木马，也称特伊洛木马，名称源于古希腊的特伊洛马神话，此词语来源于古希腊的神话故事，传说希腊人围攻特洛伊城，久久不能得手。后来想出了一个木马计，让士兵藏匿于巨大的木马中。大部队假装撤退而将木马摈弃于特洛伊城下，让敌人将其作为战利品拖入城内。木马内的士兵则乘夜晚敌人庆祝胜利、放松警惕的时候从木马中爬出来，与城外的部队里应外合而攻下了特洛伊城。
尽管资深的黑客不屑于使用木马，但在对以往网络安全事件的分析统计里，我们发现，有相当部分的网络入侵是通过木马来进行的，包括去年微软被黑一案，据称该黑客是通过一种普通的蠕虫木马侵入微软的系统的，并且窃取了微软部分产品的源码。
木马的危害性在于它对电脑系统强大的控制和破坏能力，窃取密码、控制系统操作、进行文件操作等等，一个功能强大的木马一旦被植入你的机器，攻击者就可以象操作自己的机器一样控制你的机器，甚至可以远程监控你的所有操作。
木马是如何侵入的？
一般的木马都有客户端和服务器端两个执行程序，其中客户端是用于攻击者远程控制植入木马的机器，服务器端程序即是木马程序。攻击者要通过木马攻击你的系统，他所做的第一步是要把木马的服务器端程序植入到你的电脑里面。
目前木马入侵的主要途径还是先通过一定的方法把木马执行文件弄到被攻击者的电脑系统里，如邮件、下载等，然后通过一定的提示故意误导被攻击者打开执行文件，比如故意谎称这是个木马执行文件是你朋友送给你贺卡，可能你打开这个文件后，确实有贺卡的画面出现，但这时可能木马已经悄悄在你的后台运行了。
一般的木马执行文件非常小，大到都是几K到几十K，如果把木马捆绑到其它正常文件上，你很难发现的，所以，有一些网站提供的软件下载往往是捆绑了木马文件的，在你执行这些下载的文件，也同时运行了木马。
木马也可以通过Script、ActiveX及Asp、Cgi交互脚本的方式植入，由于微软的浏览器在执行Script脚本上存在一些漏洞，攻击者可以利用这些漏洞传皤病毒和木马，甚至直接对浏览者电脑进行文件操作等控制，前不久就出现一个利用微软Scripts脚本漏洞对浏览者硬盘进行格式化的Html页面。如果攻击者有办法把木马执行文件上载到攻击主机的一个可执行WWW目录夹里面，他可以通过编制Cgi程序在攻击主机上执行木马目录
木马还可以利用系统的一些漏洞进行植入，如微软著名的IIS服务器溢出漏洞，通过一个IISHACK攻击程序即在把IIS服务器崩溃，并且同时在攻击服务器执行远程木马执行文件。
相关参考文章：
特洛伊木马大揭密
UNIX特洛伊木马
网络后门面面观
木马如何将入侵主机信息发送给攻击者？
木马在被植入攻击主机后，它一般会通过一定的方式把入侵主机的信息，如主机的IP地址、木马植入的端口等发送给攻击者，这样攻击者有这些信息才能够与木马里应外合控制攻击主机。
在早期的木马里面，大多都是通过发送电子邮件的方式把入侵主机信息告诉攻击者，有一些木马文件干脆把主机所有的密码用邮件的形式通知给攻击者，这样攻击都就不用直接连接攻击主机即可获得一些重要数据，如攻击OICQ密码的GOP木马即是如此。
使用电子邮件的方式对攻击者来说并不是最好的一种选择，因为如果木马被发现，可以能过这个电子邮件的地址找出攻击者。现在还有一些木马采用的是通过发送UDP或者ICMP数据包的方式通知攻击者。
木马隐身术
在运行前，很一些木马经常故意弄成Txt、Html等你认为对你系统没有多少危害性质的文件图标，这样很容易迷诱你把它打开。
在运行中，木马的作者也意识到如果程序打开后像早期木马一样没有什么反应的话，这样只要对木马稍有了解的人都会知道这个程序有鬼，这样他们往往会有采取行动杀除木马。所以，新的木马大多都以弹出某种欺骗性质的错误窗口使执行者不起疑心，比如操作系统版本错误等等。
在运行后，木马在运行后需要自我销毁和隐藏，木马分为两种类型，一种是随系统自动启动的，另一种附加或者捆绑在Windows系统或者其它应用程序上，或者干脆替代成它们。如果是前者，木马会把自己拷贝到windows系统目录夹下面一个隐蔽的地方，当然是会把自己的文件属性设为隐藏，然后再删除自己。如果是后者，木马会寻找系统程序把自己捆绑或者替换到它们身上，这样你运行这些系统程序的时候就会激活木马。
还有一种技术更为先进的木马，它是把自己复制取代成为动态链结dll文件.，如果系统正常的调用请求，它把请求转到原先的DLL，对于一些事先约定好的木马操作，DLL文件就跟一个木马程序毫无区别。
隐藏通讯，任何木马运行后都要和攻击者进行通讯连接，或者通过即时连接，如攻击者通过客户端直接接入被植入木马的主机，或者通过间接通讯，如通过电子邮件的方式，木马把侵入主机的敏感信息送给攻击者。现在大部分木马一般在占领主机后，会在1024以上不易发现的高端口上驻留，有一些木马会选择一些常用的端口，如80、23，有一种非常先进的木马还可以做到在占领80HTTP端口后，收到正常的HTTP请求仍然把它交与Web服务器处理，只有收到一些特殊约定的数据包后，才调用木马程序。
目前大部分木马都是采用TCP连接的方式使攻击者控制主机，这样通过简单的netstat命令或者监视数据包等方式即可以查出攻击，现在有的木马可以通过ICMP数据包进行通讯控制，这样除非分析数据包里面的内容，否则很难发现木马连接。
通过电子邮件这类间接通讯的木马一般是以窃取主机密码等机密文件为主，它们比较难觉察，不过，如果采用这种方式，一旦被发现，很容易查出邮箱和邮箱的主人。
隐藏进程，在win9X系统里面，简单的注册为系统进程即可以从任务栏里消失，但在windows2000系统里面，任何一个运行的进程都会在Administrator权限下显示出来，并且可以直接关闭掉。在最新的一些木马里面，开始采用了先进的DLL陷进技术，
DLL陷阱技术是一种针对DLL（动态链接库）的高级编程技术，编程者用特洛伊DLL替换已知的系统DLL，并对所有的函数调用进行过滤，对于正常的调用，使用函数转发器直接转发给被替换的系统DLL,对于一些事先约定好的特殊情况，DLL会执行一些相对应的操作，一个比较简单的方法是起一个进程，虽然所有的操作都在DLL中完成会更加隐蔽，但是这大大增加了程序编写的难度，实际上这样的木马大多数只是使用DLL进行监听，一旦发现控制端的连接请求就激活自身，起一个绑端口的进程进行正常的木马操作。操作结束后关掉进程，继续进入休眠状况。
相关参考文章：
《 智斗"notepad" 》
木马是如何启动的？
在Windows系统下，木马可以通过注册表、Win.ini、system.ini、Autoexec.bat和Config.sys、捆绑替换系统文件、启动菜单及程序配置.ini文件来自我启动运行。
Win.in：[WINDOWS]下面，"run="和"load="行是Windows启动时要自动加载运行的程序项目
System.ini：[BOOT]下面有个"shell=Explorer.exe"项。正确的表述方法就是这样。如果等号后面不仅仅是explorer.exe，而是"shell=Explorer.exe 程序名"，那么后面跟着的那个程序就是木马程序
注册表：在KEY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersion\下面五个以Run开头的主键目录都是系统自启的键值。
