常見的木馬破壞方式及偽裝方法

木馬破壞方式

　　1.修改圖示

　　木馬服務端所用的圖示也是有講究的，木馬經常故意偽裝成了XT.HTML等你可能認為對系統沒有多少危害的檔案圖示，這樣很容易誘惑你把它開啟。看看，木馬是不是很狡猾?

　　2.捆綁檔案

　　這種偽裝手段是將木馬捆綁到一個安裝程式上，當安裝程式執行時，木馬在使用者毫無察覺的情況下，偷偷地進入了系統。被捆綁的檔案一般是可執行檔案 ***即EXE、COM一類的檔案***。

　　3.出錯顯示

　　有一定木馬知識的人都知道，如果開啟一個檔案，沒有任何反應，這很可能就是個木馬程式。木馬的設計者也意識到了這個缺陷，所以已經有木馬提供了一個叫做出錯顯示的功能。當服務端使用者開啟木馬程式時，會彈出一個錯誤提示框 ***這當然是假的***，錯誤內容可自由定義，大多會定製成一些諸如 "檔案已破壞，無法開啟!"之類的資訊，當服務端使用者信以為真時，木馬卻悄悄侵入了系統。

　　4.自我銷燬

　　這項功能是為了彌補木馬的一個缺陷。我們知道，當服務端使用者開啟含有木馬的檔案後，木馬會將自己拷貝到Windows的系統資料夾中***C:windows或 C:windowssystem目錄下***,一般來說，源木馬檔案和系統資料夾中的木馬檔案的大小是一樣的 ***捆綁檔案的木馬除外***，那麼，中了木馬的朋友只要在近來收到的信件和下載的軟體中找到源木馬檔案，然後根據源木馬的大小去系統資料夾找相同大小的檔案，判斷一下哪個是木馬就行了。而木馬的自我銷燬功能是指安裝完木馬後，源木馬檔案自動銷燬，這樣服務端使用者就很難找到木馬的來源，在沒有查殺木馬的工具幫助下。就很難刪除木馬了。

　　5.木馬更名

　　木馬服務端程式的命名也有很大的學問。如果不做任何修改，就使用原來的名字，誰不知道這是個木馬程式呢?所以木馬的命名也是千奇百怪，不過大多是改為和系統檔名差不多的名字，如果你對系統檔案不夠了解，那可就危險了。例如有的木馬把名字改為window.exe，如果不告訴你這是木馬的話，你敢刪除嗎?還有的就是更改一些字尾名，比如把dll改為dl等，不仔細看的，你會發現嗎?

　　木馬的種類

　　1、破壞型

　　惟一的功能就是破壞並且刪除檔案，可以自動的刪除電腦上的DLL、INI、EXE檔案。

　　2、密碼傳送型

　　可以找到隱藏密碼並把它們傳送到指定的信箱。有人喜歡把自己的各種密碼以檔案的形式存放在計算機中，認為這樣方便；還有人喜歡用WINDOWS 提供的密碼記憶功能，這樣就可以不必每次都輸入密碼了。許多黑客軟體可以尋找到這些檔案，把它們送到黑客手中。也有些黑客軟體長期潛伏，記錄操作者的鍵盤操作，從中尋找有用的密碼。

　　在這裡提醒一下，不要認為自己在文件中加了密碼而把重要的保密檔案存在公用計算機中，那你就大錯特錯了。別有用心的人完全可以用窮舉法暴力破譯你的密碼。利用WINDOWS API函式EnumWindows和EnumChildWindows對當前執行的所有程式的所有視窗（包括控制元件）進行遍歷，通過視窗標題查詢密碼輸入和出確認重新輸入視窗，通過按鈕標題查詢我們應該單擊的按鈕，通過ES_PASSWORD查詢我們需要鍵入的密碼視窗。向密碼輸入視窗傳送 WM_SETTEXT訊息模擬輸入密碼，向按鈕視窗傳送WM_COMMAND訊息模擬單擊。在破解過程中，把密碼儲存在一個檔案中，以便在下一個序列的密碼再次進行窮舉或多部機器同時進行分工窮舉，直到找到密碼為止。此類程式在黑客網站上唾手可得，精通程式設計的人，完全可以自編一個

3、遠端訪問型

　　最廣泛的是特洛伊馬，只需有人運行了服務端程式，如果客戶知道了服務端的IP地址，就可以實現遠端控制。以下的程式可以實現觀察"受害者"正在幹什麼，當然這個程式完全可以用在正道上的，比如監視學生機的操作。

　　程式中用的UDP（User Datagram Protocol，使用者報文協議）是因特網上廣泛採用的通訊協議之一。與TCP協議不同，它是一種非連線的傳輸協議，沒有確認機制，可靠性不如TCP，但它的效率卻比TCP高，用於遠端螢幕監視還是比較適合的。它不區分伺服器端和客戶端，只區分發送端和接收端，程式設計上較為簡單，故選用了UDP協議。本程式中用了DELPHI提供的TNMUDP控制元件。

　　4.鍵盤記錄木馬

　　這種特洛伊木馬是非常簡單的。它們只做一件事情，就是記錄受害者的鍵盤敲擊並且在LOG檔案裡查詢密碼。據筆者經驗，這種特洛伊木馬隨著Windows的啟動而啟動。它們有線上和離線記錄這樣的選項，顧名思義，它們分別記錄你線上和離線狀態下敲擊鍵盤時的按鍵情況。也就是說你按過什麼按鍵，下木馬的人都知道，從這些按鍵中他很容易就會得到你的密碼等有用資訊，甚至是你的信用卡賬號哦!當然，對於這種型別的木馬，郵件傳送功能也是必不可少的。

　　5.DoS攻擊木馬

　　隨著DoS攻擊越來越廣泛的應用，被用作DoS攻擊的木馬也越來越流行起來。當你入侵了一臺機器，給他種上DoS攻擊木馬，那麼日後這臺計算機就成為你 DoS攻擊的最得力助手了。你控制的肉雞數量越多，你發動DoS攻擊取得成功的機率就越大。所以，這種木馬的危害不是體現在被感染計算機上，而是體現在攻擊者可以利用它來攻擊一臺又一臺計算機，給網路造成很大的傷害和帶來損失。

　　還有一種類似DoS的木馬叫做郵件炸彈木馬，一旦機器被感染，木馬就會隨機生成各種各樣主題的信件，對特定的郵箱不停地傳送郵件，一直到對方癱瘓、不能接受郵件為止。

　　6.代理木馬

　　黑客在入侵的同時掩蓋自己的足跡，謹防別人發現自己的身份是非常重要的，因此，給被控制的肉雞種上代理木馬，讓其變成攻擊者發動攻擊的跳板就是代理木馬最重要的任務。通過代理木馬，攻擊者可以在匿名的情況下使用Telnet,ICQ,IRC等程式，從而隱蔽自己的蹤跡。

　　7.FTP木馬

　　這種木馬可能是最簡單和古老的木馬了，它的惟一功能就是開啟21埠，等待使用者連線。現在新FTP木馬還加上了密碼功能，這樣，只有攻擊者本人才知道正確的密碼，從而進人對方計算機。

　　8.程式殺手木馬

　　上面的木馬功能雖然形形色色，不過到了對方機器上要發揮自己的作用，還要過防木馬軟體這一關才行。常見的防木馬軟體有很多，程式殺手木馬的功能就是關閉對方機器上執行的這類程式，讓其他的木馬更好地發揮作用。

　　9.反彈埠型木馬

　　木馬是木馬開發者在分析了防火牆的特性後發現：防火牆對於連入的連結往往會進行非常嚴格的過濾，但是對於連出的連結卻疏於防範。於是，與一般的木馬相反，反彈埠型木馬的服務端 ***被控制端***使用主動埠，客戶端 ***控制端***使用被動埠。木馬定時監測控制端的存在，發現控制端上線立即彈出埠主動連結控制端開啟的主動埠;為了隱蔽起見，控制端的被動埠一般開在 80，即使使用者使用掃描軟體檢查自己的埠，發現類似TCP