防护宝典:各种病毒分析及攻击防御手册(3) 感染途径：系统漏洞/用户错误权限/社会工程学； 利用系统漏洞——造成溢出——获取一定权限——利用其他漏洞或用户设置不当提升权限——上传恶意程序/修改系统设置——启动恶意程序。是这类病毒感染的惯用方式。在后期，出现了以诱骗用户执行为主要感染方式的新木马，充分利用了社会工程学，例如在im类软件上给你发送一个名为“我的照片.exe”这样的文件给你，引诱你打开执行。由于木马的用途主要是将病毒编写者感兴趣的资料回发——因此感染途径99%来源于网络，在完全无网络单机状态下的木马等于是没用的死马。 病毒自查：由于木马发送者的企图都是通过控制你的机器操作来获得一定利益，因此都会设置启动时加载该程序。控制类的木马需要占用相当一部分系统资源——用户直接能感觉到的就是启动速度变慢，系统运行速度变慢；而帐号盗取类的木马由于需要获得特定窗口的窗口句柄，因此会在当前窗口切换的时候进行读取判断——在机器配置不高的机器上，如果快速轮循窗口，则感觉到窗口出现速度明显下降；恶作剧类的木马就不用提了，大家都知道不对劲。 木马病毒在编制不够完美的时候，会导致程序溢出——例如运行ie的时候多次出现“非法操作”、打开资源浏览器速度狂慢等现象，也可能是系统中了木马后的蛛丝马迹。在现象判断上，确实没有切实的客观规则可循，主要是依据主观经验判断。总之——如果您没有安装任何软件/修改任何设置，原本昨天速度飞快的机器今天要么总是非法操作，要么速度延迟——那么您被感染了病毒或木马的可能性相当大了。当然，如果您的qq帐号，传奇密码被偷了——更有100%的可能性是潜伏着的木马干的。另外，相当多的木马程序由于带了hook钩子，常常导致调试类程序出错，如果您使用softice调试某些程序时经常无故报错，那或许也是系统中挂接了异常的hook程序——木马。 病毒查杀：木马病毒的繁衍也是相当快速的，特别是行为上难以判断——合法远程控制软件和木马在本质上基本上无区别，在执行行为上也相当类似。而木马的控制协议一般是走tcp/ip协议，理论上是可以在65535个端口中随意选择（当然实际中会避开一些保留端口，防止系统冲突——木马最必要的生存条件就是其隐蔽性），因此也无法利用端口方式准确判断出病毒种类；通过特征码方式，如果木马作者没有留下版本信息或说明文字，则也相当难以判断；特别是木马的源代码公开后，想在其中加入一段独特的功能代码不是什么难事，因而衍生的版本特别快也特别多，这更加大了杀毒软件查杀的的难度。 事实上现在世面上的杀毒软件对待木马的查杀能力并不够强大，如果有可能，可以选择专用的木马查杀软件，如木马克星等。当然，木马也有手工解决的办法，而且对待层出不穷的木马也只有手工查杀才能以不变应万变——感染/修改设置/启动加载/运行获取密码 是木马必经过的4个步骤，让我们看看怎么找出藏在机器中的马来——由于木马需要启动加载执行，因此大多采取修改启动项目来加载的方式进行——那么，我们就到启动项目里去牵马吧； 在这一步，需要用户对自己windows的启动项目熟悉。Win98中，病毒可能在注册表的HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run 或者HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run Services中，或者是system.ini文件的[boot]小节将默认项目修改，或者是在Win.ini中的[Windows]小节中的load、run部分进行加载；在Windows\Start Menu\Programs\启动这里加载，如果是2000或者xp，除了上面提到的几个地方，还可能以服务方式加载，在HKEY_LOCAL_MACHINE\Sytem\Current Control Set\Services可以查到具体的加载项目。 对于这一步，由于每个人的机器设置不同，所以天缘也没办法给出列表来说明到底加载的程序中哪些程序是正常的，哪些是不正常的。有个比较方便的方法是——当您系统把需要安装的软件安装得当时，您查看一下以上几个位置，并把其中的项目记录下来，以后觉得自己可能中木马了后，再对比一下以前的记录，将后来添加的自启动程序记录下名字/路径，进行删除操作。这样做的好处是——即使删除掉的是正常程序，也不会是关键进程，不会导致系统无法启动，有恢复修改的余地。在Win98和XP中有个方便的Msconfig命令便于我们查看以上说的启动项目，如果使用的是Win2000，可以将XP的该文件Copy过去使用。
