木馬采用的偽裝方法

　　1.修改圖標(biāo)

　　木馬服務(wù)端所用的圖標(biāo)也是有講究的，木馬經(jīng)常故意偽裝成了XT.HTML等你可能認(rèn)為對(duì)系統(tǒng)沒有多少危害的文件圖標(biāo)，這樣很容易誘惑你把它打開。看看，木馬是不是很狡猾?

　　2.捆綁文件

　　這種偽裝手段是將木馬捆綁到一個(gè)安裝程序上，當(dāng)安裝程序運(yùn)行時(shí)，木馬在用戶毫無察覺的情況下，偷偷地進(jìn)入了系統(tǒng)。被捆綁的文件一般是可執(zhí)行文件 (即EXE、COM一類的文件)。

　　3.出錯(cuò)顯示

　　有一定木馬知識(shí)的人部知道，如果打開一個(gè)文件，沒有任何反應(yīng)，這很可能就是個(gè)木馬程序。木馬的設(shè)計(jì)者也意識(shí)到了這個(gè)缺陷，所以已經(jīng)有木馬提供了一個(gè)叫做出錯(cuò)顯示的功能。當(dāng)服務(wù)端用戶打開木馬程序時(shí)，會(huì)彈出一個(gè)錯(cuò)誤提示框 (這當(dāng)然是假的)，錯(cuò)誤內(nèi)容可自由定義，大多會(huì)定制成一些諸如 “文件已破壞，無法打開!”之類的信息，當(dāng)服務(wù)端用戶信以為真時(shí)，木馬卻悄悄侵人了系統(tǒng)。

　　4.自我銷毀

　　這項(xiàng)功能是為了彌補(bǔ)木馬的一個(gè)缺陷。我們知道，當(dāng)服務(wù)端用戶打開含有木馬的文件后，木馬會(huì)將自己拷貝到Windows的系統(tǒng)文件夾中(C;\wmdows或C:\windows\system目錄下),一般來說，源木馬文件和系統(tǒng)文件夾中的木馬文件的大小是一樣的 (捆綁文件的木馬除外)，那么，中了木馬的朋友只要在近來收到的信件和下載的軟件中找到源木馬文件，然后根據(jù)源木馬的大小去系統(tǒng)文件夾找相同大小的文件，判斷一下哪個(gè)是木馬就行了。而木馬的自我銷毀功能是指安裝完木馬后，源木馬文件自動(dòng)銷毀，這樣服務(wù)端用戶就很難找到木馬的來源，在沒有查殺木馬的工具幫助下。就很難刪除木馬了。

　　5.木馬更名

　　木馬服務(wù)端程序的命名也有很大的學(xué)問。如果不做任何修改，就使用原來的名字，誰不知道這是個(gè)木馬程序呢?所以木馬的命名也是千奇百怪，不過大多是改為和系統(tǒng)文件名差不多的名字，如果你對(duì)系統(tǒng)文件不夠了解，那可就危險(xiǎn)了。例如有的木馬把名字改為window.exe，如果不告訴你這是木馬的話，你敢刪除嗎?還有的就是更改一些后綴名，比如把dll改為dl等，不仔細(xì)看的，你會(huì)發(fā)現(xiàn)嗎?

　　木馬的種類

　　1、破壞型

　　惟一的功能就是破壞并且刪除文件，可以自動(dòng)的刪除電腦上的DLL、INI、EXE文件。

　2、密碼發(fā)送型

　　可以找到隱藏密碼并把它們發(fā)送到指定的信箱。有人喜歡把自己的各種密碼以文件的形式存放在計(jì)算機(jī)中，認(rèn)為這樣方便；還有人喜歡用WINDOWS提供的密碼記憶功能，這樣就可以不必每次都輸入密碼了。許多黑客軟件可以尋找到這些文件，把它們送到黑客手中。也有些黑客軟件長(zhǎng)期潛伏，記錄操作者的鍵盤操作，從中尋找有用的密碼。

　　在這里提醒一下，不要認(rèn)為自己在文檔中加了密碼而把重要的保密文件存在公用計(jì)算機(jī)中，那你就大錯(cuò)特錯(cuò)了。別有用心的人完全可以用窮舉法暴力破譯你的密碼。利用WINDOWS API函數(shù)EnumWindows和EnumChildWindows對(duì)當(dāng)前運(yùn)行的所有程序的所有窗口（包括控件）進(jìn)行遍歷，通過窗口標(biāo)題查找密碼輸入和出確認(rèn)重新輸入窗口，通過按鈕標(biāo)題查找我們應(yīng)該單擊的按鈕，通過ES_PASSWORD查找我們需要鍵入的密碼窗口。向密碼輸入窗口發(fā)送WM_SETTEXT消息模擬輸入密碼，向按鈕窗口發(fā)送WM_COMMAND消息模擬單擊。在破解過程中，把密碼保存在一個(gè)文件中，以便在下一個(gè)序列的密碼再次進(jìn)行窮舉或多部機(jī)器同時(shí)進(jìn)行分工窮舉，直到找到密碼為止。此類程序在黑客網(wǎng)站上唾手可得，精通程序設(shè)計(jì)的人，完全可以自編一個(gè)。

　　3、遠(yuǎn)程訪問型

　　最廣泛的是特洛伊馬，只需有人運(yùn)行了服務(wù)端程序，如果客戶知道了服務(wù)端的IP地址，就可以實(shí)現(xiàn)遠(yuǎn)程控制。以下的程序可以實(shí)現(xiàn)觀察”受害者”正在干什么，當(dāng)然這個(gè)程序完全可以用在正道上的，比如監(jiān)視學(xué)生機(jī)的操作。

　　程序中用的UDP（User Datagram Protocol，用戶報(bào)文協(xié)議）是因特網(wǎng)上廣泛采用的通信協(xié)議之一。與TCP協(xié)議不同，它是一種非連接的傳輸協(xié)議，沒有確認(rèn)機(jī)制，可靠性不如TCP，但它的效率卻比TCP高，用于遠(yuǎn)程屏幕監(jiān)視還是比較適合的。它不區(qū)分服務(wù)器端和客戶端，只區(qū)分發(fā)送端和接收端，編程上較為簡(jiǎn)單，故選用了UDP協(xié)議。本程序中用了DELPHI提供的TNMUDP控件。

　　4.鍵盤記錄木馬

　　這種特洛伊木馬是非常簡(jiǎn)單的。它們只做一件事情，就是記錄受害者的鍵盤敲擊并且在LOG文件里查找密碼。據(jù)筆者經(jīng)驗(yàn)，這種特洛伊木馬隨著Windows的啟動(dòng)而啟動(dòng)。它們有在線和離線記錄這樣的選項(xiàng)，顧名思義，它們分別記錄你在線和離線狀態(tài)下敲擊鍵盤時(shí)的按鍵情況。也就是說你按過什么按鍵，下木馬的人都知道，從這些按鍵中他很容易就會(huì)得到你的密碼等有用信息，甚至是你的信用卡賬號(hào)哦!當(dāng)然，對(duì)于這種類型的木馬，郵件發(fā)送功能也是必不可少的。

 木馬的出現(xiàn)對(duì)我們的系統(tǒng)造成了很大的危害，但是由于木馬通常植入得非常隱蔽，很難完全刪除，因此，這里我們介紹一些常見木馬的清除方法。

　　1. 網(wǎng)絡(luò)公牛（Netbull）

　　網(wǎng)絡(luò)公牛是國(guó)產(chǎn)木馬，默認(rèn)連接端口23444。服務(wù)端程序newserver.exe運(yùn)行后，會(huì)自動(dòng)脫殼成checkdll.exe，位于C:\WINDOWS\SYSTEM下，下次開機(jī)checkdll.exe將自動(dòng)運(yùn)行，因此很隱蔽、危害很大。同時(shí)，服務(wù)端運(yùn)行后會(huì)自動(dòng)捆綁以下文件:

　　win2000下：notepad.exe；regedit.exe，reged32.exe；drwtsn32.exe；winmine.exe。

　　服務(wù)端運(yùn)行后還會(huì)捆綁在開機(jī)時(shí)自動(dòng)運(yùn)行的第三方軟件(如:realplay.exe、QQ、ICQ等)上，在注冊(cè)表中網(wǎng)絡(luò)公牛也悄悄地扎下了根。

　　網(wǎng)絡(luò)公牛采用的是文件捆綁功能，和上面所列出的文件捆綁在一塊，要清除非常困難。這樣做也有個(gè)缺點(diǎn)：容易暴露自己！只要是稍微有經(jīng)驗(yàn)的用戶，就會(huì)發(fā)現(xiàn)文件長(zhǎng)度發(fā)生了變化，從而懷疑自己中了木馬。

　　清除方法：

　　1.刪除網(wǎng)絡(luò)公牛的自啟動(dòng)程序C:\WINDOWS\SYSTEM\CheckDll.exe。

　　2.把網(wǎng)絡(luò)公牛在注冊(cè)表中所建立的鍵值全部刪除：

　　3.檢查上面列出的文件，如果發(fā)現(xiàn)文件長(zhǎng)度發(fā)生變化（大約增加了40K左右，可以通過與其它機(jī)子上的正常文件比較而知），就刪除它們！然后點(diǎn)擊“開始→附件→系統(tǒng)工具→系統(tǒng)信息→工具→系統(tǒng)文件檢查器”，在彈出的對(duì)話框中選中“從安裝軟盤提取一個(gè)文件(E)”，在框中填入要提取的文件(前面你刪除的文件)，點(diǎn)“確定”按鈕，然后按屏幕提示將這些文件恢復(fù)即可。如果是開機(jī)時(shí)自動(dòng)運(yùn)行的第三方軟件如:realplay.exe、QQ、ICQ等被捆綁上了，那就得把這些文件刪除，再重新安裝。

　　2. Netspy（網(wǎng)絡(luò)精靈）

　　Netspy又名網(wǎng)絡(luò)精靈，是國(guó)產(chǎn)木馬，最新版本為3.0，默認(rèn)連接端口為7306。在該版本中新添加了注冊(cè)表編輯功能和瀏覽器監(jiān)控功能，客戶端現(xiàn)在可以不用NetMonitor，通過IE或Navigate就可以進(jìn)行遠(yuǎn)程監(jiān)控了。服務(wù)端程序被執(zhí)行后，會(huì)在C:\Windows\system目錄下生成netspy.exe文件。同時(shí)在注冊(cè)表HKEY_LOCAL_MACHINE\software\ microsoft\windows\CurrentVersion \Run\下建立鍵值C\windows\ system\netspy.exe，用于在系統(tǒng)啟動(dòng)時(shí)自動(dòng)加載運(yùn)行。

　　清除方法：

　　1.重新啟動(dòng)機(jī)器并在出現(xiàn)Staring windows提示時(shí)，按F5鍵進(jìn)入命令行狀態(tài)。在C:\windows\system\目錄下輸入以下命令：del netspy.exe；

　　2.進(jìn)入HKEY_LOCAL_MACHINE\

　　Software\microsoft\windows\ CurrentVersion\Run\，刪除Netspy的鍵值即可安全清除Netspy。

　　3. SubSeven

　　SubSeven的功能比起B(yǎng)O2K可以說有過之而無不及。最新版為2.2(默認(rèn)連接端口27374)，服務(wù)端只有54.5k，很容易被捆綁到其它軟件而不被發(fā)現(xiàn)。最新版的金山毒霸等殺毒軟件查不到它。服務(wù)器端程序server.exe，客戶端程序subseven.exe。SubSeven服務(wù)端被執(zhí)行后，變化多端，每次啟動(dòng)的進(jìn)程名都會(huì)發(fā)生變化，因此很難查。

    清除方法：

　　1.打開注冊(cè)表Regedit，點(diǎn)擊至： HKEY_LOCAL_MACHINE\SOFTWARE\

　　Microsoft\Windows\CurrentVersion\Run和RunService下，如果有加載文件，就刪除右邊的項(xiàng)目：加載器=“c:\windows\system\***”。注：加載器和文件名是隨意改變的

　　2.打開win.ini文件，檢查“run=”后有沒有加上某個(gè)可執(zhí)行文件名，如有則刪除之。

　　3.打開system.ini文件，檢查“shell=explorer.exe”后有沒有跟某個(gè)文件，如有將它刪除。

　　4.重新啟動(dòng)Windows，刪除相對(duì)應(yīng)的木馬程序，一般在c:\windows\system下，在我在本機(jī)上做實(shí)驗(yàn)時(shí)發(fā)現(xiàn)該文件名為vqpbk.exe。

　　4. 冰河

　　我們這里介紹的是其標(biāo)準(zhǔn)版，掌握了如何清除標(biāo)準(zhǔn)版，再來對(duì)付變種冰河就很容易了。 冰河的服務(wù)器端程序?yàn)镚-server.exe，客戶端程序?yàn)镚-client.exe，默認(rèn)連接端口為7626。一旦運(yùn)行G-server，那么該程序就會(huì)在C:\Windows\system目錄下生成Kernel32.exe和sysexplr.exe，并刪除自身。Kernel32.exe在系統(tǒng)啟動(dòng)時(shí)自動(dòng)加載運(yùn)行，sysexplr.exe和TXT文件關(guān)聯(lián)。即使你刪除了Kernel32.exe，但只要你打開TXT文件，sysexplr.exe就會(huì)被激活，它將再次生成Kernel32.exe。

　　清除方法：

　　1.刪除C:\Windows\system下的Kernel32.exe和Sysexplr.exe文件；

　　2.冰河會(huì)在注冊(cè)表HKEY_LOCAL_

　　MACHINE\software\microsoft\windows\ CurrentVersion\Run下扎根，鍵值為C:\windows\system\Kernel32.exe，刪除它；

　　3.在注冊(cè)表的HKEY_LOCAL_

　　MACHINE\software\microsoft\windows\ CurrentVersion\Runservices下，還有鍵值為C:\windows\system\Kernel32.exe的，也要?jiǎng)h除；

　　4.最后，改注冊(cè)表HKEY_CLASSES_

　　ROOT\txtfile\shell\open\command下的默認(rèn)值，由表中木馬后的C:\windows\system\Sysexplr.exe %1改為正常的C:\windows\notepad.exe %1，即可恢復(fù)TXT文件關(guān)聯(lián)功能。

5. 網(wǎng)絡(luò)神偷（Nethief）

　　網(wǎng)絡(luò)神偷是個(gè)反彈端口型木馬。什么叫“反彈端口”型木馬呢？與一般的木馬相反，反彈端口型木馬的服務(wù)端(被控制端)使用主動(dòng)端口，客戶端(控制端)使用被動(dòng)端口，為了隱蔽起見，客戶端的監(jiān)聽端口一般開在80，這樣，即使用戶使用端口掃描軟件檢查自己的端口，發(fā)現(xiàn)的也是類似“TCP　服務(wù)端的IP地址:1026　客戶端的IP地址:80 ESTABLISHED”的情況，稍微疏忽一點(diǎn)你就會(huì)以為是自己在瀏覽網(wǎng)頁。

　　清除方法：

　　1.網(wǎng)絡(luò)神偷會(huì)在注冊(cè)表HKEY_LOCAL_MACHINE\SOFTWARE\

　　Microsoft\Windows\CurrentVersion\Run下建立鍵值“internet”，其值為“internet.exe /s”，將鍵值刪除；

　　2.刪除其自啟動(dòng)程序C:\WINDOWS\SYSTEM\INTERNET.EXE。

　　6. 廣外女生

　　“廣外女生”是是一種新出現(xiàn)的遠(yuǎn)程監(jiān)控工具，破壞性很大，遠(yuǎn)程上傳、下載、刪除文件、修改注冊(cè)表等自然不在話下。其可怕之處在于“廣外女生”服務(wù)端被執(zhí)行后，會(huì)自動(dòng)檢查進(jìn)程中是否含有“金山毒霸”、“天網(wǎng)”等字樣，如果發(fā)現(xiàn)就將該進(jìn)程終止，也就是說使防火墻完全失去作用。 　　

　　清除方法：

　　1.啟動(dòng)到純DOS模式下，找到System目錄下的DIAGFG.EXE，刪除它；

　　2.我們找到Windows目錄中的注冊(cè)表編輯器“Regedit.exe”，將它改名為“Regedit.com”；

　　3.回到Windows模式下，運(yùn)行Windows目錄下的Regedit.com程序（就是我們剛才改名的文件）；

　　4.找到HKEY_CLASSES_ROOT\

　　exefile\shell\open\command，將其默認(rèn)鍵值改成”%1″ %*；

　　5刪除注冊(cè)表中名稱為“Diagnostic Configuration”的鍵值；

　　6.關(guān)掉注冊(cè)表編輯器，回到Windows目錄，將“Regedit.com”改回“Regedit.exe”。

    7. WAY2.4

　　WAY2.4是國(guó)產(chǎn)木馬程序，默認(rèn)連接端口是8011。WAY2.4的注冊(cè)表操作的確有特色，對(duì)受控端注冊(cè)表的讀寫，就和本地注冊(cè)表讀寫一樣方便！WAY2.4服務(wù)端被運(yùn)行后在C:\windows\system下生成msgsvc.exe文件，圖標(biāo)是文本文件的圖標(biāo)，很隱蔽。看來它想冒充系統(tǒng)文件msgsvc32.exe。同時(shí)，WAY2.4在注冊(cè)表HKEY_LOCAL_MACHINE\SOFTWARE\ Microsoft\Windows\CurrentVersion\Run下建立串值Msgtask。

　　清除方法：

　　用進(jìn)程管理工具查看，你會(huì)發(fā)現(xiàn)進(jìn)程CWAY，只要?jiǎng)h除它在注冊(cè)表中的鍵值，再刪除C:\windows\system下的msgsvc.exe這個(gè)文件就可以了。

　　要注意在Windows下直接刪除msgsvc.exe是刪不掉的，此時(shí)你可以用進(jìn)程管理工具終止它的進(jìn)程，然后再刪除它?；蛘叩紻oS下刪除msgsvc.exe也可。如果服務(wù)端已經(jīng)和可執(zhí)行文件捆綁在一起了，那就只有將那個(gè)可執(zhí)行文件也刪除了。注意在刪除前請(qǐng)做好備份。