什么是木马病毒
木马病毒源自古希腊特洛伊战争中著名的“木马计”而得名，顾名思义就是一种伪装潜伏的网络病毒，等待时机成熟就出来害人。
传染方式:通过电子邮件附件发出，捆绑在其他的程序中。
病毒特性:会修改注册表、驻留内存、在系统中安装后门程序、开机加载附带的木马。
木马病毒的破坏性:木马病毒的发作要在用户的机器里运行客户端程序，一旦发作，就可设置后门，定时地发送该用户的隐私到木马程序指定的地址，一般同时内置可进入该用户电脑的端口，并可任意控制此计算机，进行文件删除、拷贝、改密码等非法操作。
防范措施:用户提高警惕，不下载和运行来历不明的程序，对于不明来历的邮件附件也不要随意打开。
电脑好像中了影视剧虚假木马病 毒，我该怎么办
中毒后症状： 1.计算机系统运行速度减慢。 2.计算机系统经常无故发生死机。 3.计算机系统中的文件长度发生变化。 4.计算机存储的容量异常减少。 5.系统引导速度减慢。 6.丢失文件或文件损坏。 7.计算机屏幕上出现异常显示。 8.计算机系统的蜂鸣器出现异常声响。 9.磁盘卷标发生变化。 10.系统不识别硬盘。 11.对存储系统异常访问。 12.键盘输入异常。 13.文件的日期、时间、属性等发生变化。 14.文件无法正确读取、复制或打开。 15.命令执行出现错误。 16.虚假报警。 17.换当前盘。有些病毒会将当前盘切换到C盘。 18.时钟倒转。有些病毒会命名系统时间倒转，逆向计时。 19.WINDOWS操作系统无故频繁出现错误。 20.系统异常重新启动。 21.一些外部设备工作异常。 22.异常要求用户输入密码。 23.WORD或EXCEL提示执行“宏”。 24.是不应驻留内存的程序驻留内存。历史上的一些病毒事件： 1．Elk Cloner（1982年） 它被看作攻击个人计算机的第一款全球病毒，也是所有令人头痛的安全问题先驱者。它通过苹果Apple II软盘进行传播。这个病毒被放在一个游戏磁盘上，可以被使用49次。在第50次使用的时候，它并不运行游戏，取而代之的是打开一个空白屏幕，并显示一首短诗。 2．Brain（1986年） Brain是第一款攻击运行微软的受欢迎的操作系统DOS的病毒，可以感染360K软盘的病毒，该病毒会填充满软盘上未用的空间，而导致它不能再被使用。 3．Morris（1988年） Morris该病毒程序利用了系统存在的弱点进行入侵，Morris设计的最初的目的并不是搞破坏，而是用来测量网络的大小。但是，由于程序的循环没有处理好，计算机会不停地执行、复制Morris，最终导致死机。 4．CIH（1998年） CIH病毒是迄今为止破坏性最严重的病毒，也是世界上首例破坏硬件的病毒。它发作时不仅破坏硬盘的引导区和分区表，而且破坏计算机系统BIOS，导致主板损坏。 此病毒是由台湾大学生陈盈豪研制的，据说他研制此病毒的目的是纪念1986年的灾难或是让反病毒软件难堪。 5．Melissa（1999年） Melissa是最早通过电子邮件传播的病毒之一，当用户打开一封电子邮件的附件，病毒会自动发送到用户通讯簿中的前50个地址，因此这个病毒在数小时之内传遍全球。 6．Love bug（2000年） Love bug也通过电子邮件附近传播，它利用了人类的本性，把自己伪装成一封求爱信来欺骗收件人打开。这个病毒以其传播速度和范围让安全专家吃惊。在数小时之内，这个小小的计算机程序征服了全世界范围之内的计算机系统。 7．“红色代码”（2001年） 被认为是史上最昂贵的计算机病毒之一，这个自我复制的恶意代码“红色代码”利用了微软IIS服务器中的一个漏洞。该蠕虫病毒具有一个更恶毒的版本，被称作红色代码II。这两个病毒都除了可以对网站进行修改外，被感染的系统性能还会严重下降。 8．“Nimda”（2001年） 尼姆达(Nimda)是历史上传播速度最快的病毒之一，在上线之后的22分钟之后就成为传播最广的病毒。 9．“冲击波”（2003年） 冲击波病毒的英文名称是Blaster，还被叫做Lovsan或Lovesan，它利用了微软软件中的一个缺陷，对系统端口进行疯狂攻击，可以导致系统崩溃。 10．“震荡波”（2004年） 震荡波是又一个利用Windows缺陷的蠕虫病毒，震荡波可以导致计算机崩溃并不断重启。 11．“熊猫烧香”（2007年） 熊猫烧香会使所有程序图标变成熊猫烧香，并使它们不能应用。 12．“扫荡波”(2008年) 同冲击波和震荡波一样，也是个利用漏洞从网络入侵的程序。而且正好在黑屏事件，大批用户关闭自动更新以后，这更加剧了这个病毒的蔓延。这个病毒可以导致被攻击者的机器被完全控制。 13．“Conficker”（2008年） Conficker.C病毒原来要在2009年3月进行大量传播，然后在4月1日实施全球性攻击，引起全球性灾难。不过，这种病毒实际上没有造成什么破坏。 14．“木马下载器”(2009年) 本年度的新病毒,中毒后会产生1000~2000不等的木马病毒,导致系统崩溃,短短3天变成360安全卫士首杀榜前3名(现在位居榜首) 15.“鬼影病毒”（2010年） 该病毒成功运行后，在进程中、系统启动加载项里找不到任何异常，同时即使格式化重装系统，也无法将彻底清除该病毒。犹如“鬼影”一般“阴魂不散”，所以称为“鬼影”病毒。 16 .“极虎病毒”（2010年） 该病毒类似qvod播放器的图标。感染极虎之后可能会遭遇的情况：计算机进程中莫名其妙的有ping.exe 和rar.exe进程，并且cpu占用很高，风扇转的很响很频繁（手提电脑），并且这两个进程无法结束。某些文件会出现usp10.dll、lpk.dll文件，杀毒软件和安全类软件会被自动关闭，如瑞星、360安全卫士等如果没有及时升级到最新版本都有可能被停掉。破坏杀毒软件，系统文件，感染系统文件，让杀毒软件无从下手。极虎病毒最大的危害是造成系统文件被篡改，无法使用杀毒软件进行清理，一旦清理，系统将无法打开和正常运行，同时基于计算机和网络的帐户信息可能会被盗，如网络游戏帐户、银行帐户、支付帐户以及重要的电子邮件帐户等。 防御病毒和减少中毒的方法：1.尽量少到一些不知名的网站下载软件，比如：外挂软件，特别是不知名的网站下载的外挂，十挂九木马。（下载一般的软件，如PPS，QQ等可以到官网下载，或者到一些知名的软件站下载，华军软件站，天空软件站...这些都是不错的）2.不要随便点开QQ好友发的一些网站。（问问是不是本人发的，很多是好友电脑中毒了自动发的）3.安装杀毒软件。4.给系统打补丁修复漏洞。 毒杀不干净，很多时候是因为病毒正在运行着，无法删除。这种情况可以通过进入安全模式下查杀解决。同时有些顽固的病毒，需要手动清除一些东西，配合杀毒软件才能很好有效的根除。我都好几年没遇到因为中毒而重装系统情况了...我个人认为，稍微了解一些简单的计算机安全方面知识，具备一定的辨别能力，有良好的上网习惯，这样就能很大程度的减小中毒的概率（几乎远离病毒），就算不幸中了也能有效的通过各种方式删除，而不是完全依赖杀软，除非是遇到那种特别点的新病毒，那人品差也没办法。 杀毒软件本人建议：1.小红伞（免费），启动速度快，占用资源低，杀毒能力强。2.avast家庭版（免费），启动速度和资源占用跟小红伞差不多，防护功能比红伞全面，但杀毒能力略微逊于伞。3.NOD32（收费），同样启动速度和资源占用低是它的优势，收费的防护方面自然较全面，这不具体说了，激活码可以网上找。4.卡巴（收费），综合实力应该是我推荐四款中最强的，防护各方面都比较全面，杀毒能力强，缺点就是占用资源高，启动速度稍慢，扫描也慢。机子配置高的可以安装，配置中下的，建议用占用资源较低的杀软。（本人自己用的是小红伞....以上四款杀毒能力，卡巴最强，防护最全面，其次是伞，免费版的伞没防火墙网页监控等防护，剑走偏锋，但凭借高启发高检测率弥补了这方面的不足，占用资源低也是它的优势，这就是我选择的理由。以上给你作参考，最后一句，杀毒软件没有最好的，试了才知道哪个最合适你。）
关于网络安全的故事或事例
2013年国内外网络安全典型事例【案例1-1】美国网络间谍活动公诸于世。2013年6月曾经参加美国安全局网络监控项目的斯诺登披露“棱镜事件”，美国秘密利用超级软件监控网络、电话或短信，包括谷歌、雅虎、微软、苹果、Facebook、美国在线、PalTalk、Skype、YouTube等九大公司帮助提供漏洞参数、开放服务器等，使其轻而易举地监控有关国家机构或上百万网民的邮件、即时通话及相关数据。据称，思科参与了中国几乎所有大型网络项目的建设，涉及政府、军警、金融、海关、邮政、铁路、民航、医疗等要害部门，以及中国电信、联通等电信运营商的网络系统。【案例1-2】我国网络遭受攻击近况。根据国家互联网应急中心CNCERT抽样监测结果和国家信息安全漏洞共享平台CNVD发布的数据，2013年8月19日至8月25日一周境内被篡改网站数量为5470个；境内被植入后门的网站数量为3203个；针对境内网站的仿冒页面数量为754个。被篡改政府网站数量为384个；境内被植入后门的政府网站数量为98个；针对境内网站的仿冒页面754个。感染网络病毒的主机数量约为69.4万个，其中包括境内被木马或被僵尸程序控制的主机约23万以及境内感染飞客（Conficker）蠕虫的主机约46.4万。新增信息安全漏洞150个，其中高危漏洞50个。更新信息：【案例1-3】据国家互联网应急中心(CNCERT)的数据显示，中国遭受境外网络攻击的情况日趋严重。CNCERT抽样监测发现，2013年1月1日至2月28日，境外6747台木马或僵尸网络控制服务器控制了中国境内190万余台主机；其中位于美国的2194台控制服务器控制了中国境内128.7万台主机，无论是按照控制服务器数量还是按照控制中国主机数量排名，美国都名列第一。【案例1-4】中国网络安全问题非常突出。随着互联网技术和应用的快速发展，中国大陆地区互联网用户数量急剧增加。据估计，到2020年，全球网络用户将上升至50亿户,移动用户将上升100亿户。我国2013年互联网用户数将达到6.48亿，移动互联网用户数达到4.61亿。网民规模、宽带网民数、国家顶级域名注册量三项指标仍居世界第一，互联网普及率稳步提升。然而各种操作系统及应用程序的漏洞不断出现，相比西方发达国家，我国网络安全技术、互联网用户安全防范能力和意识较为薄弱，极易成为境内外黑客攻击利用的主要目标。其他 【网络系统面临的安全隐患】 计算机网络面临的隐患及风险主要包括7个方面： ① 系统漏洞及复杂性。创建互联网最初只用于科研和计算，其设计及技术本身并不安全。另外，主机系统和网络协议的结构复杂，以及一些难以预料的软件设计和实现过程中的疏忽及漏洞隐患，致使网络安全与防范非常繁杂困难。② 网络共享性。网络快速发展、资源共享与更新，致使相关的法律法规、管理、运行及技术保障等方面问题难以及时有效地得到解决。网络资源共享增加更多开放端口，使黑客和病毒的侵入有机可乘，为系统安全带来更大隐患。③ 网络开放性。开放的服务、端口和通信协议等给网络带来极大的隐患和风险，而且站点主机和路由等数量剧增，致使网络监控与管理难以及时准确有效。 ④ 身份认证难。网络环境下的身份认证技术、机制和环节等较薄弱，常用的静态口令极不安全，以越权借用管理员的检测信道，便可窃取用户名和密码等重要信息。⑤ 传输路径与结点不安全。用户通过网络互相传输的路径多且中间结点多，因此，两端的安全保密性根本无法保证中间结点的安全问题。⑥ 信息聚集度高。信息量少且分散时，其价值不易被注意。当大量相关信息聚集以后，显示出其重要价值。网络聚集大量敏感信息后，容易受到分析性等方式的攻击。⑦ 边界难确定。为了网络升级与维护预留的扩展性致使网络边界难以确定，网络资源共享访问也使网络安全边界“长城”被削弱，致使对网络安全构成严重的威胁。其他参考：清华大学出版社，网络安全实用技术，贾铁军主编。关于网络安全的故事或事例
电脑染上木马病毒有什么现象
电脑中毒一般并不会有明显的状态的，如果有一般就是下面的12种状态：
1.经常死机：病毒打开了许多文件或占用了大量内存；不稳定（如内存质量差，硬件超频性能差等）；运行了大容量的软件占用了大量的内存和磁盘空间；使用了一些测试软件（有许多BUG）；硬盘空间不够等等；运行网络上的软件时经常死机也许是由于网络速度太慢，所运行的程序太大，或者自己的工作站硬件配置太低。
2.系统无法启动：病毒修改了硬盘的引导信息，或删除了某些启动文件。如引导型病毒引导文件损坏；硬盘损坏或参数设置不正确；系统文件人为地误删除等。
3.文件打不开：病毒修改了文件格式；病毒修改了文件链接位置。文件损坏；硬盘损坏；文件快捷方式对应的链接位置发生了变化；原来编辑文件的软件删除了；如果是在局域网中多表现为服务器中文件存放位置发生了变化，而工作站没有及时涮新服器的内容（长时间打开了资源管理器）。
4.经常报告内存不够：病毒非法占用了大量内存；打开了大量的软件；运行了需内存资源的软件；系统配置不正确；内存本就不够（目前基本内存要求为128M）等。
5.提示硬盘空间不够：病毒复制了大量的病毒文件（这个遇到过好几例，有时好端端的近10G硬盘安装了一个WIN98或WINNT4.0系统就说没空间了，一安装软件就提示硬盘空间不够。硬盘每个分区容量太小；安装了大量的大容量软件；所有软件都集中安装在一个分区之中；硬盘本身就小；如果是在局域网中系统管理员为每个用户设置了工作站用户的“私人盘”使用空间限制，因查看的是整个网络盘的大小，其实“私人盘”上容量已用完了。
6.软盘等设备未访问时出读写信号：病毒感染；软盘取走了还在打开曾经在软盘中打开过的文件。
7.出现大量来历不明的文件：病毒复制文件；可能是一些软件安装中产生的临时文件；也或许是一些软件的配置信息及运行记录。
8.启动黑屏：病毒感染（记得最深的是98年的4.26，我为CIH付出了好几千元的代价，那天我第一次开机到了Windows画面就死机了，第二次再开机就什么也没有了）；显示器故障；显示卡故障；主板故障；超频过度；CPU损坏等等
9.数据丢失：病毒删除了文件；硬盘扇区损坏；因恢复文件而覆盖原文件；如果是在网络上的文件，也可能是由于其它用户误删除了。
10.键盘或鼠标无端地锁死：病毒作怪，特别要留意“木马”；键盘或鼠标损坏；主板上键盘或鼠标接口损坏；运行了某个键盘或鼠标锁定程序，所运行的程序太大，长时间系统很忙，表现出按键盘或鼠标不起作用。
11.系统运行速度慢：病毒占用了内存和CPU资源，在后台运行了大量非法操作；硬件配置低；打开的程序太多或太大；系统配置不正确；如果是运行网络上的程序时多数是由于你的机器配置太低造成，也有可能是此时网路上正忙，有许多用户同时打开一个程序；还有一种可能就是你的硬盘空间不够用来运行程序时作临时交换数据用。
12.系统自动执行操作：病毒在后台执行非法操作；用户在注册表或启动组中设置了有关程序的自动运行；某些软件安装或升级后需自动重启系统。
通过以上的分析对比，我们知道其实大多数故障都可能是由于人为或软、硬件故障造成的，当我们发现异常后不要急于下断言，在杀毒还不能解决的情况下，应仔细分析故障的特征，排除软、硬件及人为的可能性。
实用电脑小常识
现代社会中，电脑已经成为人们生活和工作不可缺少的工具，但电脑也越来越成为一把“双刃剑”：它在给人们生活和工作带来方便、快捷的同时，也在悄悄地危及人们的健康，引起人的视力衰退、关节损伤、辐射伤害、头部和肩膀疼痛。据调查，常用电脑的人中感到眼睛疲劳的占83％，肩酸腰痛的占63.9％，头痛和食欲不振的则占56.1％和54.4％，还会出现自律神经失调、忧郁症、动脉硬化性精神病等。
专家指出，“电脑病”的产生主要是和人们在电脑面前的坐姿、使用方法，以及使用时间长短有关。因此，对长期使用电脑的人来说，做好防护工作非常重要。
一、坐姿正确。在操作电脑时尽可能保持自然的端坐位，将后背坐直，并保持颈部的挺直。两肩自然下垂，上臂贴近身体，手肘弯曲成90度，操作键盘或滑鼠，尽量使手腕保持水平。
二、电脑的摆放高度要合适。将电脑屏幕中心位置安装在与操作者胸部同一水平线上，最好使用可以调节高低的椅子。应有足够的空间伸放双脚，膝盖自然弯曲成90度，并维持双脚着地，不要交叉双脚，以免影响血液循环。
三、与屏幕保持恰当的距离。眼睛与电脑屏幕的距离应在40—50厘米，使双眼平视或轻度向下注视荧光屏，这样可使颈部肌肉轻松，并使眼球暴露于空气中的面积减小到最低。
四、劳逸结合。避免长时间连续操作电脑，使用电脑的时间最好是30分钟就休息一下，可到室外散步，或抬头望天，或向远处眺望，或进行10至20次伸颈和扩胸练习。
五、保持皮肤清洁。电脑荧光屏表面存在着大量静电，其积聚的灰尘可转射到脸部和手的皮肤裸露处，时间久了，易发生斑疹、色素沉着，严重者甚至会引起皮肤病变等。为减少辐射，应使办公室保持通风干爽，这样能使那些有害物质尽快排出，在电脑桌下放一盆水或是放一盆花草也可减少辐射，勤洗脸也能防止辐射波对皮肤的刺激。
六、合理膳食。平时多吃些胡萝卜、白菜、豆芽、豆腐、红枣、橘子以及牛奶、鸡蛋、动物肝脏、瘦肉等食物，少食肥甘厚味及辛辣刺激性食品，以补充人体内维生素A和蛋白质。平时可多饮些茶，茶叶中含有茶多酚等活性物质，有利于吸收与抵抗放射性物质。
最后别忘了，使用电脑后，一定要洗手。键盘上面附着着很多细菌和病毒，也会给人带来伤害。
MP3搜索发现病毒连接
最近发现了利用MP3搜索引擎木马传播的病毒。通过百度、一搜下载MP3以后，电脑都出现了中病毒的症状。一名网友说，她在百度的MP3搜索引擎上将一首MP3格式的歌曲文件下载到电脑后，运行该MP3文件时，电脑浏览器首页被改成了一个从未见过的网址，而鼠标右键也不能用了。
据反病毒专家分析后发现，这些网友通过连接所下载的并不是MP3文件，而是一个病毒文件。瑞星反病毒专家刘刚介绍说，这是一个名叫“首页变种AHK（Trojan.StartPage.ahk）”的木马病毒，感染这个病毒后浏览器会被强行修改，电脑运行变慢甚至崩溃，鼠标右键也出现异常，目前在百度和一搜的MP3搜索引擎中都发现了这个病毒。而通过MP3搜索引擎来传播病毒，这在国内还是首次发现。
由于通过MP3文件传播病毒形式更加隐蔽，专家提供了四条建议：一、计算机一定要安装杀毒软件并注意及时升级；二、上网时应打开杀毒软件的实时监控功能；三、利用杀毒软件的“漏洞扫描”弥补系统漏洞；四、从网上下载电影、音乐文件后应对其进行病毒扫描。
解决系统资源不足问题
第一种思路：
1.清除“剪贴板”
当“剪贴板”中存放的是一幅图画或大段文本时，会占用较多内存。请清除“剪贴板”中的内容，释放它占用的系统资源：单击“开始”，指向“程序”，指向“附件”，指向“系统工具”，单击“剪贴板查看程序”，然后在“编辑”菜单上，单击“删除”命令。
2.重新启动计算机
只退出程序，并不重新启动计算机，程序可能无法将占用的资源归还给系统。请重新启动计算机以释放系统资源。
3.减少自动运行的程序
如果在启动Windows时自动运行的程序太多，那么，即使重新启动计算机，也将没有足够的系统资源用于运行其他程序。设置Windows不启动过多程序：其一，单击“开始→运行”，键入“msconfig”，单击“确定”按钮，单击“启动”选卡，清除不需要自启动的程序前的复选框。其二，单击“开始→运行”，键入“sysedit”，单击“确定”按钮，删除“autoexec.bat”、“win.ini”和“config.sys”文件中不必要的自启动的程序行。然后，重新启动计算机。
4.设置虚拟内存
虚拟内存不足也会造成系统运行错误.可以在“系统属性”对话框中手动配置虚拟内存，把虚拟内存的默认位置转到可用空间大的其他磁盘分区。
5.应用程序存在Bug或毁坏
有些应用程序设计上存在Bug或者已被毁坏，运行时就可能与Windows发生冲突或争夺资源，造成系统资源不足。解决方法有二：一是升级问题软件，二是将此软件卸载，改装其他同类软件。
6.内存优化软件
不少的内存优化软件，如RAM Idle和Memo Kit都能够自动清空“剪贴板”、释放被关闭程序未释放的系统资源、对虚拟内存文件(Win386.swp)进行重新组织等，免除手工操作的麻烦，达到自动释放系统资源的目的。
第二种思路：
1.禁用一部分启动项
启动时加载过多的应用程序会使Windows因系统资源严重不足而“蓝屏”，因此我们最好运行“Msconfig”禁用一部分应用程序。或者使用Windows优化大师来代劳。
2.设置足够的虚拟内存
虚拟内存不足也会造成系统多任务运算错误，我们可以通过时常删除一些临时文件和交换文件对此问题加以解决，此外还可以在“系统属性”下手动配置虚拟内存，把虚拟内存的默认位置转到其他逻辑盘下。并设置得大一些。
3.给硬盘保留足够空间
由于Win9X运行时需要用硬盘作虚拟内存，这就要求硬盘必须保留一定的自由空间以保证程序的正常运行。一般而言，最低应保证100MB以上的空间，否则出现“蓝屏”很可能与硬盘剩余空间太小有关。另外，硬盘的碎片太多，也容易导致“蓝屏”的出现。因此，每隔一段时间进行一次碎片整理是必要的。
4.使用内存管理软件
剩下的就是些杂项了，诸如不用activedesktop之类浪费资源的功能。使用内存管理软件，如RAM Idle之类的。养成好习惯，暂时不用的程序就将其关闭。
什么是木马，什么是木马病毒 什么是木马病毒
木马程序是目前比较流行的一类病毒文件，它与一般的病毒不同，它不会自我繁殖，也并不刻意地去感染其他文件。它通过将自身伪装吸引用户下载执行，或以捆绑在网页中的形式，当用户浏览网页时受害。木马程序向施种木马者提供打开被种者电脑的门户，使施种者可以任意毁坏、窃取被种者的文件和隐私，甚至远程操控被种者的电脑。木马的原理和计算机网络中常常要用到的远程控制软件相似，但由于远程控制软件是“善意”的控制，因此通常不具有隐蔽性;而木马程序则完全相反，木马要达到的是“偷窃”性的远程控制，如果没有很强的隐蔽性的话，那就是毫无价值的。
木马通常有两个可执行程序:一个是客户端，即控制端，另一个是服务端，即被控制端。木马的设计者为了防止木马被发现，而采用多种手段隐藏木马。木马的服务一旦运行，电脑就会有一个或几个端口被打开，黑客就可以利用控制端进入运行了服务端的电脑，甚至可以控制被种者的电脑，所以被种者的安全和个人隐私也就全无保障了!
随着微软的操作系统从Win9X过渡到WinNT系统(包括2000/xp/2003)，微软的任务管理器也一下子“脱胎换骨”，变得“火眼金睛”起来 (在Win9X中，只需要将进程注册为系统服务就能够从进程查看器中隐形，可是这一切在WinNT中却完全不同，无论木马从端口、启动文件上如何巧妙地隐藏自己，始终都不能欺骗WinNT的任务管理器)，这使得以前在win9X操作系统下靠将进程注册为系统服务就能够从任务管理器中隐形的木马面临前所未有的危机，所以木马的开发者及时调整了开发思路，转入了开发可以躲避WinNT的任务管理器的进程查询的动态嵌入式DLL木马。
要弄清楚什么是动态嵌入式DLL木马，我们必须要先了解Windows系统的另一种“可执行文件”——DLL，DLL是Dynamic Link Library(动态链接库)的缩写，DLL文件是Windows的基础，因为所有的API函数都是在DLL中实现的。DLL文件没有程序逻辑，是由多个功能函数构成，它并不能独立运行，DLL文件一般都是由进程加载并调用的。
因为DLL文件不能独立运行，所以在进程列表中并不会出现DLL。所以木马的开发者就通过编写动态嵌入式DLL木马，并且通过别的进程来运行它，那么无论是入侵检测软件还是进程列表中，都只会出现那个进程而并不会出现那个DLL木马。如果那个进程是可信进程(例如资源管理器Explorer.exe)，那么就没人会怀疑DLL文件也是个木马了。从而木马就又实现了自己的隐蔽性的功能，所以，预防DLL木马也是相当重要的。
在WinNT系统，DLL木马一般都藏在System32目录下(因为System32是系统文件存放的目录，里面的文件很多，在里面隐藏当然很方便了)，针对这一点我们可以在安装好系统和必要的应用程序后，对该目录下的EXE和DLL文件作一次记录:点击开始—运行—输入cmd回车—出现DOS命令行模式—输入cd\回车，再输入cd C:\Windows\System32回车，这就转换目录到了System32目录(要还是不知道怎么进入的，请参看DOS的cd命令的使用)，输入命令:dir *.exeexebackup.txt dir *.dlldllbackup.txt回车。
这样，我们就把System32目录下所有的exe文件和所有的dll文件都记录在exebackup.txt和dllbackup.txt里面了。日后如发现系统异常而用传统的方法又查不出问题时，则要考虑是不是系统中已经潜入了DLL木马。
这时我们用同样的方法将System32目录下的EXE和DLL文件记录到另外exebackup1.txt和dllbackup1.txt中，然后运行 CMD—fc exebackup.txt exebackup1.txtdifferent.txt fc dllbackup.txt dllbackup1.txtdifferent.txt(使用FC命令比较前后两次的DLL和EXE文件，并将结果输入到 different.txt中)，这样我们就能发现一些多出来的DLL和EXE文件，然后通过查看创建时间、版本、是否经过压缩等就能够比较容易地判断出是不是已经被DLL木马光顾了。
没有是最好，如果有的话也不要直接删除掉，可以先把它移到回收站里，若系统没有异常反应再将之彻底删除，或者把DLL文件上报给反病毒研究中心检查。
最后，防治木马的危害，专家建议大家应采取以下措施:
第一，安装反病毒软件和个人防火墙，并及时升级。
第二，把个人防火墙设置好安全等级，防止未知程序向外传送数据。
第三，使用安全性比较好的浏览器和电子邮件客户端工具。
第四，操作系统的补丁要经常进行更新。
第五，不要随便打开陌生网友传送的文件和下载、使用破解软件。
相信大家只要做好安全防护工作，防治木马并不是那么可怕的。
传播木马或病毒的途径，有哪些？详细越好。。。
12.1.2 木马的工作原理（2）
http://book.51cto.com 2008-07-21 15:26 李匀 电子工业出版社博文视点 我要评论(0)
摘要：《网络渗透测试——保护网络安全的技术、工具和过程》第12章木马和后门的运用,这一章主要介绍考察木马、病毒及后门应用程序,还会介绍一些恶意黑客和渗透测试人员使用的著名病毒、木马及后门程序，最后讨论如何检测这些恶意软件及在网络上预防这些恶意软件攻击的步骤，本节为木马的工作原理。
标签：网络安全 Web 恶意软件 攻击 网络渗透测试
Oracle帮您准确洞察各个物流环节12.1.2 木马的工作原理（2）3．木马的启动方式作为一个优秀的木马，自启动功能是必不可少的。自启动可以保证木马不会因为用户的一次关机操作而彻底失去作用。正因为该项技术如此重要，所以很多编程人员都在不停地研究和探索新的自启动技术。一个典型的例子就是把木马加入到用户经常执行的程序（例如Explorer.exe）中，当用户执行该程序时，木马就自动执行并运行。当然，更加普遍的方法是通过修改Windows系统文件和注册表实现自启动。实现自启动的常用方法包括下述几种，通过启动组实现自启动这也是一种很常见的方式，很多正常的程序都用它，大家常用的QQ就是用这种方式实现自启动的，但木马很少使用这种方式，原因在于启动组的每个程序都会出现在“系统配置实用程序”（msconfig.exe，以下简称msconfig）中。事实上，出现在“开始”菜单的“程序\启动”中足以引起普通人的注意，所以，极少有木马使用这种启动方式。在Win.ini文件中启动同启动组一样，这也是从Windows3.2开始就可以使用的方法，是从Win16遗传到Win32的。在Windows3.2中，Win.ini就相当于Windows9x中的注册表，在该文件中的[Windows]域中的load和run项会在Windows启动时运行，这两个项目也会出现在msconfig中，这种方法也不很适合木马使用。在System.ini文件中启动System.ini文件位于Windows安装目录下，其中[Boot]节中的Shell= Explorer.exe是经常被用于隐藏加载木马的地方。通常的做法是将该项变为Shell= Explorer.exe Sample.exe。这里的Sample.exe是某个木马服务端程序。我们可以在"Explorer.exe"后加上木马程序的路径，这样Windows启动后木马也就随之启动，而且即使是安全模式启动也不会跳过这一项，这样木马也就可以保证永远随Windows启动了，名噪一时的尼姆达病毒就使用了这种方法。这时，如果木马程序也具有自动检测添加Shell项的功能的话，那简直是天衣无缝的绝配，我想除了使用查看进程的工具中止木马，再修改Shell项和删除木马文件外没有别的破解之法了。但这种方式也有先天不足，因为只有一个Shell项，如果有两个木马都使用这种方式实现自启动，那么后来的木马可能会使前一个木马无法启动，此所谓以毒攻毒。System.ini文件中的［386Ehn］节的“driver=路径\程序名”也可以用来实现自启动。此外，System.ini中的［mic］、［drivers］、［drivers32］也是加载程序的好地方。在*.ini文件中启动后缀为.ini的文件是系统中应用程序的启动配置文件，木马程序利用这些文件能够自启动应用程序的特点，将制作好的、带有木马服务端程序自启动命令的文件上传到目标主机中，这样就可以达到启动木马的目的了。通过修改文件关联启动修改文件关联是木马常用手段，例如，在正常情况下，.txt文件的打开方式为Notepad.exe文件，但一旦中了文件关联木马，则.txt文件打开方式就会被修改为用木马程序打开，如著名的国产木马冰河就是这样。冰河木马通过修改HKEY_CLASSES_ROOT\txtfile\shell\open\command下的键值，将“C:\WINDOWS\notepad.exe %1”修改为“%SystemRoot%\system32\sysexplr.exe %1”，实现该木马的启动。只要用户双击任意一个.txt文件，原本应该使用notepad.exe程序打开.txt文件，现在就变成启动Windows system32目录下的sysexplr.exe木马程序了。需要提醒读者的是，不仅仅是.txt文件，其他如html、JPG、Zip、rar等扩展名都是木马作者制定自动启动方案的目标。通过捆绑文件方式启动木马和正常程序捆绑，有点类似于病毒，程序在运行时，木马程序先获得控制权或另开一个线程以监视用户操作，截取密码等，这类木马编写的难度较大，需要了解PE文件结构和Windows的底层知识（直接使用捆绑程序除外）。使用著名的黑客软件Deception Binder就可以实现木马与正常程序的捆绑。这是国外的一款文件合并器，小巧而功能强大。能够捆绑任意格式（包括.txt、.jpg）文件；能够设置打开文件是否隐蔽运行；能够设置打开文件是否加入注册表启动项；能够设置打开文件时是否显示错误信息以迷惑对方等。当木马程序连接到Notepad时，其结果会显示为Notepad，而且执行时也像是Notepad，但同时也会执行木马程序。通过将特定的程序改名方式启动这种方式常见于针对QQ的木马，如将QQ的启动文件QQ2000b.exe，改为 QQ2000b.ico.exe（Windows默认不显示扩展名，因此它会被显示为QQ2000b.ico，而用户会认为这是一个图标），再将木马程序改为QQ2000b.exe，此后，用户运行QQ，实际上运行了QQ木马，再由QQ木马去启动真正的QQ，这种方式实现起来很简单。通过Autoexec.bat文件，或winstart.bat，config.sys文件启动其实这种方法并不适合木马使用，因为该文件会在Windows启动前运行，此时系统处于DOS环境，只能运行16位应用程序，Windows下的32位程序是不能运行的。因此也就失去了木马的意义。不过，这并不是说它不能用于启动木马。可以想像，SoftIce for Win98（功能强大的程序调试工具，被黑客奉为至宝，常用于破解应用程序）也是先要在Autoexec.bat文件中运行然后才能在Windows中显示窗口，进行调试，既然如此，谁能保证木马不会这样启动呢?通过注册表启动这里通常有两组注册表项供使用。下面分别予以简要介绍。通过下面的三个注册表项：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunHKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunHKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices 这是很多Windows程序都采用的方法，也是木马最常用的方法。它的使用非常方便，但也容易被人发现，由于其应用太广，所以几乎提到木马，就会让人想到这几个注册表项中的主键，通常木马会使用最后一个。使用Windows自带的程序msconfig或注册表编辑器（regedit.exe）都可以将它轻易的删除，所以这种方法并不十分可靠。但可以在木马程序中加一个时间控件，以便实时监视注册表中自身的启动键值是否存在，一旦发现被删除，则立即重新写入，以保证下次Windows启动时自己能被运行。这样木马程序和注册表中的启动键值之间形成了一种互相保护的状态。木马程序未中止，启动键值就无法删除（手工删除后，木马程序又自动添加上了），相反的，不删除启动键值，下次启动Windows还会启动木马。怎么办呢?其实破解它并不难，即使在没有任何工具软件的情况下也能轻易解除这种互相保护。破解方法是，首先，以安全模式启动Windows，这时，Windows不会加载注册表中的项目，因此木马不会被启动，相互保护的状况也就不攻自破了，然后，你就可以删除注册表中的键值和相应的木马程序。采用这种启动方式的典型木马包括：BO2000、GOP、NetSpy、IEthief、冰河等。通过下面的三个注册表项： HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnceHKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnceHKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce
这种方法好像使用的人不是很多，但隐蔽性比上一种方法好，它的内容不会出现在msconfig中。在这个键值下的项目和上一种相似，会在Windows启动时启动，但Windows启动后，该键值下的项目会被清空，因而不易被发现，但是只能启动一次，木马如何能发挥效果呢？其实很简单，不是只能启动一次吗？那木马启动成功后再在这里添加一次不就行了吗？在Delphi中这不过三五行程序。虽说这些项目不会出现在msconfig中，但是在Regedit中却可以直接将它删除，那么木马也就从此失效了。还有一种控制再次启动的方法，它不是在启动的时候添加注册表项，而是在退出Windows的时候添加，这就要求木马程序本身要截获Windows的消息，当发现关闭Windows消息时，暂停关闭过程，添加注册表项目，然后才开始关闭Windows，这样使用Regedit也找不到它的踪迹了。这种方法也有个缺点，就是一旦Windows异常中止（比如断电），木马也就失效了。另外使用这三个键值并不完全一样，通常木马会选择第一个，因为在第二个键值下的项目会在Windows启动完成前运行，并等待程序结束后才会继续启动Windows。采用这种启动方式的典型木马包括Happy99等。4．黑客欺骗用户运行木马的方法木马是一个软件，它由使用者传播或种植，而不会“长腿”自己跑到用户的机器上，正像《特洛伊》剧情中描述的一样，木马往往是用户自己将其带进计算机中的。有了木马程序，如果没有高超的骗术，木马也无用武之地，因此，这里将简单地介绍几种网络上流行的欺骗方法，目的是让读者了解这些骗术的内容，如果遇到类似情况，也可以当场揭穿而不会付出城池失守的代价。捆绑欺骗把木马服务端和某个游戏，或者Flash文件捆绑成一个文件通过QQ或邮件发给受害者。当受害者对这个游戏或者Flash文件感兴趣而下载到机器上，而且不幸打开了文件后，就会被种植上木马。受害者会看到游戏程序正常打开，但却不会发觉木马程序已经悄悄运行。这种方法可以起到很好的迷惑作用，而且即使受害者重装系统，如果用户保存了那个捆绑文件，还有可能再次中招。邮件冒名欺骗现在上网的用户很多，但其中一些用户的电脑知识并不丰富，防范意识也不强，当黑客用匿名邮件工具冒充用户的好友或大型网站、政府机构向目标主机用户发送邮件，并将木马程序作为附件。用户看到发送者的名字是某知名网站或大型机构，而附件命名为调查问卷，注册表单等，用户就有可能毫无戒心地打开附件，从而种植上木马。压缩包伪装这个方法比较简单，也比较实用。首先，将一个木马和一个损坏的Zip/Rar文件包（可自制）捆绑在一起，生成一个后缀名为.exe的文件。然后指定捆绑后的文件为Zip/Rar文件图标，这样一来，除了后缀名与真正的Zip/Rar文件不同，执行起来却和一般损坏的Zip/Rar文件没什么两样，用户可能根本不知道木马已经在悄悄运行了。网页欺骗也许读者在网上都有这样的经历，当用户在聊天的时候，入侵者发给用户一些陌生的网址，并且说明网站上有一些比较吸引人的东西或者热门的话题。如果用户不够警惕，或者好奇心较强，不幸单击了这个链接，在网页弹出的同时，用户的机器也可能已经被种植了木马。
欺骗的方法多种多样，并且随着时间的推移，新的方法和手段也都会被发明出来。