求救！！！特洛伊木马病毒的特征？

木马简介前言

在我潜意识中说起“木马”马上就联想到三国时期诸葛亮先生发明的木牛流马，当初怎么就想不通它与病毒扯上关系了。经过一番了解，原来它是借用了一个古希腊士兵藏在木马中潜入敌方城市，从而一举占领敌方城市的故事，因为现在所讲的木马病毒侵入远程主机的方式在战略上与其攻城的方式一致。通个这样的解释相信大多数朋友对木马入侵主机的方式所有领悟：它就是通过潜入你的电脑系统，通过种种隐蔽的方式在系统启动时自动在后台执行的程序，以“里应外合”的工作方式，用服务器/客户端的通讯手段，达到当你上网时控制你的电脑，以窃取你的密码、游览你的硬盘资源，修改你的文件或注册表、偷看你的邮件等等。

一旦你的电脑被它控制，则通常表现为蓝屏然死机；CD-ROM莫名其妙地自己弹出；鼠标左右键功能颠倒或者失灵或文件被删除；时而死机，时而又重新启动；在没有执行什么操作的时候，却在拼命读写硬盘；系统莫明其妙地对软驱进行搜索；没有运行大的程序，而系统的速度越来越慢，系统资源占用很多；用CTRL＋ALT＋DEL调出任务表，发现有多个名字相同的程序在运行，而且可能会随时间的增加而增多等等。

不过要知道，即使发现了你的机器染上木马病毒，也不必那么害怕，因为木马病毒与一般病毒在目的上有很大的区别，即使木马运行了，也不一定会对你的机器造成危害。但肯定有坏处，你的上网密码有可能已经跑到别人的收件箱里了，这样黑客们就可以盗用你的上网账号上网了！木马程序也是病毒程序的一类，但更具体的被认为黑客程序，因为它入侵的目的是为发布这些木马程序的人，即所谓的黑客服务的。

本文将就木马的一些特征、木马入侵的一些常用手法及清除方法以及如何避免木马的入侵以及几款常见木马程序的清除四个方面作一些综合说明。

木马的基本特征

木马是病毒的一种，同时木马程序又有许多种不同的种类，那是受不同的人、不同时期开发来区别的，如BackOrifice(BO)、BackOrifice2000、Netspy、Picture、Netbus、Asylum、冰河等等这些都属于木马病毒种类。综合现在流行的木马程序，它们都有以下基本特征：

1、隐蔽性是其首要的特征

如其它所有的病毒一样，木马也是一种病毒，它必需隐藏在你的系统之中，它会想尽一切办法不让你发现它。很多人的对木马和远程控制软件有点分不清，因为我前面讲了木马程序就要通过木马程序驻留目标机器后通过远程控制功能控制目标机器。实际上他们两者的最大区别就是在于这一点，举个例子来说吧，象我们进行局域网间通讯的常软件——PCanywhere大家一定不陌生吧，大家也知道它是一款远程通讯软件。PCanwhere在服务器端运行时，客户端与服务器端连接成功后客户端机上会出现很醒目的提示标志。而木马类的软件的服务器端在运行的时候应用各种手段隐藏自己,不可能还出现什么提示，这些黑客们早就想到了方方面面可能发生的迹象，把它们扼杀了。例如大家所熟悉木马修改注册表和ini文件以便机器在下一次启动后仍能载入木马程式，它不是自己生成一个启动程序，而是依附在其它程序之中。有些把服务器端和正常程序绑定成一个程序的软件,叫做exe-binder绑定程式，可以让人在使用绑定的程式时，木马也入侵了系统，甚至有个别木马程序能把它自身的exe文件和服务器端的文件绑定，在你看的时候，木马也侵入了你的系统。 它的隐蔽性主要体现在以下两个方面：

a、不产生图标

它虽然在你系统启动时会自动运行，但它不会在“任务栏”中产生一个图标，这是容易理解的，不然的话，凭你的火眼金睛你一定会发现它的。我们知道要想在任务栏中隐藏图标，只需要在木马程序开发时把“Form”的“Visible ”属性设置为“False”、把“ShowintaskBar”属性设置为“Flase”即可；

b、木马程序自动在任务管理器中隐藏，并以“系统服务”的方式欺骗操作系统。

2、它具有自动运行性

它是一个当你系统启动时即自动运行的程序，所以它必需潜入在你的启动配置文件中，如win.ini、system.ini、winstart.bat以及启动组等文件之中。

3、木马程序具有欺骗性

木马程序要达到其长期隐蔽的目的，就必需借助系统中已有的文件，以防被你发现，它经常使用的是常见的文件名或扩展名，如“dll\win\sys\explorer等字样，或者仿制一些不易被人区别的文件名，如字母“l”与数字“1”、字母“o”与数字“0”，常修改基本个文件中的这些难以分辨的字符，更有甚者干脆就借用系统文件中已有的文件名，只不过它保存在不同路径之中。还有的木马程序为了隐藏自己，也常把自己设置成一个ZIP文件式图标，当你一不小心打开它时，它就马上运行。等等这些手段那些编制木马程序的人还在不断地研究、发掘，总之是越来越隐蔽，越来越专业，所以有人称木马程序为“骗子程序”。

4、具备自动恢复功能

现在很多的木马程序中的功能模块已不再是由单一的文件组成，而是具有多重备份，可以相互恢复。

5、能自动打开特别的端口

木马程序潜入人的电脑之中的目的不主要为了破坏你的系统，更是为了获取你的系统中有用的信息，这样就必需当你上网时能与远端客户进行通讯，这样木马程序就会用服务器/客户端的通讯手段把信息告诉黑客们，以便黑客们控制你的机器，或实施更加进一步入侵企图。你知不知道你的电脑有多少个对外的“门”，不知道吧，告诉你别吓着，根据TCP/IP协议，每台电脑可以有256乘以256扇门，也即从0到65535号“门，但我们常用的只有少数几个，你想有这么门可以进，还能进不来？当然有门我们还是可以关上它们的，这我在预防木马的办法中将会讲到。

6、 功能的特殊性

通常的木马的功能都是十分特殊的，除了普通的文件操作以外，还有些木马具有搜索cache中的口令、设置口令、扫描目标机器人的IP地址、进行键盘记录、远程注册表的操作、以及锁定鼠标等功能,上面所讲的远程控制软件的功能当然不会有的，毕竟远程控制软件是用来控制远程机器，方便自己操作而已，而不是用来黑对方的机器的。

7、黑客组织趋于公开化

以往还从未发现有什么公开化的病毒组织（也许是我孤陋寡闻），多数病毒是由个别人出于好奇（当然也有专门从事这一职业的），想试一下自己的病毒程序开发水平而做的，但他（她）绝对不敢公开，因为一旦发现是有可能被判坐牢或罚款的，这样的例子已不再什么新闻了。如果以前真的也有专门开发病毒的病毒组织，但应绝对是属于“地下”的。现在倒好，什么专门开发木马程序的组织到处都是，不光存在，而且还公开在网上大肆招兵买马，似乎已经合法化。正因如此所以黑客程序不断升级、层出不穷，黑的手段也越来越高明。我不知道为什么，但据讲其理由是“为了自卫、为了爱国” 。

木马入侵的常用手法及清除方法

虽然木马程序千变万化，但正如一位木马组织的负责人所讲，大多数木马程序没有特别的功能，入侵的手法也差不多，只是以前有关木马程序的重复，只是改了个名而已，现在他们都要讲究效率，据说他们要杜绝重复开发，浪费资源。当然我们也只能讲讲以前的一些通用入侵手法，因为我们毕竟不是木马的开发者，不可能有先知先觉。

1、在win.ini文件中加载

一般在win.ini文件中的[windwos]段中有如下加载项：

run= load= ，一般此两项为空，如图1所示。

图1

如果你发现你的系统中的此两项加载了任何可疑的程序时，应特别当心，这时可根据其提供的源文件路径和功能进一步检查。我们知道这两项分别是用来当系统启动时自动运行和加载程序的，如果木马程序加载到这两个子项中之后，那么当你的系统启动后即可自动运行或加载了。当然也有可能你的系统之中确是需要加载某一程序，但你要知道这更是木马利用的好机会，它往往会在现有加载的程序文件名之后再加一个它自己的文件名或者参数，这个文件名也往往用你常见的文件，如command.exe、sys.com等来伪装。

2、在System.ini文件中加载

我们知道在系统信息文件system.ini中也有一个启动加载项，那就是在[BOOT]子项中的“Shell”项，如图2所示。

图2

在这里木马最惯用的伎俩就是把本应是“Explorer”变成它自己的程序名，名称伪装成几乎与原来的一样，只需稍稍改"Explorer”的字母“l”改为数字“1”，或者把其中的“o”改为数字“0”，这些改变如果不仔细留意是很难被人发现的，这就是我们前面所讲的欺骗性。当然也有的木马不是这样做的，而是直接把“Explorer”改为别的什么名字，因为他知道还是有很多朋友不知道这里就一定是“Explorer”，或者在“Explorer”加上点什么东东，加上的那些东东肯定就是木马程序了。

3、修改注册表

如果经常研究注册表的朋友一定知道，在注册表中我们也可以设置一些启动加载项目的，编制木马程序的高手们当然不会放过这样的机会的，况且他们知道注册表中更安全，因为会看注册表的人更少。事实上，只要是”Run\Run-\RunOnce\RunOnceEx\ RunServices \RunServices-\RunServicesOnce 等都是木马程序加载的入口，如[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft \Windows\CurrentVersion\Run或\RunOnce]，如图3所示；

图3

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run或Run-或RunOnce或RunOnceEx或RunServices或RunServices-或RunServicesOnce]，如图4所示。

图4

你只要按照其指定的源文件路径一路查过去，并具体研究一下它在你系统这中的作用就不难发现这些键值的作用了，不过同样要注意木马的欺骗性，它可是最善于伪装自己呵！同时还要仔细观察一下在这些键值项中是否有类似netspy.exe、空格、.exe或其它可疑的文件名，如有则立即删除。

4、修改文件打开关联

木马程序发展到了今天，他们发现以上的那些老招式不灵了，为了更加隐蔽自己，他们所采用隐蔽的手段也是越来越高明了（不过这也是万物的生存之道，你说呢？），它们采用修改文件打开关联来达到加载的目的，当你打开了一个已修改了打开关联的文件时，木马也就开始了它的运作，如冰河木马就是利用文本文件（.txt）这个最常见，但又最不引人注目的文件格式关联来加载自己，当有人打开文本文件时就自动加载了冰河木马。

修改关联的途经还是选择了注册表的修改，它主要选择的是文件格式中的“打开”、“编辑”、“打印”项目，如冰河木马修改的对象如图5所示，

图5

如果感染了冰河木马病毒则在[HKEY_CLASSES_ROOT\txtfile\shell\open\command]中的键值不是“c:\windows\notepad.exe %1”，而是改为“sy***plr.exe %1”。

以上所介绍的几种木马入侵方式，如果发现了我们当然是立即对其删除，并要立即与网络断开，切断黑客通讯的途径，在以上各种途径中查找，如果是在注册表发现的，则要利用注册表的查找功能全部查找一篇，清除所有的木马隐藏的窝点，做到彻底清除。如果作了注册表备份，最好全部删除注册表后再导入原来的备份注册表。

在清除木马前一定要注意，如果木马正在运行，则你无法删除其程序，这时你可以重启动到DOS方式然后将其删除。有的木马会自动检查其在注册表中的自启动项，如果你是在木马处于活动时删除该项的话它能自动恢复，这时你可以重启到DOS下将其程序删除后再进入Win9x下将其注册表中的自启动项删除。

毒牙（Venom）是刺客影子训练技能树中第六层的技能，需要利爪支配、速度爆发和能量消解作为前置技能，但不存在技能协同作用。使用技能时，能够为玩家的攻击附带上毒素伤害，其生效方式与火焰强化有着相似之处。

Venom意为毒液，因此技能图标使用的是蜘蛛。没错，这次终于轮到刺客的技能了。

技能特性：

（1） 毒牙的魔法消耗固定为12点。

（2） 虽然技能的持续时间随等级增长，但毒素伤害的持续时间固定为0.4秒（10帧）。

（3） 高等级或同等级的毒牙会覆盖原有效果，但低等级的毒牙不会。

（4） 毒牙能够和速度爆发或能量消解共存。

（5） 毒牙的持续时间较长，比如悔恨或是背信上15级毒牙的持续时间长达176秒。

（6） 虽然技能描述是在你的“爪类武器”上增加毒素伤害，但毒牙提供的毒素伤害实际可以对所有武器生效，甚至包括鞋子。

（7） 但不包括盾牌，毕竟盾牌不算是武器。

（8） 扯远了，其实本来的意思是毒牙无法加成盾击，虽然这应该算是盾击的特性。

（9） 毒牙带来的毒素伤害加成在攻击中，因此需要攻击命中才能起效。

（10） 与其他毒素效果有所区别，毒牙技能提供的毒素伤害和装备物品提供的毒素伤害叠加时，单帧伤害会累加，而基础持续时间会被固定为0.4秒。

（11） 但实际持续时间依旧会受到目标PLR属性的影响。

（12） 类似于FSD对火焰强化的提升，PSD对毒牙也能产生两次提升效果。不过由于释放者和接受者为同一个人，所以此时只要把毒素伤害的加成平方一下就行了。

（13） 比如说塔格奥之爪，能够提供25%PSD，只拥有这一项提升时，毒牙伤害的实际提升比例为1.25^2=1.5625，也就是能带来大概56%的提升。

（14） 从中也能看出此类二次加成的强势之处，加成越高，其数值的提升会越夸张。

（15） 不过对于毒牙，基础和加成比例都相对较低，于是没能达到火焰强化的强度。

（16） 原版游戏中，虽然毒牙的加成在龙爪之类踢技的面板伤害中没有显示，但是确实能够通过踢技触发毒牙的毒素伤害，不过这应该算是踢技面板显示的问题。

（17） 随着技能等级的增长，毒牙的持续时间以及提供的毒素伤害均逐渐提升：

毒素伤害计算：

（1） 毒牙提供的毒素伤害，其持续时间固定为0.4秒，叠加时存在特殊的计算方式。

（2） 当角色的装备中不存在其他毒素伤害时，按照毒牙技能的伤害进行计算，将其数值直接增加至人物面板中，毒素的持续时间为0.4秒。

（3） 若其他装备物品中存在毒素伤害属性时，则需要将各类物品毒素伤害的Rate相加，而持续时间则将固定为0.4秒。

（4） 之后按照计算得到的Rate，以0.4秒的持续时间计算得到毒素伤害的总量，并将其增加至人物面板中。此时，毒素的持续时间仍为0.4秒。

（5） 由此可见，当毒牙等级较低且物品提供的毒素伤害较多时，开启毒牙后人物面板上显示的攻击伤害数值甚至可能会出现下降。

（6） 毒牙属于状态类技能，开启后被动生效。因此，开启毒牙后也可以使用剧毒匕首等附带毒素伤害的武器攻击技能。

（7） 此时，毒牙与毒素攻击技能的叠加方式类似于同一物品的不同词缀，Rate叠加，且持续时间也累加。

实际应用：

（1） 由于毒牙的毒素伤害时长固定为0.4秒，所以实际伤害能力比看起来要高。

（2） 也就是说，虽然毒牙的面板伤害不高，但Rate不低，实际伤害能力比面板好看。

（3） 但依旧难以以作为主力伤害技能使用，即使能受到PSD的二次加成。

（4） 虽然毒牙能够将其他物品提供的毒素伤害的时长缩短为0.4秒。但由于其Rate没有改变，只是单纯的叠加，所以实际能够造成的毒素伤害总量反而下降了。

（5） 毕竟持续时间只有10帧，想要使目标维持中毒效果会比较的困难。

（6） 因此，毒牙也能属于强度不足的终极技能（需求30级的技能）之一。

（7） 在大多数时候，玩家或佣兵会通过悔恨或是背信获得毒牙效果。触发的15级毒牙能够提供315/0.4秒的毒素伤害，折算成秒伤接近800，作为添头还是很不错的。

（8） 而悔恨也拥有最高25%的EPR，也算是有一点小配合吧。

（9） 于是，在面对物理免疫但生命值较低的幽灵类敌人时，甚至会出现悔恨能伤害到物理免疫敌人的错觉。

（10） 此外，由于毒牙的Rate能够和其他毒素类武器攻击技能叠加，所以通过背信触发毒牙后，原本Rate较低的毒素技能击中后产生的效果能够获得极大的增强。

（11） 举个例子，20级且满协同加成的剧毒标枪，其毒素秒伤仅为207左右。而15级毒牙的秒伤约为788。

（12） 所以，在触发背信的毒牙后，亚马逊的毒系标枪的伤害能力能够获得极大的提升。不过由于亚马逊毒系标枪的云雾属于技能效果，而非武器攻击，所以不会受到毒牙的加成。也就是说，只有标枪本身命中的目标才会受到如此高额的毒素伤害。

（13） 因此也曾经有过主修毒牙，依靠各类装备提升毒牙效果。而后通过石像鬼之噬（暗金翼鱼叉）上的聚气技能释放瘟疫标枪的离奇玩法。

（1） 毒牙技能带来的伤害能力较为有限，难以作为主要输出技能使用。

（2） 游戏中毒牙的效果常见于装备背信或是悔恨的玩家身上，而非刺客本身。

（3） 换句话说，这个技能在单机环境下用处比较有限。

鹏仔微信 15129739599 鹏仔QQ344225443 鹏仔前端 pjxi.com 共享博客 sharedbk.com