文章大纲：

• 1、电脑中木马被远程控制
• 2、木马病毒----谁知道?
• 3、木马病毒怎么编程，有什么编，编程后怎么用？
• 4、木马病毒的概念及原理

电脑中木马被远程控制

推荐使用电脑管家，使用顽固木马克星进行查杀。

电脑管家温馨提示：预防电脑病毒传染无非是两种方式：一是 *** ，二是软盘与光盘。如今由于电子邮件的盛行，通过互联网传递的病毒要远远高于后者。

1、不要轻易下载小网站的软件与程序。

2、不要光顾那些很诱惑人的小网站，因为这些网站很有可能就是 *** 陷阱。

3、不要随便打开某些来路不明的E-mail与附件程序。

4、安装正版杀毒软件公司提供的防火墙，并注意时时打开着。

5、不要在线启动、阅读某些文件，否则您很有可能成为 *** 病毒的传播者。

6、经常给自己发封E-mail，看看是否会收到第二封未属标题及附带程序的邮件。

木马病毒----谁知道?

所谓的木马程式 先从名字来看 木马 取自希腊神话 特洛伊木马屠城纪 是说敌人留一只木马 而你又傻傻的把他弄进城里 杀你全家

木马程式跟木马屠城很像 都是你自己把木马(病毒)迎进家门口的 但是木马程式的种类很多 最常用的就是一些腥煽色的东西 所以来路不明的东西不要下载 在来是 木马有分很多种 最基本的是测录你的纪录 最强的是远端遥控 木马应该不算病毒 他不太会造成你系统毁损 但是你的资料会不保 资源会被占用 等等后果 而且木马程式用一般的扫毒软体无法扫掉( 诺顿 趋势)而是要另外去查询 *** 用手动的 *** 去扫掉 大概就是这样吧

PWSteal.Lemir.Gen 是对一类游戏盗密木马的统称，与一般的木马病毒不同的是这个名称并不代表著一个固定的木马，而是一类木马，并且这类木马的数目极其繁多，清除 *** 也各不相同。 以前我们曾经撰写过一篇《手工彻底清除 PWSteal.Lemir.Gen(SysModule32.DLL,SysModule64.DLL) 木马的 *** 》 的文章，用来介绍清除一个档案是 SysModule32.DLL、SysModule64.DLL 的 PWSteal.Lemir.Gen 木马，但由於许多朋友没有留意到文章前面的提示，以为 PWSteal.Lemir.Gen 指的都是同一个木马，使用这个 *** 应该是可以的，结果按照指示反覆操作也无法成功，非常失望。

一般的，当您遇到这种木马时可以先尝试用自己的防毒软体来清除它，但如果防毒软体在发现这种木马后却无法成功清除掉它，总是报告清除失败或隔离失败，那该怎麼办呢？

费尔托斯特安全是一款可以清除木马和病毒的软体，它可以清除大量的 PWSteal.Lemir.Gen 木马，如果您有它的正式版可以在升级到最新病毒码后尝试用它扫瞄清除，但这里需要特别提醒一下：由於这类木马新变种层出不穷，所以不能保证费尔托斯特安全能够识别出目前所有的或者您遇到的。 那麼除此之外难道就没有其他办法了吗？有的，下方就介绍一个借助免费工具「费尔木马强力清除助手」来清除这种顽固性 PWSteal.Lemir.Gen 木马的 *** ：

使用这个 *** 前必须要先知道这个木马的档案名是什麼。防毒软体在发现木马后一般都会报告它的完整档案名，您需要先准确的记录下这个档案名。比如：如果防毒软体提示 C:\Windows\hello.dll 是 PWSteal.Lemir.Gen 木马，则记下 C:\Windows\hello.dll 这个名子。这里需要注意档案名一定要记准确，因为有许多木马会把自己的档案名故意伪装成和正常的档案名很接近，比如 svch0st.exe(木马)-svchost.exe(正常)、Expl0rer.exe(木马)-Explorer.exe(正常)、intrenat.exe / internet.exe(木马)-internat.exe(正常)等等。特别是数位0几乎和大写字母O一样，很容易让人看错，所以一定要注意区分它们，否则万一记错将有可能把正常的档案清除掉，那就麻烦了；

暂停防毒软体的即时监控，防止在清除时被它阻止造成失败。比如如果当初是你的诺顿发现了这个木马，那麼请先暂停诺顿的即时监控或即时扫瞄；

下载费尔木马强力清除助手 ；

释放 PowerRmv.zip 到一个目录，然后执行其中的 PowerRmv.exe 启动「费尔木马强力清除助手」。在「档案名」中输入要清除的 PWSteal.Lemir.Gen 木马档案名。比如如果您在第1步中记下的档案名是 C:\Windows\hello.dll，那麼这时就输入它；

按「清除」。这时程式会询问你是否要举报此病毒到费尔安全实验室，建议点「是」表示同意。接著程式会继续提示是否确定要清除它，仍然选「是」；

之后，如果此木马被成功清除程式会提示成功；或者也可能提示此木马无法被立即删除需要重新启动电脑。无论是哪种情况请点选「确定」，这时如果您在前面同意了举报此木马那麼程式会自动创建并开启一个「病毒举报」的电子邮件，其中会包含这个木马的样本档案，如果您看到了这个邮件请把它直接传送给 virus@filseclab.com 。如果您并没有看到这封邮件也没有关系，可以忽略。

最后，如果程式前面提示了重新启动电脑后才能清除那麼请一定重新启动您的电脑，在电脑重新启动后这个木马应该就被清除掉了。

重要提示： 如果您按上面的 *** 操作之后，发现不久这个木马又出现了，并且还是同样的档案名，那麼您可以用上面的 *** 再重复执行一次，不过这次操作时请选择程式中的「抑制档案再次生成」选项， 这样清除后一般木马就很难再复活了。这个功能是最新版「费尔木马强力清除助手」中提供的，如果您的没有这个选项，请从上面的位址中重新下载一次。

注意：

「费尔木马强力清除助手」有很强的档案删除能力，清除后的档案将无法再还原，所以在清除前一定要确定档案名没有输入错误。

如果您按上面的 *** 操作后仍然不能成功清除掉木马，则可能是电脑中还存在著另外一个更主要的木马程式或备份，在它被清除后会自动从另外一处还原。这时您需要用防毒软体扫瞄出所有的这些木马，然后逐一或同时清除才行。

三、rootkit 的类型：

我们可将 rootkit 分为两大类

1.Application rootkit - 建立於应用层级

Application rootkit 是最常被拿来使用的 rootkit。攻击者以 rootkit 中的木马程式来替

换系统中正常的应用程式与系统档案。木马程式会提供后门给攻击者并隐藏其踪迹，攻击者做的

任何活动都不会储存在纪录档中。下面列举了一些攻击者可能取代的档案：

‧隐藏攻击者踪迹的程式 -

(1).ls, find, du - 木马程式可以隐藏攻击者档案、欺骗系统，让系统的档案及目录泄露讯息。

(2).ps, top, pidof - 这些程式都是程序监看程式，它们可以让攻击者在进行攻击的过程中，

隐藏攻击者本身的程序。

(3).netstat - netstat 是用来检查网路活动的连结与监听，如开放的通讯埠等等。木马程式

netstat 可以隐藏攻击者的网路活动，例如 ssh daemon 或其他服务。

(4).killall - 木马程式 killall 让管理者无法停止程序。

(5).ifconfig - 当监听软体正在执行时，木马程式 ifconfig 不会显示 PROMISC flag，这样

可以隐藏攻击者，不被监听软体察觉。

(6).crontab - 木马程式 crontab 可以隐藏攻击者的 crontab 进入情况。

(7).tcpd, syslogd - 木马程式 tcpd 与 "syslog" 不会纪录攻击者的行为。

‧后门程式 -

(1).chfn - 提升使用者的权限。执行 chfn，在输入新使用者名称时，只要输入 rootkit 密码

，就可以取得 root 的权限。

(2).chsh - 提升使用者的权限。执行 chsh，在输入新 shell 时，只要输入 rootkit 密码，

就可以取得 root 的权限。

(3).passwd - 提升使用者的权限。执行 passwd，在输入新密码时，只要输入 rootkit 密码，

就可以取得 root 的权限。

(4).login - 能够纪录任何使用者名称，包含 root 登入的密码。

(5).bd2 - 木马程式 rpcbind 允许攻击者在受害主机上执行任意程式码。

‧木马程式程式 -

(1).inetd - 木马程式 inetd 可以替攻击者打开远端登入的通讯埠，只要输入密码就可以取得

root 的权限。

(2).rshd - 替攻击者提供远端的 shell。(范例：rsh [hostname] - l [rootkit password])

(3).rsh - 透过 rsh 可以取得 root 的密码。(范例：rsh [hostname] - l [rootkit password])

(4).sshd -攻击者以特定帐号密码登入就能拥有 root shell 的权限。

‧监听程式 -

(1).linsniffer - linux 小型的监听程式。

(2).sniffchk - 这个程式可以检验与确认网路监听程式是否正在执行。

(3).le - Solaris Ethernet 封包的监听程式。

(4).snif - linux 其他封包的监听程式。

(5).sniff-10mb - 这是一个设计来监听 10mbps Ethernet 的监听程式。

(6).sniff-100mb - 这是一个设计来监听 100mbps Ethernet 的监听程式。

‧其他种类 -

(1).fix - 安装木马程式时 (例如：ls) 更改的时间戳记与检验封包值的讯息。

(2).wted - wtmp 的编辑程式。可让攻击者修改 wtmp。

(3).z2 - 移除 wtmp/utmp/lastlog。

(4).bindshell - 把 rootshell 与某个通讯埠结合在一起。(预设埠号为 31337)

(5).zap3 - 攻击者会从 wtmp, utmp, lastlog, wtmpx 和 utmpx 移除他们的踪迹。zap3 通常

根据下列目录来找寻纪录档的位置，例如 /var/log, /var/adm, /usr/adm, 与 /var/run。

木马病毒怎么编程，有什么编，编程后怎么用？

要编木马.就要学一门程序设计语言,VB可以,C语言也可以..不过JAVA.之类的就不用了.不用可视化了..

学了语言后你要有对计算机安全系统的了解

然后想出你的木马要做什么

然后设计算法.

最后代码实现就行了..

木马病毒的概念及原理

木马病毒的概念及原理

“木马”全称是“特洛伊木马(Trojan Horse)”，原指古希腊士兵藏在木马内进入敌方城市从而占领敌方城市的故事。下面是我整理的木马病毒的概念及原理，希望可以帮到你!

在Internet上，“特洛伊木马”指一些程序设计人员在其可从 *** 上 下载(Download)的应用程序或游戏中，包含了可以控制用户的计算机系统的程序，可能造成用户的系统被破坏甚至瘫痪。知道了木马名字的由来，我们该如何来应对它呢，假如电脑中了“木马”该怎么样清除?因此最关键的还是要知道“木马”的工作原理，这样就会很容易 发现“木马”。相信你看了这篇文章之后，就会成为一名查杀“木马”的高手了。

“木马”程序会想尽一切办法隐藏自己，主要途径有：在任务栏中隐藏自己，这是最基本的只要把Form的Visible属性设为False、 ShowInTaskBar设为False，程序运行时就不会出现在任务栏中了。在任务管理器中隐形：将程序设为“系统服务”可以很轻松地伪装自己。

当然它也会悄无声息地启动，你当然不会指望用户每次启动后点击“木马”图标来运行服务端，:)，“木马”会在每次用户启动时自动装载服务 端，Windows系统启动时自动加载应用程序的 *** ，“木马”都会用上，如：启动组、win.ini、system.ini、注册表等等都是“木马”藏 身的好地方。下面具体谈谈“木马”是怎样自动加载的。

在win.ini文件中，在WINDOWS下面，“run=”和“load=”是可能加载“木马”程序的途径，必须仔细留心它们。一般情况下， 它们的等号后面什么都没有，如果发现后面跟有路径与文件名不是你熟悉的启动文件，你的计算机就可能中上“木马”了。当然你也得看清楚，因为好多“木马”， 如“AOL Trojan木马”，它把自身伪装成command.exe文件，如果不注意可能不会发现它不是真正的系统启动文件。

在system.ini文件中，在BOOT下面有个“shell=文件名”。正确的文件名应该是“explorer.exe”，如果不是 “explorer.exe”，而是“shell= explorer.exe 程序名”，那么后面跟着的那个程序就是“木马”程序，就是说你已经中“木马”了。

在注册表中的情况最复杂，通过regedit命令打开注册表编辑器，在点击至：“HKEY-LOCAL-MACHINESoftware MicrosoftWindowsCurrentVersionRun”目录下，查看键值中有没有自己不熟悉的自动启动文件，扩展名为EXE，这 里切记：有的“木马”程序生成的'文件很像系统自身文件，想通过伪装蒙混过关，如“Acid Battery v1.0木马”，它将注册表“HKEY-LOCAL-MACHINESOFTWAREMicrosoftWindows CurrentVersionRun”下的Explorer 键值改为Explorer=“C:WINDOWSexpiorer.exe”，“木马”程序与真正的Explorer之间只有“i”与“l”的差别。 当然在注册表中还有很多地方都可以隐藏“木马”程序，如：“HKEY-CURRENT-USERSoftwareMicrosoftWindows CurrentVersionRun”、“HKEY-USERS****SoftwareMicrosoftWindows CurrentVersionRun”的目录下都有可能，更好的办法就是在“HKEY-LOCAL-MACHINESoftware MicrosoftWindowsCurrentVersionRun”下找到“木马”程序的文件名，再在整个注册表中搜索即可。

知道了“木马”的工作原理，查杀“木马”就变得很容易，如果发现有“木马”存在，最安全也是最有效的 *** 就是马上将计算机与 *** 断开，防止黑客 通过 *** 对你进行攻击。然后编辑win.ini文件，将WINDOWS下面，“run=“木马”程序”或“load=“木马”程序”更改为“run=”和 “load=”;编辑system.ini文件，将BOOT下面的“shell=‘木马’文件”，更改为：“shell=explorer.exe”;在 注册表中，用regedit对注册表进行编辑，先在“HKEY-LOCAL-MACHINESoftwareMicrosoftWindows CurrentVersionRun”下找到“木马”程序的文件名，再在整个注册表中搜索并替换掉“木马”程序，有时候还需注意的是：有的“木马”程 序并不是直接将“HKEY-LOCAL-MACHINESoftwareMicrosoftWindowsCurrentVersion Run”下的“木马”键值删除就行了，因为有的“木马”如：BladeRunner“木马”，如果你删除它，“木马”会立即自动加上，你需要的是记下 “木马”的名字与目录，然后退回到MS-DOS下，找到此“木马”文件并删除掉。重新启动计算机，然后再到注册表中将所有“木马”文件的键值删除。至此， 我们就大功告成了。

;