木馬采用的偽裝方法

　　1.修改圖標(biāo)

　　木馬服務(wù)端所用的圖標(biāo)也是有講究的，木馬經(jīng)常故意偽裝成了XT.HTML等你可能認(rèn)為對系統(tǒng)沒有多少危害的文件圖標(biāo)，這樣很容易誘惑你把它打開。看看，木馬是不是很狡猾?

　　2.捆綁文件

　　這種偽裝手段是將木馬捆綁到一個安裝程序上，當(dāng)安裝程序運(yùn)行時，木馬在用戶毫無察覺的情況下，偷偷地進(jìn)入了系統(tǒng)。被捆綁的文件一般是可執(zhí)行文件 (即EXE、COM一類的文件)。

　　3.出錯顯示

　　有一定木馬知識的人部知道，如果打開一個文件，沒有任何反應(yīng)，這很可能就是個木馬程序。木馬的設(shè)計(jì)者也意識到了這個缺陷，所以已經(jīng)有木馬提供了一個叫做出錯顯示的功能。當(dāng)服務(wù)端用戶打開木馬程序時，會彈出一個錯誤提示框 (這當(dāng)然是假的)，錯誤內(nèi)容可自由定義，大多會定制成一些諸如 "文件已破壞，無法打開!"之類的信息，當(dāng)服務(wù)端用戶信以為真時，木馬卻悄悄侵人了系統(tǒng)。

　　4.自我銷毀

　　這項(xiàng)功能是為了彌補(bǔ)木馬的一個缺陷。我們知道，當(dāng)服務(wù)端用戶打開含有木馬的文件后，木馬會將自己拷貝到Windows的系統(tǒng)文件夾中(C;\wmdows或C:\windows\system目錄下),一般來說，源木馬文件和系統(tǒng)文件夾中的木馬文件的大小是一樣的 (捆綁文件的木馬除外)，那么，中了木馬的朋友只要在近來收到的信件和下載的軟件中找到源木馬文件，然后根據(jù)源木馬的大小去系統(tǒng)文件夾找相同大小的文件，判斷一下哪個是木馬就行了。而木馬的自我銷毀功能是指安裝完木馬后，源木馬文件自動銷毀，這樣服務(wù)端用戶就很難找到木馬的來源，在沒有查殺木馬的工具幫助下。就很難刪除木馬了。

　　5.木馬更名

　　木馬服務(wù)端程序的命名也有很大的學(xué)問。如果不做任何修改，就使用原來的名字，誰不知道這是個木馬程序呢?所以木馬的命名也是千奇百怪，不過大多是改為和系統(tǒng)文件名差不多的名字，如果你對系統(tǒng)文件不夠了解，那可就危險了。例如有的木馬把名字改為window.exe，如果不告訴你這是木馬的話，你敢刪除嗎?還有的就是更改一些后綴名，比如把dll改為dl等，不仔細(xì)看的，你會發(fā)現(xiàn)嗎?

　　木馬的種類

　　1、破壞型

　　惟一的功能就是破壞并且刪除文件，可以自動的刪除電腦上的DLL、INI、EXE文件。

　2、密碼發(fā)送型

　　可以找到隱藏密碼并把它們發(fā)送到指定的信箱。有人喜歡把自己的各種密碼以文件的形式存放在計(jì)算機(jī)中，認(rèn)為這樣方便；還有人喜歡用WINDOWS提供的密碼記憶功能，這樣就可以不必每次都輸入密碼了。許多黑客軟件可以尋找到這些文件，把它們送到黑客手中。也有些黑客軟件長期潛伏，記錄操作者的鍵盤操作，從中尋找有用的密碼。

　　在這里提醒一下，不要認(rèn)為自己在文檔中加了密碼而把重要的保密文件存在公用計(jì)算機(jī)中，那你就大錯特錯了。別有用心的人完全可以用窮舉法暴力破譯你的密碼。利用WINDOWS API函數(shù)EnumWindows和EnumChildWindows對當(dāng)前運(yùn)行的所有程序的所有窗口（包括控件）進(jìn)行遍歷，通過窗口標(biāo)題查找密碼輸入和出確認(rèn)重新輸入窗口，通過按鈕標(biāo)題查找我們應(yīng)該單擊的按鈕，通過ES_PASSWORD查找我們需要鍵入的密碼窗口。向密碼輸入窗口發(fā)送WM_SETTEXT消息模擬輸入密碼，向按鈕窗口發(fā)送WM_COMMAND消息模擬單擊。在破解過程中，把密碼保存在一個文件中，以便在下一個序列的密碼再次進(jìn)行窮舉或多部機(jī)器同時進(jìn)行分工窮舉，直到找到密碼為止。此類程序在黑客網(wǎng)站上唾手可得，精通程序設(shè)計(jì)的人，完全可以自編一個。

　　3、遠(yuǎn)程訪問型

　　最廣泛的是特洛伊馬，只需有人運(yùn)行了服務(wù)端程序，如果客戶知道了服務(wù)端的IP地址，就可以實(shí)現(xiàn)遠(yuǎn)程控制。以下的程序可以實(shí)現(xiàn)觀察"受害者"正在干什么，當(dāng)然這個程序完全可以用在正道上的，比如監(jiān)視學(xué)生機(jī)的操作。

　　程序中用的UDP（User Datagram Protocol，用戶報(bào)文協(xié)議）是因特網(wǎng)上廣泛采用的通信協(xié)議之一。與TCP協(xié)議不同，它是一種非連接的傳輸協(xié)議，沒有確認(rèn)機(jī)制，可靠性不如TCP，但它的效率卻比TCP高，用于遠(yuǎn)程屏幕監(jiān)視還是比較適合的。它不區(qū)分服務(wù)器端和客戶端，只區(qū)分發(fā)送端和接收端，編程上較為簡單，故選用了UDP協(xié)議。本程序中用了DELPHI提供的TNMUDP控件。

　　4.鍵盤記錄木馬

　　這種特洛伊木馬是非常簡單的。它們只做一件事情，就是記錄受害者的鍵盤敲擊并且在LOG文件里查找密碼。據(jù)筆者經(jīng)驗(yàn)，這種特洛伊木馬隨著Windows的啟動而啟動。它們有在線和離線記錄這樣的選項(xiàng)，顧名思義，它們分別記錄你在線和離線狀態(tài)下敲擊鍵盤時的按鍵情況。也就是說你按過什么按鍵，下木馬的人都知道，從這些按鍵中他很容易就會得到你的密碼等有用信息，甚至是你的信用卡賬號哦!當(dāng)然，對于這種類型的木馬，郵件發(fā)送功能也是必不可少的。