文章大纲：

• 1、木马病毒的主要特征是
• 2、木马病毒的特征
• 3、木马有什么特点？
• 4、什么是木马，它都有些什么特性，我该怎么识别它，

木马病毒的主要特征是

计算机木马的主要特征包括隐蔽性、自动运行性、欺骗性、自动恢复、自动打开端口五种木马程序。

隐蔽性:隐蔽性是指木马必须隐藏在目标计算机中，以免被用户发现。

自动运行性:木马的自动运行性是指木马会随着计算机系统的启动而自动启动，所以木马必须潜入计算机的启动配置文件中，如启动组或者系统进程。

欺骗性:木马之所以具有欺骗性，是为了防止一眼就被计算机用户认出。

自动恢复:木马的自动恢复是指当木马的某一功能模块丢失时，它能够自动恢复成丢失之前的状态。

自动打开端口:木马潜入目标计算机的目的不是为了破坏文件，即使为了获取目标计算机中的有用信息，因此就需要保证能与目标计算机进行通信。

木马病毒的特征

木马的基本特征

木马是病毒的一种，同时木马程序又有许多种不同的种类，那是受不同的人、不同时期开发来区别的，如BackOrifice(BO)、BackOrifice2000、Netspy、Picture、Netbus、Asylum、冰河等等这些都属于木马病毒种类。综合现在流行的木马程序，它们都有以下基本特征：

1、隐蔽性是其首要的特征

如其它所有的病毒一样，木马也是一种病毒，它必需隐藏在你的系统之中，它会想尽一切办法不让你发现它。很多人的对木马和远程控制软件有点分不清，因为我前面讲了木马程序就要通过木马程序驻留目标机器后通过远程控制功能控制目标机器。实际上他们两者的更大区别就是在于这一点，举个例子来说吧，象我们进行局域网间通讯的常软件——PCanywhere大家一定不陌生吧，大家也知道它是一款远程通讯软件。PCanwhere在服务器端运行时，客户端与服务器端连接成功后客户端机上会出现很醒目的提示标志。而木马类的软件的服务器端在运行的时候应用各种手段隐藏自己,不可能还出现什么提示，这些黑客们早就想到了方方面面可能发生的迹象，把它们扼杀了。例如大家所熟悉木马修改注册表和ini文件以便机器在下一次启动后仍能载入木马程式，它不是自己生成一个启动程序，而是依附在其它程序之中。有些把服务器端和正常程序绑定成一个程序的软件,叫做exe-binder绑定程式，可以让人在使用绑定的程式时，木马也入侵了系统，甚至有个别木马程序能把它自身的exe文件和服务器端的图片文件绑定，在你看图片的时候，木马也侵入了你的系统。 它的隐蔽性主要体现在以下两个方面：

a、不产生图标

它虽然在你系统启动时会自动运行，但它不会在“任务栏”中产生一个图标，这是容易理解的，不然的话，凭你的火眼金睛你一定会发现它的。我们知道要想在任务栏中隐藏图标，只需要在木马程序开发时把“Form”的“Visible ”属性设置为“False”、把“ShowintaskBar”属性设置为“Flase”即可；

b、木马程序自动在任务管理器中隐藏，并以“系统服务”的方式欺骗操作系统。

2、它具有自动运行性

它是一个当你系统启动时即自动运行的程序，所以它必需潜入在你的启动配置文件中，如win.ini、system.ini、winstart.bat以及启动组等文件之中。

3、木马程序具有欺骗性

木马程序要达到其长期隐蔽的目的，就必需借助系统中已有的文件，以防被你发现，它经常使用的是常见的文件名或扩展名，如“dll\win\sys\explorer等字样，或者仿制一些不易被人区别的文件名，如字母“l”与数字“1”、字母“o”与数字“0”，常修改基本个文件中的这些难以分辨的字符，更有甚者干脆就借用系统文件中已有的文件名，只不过它保存在不同路径之中。还有的木马程序为了隐藏自己，也常把自己设置成一个ZIP文件式图标，当你一不小心打开它时，它就马上运行。等等这些手段那些编制木马程序的人还在不断地研究、发掘，总之是越来越隐蔽，越来越专业，所以有人称木马程序为“骗子程序”。

4、具备自动恢复功能

现在很多的木马程序中的功能模块已不再是由单一的文件组成，而是具有多重备份，可以相互恢复。

5、能自动打开特别的端口

木马程序潜入人的电脑之中的目的不主要为了破坏你的系统，更是为了获取你的系统中有用的信息，这样就必需当你上网时能与远端客户进行通讯，这样木马程序就会用服务器/客户端的通讯手段把信息告诉黑客们，以便黑客们控制你的机器，或实施更加进一步入侵企图。你知不知道你的电脑有多少个对外的“门”，不知道吧，告诉你别吓着，根据TCP/IP协议，每台电脑可以有256乘以256扇门，也即从0到65535号“门，但我们常用的只有少数几个，你想有这么门可以进，还能进不来？当然有门我们还是可以关上它们的，这我在预防木马的办法中将会讲到。

6、 功能的特殊性

通常的木马的功能都是十分特殊的，除了普通的文件操作以外，还有些木马具有搜索cache中的口令、设置口令、扫描目标机器人的IP地址、进行键盘记录、远程注册表的操作、以及锁定鼠标等功能,上面所讲的远程控制软件的功能当然不会有的，毕竟远程控制软件是用来控制远程机器，方便自己操作而已，而不是用来黑对方的机器的。

7、黑客组织趋于公开化

以往还从未发现有什么公开化的病毒组织（也许是我孤陋寡闻），多数病毒是由个别人出于好奇（当然也有专门从事这一职业的），想试一下自己的病毒程序开发水平而做的，但他（她）绝对不敢公开，因为一旦发现是有可能被判坐牢或罚款的，这样的例子已不再什么新闻了。如果以前真的也有专门开发病毒的病毒组织，但应绝对是属于“地下”的。现在倒好，什么专门开发木马程序的组织到处都是，不光存在，而且还公开在网上大肆招兵买马，似乎已经合法化。正因如此所以黑客程序不断升级、层出不穷，黑的手段也越来越高明。我不知道为什么，但据讲其理由是“为了自卫、为了爱国” 。

木马入侵的常用手法及清除 ***

木马有什么特点？

木马是病毒的一种，同时木马程序又有许多种不同的种类，那是受不同的人、不同时期开发来区别的，如BackOrifice(BO)、BackOrifice2000、Netspy、Picture、Netbus、Asylum、冰河等等这些都属于木马病毒种类。综合现在流行的木马程序，它们都有以下基本特征：

1、隐蔽性是其首要的特征

2、它具有自动运行性

3、木马程序具有欺骗性

4、具备自动恢复功能

5、能自动打开特别的端口

6、 功能的特殊性

7、黑客组织趋于公开化

建议你使用腾讯电脑管家来进行查杀

因为腾讯电脑管家是4+1杀毒引擎，管家反病毒引擎、金山云查杀引擎、小红伞本地查杀引擎和管家云引擎，新版本在此基础上启用了管家系统修复引擎，重点加强了“云安全”平台的建设和自研引擎的研发能力，也属国内首例采用“4+1”核“芯”杀毒引擎架构的。 所以杀毒能力是很强悍的，可以信赖！

什么是木马，它都有些什么特性，我该怎么识别它，

IT168

对于木马，我们大家基本都听说过，但怎样识别木马、怎样避免自己的机子被种植木马以及怎样清除种植了的木马对有些朋友来说也许就比较陌生了。下面我们就围绕这几点进行一些介绍。

一：通过病

毒名称识别木马

世界上那么多的病毒，反病毒公司为了方便管理，他们会按照病毒的特性，将病毒进行分类命名。虽然每个反病毒公司的命名规则都不太一样，但大体都是采用一个统一的命名 *** 来命名的。一般格式为：病毒前缀.病毒名.病毒后缀 。

木马、黑客病毒往往是成对出现的，即木马病毒负责侵入用户的电脑，而黑客病毒则会通过该木马病毒来进行控制。现在这两种类型都越来越趋向于整合了。木马病毒其前缀是：Trojan，黑客病毒前缀名一般为 Hack 。木马病毒的公有特性是通过 *** 或者系统漏洞进入用户的系统并隐藏，然后向外界泄露用户的信息，而黑客病毒则有一个可视的界面，能对用户的电脑进行远程控制。一般的木马如 *** 消息尾巴木马 Trojan. *** 3344 ，还有大家可能遇见比较多的针对 *** 游戏的木马病毒如 Trojan.LMir.PSW.60 。这里补充一点，病毒名中有PSW或者什么PWD之类的一般都表示这个病毒有盗取密码的功能(这些字母一般都为“密码”的英文“password”的缩写)，一些黑客程序如： *** 枭雄(Hack.Nether.Client)等。

二：了解木马种植方式才能防止别人种植木马

目前常见的木马种植方式有以下几种：

1.网吧种植

这个似乎在以前很流行，先关闭网吧的放火墙，再安装木马客户端，立刻结帐下机，注意，重点是不要重起机器，因为现在网吧都有还原精灵，所以在不关机器的情况下，木马是不会给发现的。因此，在网吧上网，首先要重起机器，其次看看杀毒软件有没有打开。最后建议，不要在网吧打开有重要密码的东西，如 *** 银行等。毕竟现在木马客户端躲避防火墙的能力很强，其次是还存在其他的病毒。

2.通讯软件传送

发一条消息给你，说，“这个我的照片哦，快看看。”当你接受并打开的时候，你已经中了木马了。（此时，你打开的文件好象“没有任何反应”）“她”可能接着说说：“呀，发错了。再见。”防御：不要轻易接受别人传的东西，其次是打开前要用杀毒软件查毒。

3.恐怖的捆绑

捆绑软件现在很多，具体使用就是把木马客户端和一个其他文件捆绑在一起（拿JPG图象为例），你看到的文件可能是.jpg，图标也是正常（第2条直接传的木马客户端是个windows无法识别文件的图标，比较好认），特别是现在有些捆绑软件对捆绑过后的软件进行优化，杀毒软件很难识别其中是否包含木马程序。建议：不要打开陌生人传递的文件。特别是图象文件。

4.高深的编译

对木马客户程序进行编译。让木马更加难以识别。

5.微妙的网页嵌入

将木马安装在自己的主页里面，当你打开页面就自动下载运行。“你中奖了，请去www.**.com领取你的奖品”，黑客可能这么和你说。建议：陌生人提供的网页不要打开，不要去很奇怪名字的网站。及时升级杀毒软件。

对于木马，我们大家基本都听说过，但怎样识别木马、怎样避免自己的机子被种植木马以及怎样清除种植了的木马对有些朋友来说也许就比较陌生了。下面我们就围绕这几点进行一些介绍。

一：通过病毒名称识别木马

世界上那么多的病毒，反病毒公司为了方便管理，他们会按照病毒的特性，将病毒进行分类命名。虽然每个反病毒公司的命名规则都不太一样，但大体都是采用一个统一的命名 *** 来命名的。一般格式为：病毒前缀.病毒名.病毒后缀 。

木马、黑客病毒往往是成对出现的，即木马病毒负责侵入用户的电脑，而黑客病毒则会通过该木马病毒来进行控制。现在这两种类型都越来越趋向于整合了。木马病毒其前缀是：Trojan，黑客病毒前缀名一般为 Hack 。木马病毒的公有特性是通过 *** 或者系统漏洞进入用户的系统并隐藏，然后向外界泄露用户的信息，而黑客病毒则有一个可视的界面，能对用户的电脑进行远程控制。一般的木马如 *** 消息尾巴木马 Trojan. *** 3344 ，还有大家可能遇见比较多的针对 *** 游戏的木马病毒如 Trojan.LMir.PSW.60 。这里补充一点，病毒名中有PSW或者什么PWD之类的一般都表示这个病毒有盗取密码的功能(这些字母一般都为“密码”的英文“password”的缩写)，一些黑客程序如： *** 枭雄(Hack.Nether.Client)等。

二：了解木马种植方式才能防止别人种植木马

目前常见的木马种植方式有以下几种：

1.网吧种植

这个似乎在以前很流行，先关闭网吧的放火墙，再安装木马客户端，立刻结帐下机，注意，重点是不要重起机器，因为现在网吧都有还原精灵，所以在不关机器的情况下，木马是不会给发现的。因此，在网吧上网，首先要重起机器，其次看看杀毒软件有没有打开。最后建议，不要在网吧打开有重要密码的东西，如 *** 银行等。毕竟现在木马客户端躲避防火墙的能力很强，其次是还存在其他的病毒。

2.通讯软件传送

发一条消息给你，说，“这个我的照片哦，快看看。”当你接受并打开的时候，你已经中了木马了。（此时，你打开的文件好象“没有任何反应”）“她”可能接着说说：“呀，发错了。再见。”防御：不要轻易接受别人传的东西，其次是打开前要用杀毒软件查毒。

3.恐怖的捆绑

捆绑软件现在很多，具体使用就是把木马客户端和一个其他文件捆绑在一起（拿JPG图象为例），你看到的文件可能是.jpg，图标也是正常（第2条直接传的木马客户端是个windows无法识别文件的图标，比较好认），特别是现在有些捆绑软件对捆绑过后的软件进行优化，杀毒软件很难识别其中是否包含木马程序。建议：不要打开陌生人传递的文件。特别是图象文件。

4.高深的编译

对木马客户程序进行编译。让木马更加难以识别。

5.微妙的网页嵌入

将木马安装在自己的主页里面，当你打开页面就自动下载运行。“你中奖了，请去www.**.com领取你的奖品”，黑客可能这么和你说。建议：陌生人提供的网页不要打开，不要去很奇怪名字的网站。及时升级杀毒软件。

三：电脑被种植了木马的症状

在使用计算机的过程中如果您发现以下现象，则很有可能是被种植了“木马”：

a. 计算机反应速度明显变慢

b. 硬盘在不停地读写

c.键盘、鼠标不受控制

d.一些窗口被无缘无故地关闭

e.莫名其妙地打开新窗口

f. *** 传输指示灯一直在闪烁

g.没有运行大的程序而系统却越来越慢

h.系统资源占用很多

i运行了某个程序没有反映(此类程序一般不大，从十几k到几百k都有)

j.在关闭某个程序时防火墙探测到有邮件发出

k.密码突然被改变，或者他人得知您的密码或私人信息

l.文件无故丢失，数据被无故删改

四：几种常见木马的清除 ***

一旦我们的电脑被种植了木马，我们应选择一款针对木马的杀毒软件进行清除，同时，我们也可以手工清除木马程序。下面我们介绍几种常见木马的手工清除 *** ，通过手工清除木马的介绍，我们可以对木马有一个更好的了解。

1，洛伊木马TROJ_QAZ.A

1、单击“开始│运行” 键入：Regedit，按Enter键

2、找到注册键：

HKEY_LOCAL_MACHIN/Software/Microsoft/Windows/CurrentVersion/Run

3、在右边的窗口中，找出任何包含下列数据的注册键值： startIE=XXXXNotepad.exe

4、在右边的窗口中，选中该键值，按删除键后再选是，删除该值。 退出注册表修改。 单击 “开始│关闭系统”，选择“重启动”后单击“是”。

5、重命名Note.com为Notepad.exe。

2，冰河v1.1 v2.2

这是国产更好的木马 作者：Snokebin

1.清除木马v1.1

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

查找以下的两个路径，并删除

" C:\windows\system\ kernel32.exe"

" C:\windows\system\ sysexplr.exe"

关闭Regedit

重新启动到MSDOS方式

删除C:\windows\system\ kernel32.exe和C:\windows\system\ sysexplr.exe木马程序

重新启动。

2.清除木马v2.2

服务器程序、路径用户是可以随意定义，写入注册表的键名也可以自己定义。

因此，不能明确说明。

你可以察看注册表，把可疑的文件路径删除。

重新启动到MSDOS方式

删除于注册表相对应的木马程序

重新启动Windows。

3，Trojan. *** 3344

1．在运行中输入MSconfig，如果启动项中有“Sendmess.exe”和“wwwo.exe”这两个选项，将其禁止。在C：\WINDOWS一个叫qq32.INI的文件，文件里面是附在 *** 后的那几句广告词，将其删除。转到DOS下再将“Sendmess.exe”和“wwwo.exe”这两个文件删除。

2．随时升级杀毒软件。

3．安装系统漏洞补丁

由病毒的播方式我们知道，“ *** 尾巴”这种木马病毒是利用IE的iFrame传播的，即使不执行病毒文件，病毒依然可以借由漏洞自动执行，达到感染的目的。因此应该敢快下载IE的iFrame漏洞补丁。

iFrame漏洞补丁地址：

五：对木马绑定文件的剥离 ***

当我们需要的一款文件被发现绑定了木马程序，而我们又需要这款原文件时，我们可以采取下面的 *** 进行文件剥离。

之一步：用UltraEdit的十六进制方式打开绑定程序，选中第二个MZ到第三个MZ之间的内容(即第二个文件)，将该部分复制。然后新建一个文件，粘贴，保存为EXE文件。

第二步：选中第三个MZ至文件末尾之间的内容(即第三个文件)，同样复制，新建文件后粘贴、保存为EXE文件。

第三步：现在你要通过检查两个文件的图标及大小来判断哪个文件是所需的正常程序。一般来说，所需程序文件与捆绑后的图标一致，且文件体积较大的那个文件就是我们所要的原文件。

六：总结

防范木马首先应在自己的电脑中安装一款合适的防杀病毒软件并及时升级，同时在日常工作中不要打开未知文件以及陌生人传来的文件，不要随便打开陌生网页，升级最新版本的操作系统。