关于木马的攻击与防范的 实验
您好：
建议您不要使用病毒类的软件来做实验，这种木马生成器一般都是带有后门的，很容易导致您的电脑被别人监控的，建议您卸载此程序以后使用腾讯电脑管家的杀毒功能对您的电脑杀毒吧，您可以点击这里下载最新版的腾讯电脑管家：最新版腾讯电脑管家下载
什么是木马？有什么用？
编辑本段二、木马原理
鉴于木马的巨大危害性，我们将分原理篇，防御与反击篇，资料篇三部分来详细介绍木马，希望大家对特洛伊木马这种攻击手段有一个透彻的了解。
【一、基础知识 】
在介绍木马的原理之前有一些木马构成的基础知识我们要事先加以说明,因为下面有很多地方会提到这些内容。
一个完整的木马系统由硬件部分，软件部分和具体连接部分组成。
(1)硬件部分：建立木马连接所必须的硬件实体。 控制端：对服务端进行远程控制的一方。 服务端：被控制端远程控制的一方。 INTERNET：控制端对服务端进行远程控制，数据传输的网络载体。
(2)软件部分：实现远程控制所必须的软件程序。 控制端程序：控制端用以远程控制服务端的程序。 木马程序：潜入服务端内部，获取其操作权限的程序。 木马配置程序：设置木马程序的端口号，触发条件，木马名称等，使其在服务端藏得更隐蔽的程序。
(3)具体连接部分：通过INTERNET在服务端和控制端之间建立一条木马通道所必须的元素。 控制端IP，服务端IP：即控制端，服务端的网络地址，也是木马进行数据传输的目的地。 控制端端口，木马端口：即控制端，服务端的数据入口，通过这个入口，数据可直达控制端程序或木马 程序。
用木马这种黑客工具进行网络入侵，从过程上看大致可分为六步(具体可见下图)，下面我们就按这六步来详细阐述木马的攻击原理。
一.配置木马
一般来说一个设计成熟的木马都有木马配置程序，从具体的配置内容看，主要是为了实现以下两方 面功能：
(1)木马伪装：木马配置程序为了在服务端尽可能的好的隐藏木马，会采用多种伪装手段，如修改图标 ，捆绑文件，定制端口，自我销毁等，我们将在“传播木马”这一节中详细介绍。
(2)信息反馈：木马配置程序将就信息反馈的方式或地址进行设置，如设置信息反馈的邮件地址，IRC号 ，ICO号等等，具体的我们将在“信息反馈”这一节中详细介绍。
【二、传播木马】.
(1)传播方式:
木马的传播方式主要有两种:一种是通过E-MAIL,控制端将木马程序以附件的形式夹在邮件中发送出 去, 收信人只要打开附件系统就会感染木马;另一种是软件下载，一些非正规的网站以提供软件下载为名义， 将木马捆绑在软件安装程序上，下载后，只要一运行这些程序，木马就会自动安装。
(2)伪装方式:
鉴于木马的危害性,很多人对木马知识还是有一定了解的,这对木马的传播起了一定的抑制作用,这 是木马设计者所不愿见到的,因此他们开发了多种功能来伪装木马,以达到降低用户警觉,欺骗用户的目的。
(一)修改图标
当你在E-MAIL的附件中看到这个图标时,是否会认为这是个文本文件呢?但是我不得不告 诉你,这也有可能是个木马程序,现在 已经有木马可以将木马服务端程序的图标改成HTML,TXT, ZIP等各种文件的图标,这有相当大的迷 惑性,但是目前提供这种功能的木马还不多见,并且这种 伪装也不是无懈可击的,所以不必整天提心吊胆,疑神疑鬼的。
(二)捆绑文件
这种伪装手段是将木马捆绑到一个安装程序上,当安装程序运行时,木马在用户毫无察觉的 情况下 ,偷偷的进入了系统。至于被捆绑的文件一般是可执行文件(即EXE,COM一类的文件)。
(三)出错显示
有一定木马知识的人都知道,如果打开一个文件,没有任何反应,这很可能就是个木马程序, 木马的 设计者也意识到了这个缺陷,所以已经有木马提供了一个叫做出错显示的功能。当服务 端用户打开木 马程序时,会弹出一个如下图所示的错误提示框(这当然是假的),错误内容可自由 定义,大多会定制成 一些诸如“文件已破坏，无法打开的！”之类的信息，当服务端用户信以 为真时,木马却悄悄侵入了 系统。
(四)定制端口
很多老式的木马端口都是固定的,这给判断是否感染了木马带来了方便,只要查一下特定的 端口就 知道感染了什么木马,所以现在很多新式的木马都加入了定制端口的功能,控制端用户可 以在1024---65535之间任选一个端口作为木马端口(一般不选1024以下的端口)，这样就给判断 所感染木马类型带 来了麻烦。
(五)自我销毁
这项功能是为了弥补木马的一个缺陷。我们知道当服务端用户打开含有木马的文件后，木马 会将自己拷贝到WINDOWS的系统文件夹中(C:WINDOWS或C:WINDOWSSYSTEM目录下)，一般来说 原木马文件 和系统文件夹中的木马文件的大小是一样的(捆绑文件的木马除外),那么中了木马 的朋友只要在近来 收到的信件和下载的软件中找到原木马文件,然后根据原木马的大小去系统 文件夹找相同大小的文件, 判断一下哪个是木马就行了。而木马的自我销毁功能是指安装完木 马后，原木马文件将自动销毁，这 样服务端用户就很难找到木马的来源，在没有查杀木马的工 具帮助下，就很难删除木马了。
木马是怎样设置的大神们帮帮忙
一个完整的木马系统由硬件部分、软件部分和具体连接部分组成。 1.硬件部分 建立木马连接所必须的硬件实体。 控制端：对服务端进行远程控制的一方。 服务端：被控制端远程控制的一方。 INTERNET：控制端对服务端进行远程控制，数据传输的网络载体。 2.软件部分 实现远程控制所必须的软件程序。 控制端程序：控制端用以远程控制服务端的程序。 木马程序：潜入服务端内部，获取其操作权限的程序。 木马配置程序：设置木马程序的端口号，触发条件，木马名称等，使其在服务端藏得更隐蔽的程序。 3.具体连接部分 通过INTERNET在服务端和控制端之间建立一条木马通道所必须的元素。 控制端IP，服务端IP：即控制端，服务端的网络地址，也是木马进行数据传输的目的地。 控制端端口，木马端口：即控制端，服务端的数据入口，通过这个入口，数据可直达控制端程序或木马程序。
怎么用木马？
木马和冰河的使用！【教程】
木马
大家对他的名字很熟悉吧？？是啊木马作为一个远程控制的软件已经深入人心，木马是
什么那？如何使用木马程序控制他人那？？先不要着急，我们来看看木马的发展，对这
个工具作一个简单的介绍：
黑客程序里的特洛伊木马有以下的特点：
（1）主程序有两个，一个是服务端，另一个是控制端。（如果你下载了，请千万不要
用鼠标双击服务器端）
（2）服务端需要在主机（被你控制的电脑）执行。
（3）一般特洛伊木马程序都是隐蔽的进程。（需要专业的软件来查杀，也有不用软件
查杀的办法，我会介绍）
（4）当控制端连接服务端主机后，控制端会向服务端主机发出命令。而服务端主机在
接受命令后，会执行相应的任务。
（5）每个系统都存在特洛伊木马。（包括Windows，Unix，liunx等）
眼中，特洛伊木马是一种病毒。其实特洛伊木马并不是一种病毒，它没有完全具备病
毒的性质。（包括：转播，感染文件等，但是很多的杀毒软件还是可以查杀，毕竟这是
一种使用简单但是危害比较大的软件）
木马的发展：
第一代木马：控制端 -- 连接 -- 服务端
特点：属于被动型木马。能上传，下载，修改注册表，得到内存密码等。
典型木马：冰河，NetSpy，back orifice（简称：BO）等。
第二代木马：服务端 -- 连接 -- 控制端
特点：属于主动型木马。隐蔽性更强，有利用ICMP协议隐藏端口的，有利用DLL（动态
连接库）隐藏进程的，甚至出现能传播的木马。
典型木马：网络神偷，广外女生等。（反弹端口型木马）
第二代木马象广外女生可以使用WINDOWS的漏洞，越过许多防火墙从而进行对系统的监
控（像金山，天网等）
随着木马的发展，并且作为很多人使用的软件，杀毒软件也越来越对这个传播很广的半
病毒不病毒的软件越来越关注（因为作为服务器端可以夹带在任何文件中传播，只要你
打开这个文件，你就肯定会被中上木马，甚至可以在网络上通过下载来传播）所以查杀
木马的工具很多，但是道高一尺，魔高一丈，木马又不断演化出新的品种来对抗杀毒软
件，毕竟中国的广大网民的安全意识不高，加上盗版猖狂，可以正式在网络上进行升级
的并不多，所以木马还是很有使用空间的。下面，我们将介绍一款国产的木马-------
冰河。
需要工具：冰河（随便你找什么版本，因为界面根本就差不多）
Superscan3.0 中文汉化版（上黑白搜索一下可以找到）
首先最重要的一步-------工具接压缩（啊~~我知道是废话。。大家多多包涵嘛。。不
要打拉）
然后运行Superscan3.0（就是那连着的两个电脑图标）
出现界面在IP表里面有两个选项
起始IP：
终止IP：
随便填上两个IP地址（最好是C类IP范围从192.0.0.0--223.255.255.255）
顺便讲一下IP的类型：
A类范围：0.0.0.0---127.255.255.255
B类范围：128.0.0.0---191.255.255.255
C类范围：192.0.0.0---223.255.255.255
D类范围：224.0.0.0---239.255.255.255
E类范围：240.0.0.0---247.255.255.255
一般只有B、C类用的着D类地址是用于多点播送的其他的我也不是很清楚，有兴趣的朋
友可以看看相关的资料。。。。。
闲话说到这里我们继续看起始IP和终止IP
我给大家一个参考
起始IP：202.103.139.1
终止IP：2020103.139.255
填好这个在扫描类型里看列表中定义：
你可以扫描很多的端口，但那对我们的木马攻击没有实际意义
所以我们把两个窗口填上7626（冰河服务端开的端口）。
好了，点开始。
扫描结果会出现在底下兰色的列表中
当然不是所有的结果都有用你要按“Prune”把多余的IP删除掉。剩下IP就是中了冰河
的主机。（假如没有找到，请不要灰心，继续扫描。一个成功的黑客最重要是有耐心
！）
好了打开我们的冰河的客户端（再次提醒！！千万不要点服务器端！！！否则你等于种
木马给自己！！什么？？你已经点了？？你不会那么傻吧。。。。）
具体功能包括:
1．自动跟踪目标机屏幕变化，同时可以完全模拟键盘及鼠标输入,即在同步被控端屏幕
变化的同时，监控端的一切键盘及鼠标*作将反映在被控端屏幕（局域网适用）；
2．记录各种口令信息：包括开机口令、屏保口令、各种共享资源口令及绝大多数在对
话框中出现过的口令信息；
3．获取系统信息：包括计算机名、注册公司、当前用户、系统路径、*作系统版本、当
前显示分辨率、物理及逻辑磁盘信息等多项系统数据；
4．限制系统功能：包括远程关机、远程重启计算机、锁定鼠标、锁定系统热键及锁定
注册表等多项功能限制；
5．远程文件*作：包括创建、上传、下载、复制、删除文件或目录、文件压缩、快速浏
览文本文件、远程打开文件（提供了四中不同的打开方式--正常方式、最大化、最小化
和隐藏方式）等多项文件*作功能；
6．注册表*作：包括对主键的浏览、增删、复制、重命名和对键值的读写等所有注册表
*作功能；
7．发送信息：以四种常用图标向被控端发送简短信息；
8．点对点通讯：以聊天室形式同被控端进行在线交谈。
呵呵，是不是很拽？？哼哼~~我叫你不服！！！我要删掉你C盘文件！！！修改你注册
表！！盗你QQ号码！！上网帐号！！
！………………………………………………………………
罗嗦一下！！你们千万不要搞破坏哦，学会了使用就好。。。
接着，我会介绍特洛伊木马“冰河”的使用：
首先打开客户端
出现*作界面
文件 编辑 设置 帮助
点文件出现下拉菜单
点自动搜索
出现提示框
里面只有起始域 起使地址 终止地址
这三个比较有用
比如我刚才用Superscan3.0 中文汉化版搜索到的IP是202.103.139.25
那么我们就在起始域里输入：202.103.139
起始地址：25
终止地址：25
表示搜索这一个主机
如果扫描结果里显示ERR表示该计算机没有种木马，如果是OK你就爽拉~~
（你也可以在起始域里输入：202.103.139起始里面：1终止里面255，这样是搜索
202.103.139子网里所有的计算机）
看到这里有的朋友会问拉，既然木马可以自己扫描为什么还要上面哪个工具？？嘿嘿~~
哪个比较快嘛，多学一点没有坏处的~~（啊~~我错了还不行？？大家息怒）
只要有扫到的OK的IP就会把该计算机的IP添到主界面的文件管理的下面他的前面有一个
小加号，点开他你可以随便对对方的文件进行修改删除了，你甚至可以上传一个病毒到
他的文件夹中（不推荐，你们没那么大仇吧？？）
好了我们再来看看文件管理右面的命令控制台，这里有你感兴趣的东西哦~~命令很简单
都是一看就会的，你们只要每个都实验一下就知道作什么用的拉
由于危害性我只介绍一个点“命令控制台”---“控制类命令”---“系统控制”
简单的就象小孩子的游戏~~~
看看下面有什么？？
远程关闭计算机
远程从新启动计算机
后面两个没什么用不理他也罢
你只要点一下远程“关闭计算机”
OK拉，他的电脑自己关机拉，不相信？？好，QQ上和他说话，他能回答你才怪：）
好了，关于*作的方法我已经向大家介绍了，这是一个傻瓜式的软件，*作命令全中文，
作用一看就知道，很容易上手，用他来盗QQ也不错哦~~~~（在口令类命令的系统信息及
口令里，要先做键盘记录哦）具体方法请自己研究，我可不想犯罪。。
关于使用方法就介绍到这里，到这里以上为止都是对不特定人物的入侵，那么要怎么对
特定的人物进行入侵那？？记得我不叫你们点的服务器端吗？呵呵，就是他，他是没有
图标的一个运行文件，可以夹带在几乎任何文件里运送，比如照片，FLASH等……（有
相关的合成软件，我不知道具体那里有下载，不过我有的，你们需要可以找我，不过不
要拿来作坏事）你只需要给你的网友用QQ传送个照片呀，一篇文章呀就可以顺利种上木
马，然后你要取得他（她）的IP地址就可以对他进行控制拉，这方法不是我教你们的啊
！！以后不要出卖我，还有电子邮件也可以传播。。。。。。。木马病毒。。
方法有很多大家可以自己研究。。。。。。
下面有几点提示：
1：为什么我解压缩的时候杀毒软件老是报有病毒呀？？
木马本身就是一个病毒，只要你不点服务器端，对你不会造成任何影响
运行的时候也要关掉防火墙，否则系统无法运行。
2：为什么我种上木马以后连接不到计算机？？
很简单，你的版本过旧拉，去下载新的版本吧，再者对方在网吧，由于
设定和家里不一样所以无法连接请尽量选择在家里的倒霉鬼进行实验。
什么？？你不知道他是不是在家？？看QQ的IP地址
比如对方IP是202.103.139.22：4000表示在家
202.103.139.22：1030网吧
只有后面是4000、7000的用户是在家
有的时候是4001、4002表示对方现在运行的QQ数目，不用管他
3：关于冰河的万能密码：
2.2版：Can you speak chinese?
2.2版：05181977
3.0版：yzkzero
3.0版：yzkzero.51.net
3.0版：yzkzero!
3.1-netbug版密码: 123456!@
2.2杀手专版：05181977
2.2杀手专版：dzq2000!
有的是要密码口令登陆的，不过一般不要，也不用刻意注意
4：我也种上服务器端了，对方也在家，他也并没发觉我给他种了，但就是连接不正常
呵呵，对方懂得使用代理服务器那你看到的IP地址不是真实的IP地址。这种情况，你还
是放弃吧。
5：冰河是一个很麻烦的家伙，卸载很麻烦就是你安装以后卸载和其他的程序不一样
网上相关文章很多，我由于最近考试关系就不一一介绍了，你可以去黑白网络看看：）
6：如果清除冰河服务端：
方法一： 俗话说，解铃还需系铃人。中了冰河，就用它的控制端来卸载服务端。具体
方法：
1、启动“冰河”的控制端程序。
2、选择“文件”--“添加主机”，或者直接点击快接按钮栏的第一个图标 。
3、弹出的对话框中，“远程主机”一项，填写自己的IP。
4、连接服务端，然后，点击“命令控制台”标签。
5、选择“控制类命令”--“系统控制”，在右面的窗口下方，你会发现四个按钮。点
击“自动卸载”，就将冰河的服务器端清除了。
方法二：
冰河 v1.1
1、打开注册表“Regedit.exe”。（可以在“开始”--“运行”里输入
“regedit”。）
2、点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
3、查找以下的两个路径，并删除
“C:\windows\system\kernel32.exe”
"“C:\windows\system\sysexplr.exe”
4、关闭“Regedit.exe”，重新启动Windows。
5、删除“C:\windows\system\kernel32.exe”和
“C:\windows\system\sysexplr.exe”木马程序。
6：重新启动。完成。
方法一是对于你给别人种的服务器端的，记得玩完以后给人家清除掉，作事情不要那么
决情！！
方法二是对于清除自己计算机里的服务器端的，现在就好好看看是不是由于自己的疏忽
被人家种下冰河。。。。。。。。。
小结：对于木马的大家庭来说冰河只是一个小弟弟，但是大家也看到了他的危害性，所
以本人只建议大家学习这个软件，并不是用他去干什么，恶意破坏是低级黑客（根本可
以说是菜鸟）的做法，建议大家不要搞破坏，学习就好。。。。。。。。。。
什么是木马
木马
特洛伊木马(以下简称木马)，英文叫做“Trojan horse”，其名称取自希腊神话的特洛伊木马记。
它是一种基于远程控制的黑客工具，具有隐蔽性和非授权性的特点。
所谓隐蔽性是指木马的设计者为了防止木马被发现，会采用多种手段隐藏木马，这样服务端即使发现感染了木马，由于不能确定其具体位置，往往只能望“马”兴叹。
所谓非授权性是指一旦控制端与服务端连接后，控制端将享有服务端的大部分操作权限，包括修改文件，修改注册表，控制鼠标，键盘等等，而这些权力并不是服务端赋予的，而是通过木马程序窃取的。
从木马的发展来看，基本上可以分为两个阶段。
最初网络还处于以UNIX平台为主的时期，木马就产生了，当时的木马程序的功能相对简单，往往是将一段程序嵌入到系统文件中，用跳转指令来执行一些木马的功能，在这个时期木马的设计者和使用者大都是些技术人员，必须具备相当的网络和编程知识。
而后随着WINDOWS平台的日益普及，一些基于图形操作的木马程序出现了，用户界面的改善，使使用者不用懂太多的专业知识就可以熟练的操作木马，相对的木马入侵事件也频繁出现，而且由于这个时期木马的功能已日趋完善，因此对服务端的破坏也更大了。
所以所木马发展到今天，已经无所不用其极，一旦被木马控制，你的电脑将毫无秘密可言。
鉴于木马的巨大危害性，我们将分原理篇，防御与反击篇，资料篇三部分来详细介绍木马，希望大家对特洛伊木马这种攻击手段有一个透彻的了解。
原 理 篇
基础知识
在介绍木马的原理之前有一些木马构成的基础知识我们要事先加以说明,因为下面有很多地方会提到这些内容。
一个完整的木马系统由硬件部分，软件部分和具体连接部分组成。
(1)硬件部分：建立木马连接所必须的硬件实体。 控制端：对服务端进行远程控制的一方。 服务端：被控制端远程控制的一方。 INTERNET：控制端对服务端进行远程控制，数据传输的网络载体。
(2)软件部分：实现远程控制所必须的软件程序。 控制端程序：控制端用以远程控制服务端的程序。 木马程序：潜入服务端内部，获取其操作权限的程序。 木马配置程序：设置木马程序的端口号，触发条件，木马名称等，使其在服务端藏得更隐蔽的程序。
(3)具体连接部分：通过INTERNET在服务端和控制端之间建立一条木马通道所必须的元素。 控制端IP，服务端IP：即控制端，服务端的网络地址，也是木马进行数据传输的目的地。 控制端端口，木马端口：即控制端，服务端的数据入口，通过这个入口，数据可直达控制端程序或木马 程序。
木马原理
用木马这种黑客工具进行网络入侵，从过程上看大致可分为六步(具体可见下图)，下面我们就按这六步来详细阐述木马的攻击原理。
一.配置木马
一般来说一个设计成熟的木马都有木马配置程序，从具体的配置内容看，主要是为了实现以下两方 面功能：
(1)木马伪装：木马配置程序为了在服务端尽可能的好的隐藏木马，会采用多种伪装手段，如修改图标 ，捆绑文件，定制端口，自我销毁等，我们将在“传播木马”这一节中详细介绍。
(2)信息反馈：木马配置程序将就信息反馈的方式或地址进行设置，如设置信息反馈的邮件地址，IRC号 ，ICO号等等，具体的我们将在“信息反馈”这一节中详细介绍。
二.传播木马
(1)传播方式:
木马的传播方式主要有两种:一种是通过E-MAIL,控制端将木马程序以附件的形式夹在邮件中发送出 去, 收信人只要打开附件系统就会感染木马;另一种是软件下载，一些非正规的网站以提供软件下载为名义， 将木马捆绑在软件安装程序上，下载后，只要一运行这些程序，木马就会自动安装。
(2)伪装方式:
鉴于木马的危害性,很多人对木马知识还是有一定了解的,这对木马的传播起了一定的抑制作用,这 是木马设计者所不愿见到的,因此他们开发了多种功能来伪装木马,以达到降低用户警觉,欺骗用户的目的。
(一)修改图标
当你在E-MAIL的附件中看到这个图标时,是否会认为这是个文本文件呢?但是我不得不告 诉你,这也有可能是个木马程序,现在 已经有木马可以将木马服务端程序的图标改成HTML,TXT, ZIP等各种文件的图标,这有相当大的迷 惑性,但是目前提供这种功能的木马还不多见,并且这种 伪装也不是无懈可击的,所以不必整天提心吊胆,疑神疑鬼的。
(二)捆绑文件
这种伪装手段是将木马捆绑到一个安装程序上,当安装程序运行时,木马在用户毫无察觉的 情况下 ,偷偷的进入了系统。至于被捆绑的文件一般是可执行文件(即EXE,COM一类的文件)。
(三)出错显示
有一定木马知识的人都知道,如果打开一个文件,没有任何反应,这很可能就是个木马程序, 木马的 设计者也意识到了这个缺陷,所以已经有木马提供了一个叫做出错显示的功能。当服务 端用户打开木 马程序时,会弹出一个如下图所示的错误提示框(这当然是假的),错误内容可自由 定义,大多会定制成 一些诸如“文件已破坏，无法打开的！”之类的信息，当服务端用户信以 为真时,木马却悄悄侵入了 系统。
(四)定制端口
很多老式的木马端口都是固定的,这给判断是否感染了木马带来了方便,只要查一下特定的 端口就 知道感染了什么木马,所以现在很多新式的木马都加入了定制端口的功能,控制端用户可 以在1024---65535之间任选一个端口作为木马端口(一般不选1024以下的端口)，这样就给判断 所感染木马类型带 来了麻烦。
(五)自我销毁
这项功能是为了弥补木马的一个缺陷。我们知道当服务端用户打开含有木马的文件后，木马 会将自己拷贝到WINDOWS的系统文件夹中(C:WINDOWS或C:WINDOWSSYSTEM目录下)，一般来说 原木马文件 和系统文件夹中的木马文件的大小是一样的(捆绑文件的木马除外),那么中了木马 的朋友只要在近来 收到的信件和下载的软件中找到原木马文件,然后根据原木马的大小去系统 文件夹找相同大小的文件, 判断一下哪个是木马就行了。而木马的自我销毁功能是指安装完木 马后，原木马文件将自动销毁，这 样服务端用户就很难找到木马的来源，在没有查杀木马的工 具帮助下，就很难删除木马了。
(六)木马更名
安装到系统文件夹中的木马的文件名一般是固定的，那么只要根据一些查杀木马的文章,按 图索骥在系统文件夹查找特定的文件,就可以断定中了什么木马。所以现在有很多木马都允许控 制端用户自由定制安装后的木马文件名，这样很难判断所感染的木马类型了。
三.运行木马
服务端用户运行木马或捆绑木马的程序后,木马就会自动进行安装。首先将自身拷贝到WINDOWS的 系统文件夹中(C:WINDOWS或C:WINDOWSSYSTEM目录下),然后在注册表,启动组,非启动组中设置好木马 的触发条件 ,这样木马的安装就完成了。安装后就可以启动木马了，具体过程见下图：
(1)由触发条件激活木马
触发条件是指启动木马的条件,大致出现在下面八个地方:
1.注册表:打开HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersion下的五个以Run 和RunServices主键,在其中寻找可能是启动木马的键值。
2.WIN.INI:C:WINDOWS目录下有一个配置文件win.ini，用文本方式打开，在[windows]字段中有启动 命令 load=和run=,在一般情况下是空白的,如果有启动程序,可能是木马。 3.SYSTEM.INI:C:WINDOWS目录下有个配置文件system.ini，用文本方式打开，在[386Enh],[mic]， [drivers32]中有命令行,在其中寻找木马的启动命令。
4.Autoexec.bat和Config.sys:在C盘根目录下的这两个文件也可以启动木马。但这种加载方式一般都 需要控制端用户与服务端建立连接后，将已添加木马启动命令的同名 文件上传 到服务端覆盖这两个文件才行。
5.*.INI:即应用程序的启动配置文件，控制端利用这些文件能启动程序的特点，将制作好的带有木马 启动命令的同名文件上传到服务端覆盖这同名文件，这样就可以达到启动木马的目的了。
6.注册表:打开HKEY_CLASSES_ROOT文件类型\shellopencommand主键,查看其键值。举个例子,国产 木马“冰河”就是修改HKEY_CLASSES_ROOT xtfileshellopencommand下的键值,将“C :WINDOWS NOTEPAD.EXE %1”该为“C:WINDOWSSYSTEMSYXXXPLR.EXE %1”，这时你双 击一个TXT文件 后，原本应用NOTEPAD打开文件的，现在却变成启动木马程序了。还要说明 的是不光是TXT文件 ，通过修改HTML，EXE，ZIP等文件的启动命令的键值都可以启动木马 ，不同之处只在于“文件类型”这个主键的差别，TXT是txtfile,ZIP是WINZIP，大家可以 试着去找一下。
7.捆绑文件:实现这种触发条件首先要控制端和服务端已通过木马建立连接，然后控制端用户用工具 软件将木马文件和某一应用程序捆绑在一起，然后上传到服务端覆盖原文件，这样即使 木马被删 除了，只要运行捆绑了木马的应用程序，木马又会被安装上去了。
.....................
0条大神的评论