文件都放在這個共用文件夾中，注意千萬不要將系統目錄設置成共用。



6 執行反木馬即時監控軟體

木馬防範重要的一點就是在上網時最好執行反木馬即時監控軟體，The Cleaner等軟體一般都能即時顯示當前所有執行中的程式並有詳細的描述資訊。此外加上一些專業的最新的防毒軟體、個人防火牆等進行監控就可以放心了。



7 經常更新系統

很多木馬都是透過系統漏洞來進行攻擊的，微軟公司發現這些漏洞之後都會在第一時間內發佈更新檔，只要執行Windows Update更新系統就是一種最好的木馬防範辦法





冰河木馬原理揭秘

作者：傅歆 發文時間：2004.11.17





前 言



　　在網上，大家最關心的事情之一就是木馬：最近出了新的木馬嗎？木馬究竟能實現哪些功能？木馬如何防治？木馬究竟是如何工作的？本文試圖以我國最著名的木馬之一 冰河為例，向大家剖析木馬的基本原理，為大家揭開木馬的神秘面紗。



　　木馬冰河是用C++Builder寫的，為了便於大家理解，我將用相對比較簡單的VB來說明它，其中涉及到一些WinSock編程和Windows API的知識，如果你不是很了解的話，請去查閱相關的資料。



一、基礎篇（揭開木馬的神秘面紗）

　　無論大家把木馬看得多神秘，也無論木馬能實現多麼強大的功能，木馬，其實質只是一個網路客戶/服務程式。那麼，就讓我們從網路客戶/服務程式的編寫開始...



二、控制篇（木馬控制了這個世界！）

　　由於Win98開放了所有的許可權給用戶，因此，以用戶許可權運行的木馬程式幾乎可以控制一切，讓我們來看看冰河究竟能做些什麼(看了後,你會認同我的觀點:稱冰河為木馬是不恰當的,冰河實現的功能之多,足以成為一個成功的遠程式控制制軟體)。



三、潛行篇（Windows，一個捉迷藏的大森林）

　　木馬並不是合法的網路服務程式，因此，它必須想盡一切辦法隱藏自己，好在，Windows是一個捉迷藏的大森林!



四、破解篇（魔高一尺、道高一丈）

　　本文主要是探討木馬的基本原理,木馬的破解並非是本文的重點(也不是我的長處),具體的破解請大家期待yagami的《特洛伊木馬看過來》，本文只是對通用的木馬防禦、卸載方法做一個小小的總結。

　

五、狡詐篇（只要你的一點點疏忽......)

　　只要你有一點點的疏忽，就有可能被人安裝了木馬，知道一些給人種植木馬的常見伎倆對於保證自己的安全不無裨益。

特洛伊木馬 (電腦)
在電腦領域中，特洛伊木馬指的是一種後門程序，是駭客用來盜取其他用戶的個人信息，甚至是遠程式控制制對方的電腦而加殼製作，然後通過各種手段傳播或者騙取目標用戶執行該程序，以達到盜取密碼等各種數據資料等目的。與病毒相似，木馬程序有很強的隱秘性，隨作業系統啟動而啟動。但不會自我複製，這一點和病毒程序不一樣。
原理
一個完整的特洛伊木馬程序包含了兩部分：服務端（伺服器部分）和客戶端（控制器部分）。植入對方電腦的是服務端，而駭客正是利用客戶端進入運行了服務端的電腦。運行了木馬程序的服務端以後，會產生一個有著容易迷惑用戶的名稱的進程，暗中打開埠，向指定地點發送數據（如網路遊戲的密碼，QQ密碼和用戶上網密碼等），駭客甚至可以利用這些打開的埠進入電腦系統。
發展
木馬程序技術發展可以說非常迅速。主要是有些年輕人出於好奇，或是急於顯示自己實力，不斷改進木馬程序的編寫。至今木馬程序已經經歷了四代的改進：
第一代，是最原始的木馬程序。主要是簡單的密碼竊取，通過電子郵件發送信息等，具備了木馬最基本的功能。
第二代，在技術上有了很大的進步，冰河是中國木馬的典型代表之一。
第三代, 主要改進在數據傳遞技術方面，出現了ICMP等類型的木馬，利用畸形報文傳遞數據，增加了殺毒軟體查殺識別的難度。
第四代 在進程隱藏方面有了很大改動，採用了核心插入式的嵌入方式，利用遠程插入執行緒技術，嵌入DLL執行緒。或者掛接PSAPI,實現木馬程序的隱藏，甚至在Windows NT/2000下，都達到了良好的隱藏效果。灰鴿子和蜜蜂大盜是比較出名的DLL木馬。
專家相信，第五代木馬很快會出現。
中毒癥狀
木馬的植入通常是利用了作業系統的漏洞,繞過了對方的防禦措施（如防火牆）。中了特洛伊木馬程序的電腦，因為資源被占用，速度會減慢，莫名死機。
解決辦法
特洛伊木馬大部分可以被殺毒軟體識別清除。但很多時候，需要用戶去手動清除某些文件，註冊表項等。 不具有破壞防火牆功能的木馬可以被防火牆攔截。
著名的木馬
國外著名的木馬
Back Orifice （BO）
NetBus Pro
SUB7
國內著名的木馬
NetSpy
冰河 （木馬）
廣外女生
廣外男生
灰鴿子
蜜蜂大盜