敞加毛是什么字:为什么会感染上木马？怎样防止感染上木马

木马全称为特洛伊木马（Trojan Horse，英文则简称为Trojan）。此词语来源于古希腊的神话 故事 ，传说希腊人围攻特洛伊城，久久不能得手。后来想出了一个木马计，让士兵藏匿于巨大的木马中。大部队假装撤退而将 木马 摈弃于特洛伊城下，让敌人将其作为战利品拖入城内。木马内的士兵则乘夜晚敌人庆祝胜利、放松警惕的时候从 木马 中爬出来，与城外的部队里应外合而攻下了特洛伊城。

在 计算机 安全学中，特洛伊 木马 是指一种 计算机 程序，表面上或实际上有某种有用的功能，而含有隐藏的可以控制用户 计算机 系统、危害系统安全的功能，可能造成用户资料的泄漏、破坏或整个系统的崩溃。在一定程度上， 木马 也可以称为是 计算机 病毒 。

由于很多用户对 计算机 安全问题了解不多，所以并不知道自己的 计算机 是否中了 木马 或者如何删除 木马 。虽然现在市面上有很多新版杀毒 软件 都称可以自动清除 木马 病毒 ，但它们并不能防范新出现的 木马 病毒 （哪怕宣传上称有查杀未知 病毒 的功能）。而且实际的使用效果也并不理想。比如用某些杀毒 软件 卸载 木马 后，系统不能正常工作，或根本发现不了经过特殊处理的 木马 程序。本人就测试过一些经 编程 人员改装过的著名 木马 程序，新的查杀毒 软件 是连检查都检测不到，更不用说要删除它了（哪怕是使用的是的 病毒 库）。因此最关键的还是要知道特洛伊 木马 的工作原理，由其原理着手自己来检测 木马 和删除 木马 。用手工的方法极易发现系统中藏匿的特洛伊 木马 ，再根据其藏匿的方式对其进行删除。
二、 木马 工作的原理

在Windows系统中， 木马 一般作为一个网络 服务 程序在种了 木马 的机器后台运行，监听本机一些特定端口，这个端口号多数比较大（5000以上，但也有部分是5000以下的）。当该 木马 相应的客户端程序在此端口上请求连接时，它会与客户程序建立一TCP连接，从而被客户端远程控制。

既然是 木马 ，当然不会那么容易让你看出破绽，对于程序设计人员来说，要隐藏自己所设计的窗口程序，主要途径有：在任务栏中将窗口隐藏，这个只要把 Form的Visible属性调整为False，ShowInTaskBar也设为False。那么程序运行时就不会出现在任务栏中了。如果要在任务管理器中隐身，只要将程序调整为系统 服务 程序就可以了。

好了，现在我们对 木马 的运行有了大体了解。让我们从其运行原理着手来看看它藏在哪。既然要作为后台的网络 服务 器运行，那么它就要乘 计算机 刚开机的时候得到运行，进而常驻内存中。想一想，Windows系统刚启动的时候会通过什么项目装入而运行一些程序呢？你可能会想到“开始->程序->启动”中的项目！没错，这是Windows启动时要运行的东西，但要是 木马 服务 器程序明显地放在这就不叫 木马 了。

木马 基本上采用了Windows系统启动时自动加载应用程序的方法，包括有win.ini、system.ini和 注册表 等。

在win.ini文件中，[WINDOWS]下面，“run=”和“load=”行是Windows启动时要自动加载运行的程序项目， 木马 可能会在这现出原形。必须要仔细观察它们，一般情况下，它们的等号后面什么都没有，如果发现后面跟有路径与文件名不是你熟悉的或以前没有见到过的启动文件项目，那么你的 计算机 就可能中上 木马 了。当然你也得看清楚，因为好多 木马 还通过其容易混淆的文件名来愚弄用户。如AOL Trojan，它把自身伪装成command.exe文件，如果不注意可能不会发现它，而误认它为正常的系统启动文件项。

在system.ini文件中，[BOOT]下面有个“shell=Explorer.exe”项。正确的表述方法就是这样。如果等号后面不仅仅是 explorer.exe，而是“shell=Explorer.exe 程序名”，那么后面跟着的那个程序就是 木马 程序，明摆着你已经中了 木马 。现在有些 木马 还将explorer.exe文件与其进行绑定成为一个文件，这样的话，这里看起来还是正常的，无法瞧出破绽。

隐蔽性强的 木马 都在 注册表 中作文章，因为 注册表 本身就非常庞大、众多的启动项目及易掩人耳目。
HKEY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
HKEY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce
HKEY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnceEx
HKEY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices
HKEY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce

上面这些主键下面的启动项目都可以成为 木马 的容身之处。如果是Windows NT，那还得注意HKEY-LOCAL-MACHINE\Software\SAM下的东西，通过regedit等 注册表 编辑 工具 查看SAM主键，里面下应该是空的。

木马 驻留 计算机 以后，还得要有客户端程序来控制才可以进行相应的“黑箱”操作。要客户端要与 木马 服务 器端进行通信就必须得建立一连接（一般为TCP连接），通过相应的程序或 工具 都可以检测到这些非法网络连接的存在。具体如何检测，在第三部分有详细介绍。

三、检测 木马 的存在

知道 木马 启动运行、工作的原理，我们就可以着手来看看自己的 计算机 有没有 木马 存在了。

首先，查看system.ini、win.ini、启动组中的启动项目。由“开始->运行”，输入msconfig，运行Windows自带的“系统配置实用程序”。

1、查看system.ini文件

选中“System.ini”标签，展开[boot]目录，查看“shell=”这行，正常为“shell=Explorer.exe”
，如果不是这样，就可能中了 木马 了。下图所示为正常时的情况：

2、查看win.ini文件

选中win.ini标签，展开[windows]目录项，查看“run=”和“load=”行，等号后面正常应该为空
3、查看启动组

再看看启动标签中的启动项目，有没有什么非正常项目？要是有象netbus、netspy、bo等关键词，
极有可能就是 木马 了。本人一般都将启动组中的项目保持在比较精简的状态，不需要或无大用途的项目都
屏蔽掉了
4、查看 注册表

由“开始-运行”，输入regedit，确定就可以运行 注册表 编辑器。再展开至：
“HKEY-LOCAL-MACHINESoftwareMicrosoftWindowsCurrentVersionRun”目录下，查看键值中有没有自己
不熟悉的自动启动文件项目，比如netbus、netspy、netserver等的单词。注意，有的 木马 程序生成的
服务 器程序文件很像系统自身的文件，想由此伪装蒙混过关。比如Acid Battery 木马 ，它会在 注册表 项
“HKEY-LOCAL-MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun”下加入
Explorer=“CWINDOWSexpiorer.exe”， 木马 服务 器程序与系统自身的真正的Explorer之间只有一个字母
的差别！
通过类似的方法对下列各个主键下面的键值进行检查：
HKEY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce
HKEY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnceEx
HKEY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices
HKEY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce

如果操作系统是Windows NT，还得注意HKEY-LOCAL-MACHINE\Software\SAM下面的内容，如果有项目，那极有可能就是 木马 了。正常情况下，该主键下面是空的。

当然在 注册表 中还有很多地方都可以隐藏 木马 程序，上面这些主键是 木马 比较常用的隐身之处。除此之外，象HKEY-CURRENT-USER\ Software\Microsoft\Windows\CurrentVersion\Run、HKEY-USERS\****\Software\ Microsoft\Windows\CurrentVersion\Run的目录下都有可能成为 木马 的藏身之处。最好的办法就是在HKEY-LOCAL -MACHINE\Software\Microsoft\Windows\CurrentVersion\Run或其它主键下面找到 木马 程序的文件名，再通过其文件名对整个 注册表 进行全面搜索就知道它有几个藏身的地方了。

如果有留意， 注册表 各个主键下都会有个叫“（默认）”名称的注册项，而且数据显示为“（未设置键值）”，也就是空的。这是正常现象。如果发现这个默认项被替换了，那么替换它的就是 木马 了。

4、其它方法

上网过程中，在进行一些 计算机 正常使用操作时，发现 计算机 速度明显起了变化、硬盘在不停的读写、鼠标不听使唤、键盘无效、自己的一些窗口在未得到自己允许的情况下被关闭、新的窗口被莫名其妙地打开.....这一切的不正常现象都可以怀疑是 木马 客户端在远程控制你的 计算机 。

如果怀疑你现在正在被 木马 控制，那么不要慌张地去拔了网线或抽了Modem上的电话线。有可能的话，最好可以逮到“黑”你的那个家伙。下面就介绍一下相应的方法：

由“开始->运行”，输入command，确定，开一个MS-DOS窗口。或者由“开始->程序->MS-DOS”来打开它。在MS-DOS窗口的命令行键入“netstat”查看目前已与本 计算机 建立的连接。如下图所示：
显示出来的结果表示为四列，其意思分别为Proto： 协议 ，Local Address：本地地址，Foreign Address
：远程地址，State：状态。在地址栏中冒号的后面就是端口号。如果发现端口号码异常（比如大于5000
），而Foreign Address中的地址又不为正常网络浏览的地址，那么可以判断你的机器正被
Foreign Address中表示的远程 计算机 所窥视着。在对应行的Foreign Address中显示的IP地址就是目前非
法连接你 计算机 的 木马 客户端。

当网络处于非活动状态，也就是目前没什么活动网络连接时，在MS-DOS窗口中用netstat命令将看不
到什么东西。此时可以使用“netstat -a”,加了常数“-a”表示显示 计算机 中目前处于监听状态的端口
。对于Windows98来说，正常情况下，会出现如下的一些处于监听状态的端口（安装有NETBEUI 协议 ）：
如果出现有不明端口处于监听（LISTENING）状态，而目前又没有进行任何网络 服务 操作，那么在监听该
端口的就是特洛伊 木马 了！如下图所示的23456和23457端口都处于监听状态，很明显是 木马 造成的。
注意，使用此方法查询处于监听状态的端口，一定要保证在短时间内（最好5分钟以上）没有运行任何
网络冲浪 软件 ，也没有进行过任何网络操作，比如浏览网页，收、发信等。不然容易混淆对结果的判断。

四、删除 木马

好了，用上面的一些方法发现自己的 计算机 中了 木马 ，那怎么办？当然要将 木马 删除了，难道还要保留它！首先要将网络断开，以排除来自网络的影响，再选择相应的方法来删除它。

1、由 木马 的客户端程序

由先前在win.ini、system.ini和 注册表 中查找到的可疑文件名判断 木马 的名字和版本。比如“netbus”、“netspy”等，很显然对应的 木马 就是NETBUS和NETSPY。从网上找到其相应的客户端程序，下载并运行该程序，在客户程序对应位置填入本地 计算机 地址： 127.0.0.1和端口号，就可以与 木马 程序建立连接。再由客户端的卸除 木马 服务 器的功能来卸除 木马 。端口号可由“netstat -a”命令查出来。

这是最容易，相对来说也比较彻底载除 木马 的方法。不过也存在一些弊端，如果 木马 文件名给另外改了名字，就无法通过这些特征来判断到底是什么 木马 。如果 木马 被设置了 密码 ，既使客户端程序可以连接的上，没有 密码 也登陆不进本地 计算机 。当然要是你知道该 木马 的通用 密码 ，那就另当别论了。还有，要是该 木马 的客户端程序没有提供卸载 木马 的功能，那么该方法就没什么用了。当然，现在多数 木马 客户端程序都是有这个功能的。

2、手工

不知道中的是什么 木马 、无登陆的 密码 、找不到其相应的客户端程序、......，那我们就手工慢慢来删除这该死的 木马 吧。

用msconfig打开系统配置实用程序，对win.ini、system.ini和启动项目进行编辑。屏蔽掉非法启动项。如在win.ini文件中，将将[WINDOWS]下面的“run=xxx”或“load=xxx”更改为“run=”和“load=”；编辑system.ini文件，将 [BOOT]下面的“shell=xxx”，更改为：“shell=Explorer.exe”。

用regedit打开 注册表 编辑器，对 注册表 进行编辑。先由上面的方法找到 木马 的程序名，再在整个 注册表 中搜索，并删除所有 木马 项目。由查找到的 木马 程序注册项，分析 木马 文件在硬盘中的位置（多在C:\WINDOWS和C:\WINDOWS\COMMAND目录下）。启动到纯MS-DOS状态（而不是在Windows环境中开个MS-DOS窗口），用del命令将 木马 文件删除。如果 木马 文件是系统、隐藏或只读文件，还得通过“attrib -s -h -r”将对应文件的属性改变，才可以删除。

为保险起见，重新启动以后再由上面各种检测 木马 的方法对系统进行检查，以确保 木马 的确被删除了。

目前也有一些 木马 是将自身的程序与Windows的系统程序进行了绑定（也就是感染了系统文件）。比如常用到的Explorer.exe，只要 Explorer.exe一得到运行， 木马 也就启动了。这种 木马 可以感染可执行文件，那就更象 病毒 了。由手工删除文件的方法处理 木马 后，一运行 Explorer.exe， 木马 又得以复生！这时要删除 木马 就得连Explorer.exe文件也给删除掉，再从别人相同操作系统版本的 计算机 中将该文件 Copy过来就可以了。

关机不用！！！

1。特洛伊木马(以下简称木马)，英文叫做“Trojan house”，其名称取自希腊神话的特洛伊木马记。
它是一种基于远程控制的黑客工具，具有隐蔽性和非授权性的特点。
所谓隐蔽性是指木马的设计者为了防止木马被发现，会采用多种手段隐藏木马，这样服务端即使发现感染了木马，由于不能确定其具体位置，往往只能望“马”兴叹。
所谓非授权性是指一旦控制端与服务端连接后，控制端将享有服务端的大部分操作权限，包括修改文件，修改注册表，控制鼠标，键盘等等，而这些权力并不是服务端赋予的，而是通过木马程序窃取的。

从木马的发展来看，基本上可以分为两个阶段。
最初网络还处于以UNIX平台为主的时期，木马就产生了，当时的木马程序的功能相对简单，往往是将一段程序嵌入到系统文件中，用跳转指令来执行一些木马的功能，在这个时期木马的设计者和使用者大都是些技术人员，必须具备相当的网络和编程知识。
而后随着WINDOWS平台的日益普及，一些基于图形操作的木马程序出现了，用户界面的改善，使使用者不用懂太多的专业知识就可以熟练的操作木马，相对的木马入侵事件也频繁出现，而且由于这个时期木马的功能已日趋完善，因此对服务端的破坏也更大了。
所以所木马发展到今天，已经无所不用其极，一旦被木马控制，你的电脑将毫无秘密可言。

2。木马克星 iparmor V5.51 Build 0429 完美去广告版＋整合04.24 病毒库 占用内存最小
http://sh.studa.com/hnspace/DQLW_PJRJ/?%C2%ED%BF%CB%D0%C7.rar
http://soft.studa.com/downinfo/1806.html
下载后运行二个注册表文件即可注册。
木马克星乃本站原创反黑客－杀木马工具，可以查杀8122种国际木马，1053种密码偷窃木马，保证查杀传奇密码偷窃木马，oicq类寄生木马，冰河类文件关联木马，密码解霸，奇迹射手等游戏密码邮寄木马，内置木马防火墙，任何黑客程序试图发送密码邮件，都需要Iparmor 确认，不仅可以查杀木马，更可以反查黑客密码。加强了对流氓软件查杀。

只要用电脑就有木马入侵 不上网几率小 只要往电脑里安东西就有可能中毒
用电脑不被木马入侵是根本不可能的 只能用软件防护

我推荐用影子系统。相当于还原软件但有区别，试试吧？