木马的特征

5.4　木马的特征

1）隐蔽性是其首要的特征

如其他所有的病毒一样，木马也是一种病毒，它必须隐藏在你的系统之中，且会想尽一切办法不让你发现它。很多人对木马和远程控制软件区分不清，因为木马程序是在木马程序驻留目标机器后通过远程控制功能控制目标机器。实际上他们两者的最大区别就是在于这一点，举例来说，我们进行局域网间通信的常软件———PCanywhere是一款远程通信软件。PCanywhere在服务器端运行时，客户端与服务器端连接成功后，客户端机上会出现很醒目的提示标志。而木马类的软件的服务器端在运行的时候应用各种手段隐藏自己，不会出现提示。例如大家所熟悉木马修改注册表和ini文件以便机器在下一次启动后仍能载入木马程序，它不是自己生成一个启动程序，而是依附在其他程序之中。有些把服务器端和正常程序绑定成一个程序的软件，叫做exe－binder绑定程序，可以让人在使用绑定的程式时，木马也入侵了系统，甚至有个别木马程序能把它自身的exe文件和服务器端的图片文件绑定，在你看图片的时候，木马也侵入了你的系统。木马的隐蔽性主要体现在以下两个方面：

（1）不产生图标

木马虽然在系统启动时会自动运行，但它不会在任务栏中产生图标，这是容易理解的。要想在任务栏中隐藏图标，必须在木马程序开发时把“Form”的“Visible”属性设置为“False”、把“ShowintaskBar”属性设置为“Flase”即可。

（2）木马程序自动在任务管理器中隐藏，并以“系统服务”的方式欺骗操作系统。

2）木马具有自动运行性

木马是一个当你系统启动时即自动运行的程序，所以它必需潜入在你的启动配置文件中，如win.ini、system.ini、winstart.bat以及启动组等文件之中。

3）木马程序具有欺骗性

木马程序要达到其长期隐蔽的目的，就必须借助系统中已有的文件，以防被发现，它经常使用的是常见的文件名或扩展名，如“dll，winsys，explorer”等字样；或者仿制一些不易被人区别的文件名，如字母“l”与数字“1”、字母“o”与数字“0”等难以分辨的字符；更有甚者干脆就借用系统文件中已有的文件名，只不过它保存在不同路径之中。还有的木马程序为了隐藏自己，也常把自己设置成一个ZIP文件式图标，当你一不小心打开它时，它就马上运行。诸如此类的手段还在不断地研究、发掘，越来越隐蔽，越来越专业，所以有人称木马程序为“骗子程序”。

4）具备自动恢复功能

现在很多的木马程序中的功能模块已不再是由单一的文件组成，而是具有多重备份，可以相互恢复。

5）能自动打开特别的端口

木马程序潜入电脑之中的目的并不为了破坏系统，而是为了获取系统中有用的信息。因此当你上网能与远端客户进行通信时，木马程序就会用服务器／客户端的通信手段把信息告诉黑客，以便他们控制你的机器，或实施更进一步入侵的企图。根据TCP／IP协议，每台电脑可以有256乘以256扇“门”，也即从0到65 535号“门”，但我们常用的只有少数几个，因此可入侵路径很多。当然有“门”我们还是可以关上它们的，这在预防木马的有关章节中将会讲到。

6）功能的特殊性

通常木马的功能都是十分特殊的，除了普通的文件操作以外，有些木马具有搜索cache中的口令、设置口令、扫描目标机器的IP地址、进行键盘记录、远程注册表的操作以及锁定鼠标等功能，而上面所讲的远程控制软件没有此类功能，毕竟远程控制软件只是用来控制远程机器，方便自己操作而已。