7、特洛伊木马病毒
特洛伊木马的性质？
“特洛伊木马”这一词最早出先在希腊神话传说中。
相传在3000年前，在一次希腊战争中。
麦尼劳斯（人名）派兵讨伐特洛伊（王国），但久攻不下。
他们想出了一个主意：首先他们假装被打败，然后留下一个木马。
而木马里面却藏着最强悍的勇士！最后等时间一到，木马里的勇士全部冲出来把敌人打败了！
这就是后来有名的“木马计”。—— 把预谋的功能隐藏在公开的功能里，掩饰真正的企图。
至于黑客程序里的特洛伊木马和故事里的特洛伊木马差不多。
黑客程序里的特洛伊木马有以下的特点：
（1）主程序有两个，一个是服务端，另一个是控制端。
（2）服务端需要在主机执行。
（3）一般特洛伊木马程序都是隐蔽的进程。
（4）当控制端连接服务端主机后，控制端会向服务端主机发出命令。
而服务端主机在接受命令后，会执行相应的任务。
（5）每个系统都存在特洛伊木马。（包括Windows，Unix，liunx等）
在许多人眼中，特洛伊木马是一种病毒。
其实特洛伊木马并不是一种病毒，它没有完全具备病毒的性质。（包括：转播，感染文件等。）
特洛伊木马程序的发展历史：
第一代木马：控制端 —— 连接 —— 服务端
特点：属于被动型木马。
能上传，下载，修改注册表，得到内存密码等。
典型木马：冰河，NetSpy，back orifice（简称：BO）等。
第二代木马：服务端 —— 连接 —— 控制端
特点：属于主动型木马。
隐蔽性更强，有利用ICMP协议隐藏端口的，
有利用DLL（动态连接库）隐藏进程的，甚至出现能传播的木马。
典型木马：网络神偷，广外女生等。（反弹端口型木马）
目前几乎所有的后门型木马都参考特洛伊木马而来。
什么是特洛伊木马病毒？有多厉害？
木马和病毒都是一种人为的程序,都属于电脑病毒,为什么木马要单独提出来说内?大家都知道以前的电脑病毒的作用,其实完全就是为了搞破坏,破坏电脑里的资料数据,除了破坏之外其它无非就是有些病毒制造者为了达到某些目的而进行的威慑和敲诈勒索的作用,或为了炫耀自己的技术. "木马"不一样,木马的作用是赤裸裸的偷偷监视别人和盗窃别人密码,数据等,如盗窃管理员密码-子网密码搞破坏,或者好玩,偷窃上网密码用于它用,游戏帐号,股票帐号,甚至网上银行帐户等.达到偷窥别人隐私和得到经济利益的目的.所以木马的作用比早期的电脑病毒更加有用.更能够直接达到使用者的目的!导致许多别有用心的程序开发者大量的编写这类带有偷窃和监视别人电脑的侵入性程序,这就是目前网上大量木马泛滥成灾的原因.鉴于木马的这些巨大危害性和它与早期病毒的作用性质不一样,所以木马虽然属于病毒中的一类,但是要单独的从病毒类型中间剥离出来.独立的称之为"木马"程序.
一般来说一种杀毒软件程序,它的木马专杀程序能够查杀某某木马的话,那么它自己的普通杀毒程序也当然能够杀掉这种木马,因为在木马泛滥的今天,为木马单独设计一个专门的木马查杀工具,那是能提高该杀毒软件的产品档次的,对其声誉也大大的有益,实际上一般的普通杀毒软件里都包含了对木马的查杀功能.如果现在大家说某某杀毒软件没有木马专杀的程序,那这家杀毒软件厂商自己也好象有点过意不去,即使它的普通杀毒软件里当然的有杀除木马的功能.
还有一点就是,把查杀木马程序单独剥离出来,可以提高查杀效率,现在很多杀毒软件里的木马专杀程序只对木马进行查杀,不去检查普通病毒库里的病毒代码,也就是说当用户运行木马专杀程序的时候,程序只调用木马代码库里的数据,而不调用病毒代码库里的数据,大大提高木马查杀速度.我们知道查杀普通病毒的速度是比较慢的,因为现在有太多太多的病毒.每个文件要经过几万条木马代码的检验,然后再加上已知的差不多有近10万个病毒代码的检验,那速度岂不是很慢了.省去普通病毒代码检验,是不是就提高了效率,提高了速度内? 也就是说现在好多杀毒软件自带的木马专杀程序只查杀木马而一般不去查杀病毒,但是它自身的普通病毒查杀程序既查杀病毒又查杀木马!
系统解释 木马 一词 木马的实质是什么
虽然木马和病毒的危害性难分伯仲，甚至现在已经把木马作为病毒的一种进行归类，但实际上在互联网普及之前，木马和病毒是并驾齐驱的。
早期的木马和病毒的主要区别，就是病毒具有自传播性，即能够自我复制，而木马则不具备这一点。
这主要是因为，病毒的创造者当时主要是为了炫耀自己天才的创意，而可以自我复制传播并做出不可思议的效果（花屏、死机、甚至仅仅是一些有趣的画面），仿佛具有生命的电脑病毒，极大地满足了他们的成就感。与此相反，木马的创造者虽然也有恶搞的成分，但是有目的性的破坏与损害特定软件的名誉，这种成分更多一些，其中安插系统后门和盗取用户资料是典型的木马使用方式。
在互联网高度发达的今天，木马和病毒的区别正在逐渐变淡消失。
木马为了进入进入并控制更多的电脑，糅合了病毒的编写方式，不仅能够自我复制，而且还能够通过病毒的手段防止专门软件的查杀。
而病毒为了获取更多的信息（在这个信息时代，信息就是金钱），会定期发作，有意破坏电脑系统的变种也越来越少，基本都是后台隐蔽，长期埋伏，以木马的方式获取用户信息。
所以，现在常有“木马”已经被称呼成了“木马病毒”。如果你想详细分辨它们的危害那个更大，恐怕是不太可能了，它们正在走向融合。
木马病毒的本质是什么（打一电脑程序）？
一、木马的来历
计算机木马是一种后门程序，常被黑客用作控制远程计算机的工具。英文单词“Trojan”，直译为“特洛伊”。木马这个词来源于一个古老的故事：相传古希腊战争，在攻打特洛伊时，久攻不下。后来希腊人使用了一个计策，用木头造一些大的木马，空肚子里藏了很多装备精良的勇士，然后佯装又一次攻打失败，逃跑时就把那个大木马遗弃。守城的士兵就把它当战利品带到城里去了。到了半夜，木马肚子里的勇士们都悄悄的溜出来，和外面早就准备好的战士们来了个漂亮的里应外合，一举拿下了特洛伊城。这就是木马的来历。从这个故事，大家很容易联想到计算机木马的功能。
二、计算机木马原理
计算机木马一般由两部分组成，服务端和控制端，也就是常用的C/S（CONTROL/SERVE）模式。
服务端（S端）：远程计算机机运行。一旦执行成功就可以被控制或者造成其他的破坏，这就要看种木马的人怎么想和木马本身的功能，这些控制功能，主要采用调用Windows的API实现，在早期的dos操作系统，则依靠DOS终端和系统功能调用来实现（INT 21H），服务段设置哪些控制，视编程者的需要，各不相同。
控制端（C端）也叫客户端，客户端程序主要是配套服务段端程序的功能，通过网络向服务段发布控制指令，控制段运行在本地计算机。
三、传播途径
木马的传播途径很多，常见的有如下几类：
1. 通过电子邮件的附件传播。这是最常见，也是最有效的一种方式，大部分病毒（特别是蠕虫病毒）都用此方式传播。首先，木马传播者对木马进行伪装，方法很多，如变形、压缩、脱壳、捆绑、取双后缀名等，使其具有很大的迷惑性。一般的做法是先在本地机器将木马伪装，再使用杀毒程序将伪装后的木马查杀测试，如果不能被查到就说明伪装成功。然后利用一些捆绑软件把伪装后的木马藏到一幅图片内或者其他可运行脚本语言的文件内，发送出去。
2. 通过下载文件传播。从网上下载的文件，即使大的门户网站也不能保证任何时候他的问件都安全，一些个人主页、小网站等就更不用说了。下载文件传播方式一般有两种，一种是直接把下载链接指向木马程序，也就是说你下载的并不是你需要的文件。另一种是采用捆绑方式，将木马捆绑到你需要下载的文件中。
3. 通过网页传播。大家都知道很多VBS脚本病毒就是通过网页传播的，木马也不例外。网页内如果包含了某些恶意代码，使得IE自动下载并执行某一木马程序。这样你在不知不觉中就被人种上了木马。顺便说一句，很多人在访问网页后IE设置被修改甚至被锁定，也是网页上用脚本语言编写的的恶意代码作怪。
4. 通过聊天工具传播。目前，QQ、ICQ、MSN、EPH等网络聊天工具盛行，而这些工具都具备文件传输功能，不怀好意者很容易利用对方的信任传播木马和病毒文件。
四、一些特殊类型的木马
1.反弹端口木马：普通木马的都是由C端发送请求S端来连接，但有些另类的木马就不是这样，它由S端向C端发送请求。这样做有什么好处呢？大家知道，网络防火墙都有监控网络的作用，但它们大多都只监控由外面近来的数据，对由里向外数据的却不闻不问。反弹端口木马正好利用了这一点来躲开网络防火墙的阻挡，以使自己顺利完成任务。大名鼎鼎的“网络神偷”就是这样一类木马。它由S断向C端发送一个连接请求，C端的数据在经过防火墙时，防火墙会以为是发出去的正常数据（一般向外发送的数据，防火墙都以为是正常的）的返回信息，于是不予拦截，这就给它了可钻的空子。
2.无进程木马：“进程”是一个比较抽象的概念，可以理解为排队买电影票，每一个窗口（其实就是端口）排的人可以理解为一个进程，有多少窗口就有多少个进程。普通木马在运行时都有自己独立的进程（某一特定窗口排的人，先当作小偷），利用“柳叶擦眼”一类的优秀进程查看软件就可以发现和终止它。这岂不是太扫兴了？好不容易写出个木马就这么被你发现了。为了更好的隐藏自己，木马的制作者就想了一些办法，把木马的程隐藏进正常的进程（宿主进程）内。打个比方，正常的进程（系统和正当文件的进程）可以理解为正常排队买票的人。而木马的进程（排队假装买票的小偷），他们如果都排在某一个窗口（通过某一特定端口进行通讯），很容易就被发现了，于是那些小偷就想办法混到正常排队人当中（实现了木马进程的隐藏），这样就不容易被发现，而且也不容易被终止。在实际中，即使你发现了隐藏在某一正常进程中的木马进程，你也不敢轻易终止它，因为一旦终止了木马的进程，正常的宿主进程也就被终止，这可能导致一些严重的后果。所以可以看出，无进程木马实际上是“隐藏进程木马”，而这也是它的高明之处。在实际中不可能出现真正意义上的“无进程木马”。最近出现的“广外男生”就是典型的例子。
3.无控制端木马： 这类木马最显著的特点是C端和S端是集成到一起的，一次配置好就不能再更改。功能一般比较专一，针对性强，危害较小，查杀较简单。经常用来偷取QQ、Email和网络游戏的密码等。
4.嵌套型木马：先用自己写的小程序或者利用系统的漏洞，夺取到某写特定的权限，比如上传文件，干掉网络防火墙和病毒防火墙等，然后上传修改过或没修改过的功能强大的木马，进一步夺取控制权。于是这个小程序或者系统漏洞就和那个功能强大的真正的木马联合起来，组成了一款“嵌套型木马”，其特点是不容发现和查杀，“具有良好的发展前景”。
5.其他木马：严格意义上讲，这里所说的其他木马并不是真正的木马，它们只能算做是木马入侵时的辅助工具吧。典型的有恶意网页代码，让你浏览后不知不觉就被完全共享了所有的硬盘，然后方便别人给你种下木马，为进一步入侵做好准备。
五、关于捆绑
木马捆绑，通俗地讲就是把木马的代码嵌入其他类型的文件，便于伪装，比如，大名鼎鼎的国产木马“冰河”，他就自带一个捆绑工具，可以把木马代码嵌入到网页文件、图片文件、可执行文件等多种支持脚本语言或运行代码的文件中。当接受方收到这些文件时，几乎感觉不到有任何异样，但在后台，木马代码却悄然进入内存并运行。
特洛伊木马是怎样的病毒
木马不是病毒，这两者是不同的概念。
病毒是破坏程序、数据的，能够把你的电脑弄的一团糟，甚至崩溃。
而木马相当于一个远程控制终端程序，在你不知道的情况下，为你种木马的那个人可以通过这个程序来访问你的计算机，让你的计算机没有隐私可言！更甚者，还可以通过木马来对你的计算机进行控制。
什么是特洛伊木马病毒？
特洛伊木马是一种恶意程序，它们悄悄地在宿主机器上运行，就在用户毫无察觉的情况下，让攻击者获得了远程访问和控制系统的权限。一般而言，大多数特洛伊木马都模仿一些正规的远程控制软件的功能，如Symantec的pcAnywhere，但特洛伊木马也有一些明显的特点，例如它的安装和操作都是在隐蔽之中完成。攻击者经常把特洛伊木马隐藏在一些游戏或小软件之中，诱使粗心的用户在自己的机器上运行。最常见的情况是，上当的用户要么从不正规的网站下载和运行了带恶意代码的软件，要么不小心点击了带恶意代码的邮件附件。
大多数特洛伊木马包括客户端和服务器端两个部分。攻击者利用一种称为绑定程序的工具将服务器部分绑定到某个合法软件上，诱使用户运行合法软件。只要用户一运行软件，特洛伊木马的服务器部分就在用户毫无知觉的情况下完成了安装过程。通常，特洛伊木马的服务器部分都是可以定制的，攻击者可以定制的项目一般包括：服务器运行的IP端口号，程序启动时机，如何发出调用，如何隐身，是否加密。另外，攻击者还可以设置登录服务器的密码、确定通信方式。
服务器向攻击者通知的方式可能是发送一个email，宣告自己当前已成功接管的机器；或者可能是联系某个隐藏的Internet交流通道，广播被侵占机器的IP地址；另外，当特洛伊木马的服务器部分启动之后，它还可以直接与攻击者机器上运行的客户程序通过预先定义的端口进行通信。不管特洛伊木马的服务器和客户程序如何建立联系，有一点是不变的，攻击者总是利用客户程序向服务器程序发送命令，达到操控用户机器的目的。
特洛伊木马攻击者既可以随心所欲地查看已被入侵的机器，也可以用广播方式发布命令，指示所有在他控制之下的特洛伊木马一起行动，或者向更广泛的范围传播，或者做其他危险的事情。实际上，只要用一个预先定义好的关键词，就可以让所有被入侵的机器格式化自己的硬盘，或者向另一台主机发起攻击。攻击者经常会用特洛伊木马侵占大量的机器，然后针对某一要害主机发起分布式拒绝服务攻击（Denial of Service，即DoS），当受害者觉察到网络要被异乎寻常的通信量淹没，试图找出攻击者时，他只能追踪到大批懵然不知、同样也是受害者的DSL或线缆调制解调器用户，真正的攻击者早就溜之大吉。
特洛伊木马造成的危害可能是非常惊人的，由于它具有远程控制机器以及捕获屏幕、键击、音频、视频的能力，所以其危害程度要远远超过普通的病毒和蠕虫。深入了解特洛伊木马的运行原理，在此基础上采取正确的防卫措施，只有这样才能有效减少特洛伊木马带来的危害.
1. Trojan Remover Update 6.4.7 Date 01.27
一个专门用来清除特洛伊木马和自动修复系统文件的工具。
antivirus.pchome.net/trojan/1070.html
2. ZoneAlarm Free 6.1.737.000
ZoneAlarm来保护你的电脑，防止Trojan(特洛伊木马)程序，Trojan也是一种极为可怕的程
www.onlinedown.net/soft/1017.htm
3. Trojan Remover 6.4.7 Date 01.27
专门用来清除特洛伊木马和自动修复系统文件的工具
antivirus.pchome.net/trojan/7704.html
4. Trojan Remover 6.46(Database 6461)
是一个专门用来清除特洛伊木马和自动修复系统文件的工具。能够检查系统登录文件、扫描
www.onlinedown.net/soft/2902.htm
5. 木马终结者 V3.5
特洛伊木马病毒一种破坏力十分强的黑客病毒，你只要中
www.skycn.com/soft/2519.html
6. LDM木马检测程序 2003钻石版
LDM木马检测程序是大部分流行特洛伊木马病毒的克星，是一个专门防制特洛伊木马病毒的
www.onlinedown.net/soft/11555.htm
7. The Cleaner Database V3887
一个专门检测和清除侵入您系统中的特洛伊木马的专业程
www.skycn.com/soft/3760.html
8. Trojan Remover V6.4.6(Database 6461) Update
Trojan Remover 是一个专门用来清除特洛伊木马和自动修
www.skycn.com/soft/3217.html
9. 木马终结者 3.33
所有特洛伊木马病毒的克星，专门防制特洛伊木马病毒的防毒软件
antivirus.pchome.net/trojan/8238.html
10. 木马杀手 Trojan System Cleaner 3.5.1117
木马杀手会检测现存的特洛伊木马程序的活动、复原被特洛伊木马修改的系统文件，杀除特
www.onlinedown.net/soft/17193.htm
11. Trojan Remover Database Update 6461
Trojan Remover 是一个专门用来清除特洛伊木马和自动修
www.skycn.com/soft/3219.html
12. ZoneAlarm Pro 6.1.737.000
保护你的电脑，防止Trojan(特洛伊木马)程序
antivirus.pchome.net/others/8104.html
13. Trojan Remover 6.4.6 Database 6461 Update
是一个专门用来清除特洛伊木马和自动修复系统文件的工具。能够检查系统登录文件、扫描
www.onlinedown.net/soft/2903.htm
14. ZoneAlarm Security Suite V6.1.737.000
ZoneAlarm 保护你的电脑，防止Trojan(特洛伊木马)程序
www.skycn.com/soft/3769.html
15. 熊猫卫士 钛金版2.05.00
*基于极速“UltraFast”引擎，快速检测和清除所有病毒、特洛依木马、蠕虫、恶意的Java
www.onlinedown.net/soft/9066.htm
16. Trojan Remover Database 6461
是一个专门用来清除特洛伊木马和自动修复系统文件的工具。能够检查系统登录文件、扫描
www.onlinedown.net/soft/2905.htm
17. ZoneAlarm Pro 6.1.737.000
ZoneAlarm来保护你的电脑，防止Trojan(特洛伊木马)程序，Trojan也是一种极为可怕的程
www.onlinedown.net/soft/1019.htm
18. Antiy Ghostbusters Pro 5.05
一个专业级别的特洛伊木马检测和系统安全工具
download.pchome.net/internet/safe/15974.html
19. The Cleaner Pro V4.1 Build 4252
一个专门检测和清除侵入您系统中的特洛伊木马的专业程
www.skycn.com/soft/3758.html
20. ZoneAlarm Free V6.1.737.000
ZoneAlarm 来保护你的电脑，防止Trojan(特洛伊木马)程
www.skycn.com/soft/9443.html
21. ZoneAlarm Pro V6.1.737.000
ZoneAlarm来保护你的电脑，防止Trojan(特洛伊木马)程序
www.skycn.com/soft/3770.html
22. ZoneAlarm Pro V6.1.737.000 Beta
ZoneAlarm来保护你的电脑，防止Trojan(特洛伊木马)程序，Trojan也是一种极为可怕?
download.21cn.com/list.php?id=3458
23. Antiy Ghostbusters Advanced Edition 5.04
AntiyLabs出品的专业级特洛伊木马检测工具，被网友称为“捉鬼队”。该软件可以对驱动
www.onlinedown.net/soft/7660.htm
24. Trojan Remover 木马病毒库 6072
一个专门用来清除特洛伊木马和自动修复系统文件的工具。能够检查系统登录文件、扫
download.21cn.com/list.php?id=5317
25. The Cleaner Pro 4 updates Database 3860
一个专门检测和清除侵入您系统中的特洛伊木马的专业程序,内置3093个木马标识。可在线
www.onlinedown.net/soft/1445.htm
26. Digital Patrol 5.00.31
专门检测系统中特洛伊木马程序的扫毒软件
antivirus.pchome.net/trojan/12504.html
27. 熊猫卫士 7.0铂金版中文测试版
*基于极速“UltraFast”引擎，快速检测和清除所有病毒、特洛依木马、蠕虫、恶意的Java
www.onlinedown.net/soft/9065.htm
28. Trojan Remover V6.4.6(Database 6457)
Trojan Remover 是一个专门用来清除特洛伊木马和自动修复系统文件的工具。能够检?
download.21cn.com/list.php?id=7335
29. Trojan Remover V6.3.3 Date 12.20
Trojan Remover是一个专门用来清除特洛伊木马和自动修复系统文件的工具。能够检查
download.21cn.com/list.php?id=3692
30. The Cleaner V3.5.4.3519(DataBase 3359) 汉化版
一个专门检测和清除侵入您系统中的特洛伊木马的专业程
www.skycn.com/soft/3759.html
31. Anti-Trojan 5.5.421
Anti-Trojan扫描隐藏在你的系统里的具有破坏性的特洛依木马程序。它利用三重扫描来检
www.onlinedown.net/soft/1318.htm
32. TDS-3: Trojan Defence Suite 3.2.0
防特洛伊木马的软件，可以检测到360种以上的特洛伊木马和电脑蠕虫
antivirus.pchome.net/trojan/10170.html
33. ZoneAlarm Pro 4.5.594
保护你的电脑，防止Trojan(特洛伊木马)程序
antivirus.pchome.net/others/10678.html
34. 木马终结者 V3.37
特洛伊木马病毒一种破坏力十分强的黑客病毒。你只要中了毒，你的计算机将被黑客控
download.21cn.com/list.php?id=10681
35. The Cleaner (executable only) 3.54 Build 3528
一个专门检测和清除侵入您系统中的特洛伊木马的专业程序
antivirus.pchome.net/cleaner/8957.html
36. BoDetect 3.5
一个专门用来监测和删除特洛依木马之类的小工具
antivirus.pchome.net/trojan/10171.html
37. ZoneAlarm Anti-Spyware V6.1.737.000
ZoneAlarm 来保护你的电脑，防止Trojan(特洛伊木马)程
www.skycn.com/soft/9442.html
38. ZoneAlarm Free 6.0.629.000 Beta
ZoneAlarm来保护你的电脑，防止Trojan(特洛伊木马)程序，Trojan也是一种极为可怕的程
www.onlinedown.net/soft/20642.htm
39. LDM木马检测程序 Power XP Build 688C
特洛伊木马病毒一种破坏力十分强的黑客病毒，你只要中
www.skycn.com/soft/8731.html
40. Advanced Registry Tracer 2.03
具有侦测出特洛伊木马病毒功能
download.pchome.net/system/treak/10607.html
41. 木马杀手(Trojan System Cleaner) V3.5.1117
木马杀手会检测现存的特洛伊木马程序的活动、复原被特
www.skycn.com/soft/14265.html
特洛伊木马病毒
特洛伊木马病毒，又称Trojan，是一种可以潜伏的能够通过远程网络进行控制的恶意程序。它通常会伪装成一个工具或者是你想要的软件安装包，（我就碰到过一回，一个安装包，上面的电脑是黑屏的，里面有只白马），它的破坏力不算强，不过有可能盗取你的游戏账号，一般用个360什么的就能防御，不过记住一点，上网时开着广告过滤和木马防火墙，有的不知名的小网站一定不要轻易进去。