簡介
“特洛伊木馬”（trojanhorse）簡稱“木馬（woodenhorse）”，名稱來源于希臘神話《木馬屠城記》，如今黑客程序借用其名，有“一經潛入，後患無窮”之意。特洛伊木馬沒有複制能力，它的特點是僞裝成一個實用工具或者一個可愛的遊戲，誘使用戶将其安裝在PC或者服務器上。
原理與發展
原理
一個完整的特洛伊木馬套裝程序含了兩部分：服務端（服務器部分）和客戶端（控制器部分）。植入對方電腦的是服務端，而黑客正是利用客戶端進入運行了服務端的電腦。運行了木馬程序的服務端以後，會産生一個有着容易迷惑用戶的名稱的進程，暗中打開端口，向指定地點發送數據（如網絡遊戲的密碼，實時通信軟件密碼和用戶上網密碼等），黑客甚至可以利用這些打開的端口進入電腦系統。這時你電腦上的各種文件、程序，以及在你電腦上使用的賬号、密碼無安全可言了。
特洛伊木馬程序不能自動操作，一個特洛伊木馬程序是包含或者安裝一個存心不良的程序的，對一個不懷疑的用戶來說，它可能看起來是有用或者有趣的計劃（或者至少無害），但是實際上當它被運行時是有害的。特洛伊木馬不會自動運行，它是暗含在某些用戶感興趣的文檔中，用戶下載時附帶的。當用戶運行文檔程序時，特洛伊木馬才會運行，信息或文檔才會被破壞和丢失。特洛伊木馬和後門不一樣，後門指隐藏在程序中的秘密功能，通常是程序設計者為了能在日後随意進入系統而設置的。
特洛伊木馬有兩種，universale的和transitive的，universal就是可以控制的，而transitive是不能控制，刻死的操作。木馬程序不能算是一種病毒，但可以和最新病毒、漏洞利用工具一起使用，幾乎可以躲過各大殺毒軟件，盡管越來越多的新版的殺毒軟件可以查殺一些防殺木馬了，但是不要認為使用有名的殺毒軟件電腦就絕對安全，木馬永遠是防不勝防的，除非你不上網。
發展
木馬程序技術發展可以說非常迅速。主要是有些年輕人出于好奇，或是急于顯示自己實力，不斷改進木馬程序的編寫。至今木馬程序已經經曆了6代的改進：
第一代木馬：僞裝型病毒
這種病毒通過僞裝成一個合法性程序誘騙用戶上當。世界上第一個計算機木馬是出現在1986年的PC-Write木馬。它僞裝成共享軟件PC-Write的2.72版本（事實上，編寫PC-Write的Quicksoft公司從未發行過2.72版本），一旦用戶信以為真運行該木馬程序，那麼他的下場就是硬盤被格式化。在我剛剛上大學的時候，曾聽說我校一個前輩牛人在WAX機房上用BASIC作了一個登錄界面木馬程序，當你把你的用戶ID，密碼輸入一個和正常的登錄界面一模一樣的僞登錄界面後後，木馬程序一面保存你的ID,和密碼，一面提示你密碼錯誤讓你重新輸入，當你第二次登錄時，你已成了木馬的犧牲品。此時的第一代木馬還不具備傳染特征。
第二代木馬：AIDS型木馬
繼PC-Write之後，1989年出現了AIDS木馬。由于當時很少有人使用電子郵件，所以AIDS的作者就利用現實生活中的郵件進行散播：給其他人寄去一封封含有木馬程序軟盤的郵件。之所以叫這個名稱是因為軟盤中包含有AIDS和HIV疾病的藥品，價格，預防措施等相關信息。軟盤中的木馬程序在運行後，雖然不會破壞數據，但是他将硬盤加密鎖死，然後提示受感染用戶花錢消災。可以說第二代木馬已具備了傳播特征（盡管通過傳統的郵遞方式）。
第三代木馬：網絡傳播型木馬
随着Internet的普及，這一代木馬兼備僞裝和傳播兩種特征并結合TCP/IP網絡技術四處泛濫。同時他還有新的特征：
第一，添加了後門功能。所謂後門就是一種可以為計算機系統秘密開啟訪問入口的程序。一旦被安裝，這些程序就能夠使攻擊者繞過安全程序進入系統。該功能的目的就是收集系統中的重要信息，例如，财務報告、口令及信用卡号。此外，攻擊者還可以利用後門控制系統，使之成為攻擊其它計算機的幫兇。由于後門是隐藏在系統背後運行的，因此很難被檢測到。它們不像病毒和蠕蟲那樣通過消耗内存而引起注意。
第二，添加了擊鍵記錄功能。
從名稱上就可以知道，該功能主要是記錄用戶所有的擊鍵内容然後形成擊鍵記錄的日志文件發送給惡意用戶。惡意用戶可以從中找到用戶名、口令以及信用卡号等用戶信息。這一代木馬比較有名的有國外的BO2000（BackOrifice）和國内的冰河木馬。它們有如下共同特點：基于網絡的客戶端/服務器應用程序。具有搜集信息、執行系統命令、重新設置機器、重新定向等功能。當木馬程序攻擊得手後，計算機就完全在黑客控制的傀儡主機，黑客成了超級用戶，用戶的所有計算機操作不但沒有任何秘密而言，而且黑客可以遠程控制傀儡主機對别的主機發動攻擊，這時候背俘獲的傀儡主機成了黑客進行進一步攻擊的擋箭牌和跳闆。雖然木馬程序手段越來越隐蔽，但是蒼蠅不叮無縫的蛋，隻要加強個人安全防範意識，還是可以大大降低中招的幾率。對此筆者有如下建議：安裝個人防病毒軟件、個人防火牆軟件；及時安裝系統補丁；對不明來曆的電子郵件和插件不予理睬；經常去安全網站轉一轉，以便及時了解一些新木馬的底細，做到知己知彼，百戰不殆。
第一代，是最原始的木馬程序。主要是簡單的密碼竊取，通過電子郵件發送信息等，具備了木馬最基本的功能。
第二代，在技術上有了很大的進步，冰河是中國木馬的典型代表之一。
第三代，主要改進在數據傳遞技術方面，出現了ICMP等類型的木馬，利用畸形報文傳遞數據，增加了殺毒軟件查殺識别的難度。
第四代，在進程隐藏方面有了很大改動，采用了内核插入式的嵌入方式，利用遠程插入線程技術，嵌入DLL線程。或者挂接PSAPI，實現木馬程序的隐藏，甚至在WindowsNT/2000下，都達到了良好的隐藏效果。灰鴿子和蜜蜂大盜是比較出名的DLL木馬。
第五代，驅動級木馬。驅動級木馬多數都使用了大量的Rootkit技術來達到在深度隐藏的效果，并深入到内核空間的，感染後針對殺毒軟件和網絡防火牆進行攻擊，可将系統SSDT初始化，導緻殺毒防火牆失去效應。有的驅動級木馬可駐留BIOS，并且很難查殺。
第六代，随着身份認證UsbKey和殺毒軟件主動防禦的興起，黏蟲技術類型和特殊反顯技術類型木馬逐漸開始系統化。前者主要以盜取和篡改用戶敏感信息為主，後者以動态口令和硬證書攻擊為主。PassCopy和暗黑蜘蛛俠是這類木馬的代表。
啟動隐藏方式
啟動方式
作為一個優秀的木馬，自動啟動功能是必不可少的，這樣可保證木馬不會因為你的一次關機操作而徹底失去作用。正因為該項技術如此重要，所以，很多編程人員都在不停地研究和探索新的自啟動技術，并且時常有新的發現。一個典型的例子就是把木馬加入到用戶經常執行的程序（例如explorer.exe）中，用戶執行該程序時，則木馬自動發生作用。當然，更加普遍的方法是通過修改Windows系統文件和注冊表達到目的，現經常用的方法主要有以下幾種：
⒈在Win.ini中啟動
在Win.ini的[windows]字段中有啟動命令"load="和"run="，在一般情況下"="後面是空白的，如果有後跟程序，比方說是這個樣子：
run=c:windowsfile.exe
load=c:windowsfile.exe
要小心了，這個file.exe很可能是木馬哦。
⒉在System.ini中啟動
System.ini位于Windows的安裝目錄下，其[boot]字段的shell=Explorer.exe是木馬喜歡的隐藏加載之所，木馬通常的做法是将該何變為這樣：shell=Explorer.exefile.exe。注意這裡的file.exe就是木馬服務端程序！
另外，在System.中的[386Enh]字段，要注意檢查在此段内的"driver=路徑程序名"這裡也有可能被木馬所利用。再有，在System.ini中的[mic]、[drivers]、[drivers32]這3個字段，這些段也是起到加載驅動程序的作用，但也是增添木馬程序的好場所，你該知道也要注意這裡喽。
⒊利用注冊表加載運行
如下所示注冊表位置都是木馬喜好的藏身加載之所，趕快檢查一下，有什麼程序在其下。
⒋在Autoexec.bat和Config.sys中加載運行
請大家注意，在C盤根目錄下的這兩個文件也可以啟動木馬。但這種加載方式一般都需要控制端用戶與服務端建立連接後，将己添加木馬啟動命令的同名文件上傳到服務端覆蓋這兩個文件才行，而且采用這種方式不是很隐蔽。容易被發現，所以在Autoexec.bat和Confings中加載木馬程序的并不多見，但也不能因此而掉以輕心。
⒌在Winstart.bat中啟動
Winstart.bat是一個特殊性絲毫不亞于Autoexec.bat的批處理文件，也是一個能自動被Windows加載運行的文件。它多數情況下為應用程序及Windows自動生成，由于Autoexec.bat的功能可以由Witart.bat代替完成，因此木馬完全可以像在Autoexec.bat中那樣被加載運行，危險由此而來。
⒍啟動組
木馬們如果隐藏在啟動組雖然不是十分隐蔽，但這裡的确是自動加載運行的好場所，因此還是有木馬喜歡在這裡駐留的。啟動組對應的文件夾為C:Windowsstartmenuprogramsstartup，在注冊表中的位置：HKEY_CURRENT_USERSoftwareMicrosoftwindowsCurrentVersionExplorershell
FoldersStartup="c:windowsstartmenuprogramsstartup"。要注意經常檢查啟動組哦！
⒎*.INI
即應用程序的啟動配置文件，控制端利用這些文件能啟動程序的特點，将制作好的帶有木馬啟動命令的同名文件上傳到服務端覆蓋這同名文件，這樣就可以達到啟動木馬的目的了。隻啟動一次的方式：在winint.ini.中（用于安裝較多）。
⒏修改文件關聯
修改文件關聯是木馬們常用手段（主要是國産木馬，老外的木馬大都沒有這個功能），比方說正常情況下TXT文件的打開方式為Notepad.EXE文件，但一旦中了文件關聯木馬，則txt文件打開方式就會被修改為用木馬程序打開，如著名的國産木馬冰河就是這樣幹的."冰河"就是通過修改HKEY_CLASSES_ROOTtxtfileshellopencommand下的鍵值，将“C:WINDOWSNOTEPAD.EXE本應用Notepad打開，如著名的國産HKEY一CLASSES一ROOTtxt鬧eshellopencommandT的鍵值，将"C:WINDOWSNOTEPAD.EXE%l"改為"C:WINDOWSSYSTEMSYSEXPLR.EXE%l"，這樣，一旦你雙擊一個TXT文件，原本應用Notepad打開該文件，卻變成啟動木馬程序了，好狠毒哦！請大家注意，不僅僅是TXT文件，其他諸如HTM、EXE、ZIP等都是木馬的目标，要小心喽。
對付這類木馬，隻能經常檢查HKEY_Cshellopencommand主鍵，查看其鍵值是否正常。
⒐捆綁文件
實現這種觸發條件首先要控制端和服務端已通過木馬建立連接，然後控制端用戶用工具軟件将木馬文件和某一應用程序捆綁在一起，然後上傳到服務端覆蓋源文件，這樣即使木馬被删除了，隻要運行捆綁了木馬的應用程序，木馬義會安裝上去。綁定到某一應用程序中，如綁定到系統文件，那麼每一次Windows啟動均會啟動木馬。
⒑反彈端口型木馬的主動連接方式
反彈端口型木馬我們已經在前面說過了，由于它與一般的木馬相反，其服務端（被控制端）主動與客戶端（控制端）建立連接，并且監聽端口一般開在80，所以如果沒有合适的工具、豐富的經驗真的很難防範。這類木馬的典型代表就是網絡神偷"。由于這類木馬仍然要在注冊表中建立鍵值注冊表的變化就不難查到它們。同時，最新的天網防火牆（如我們在第三點中所講的那樣），因此隻要留意也可在網絡神偷服務端進行主動連接時發現它。
隐藏方式
⒈在任務欄裡隐藏
這是最基本的隐藏方式。如果在windows的任務欄裡出現一個莫名其妙的圖标，傻子都會明白是怎麼回事。要實現在任務欄中隐藏在編程時是很容易實現的。我們以VB為例。在VB中，隻要把from的Visible屬性設置為False,ShowInTaskBar設為False程序就不會出現在任務欄裡了。
⒉在任務管理器裡隐藏
查看正在運行的進程最簡單的方法就是按下Ctrl+Alt+Del時出現的任務管理器。如果你按下Ctrl+Alt+Del後可以看見一個木馬程序在運行，那麼這肯定不是什麼好木馬。所以，木馬會千方百計地僞裝自己，使自己不出現在任務管理器裡。木馬發現把自己設為"系統服務“就可以輕松地騙過去。
因此，希望通過按Ctrl+Alt+Del發現木馬是不大現實的。
⒊端口
一台機器有65536個端口，你會注意這麼多端口麼?而木馬就很注意你的端口。如果你稍微留意一下，不難發現，大多數木馬使用的端口在1024以上，而且呈越來越大的趨勢；當然也有占用1024以下端口的木馬，但這些端口是常用端口，占用這些端口可能會造成系統不正常，這樣的話，木馬就會很容易暴露。也許你知道一些木馬占用的端口，你或許會經常掃描這些端口，但木馬都提供端口修改功能，你有時間掃描65536個端口麼?
⒋隐藏通訊
隐藏通訊也是木馬經常采用的手段之一。任何木馬運行後都要和攻擊者進行通訊連接，或者通過即時連接，如攻擊者通過客戶端直接接入被植入木馬的主機；或者通過間接通訊。如通過電子郵件的方式，木馬把侵入主機的敏感信息送給攻擊者。大部分木馬一般在占領主機後會在1024以上不易發現的高端口上駐留；有一些木馬會選擇一些常用的端口，如80、23，有一種非常先進的木馬還可以做到在占領80HTTP端口後，收到正常的HTTP請求仍然把它交與Web服務器處理，隻有收到一些特殊約定的數據包後，才調用木馬程序。
⒌隐藏隐加載方式
木馬加載的方式可以說千奇百怪，無奇不有。但殊途同歸，都為了達到一個共同的目的，那就是使你運行木馬的服務端程序。如果木馬不做任何僞裝，就告訴你這是木馬，你會運行它才怪呢。而随着網站互動化避程的不斷進步，越來越多的東西可以成為木馬的傳播介質，JavaScript、VBScript、ActiveX.XLM....幾乎WWW每一個新功能部會導緻木馬的快速進化。
⒍最新隐身技術
在Win9x時代，簡單地注冊為系統進程就可以從任務欄中消失，可是在Windowsxp盛行的今天。這種方法遭到了慘敗。注冊為系統進程不僅僅能在任務欄中看到，而且可以直接在Services中直接控制停止。運行（太搞笑了，木馬被客戶端控制）。使用隐藏窗體或控制台的方法也不能欺騙無所不見的Admin大人（要知道，在NT下，Administrator是可以看見所有進程的）。在研究了其他軟件的長處之後，木馬發現，Windows下的中文漢化軟件采用的陷阱技術非常适合木馬的使用。
這是一種更新、更隐蔽的方法。通過修改虛拟設備驅動程序（VXD）或修改動态遵掇庫(DLL）來加載木馬。這種方法與一般方法不同，它基本上擺脫了原有的木馬模式---監聽端口，而采用替代系統功能的方法（改寫vxd或DLL文件），木馬會将修改後的DLL替換系統已知的DLL，并對所有的函數調用進行過濾。對于常用的調用，使用函數轉發器直接轉發給被替換的系統DLL，對于一些相應的操作。實際上。這樣的事先約定好的特種情況，DLL會執行一般隻是使用DLL進行監聽，一旦發現控制端的請求就激活自身，綁在一個進程上進行正常的木馬操作。這樣做的好處是沒有增加新的文件，不需要打開新的端口，沒有新的進程，使用常規的方法監測不到它。在往常運行時，木馬幾乎沒有任何癱狀，且木馬的控制端向被控制端發出特定的信息後，隐藏的程序就立即開始運作。
特征及特性
特征
特洛伊木馬不經電腦用戶準許就可獲得電腦的使用權。程序容量十分輕小，運行時不會浪費太多資源，因此沒有使用殺毒軟件是難以發覺的；運行時很難阻止它的行動，運行後，立刻自動登錄在系統啟動區，之後每次在Windows加載時自動運行；或立刻自動變更文件名，甚至隐形；或馬上自動複制到其他文件夾中，運行連用戶本身都無法運行的動作；或浏覽器自動連往奇怪或特定的網頁。
特性
⒈包含在正常程序中，當用戶執行正常程序時，啟動自身，在用戶難以察覺的情況下，完成一些危害用戶的操作，具有隐蔽性
由于木馬所從事的是"地下工作"，因此它必須隐藏起來，它會想盡一切辦法不讓你發現它。很多人對木馬和遠程控制軟件有點分不清，還是讓我們舉個例子來說吧。我們進行局域網間通訊的常用軟件PCanywhere大家一定不陌生吧?我們都知道它是一款遠程控制軟件。PCanywhere比在服務器端運行時，客戶端與服務器端連接成功後，客戶端機上會出現很醒目的提示标志；而木馬類的軟件的服務器端在運行的時候應用各種手段隐藏自己，不可能出現任何明顯的标志。木馬開發者早就想到了可能暴露木馬蹤迹的問題，把它們隐藏起來了。例如大家所熟悉木馬修改注冊表和文件以便機器在下一次啟動後仍能載入木馬程式，它不是自己生成一個啟動程序，而是依附在其他程序之中。有些木馬把服務器端和正常程序綁定成一個程序的軟件，叫做exe-binder綁定程序，可以讓人在使用綁定的程序時，木馬也入侵了系統。甚至有個别木馬程序能把它自身的exe文件和服務端的圖片文件綁定，在你看圖片的時候，木馬便侵人了你的系統。它的隐蔽性主要體現在以下兩個方面：
⑴不産生圖标
木馬雖然在你系統啟動時會自動運行，但它不會在"任務欄"中産生一個圖标，這是容易理解的，不然的話，你看到任務欄中出現一個來曆不明的圖标，你不起疑心才怪呢！
⑵木馬程序自動在任務管理器中隐藏，并以"系統服務"的方式欺騙操作系統。
⒉具有自動運行性。
木馬為了控制服務端。它必須在系統啟動時即跟随啟動，所以它必須潛人在你的啟動配置文件中，如win.ini、system.ini、winstart.bat以及啟動組等文件之中。
⒊包含具有未公開并且可能産生危險後果的功能的程序。
⒋具備自動恢複功能。
很多的木馬程序中的功能模塊巴不再由單一的文件組成，而是具有多重備份，可以相互恢複。當你删除了其中的一個，以為萬事大吉又運行了其他程序的時候，誰知它又悄然出現。像幽靈一樣，防不勝防。
⒌能自動打開特别的端口。
木馬程序潛人你的電腦之中的目的主要不是為了破壞你的系統，而是為了獲取你的系統中有用的信息，當你上網時能與遠端客戶進行通訊，這樣木馬程序就會用服務器客戶端的通訊手段把信息告訴黑客們，以便黑客們控制你的機器，或實施進一步的入侵企圖。你知道你的電腦有多少個端口?不知道吧?告訴你别吓着：根據TCP/IP協議，每台電腦可以有256乘以256個端口，也即從0到65535号"門"，但我們常用的隻有少數幾個，木馬經常利用我們不大用的這些端口進行連接，大開方便之"門"。
6、功能的特殊性。
通常的木馬功能都是十分特殊的，除了普通的文件操作以外，還有些木馬具有搜索cache中的口令、設置口令、掃描目标機器人的IP地址、進行鍵盤記錄、遠程注冊表的操作以及鎖定鼠标等功能。上面所講的遠程控制軟件當然不會有這些功能，畢竟遠程控制軟件是用來控制遠程機器，方便自己操作而已，而不是用來黑對方的機器的。
僞裝方法
⒈修改圖标
木馬服務端所用的圖标也是有講究的，木馬經常故意僞裝成了XT.HTML等你可能認為對系統沒有多少危害的文件圖标，這樣很容易誘惑你把它打開。看看，木馬是不是很狡猾?
⒉捆綁文件
這種僞裝手段是将木馬捆綁到一個安裝程序上，當安裝程序運行時，木馬在用戶毫無察覺的情況下，偷偷地進入了系統。被捆綁的文件一般是可執行文件（即EXE、COM一類的文件）。
⒊出錯顯示
有一定木馬知識的人部知道，如果打開一個文件，沒有任何反應，這很可能就是個木馬程序。木馬的設計者也意識到了這個缺陷，所以已經有木馬提供了一個叫做出錯顯示的功能。當服務端用戶打開木馬程序時，會彈出一個錯誤提示框（這當然是假的），錯誤内容可自由定義，大多會定制成一些諸如"文件已破壞，無法打開！"之類的信息，當服務端用戶信以為真時，木馬卻悄悄侵人了系統。
⒋自我銷毀
這項功能是為了彌補木馬的一個缺陷。我們知道，當服務端用戶打開含有木馬的文件後，木馬會将自己拷貝到Windows的系統文件夾中（C;wmdows或C:windowssystem目錄下）,一般來說，源木馬文件和系統文件夾中的木馬文件的大小是一樣的（捆綁文件的木馬除外），那麼，中了木馬的朋友隻要在收到的信件和下載的軟件中找到源木馬文件，然後根據源木馬的大小去系統文件夾找相同大小的文件，判斷一下哪個是木馬就行了。而木馬的自我銷毀功能是指安裝完木馬後，源木馬文件自動銷毀，這樣服務端用戶就很難找到木馬的來源，在沒有查殺木馬的工具幫助下。就很難删除木馬了。
⒌木馬更名
木馬服務端程序的命名也有很大的學問。如果不做任何修改，就使用原來的名字，誰不知道這是個木馬程序呢?所以木馬的命名也是千奇百怪，不過大多是改為和系統文件名差不多的名字，如果你對系統文件不夠了解，那可就危險了。例如有的木馬把名字改為window.exe，如果不告訴你這是木馬的話，你敢删除嗎?還有的就是更改一些後綴名，比如把dll改為dl等，不仔細看的，你會發現嗎?
種類
1、破壞型
唯一的功能就是破壞并且删除文件，可以自動的删除電腦上的DLL、INI、EXE文件。
2、密碼發送型
可以找到隐藏密碼并把它們發送到指定的信箱。有人喜歡把自己的各種密碼以文件的形式存放在計算機中，認為這樣方便；還有人喜歡用WINDOWS提供的密碼記憶功能，這樣就可以不必每次都輸入密碼了。許多黑客軟件可以尋找到這些文件，把它們送到黑客手中。也有些黑客軟件長期潛伏，記錄操作者的鍵盤操作，從中尋找有用的密碼。
在這裡提醒一下，不要認為自己在文檔中加了密碼而把重要的保密文件存在公用計算機中，那你就大錯特錯了。别有用心的人完全可以用窮舉法暴力破譯你的密碼。利用WINDOWSAPI函數EnumWindows和EnumChildWindows對當前運行的所有程序的所有窗口（包括控件）進行遍曆，通過窗口标題查找密碼輸入和出确認重新輸入窗口，通過按鈕标題查找我們應該單擊的按鈕，通過ES_PASSWORD查找我們需要鍵入的密碼窗口。向密碼輸入窗口發送WM_SETTEXT消息模拟輸入密碼，向按鈕窗口發送WM_COMMAND消息模拟單擊。在破解過程中，把密碼保存在一個文件中，以便在下一個序列的密碼再次進行窮舉或多部機器同時進行分工窮舉，直到找到密碼為止。此類程序在黑客網站上唾手可得，精通程序設計的人，完全可以自編一個。
3、遠程訪問型
最廣泛的是特洛伊馬，隻需有人運行了服務端程序，如果客戶知道了服務端的IP地址，就可以實現遠程控制。以下的程序可以實現觀察"受害者"正在幹什麼，當然這個程序完全可以用在正道上的，比如監視學生機的操作。
程序中用的UDP（UseDatagramProtocol，用戶報文協議）是因特網上廣泛采用的通信協議之一。與TCP協議不同，它是一種非連接的傳輸協議，沒有确認機制，可靠性不如TCP，但它的效率卻比TCP高，用于遠程屏幕監視還是比較适合的。它不區分服務器端和客戶端，隻區分發送端和接收端，編程上較為簡單，故選用了UDP協議。本程序中用了DELPHI提供的TNMUDP控件。
⒋鍵盤記錄木馬
這種特洛伊木馬是非常簡單的。它們隻做一件事情，就是記錄受害者的鍵盤敲擊并且在LOG文件裡查找密碼。據筆者經驗，這種特洛伊木馬随着Windows的啟動而啟動。它們有在線和離線記錄這樣的選項，顧名思義，它們分别記錄你在線和離線狀态下敲擊鍵盤時的按鍵情況。也就是說你按過什麼按鍵，下木馬的人都知道，從這些按鍵中他很容易就會得到你的密碼等有用信息，甚至是你的信用卡賬号哦！當然，對于這種類型的木馬，郵件發送功能也是必不可少的。
⒌DoS攻擊木馬
随着DoS攻擊越來越廣泛的應用，被用作DoS攻擊的木馬也越來越流行起來。當你入侵了一台機器，給他種上DoS攻擊木馬，那麼日後這台計算機就成為你DoS攻擊的最得力助手了。你控制的肉雞數量越多，你發動DoS攻擊取得成功的機率就越大。所以，這種木馬的危害不是體現在被感染計算機上，而是體現在攻擊者可以利用它來攻擊一台又一台計算機，給網絡造成很大的傷害和帶來損失。
還有一種類似DoS的木馬叫做郵件炸彈木馬，一旦機器被感染，木馬就會随機生成各種各樣主題的信件，對特定的郵箱不停地發送郵件，一直到對方癱瘓、不能接受郵件為止。
⒍代理木馬
黑客在入侵的同時掩蓋自己的足迹，謹防别人發現自己的身份是非常重要的，因此，給被控制的肉雞種上代理木馬，讓其變成攻擊者發動攻擊的跳闆就是代理木馬最重要的任務。通過代理木馬，攻擊者可以在匿名的情況下使用Telnet,ICQ,IRC等程序，從而隐蔽自己的蹤迹。
⒎FTP木馬
這種木馬可能是最簡單和古老的木馬了，它的唯一功能就是打開21端口，等待用戶連接。新FTP木馬還加上了密碼功能，這樣，隻有攻擊者本人才知道正确的密碼，從而進入對方計算機。
⒏程序殺手木馬
上面的木馬功能雖然形形色色，不過到了對方機器上要發揮自己的作用，還要過防木馬軟件這一關才行。常見的防木馬軟件有ZoneAlarm,NortonAnti-Virus等。程序殺手木馬的功能就是關閉對方機器上運行的這類程序，讓其他的木馬更好地發揮作用。
⒐反彈端口型木馬
木馬是木馬開發者在分析了防火牆的特性後發現：防火牆對于連入的鍊接往往會進行非常嚴格的過濾，但是對于連出的鍊接卻疏于防範。于是，與一般的木馬相反，反彈端口型木馬的服務端（被控制端）使用主動端口，客戶端（控制端）使用被動端口。木馬定時監測控制端的存在，發現控制端上線立即彈出端口主動連結控制端打開的主動端口；為了隐蔽起見，控制端的被動端口一般開在80，即使用戶使用掃描軟件檢查自己的端口，發現類似TCPUserIP:1026ControllerIP:80ESTABLISHED的情況，稍微疏忽一點，你就會以為是自己在浏覽網頁。
中毒症狀
木馬的植入通常是利用了操作系統的漏洞，繞過了對方的防禦措施（如防火牆）。中了特洛伊木馬程序的計算機，因為資源被占用，速度會減慢，莫名死機（死機），且用戶信息可能會被竊取，導緻數據外洩..等情況發生。
對于一些常見的木馬，如SUB7、BO2000、冰河等等，它們都是采用打開TCP端口監聽和寫入注冊表啟動等方式，使用木馬克星之類的軟件可以檢測到這些木馬，這些檢測木馬的軟件大多都是利用檢測TCP連結、注冊表等信息來判斷是否有木馬入侵，因此我們也可以通過手工來偵測木馬。
也許你會對硬盤空間莫名其妙減少500M感到習以為常，這的确算不了什麼，天知道Windows的臨時文件和那些烏七八糟的遊戲吞噬了自己多少硬盤空間。可是，還是有一些現象會讓你感到警覺，一旦你覺得你自己的電腦感染了木馬，你應該馬上用殺毒軟件檢查一下自己的計算機，然後不管結果如何，就算是殺毒軟件告訴你，你的機器沒有木馬，你也應該再親自作一次更深入的調查，确保自己機器安全。經常關注新的和出名的木馬的特性報告，這将對你診斷自己的計算機問題很有幫助。
⑴當你浏覽一個網站，彈出來一些廣告窗口是很正常的事情，可是如果你根本沒有打開浏覽器，而覽浏器突然自己打開，并且進入某個網站，那麼，你要注意。
⑵你正在操作電腦，突然一個警告框或者是詢問框彈出來，問一些你從來沒有在電腦上接觸過的問題。
⑶你的Windows系統配置老是自動莫名其妙地被更改。比如屏保顯示的文字，時間和日期，聲音大小，鼠标靈敏度，還有CD-ROM的自動運行配置。
⑷硬盤老沒緣由地讀盤，軟驅燈經常自己亮起，網絡連接及鼠标屏幕出現異常現象。
這時，最簡單的方法就是使用netstat-a命令查看。你可以通過這個命令發現所有網絡連接，如果這時有攻擊者通過木馬連接，你可以通過這些信息發現異常。通過端口掃描的方法也可以發現一些弱智的木馬，特别是一些早期的木馬，它們捆綁的端口不能更改，通過掃描這些固定的端口也可以發現木馬是否被植入。
當然，沒有上面的種種現象并不代表你就絕對安全。有些人攻擊你的機器不過是想尋找一個跳闆。做更重要的事情；可是有些人攻擊你的計算機純粹是為了好玩。對于純粹處于好玩目的的攻擊者，你可以很容易地發現攻擊的痕迹；對于那些隐藏得很深，并且想把你的機器變成一台他可以長期使用的肉雞的黑客們，你的檢查工作将變得異常艱苦并且需要你對入侵和木馬有超人的敏感度，而這些能力，都是在平常的電腦使用過程日積月累而成的。
我們還可以通過軟件來檢查系統進程來發現木馬。如利用進程管理軟件來查看進程，如果發現可疑進程就殺死它。那麼，如何知道哪個進程是可疑的呢?教你一個笨方法，有以下進程絕對是正常的：EXPLORER.EXE、KERNEL32.DLL、MPREXE.EXE、MSGSRⅥNTERNAT.EXE、32.EXE、SPOOL32.EXEIEXPLORE.EXE（如果打開了IE），而出現了其他的、你沒有運行的程序的進程就很可疑了。一句話，具體情況具體分析。
感染措施
如果不幸你的計算機已經被木馬光臨過了，你的系統文件被黑客改得一塌糊塗，硬盤上稀裡糊塗得多出來一大堆亂七八糟的文件，很多重要的數據也可能被黑客竊取。這裡給你提供3條建議，希望可以幫助你：
⑴所有的賬号和密碼都要馬上更改，例如撥号連接，ICQ,mIRC,FTP，你的個人站點，免費郵箱等等，凡是需要密碼的地方，你都要把密碼盡快改過來。
⑵删掉所有你硬盤上原來沒有的東西。
⑶檢查一次硬盤上是否有病毒存在。
安全策略
當木馬悄悄打開某扇“方便之門”（端口）時，不速之客就會神不知鬼不覺地侵入你的電腦。如果被種下木馬其實也不必擔心，首先我們要切斷它們與外界的聯系（就是堵住可疑端口）。
在Win2000/XP/2003系統中，Microsoft管理控制台（MMC）已将系統的配置功能彙集成配置模塊，大大方便我們進行特殊的設置（以Telnet利用的23端口為例，筆者的操作系統為WinXP）。
操作步驟
首先單擊“運行”在框中輸入“mmc”後回車，會彈出“控制台1”的窗口。我們依次選擇“文件→添加/删除管理單元→在獨立标簽欄中點擊‘添加’→IP安全策略管理”，最後按提示完成操作。這時，我們已把“IP安全策略，在本地計算機”（以下簡稱“IP安全策略”）添加到“控制台根節點”下。
雙擊“IP安全策略”就可以新建一個管理規則了。右擊“IP安全策略”，在彈出的快捷菜單中選擇“創建IP安全策略”，打開IP安全策略向導，點擊“下一步→名稱默認為‘新IP安全策略’→下一步→不必選擇‘激活默認響應規則’”（注意：在點擊“下一步的同時，需要确認此時“編輯屬性”被選中），然後選擇“完成→在“新IP安全策略屬性→添加→不必選擇‘使用添加向導’”。
在尋址欄的源地址應選擇“任何IP地址”，目标地址選擇“我的IP地址”（不必選擇鏡像）。在協議标簽欄中，注意類型應為TCP，并設置IP協議端口從任意端口到此端口23，最後點擊“确定”即可。這時在“IP篩選器列表”中會出現一個“新IP篩選器”，選中它，切換到“篩選器操作”标簽欄，依次點擊“添加→名稱默認為‘新篩選器操作’→添加→阻止→完成”。
新策略需要被激活才能起作用，具體方法是：在“新IP安全策略”上點右鍵，“指派”剛才制定的策略。
效果
當我們從另一台電腦Telnet到設防的這一台時，系統會報告登錄失敗；用掃描工具掃描這台機子，會發現23端口仍然在提供服務。以同樣的方法，大家可以把其它任何可疑的端口都封殺掉，讓不速之客們大叫“不妙”去吧！
教您手工輕松清除隐藏在電腦裡的病毒和木馬
上網的朋友越來越多了，其中有一點不可避免的就是如何防範和查殺病毒和惡意攻擊程序了。但是，如果不小心中了病毒而身邊又沒有殺毒軟件怎麼辦?沒有關系，今天我就來教大家怎樣輕松地手工清除藏在電腦裡的病毒和木馬。
檢查注冊表
注冊表一直都是很多木馬和病毒“青睐”的寄生場所，注意在檢查注冊表之前要先給注冊表備份。
1、檢查注冊表中HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun和HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunserveice，查看鍵值中有沒有自己不熟悉的自動啟動文件，擴展名一般為EXE，然後記住木馬程序的文件名，再在整個注冊表中搜索，凡是看到了一樣的文件名的鍵值就要删除，接着到電腦中找到木馬文件的藏身地将其徹底删除?比如“愛蟲”病毒會修改上面所提的第一項，BO2000木馬會修改上面所提的第二項）。
2、檢查注冊表HKEY_LOCAL_MACHINE和HKEY_CURRENT_USERSOFTWAREMicrosoftInternetExplorerMain中的幾項（如LocalPage），如果發現鍵值被修改了，隻要根據你的判斷改回去就行了。惡意代碼（如“萬花谷”）就經常修改這幾項。
3、檢查HKEY_CLASSES_ROOTinifileshellopencommand和HKEY_CLASSES_ROOTtxtfileshellopencommand等等幾個常用文件類型的默認打開程序是否被更改。這個一定要改回來，很多病毒就是通過修改.txt、.ini等的默認打開程序而清除不了的。例如“羅密歐與朱麗葉”?BleBla病毒就修改了很多文件（包括.jpg、.rar、.mp3等）的默認打開程序。
檢查文件
其實檢查系統配置文件最好的方法是打開Windows“系統配置實用程序”（從開始菜單運行msconfig.exe），在裡面你可以配置Config.sys、Autoexec.bat、system.ini和win.ini，并且可以選擇啟動系統的時間。
1、檢查win.ini文件（在C?windows下），打開後，在?WINDOWS?下面，“run=”和“load=”是可能加載“木馬”程序的途徑，必須仔細留心它們。在一般情況下，在它們的等号後面什麼都沒有，如果發現後面跟有路徑與文件名不是你熟悉的啟動文件，你的計算機就可能中上“木馬”了。比如攻擊QQ的“GOP木馬”就會在這裡留下痕迹。
2、檢查system.ini文件（在C:windows下），在BOOT下面有個“shell=文件名”。正确的文件名應該是“explorer.exe”，如果不是“explorer.exe”，而是“shell=explorer.exe程序名”，那麼後面跟着的那個程序就是“木馬”程序，然後你就要在硬盤找到這個程序并将其删除了。這類的病毒很多，比如“尼姆達”病毒就會把該項修改為“shell=explorer.exeload.exe-dontrunold”。
清除木馬
用BT下載了一個格鬥遊戲，運行安裝程序後沒有任何反應。起初，筆者以為是安裝程序已經損壞就順手給删掉了，沒有特别留意。但第二天開機時，金山毒霸突然無法加載。由于以前也有過類似的經曆，所以筆者感覺昨天下載的那個格鬥遊戲多半捆綁了木馬。
為了安全起見，筆者立刻斷掉了網絡連接，然後打開“Windows任務管理器”，經過排除找到了名為“sprite.exe”的可疑進程。結束該進程後金山毒霸就可以正常運行了，但仍然無法查出木馬的所在。利用Windows自帶的搜索功能搜索“sprite.exe”，選擇包括隐藏文件，也隻搜到文件“sprite.exe”。正要删除時，筆者突發奇想：木馬通常進駐内存時都會自動生成一些輔助文件，何不利用Windows自帶的查看文件屬性功能達到一勞永逸的目的?說幹就幹，找到文件“sprite.exe”用右鍵點擊，在彈出的對話框中選擇“屬性”，電腦顯示該文件創建于2003年10月9日18:08:19。點擊“開始→高級搜索”，将文件創建日期設定為10月9日，搜索……在搜索結果中找到兩個創建時間為2003年10月9日18:08:19的文件：“Hiddukel.exe”和“Hiddukel.dll”（大小分别為71KB和15KB），一并删除，大功告成。
後來筆者從網上了解到這種木馬叫做“妖精”。最新版本的殺毒軟件和防火牆均不能清除這種木馬。以下是手工清除此木馬的方法：
⒈打開注冊表編輯器，找到“HKEY_CLASSES_ROOTexefileshellopencommand”下的“C:WindowsSystemHiddukel.exe”鍵值和“HKEY_LOCAL_MACHINESoftwareCLASSESexefileshellopencommand”下的“C:WindowsSystemHiddukel.exe”鍵值後，将它們删除；
⒉打開C:WindowsSystem目錄，找到Hiddukel.exe（71KB）和Hiddukel.dll（15KB）兩個文件後，将它們删除；
⒊查找你的電腦裡是否有Sprite.exe（132KB）或者crawler.exe（131KB），如果有的話也要徹底将它們删除。
木馬多數都會在進駐内存時自動生成一些動态鍊接文件。筆者介紹的這種利用查看文件創建時間進行文件搜索的方法，有些時候是很好用的，感興趣的朋友不妨試試（對于經常安裝遊戲和軟件的玩家可能不适用）。
騙取執行方法
1、冒充為圖像文件n首先，黑客最常使用騙别人執行木馬的方法，就是将特洛伊木馬說成為圖像文件，比如說是照片等，應該說這是一個最不合邏輯的方法，但卻是最多人中招的方法，有效而又實用。n隻要入侵者扮成美眉及更改服務器程序的文件名（例如sam.exe）為“類似”圖像文件的名稱，再假裝傳送照片給受害者，受害者就會立刻執行它。為甚麼說這是一個不合邏輯的方法呢？圖像文件的擴展名根本就不可能是exe，而木馬程序的擴展名基本上又必定是exe，明眼人一看就會知道有問題，多數人在接收時一看見是exe文件，便不會接收了，那有什麼方法呢?其實方法很簡單，他隻要把文件名改變，例如把“sam.exe”更改為“sam.jpg”，那麼在傳送時，對方隻會看見sam.jpg了，而到達對方電腦時，因為windows默認值是不顯示擴展名的，所以很多人都不會注意到擴展名這個問題，而恰好你的計算機又是設定為隐藏擴展名的話，那麼你看到的隻是sam.jpg了，受騙也就在所難免了！n還有一個問題就是，木馬本身是沒有圖标的，而在電腦中它會顯示一個windows預設的圖标，别人一看便會知道了！但入侵者還是有辦法的，這就是給文件換個“馬甲”，即修改文件圖标。n修改文件圖标的方法如下：n⑴下載一個名為IconForge的軟件，再進行安裝。n⑵執行程序，按下File>Openn⑶在FileType選擇exe類n⑷在File>Open中載入預先制作好的圖标（可以用繪圖軟件或專門制作icon的軟件制作，也可以在網上找找）。n⑸然後按下File>Save便可以了。n如此這般最後得出的，便是看似jpg或其他圖片格式的木馬了，很多人就會不經意間執行了它。
n2、合并程序欺騙n通常有經驗的用戶，是不會将圖像文件和可執行文件混淆的，所以很多入侵者一不做二不休，幹脆将木馬程序說成是應用程序：反正都是以exe作為擴展名的。然後再變着花樣欺騙受害者，例如說成是新出爐的遊戲，無所不能的黑客程序等等，目地是讓受害者立刻執行它。而木馬程序執行後一般是沒有任何反應的，于是在悄無聲息中，很多受害者便以為是傳送時文件損壞了而不再理會它。n如果有更小心的用戶，上面的方法有可能會使他們的産生壞疑，所以就衍生了一些合拼程序。合拼程序是可以将兩個或以上的可執行文件（exe文件）結合為一個文件，以後祇需執行這個合拼文件，兩個可執行文件就會同時執行。如果入侵者将一個正常的可執行文件（一些小遊戲如wrap.exe)和一個木馬程序合拼，由于執行合拼文件時wrap.exe會正常執行，受害者在不知情中，背地裡木馬程序也同時執行了。而這其中最常用到的軟件就是joiner，由于它具有更大的欺騙性，使得安裝特洛伊木馬的一舉一動了無痕迹，是一件相當危險的黑客工具。讓我們來看一下它是如何運作的：n以往有不少可以把兩個程序合拼的軟件為黑客所使用，但其中大多都已被各大防毒軟件列作病毒了，而且它們有兩個突出的問題存在，這問題就是：n⑴合拼後的文件體積過大n⑵隻能合拼兩個執行文件n正因為如此，黑客們紛紛棄之轉而使用一個更簡單而功能更強的軟件，那就是Joiner了。此軟件不但把軟件合拼後的體積減少，而且可以待使用者執行後立馬就能收到一個icq的信息，告訴你對方已中招及對方的IP，更重要的是這個軟件可以把圖像文件、音頻文件與可執行文件合拼，用起來相當方便。n首先把Joiner解壓，然後執行Joiner，在程序的畫面裡，有“Firstexecutable:”及“SecondFile:”兩項，這兩行的右方都有一個文件夾圖标，分别各自選擇想合拼的文件。n下面還有一個EnableICQnotification的空格，如果選取後，當對方執行了文件時，便會收到對方的一個ICQWebMessgaer，裡面會有對方的ip，當然要在下面的ICQnumber填上欲收取信息的icq号碼。但開啟這個功能後，合拼後的文件會比較大。n最後便按下“Join”，在Joiner的文件夾裡，便會出現一個Result.exe的文件，文件可更改名稱，因而這種“混合體”的隐蔽性是不言而喻的。
n3、以Z-file僞裝加密程序nZ-file僞裝加密軟件是台灣華順科技的産品，其經過将文件壓縮加密之後，再以bmp圖像文件格式顯示出來（擴展名是bmp，執行後是一幅普通的圖像）。當初設計這個軟件的本意隻是用來加密數據，用以就算計算機被入侵或被非法使使用時，也不容易洩漏你的機密數據所在。不過如果到了黑客手中，卻可以變成一個入侵他人的幫兇。使用者會将木馬程序和小遊戲合拼，再用Z-file加密及将此“混合體”發給受害者，由于看上去是圖像文件，受害者往往都不以為然，打開後又隻是一般的圖片，最可怕的地方還在于就連殺毒軟件也檢測不出它内藏特洛伊木馬，甚至病毒！當打消了受害者警惕性後，再讓他用WinZip解壓縮及執行“僞裝體（比方說還有一份小禮物要送給他），這樣就可以成功地安裝了木馬程序。如果入侵者有機會能使用受害者的電腦（比如上門維修電腦），隻要事先已經發出了“混合體，則可以直接用Winzip對其進行解壓及安裝。由于上門維修是赤着手使用其電腦，受害者根本不會懷疑有什麼植入他的計算機中，而且時間并不長，30秒時間已經足夠。就算是“明晃晃”地在受害者面前操作，他也不見得會看出這一雙黑手正在幹什麼。特别值得一提的是，由于“混合體”可以躲過反病毒程序的檢測，如果其中内含的是一觸即發的病毒，那麼一經解開壓縮，後果将是不堪設想。
n4、僞裝成應用程序擴展組件n此類屬于最難識别的特洛伊木馬。黑客們通常将木馬程序寫成為任何類型的文件(例如dll、ocx等）然後挂在一個十分出名的軟件中，例如OICQ。由于OICQ本身已有一定的知名度，沒有人會懷疑它的安全性，更不會有人檢查它的文件多是否多了。而當受害者打開OICQ時，這個有問題的文件即會同時執行。此種方式相比起用合拼程序有一個更大的好處，那就是不用更改被入侵者的登錄文件，以後每當其打開OICQ時木馬程序就會同步運行，相較一般特洛伊木馬可說是“踏雪無痕”。更要命的是，此類入侵者大多也是特洛伊木馬編寫者，隻要稍加改動，就會派生出一支新木馬來，所以即使殺是毒軟件也拿它沒有絲毫辦法。n判斷方法編輯n當前最為常見的木馬通常是基于TCP/UDP協議進行client端與server端之間的通訊的，既然利用到這兩個協議，就不可避免要在server端（就是被種了木馬的機器了）打開監聽端口來等待連接。例如鼎鼎大名的冰河使用的監聽端口是7626，BackOrifice2000則是使用54320等等。那麼，我們可以利用查看本機開放端口的方法來檢查自己是否被種了木馬或其它黑客程序。以下是詳細方法介紹。n1．Windows本身自帶的netstat命令n關于netstat命令，我們先來看看windows幫助文件中的介紹：nNetstatn顯示協議統計和當前的TCP/IP網絡連接。該命令隻有在安裝了TCP/IP協議後才可以使用。nnetstat[-a][-e][-n][-s][-pprotocol][-r][interval]n參數n-an顯示所有連接和偵聽端口。服務器連接通常不顯示。n-en顯示以太網統計。該參數可以與-s選項結合使用。n-nn以數字格式顯示地址和端口号（而不是嘗試查找名稱）。n-sn顯示每個協議的統計。默認情況下，顯示TCP、UDP、ICMP和IP的統計。-p選項可以用來指定默認的子集。n-pprotocoln顯示由protocol指定的協議的連接；protocol可以是tcp或udp。如果與-s選項一同使用顯示每個協議的統計，protocol可以是tcp、udp、icmp或ip。n-rn顯示路由表的内容。nintervaln重新顯示所選的統計，在每次顯示之間暫停interval秒。按CTRL+B停止重新顯示統計。如果省略該參數，netstat将打印一次當前的配置信息。n好了，看完這些幫助文件，我們應該明白netstat命令的使用方法了。就讓我們現學現用，用這個命令看一下自己的機器開放的端口。進入到命令行下，使用netstat命令的a和n兩個參數：nC:>netstat-annActiveConnectionsnProtoLocalAddressForeignAddressStatenTCP0.0.0.0:800.0.0.0:0LISTENINGnTCP0.0.0.0:210.0.0.0:0LISTENINGnTCP0.0.0.0:76260.0.0.0:0LISTENINGnUDP0.0.0.0:4450.0.0.0:0nUDP0.0.0.0:10460.0.0.0:0nUDP0.0.0.0:10470.0.0.0:0n解釋一下，ActiveConnections是指當前本機活動連接，Proto是指連接使用的協議名稱，LocalAddress是本地計算機的IP地址和連接正在使用的端口号，ForeignAddress是連接該端口的遠程計算機的IP地址和端口号，State則是表明TCP連接的狀态，你可以看到後面三行的監聽端口是UDP協議的，所以沒有State表示的狀态。看！我的機器的7626端口已經開放，正在監聽等待連接，像這樣的情況極有可能是已經感染了冰河！急忙斷開網絡，用殺毒軟件查殺病毒是正确的做法。
n2．工作在windows2000下的命令行工具fportn
使用windows2000的朋友要比使用windows9X的幸運一些，因為可以使用fport這個程序來顯示本機開放端口與進程的對應關系。
Fport是FoundStone出品的一個用來列出系統中所有打開的TCP/IP和UDP端口，以及它們對應應用程序的完整路徑、PID标識、進程名稱等信息的軟件。在命令行下使用，請看例子：
D:>fport.exe
FPortv1.33-TCP/IPProcesstoPortMapper
Copyright2000byFoundstone,Inc.
PidProcessPortProtoPath
748tcpsvcs->7TCPC:WINNTSystem32tcpsvcs.exe
748tcpsvcs->9TCPC:WINNTSystem32tcpsvcs.exe
748tcpsvcs->19TCPC:WINNTSystem32tcpsvcs.exe
416svchost->135TCPC:WINNTsystem32svchost.exe
是不是一目了然了。這下，各個端口究竟是什麼程序打開的就都在你眼皮底下了。如果發現有某個可疑程序打開了某個可疑端口，可千萬不要大意哦，也許那就是一隻狡猾的木馬！
Fport的最新版本是2.0。在很多網站都提供下載，但是為了安全起見，當然最好還是到它的老家去下：
⒊與Fport功能類似的圖形化界面工具ActivePorts
ActivePorts為SmartLine出品，你可以用來監視電腦所有打開的TCP/IP/UDP端口，不但可以将你所有的端口顯示出來，還顯示所有端口所對應的程序所在的路徑，本地IP和遠端IP（試圖連接你的電腦IP）是否正在活動。下面是軟件截圖：
是不是很直觀？更棒的是，它還提供了一個關閉端口的功能，在你用它發現木馬開放的端口時，可以立即将端口關閉。這個軟件工作在WindowNT/2000/XP平台下。你可以在得到它。
其實使用windowsxp的用戶無須借助其它軟件即可以得到端口與進程的對應關系，因為windowsxp所帶的netstat命令比以前的版本多了一個O參數，使用這個參數就可以得出端口與進程的對應來。
上面介紹了幾種查看本機開放端口，以及端口和進程對應關系的方法，通過這些方法可以輕松的發現基于TCP/UDP協議的木馬，希望能給你的愛機帶來幫助。但是對木馬重在防範，而且如果碰上反彈端口木馬，利用驅動程序及動态鍊接庫技術制作的新木馬時，以上這些方法就很難查出木馬的痕迹了。所以我們一定要養成良好的上網習慣，不要随意運行郵件中的附件，安裝一套殺毒軟件，像國内的瑞星就是個查殺病毒和木馬的好幫手。從網上下載的軟件先用殺毒軟件檢查一遍再使用，在上網時打開網絡防火牆和病毒實時監控，保護自己的機器不被可恨的木馬入侵。
