本文目录一览：
分析一个木马的步骤
近年来,随着计算机网络发展,网络安全问题日益显得尤其重要.黑客的入侵对网络安全造成了极大威胁.入侵的主要手段之一,就是使用木马技术,其破坏力之大,是绝不容忽视的.黑客是如何制造这种具有破坏力的木马程序,以及如何防范木马程序的入侵?这是本文着重要讨论的问题.本文首先从木马程序的隐藏技术、自动加载技术和通讯技术3个方面进行详细的技术分析研究,总结出木马程序的一般设计原理;其次,给出了防范木马程序入侵的一般方法.1 木马程序的隐藏技术为了避免被发现,木马程序的服务器端,多数都要进行隐藏处理.早期的木马程序所采用的隐藏技术是比较简单的,早期最简单的隐藏方法是在任务栏目里隐藏程序.到后来发展到当按下Ctrl+Alt+Delete的时候,也就看不到这个程序.现在的木马在进程隐藏方面,已做了大的改动,采用了内核插入式的嵌入方式,利用远程插入线程技术,嵌入DLL线程,或者挂接PSAPI,实现木马程序的隐藏,甚至在WindowsNT/2000下,都能达到良好的隐藏效果.1.1 在任务栏中隐形这是最基本的隐藏要求,其实现技术同样也是非常的简单.在VB中,只要把form的Visible属性设为False,将ShowInTaskBar设为False,程序就不会出现在任务栏中了.1.2 在win9x的任务管理器中隐形这只要把木马服务器端的程序注册为一个服务就可以了,这样,程序就会从任务列表中消失,因为系统不认为该程序是一个进程,当按下Ctrl+Alt+Delete的时候,也就看不到这个程序.但是,这种方法只适用于Windows9x的系统,对于WindowsNT,Windows2000等,通过服务管理器,还是可以发现在系统中注册过的服务.将程序设为/系统服务0就可以隐藏.在VB中如下的代码可以实现这一功能:1 声明部分 PublicDeclareFunctionRegister2ServiceProcessLib/kernel320(ByValProcessIDAsLong,ByValServiceFlagsAsLong)AsLongPublicDeclareFunctionGetCurrentProcessIdLib/kernel320Alias/GetCurrentProcessId0()AsLong
2 函数部分 PrivateSubFormLoad()RegisterServiceProcessGetCurrentProcessId,1(注册系统服务)EndSubPrivateSubFormUnload()RegisterServiceProcessGetCurrentProcessId,0(取消系统服务)EndSub1.3 在winNT/win2000中的任务管理器中隐形在winNT/win2000中实现进程隐藏的方法有两种:一是采用API的拦截技术;二是采用DLL技术.1 API的拦截技术 在WINDOWS系统下,可执行文件主要是Exe和Com文件,这两种文件在运行时都有一个共同点,即均会生成一个独立的进程.在Windows中有多种方法能够看到进程的存在:PSAPI(ProcessStatusAPI),PDH(PerformanceDataHelper)和ToolHelpAPI.如果能够采用API的拦截技术,通过建立一个后台的系统钩子,拦截PSAPI的EnumProcessModules等相关的函数来实现对进程和服务的遍历调用的控制,当检测到进程ID(PID)为木马程序的服务器端进程的时候直接跳过,那样就实现了进程的隐藏.如果这个进程是一个木马的服务器部分程序,则显然就是现在win9x/win2000的任务管理器中隐藏的程序.2 采用DLL技术 DLL文件是Windows的基础,因为所有的API函数都是在DLL中实现的.DLL文件没有程序逻辑,是由多个功能函数构成的,它并不能独立运行,一般都是由进程加载并调用的.因为DLL文件不能独立运行,所以,在进程列表中并不会出现.如果是一个木马DLL,并且通过别的进程来运行它,那么无论是在入侵检测软件还是进程列表中,都只会出现那个进程而并不会出现木马DLL.运行DLL文件最简单的方法是利用Rundll32.exe进行,但是很容易被识破.比较高级的方法是使用木马DLL替换常用的DLL文件,通过函数转发器将正常的调用转发给原DLL,截获并处理特定的消息.DLL木马的最佳隐藏方法是动态嵌入技术,动态嵌入技术是指将自己的代码嵌入正在运行的进程中的技术.与一般的木马不同,该技术基本上摆脱了原有的木马模式监听端口,而是采用替代系统功能的方法,即改写驱动程序或动态链接库.这样做的结果是:由于没有增加新的文件,因此不能用扫描的方法查杀;不需要打开新的端口,所以不能用端口监视的方法查杀;没有新的进程,所以使用进程查看的方法发现不了它,也就不能用kill进程的方法终止其运行.在正常运行时木马几乎没有任何的症状,而一旦木马的控制端向被控端发出特定的信息后,隐藏的程序就立即开始运作.1.4 利用端口实现隐形一般来说,一个端口都应对着一种特定的服务.如果某一主机的某一端口处于开放状态,那就意味着这一主机将对互联网上的用户提供该服务,并且该服务程序已在这台主机上运行.反过来,如果某一主机上并未启动某端口服务,而该端口却莫明其妙处于开放状态,那么这一计算机就很可能已被入侵者投放了/木马0.一台机器由65536个端口,通常情况下木马端口一般都在1000个以上,而且呈越来越大的趋势.这是因为,1000以下的端口是常用端口,占用这些端口可能会造成系统不正常,这样,木马就会很容易暴露;而由于端口扫描是需要时间的,即使是一个速度较快的端口扫描器,在远程也需要大约20min才能扫完所有的端口,因此,使用诸如54321的端口很难发现它.冰河及很多比较新的木马都具有端口修改功能,因而木马大多都能在任何端口出现.现在有很多流行的端口扫描程序,比如portscan程序就很不错,在网上可免费下载.2 程序的自加载运行技术让程序自运行的方法比较多,使用者当然不会指望在每次启动后点击木马图标来运行服务端,其实这是启动木马程序的最原始的方法.木马要做的第二件重要的事情就是如何在每次用户启动时自动装载服务端.目前木马程序最常见的启动方法为:加载程序到启动组,写程序启动路径到注册表的HKEYLOCALMACHINE\SOFTWARE\Microsoft\Windows\CurrentVersions\Run.当然还有很多其他的方法,比如可以修改Boot.ini,或者通过注册表里的输入法键值直接挂接启动,以及通过修改Explorer.exe启动参数等,真可谓防不胜防
电脑染上木马病毒有什么现象
电脑中毒一般并不会有明显的状态的，如果有一般就是下面的12种状态：
1.经常死机：病毒打开了许多文件或占用了大量内存；不稳定（如内存质量差，硬件超频性能差等）；运行了大容量的软件占用了大量的内存和磁盘空间；使用了一些测试软件（有许多BUG）；硬盘空间不够等等；运行网络上的软件时经常死机也许是由于网络速度太慢，所运行的程序太大，或者自己的工作站硬件配置太低。
2.系统无法启动：病毒修改了硬盘的引导信息，或删除了某些启动文件。如引导型病毒引导文件损坏；硬盘损坏或参数设置不正确；系统文件人为地误删除等。
3.文件打不开：病毒修改了文件格式；病毒修改了文件链接位置。文件损坏；硬盘损坏；文件快捷方式对应的链接位置发生了变化；原来编辑文件的软件删除了；如果是在局域网中多表现为服务器中文件存放位置发生了变化，而工作站没有及时涮新服器的内容（长时间打开了资源管理器）。
4.经常报告内存不够：病毒非法占用了大量内存；打开了大量的软件；运行了需内存资源的软件；系统配置不正确；内存本就不够（目前基本内存要求为128M）等。
5.提示硬盘空间不够：病毒复制了大量的病毒文件（这个遇到过好几例，有时好端端的近10G硬盘安装了一个WIN98或WINNT4.0系统就说没空间了，一安装软件就提示硬盘空间不够。硬盘每个分区容量太小；安装了大量的大容量软件；所有软件都集中安装在一个分区之中；硬盘本身就小；如果是在局域网中系统管理员为每个用户设置了工作站用户的“私人盘”使用空间限制，因查看的是整个网络盘的大小，其实“私人盘”上容量已用完了。
6.软盘等设备未访问时出读写信号：病毒感染；软盘取走了还在打开曾经在软盘中打开过的文件。
7.出现大量来历不明的文件：病毒复制文件；可能是一些软件安装中产生的临时文件；也或许是一些软件的配置信息及运行记录。
8.启动黑屏：病毒感染（记得最深的是98年的4.26，我为CIH付出了好几千元的代价，那天我第一次开机到了Windows画面就死机了，第二次再开机就什么也没有了）；显示器故障；显示卡故障；主板故障；超频过度；CPU损坏等等
9.数据丢失：病毒删除了文件；硬盘扇区损坏；因恢复文件而覆盖原文件；如果是在网络上的文件，也可能是由于其它用户误删除了。
10.键盘或鼠标无端地锁死：病毒作怪，特别要留意“木马”；键盘或鼠标损坏；主板上键盘或鼠标接口损坏；运行了某个键盘或鼠标锁定程序，所运行的程序太大，长时间系统很忙，表现出按键盘或鼠标不起作用。
11.系统运行速度慢：病毒占用了内存和CPU资源，在后台运行了大量非法操作；硬件配置低；打开的程序太多或太大；系统配置不正确；如果是运行网络上的程序时多数是由于你的机器配置太低造成，也有可能是此时网路上正忙，有许多用户同时打开一个程序；还有一种可能就是你的硬盘空间不够用来运行程序时作临时交换数据用。
12.系统自动执行操作：病毒在后台执行非法操作；用户在注册表或启动组中设置了有关程序的自动运行；某些软件安装或升级后需自动重启系统。
通过以上的分析对比，我们知道其实大多数故障都可能是由于人为或软、硬件故障造成的，当我们发现异常后不要急于下断言，在杀毒还不能解决的情况下，应仔细分析故障的特征，排除软、硬件及人为的可能性。
实用电脑小常识
现代社会中，电脑已经成为人们生活和工作不可缺少的工具，但电脑也越来越成为一把“双刃剑”：它在给人们生活和工作带来方便、快捷的同时，也在悄悄地危及人们的健康，引起人的视力衰退、关节损伤、辐射伤害、头部和肩膀疼痛。据调查，常用电脑的人中感到眼睛疲劳的占83％，肩酸腰痛的占63.9％，头痛和食欲不振的则占56.1％和54.4％，还会出现自律神经失调、忧郁症、动脉硬化性精神病等。
专家指出，“电脑病”的产生主要是和人们在电脑面前的坐姿、使用方法，以及使用时间长短有关。因此，对长期使用电脑的人来说，做好防护工作非常重要。
一、坐姿正确。在操作电脑时尽可能保持自然的端坐位，将后背坐直，并保持颈部的挺直。两肩自然下垂，上臂贴近身体，手肘弯曲成90度，操作键盘或滑鼠，尽量使手腕保持水平。
二、电脑的摆放高度要合适。将电脑屏幕中心位置安装在与操作者胸部同一水平线上，最好使用可以调节高低的椅子。应有足够的空间伸放双脚，膝盖自然弯曲成90度，并维持双脚着地，不要交叉双脚，以免影响血液循环。
三、与屏幕保持恰当的距离。眼睛与电脑屏幕的距离应在40—50厘米，使双眼平视或轻度向下注视荧光屏，这样可使颈部肌肉轻松，并使眼球暴露于空气中的面积减小到最低。
四、劳逸结合。避免长时间连续操作电脑，使用电脑的时间最好是30分钟就休息一下，可到室外散步，或抬头望天，或向远处眺望，或进行10至20次伸颈和扩胸练习。
五、保持皮肤清洁。电脑荧光屏表面存在着大量静电，其积聚的灰尘可转射到脸部和手的皮肤裸露处，时间久了，易发生斑疹、色素沉着，严重者甚至会引起皮肤病变等。为减少辐射，应使办公室保持通风干爽，这样能使那些有害物质尽快排出，在电脑桌下放一盆水或是放一盆花草也可减少辐射，勤洗脸也能防止辐射波对皮肤的刺激。
六、合理膳食。平时多吃些胡萝卜、白菜、豆芽、豆腐、红枣、橘子以及牛奶、鸡蛋、动物肝脏、瘦肉等食物，少食肥甘厚味及辛辣刺激性食品，以补充人体内维生素A和蛋白质。平时可多饮些茶，茶叶中含有茶多酚等活性物质，有利于吸收与抵抗放射性物质。
最后别忘了，使用电脑后，一定要洗手。键盘上面附着着很多细菌和病毒，也会给人带来伤害。
MP3搜索发现病毒连接
最近发现了利用MP3搜索引擎木马传播的病毒。通过百度、一搜下载MP3以后，电脑都出现了中病毒的症状。一名网友说，她在百度的MP3搜索引擎上将一首MP3格式的歌曲文件下载到电脑后，运行该MP3文件时，电脑浏览器首页被改成了一个从未见过的网址，而鼠标右键也不能用了。
据反病毒专家分析后发现，这些网友通过连接所下载的并不是MP3文件，而是一个病毒文件。瑞星反病毒专家刘刚介绍说，这是一个名叫“首页变种AHK（Trojan.StartPage.ahk）”的木马病毒，感染这个病毒后浏览器会被强行修改，电脑运行变慢甚至崩溃，鼠标右键也出现异常，目前在百度和一搜的MP3搜索引擎中都发现了这个病毒。而通过MP3搜索引擎来传播病毒，这在国内还是首次发现。
由于通过MP3文件传播病毒形式更加隐蔽，专家提供了四条建议：一、计算机一定要安装杀毒软件并注意及时升级；二、上网时应打开杀毒软件的实时监控功能；三、利用杀毒软件的“漏洞扫描”弥补系统漏洞；四、从网上下载电影、音乐文件后应对其进行病毒扫描。
解决系统资源不足问题
第一种思路：
1.清除“剪贴板”
当“剪贴板”中存放的是一幅图画或大段文本时，会占用较多内存。请清除“剪贴板”中的内容，释放它占用的系统资源：单击“开始”，指向“程序”，指向“附件”，指向“系统工具”，单击“剪贴板查看程序”，然后在“编辑”菜单上，单击“删除”命令。
2.重新启动计算机
只退出程序，并不重新启动计算机，程序可能无法将占用的资源归还给系统。请重新启动计算机以释放系统资源。
3.减少自动运行的程序
如果在启动Windows时自动运行的程序太多，那么，即使重新启动计算机，也将没有足够的系统资源用于运行其他程序。设置Windows不启动过多程序：其一，单击“开始→运行”，键入“msconfig”，单击“确定”按钮，单击“启动”选卡，清除不需要自启动的程序前的复选框。其二，单击“开始→运行”，键入“sysedit”，单击“确定”按钮，删除“autoexec.bat”、“win.ini”和“config.sys”文件中不必要的自启动的程序行。然后，重新启动计算机。
4.设置虚拟内存
虚拟内存不足也会造成系统运行错误.可以在“系统属性”对话框中手动配置虚拟内存，把虚拟内存的默认位置转到可用空间大的其他磁盘分区。
5.应用程序存在Bug或毁坏
有些应用程序设计上存在Bug或者已被毁坏，运行时就可能与Windows发生冲突或争夺资源，造成系统资源不足。解决方法有二：一是升级问题软件，二是将此软件卸载，改装其他同类软件。
6.内存优化软件
不少的内存优化软件，如RAM Idle和Memo Kit都能够自动清空“剪贴板”、释放被关闭程序未释放的系统资源、对虚拟内存文件(Win386.swp)进行重新组织等，免除手工操作的麻烦，达到自动释放系统资源的目的。
第二种思路：
1.禁用一部分启动项
启动时加载过多的应用程序会使Windows因系统资源严重不足而“蓝屏”，因此我们最好运行“Msconfig”禁用一部分应用程序。或者使用Windows优化大师来代劳。
2.设置足够的虚拟内存
虚拟内存不足也会造成系统多任务运算错误，我们可以通过时常删除一些临时文件和交换文件对此问题加以解决，此外还可以在“系统属性”下手动配置虚拟内存，把虚拟内存的默认位置转到其他逻辑盘下。并设置得大一些。
3.给硬盘保留足够空间
由于Win9X运行时需要用硬盘作虚拟内存，这就要求硬盘必须保留一定的自由空间以保证程序的正常运行。一般而言，最低应保证100MB以上的空间，否则出现“蓝屏”很可能与硬盘剩余空间太小有关。另外，硬盘的碎片太多，也容易导致“蓝屏”的出现。因此，每隔一段时间进行一次碎片整理是必要的。
4.使用内存管理软件
剩下的就是些杂项了，诸如不用activedesktop之类浪费资源的功能。使用内存管理软件，如RAM Idle之类的。养成好习惯，暂时不用的程序就将其关闭。
什么是木马病毒
木马病毒源自古希腊特洛伊战争中著名的“木马计”而得名，顾名思义就是一种伪装潜伏的网络病毒，等待时机成熟就出来害人。
传染方式:通过电子邮件附件发出，捆绑在其他的程序中。
病毒特性:会修改注册表、驻留内存、在系统中安装后门程序、开机加载附带的木马。
木马病毒的破坏性:木马病毒的发作要在用户的机器里运行客户端程序，一旦发作，就可设置后门，定时地发送该用户的隐私到木马程序指定的地址，一般同时内置可进入该用户电脑的端口，并可任意控制此计算机，进行文件删除、拷贝、改密码等非法操作。
防范措施:用户提高警惕，不下载和运行来历不明的程序，对于不明来历的邮件附件也不要随意打开。
对木马病毒的诠释，谁能给我答案！！
木马是目前比较流行的病毒文件，与一般的病毒不同，它不会自我繁殖，也并不“刻意”地去感染其他文件，它通过将自身伪装吸引用户下载执行，向施种木马者提供打开被种者电脑的门户，使施种者可以任意毁坏、窃取被种者的文件，甚至远程操控被种者的电脑。
而病毒指“编制者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码”。与医学上的“病毒”不同，计算机病毒不是天然存在的，是某些人利用计算机软件和硬件所固有的脆弱性编制的一组指令集或程序代码。它能通过某种途径潜伏在计算机的存储介质（或程序）里，当达到某种条件时即被激活，通过修改其他程序的方法将自己的精确拷贝或者可能演化的形式放入其他程序中，从而感染其他程序，对计算机资源进行破坏，所谓的病毒就是人为造成的，对其他用户的危害性很大！
就是木马能盗号而病毒不行！
计算机安全工程师是怎样分析木马，病毒行为的
电脑中毒有很多原因，比如：上网浏览网页，下载软件文件，接受别人发来的东西，连接U盘手机，放光盘，漏洞没有修复，导致病毒入侵。。反正病毒无处不在，想要电脑不中毒，除非你的电脑不联网。或是定期杀毒，腾讯电脑管家就可以 ，资源占用量少，云查杀木马非常给力，漏洞查杀，系统修复，而且继承了腾讯在反网络钓鱼，打击恶意网址方面十余年的安全防护经验及基因。腾讯电脑管家操作方便简单，界面清爽，清理垃圾更加全面。还有记得要修复好漏洞，病毒就无法钻漏洞进入电脑的了。
