特洛伊木马（以下简称木马），英文叫做“Trojanhorse”，其名称取自希腊神话的特洛伊木马记，它是一种基于远程控制的黑客工具，具有隐蔽性和非授权性的特点。所谓隐蔽性是指木马的设计者为了防止木马被发现，会采用多种手段隐藏木马，这样服务端即使发现感染了木马，由于不能确定其具体位置，往往只能望“马”兴叹；所谓非授权性是指一旦控制端与服务端连接后，控制端将享有服务端的大部分操作权限，包括修改文件，修改注册表，控制鼠标，键盘等等，而这些权力并不是服务端赋予的，而是通过木马程序窃取的。从木马的发展来看，基本上可以分为两个阶段，最初网络还处于以UNIX平台为主的时期，木马就产生了，当时的木马程序的功能相对简单，往往是将一段程序嵌入到系统文件中，用跳转指令来执行一些木马的功能，在这个时期木马的设计者和使用者大都是些技术人员，必须具备相当的网络和编程知识。而后随着Windows平台的日益普及，一些基于图形操作的木马程序出现了，用户界面的改善，使使用者不用懂太多的专业知识就可以熟练地操作木马，相应的木马入侵事件也频繁出现，而且由于这个时期木马的功能已日趋完善，因此对服务端的破坏也更大了。鉴于木马的巨大危害性，本专题将从原理到防御和反击，彻底把特洛伊木马弄个明白。
一、原理篇
(一)、基础知识
一个完整的木马系统由硬件部分、软件部分和具体连接部分组成。
1、硬件部分：建立木马连接所必须的硬件实体。
控制端：对服务端进行远程控制的一方。
服务端：被控制端远程控制的一方。
Internet：控制端对服务端进行远程控制，数据传输的网络载体。
2、软件部分：实现远程控制所必须的软件程序。
控制端程序：控制端用以远程控制服务端的程序。
木马程序：潜入服务端内部，获取其操作权限的程序。
木马配置程序：设置木马程序的端口号，触发条件、木马名称等，使其在服务端藏得更隐蔽的程序。
3、具体连接部分：木马进行数据传输的目的地。
控制端端口，木马端口：即控制端、服务端的数据入口，通过这个入口数据可直达控制端程序或木马程
序。
(二)、木马原理
用木马这种黑客工具进行网络入侵，从过程上看大致可分为六步(具体可见图1)。
下面我们就按这六步来详细阐述木马的攻击原理。
1、配置木马
一般来说一个设计成熟的木马都有木马配置程序，从具体的配置内容看，主要是为了实现以下两个功能：
木马伪装：木马配置程序为了在服务端尽可能隐藏好木马，会采用多种伪装手段如修改图标、捆绑文件、定制端口、自我销毁等，我们将在“传播木马”中详细介绍。
信息反馈：木马配置程序将就信息反馈的方式或地址进行设置，如设置信息反馈的邮件地址、IRC号、ICQ号等等，具体内容将在“信息泄露”中详细介绍。
2、传播木马
传播方式：木马的传播方式主要有两种：一种是通过E－mail，控制端将木马程序以附件的形式夹在邮件中发送出去，收信人只要打开附件就会感染木马；另一种是软件下载，一些非正规的网站以提供软件下载为名义，将木马捆绑在软件安装程序上，下载后，只要一运行这些程序，木马就会自动安装。
伪装方式：鉴于木马的危害性，很多人对木马知识还是有一定了解的，这对木马的传播起了一定的抑制作用，这是木马设计者所不愿见到的，因此他们开发了多种功能来伪装木马，以达到降低用户警觉，欺骗用户的目的。下面介绍常见的几种。
(1) 修改图标
当你在E－mail的附件中看到如图2所示的图标时，是否会认为这是个文本文件呢？但是我不得不告诉你，这也有可能是个木马程序，现在已经有木马可以将木马服务端程序的图标改成HTML，TXT，ZIP等各种文件的图标，这有相当大的迷惑性，但是目前提供这种功能的木马还不多见，并且这种伪装也不是无懈可击的，所以不必整天提心吊胆，疑神疑鬼的。
(2) 捆绑文件
这种伪装手段是将木马捆绑到一个安装程序上，当安装程序运行时，木马在用户毫无察觉情况下，偷偷地进入了系统。至于被捆绑的文件一般是可执行文件（即EXE，COM一类的文件）。
(3) 出错显示
有一定木马知识的人都知道，如果打开一个文件，没有任何反应，这很可能就是个木马程序，木马的设计者也意识到了这个缺陷，所以已经有木马提供了一个叫做出错显示的功能。当服务端用户打开木马程序时，会弹出一个错误提示框（这当然是假的），错误内容可自由定义，大多会定制成一些诸如“文件已破坏，无法打开！”之类的信息，当服务端用户信以为真时，木马却悄悄侵入了你的系统。
(4) 定制端口
很多老式的木马端口都是固定的，这给判断是否感染了木马带来了方便，只要查一下特定的端口就知道感染了什么木马，所以现在很多木马都加入了定制端口的功能，控制端用户可以在1024~65535之间任选一个端口作为木马端口（一般不选1024以下的端口），这样就给判断所感染木马类型带来了麻烦。
(5) 自我销毁
这项功能是为了弥补木马的一个缺陷。我们知道当服务端用户打开含有木马的文件后，木马会将自己拷贝到Windows系统文件中（c:\Windows, c:\Windows\system或c:\Windows\temp目录下），一般来说原木马文件和系统文件夹中的木马文件的大小是一样的（捆绑文件的木马除外），那么中了木马的朋友只要在近来收到的信件和下载的软件中找到原木马文件，然后根据原木马的大小系统文件夹找相同大小的文件，判断一下哪个是木马就行了。而木马的自我销毁功能是指安装完木马后，原木马文件将自动销毁，这样服务端用户就很难找到木马的来源，在没有查杀木马的工具帮助下，就很难删除木马了。
(6)木马更名
安装到系统文件夹中的木马的文件名一般是固定的，那么只要根据一些查杀木马的文章，按图索骥在系统文件夹查找特定的文件，就可以知道中了什么木马。所以现在有很多木马都允许控制端用户自由定制安装后的木马文件名，这样很难判断所感染的木马类型了。
(三)、运行木马
服务端用户运行木马或捆绑木马的程序后，木马就会自动进行安装。首先将自身拷贝到Windows的系统文件夹中（c:\Windows，c:\Windows\system或c:\Windows\temp目录下），然后在注册表，启动组，非启动组中设置好木马的触发条件，这样木马的安装就完成了。安装后就可以启动木马了，具体过程如图3所示：
1、由触发条件激活木马
触发条件是指启动木马的条件，大致出现在下面八个地方：
注册表：打开HKEY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersion\的Run和RunServices主键，在其中寻找可能是启动木马的键值。
WIN.INI：C:\ Windows目录下有个配置文件system.ini，用文本方式打开，在[386Enh]，[mic]，[drivers32]中有命令行，在其中寻找木马的启动命令。
Autoexec.bat和config.sys：在C盘根目录下的这两个文件也可以启动木马。但这种加载方式一般都需要控制端用户与服务端建立连接后，将已添加木马启动命令的同名文件上传服务端覆盖这两个文件才行。
＊.INI：即应用程序的启动配置文件，控制端利用这些文件能启动程序的特点，将制作好的带有木马启动命令的同名文件上传到服务端覆盖这同名文件，这样就可以达到启动木马的目的了。
注册表：打开HKEY－CLASSES－ROOT\文件类型\shell\open\command主键,查看其键值。举个例子，国产木马“冰河”就是修改HKEY-CLASSES-ROOT\txtfile\shell\open\command下的键值，将“C:\Windows\NOTEPAD.EXE %1”该为“C:\Windows\SYSTEM\sysexplr.EXE%1”这时你双击一个TXT文件后，原本应用NOTEPAD打开的文件，现在却变成启动木马程序了。还要说明的是不光是TXT文件，通过修改，HTML、EXE、ZIP等文件的启动命令的键值都可以启动木马，不同之处只在于“文件类型”这个主键的差别，TXT是txtfile，ZIP是WINZIP，还有很多，大家可以试着去找一下。
捆绑文件：实现这种触发条件首先要控制端和服务端已通过木马建立连接，然后控制端用户用工具软件将木马文件和某一应用程序捆绑在一起，然后上传到服务端覆盖文件，这样即使木马被删除了，只要运行捆绑了木马的应用程序，木马又会被安装上去了。
启动菜单：在“开始－程序－启动”选项下也可能有木马的触发条件。
2、木马运行过程
木马被激活后，进入内存，并开启事先定义的木马端口，准备与控制端建立连接。这时服务端用户可以在MS－DOS方式下，键入NETSTAT－AN查看端口状态，一般个人电脑在脱机状态下是不会有端口开放的，如果有端口开放，你就要注意是否感染木马了。图4是电脑感染木马后，用NETSTAT命令查看端口的两个实例：
图4中的(1)是服务端与控制端建立连接时的显示状态，(2)是服务端与控制端还未建立连接时的显示状态。
在上网过程中要下载软件，发送信件，网上聊天等必然
