塵緣
2001-09-13, 10:50 AM
轉載出處: 駭客人間 http://uuu.to/hackzone
by shotgun
前言
在網上，大家最關心的事情之一就是木馬﹕最近出了新的木馬嗎？木馬究竟能實現
哪些功能？木馬如何防治？木馬究竟是如何工作的？本文試圖以我國最著名的木馬之
- 冰河為例，向大家剖析木馬的基本原理，為大家揭開木馬的神秘面紗。
木馬冰河是用C++Builder寫的，為了便於大家理解，我將用相對比較簡單的VB來說
明它，其中涉及到一些WinSock編程和Windows API的知識，如果你不是很了解的話，請
去查閱相關的資料。
一、基礎篇（揭開木馬的神秘面紗）
無論大家把木馬看得多神秘，也無論木馬能實現多麼強大的功能，木馬，其實質只
是一個網絡客戶/服務程序。那麼，就讓我們從網絡客戶/服務程序的編寫開始。
1.基本概念:
網絡客戶/服務模式的原理是一台主機提供服務(服務器)，另一台主機接受服務
(客戶機)。作為服務器的主機一般會打開一個默認的端口並進行監聽(Listen), 如果有
客戶機向服務器的這一端口提出連接請求(Connect Request), 服務器上的相應程序就
會自動運行，來應答客戶機的請求，這個程序我們稱為守護進程(UNIX的術語,不過已經
被移植到了MS系統上)。對於冰河，被控製端就成為一台服務器，控製端則是一台客戶
機，G_server.exe是守護進程, G_client是客戶端應用程序。(這一點經常有人混淆，
而且往往會給自己種了木馬!甚至還有人跟我爭得面紅耳赤，昏倒!!）
2.程序實現:
在VB中,可以使用Winsock控件來編寫網絡客戶/服務程序, 實現方法如下:
(其中,G_Server和G_Client均為Winsock控件)
服務端:
G_Server.LocalPort=7626(冰河的默認端口,可以改為別的值)
G_Server.Listen(等待連接)
客戶端:
G_Client.RemoteHost=ServerIP(設遠端地址為服務器地址)
G_Client.RemotePort=7626 (設遠程端口為冰河的默認端口,呵呵,知道嗎?這
是冰河的生日哦)
(在這裡可以分配一個本地端口給G_Client, 如果不分配, 計算機將會自動分配
一個, 建議讓計算機自動分配)
G_Client.Connect (調用Winsock控件的連接方法)
一旦服務端接到客戶端的連接請求ConnectionRequest,就接受連接
Private Sub G_Server_ConnectionRequest(ByVal requestID As Long)
G_Server.Accept requestID
End Sub
客戶機端用G_Client.SendData發送命令,而服務器在G_Server_DateArrive事件
中接受並執行命令(幾乎所有的木馬功能都在這個事件處理程序中實現)
如果客戶斷開連接,則關閉連接並重新監聽端口
Private Sub G_Server_Close()
G_Server.Close (關閉連接)
G_Server.Listen (再次監聽)
End Sub
其他的部分可以用命令傳遞來進行，客戶端上傳一個命令，服務端解釋並執行命
令......
二、控製篇（木馬控製了這個世界！）
由於Win98開放了所有的權限給用戶，因此，以用戶權限運行的木馬程序幾乎可以
控製一切，讓我們來看看冰河究竟能做些什麼(看了後,你會認同我的觀點:稱冰河為木
馬是不恰當的,冰河實現的功能之多,足以成為一個成功的遠程控製軟件)
因為冰河實現的功能實在太多,我不可能在這裡一一詳細地說明,所以下面僅對冰河
的主要功能進行簡單的概述, 主要是使用Windows API函數, 如果你想知道這些函數的
具體定義和參數, 請查詢WinAPI手冊。
1.遠程監控(控製對方鼠標、鍵盤，並監視對方屏幕)
keybd_event 模擬一個鍵盤動作(這個函數支持屏幕截圖哦)。
mouse_event 模擬一次鼠標事件(這個函數的參數太複雜,我要全寫在這裡會被
編輯罵死的,只能寫一點主要的,其他的自己查WinAPI吧)
mouse_event(dwFlags,dx,dy,cButtons,dwExtraInfo)
dwFlags:
MOUSEEVENTF_ABSOLUTE 指定鼠標坐標系統中的一個絕對位置。
MOUSEEVENTF_MOVE 移動鼠標
MOUSEEVENTF_LEFTDOWN 模擬鼠標左鍵按下
MOUSEEVENTF_LEFTUP 模擬鼠標左鍵抬起
MOUSEEVENTF_RIGHTDOWN 模擬鼠標右鍵按下
MOUSEEVENTF_RIGHTUP 模擬鼠標右鍵按下
MOUSEEVENTF_MIDDLEDOWN 模擬鼠標中鍵按下
MOUSEEVENTF_MIDDLEUP 模擬鼠標中鍵按下
dx,dy:
MOUSEEVENTF_ABSOLUTE中的鼠標坐標
2.記錄各種口令信息(出於安全角度考慮,本文不探討這方面的問題,也請不要給我來信
詢問)
3.獲取系統信息
a.取得計算機名 GetComputerName
b.更改計算機名 SetComputerName
c.當前用戶 GetUserName函數
d.系統路徑
Set FileSystem0bject = CreateObject("Scripting.FileSystemObject")
(建立文件系統對象)
Set SystemDir = FileSystem0bject.getspecialfolder(1)
(取系統目錄)
Set SystemDir = FileSystem0bject.getspecialfolder(0)
(取Windows安裝目錄)
(友情提醒: FileSystemObject是一個很有用的對象,你可以用它來完成很多
有用的文件操作)
e.取得系統版本 GetVersionEx(還有一個GetVersion,不過在32位windows下可
能會有問題,所以建議用GetVersionEx
f.當前顯示分辨率
Width = screen.Width \ screen.TwipsPerPixelX
Height= screen.Height \ screen.TwipsPerPixelY
其實如果不用Windows API我們也能很容易的取到系統的各類信息,那就是
Winodws的"垃圾站"-注冊表
比如計算機名和計算機標識吧:
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\VxD\VNETSUP
中的Comment,ComputerName和WorkGroup
注冊公司和用戶名:
HKEY_USERS\.DEFAULT\Software\Microsoft\MS Setup (ACME)\UserInfo
至於如何取得注冊表鍵值請看第6部分
4.限製系統功能
a.遠程關機或重啟計算機,使用WinAPI中的如下函數可以實現:
ExitWindowsEx(ByVal uFlags,0)
當uFlags=0 EWX_LOGOFF 中止進程，然後注銷
=1 EWX_SHUTDOWN 關掉系統電源
=2 EWX_REBOOT 重新引導系統
=4 EWX_FORCE 強迫中止沒有響應的進程
b.鎖定鼠標
ClipCursor(lpRect As RECT)可以將指針限製到指定區域,或者用
ShowCursor(FALSE)把鼠標隱藏起來也可以
注:RECT是一個矩形,定義如下:
Type RECT
Left As Long
Top As Long
Right As Long
Bottom As Long
End Type
c.鎖定系統 這個有太多的辦法了,嘿嘿,想Windows不死機都困難呀,比如,搞個
死循環吧,當然,要想系統徹底崩潰還需要一點技巧,比如設備漏洞或者耗盡資源什麼的
.......
d.讓對方掉線 RasHangUp......
e.終止進程 ExitProcess......
f.關閉窗口 利用FindWindow函數找到窗口並利用SendMessage函數關閉窗口
5.遠程文件操作
無論在哪種編程語言裡, 文件操作功能都是比較簡單的, 在此就不贅述了,你也
可以用上面提到的FileSystemObject對象來實現
6.注冊表操作
在VB中只要Set RegEdit=CreateObject（"WScript.Shell")
就可以使用以下的注冊表功能:
刪除鍵值:RegEdit.RegDelete RegKey
增加鍵值:RegEdit.Write RegKey,RegValue
獲取鍵值:RegEdit.RegRead (Value)
記住,注冊表的鍵值要寫全路徑,否則會出錯的。
7.發送信息
很簡單,只是一個彈出式消息框而已,VB中用MsgBox("")就可以實現,其他程序也
不太難的。
8.點對點通訊
呵呵,這個嘛隨便去看看什麼聊天軟件就行了
(因為比較簡單但是比較煩,所以我就不寫了,呵呵。又:我始終沒有搞懂冰河為什
麼要在木馬裡搞這個東東，困惑......)
9.換牆紙
Call SystemParametersInfo(20,0,"BMP路徑名稱",&H1)
值得注意的是,如果使用了Active Desktop,換牆紙有可能會失敗，遇到這種問
題，請不要找冰河和我，去找比爾蓋子吧。
三、潛行篇（Windows，一個捉迷藏的大森林）
木馬並不是合法的網絡服務程序(即使你是把木馬裝在女朋友的機子上,也是不合法
的,當然,這種行為我可以理解，呵呵)，因此，它必須想盡一切辦法隱藏自己，好在，
Windows是一個捉迷藏的大森林!
1、在任務欄中隱藏自己﹕
這是最基本的了,如果連這個都做不到......（想象一下，如果Windows的任務欄
裡出現一個國際象棋中木馬的圖標...@#$%!#@$...也太囂張了吧!)
在VB中，只要把form的Visible屬性設為False, ShowInTaskBar設為False, 程序
就不會出現在任務欄中了。
2、在任務管理器中隱形﹕（就是按下Ctrl+Alt+Del時看不見那個名字叫做“木
馬”的進程）
這個有點難度，不過還是難不倒我們，將程序設為“系統服務”可以很輕松的偽
裝成比爾蓋子的嫡系部隊(Windows,我們和你是一家的,不要告訴別人我藏在哪兒...)。
在VB中如下的代碼可以實現這一功能﹕
Public Declare Function RegisterServiceProcess Lib "kernel32" (ByVal
ProcessID As Long, ByVal ServiceFlags As Long) As Long
Public Declare Function GetCurrentProcessId Lib "kernel32" () As Long
(以上為聲明)
Private Sub Form_Load()
RegisterServiceProcess GetCurrentProcessId, 1 (注冊系統服務)
End Sub
Private Sub Form_Unload()
RegisterServiceProcess GetCurrentProcessId, 0 (取消系統服務)
End Sub
3、如何悄沒聲息地啟動﹕
你當然不會指望用戶每次啟動後點擊木馬圖標來運行服務端，木馬要做到的第二
重要的事就是如何在每次用戶啟動時自動裝載服務端（第一重要的是如何讓對方中木
馬，嘿嘿，這部分的內容將在後面提到）
Windows支持多種在系統啟動時自動加載應用程序的方法(簡直就像是為木馬特別
定做的)啟動組、win.ini、system.ini、注冊表等等都是木馬藏身的好地方。冰河采用
了多種方法確保你不能擺脫它(怎麼聽起來有點死纏爛打呀....哎呦,誰呀誰呀,那什麼
黃鑫,不要拿雞蛋扔我!)首先,冰河會在注冊表的
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run和RUNSERVICE
鍵值中加上了<system>\kernl32.exe(<system>是系統目錄), 其次如果你刪除了這個鍵
值,自以為得意地喝著茶的時候,冰河又陰魂不散地出現了...怎麼回事?原來冰河的服務
端會在c:\windows(這個會隨你windows的安裝目錄變化而變化）下生成一個叫
sysexplr.exe文件（太象超級解霸了，好毒呀，冰河！）,這個文件是與文本文件相關
聯的,只要你打開文本(哪天不打開幾次文本?), sysexplr.exe文件就會重新生成
krnel32.exe, 然後你還是被冰河控製著。（冰河就是這樣長期霸佔著窮苦勞動人民寶
貴的系統資源的，555555）
4、端口
木馬都會很注意自己的端口(你呢?你關心你的6萬多個端口嗎?),如果你留意的話,
你就會發現,木馬端口一般都在1000以上,而且呈越來越大的趨勢(netspy是1243....)這
是因為,1000以下的端口是常用端口,佔用這些端口可能會造成系統不正常,這樣木馬就
會很容易暴露; 而由於端口掃描是需要時間的(一個很快的端口掃描器在遠程也需要大
約二十分鐘才能掃完所有的端口),故而使用諸如54321的端口會讓你很難發現它。在文
章的末尾我給大家轉貼了一個常見木馬的端口表,你就對著這個表去查吧(不過,值得提
醒的是,冰河及很多比較新的木馬都提供端口修改功能,所以,實際上木馬能以任意端口
出現)
5.最新的隱身技術
目前,除了冰河使用的隱身技術外,更新、更隱蔽的方法已經出現，那就是-驅動程
序及動態鏈接庫技術（冰河3.0會采用這種方法嗎?）。
驅動程序及動態鏈接庫技術和一般的木馬不同，它基本上擺脫了原有的木馬模式-
監聽端口，而采用替代系統功能的方法（改寫驅動程序或動態鏈接庫）。這樣做的結果
是﹕系統中沒有增加新的文件（所以不能用掃描的方法查殺）、不需要打開新的端口
（所以不能用端口監視的方法查殺）、沒有新的進程（所以使用進程查看的方法發現不
了它，也不能用kill進程的方法終止它的運行）。在正常運行時木馬幾乎沒有任何的癥
狀,而一旦木馬的控製端向被控端發出特定的信息後,隱藏的程序就立即開始運作......
事實上，我已經看到過幾個這樣類型的木馬，其中就有通過改寫vxd文件建立隱藏
共享的木馬...(江湖上又將掀起新的波浪)
四、破解篇（魔高一尺、道高一丈）
本文主要是探討木馬的基本原理, 木馬的破解並非是本文的重點(也不是我的長
處),具體的破解請大家期待yagami的《特洛伊木馬看過來》（我都期待一年了，大家和
我一起繼續期待吧，嘿嘿），本文只是對通用的木馬防御、卸載方法做一個小小的總結
﹕
1.端口掃描
端口掃描是檢查遠程機器有無木馬的最好辦法, 端口掃描的原理非常簡單, 掃描程
序嘗試連接某個端口, 如果成功, 則說明端口開放, 如果失敗或超過某個特定的時間
(超時), 則說明端口關閉。（關於端口掃描，Oliver有一篇關於“半連接掃描”的文
章，很精彩，那種掃描的原理不太一樣，不過不在本文討論的範圍之中）
但是值得說明的是, 對於驅動程序/動態鏈接木馬, 掃描端口是不起作用的。
2.查看連接
查看連接和端口掃描的原理基本相同，不過是在本地機上通過netstat -a（或某個
第三方的程序）查看所有的TCP/UDP連接，查看連接要比端口掃描快，缺點同樣是無法
查出驅動程序/動態鏈接木馬,而且僅僅能在本地使用。
3.檢查注冊表
上面在討論木馬的啟動方式時已經提到，木馬可以通過注冊表啟動（好像現在大部
分的木馬都是通過注冊表啟動的，至少也把注冊表作為一個自我保護的方式），那麼，
我們同樣可以通過檢查注冊表來發現"馬蹄印",冰河在注冊表裡留下的痕跡請參照《潛
行篇》。
4.查找文件
查找木馬特定的文件也是一個常用的方法（這個我知道,冰河的特徵文件是
G_Server.exe吧? 笨蛋!哪會這麼簡單,冰河是狡猾狡猾的......）冰河的一個特徵文件
是kernl32.exe(靠,偽裝成Windows的內核呀),另一個更隱蔽,是sysexlpr.exe(什麼什麼
,不是超級解霸嗎?)對！冰河之所以給這兩個文件取這樣的名字就是為了更好的偽裝自
己, 只要刪除了這兩個文件,冰河就已經不起作用了。其他的木馬也是一樣（廢話，
Server端程序都沒了，還能干嘛？）
黃鑫:"咳咳,不是那麼簡單哦......"(狡猾地笑)
是的, 如果你只是刪除了sysexlpr.exe而沒有做掃尾工作的話,可能會遇到一些麻
煩-就是你的文本文件打不開了,因為前面說了,sysexplr.exe是和文本文件關聯的,你還
必須把文本文件跟notepad關聯上,方法有三種:
a.更改注冊表(我就不說了,有能力自己改的想來也不要我說,否則還是不要亂動的
好)
b.在<我的電腦>-查看-文件夾選項-文件類型中編輯
c.按住SHIFT鍵的同時鼠標右擊任何一個TXT文件,選擇打開方式,選中<始終用該程
序打開......>,然後找到notepad,點一下就OK了。（這個最簡單，推薦使用）
黃鑫﹕"我...我笑不起來了 "
提醒一下，對於木馬這種狡猾的東西，一定要小心又小心，冰河是和txt文件關聯
的，txt打不開沒什麼大不了，如果木馬是和exe文件關聯而你貿然地刪了它......你苦
了！連regedit都不能運行了！
5.殺病毒軟件
之所以把殺病毒軟件放在最後是因為它實在沒有太大的用,包括一些號稱專殺木馬
的軟件也同樣是如此, 不過對於過時的木馬以及菜鳥安裝的木馬(沒有配置服務端)還是
有點用處的, 值得一提的是最近新出來的ip armor在這一方面可以稱得上是比較領先的
,它采用了監視動態鏈接庫的技術,可以監視所有調用Winsock的程序，並可以動態殺除
進程，是一個個人防御的好工具（雖然我對傳說中“該軟件可以查殺未來十年木馬”的
說法表示懷疑，嘿嘿，兩年後的事都說不清，誰知道十年後木馬會“進化”到什麼程度
？甚至十年後的操作系統是什麼樣的我都想象不出來）
另外，對於驅動程序/動態鏈接庫木馬，有一種方法可以試試，使用Windows的"系
統文件檢查器"，通過"開始菜單"-"程序"-"附件"-"系統工具"-"系統信息"-"工具"可以
運行"系統文件檢查器"(這麼詳細,不會找不到吧? 什麼,你找不到! 吐血! 找一張98安
裝盤補裝一下吧), 用“系統文件檢查器”可檢測操作系統文件的完整性，如果這些文
件損壞，檢查器可以將其還原，檢查器還可以從安裝盤中解壓縮已壓縮的文件（如驅動
程序）。如果你的驅動程序或動態鏈接庫在你沒有升級它們的情況下被改動了,就有可
能是木馬(或者損壞了),提取改動過的文件可以保證你的系統安全和穩定。(注意,這個
操作需要熟悉系統的操作者完成,由於安裝某些程序可能會自動升級驅動程序或動態鏈
接庫,在這種情況下恢複"損壞的"文件可能會導致系統崩潰或程序不可用！)
五、狡詐篇（只要你的一點點疏忽......)
只要你有一點點的疏忽，就有可能被人安裝了木馬，知道一些給人種植木馬的常見
伎倆對於保證自己的安全不無裨益。
1.網上“幫”人種植木馬的伎倆主要有以下的幾條
a.軟哄硬騙法；
這個方法很多啦, 而且跟技術無關的, 有的是裝成大蝦, 有的是裝成PLMM, 有的
態度謙恭, 有的......反正目的都一樣,就是讓你去運行一個木馬的服務端。
b.組裝合成法
就是所謂的221(Two To One二合一)把一個合法的程序和一個木馬綁定,合法程序
的功能不受影響,但當你運行合法程序時,木馬就自動加載了,同時,由於綁定後程序的代
碼發生了變化,根據特徵碼掃描的殺毒軟件很難查找出來。
c.改名換姓法
這個方法出現的比較晚,不過現在很流行,對於不熟練的windows操作者，很容易
上當。具體方法是把可執行文件偽裝成圖片或文本----在程序中把圖標改成Windows的
默認圖片圖標, 再把文件名改為*.jpg.exe, 由於Win98默認設置是"不顯示已知的文件
後綴名",文件將會顯示為*.jpg, 不注意的人一點這個圖標就中木馬了(如果你在程序中
嵌一張圖片就更完美了)
d.願者上鉤法
木馬的主人在網頁上放置惡意代碼，引誘用戶點擊，用戶點擊的結果不言而喻﹕
開門揖盜;奉勸﹕不要隨便點擊網頁上的鏈接，除非你了解它，信任它，為它死了也願
意...（什麼亂七八糟呀）
2． 幾點注意（一些陳詞濫調）
a．不要隨便從網站上下載軟件,要下也要到比較有名、比較有信譽的站點，這些站
點一般都有專人殺馬殺毒；
b．不要過於相信別人，不能隨便運行別人給的軟件；
（特別是認識的，不要以為認識了就安全了，就是認識的人才會給你裝木馬,哈哈,挑撥
離間......）
c．經常檢查自己的系統文件、注冊表、端口什麼的，經常去安全站點查看最新的
木馬公告；
d.改掉windows關於隱藏文件後綴名的默認設置(我是只有看見文件的後綴名才會放
心地點它的)
e．如果上網時發現莫名奇妙地硬盤亂響或貓上的數據燈亂閃，要小心；
（我常常會突然關掉所有連接，然後盯著我的貓，你也可以試試，要是這時數據傳送
燈還在拼命閃，恭喜，你中木馬了，快逃吧！）
六、後記
這篇文章的問世首先要感謝冰河的作者-黃鑫，我對他說﹕“我要寫篇關於冰河的
文章”，他說﹕“寫唄”，然後就有了這篇文章的初稿（黃鑫﹕“不是吧，你答應要用
稿費請我吃飯的，不要賴哦”），隨後，黃鑫給我提了很多建議並提供了不少資料,謝
謝冰河。
其次是西祠的yagami，他是公認的木馬專家，在我寫作期間，他不僅在木馬的檢
測、殺除方面提出了不少自己的看法，還給我找來了幾個木馬的源代碼作為參考，不過
這個家伙實在太忙，所以想看《特洛伊木馬看過來》的朋友就只有耐心地等待了。
第三個值得一提的家伙是武漢人，我的初稿一出來，他就忙不迭地貼出去了，當時
我很狼狽，只能加緊寫，爭取早日完成，趕快把漏洞百出的初稿換下來，要不然，嘿
嘿，估計大家也要等個一年半載的才能看到這篇文章了。
這篇文章的初稿出來以後，有很多朋友問﹕為什麼不用C++，而要用VB來寫木馬的
源碼說明呢？呵呵，其一是我很懶，VB比 VC要容易多了,還不會把windows搞死機(我用
VC寫程序曾經把系統搞崩潰過的:P);其二,本文中能用API的,我基本上都用了,VB只是很
小的一塊, WINAPI嘛,移植起來是很容易的;其三,正如我前面強調的,本文只是對木馬的
結構和原理進行一番討論,並非教人如何編寫木馬程序,要知道,公安部已經正式下文:在
他人計算機內下毒的要處以刑事處分。相比而言，VB代碼的危害性要小很多的（如果完
全用VB做一個冰河，大概要一兆多，還不連那些控件和動態鏈接庫文件，呵呵，這麼龐
大的程序，能悄 悄 地在別人的機子裡搗鬼嗎？）
最後，作為冰河的朋友，我希望大家能抱著學術的態度來看這篇文章，同樣能抱著
學術的態度來看待冰河木馬，不要用冰河做壞事，我替黃鑫先謝謝你了！(監視自己的
女朋友不算，不過冰河不會對因為使用冰河導致和女友吵架直至分手負任何責任）
附錄﹕常見的一些木馬的端口（轉）
port 21 - Back Construction, Blade Runner, Doly Trojan, Fore, FTP trojan,
Invisible FTP, Larva,WebEx, WinCrash
port 23 - Tiny Telnet Server (= TTS)
port 25 - Ajan, Antigen, Email Password Sender, Haebu Coceda (= Naebi),
Happy 99, Kuang2, ProMail trojan, Shtrilitz, Stealth, Tapiras, Terminator,
WinPC, WinSpy
port 31 - Agent 31, Hackers Paradise, Masters Paradise
port 41 - DeepThroat
port 59 - DMSetup
port 79 - Firehotcker
port 80 - Executor, RingZero
port 99 - Hidden Port
port 110 - ProMail trojan
port 113 - Kazimas
port 119 - Happy 99
port 121 - JammerKillah
port 421 - TCP Wrappers
port 456 - Hackers Paradise
port 531 - Rasmin
port 555 - Ini-Killer, NeTAdmin, Phase Zero, Stealth Spy
port 666 - Attack FTP, Back Construction, Cain & Abel, Satanz Backdoor,
ServeU, Shadow Phyre
port 911 - Dark Shadow
port 999 - DeepThroat, WinSatan
port 1001 - Silencer, WebEx
port 1010 - Doly Trojan
port 1011 - Doly Trojan
port 1012 - Doly Trojan
port 1015 - Doly Trojan
port 1024 - NetSpy
port 1042 - Bla
port 1045 - Rasmin
port 1090 - Xtreme
port 1170 - Psyber Stream Server, Streaming Audio trojan, Voice
port 1234 - Ultors Trojan
port 1243 - SubSeven
port 1245 - VooDoo Doll
port 1269 - Mavericks Matrix
port 1349 (UDP) - BO DLL
port 1492 - FTP99CMP
port 1509 - Psyber Streaming Server
port 1600 - Shivka-Burka
port 1807 - SpySender
port 1981 - Shockrave
port 1999 - BackDoor
port 1999 - TransScout
port 2000 - TransScout
port 2001 - TransScout
port 2001 - Trojan Cow
port 2002 - TransScout
port 2003 - TransScout
port 2004 - TransScout
port 2005 - TransScout
port 2023 - Ripper
port 2115 - Bugs
port 2140 - Deep Throat, The Invasor
port 2155 - Illusion Mailer
port 2283 - HVL Rat5
port 2565 - Striker
port 2583 - WinCrash
port 2600 - Digital RootBeer
port 2801 - Phineas Phucker
port 2989 (UDP) - RAT
port 3024 - WinCrash
port 3128 - RingZero
port 3129 - Masters Paradise
port 3150 - Deep Throat, The Invasor
port 3459 - Eclipse 2000
port 3700 - Portal of Doom
port 3791 - Eclypse
port 3801 (UDP) - Eclypse
port 4092 - WinCrash
port 4321 - BoBo
port 4567 - File Nail
port 4590 - ICQTrojan
port 5000 - Bubbel, Back Door Setup, Sockets de Troie
port 5001 - Back Door Setup, Sockets de Troie
port 5011 - One of the Last Trojans (OOTLT)
port 5031 - NetMetro
port 5321 - Firehotcker
port 5400 - Blade Runner, Back Construction
port 5401 - Blade Runner, Back Construction
port 5402 - Blade Runner, Back Construction
port 5550 - Xtcp
port 5512 - Illusion Mailer
port 5555 - ServeMe
port 5556 - BO Facil
port 5557 - BO Facil
port 5569 - Robo-Hack
port 5742 - WinCrash
port 6400 - The Thing
port 6669 - Vampyre
port 6670 - DeepThroat
port 6771 - DeepThroat
port 6776 - BackDoor-G, SubSeven
port 6912 - Shit Heep (not port 69123!)
port 6939 - Indoctrination
port 6969 - GateCrasher, Priority, IRC 3
port 6970 - GateCrasher
port 7000 - Remote Grab, Kazimas
port 7300 - NetMonitor
port 7301 - NetMonitor
port 7306 - NetMonitor
port 7307 - NetMonitor
port 7308 - NetMonitor
port 7789 - Back Door Setup, ICKiller
port 8080 - RingZero
port 9400 - InCommand
port 9872 - Portal of Doom
port 9873 - Portal of Doom
port 9874 - Portal of Doom
port 9875 - Portal of Doom
port 9876 - Cyber Attacker
port 9878 - TransScout
port 9989 - iNi-Killer
port 10067 (UDP) - Portal of Doom
port 10101 - BrainSpy
port 10167 (UDP) - Portal of Doom
port 10520 - Acid Shivers
port 10607 - Coma
port 11000 - Senna Spy
port 11223 - Progenic trojan
port 12076 - Gjamer
port 12223 - Hack?9 KeyLogger
port 12345 - GabanBus, NetBus, Pie Bill Gates, X-bill
port 12346 - GabanBus, NetBus, X-bill
port 12361 - Whack-a-mole
port 12362 - Whack-a-mole
port 12631 - WhackJob
port 13000 - Senna Spy
port 16969 - Priority
port 17300 - Kuang2 The Virus
port 20000 - Millennium
port 20001 - Millennium
port 20034 - NetBus 2 Pro
port 20203 - Logged
port 21544 - GirlFriend
port 22222 - Prosiak
port 23456 - Evil FTP, Ugly FTP, Whack Job
port 23476 - Donald Dick
port 23477 - Donald Dick
port 26274 (UDP) - Delta Source
port 29891 (UDP) - The Unexplained
port 30029 - AOL Trojan
port 30100 - NetSphere
port 30101 - NetSphere
port 30102 - NetSphere
port 30303 - Sockets de Troi
port 30999 - Kuang2
port 31336 - Bo Whack
port 31337 - Baron Night, BO client, BO2, Bo Facil
port 31337 (UDP) - BackFire, Back Orifice, DeepBO
port 31338 - NetSpy DK
port 31338 (UDP) - Back Orifice, DeepBO
port 31339 - NetSpy DK
port 31666 - BOWhack
port 31785 - Hack'a'tack
port 31787 - Hack'a'tack
port 31788 - Hack'a'tack
port 31789 (UDP) - Hack'a'tack
port 31791 (UDP) - Hack'a'tack
port 31792 - Hack'a'tack
port 33333 - Prosiak
port 33911 - Spirit 2001a
port 34324 - BigGluck, TN
port 40412 - The Spy
port 40421 - Agent 40421, Masters Paradise
port 40422 - Masters Paradise
port 40423 - Masters Paradise
port 40426 - Masters Paradise
port 47262 (UDP) - Delta Source
port 50505 - Sockets de Troie
port 50766 - Fore, Schwindler
port 53001 - Remote Windows Shutdown
port 54320 - Back Orifice 2000
port 54321 - School Bus
port 54321 (UDP) - Back Orifice 2000
port 60000 - Deep Throat
port 61466 - Telecommando
port 65000 - Devil
注﹕開了上面的端口未必就是中了木馬，有的端口本來就是正常的端口，只是被木
馬利用了，有的防火牆也會打開一些端口來監控（很無聊的做法），判斷木馬是一門較
深的學問，如果你有什麼疑問和建議，請和我聯系
贊助商連結
by shotgun
前言
在網上，大家最關心的事情之一就是木馬﹕最近出了新的木馬嗎？木馬究竟能實現
哪些功能？木馬如何防治？木馬究竟是如何工作的？本文試圖以我國最著名的木馬之
- 冰河為例，向大家剖析木馬的基本原理，為大家揭開木馬的神秘面紗。
木馬冰河是用C++Builder寫的，為了便於大家理解，我將用相對比較簡單的VB來說
明它，其中涉及到一些WinSock編程和Windows API的知識，如果你不是很了解的話，請
去查閱相關的資料。
一、基礎篇（揭開木馬的神秘面紗）
無論大家把木馬看得多神秘，也無論木馬能實現多麼強大的功能，木馬，其實質只
是一個網絡客戶/服務程序。那麼，就讓我們從網絡客戶/服務程序的編寫開始。
1.基本概念:
網絡客戶/服務模式的原理是一台主機提供服務(服務器)，另一台主機接受服務
(客戶機)。作為服務器的主機一般會打開一個默認的端口並進行監聽(Listen), 如果有
客戶機向服務器的這一端口提出連接請求(Connect Request), 服務器上的相應程序就
會自動運行，來應答客戶機的請求，這個程序我們稱為守護進程(UNIX的術語,不過已經
被移植到了MS系統上)。對於冰河，被控製端就成為一台服務器，控製端則是一台客戶
機，G_server.exe是守護進程, G_client是客戶端應用程序。(這一點經常有人混淆，
而且往往會給自己種了木馬!甚至還有人跟我爭得面紅耳赤，昏倒!!）
2.程序實現:
在VB中,可以使用Winsock控件來編寫網絡客戶/服務程序, 實現方法如下:
(其中,G_Server和G_Client均為Winsock控件)
服務端:
G_Server.LocalPort=7626(冰河的默認端口,可以改為別的值)
G_Server.Listen(等待連接)
客戶端:
G_Client.RemoteHost=ServerIP(設遠端地址為服務器地址)
G_Client.RemotePort=7626 (設遠程端口為冰河的默認端口,呵呵,知道嗎?這
是冰河的生日哦)
(在這裡可以分配一個本地端口給G_Client, 如果不分配, 計算機將會自動分配
一個, 建議讓計算機自動分配)
G_Client.Connect (調用Winsock控件的連接方法)
一旦服務端接到客戶端的連接請求ConnectionRequest,就接受連接
Private Sub G_Server_ConnectionRequest(ByVal requestID As Long)
G_Server.Accept requestID
End Sub
客戶機端用G_Client.SendData發送命令,而服務器在G_Server_DateArrive事件
中接受並執行命令(幾乎所有的木馬功能都在這個事件處理程序中實現)
如果客戶斷開連接,則關閉連接並重新監聽端口
Private Sub G_Server_Close()
G_Server.Close (關閉連接)
G_Server.Listen (再次監聽)
End Sub
其他的部分可以用命令傳遞來進行，客戶端上傳一個命令，服務端解釋並執行命
令......
二、控製篇（木馬控製了這個世界！）
由於Win98開放了所有的權限給用戶，因此，以用戶權限運行的木馬程序幾乎可以
控製一切，讓我們來看看冰河究竟能做些什麼(看了後,你會認同我的觀點:稱冰河為木
馬是不恰當的,冰河實現的功能之多,足以成為一個成功的遠程控製軟件)
因為冰河實現的功能實在太多,我不可能在這裡一一詳細地說明,所以下面僅對冰河
的主要功能進行簡單的概述, 主要是使用Windows API函數, 如果你想知道這些函數的
具體定義和參數, 請查詢WinAPI手冊。
1.遠程監控(控製對方鼠標、鍵盤，並監視對方屏幕)
keybd_event 模擬一個鍵盤動作(這個函數支持屏幕截圖哦)。
mouse_event 模擬一次鼠標事件(這個函數的參數太複雜,我要全寫在這裡會被
編輯罵死的,只能寫一點主要的,其他的自己查WinAPI吧)
mouse_event(dwFlags,dx,dy,cButtons,dwExtraInfo)
dwFlags:
MOUSEEVENTF_ABSOLUTE 指定鼠標坐標系統中的一個絕對位置。
MOUSEEVENTF_MOVE 移動鼠標
MOUSEEVENTF_LEFTDOWN 模擬鼠標左鍵按下
MOUSEEVENTF_LEFTUP 模擬鼠標左鍵抬起
MOUSEEVENTF_RIGHTDOWN 模擬鼠標右鍵按下
MOUSEEVENTF_RIGHTUP 模擬鼠標右鍵按下
MOUSEEVENTF_MIDDLEDOWN 模擬鼠標中鍵按下
MOUSEEVENTF_MIDDLEUP 模擬鼠標中鍵按下
dx,dy:
MOUSEEVENTF_ABSOLUTE中的鼠標坐標
2.記錄各種口令信息(出於安全角度考慮,本文不探討這方面的問題,也請不要給我來信
詢問)
3.獲取系統信息
a.取得計算機名 GetComputerName
b.更改計算機名 SetComputerName
c.當前用戶 GetUserName函數
d.系統路徑
Set FileSystem0bject = CreateObject("Scripting.FileSystemObject")
(建立文件系統對象)
Set SystemDir = FileSystem0bject.getspecialfolder(1)
(取系統目錄)
Set SystemDir = FileSystem0bject.getspecialfolder(0)
(取Windows安裝目錄)
(友情提醒: FileSystemObject是一個很有用的對象,你可以用它來完成很多
有用的文件操作)
e.取得系統版本 GetVersionEx(還有一個GetVersion,不過在32位windows下可
能會有問題,所以建議用GetVersionEx
f.當前顯示分辨率
Width = screen.Width \ screen.TwipsPerPixelX
Height= screen.Height \ screen.TwipsPerPixelY
其實如果不用Windows API我們也能很容易的取到系統的各類信息,那就是
Winodws的"垃圾站"-注冊表
比如計算機名和計算機標識吧:
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\VxD\VNETSUP
中的Comment,ComputerName和WorkGroup
注冊公司和用戶名:
HKEY_USERS\.DEFAULT\Software\Microsoft\MS Setup (ACME)\UserInfo
至於如何取得注冊表鍵值請看第6部分
4.限製系統功能
a.遠程關機或重啟計算機,使用WinAPI中的如下函數可以實現:
ExitWindowsEx(ByVal uFlags,0)
當uFlags=0 EWX_LOGOFF 中止進程，然後注銷
=1 EWX_SHUTDOWN 關掉系統電源
=2 EWX_REBOOT 重新引導系統
=4 EWX_FORCE 強迫中止沒有響應的進程
b.鎖定鼠標
ClipCursor(lpRect As RECT)可以將指針限製到指定區域,或者用
ShowCursor(FALSE)把鼠標隱藏起來也可以
注:RECT是一個矩形,定義如下:
Type RECT
Left As Long
Top As Long
Right As Long
Bottom As Long
End Type
c.鎖定系統 這個有太多的辦法了,嘿嘿,想Windows不死機都困難呀,比如,搞個
死循環吧,當然,要想系統徹底崩潰還需要一點技巧,比如設備漏洞或者耗盡資源什麼的
.......
d.讓對方掉線 RasHangUp......
e.終止進程 ExitProcess......
f.關閉窗口 利用FindWindow函數找到窗口並利用SendMessage函數關閉窗口
5.遠程文件操作
無論在哪種編程語言裡, 文件操作功能都是比較簡單的, 在此就不贅述了,你也
可以用上面提到的FileSystemObject對象來實現
6.注冊表操作
在VB中只要Set RegEdit=CreateObject（"WScript.Shell")
就可以使用以下的注冊表功能:
刪除鍵值:RegEdit.RegDelete RegKey
增加鍵值:RegEdit.Write RegKey,RegValue
獲取鍵值:RegEdit.RegRead (Value)
記住,注冊表的鍵值要寫全路徑,否則會出錯的。
7.發送信息
很簡單,只是一個彈出式消息框而已,VB中用MsgBox("")就可以實現,其他程序也
不太難的。
8.點對點通訊
呵呵,這個嘛隨便去看看什麼聊天軟件就行了
(因為比較簡單但是比較煩,所以我就不寫了,呵呵。又:我始終沒有搞懂冰河為什
麼要在木馬裡搞這個東東，困惑......)
9.換牆紙
Call SystemParametersInfo(20,0,"BMP路徑名稱",&H1)
值得注意的是,如果使用了Active Desktop,換牆紙有可能會失敗，遇到這種問
題，請不要找冰河和我，去找比爾蓋子吧。
三、潛行篇（Windows，一個捉迷藏的大森林）
木馬並不是合法的網絡服務程序(即使你是把木馬裝在女朋友的機子上,也是不合法
的,當然,這種行為我可以理解，呵呵)，因此，它必須想盡一切辦法隱藏自己，好在，
Windows是一個捉迷藏的大森林!
1、在任務欄中隱藏自己﹕
這是最基本的了,如果連這個都做不到......（想象一下，如果Windows的任務欄
裡出現一個國際象棋中木馬的圖標...@#$%!#@$...也太囂張了吧!)
在VB中，只要把form的Visible屬性設為False, ShowInTaskBar設為False, 程序
就不會出現在任務欄中了。
2、在任務管理器中隱形﹕（就是按下Ctrl+Alt+Del時看不見那個名字叫做“木
馬”的進程）
這個有點難度，不過還是難不倒我們，將程序設為“系統服務”可以很輕松的偽
裝成比爾蓋子的嫡系部隊(Windows,我們和你是一家的,不要告訴別人我藏在哪兒...)。
在VB中如下的代碼可以實現這一功能﹕
Public Declare Function RegisterServiceProcess Lib "kernel32" (ByVal
ProcessID As Long, ByVal ServiceFlags As Long) As Long
Public Declare Function GetCurrentProcessId Lib "kernel32" () As Long
(以上為聲明)
Private Sub Form_Load()
RegisterServiceProcess GetCurrentProcessId, 1 (注冊系統服務)
End Sub
Private Sub Form_Unload()
RegisterServiceProcess GetCurrentProcessId, 0 (取消系統服務)
End Sub
3、如何悄沒聲息地啟動﹕
你當然不會指望用戶每次啟動後點擊木馬圖標來運行服務端，木馬要做到的第二
重要的事就是如何在每次用戶啟動時自動裝載服務端（第一重要的是如何讓對方中木
馬，嘿嘿，這部分的內容將在後面提到）
Windows支持多種在系統啟動時自動加載應用程序的方法(簡直就像是為木馬特別
定做的)啟動組、win.ini、system.ini、注冊表等等都是木馬藏身的好地方。冰河采用
了多種方法確保你不能擺脫它(怎麼聽起來有點死纏爛打呀....哎呦,誰呀誰呀,那什麼
黃鑫,不要拿雞蛋扔我!)首先,冰河會在注冊表的
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run和RUNSERVICE
鍵值中加上了<system>\kernl32.exe(<system>是系統目錄), 其次如果你刪除了這個鍵
值,自以為得意地喝著茶的時候,冰河又陰魂不散地出現了...怎麼回事?原來冰河的服務
端會在c:\windows(這個會隨你windows的安裝目錄變化而變化）下生成一個叫
sysexplr.exe文件（太象超級解霸了，好毒呀，冰河！）,這個文件是與文本文件相關
聯的,只要你打開文本(哪天不打開幾次文本?), sysexplr.exe文件就會重新生成
krnel32.exe, 然後你還是被冰河控製著。（冰河就是這樣長期霸佔著窮苦勞動人民寶
貴的系統資源的，555555）
4、端口
木馬都會很注意自己的端口(你呢?你關心你的6萬多個端口嗎?),如果你留意的話,
你就會發現,木馬端口一般都在1000以上,而且呈越來越大的趨勢(netspy是1243....)這
是因為,1000以下的端口是常用端口,佔用這些端口可能會造成系統不正常,這樣木馬就
會很容易暴露; 而由於端口掃描是需要時間的(一個很快的端口掃描器在遠程也需要大
約二十分鐘才能掃完所有的端口),故而使用諸如54321的端口會讓你很難發現它。在文
章的末尾我給大家轉貼了一個常見木馬的端口表,你就對著這個表去查吧(不過,值得提
醒的是,冰河及很多比較新的木馬都提供端口修改功能,所以,實際上木馬能以任意端口
出現)
5.最新的隱身技術
目前,除了冰河使用的隱身技術外,更新、更隱蔽的方法已經出現，那就是-驅動程
序及動態鏈接庫技術（冰河3.0會采用這種方法嗎?）。
驅動程序及動態鏈接庫技術和一般的木馬不同，它基本上擺脫了原有的木馬模式-
監聽端口，而采用替代系統功能的方法（改寫驅動程序或動態鏈接庫）。這樣做的結果
是﹕系統中沒有增加新的文件（所以不能用掃描的方法查殺）、不需要打開新的端口
（所以不能用端口監視的方法查殺）、沒有新的進程（所以使用進程查看的方法發現不
了它，也不能用kill進程的方法終止它的運行）。在正常運行時木馬幾乎沒有任何的癥
狀,而一旦木馬的控製端向被控端發出特定的信息後,隱藏的程序就立即開始運作......
事實上，我已經看到過幾個這樣類型的木馬，其中就有通過改寫vxd文件建立隱藏
共享的木馬...(江湖上又將掀起新的波浪)
四、破解篇（魔高一尺、道高一丈）
本文主要是探討木馬的基本原理, 木馬的破解並非是本文的重點(也不是我的長
處),具體的破解請大家期待yagami的《特洛伊木馬看過來》（我都期待一年了，大家和
我一起繼續期待吧，嘿嘿），本文只是對通用的木馬防御、卸載方法做一個小小的總結
﹕
1.端口掃描
端口掃描是檢查遠程機器有無木馬的最好辦法, 端口掃描的原理非常簡單, 掃描程
序嘗試連接某個端口, 如果成功, 則說明端口開放, 如果失敗或超過某個特定的時間
(超時), 則說明端口關閉。（關於端口掃描，Oliver有一篇關於“半連接掃描”的文
章，很精彩，那種掃描的原理不太一樣，不過不在本文討論的範圍之中）
但是值得說明的是, 對於驅動程序/動態鏈接木馬, 掃描端口是不起作用的。
2.查看連接
查看連接和端口掃描的原理基本相同，不過是在本地機上通過netstat -a（或某個
第三方的程序）查看所有的TCP/UDP連接，查看連接要比端口掃描快，缺點同樣是無法
查出驅動程序/動態鏈接木馬,而且僅僅能在本地使用。
3.檢查注冊表
上面在討論木馬的啟動方式時已經提到，木馬可以通過注冊表啟動（好像現在大部
分的木馬都是通過注冊表啟動的，至少也把注冊表作為一個自我保護的方式），那麼，
我們同樣可以通過檢查注冊表來發現"馬蹄印",冰河在注冊表裡留下的痕跡請參照《潛
行篇》。
4.查找文件
查找木馬特定的文件也是一個常用的方法（這個我知道,冰河的特徵文件是
G_Server.exe吧? 笨蛋!哪會這麼簡單,冰河是狡猾狡猾的......）冰河的一個特徵文件
是kernl32.exe(靠,偽裝成Windows的內核呀),另一個更隱蔽,是sysexlpr.exe(什麼什麼
,不是超級解霸嗎?)對！冰河之所以給這兩個文件取這樣的名字就是為了更好的偽裝自
己, 只要刪除了這兩個文件,冰河就已經不起作用了。其他的木馬也是一樣（廢話，
Server端程序都沒了，還能干嘛？）
黃鑫:"咳咳,不是那麼簡單哦......"(狡猾地笑)
是的, 如果你只是刪除了sysexlpr.exe而沒有做掃尾工作的話,可能會遇到一些麻
煩-就是你的文本文件打不開了,因為前面說了,sysexplr.exe是和文本文件關聯的,你還
必須把文本文件跟notepad關聯上,方法有三種:
a.更改注冊表(我就不說了,有能力自己改的想來也不要我說,否則還是不要亂動的
好)
b.在<我的電腦>-查看-文件夾選項-文件類型中編輯
c.按住SHIFT鍵的同時鼠標右擊任何一個TXT文件,選擇打開方式,選中<始終用該程
序打開......>,然後找到notepad,點一下就OK了。（這個最簡單，推薦使用）
黃鑫﹕"我...我笑不起來了 "
提醒一下，對於木馬這種狡猾的東西，一定要小心又小心，冰河是和txt文件關聯
的，txt打不開沒什麼大不了，如果木馬是和exe文件關聯而你貿然地刪了它......你苦
了！連regedit都不能運行了！
5.殺病毒軟件
之所以把殺病毒軟件放在最後是因為它實在沒有太大的用,包括一些號稱專殺木馬
的軟件也同樣是如此, 不過對於過時的木馬以及菜鳥安裝的木馬(沒有配置服務端)還是
有點用處的, 值得一提的是最近新出來的ip armor在這一方面可以稱得上是比較領先的
,它采用了監視動態鏈接庫的技術,可以監視所有調用Winsock的程序，並可以動態殺除
進程，是一個個人防御的好工具（雖然我對傳說中“該軟件可以查殺未來十年木馬”的
說法表示懷疑，嘿嘿，兩年後的事都說不清，誰知道十年後木馬會“進化”到什麼程度
？甚至十年後的操作系統是什麼樣的我都想象不出來）
另外，對於驅動程序/動態鏈接庫木馬，有一種方法可以試試，使用Windows的"系
統文件檢查器"，通過"開始菜單"-"程序"-"附件"-"系統工具"-"系統信息"-"工具"可以
運行"系統文件檢查器"(這麼詳細,不會找不到吧? 什麼,你找不到! 吐血! 找一張98安
裝盤補裝一下吧), 用“系統文件檢查器”可檢測操作系統文件的完整性，如果這些文
件損壞，檢查器可以將其還原，檢查器還可以從安裝盤中解壓縮已壓縮的文件（如驅動
程序）。如果你的驅動程序或動態鏈接庫在你沒有升級它們的情況下被改動了,就有可
能是木馬(或者損壞了),提取改動過的文件可以保證你的系統安全和穩定。(注意,這個
操作需要熟悉系統的操作者完成,由於安裝某些程序可能會自動升級驅動程序或動態鏈
接庫,在這種情況下恢複"損壞的"文件可能會導致系統崩潰或程序不可用！)
五、狡詐篇（只要你的一點點疏忽......)
只要你有一點點的疏忽，就有可能被人安裝了木馬，知道一些給人種植木馬的常見
伎倆對於保證自己的安全不無裨益。
1.網上“幫”人種植木馬的伎倆主要有以下的幾條
a.軟哄硬騙法；
這個方法很多啦, 而且跟技術無關的, 有的是裝成大蝦, 有的是裝成PLMM, 有的
態度謙恭, 有的......反正目的都一樣,就是讓你去運行一個木馬的服務端。
b.組裝合成法
就是所謂的221(Two To One二合一)把一個合法的程序和一個木馬綁定,合法程序
的功能不受影響,但當你運行合法程序時,木馬就自動加載了,同時,由於綁定後程序的代
碼發生了變化,根據特徵碼掃描的殺毒軟件很難查找出來。
c.改名換姓法
這個方法出現的比較晚,不過現在很流行,對於不熟練的windows操作者，很容易
上當。具體方法是把可執行文件偽裝成圖片或文本----在程序中把圖標改成Windows的
默認圖片圖標, 再把文件名改為*.jpg.exe, 由於Win98默認設置是"不顯示已知的文件
後綴名",文件將會顯示為*.jpg, 不注意的人一點這個圖標就中木馬了(如果你在程序中
嵌一張圖片就更完美了)
d.願者上鉤法
木馬的主人在網頁上放置惡意代碼，引誘用戶點擊，用戶點擊的結果不言而喻﹕
開門揖盜;奉勸﹕不要隨便點擊網頁上的鏈接，除非你了解它，信任它，為它死了也願
意...（什麼亂七八糟呀）
2． 幾點注意（一些陳詞濫調）
a．不要隨便從網站上下載軟件,要下也要到比較有名、比較有信譽的站點，這些站
點一般都有專人殺馬殺毒；
b．不要過於相信別人，不能隨便運行別人給的軟件；
（特別是認識的，不要以為認識了就安全了，就是認識的人才會給你裝木馬,哈哈,挑撥
離間......）
c．經常檢查自己的系統文件、注冊表、端口什麼的，經常去安全站點查看最新的
木馬公告；
d.改掉windows關於隱藏文件後綴名的默認設置(我是只有看見文件的後綴名才會放
心地點它的)
e．如果上網時發現莫名奇妙地硬盤亂響或貓上的數據燈亂閃，要小心；
（我常常會突然關掉所有連接，然後盯著我的貓，你也可以試試，要是這時數據傳送
燈還在拼命閃，恭喜，你中木馬了，快逃吧！）
六、後記
這篇文章的問世首先要感謝冰河的作者-黃鑫，我對他說﹕“我要寫篇關於冰河的
文章”，他說﹕“寫唄”，然後就有了這篇文章的初稿（黃鑫﹕“不是吧，你答應要用
稿費請我吃飯的，不要賴哦”），隨後，黃鑫給我提了很多建議並提供了不少資料,謝
謝冰河。
其次是西祠的yagami，他是公認的木馬專家，在我寫作期間，他不僅在木馬的檢
測、殺除方面提出了不少自己的看法，還給我找來了幾個木馬的源代碼作為參考，不過
這個家伙實在太忙，所以想看《特洛伊木馬看過來》的朋友就只有耐心地等待了。
第三個值得一提的家伙是武漢人，我的初稿一出來，他就忙不迭地貼出去了，當時
我很狼狽，只能加緊寫，爭取早日完成，趕快把漏洞百出的初稿換下來，要不然，嘿
嘿，估計大家也要等個一年半載的才能看到這篇文章了。
這篇文章的初稿出來以後，有很多朋友問﹕為什麼不用C++，而要用VB來寫木馬的
源碼說明呢？呵呵，其一是我很懶，VB比 VC要容易多了,還不會把windows搞死機(我用
VC寫程序曾經把系統搞崩潰過的:P);其二,本文中能用API的,我基本上都用了,VB只是很
小的一塊, WINAPI嘛,移植起來是很容易的;其三,正如我前面強調的,本文只是對木馬的
結構和原理進行一番討論,並非教人如何編寫木馬程序,要知道,公安部已經正式下文:在
他人計算機內下毒的要處以刑事處分。相比而言，VB代碼的危害性要小很多的（如果完
全用VB做一個冰河，大概要一兆多，還不連那些控件和動態鏈接庫文件，呵呵，這麼龐
大的程序，能悄 悄 地在別人的機子裡搗鬼嗎？）
最後，作為冰河的朋友，我希望大家能抱著學術的態度來看這篇文章，同樣能抱著
學術的態度來看待冰河木馬，不要用冰河做壞事，我替黃鑫先謝謝你了！(監視自己的
女朋友不算，不過冰河不會對因為使用冰河導致和女友吵架直至分手負任何責任）
附錄﹕常見的一些木馬的端口（轉）
port 21 - Back Construction, Blade Runner, Doly Trojan, Fore, FTP trojan,
Invisible FTP, Larva,WebEx, WinCrash
port 23 - Tiny Telnet Server (= TTS)
port 25 - Ajan, Antigen, Email Password Sender, Haebu Coceda (= Naebi),
Happy 99, Kuang2, ProMail trojan, Shtrilitz, Stealth, Tapiras, Terminator,
WinPC, WinSpy
port 31 - Agent 31, Hackers Paradise, Masters Paradise
port 41 - DeepThroat
port 59 - DMSetup
port 79 - Firehotcker
port 80 - Executor, RingZero
port 99 - Hidden Port
port 110 - ProMail trojan
port 113 - Kazimas
port 119 - Happy 99
port 121 - JammerKillah
port 421 - TCP Wrappers
port 456 - Hackers Paradise
port 531 - Rasmin
port 555 - Ini-Killer, NeTAdmin, Phase Zero, Stealth Spy
port 666 - Attack FTP, Back Construction, Cain & Abel, Satanz Backdoor,
ServeU, Shadow Phyre
port 911 - Dark Shadow
port 999 - DeepThroat, WinSatan
port 1001 - Silencer, WebEx
port 1010 - Doly Trojan
port 1011 - Doly Trojan
port 1012 - Doly Trojan
port 1015 - Doly Trojan
port 1024 - NetSpy
port 1042 - Bla
port 1045 - Rasmin
port 1090 - Xtreme
port 1170 - Psyber Stream Server, Streaming Audio trojan, Voice
port 1234 - Ultors Trojan
port 1243 - SubSeven
port 1245 - VooDoo Doll
port 1269 - Mavericks Matrix
port 1349 (UDP) - BO DLL
port 1492 - FTP99CMP
port 1509 - Psyber Streaming Server
port 1600 - Shivka-Burka
port 1807 - SpySender
port 1981 - Shockrave
port 1999 - BackDoor
port 1999 - TransScout
port 2000 - TransScout
port 2001 - TransScout
port 2001 - Trojan Cow
port 2002 - TransScout
port 2003 - TransScout
port 2004 - TransScout
port 2005 - TransScout
port 2023 - Ripper
port 2115 - Bugs
port 2140 - Deep Throat, The Invasor
port 2155 - Illusion Mailer
port 2283 - HVL Rat5
port 2565 - Striker
port 2583 - WinCrash
port 2600 - Digital RootBeer
port 2801 - Phineas Phucker
port 2989 (UDP) - RAT
port 3024 - WinCrash
port 3128 - RingZero
port 3129 - Masters Paradise
port 3150 - Deep Throat, The Invasor
port 3459 - Eclipse 2000
port 3700 - Portal of Doom
port 3791 - Eclypse
port 3801 (UDP) - Eclypse
port 4092 - WinCrash
port 4321 - BoBo
port 4567 - File Nail
port 4590 - ICQTrojan
port 5000 - Bubbel, Back Door Setup, Sockets de Troie
port 5001 - Back Door Setup, Sockets de Troie
port 5011 - One of the Last Trojans (OOTLT)
port 5031 - NetMetro
port 5321 - Firehotcker
port 5400 - Blade Runner, Back Construction
port 5401 - Blade Runner, Back Construction
port 5402 - Blade Runner, Back Construction
port 5550 - Xtcp
port 5512 - Illusion Mailer
port 5555 - ServeMe
port 5556 - BO Facil
port 5557 - BO Facil
port 5569 - Robo-Hack
port 5742 - WinCrash
port 6400 - The Thing
port 6669 - Vampyre
port 6670 - DeepThroat
port 6771 - DeepThroat
port 6776 - BackDoor-G, SubSeven
port 6912 - Shit Heep (not port 69123!)
port 6939 - Indoctrination
port 6969 - GateCrasher, Priority, IRC 3
port 6970 - GateCrasher
port 7000 - Remote Grab, Kazimas
port 7300 - NetMonitor
port 7301 - NetMonitor
port 7306 - NetMonitor
port 7307 - NetMonitor
port 7308 - NetMonitor
port 7789 - Back Door Setup, ICKiller
port 8080 - RingZero
port 9400 - InCommand
port 9872 - Portal of Doom
port 9873 - Portal of Doom
port 9874 - Portal of Doom
port 9875 - Portal of Doom
port 9876 - Cyber Attacker
port 9878 - TransScout
port 9989 - iNi-Killer
port 10067 (UDP) - Portal of Doom
port 10101 - BrainSpy
port 10167 (UDP) - Portal of Doom
port 10520 - Acid Shivers
port 10607 - Coma
port 11000 - Senna Spy
port 11223 - Progenic trojan
port 12076 - Gjamer
port 12223 - Hack?9 KeyLogger
port 12345 - GabanBus, NetBus, Pie Bill Gates, X-bill
port 12346 - GabanBus, NetBus, X-bill
port 12361 - Whack-a-mole
port 12362 - Whack-a-mole
port 12631 - WhackJob
port 13000 - Senna Spy
port 16969 - Priority
port 17300 - Kuang2 The Virus
port 20000 - Millennium
port 20001 - Millennium
port 20034 - NetBus 2 Pro
port 20203 - Logged
port 21544 - GirlFriend
port 22222 - Prosiak
port 23456 - Evil FTP, Ugly FTP, Whack Job
port 23476 - Donald Dick
port 23477 - Donald Dick
port 26274 (UDP) - Delta Source
port 29891 (UDP) - The Unexplained
port 30029 - AOL Trojan
port 30100 - NetSphere
port 30101 - NetSphere
port 30102 - NetSphere
port 30303 - Sockets de Troi
port 30999 - Kuang2
port 31336 - Bo Whack
port 31337 - Baron Night, BO client, BO2, Bo Facil
port 31337 (UDP) - BackFire, Back Orifice, DeepBO
port 31338 - NetSpy DK
port 31338 (UDP) - Back Orifice, DeepBO
port 31339 - NetSpy DK
port 31666 - BOWhack
port 31785 - Hack'a'tack
port 31787 - Hack'a'tack
port 31788 - Hack'a'tack
port 31789 (UDP) - Hack'a'tack
port 31791 (UDP) - Hack'a'tack
port 31792 - Hack'a'tack
port 33333 - Prosiak
port 33911 - Spirit 2001a
port 34324 - BigGluck, TN
port 40412 - The Spy
port 40421 - Agent 40421, Masters Paradise
port 40422 - Masters Paradise
port 40423 - Masters Paradise
port 40426 - Masters Paradise
port 47262 (UDP) - Delta Source
port 50505 - Sockets de Troie
port 50766 - Fore, Schwindler
port 53001 - Remote Windows Shutdown
port 54320 - Back Orifice 2000
port 54321 - School Bus
port 54321 (UDP) - Back Orifice 2000
port 60000 - Deep Throat
port 61466 - Telecommando
port 65000 - Devil
注﹕開了上面的端口未必就是中了木馬，有的端口本來就是正常的端口，只是被木
馬利用了，有的防火牆也會打開一些端口來監控（很無聊的做法），判斷木馬是一門較
深的學問，如果你有什麼疑問和建議，請和我聯系
贊助商連結