木馬檢查是什麼機器

① 什麼是木馬如何檢查並刪除

木馬剋星(iparmor) V5.50 build 2123 注冊版
注冊信息：
用戶名：木馬剋星贈送
注冊碼：276779514
http://www.sz1001.net/soft/76.htm
安全模式用效果更好

木馬殺客 5.2 綠色特別版 Build 0120 有流氓軟體卸載功能
http://down.htcnc.net/Software/catalog25/1224.html

② 木馬的工作原理是什麼

「木馬」程序是目前比較流行的病毒文件，與一般的病毒不同，它不會自我繁殖，也並不「刻意」地去感染其他文件，它通過將自身偽裝吸引用戶下載執行，向施種木馬者提供打開被種者電腦的門戶，使施種者可以任意毀壞、竊取被種者的文件，甚至遠程操控被種者的電腦。「木馬」與計算機網路中常常要用到的遠程式控制制軟體有些相似，但由於遠程式控制制軟體是「善意」的控制，因此通常不具有隱蔽性；「木馬」則完全相反，木馬要達到的是「偷竊」性的遠程式控制制，如果沒有很強的隱蔽性的話，那就是「毫無價值」的。

一個完整的「木馬」程序包含了兩部分：「伺服器」和「控制器」。植入被種者電腦的是「伺服器」部分，而所謂的「黑客」正是利用「控制器」進入運行了「伺服器」的電腦。運行了木馬程序的「伺服器」以後，被種者的電腦就會有一個或幾個埠被打開，使黑客可以利用這些打開的埠進入電腦系統，安全和個人隱私也就全無保障了！
病毒是附著於程序或文件中的一段計算機代碼，它可在計算機之間傳播。它一邊傳播一邊感染計算機。病毒可損壞軟體、硬體和文件。

病毒 (n.)：以自我復制為明確目的編寫的代碼。病毒附著於宿主程序，然後試圖在計算機之間傳播。它可能損壞硬體、軟體和信息。

與人體病毒按嚴重性分類（從 Ebola 病毒到普通的流感病毒）一樣，計算機病毒也有輕重之分，輕者僅產生一些干擾，重者徹底摧毀設備。令人欣慰的是，在沒有人員操作的情況下，真正的病毒不會傳播。必須通過某個人共享文件和發送電子郵件來將它一起移動。

「木馬」全稱是「特洛伊木馬(TrojanHorse)」，原指古希臘士兵藏在木馬內進入敵方城市從而佔領敵方城市的故事。在Internet上，「特洛伊木馬」指一些程序設計人員(或居心不良的馬夫)在其可從網路上下載(Download)的應用程序或游戲外掛、或網頁中，包含了可以控制用戶的計算機系統或通過郵件盜取用戶信息的惡意程序，可能造成用戶的系統被破壞、信息丟失甚至令系統癱瘓。

一、木馬的特性

特洛伊木馬屬於客戶/服務模式。它分為兩大部分，既客戶端和服務端。其原理是一台主機提供服務(伺服器端)，另一台主機接受服務(客戶端)，作為伺服器的主機一般會打開一個默認的埠進行監聽。如果有客戶機向伺服器的這一埠提出連接請求，伺服器上的相應程序就會自動運行，來答應客戶機的請求。這個程序被稱為進程。

木馬一般以尋找後門、竊取密碼為主。統計表明，現在木馬在病毒中所佔的比例已經超過了四分之一，而在近年湧起的病毒潮中，木馬類病毒占絕對優勢，並將在未來的若干年內愈演愈烈。木馬是一類特殊的病毒，如果不小心把它當成一個軟體來使用，該木馬就會被「種」到電腦上，以後上網時，電腦控制權就完全交給了「黑客」，他便能通過跟蹤擊鍵輸入等方式，竊取密碼、信用卡號碼等機密資料，而且還可以對電腦進行跟蹤監視、控制、查看、修改資料等操作。

二、木馬發作特性

在使用計算機的過程中如果您發現:計算機反應速度發生了明顯變化，硬碟在不停地讀寫,滑鼠不聽使喚,鍵盤無效,自己的一些窗口在被關閉，新的窗口被莫名其妙地打開，網路傳輸指示燈一直在閃爍，沒有運行大的程序，而系統卻越來越慢，系統資源站用很多，或運行了某個程序沒有反映(此類程序一般不大，從十幾k到幾百k都有)或在關閉某個程序時防火牆探測到有郵件發出……這些不正常現象表明:您的計算機中了木馬病毒。

三、木馬的工作原理以及手動查殺介紹

由於大多玩家對安全問題了解不多，所以並不知道自己的計算機中了「木馬」該怎麼樣清除。因此最關鍵的還是要知道「木馬」的工作原理，這樣就會很容易發現「木馬」。相信你看了這篇文章之後，就會成為一名查殺「木馬」的高手了。(如果成不了高手建議大家用皮筋打斑竹家玻璃，嘿嘿)

「木馬」程序會想盡一切辦法隱藏自己，主要途徑有：在任務欄中隱藏自己，這是最基本的只要把Form的Visible屬性設為False。ShowInTaskBar設為False，程序運行時就不會出現在任務欄中了。在任務管理器中隱形：將程序設為「系統服務」可以很輕松地偽裝自己。

A、啟動組類(就是機器啟動時運行的文件組)

當然木馬也會悄無聲息地啟動，你當然不會指望用戶每次啟動後點擊「木馬」圖標來運行服務端，(沒有人會這么傻吧？？)。「木馬」會在每次用戶啟動時自動裝載服務端，Windows系統啟動時自動載入應用程序的方法，「木馬」都會用上，如：啟動組、win.ini、system.ini、注冊表等等都是「木馬」藏身的好地方。通過win.ini和system.ini來載入木馬。在Windows系統中，win.ini和system.ini這兩個系統配置文件都存放在C:windows目錄下，你可以直接用記事本打開。可以通過修改win.ini文件中windows節的「load=file.exe，run=file.exe」語句來達到木馬自動載入的目的。此外在system.ini中的boot節，正常的情況下是「Shell=Explorer.exe」(Windows系統的圖形界面命令解釋器)。下面具體談談「木馬」是怎樣自動載入的。

1、在win.ini文件中，在[WINDOWS]下面，「run=」和「load=」是可能載入「木馬」程序的途徑，必須仔細留心它們。一般情況下，它們的等號後面什麼都沒有，如果發現後面跟有路徑與文件名不是你熟悉的啟動文件，你的計算機就可能中上「木馬」了。當然你也得看清楚，因為好多「木馬」，如「AOLTrojan木馬」，它把自身偽裝成command.exe文件，如果不注意可能不會發現它不是真正的系統啟動文件。

通過c:windowswininit.ini文件。很多木馬程序在這里做一些小動作，這種方法往往是在文件的安裝過程中被使用，程序安裝完成之後文件就立即執行，與此同時安裝的原文件被Windows刪除干凈，因此隱蔽性非常強，例如在wininit.ini中如果Rename節有如下內容:NUL=c:windowspicture.exe，該語句將c:windowspicture.exe發往NUL,這就意味著原來的文件pictrue.exe已經被刪除，因此它運行起來就格外隱蔽。

2、在system.ini文件中，在[BOOT]下面有個「shell=文件名」。正確的文件名應該是「explorer.exe」，如果不是「explorer.exe」，而是「shell=explorer.exe程序名」，那麼後面跟著的那個程序就是「木馬」程序，就是說你已經中「木馬」了。

win.ini、system.ini文件可以通過「開始」菜單里的「運行」來查看。只要在「運行」對話框中輸入「msconfig」,後點擊「確定」按鈕就行了。(這里大家一定要注意，如果你對計算機不是很了解，請不要輸入此命令或刪除里邊的文件，否則一切後果和損失自己負責。斑竹和本人不承擔任何責任。)

3、對於下面所列的文件也要勤加檢查，木馬們也可能隱藏在

C：\windows\winstart.bat和C:\windows\winnint.ini，還有Autoexec.bat

B、注冊表(注冊表就是注冊表，懂電腦的人一看就知道了)

1、從菜單中載入。如果自動載入的文件是直接通過在Windows菜單上自定義添加的，一般都會放在主菜單的「開始->程序->啟動」處，在Win98資源管理器里的位置是「C:windowsstartmenuprograms啟動」處。通過這種方式使文件自動載入時，一般都會將其存放在注冊表中下述4個位置上：

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellFolders

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\UserS!hellFolders

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\explorer\UserShellFolders

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\explorer\ShellFolders

2、在注冊表中的情況最復雜，在點擊至：「HKEY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersion\Run」目錄下，查看鍵值中有沒有自己不熟悉的自動啟動文件，擴展名為EXE，這里切記：有的「木馬」程序生成的文件很像系統自身文件，想通過偽裝矇混過關，如「AcidBatteryv1.0木馬」，它將注冊表「HKEY-LOCAL-MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run」下的Explorer鍵值改為Explorer=「C:\WINDOWS\expiorer.exe」，「木馬」程序與真正的Explorer之間只有「i」與「l」的差別。當然在注冊表中還有很多地方都可以隱藏「木馬」程序，如：「HKEY-CURRENT-USER\Software\Microsoft\Windows\CurrentVersion\Run」、「HKEY-USERS\＊＊＊＊\Software\Microsoft\Windows\CurrentVersion\Run」的目錄下都有可能，最好的辦法就是在「HKEY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersion\Run」下找到「木馬」程序的文件名，再在整個注冊表中搜索即可。

3、此外在注冊表中的HKEY_CLASSES_ROOT\exefile\shell\open\command=

「1」「*」處，如果其中的「1」被修改為木馬，那麼每次啟動一個該可執行文件時木馬就會啟動一次，例如著名的冰河木馬就是將TXT文件的Notepad.exe改成!了它自己的啟動文件，每次打開記事本時就會自動啟動冰河木馬，做得非常隱蔽。

注冊表可以通過在「運行」對話框中輸入「regedit」來查看。需要說明的是，對系統注冊表進行刪除修改操作前一定要將注冊表備份，因為對注冊表操作有一定的危險性，加上木馬的隱藏較隱蔽，可能會有一些誤操作，如果發現錯誤，可以將備份的注冊表文件導入到系統中進行恢復。(次命令同樣很危險，如不懂計算機請不要嘗試。切記)

C、埠(埠，其實就是網路數據通過操作系統進入計算機的入口)

1、萬變不離其宗，木馬啟動都有一個方式，它只是在一個特定的情況下啟動。所以平常多注意你的埠。一般的木馬默認埠有

BO31337，YAL1999，Deep2140，Throat3150，冰河7636，Sub71243

那麼如何查看本機開放哪些埠呢？

在dos里輸入以下命令：netstat-an,就能看到自己的埠了，一般網路常用埠有：21,23,25,53,80,110,139，如果你的埠還有其他的，你可要注意了，因為現在有許多木馬可以自己設定埠。(上面這些木馬的埠是以前的，由於時間和安全的關系現在好多新木馬的埠我不知道，也不敢去試，因為技術更新的太快了，我跟不上了。55555555555555)

2、由於木馬的運行常通過網路的連接來實現的，因此如果發現可疑的網路連接就可以推測木馬的存在，最簡單的辦法是利用Windows自帶的Netstat命令來查看。一般情況下，如果沒有進行任何上網操作，在MS-DOS窗口中用Netstat命令將看不到什麼信息，此時可以使用「netstat-a」,「-a」選項用以顯示計算機中目前所有處於監聽狀態的埠。如果出現不明埠處於監聽狀態，而目前又沒有進行任何網路服務的操作，那麼在監聽該埠的很可能是木馬。

3、系統進程：

在Win2000/XP中按下「CTL+ALT+DEL」，進入任務管理器，就可看到系統正在運行的全部進程，一一清查即可發現木馬的活動進程。

在Win98下，查找進程的方法不那麼方便，但有一些查找進程的工具可供使用。通過查看系統進程這種方法來檢測木馬非常簡便易行，但是對系統必須熟悉，因為Windows系統在運行時本身就有一些我們不是很熟悉的進程在運行著，因此這個時候一定要小心操作，木馬還是可以通過這種方法被檢測出來的。

四、軟體查殺木馬介紹

上面所介紹的都是以手工方式來檢測或者清除木馬，但一般情況下木馬沒有那麼容易就能發現，木馬是很會隱藏的哦。幸好在已經有了不少的反木馬軟體。下面介紹幾款軟體，

1、瑞星殺毒軟體。

2、個人版天網防火牆。根據反彈式木馬的原理，就算你中了別人的木馬，但由於防火牆把你的計算機和外界隔開，木馬的客戶端也連接不上你。防火牆啟動之後，一旦有可疑的網路連接或者木馬對電腦進行控制，防火牆就會報警，同時顯示出對方的IP地址、接入埠等提示信息，通過手工設置之後即可使對方無法進行攻擊。不過對於一些個別機器來說，運行天網會影響機器的運行速度。

3、木馬剋星。目前具我所知，是只查殺木馬的軟體，也是能查殺木馬種類最多的軟體。顧名思義，木馬剋星不克乾坤無敵槌也不克北冥槌法，專克各種木馬。但也不是絕對哦，好象「灰鴿子」能屏蔽掉木馬剋星。(聽說而已沒試過哦。「灰鴿子」也是一種木馬，和冰河差不多。)(現在木馬剋星大多是沒注冊的版本。用木馬剋星查木馬時，要是提示你發現木馬只有注冊用戶才能清除，這只是作者的一個小手段，其實他的意思是如果發現木馬，那麼只有注冊用戶才能清楚，要是真的發現了木馬，軟體會告訴你木馬的具體位置和名字是什麼。我們用其他的軟體和手段清除不就行了)

4。綠鷹PC萬能精靈。他會實時監控你的計算機，看著「系統安全」心理舒服多了。

有了類似的這些防護軟體，你的計算機基本上是安全了。但道高一尺，魔高一丈。最近又出現了一種可以把木馬偽裝易容的程序(不知道是哪個高手搞的，很是厲害)，就是把木馬本體根據排列組合生成多個木馬，而殺毒軟體只能查殺他們的母體。而後生成的木馬就不能查到了，所以手動人工的清除木馬我們還是要掌握一些地。

軟體查殺其他病毒很有效，對木馬的檢查也是蠻成功地，但徹底地清除不很理想，因為一般情況下木馬在電腦每次啟動時都會自動載入，而殺病毒軟體卻不能完全清除木馬文件，總的說來，殺病毒軟體作為防止木馬的入侵來說更有效。

五、木馬的防禦

隨著網路的普及和網路游戲裝備可以換人民幣的浪潮，木馬的傳播越來越快，而且新的變種層出不窮，我們在檢測清除它的同時，更要注意採取措施來預防它，下面列舉幾種預防木馬的方法。(大家的意見，我借用而已)

1、不要下載、接收、執行任何來歷不明的軟體或文件

很多木馬病毒都是通過綁定在其他的軟體或文件中來實現傳播的，一旦運行了這個被綁定的軟體或文件就會被感染，因此在下載的時候需要特別注意，一般推薦去一些信譽比較高的站點。在軟體安裝之前一定要用反病毒軟體檢查一下，建議用專門查殺木馬的軟體來進行檢查，確定無毒和無馬後再使用。

2、不要隨意打開郵件的附件，也不要點擊郵件中的可疑圖片。(後邊另外介紹一個關於郵件的例子，大家注意收看。)

3、將資源管理器配置成始終顯示擴展名。將Windows資源管理器配置成始終顯示擴展名，一些文件擴展名為vbs、shs、pif的文件多為木馬病毒的特徵文件，如果碰到這些可疑的文件擴展名時就應該引起注意。

4、盡量少用共享文件夾。如果因工作等原因必須將電腦設置成共享，則最好單獨開一個共享文!件夾，把所有需共享的文件都放在這個共享文件夾中，注意千萬不要將系統目錄設置成共享。

5、運行反木馬實時監控程序。木馬防範重要的一點就是在上網時最好運行反木馬實時監控程序，PC萬用精靈等軟體一般都能實時顯示當前所有運行程序並有詳細的描述信息。此外如加上一些專業的最新殺毒軟體、個人防火牆等進行監控基本就可以放心了。

6、經常升級系統。很多木馬都是通過系統漏洞來進行攻擊的，微軟公司發現這些漏洞之後都會在第一時間內發布補丁，很多時候打過補丁之後的系統本身就是一種最好的木馬防範辦法。

六、木馬傳播的個別範例(給大家介紹一個郵件類的)

1、來自網路的攻擊手段越來越多了，一些帶木馬的惡意網頁會利用軟體或系統操作平台等的安全漏洞，通過執行嵌入在網頁HTML超文本標記語言內的JavaApplet小應用程序、javascript腳本語言程序、ActiveX軟體部件交互技術支持可自動執行的代碼程序，強行修改用戶操作系統的注冊表及系統實用配置程序，從而達到非法控制系統資源、破壞數據、格式化硬碟、感染木馬程序、盜取用戶數據資料等目的。

目前來自網頁的攻擊分為兩種：一種是通過編輯的腳本程序修改IE瀏覽器；另外一種是直接破壞Windows系統。前者一般會修改IE瀏覽器的標題欄、默認主頁或直接將木馬「種」在你的機器里等等；後者是直接鎖定你的鍵盤、滑鼠等輸入設備然後對系統進行破壞。

(作者插言)：還好目前盜取千年用戶名和密碼的「木馬」功能還僅僅是偷盜行為，沒有發展成破壞行為。要不然號被盜了，在順便把硬碟被格式化了。那樣想第一時間找回密碼就都沒可能。希望這種情況不要發生。(啊門我彌佗佛)

下邊是正題了，大家看仔細了！

假如您收到的郵件附件中有一個看起來是這樣的文件(或者貌似這類文件，總之是特別誘人的文件，而且格式還很安全。)：QQ靚號放送.txt，您是不是認為它肯定是純文本文件？我要告訴您，不一定！它的實際文件名可以是QQ靚號放送.txt.{3050F4D8-98B5-11CF-BB82-00AA00BDCE0B}。

{3050F4D8-98B5-11CF-BB82-00AA00BDCE0B}在注冊表裡是HTML文件關聯的意思。但是存成文件名的時候它並不會顯現出來，您看到的就是個.txt文件，這個文件實際上等同於QQ靚號放送.txt.html。那麼直接打開這個文件為什麼有危險呢？請看如果這個文件的內容如下：

您可能以為它會調用記事本來運行，可是如果您雙擊它，結果它卻調用了HTML來運行，並且自動在後台開始通過網頁載入木馬文件。同時顯示「正在打開文件」之類的這樣一個對話框來欺騙您。您看隨意打開附件中的.txt的危險夠大了吧？

欺騙實現原理：當您雙擊這個偽裝起來的.txt時候，由於真正文件擴展名是.{3050F4D8-98B5-11CF-BB82-00AA00BDCE0B}，也就是.html文件，於是就會以html文件的形式運行，這是它能運行起來的先決條件。

在某些惡意網頁木馬中還會調用「WScript」。

WScript全稱WindowsScriptingHost，它是Win98新加進的功能,是一種批次語言/自動執行工具——它所對應的程序「WScript.exe」是一個腳本語言解釋器，位於c:\WINDOWS下，正是它使得腳本可以被執行，就象執行批處理一樣。在WindowsScriptingHost腳本環境里，預定義了一些對象，通過它自帶的幾個內置對象，可以實現獲取環境變數、創建快捷方式、載入程序、讀寫注冊表等功能。

最近聽不少玩家反映，許多馬夫通過冒充千年官方網站的辦法給玩家發名字類似「您的千年密碼確認函」、「您的千年資料保護建議」等的郵件，來騙取玩家的信任，來點擊運行該木馬郵件。希望廣大玩家在點擊這類郵件時一定要看清郵件是否來自於千年官方網站。如是來自其他什麼網站或個人郵箱的，馬上刪除，記得一定要馬上刪除，別抱任何僥幸心理。

七、關於「木馬」的防禦(純屬個人意見，不付法律責任)

防止木馬對在家上網來說是很簡單的事，無非就是裝一大堆殺毒軟體，並及時升級。(再新的木馬只要傳播速度快的話很快就會成為各種殺毒軟體的戰利品，除非此人專門定做個人木馬)在加上天網防火牆(很多黑客就是利用口令和漏洞進行遠程式控制制，該防火牆可以防止口令和漏洞入侵)基本上就可以解決問題啦，除非是自己好奇或是不小心打開了木馬服務端，我想這種情況還是佔一定的比例！

但是對網吧上網的來說，再好的防禦也是白撤。

據我所知，現在的網吧安全系數幾乎等於00000000，現在最厲害的應該就是裝個還「原精靈吧」，但是......我個人認為那東西用處不是很大，說是保護用戶密碼還不如說它是網吧保護系統的一種軟體。現在的木馬一般都是通過郵件方式傳送密碼的，也就是說，你只要在輸入框內輸入你的密碼之後，木馬控制方就已經得到你的ID和密碼了(一般不會超過三分鍾)！對網吧上網的朋友來說，靠復制方法輸入ID和密碼算最安全的了，很多木馬程序實際上就是一個鍵盤記錄工具，在你不知情的情況下把你的鍵盤輸入情況全部記錄了下來，然後通過網路發送出去！(好可怕哦，不過具我所知現在公安部和文化部已經明令禁止網吧安裝還原精靈了，說是為了保留歷史記錄雲雲。唉~~就這么點防禦手段也給封殺了，哭哦)

總之，家庭上網用戶記得隨時更新自己的病毒庫，隨時檢查計算機進程，發現不明進程馬上格殺，不瀏覽一些不明站點(我通常是靠域名來分析站點的可靠程度，一般一級域名都不會出現惡意代碼和網頁木馬)，更別隨意接收別人給你發送的文件和郵件！

網吧防盜真的很困難了，什麼人都有，復雜了，就算老闆花錢去注冊一個木馬剋星，呵呵。。。都沒用，想做壞事的人同樣能把他幹掉~~~~我個人認為，網吧上網除了復制ID密碼粘貼到輸入框，其他的就得聽天由命了~~~~~

八、關於大家都用的醉翁巷1.1G的說明

用了人家的軟體，就總要替人家說句公道話。前些時候，有人說醉翁1.1G軟體運行後，沒什麼反映。當關閉軟體的一剎那，一些防護類軟體提示：此軟體正在監視本機鍵盤！！

其實就是醉翁巷中的hook.dll文件在作怪。下面給大家說說「勾子」的我問題。

什麼是勾子

在Windows系統中，勾子(hook)是一種特殊的消息處理機制。勾子可以監視系統或進程中的各種事件消息，截獲發往目標窗口的消息並進行處理。這樣，我們就可以在系統中安裝自定義的勾子，監視系統中特定事件的發生，完成特定的功能，比如截獲鍵盤、滑鼠的輸入，屏幕取詞，日誌監視等等。可見，利用勾子可以實現許多特殊而有用的功能。因此，對於高級編程人員來說，掌握勾子的編程方法是很有必要的。

勾子的類型

按使用范圍分類，主要有線程勾子和系統勾子

(1)線程勾子監視指定線程的事件消息。

(2)系統勾子監視系統中的所有線程的事件消息。因為系統勾子會影響系統中所有的應用程序，所以勾子函數必須放在獨立的動態鏈接庫(DLL)中。這是系統勾子和線程勾子很大的不同之處。

醉翁巷中的hook.dll就是完成以上功能的程序，由於勾子對程序的特殊性，所以會有部分軟體報告發現他在記錄鍵盤動作，不過不會報告說他是木馬。(呵呵搞的確實挺嚇人的。不過就算它記錄鍵盤動作，只要不發送就沒太大危險了)

九、大總結(就是對上邊的大總結啦)

大家知道了「木馬」的工作原理，查殺「木馬」就變得很容易，如果發現有「木馬」存在，最安全也是最有效的方法就是馬上將計算機與網路斷開，防止黑客通過網路對你進行攻擊。然後在根據實際情況進行處理。

下面給大家說一下我機器的防護裝備：(一共就5樣)

XFILTER個人防火牆：這個防火牆沒什麼防病毒的功能，它只監視所有未經過我個人許可的程序連接網路。任何程序連接網路它都會通告並詢問。比如安裝完該軟體「第一次」運行千年，它會提示你C:\ProgramFiles\1000y\Client.exe要連接網路，是否放行。它就是這樣來防範的。

瑞星殺毒軟體：以殺各種惡意病毒和木馬為主，2004版專門提供游戲保護。

還原精靈：記錄當前硬碟和系統信息。不管以後對硬碟和系統進行什麼操作都能還原成初始模樣。比如我們2003年11月1日對當前C硬碟和系統進行備份保存，2003年12月1日由於感染木馬，對系統進行還原，還原後所有東西都會回到2003年11月1日備份是的樣子。不論你在C盤上進行了什麼操作，都會變回備份時的樣子。這個軟體就有一個缺點，會影響機器的啟動速度。但不影響機器的運行。最近還有朋友反映新版本和某些游戲有沖突。

木馬剋星：這個我就不多說了，網路游戲玩家必備的東東。

十六進制編譯器：具體名字我就不說了，有興趣的朋友隨便找一個用就行了。主要是對一些可疑程序進行掃描和檢測。

以上各個軟體在各大門戶網站和各大下載專業網站都可以找到，在這里小女子就不提供網址了，避免不必要的麻煩。

③ 網管懷疑網吧機器被種植木馬怎麼檢查

網吧機器被種植木馬
，殺毒的工作也是很麻煩的。作為網吧熱點
，首先要檢查網吧機版器被種植木馬
的可能，具權體的方法如下。
1，檢查惡意的攻擊者賬戶任意地控制你的計算機
如果你發現一個系統內置的用戶是屬於administrators組的，那幾乎肯定你被入侵了，而且別人在你的計算機上克隆了賬戶。快使用netuser用戶名/del來刪掉這個用戶。
2，檢測網路連接
具體的命令格式是：netstat-an這個命令能看到所有和本地計算機建立連接的IP，它包含四個部分proto(連接方式)、localaddress(本地連接地址)、foreignaddress(和本地建立連接的地址)、state(當前埠狀態)。通過這個命令的詳細信息，我們就可以完全監控計算機上的連接，從而達到控制計算機的目的。
3，禁用不明服務
有些病毒是用殺毒軟體無法查殺的，而且有些病毒是有穿透還原能力的，一般的方法不能達到檢查的目的。以上的檢查網吧機器被種植木馬的方法希望對你們有幫助。

④ HTC木馬機到底是個什麼意思怎麼檢測是不是木馬機

s-on也有可能是木馬機，那是因為解了s-off後植入木馬，然後再上鎖，這樣你就無法再解s-off了，更不能刷recovery了 3#

⑤ 木馬檢查殺是什麼

木馬就是電腦病毒

⑥ 什麼是木馬

特洛伊木馬(以下簡稱木馬)，英文叫做「Trojan house」，其名稱取自希臘神話的特洛伊木馬記。
它是一種基於遠程式控制制的黑客工具，具有隱蔽性和非授權性的特點。
所謂隱蔽性是指木馬的設計者為了防止木馬被發現，會採用多種手段隱藏木馬，這樣服務端即使發現感染了木馬，由於不能確定其具體位置，往往只能望「馬」興嘆。
所謂非授權性是指一旦控制端與服務端連接後，控制端將享有服務端的大部分操作許可權，包括修改文件，修改注冊表，控制滑鼠，鍵盤等等，而這些權力並不是服務端賦予的，而是通過木馬程序竊取的。

從木馬的發展來看，基本上可以分為兩個階段。
最初網路還處於以UNIX平台為主的時期，木馬就產生了，當時的木馬程序的功能相對簡單，往往是將一段程序嵌入到系統文件中，用跳轉指令來執行一些木馬的功能，在這個時期木馬的設計者和使用者大都是些技術人員，必須具備相當的網路和編程知識。
而後隨著WINDOWS平台的日益普及，一些基於圖形操作的木馬程序出現了，用戶界面的改善，使使用者不用懂太多的專業知識就可以熟練的操作木馬，相對的木馬入侵事件也頻繁出現，而且由於這個時期木馬的功能已日趨完善，因此對服務端的破壞也更大了。
所以所木馬發展到今天，已經無所不用其極，一旦被木馬控制，你的電腦將毫無秘密可言。

鑒於木馬的巨大危害性，我們將分原理篇，防禦與反擊篇，資料篇三部分來詳細介紹木馬，希望大家對特洛伊木馬這種攻擊手段有一個透徹的了解。

原 理 篇

基礎知識
在介紹木馬的原理之前有一些木馬構成的基礎知識我們要事先加以說明,因為下面有很多地方會提到這些內容。
一個完整的木馬系統由硬體部分，軟體部分和具體連接部分組成。
(1)硬體部分：建立木馬連接所必須的硬體實體。 控制端：對服務端進行遠程式控制制的一方。 服務端：被控制端遠程式控制制的一方。 INTERNET：控制端對服務端進行遠程式控制制，數據傳輸的網路載體。
(2)軟體部分：實現遠程式控制制所必須的軟體程序。 控制端程序：控制端用以遠程式控制制服務端的程序。 木馬程序：潛入服務端內部，獲取其操作許可權的程序。 木馬配置程序：設置木馬程序的埠號，觸發條件，木馬名稱等，使其在服務端藏得更隱蔽的程序。
(3)具體連接部分：通過INTERNET在服務端和控制端之間建立一條木馬通道所必須的元素。 控制端IP，服務端IP：即控制端，服務端的網路地址，也是木馬進行數據傳輸的目的地。 控制端埠，木馬埠：即控制端，服務端的數據入口，通過這個入口，數據可直達控制端程序或木馬 程序。

木馬原理
用木馬這種黑客工具進行網路入侵，從過程上看大致可分為六步(具體可見下圖)，下面我們就按這六步來詳細闡述木馬的攻擊原理。

一.配置木馬
一般來說一個設計成熟的木馬都有木馬配置程序，從具體的配置內容看，主要是為了實現以下兩方 面功能：
(1)木馬偽裝：木馬配置程序為了在服務端盡可能的好的隱藏木馬，會採用多種偽裝手段，如修改圖標 ，捆綁文件，定製埠，自我銷毀等，我們將在「傳播木馬」這一節中詳細介紹。
(2)信息反饋：木馬配置程序將就信息反饋的方式或地址進行設置，如設置信息反饋的郵件地址，IRC號 ，ICO號等等，具體的我們將在「信息反饋」這一節中詳細介紹。

二.傳播木馬
(1)傳播方式:
木馬的傳播方式主要有兩種:一種是通過E-MAIL,控制端將木馬程序以附件的形式夾在郵件中發送出 去, 收信人只要打開附件系統就會感染木馬;另一種是軟體下載，一些非正規的網站以提供軟體下載為 名義， 將木馬捆綁在軟體安裝程序上，下載後，只要一運行這些程序，木馬就會自動安裝。
(2)偽裝方式:
鑒於木馬的危害性,很多人對木馬知識還是有一定了解的,這對木馬的傳播起了一定的抑製作用,這 是木馬設計者所不願見到的,因此他們開發了多種功能來偽裝木馬,以達到降低用戶警覺,欺騙用戶的目 的。
(一)修改圖標
當你在E-MAIL的附件中看到這個圖標時,是否會認為這是個文本文件呢?但是我不得不告 訴你,這也有可能是個木馬程序,現在 已經有木馬可以將木馬服務端程序的圖標改成HTML,TXT, ZIP等各種文件的圖標,這有相當大的迷 惑性,但是目前提供這種功能的木馬還不多見,並且這種 偽裝也不是無懈可擊的,所以不必整天提 心吊膽,疑神疑鬼的。
(二)捆綁文件
這種偽裝手段是將木馬捆綁到一個安裝程序上,當安裝程序運行時,木馬在用戶毫無察覺的 情況下 ,偷偷的進入了系統。至於被捆綁的文件一般是可執行文件(即EXE,COM一類的文件)。
(三)出錯顯示
有一定木馬知識的人都知道,如果打開一個文件,沒有任何反應,這很可能就是個木馬程序, 木馬的 設計者也意識到了這個缺陷,所以已經有木馬提供了一個叫做出錯顯示的功能。當服務 端用戶打開木 馬程序時,會彈出一個如下圖所示的錯誤提示框(這當然是假的),錯誤內容可自由 定義,大多會定製成 一些諸如「文件已破壞，無法打開的！」之類的信息，當服務端用戶信以 為真時,木馬卻悄悄侵入了 系統。
(四)定製埠
很多老式的木馬埠都是固定的,這給判斷是否感染了木馬帶來了方便,只要查一下特定的 埠就 知道感染了什麼木馬,所以現在很多新式的木馬都加入了定製埠的功能,控制端用戶可 以在1024---65535之間任選一個埠作為木馬埠(一般不選1024以下的埠)，這樣就給判斷 所感染木馬類型帶 來了麻煩。
(五)自我銷毀
這項功能是為了彌補木馬的一個缺陷。我們知道當服務端用戶打開含有木馬的文件後，木馬 會將自己拷貝到WINDOWS的系統文件夾中(C:\WINDOWS或C:\WINDOWS\SYSTEM目錄下)，一般來說 原木馬文件 和系統文件夾中的木馬文件的大小是一樣的(捆綁文件的木馬除外),那麼中了木馬 的朋友只要在近來 收到的信件和下載的軟體中找到原木馬文件,然後根據原木馬的大小去系統 文件夾找相同大小的文件, 判斷一下哪個是木馬就行了。而木馬的自我銷毀功能是指安裝完木 馬後，原木馬文件將自動銷毀，這 樣服務端用戶就很難找到木馬的來源，在沒有查殺木馬的工 具幫助下，就很難刪除木馬了。
(六)木馬更名
安裝到系統文件夾中的木馬的文件名一般是固定的，那麼只要根據一些查殺木馬的文章,按 圖索驥在系統文件夾查找特定的文件,就可以斷定中了什麼木馬。所以現在有很多木馬都允許控 制端用戶自由定製安裝後的木馬文件名，這樣很難判斷所感染的木馬類型了。

三.運行木馬

服務端用戶運行木馬或捆綁木馬的程序後,木馬就會自動進行安裝。首先將自身拷貝到WINDOWS的 系統文件夾中(C:\WINDOWS或C:\WINDOWS\SYSTEM目錄下),然後在注冊表,啟動組,非啟動組中設置好木馬 的觸發條件 ,這樣木馬的安裝就完成了。安裝後就可以啟動木馬了，具體過程見下圖：

(1)由觸發條件激活木馬

觸發條件是指啟動木馬的條件,大致出現在下面八個地方:
1.注冊表:打開HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\下的五個以Run 和RunServices主鍵,在其中尋找可能是啟動木馬的鍵值。
2.WIN.INI:C:\WINDOWS目錄下有一個配置文件win.ini，用文本方式打開，在[windows]欄位中有啟動 命令 load=和run=,在一般情況下是空白的,如果有啟動程序,可能是木馬。 3.SYSTEM.INI:C:\WINDOWS目錄下有個配置文件system.ini，用文本方式打開，在[386Enh],[mic]， [drivers32]中有命令行,在其中尋找木馬的啟動命令。
4.Autoexec.bat和Config.sys:在C盤根目錄下的這兩個文件也可以啟動木馬。但這種載入方式一般都 需要控制端用戶與服務端建立連接後，將已添加木馬啟動命令的同名 文件上傳 到服務端覆蓋這兩個文件才行。
5.*.INI:即應用程序的啟動配置文件，控制端利用這些文件能啟動程序的特點，將製作好的帶有木馬 啟動命令的同名文件上傳到服務端覆蓋這同名文件，這樣就可以達到啟動木馬的目的了。
6.注冊表:打開HKEY_CLASSES_ROOT\文件類型\shell\open\command主鍵,查看其鍵值。舉個例子,國產 木馬「冰河」就是修改HKEY_CLASSES_ROOT\txtfile\shell\open\command下的鍵值,將「C :\WINDOWS \NOTEPAD.EXE %1」該為「C:\WINDOWS\SYSTEM\SYXXXPLR.EXE %1」，這時你雙 擊一個TXT文件 後，原本應用NOTEPAD打開文件的，現在卻變成啟動木馬程序了。還要說明 的是不光是TXT文件 ，通過修改HTML，EXE，ZIP等文件的啟動命令的鍵值都可以啟動木馬 ，不同之處只在於「文件類型」這個主鍵的差別，TXT是txtfile,ZIP是WINZIP，大家可以 試著去找一下。
7.捆綁文件:實現這種觸發條件首先要控制端和服務端已通過木馬建立連接，然後控制端用戶用工具 軟體將木馬文件和某一應用程序捆綁在一起，然後上傳到服務端覆蓋原文件，這樣即使 木馬被刪 除了，只要運行捆綁了木馬的應用程序，木馬又會被安裝上去了。
8.啟動菜單:在「開始---程序---啟動」選項下也可能有木馬的觸發條件。

(2)木馬運行過程

木馬被激活後，進入內存，並開啟事先定義的木馬埠，准備與控制端建立連接。這時服務端用 戶可以在MS-DOS方式下，鍵入NETSTAT -AN查看埠狀態，一般個人電腦在離線狀態下是不會有埠 開放的，如果有埠開放，你就要注意是否感染木馬了。下面是電腦感染木馬後，用NETSTAT命令查 看埠的兩個實例：

其中①是服務端與控制端建立連接時的顯示狀態，②是服務端與控制端還未建立連接時的顯示狀態。

在上網過程中要下載軟體，發送信件，網上聊天等必然打開一些埠，下面是一些常用的埠：
(1)1---1024之間的埠：這些埠叫保留埠，是專給一些對外通訊的程序用的，如FTP使用21， SMTP使用25，POP3使用110等。只有很少木馬會用保留埠作為木馬埠 的。
(2)1025以上的連續埠：在上網瀏覽網站時，瀏覽器會打開多個連續的埠下載文字，圖片到本地 硬碟上，這些埠都是1025以上的連續埠。
(3)4000埠：這是OICQ的通訊埠。
(4)6667埠：這是IRC的通訊埠。 除上述的埠基本可以排除在外，如發現還有其它埠打開，尤其是數值比較大的埠，那就要懷疑 是否感染了木馬，當然如果木馬有定製埠的功能，那任何埠都有可能是木馬埠。

四.信息泄露:

一般來說，設計成熟的木馬都有一個信息反饋機制。所謂信息反饋機制是指木馬成功安裝後會收集 一些服務端的軟硬體信息，並通過E-MAIL，IRC或ICO的方式告知控制端用戶。下圖是一個典型的信息反 饋郵件。

從這封郵件中我們可以知道服務端的一些軟硬體信息，包括使用的操作系統，系統目錄，硬碟分區況， 系統口令等，在這些信息中，最重要的是服務端IP，因為只有得到這個參數，控制端才能與服務端建立 連接，具體的連接方法我們會在下一節中講解。

五.建立連接：

這一節我們講解一下木馬連接是怎樣建立的 。一個木馬連接的建立首先必須滿足兩個條件：一是 服務端已安裝了木馬程序；二是控制端，服務端都要在線 。在此基礎上控制端可以通過木馬埠與服 務端建立連接。為了便於說明我們採用圖示的形式來講解。

如上圖所示A機為控制端，B機為服務端，對於A機來說要與B機建立連接必須知道B機的木馬埠和IP地 址，由於木馬埠是A機事先設定的，為已知項，所以最重要的是如何獲得B機的IP地址。獲得B機的IP 地址的方法主要有兩種：信息反饋和IP掃描。對於前一種已在上一節中已經介紹過了，不再贅述，我們 重點來介紹IP掃描，因為B機裝有木馬程序，所以它的木馬埠7626是處於開放狀態的，所以現在A機只 要掃描IP地址段中7626埠開放的主機就行了，例如圖中B機的IP地址是202.102.47.56，當A機掃描到 這個IP時發現它的7626埠是開放的，那麼這個IP就會被添加到列表中，這時A機就可以通過木馬的控 制端程序向B機發出連接信號，B機中的木馬程序收到信號後立即作出響應，當A機收到響應的信號後， 開啟一個隨即埠1031與B機的木馬埠7626建立連接，到這時一個木馬連接才算真正建立。值得一提 的要掃描整個IP地址段顯然費時費力，一般來說控制端都是先通過信息反饋獲得服務端的IP地址，由於 撥號上網的IP是動態的，即用戶每次上網的IP都是不同的，但是這個IP是在一定范圍內變動的，如圖中 B機的IP是202.102.47.56，那麼B機上網IP的變動范圍是在202.102.000.000---202.102.255.255，所以 每次控制端只要搜索這個IP地址段就可以找到B機了。

六.遠程式控制制：

木馬連接建立後，控制端埠和木馬埠之間將會出現一條通道，見下圖

控制端上的控制端程序可藉這條通道與服務端上的木馬程序取得聯系,並通過木馬程序對服務端進行遠 程式控制制。下面我們就介紹一下控制端具體能享有哪些控制許可權，這遠比你想像的要大。
(1)竊取密碼：一切以明文的形式，*形式或緩存在CACHE中的密碼都能被木馬偵測到，此外很多木馬還 提供有擊鍵記錄功能，它將會記錄服務端每次敲擊鍵盤的動作，所以一旦有木馬入侵， 密碼將很容易被竊取。
(2)文件操作：控制端可藉由遠程式控制制對服務端上的文件進行刪除,新建,修改,上傳,下載,運行,更改屬 性等一系列操作,基本涵蓋了WINDOWS平台上所有的文件操作功能。
(3)修改注冊表：控制端可任意修改服務端注冊表，包括刪除，新建或修改主鍵，子鍵，鍵值。有了這 項功能控制端就可以禁止服務端軟碟機，光碟機的使用，鎖住服務端的注冊表，將服務端 上木馬的觸發條件設置得更隱蔽的一系列高級操作。
(4)系統操作：這項內容包括重啟或關閉服務端操作系統，斷開服務端網路連接，控制服務端的滑鼠， 鍵盤，監視服務端桌面操作，查看服務端進程等，控制端甚至可以隨時給服務端發送信 息，想像一下，當服務端的桌面上突然跳出一段話，不嚇人一跳才怪

⑦ 這個木馬是什麼意思我機子怎麼那麼多,怎麼進來的

上網時留下的臨時文件里的病毒，殺毒軟體應該能殺掉
上網時經常有各種回各樣的木馬病毒，答及時處理問題不大
特洛伊木馬的電影沒看過啊？
就是從那個故事裡算是引申過來的吧，二者都是先隱藏自己進入內部，然後進行破壞。

關於病毒的危害，Trojan-Downloader會執行以下作：
進入其作者創建的特定網站或 FTP 站點並試圖下載新的特洛伊木馬、病毒、蠕蟲或其組件。
完成下載後，特洛伊木馬程序將執行它們。
TrojanDownloader.Win32.Small.dg是WINDOWS下的PE病毒，PE的意思是可移植的執行體，即portable executable，是windows下的一個32位的文件格式，保留了MZ文件頭以便於運行於DOS，在windows中廣泛存在這種格式，除了.dll和VxD格式不屬於這個格式，是病毒喜歡感染的類型，可以在安全模式下刪除，危害和一般病毒是一樣的，就是普通病毒，只不過病毒通過修改可執行文件的代碼中程序入口地址，變成病毒的程序入口，導致運行的時候執行病毒文件，這是比較常用的方式，刪除就沒事了

⑧ 木馬檢查是什麼

木馬檢查主要是對於懷疑乳腺有惡性腫瘤的人群的一種檢查方式，也就是用鉬專靶照相檢查看看屬是否是惡性疾病。
如果女性的乳腺有腫塊，臨床懷疑有乳腺癌可能的人群，建議木馬檢查，木馬檢查後高度懷疑乳腺癌需要手術切除及病理化驗進一步證實。

⑨ 什麼是木馬

什麼是木馬?
特洛伊木馬(以下簡稱木馬)，英文叫做「Trojan house」，其名稱取自希臘神話的特洛伊木馬記。
它是一種基於遠程式控制制的黑客工具，具有隱蔽性和非授權性的特點。
所謂隱蔽性是指木馬的設計者為了防止木馬被發現，會採用多種手段隱藏木馬，這樣服務端即使發現感染了木馬，由於不能確定其具體位置，往往只能望「馬」興嘆。
所謂非授權性是指一旦控制端與服務端連接後，控制端將享有服務端的大部分操作許可權，包括修改文件，修改注冊表，控制滑鼠，鍵盤等等，而這些權力並不是服務端賦予的，而是通過木馬程序竊取的。

從木馬的發展來看，基本上可以分為兩個階段。
最初網路還處於以UNIX平台為主的時期，木馬就產生了，當時的木馬程序的功能相對簡單，往往是將一段程序嵌入到系統文件中，用跳轉指令來執行一些木馬的功能，在這個時期木馬的設計者和使用者大都是些技術人員，必須具備相當的網路和編程知識。
而後隨著WINDOWS平台的日益普及，一些基於圖形操作的木馬程序出現了，用戶界面的改善，使使用者不用懂太多的專業知識就可以熟練的操作木馬，相對的木馬入侵事件也頻繁出現，而且由於這個時期木馬的功能已日趨完善，因此對服務端的破壞也更大了。
所以所木馬發展到今天，已經無所不用其極，一旦被木馬控制，你的電腦將毫無秘密可言。
參考資料：http://bbs.51ww.com/365000/ShowPost.aspx

⑩ 計算機木馬的檢查方法

一、自動查抄殺：利用各種殺毒軟體進行殺毒。一般的殺毒軟體都具備查殺木馬的功能。現在在線查殺大多都不需收費，也有很多免費的殺毒軟體供大家使用，並不需要像90年代那樣因為殺毒軟體費用而被迫手動查殺。
二、手動查殺：
1、自動運行檢查：一般的木馬為了能夠最大限度獲取你的權利，都會設置自動運行（autorun），常見的自動運行有：注冊表關鍵值（請參考參考資料）。Autorun.inf（媒體自動播放，U盤病毒常用）腳本,內核載入（Linux病毒手法）等。
2、埠檢查：你可以使用專業的埠檢查工具（如個人防火牆自帶的工具）也可以使用系統自帶的工具。（1）在在Windows 2000/XP/Server 2003中要查看埠，可以使用Netstat命令：依次點擊「開始→運行」，鍵入「cmd」並回車，打開命令提示符窗口。在命令提示符狀態下鍵入「netstat -a -n」，按下回車鍵後就可以看到以數字形式顯示的TCP和UDP連接的埠號及狀態。
（2）在linux下可以使用netstate命令：
打開終端，輸入netstat -anp 按回車後即可埠佔用狀態。