木马主要特征_木马程序的基本特征

人类木马程序的特征

       今日第二天阅读李欣频的《人类木马程序》，第二章“人类木马程序的特征”。一边看，一边思考，里面有很多新鲜词汇，我觉得好的都摘抄下来，以及有一些自己的思考。

       这个章节主要叙述了人类木马程序的六大特征，在我仔细拜读的过程中，也在慢慢扫描自己身上的木马，进而察觉，通过扫毒软件清除自带木马。那么接下来我讲述一下哪六大特征。

       之一个特征：让人误以为是真的，以为是不可改变的真理、真相。

       绝大部分的木马程序都是被所谓的“正面信念”包裹着，因为我们从小到大的教育是要往正向走，所以 对于表面看似正向的讯息没有警觉 ，木马程序通常不会被我们的防御系统挡在外面，这就是为什么正面思考很多时候反而变成了锁住自己的木马程序。

       作者用名言“吃得苦中苦，方为人上人”举例说明其中暗藏的木马程序模组。“吃得苦中苦”暗藏着不自信之择苦模组；“方为人上人”暗藏着怕落后模组。

       我是一个矛盾的人，时而自信时而自卑。如果是我一直重复练习，比较熟练的领域，我确实可以表现出来自信，毕竟是自己能够掌控的事情。但是对于没有接触过的比如舞台，我就会自卑，我想着自己的普通，穿着普通，气质普通，个子也不高，你看，我在写这些的时候，这些不自信模组就在无意识中进入了我的大脑。

       我又不想努力，不想去学习穿搭，因为要花钱，于是我就想着我这辈子就这样了吧，只能一直在自己的小圈子里蹦跶，在自己的舒适圈里自信一会，因为出了舒适圈我就会开始自卑，觉得自己不够好。

       当我看到别人参加了什么线下课程，看到别人又通过什么方式变现了，又get到了什么新技能，又有什么开心的事情，这些都会让产生怕落后的木马程序。

       我知道我要觉察自己的这些木马程序，然后 通过学习，通过接纳的方式清除这些木马程序。

        第二个特征：让人只选择看到、听到与这组木马程序相符合的概念，不符合此概念的，既看不到，也听不到，可称之为“不注意视盲、耳聋”。

       在爱情里、婚姻里，误会可以让人冲昏头脑。有一对夫妻，突然有一段时间，老公经常夜不归宿，按照老公的说法是天天在公司加班（估且是真的）。老婆觉得不放心，有一天晚上在老公公司楼下等他，看到老公出来还挺高兴的，觉得真的在加班。让人没想到是老公居然和自己的闺蜜一起出来，然后闺蜜还上了他的车。这个故事接下来的结局，大家可以想象，妻子很可能大闹一场，认为老公是不是在外偷情，这个时候妻子的大脑已经被植入了怀疑模组，只相信自己看到的、听到的，完全不想听丈夫的解释。

       第三个特征：有竞争与评比标准，让人变得有压力，感觉能量萎缩、不开心、扭曲本貌、自责自己不够好，以为未来可以有一个“更好的自己”。所以当事人会抓着木马程序不放，也不愿改变，因为他以为这是可以激励让自己更好、不断前进向上的信念。

       当你带着“觉得自己不够好”的焦虑频率时，木马就会进入你心城中的洞缺，创造出各种让你花钱、花时间、花生命的开始。我们经常会看到整容上瘾的新闻，整完鼻子，整嘴唇，各种整，最后损害了自己的健康；觉得自己不够好，想通过学习来改善自己，于是只能去付费，认为付费了自己就可以学到很多，但最后发现什么也没有学到，更焦虑了。因为各种上课让自己负债累累，内心还沾沾自喜觉得自己付出了好多，很努力，却不知已中焦虑、觉得自己不被爱的木马程序模组。

       我每年都去考试，但是每年都因为时间，因为自己内心不够强大而考不过。于是总想着去哪报个班，报完线上班，报线下班，想着花钱了我就会更加努力，肯定就可以考过了。最后发现越报课越焦虑，越焦虑越考不过，原来我中木马程序多年却不知道，看了这本书，才知道，我们要自己主动去觉察木马程序，然后将阻碍成长的木马程序清除。

       人和人比气死人，当我们一旦把自己和别人比，焦虑木马程序马上植入，我们的行为举止又将引来自毁模组，这一系列的“鬼打墙”让我们真的像旋转木马一样，一直在原地打圈圈，无法往前前进。

       第四个特征：想要达到的目标与内在潜藏的木马程序冲突却不自知，就像一支箭无法同时射向两个靶心，内在所欲与外在行为来回拉扯的“矛盾性”，导致梦想永远不会聚焦成真。

       人一旦中了木马程序，内心真正想要的，与木马程序内建的方向会形成相违的状态，而当事人浑然不知。学习了演讲后，发现人性真是这样，很多人都是这样矛盾的活着。明明我们每个人的内心都非常渴望舞台，但是你要真有机会上台，你就发憱、害怕、胡思乱想，

        我有一个朋友一直备孕未果，她和先生检查身体都没有任何问题。我问她：“如果现在有了孩子，你最害怕什么？”她不假思索的说：“我害怕失去自由，害怕房贷，害怕没有工作，害怕没有钱。”你看当你问自己这些问题的时候，你就知道了问题所在，内心想要的和木马程序内建反向不一致，这些问题就是搜出卡在你和愿望之间的木马程序的强力扫毒软件。

        愿望不在未来或者远方，而应该转向聆听内在真正渴求的声音。当我们有愿望时，问自己：我真正的动机是什么？我到底想要什么？我能把自己调整成已完成的频率状态吗？

        第 五个特征：木马程序被内建成功后，当事人会无意识、不经思考地直接反应、说话、动作、行为，而越来越偏离自己真正想要的。而且中了一个主要模组之后，会导致自己的关系 *** ，包括家庭关系、伴侣关系、人际关系、工作事业、财富资源、身体健康……全方位都一起联动出问题。

       只要是对未到的未来预设“负向频率”，都是木马程序。一旦木马程序内建完毕，往往会使当事人形成“快速且自动化无意识”的处理方式。除非当事人觉察并中止，否则就会以木马程序所发射的频率为聚焦目标，来建构接下来的实相---我们的习惯就是我们自身推定的结果。

      第六个特征：让人从这组木马程序，开始启动一连串“追逐虚幻不实目标”的过程，无穷无尽直到 *** 或筋疲力尽为止，这会浪费非常多的生命时间，甚至严重到自弃自毁。

      在你觉察到自己或者别人又是重复“鬼打墙”般的话语与行为时，请先用“是爱还是恐惧”来做初步筛选。

      比如我想去参加一个训练营的复训，这大概是第三次复训吧，我是出于内心真正想学习，是为了好玩，为了自己开心，还是为了让自己不落后别人。这是初步筛选，我是因为焦虑而上的这个课，那么我是带着焦虑的频率去的。

       看到这里，终于懂了一点李欣频每次在直播的时候说的调频是什么意思了。当潜意识和无意识层保持一致，我们就没有木马程序。初步筛选没有成功，还可以进行深度快筛法，如果不去上这个课，行吗？如果不上这个课就会感到焦虑不安，这就算是中了木马程序，因为在内心过度依赖这个课带来的开心学习。

       在清除木马程序之前，所有“努力向前”都是在强大你的木马，直到你被耗尽能量，完全锁死。

什么是木马程序？她是怎么发挥功能？

木马,全称特洛伊木马（Trojan horse），这个词语来源于古希腊神话，在计算机领域是一种客户/服务器程序，是黑客最常用的基于远程控制的工具。目前，比较有名的国产木马有：“冰河”、“广外女生”、“黑洞”、“黑冰”等；国外有名的木马则有：“SubSeven”、“Bo2000(Back Orifice)”、“NetSpy”、“Asylum”等。木马对计算机系统和 *** 安全危害相当大，因此，如何防范特洛伊木马入侵成为了计算机 *** 安全的重要内容之一。

1 木马的实现原理及特征

1.1 木马的实现原理

从本质上看，木马都是 *** 客户/服务模式，它分为两大部分,即客户端和服务端。其原理是一台主机提供服务(服务器) ,另一台主机接受服务(客户机),作为服务器的主机一般会打开一个默认的端口进行监听。如果有客户机向服务器的这一端口提出连接请求,服务器上的相应程序就会自动运行,来应答客户机的请求。这个程序被称为守护进程。

当攻击者要利用木马进行 *** 入侵，一般都要完成“向目标主机传播木马”，“启动和隐藏木马”，“建立连接”，“远程控制”等环节。

1.2 木马的特征

一个典型的木马程序通常具有以下四个特征：隐蔽性、欺骗性、顽固性和危害性。

(1)隐蔽性：隐蔽性是木马的生命力，也是其首要特征。木马必须有能力长期潜伏于目标机器中而不被发现。一个隐蔽性差的木马往往会很容易暴露自己，进而被杀毒（或杀马）软件，甚至用户手工检查出来，这样将使得这类木马变得毫无价值。木马的隐蔽性主要体现在以下两方面：

a.不产生图标。木马虽然在系统启动时会自动运行，但它不会在“任务栏”中产生一个图标。

b.木马自动在任务管理器中隐藏或者以“系统服务”的方式欺骗操作系统。这也就使得要及时了解是否中了木马带来了一定的困难。

(2)欺骗性：木马常常使用名字欺骗技术达到长期隐蔽的目的。它经常使用常见的文件名或扩展名，如dll、win、sys、explorer等字样，或者仿制一些不易被人区别的文件名，如字母“l”与数字“1”、字母“o”与数字“0”，常常修改几个文件中的这些难以分辨的字符，更有甚者干脆就借用系统文件中已有的文件名，只不过它保存在不同路径之中而已。

(3)顽固性：很多木马的功能模块已不再是由单一的文件组成，而是具有多重备份，可以相互恢复。当木马被检查出来以后，仅仅删除木马程序是不行的，有的木马使用文件关联技术，当打开某种类型的文件时，这种木马又重新生成并运行。

(4)危害性：当木马被植入目标主机以后，攻击者可以通过客户端强大的控制和破坏力对主机进行操作。比如可以窃取系统密码，控制系统的运行，进行有关文件的操作以及修改注册表等。

2 木马入侵手段

木马能不能完全发挥它的功能和作用，关键一步就是能否成功地进入到目标主机。随着 *** 知识的普及以及 *** 用户安全意识的提高，木马的入侵手段也随着发生了许多变化。

2.1木马的传统入侵手段

所谓传统入侵手段就是指大多数木马程序采取的、已经广为人知的传播方式，主要有以下几种：

1)电子邮件（E-mail）进行传播：攻击者将木马程序伪装成E-mail附件的形式发送过去，收信方只要查看邮件附件就会使木马程序得到运行并安装进入系统。

2) *** 下载进行传播：一般的木马服务端程序都不是很大，更大也不超过200K，有的甚至只有几K。如果把木马捆绑到其它正常文件上，是很难发现的。一些非正规的网站以提供软件下载为名，将木马捆绑在软件安装程序上，下载后，只要运行这些程序，木马就会自动安装。通过Script、ActiveX及Asp、Cgi交互脚本的 *** 传播：由于微软的浏览器在执行Script脚本上存在一些漏洞，攻击者可以利用这些漏洞传播病毒和木马，甚至直接对浏览者主机进行文件操作等控制。如果攻击者有办法把木马服务端程序上载到目标主机的一个可执行WWW目录夹里面，他就可以通过编制Cgi程序在被攻击的目标主机上执行木马程序。

3)网页浏览传播：这种 *** 利用Java Applet编写出一个HTML网页，当我们浏览该页面时，Java Applet会在后台将木马程序下载到计算机缓存中，然后修改注册表，使指向木马程序。

4)利用系统的一些漏洞进行传播：如微软著名的IIS服务器溢出漏洞，通过一个IISHACK攻击程序即可把IIS服务器崩溃，并且同时在受控服务器执行木马程序。

5)远程入侵进行传播：黑客通过破解密码和建立IPC$远程连接后登陆到目标主机，将木马服务端程序拷贝到计算机中的文件夹（一般在C:\WINDOWS\system32或者C:\WINNT\system32）中，然后通过远程操作让木马程序在某一个时间运行。

2.2 木马入侵手段的发展

以上的木马入侵手段虽然使用广泛，但也很容易引起用户的警觉，所以一些新的入侵手段也相继出现，主要有：

1) 基于DLL和远程线程插入的木马植入

这种传播技术是以DLL的形式实现木马程序，然后在目标主机中选择特定目标进程（如系统文件或某个正常运行程序），由该进程将木马DLL植入到本系统中。

DLL文件的特点决定了这种实现形式的木马的可行性和隐藏性。首先，由于DLL文件映像可以被映射到调用进程的地址空间中，所以它能够共享宿主进程（调用DLL的进程）的资源，进而根据宿主进程在目标主机的级别未授权地访问相应的系统资源。其次，因为DLL没有被分配独立的进程地址空间，也就是说DLL的运行并不需要创建单独的进程，所以从系统的进程列表里看不见DLL的运行踪迹，从而可以避免在目标主机中留下木马进程踪迹，因此满足了隐蔽性的要求。将木马程序以DLL的形式实现后，需要使用插入到目标进程中的远程线程将该木马DLL插入到目标进程的地址空间，即利用该线程通过调用Load Library函数来加载木马DLL，从而实现木马的传播。

2)利用蠕虫病毒传播木马

以前的木马传播大都比较被动，而使用E-mail传播效率又太低，系统漏洞很快又被打上补丁，所以在某种程度上限制了木马的传播能力。 *** 蠕虫病毒具有很强的传染性和自我复制能力，将木马和蠕虫病毒结合在一起就可以大大地提高木马的传播能力。结合了蠕虫病毒的木马利用病毒的特性，在 *** 上大批量地进行传播、复制，这就加快了木马的传播速度，扩大了其传播范围。

3 木马的防范措施

为了减少或避免木马给主机以及 *** 带来危害，我们可以从两方面来有效地防范木马：使用防火墙阻止木马入侵以及及时查杀入侵后的木马。

防火墙是抵挡木马入侵的之一道门，也是更好的方式。绝大多数木马都是必须采用直接通讯的方式进行连接，防火墙可以阻塞拒绝来源不明的TCP数据包。防火墙的这种阻塞方式还可以阻止UDP、ICMP等其它IP数据包的通讯。防火墙完全可以进行数据包过滤检查，在适当规则的限制下，如对通讯端口进行限制，只允许系统接受限定几个端口的数据请求,这样即使木马植入成功,攻击者也是无法进入到你的系统,因为防火墙把攻击者和木马分隔开来了。但是，仍然有一些木马可以绕过防火墙进入目标主机（比如反弹端口木马），还有一些将端口寄生在合法端口上的木马，防火墙对此也无能为力。因此，我们必须要能迅速地查杀出已经入侵的木马。

木马的一些基本特征

“木马”程序会想尽一切办法隐藏自己，主要途径有:在任务栏中隐藏自己，这是最基本的办法。只要把Form的Visible属性设为False，ShowInTaskBar设为False，程序运行时就不会出现在任务栏中了。在任务管理器中隐形:将程序设为“系统服务”可以很轻松地伪装自己。当然它也会悄无声息地启动，黑客当然不会指望用户每次启动后点击“木马”图标来运行服务端，“木马”会在

每次用户启动时自动装载。Windows系统启动时自动加载应用程序的 *** ，“木马”都会用上，如:启动组、Win.ini、System.ini、注册表等都是“木马”藏身的好地方。

下面具体谈谈“木马”是怎样自动加载的。在Win.ini文件中，在[WINDOWS]下面，“run=”和 “load=”是可能加载“木马”程序的途径，必须仔细留心它们。一般情况下，它们的等号后面应该什么都没有，如果发现后面跟有路径与文件名不是你熟悉的启动文件，你的计算机就可能中“木马”了。当然你也得看清楚，因为好多“木马”，如“AOL Trojan木马”，它把自身伪装成 command.exe(真正的系统文件为command.com)文件，如果不注意可能不会发现它不是真正的系统启动文件(特别是在Windows窗口下)。

在System.ini文件中，在[BOOT]下面有个“shell=文件名”。正确的文件名应该是“explorer.exe”，如果不是“explorer.exe”，而是“shell= explorer.exe程序名”，那么后面跟着的那个程序就是“木马”程序，就是说你已经中“木马”了。注册表中的情况最复杂，通过regedit命令打开注册表编辑器，在点击至:“HKEY-LOCAL-MACHINESoftwareMicrosoftWindowsCurrentVersionRun”目录下，查看键值中有没有自己不熟悉的自动启动文件，扩展名为EXE，这里切记:有的“木马”程序生成的文件很像系统自身文件，想通过伪装蒙混过关，如“Acid Battery v1.0木马”，它将注册表“HKEY-LOCAL-MACHINESO FTWAREMicrosoftWindowsCurrentVersionRun”下的Explorer键值改为Explorer= “C:WINDOWSexpiorer.exe”，“木马”程序与真正的Explorer之间只有“i”与“l”的差别。当然在注册表中还有很多地方都可以隐藏“木马”程序，如:“HKEY-CURRENTUSERSoftwareMicrosoftWindowsCurrentVersionRun”、“HKEY-USERS****SoftwareMicrosoftWindowsCurrentVersionRun”的目录下都有可能，更好的办法就是在“HKEY-LOCAL-MACHINESoftwareMicrosoftWindowsCurrentVersionRun”下找到“木马”程序的文件名，再在整个注册表中搜索即可。

知道了“木马”的工作原理，查杀“木马”就变得很容易，如果发现有“木马”存在，最有效的 *** 就是马上将计算机与 *** 断开，防止黑客通过 *** 对你进行攻击。然后编辑win.ini文件，将[WINDOWS]下面，“run=“木马”程序”或“load=“木马”程序”更改为“run=”和“load=”;编辑system.ini文件，将[BOOT]下面的“shell=‘木马'文件”，更改为:“shell=explorer.exe”;在注册表中，用regedit对注册表进行编辑，先在“HKEY-LOCAL-MACHINESoftwareMicrosoftWindowsCurrentVersionRun”下找到“木马”程序的文件名，再在整个注册表中搜索并替换掉“木马”程序，有时候还需注意的是:有的“木马”程序并不是直接 将“HKEY-LOCAL-MACHINESoftwareMicrosoftWindowsCurrentVersionRun”下的“木马”键值删除就行了，因为有的“木马”如:BladeRunner“木马”，如果你删除它，“木马”会立即自动加上，你需要的是记下“木马”的名字与目录，然后退回到MS-DOS下，找到此“木马”文件并删除掉。

木马病毒的主要特征是

计算机木马的主要特征包括隐蔽性、自动运行性、欺骗性、自动恢复、自动打开端口五种木马程序。

隐蔽性:隐蔽性是指木马必须隐藏在目标计算机中，以免被用户发现。

自动运行性:木马的自动运行性是指木马会随着计算机系统的启动而自动启动，所以木马必须潜入计算机的启动配置文件中，如启动组或者系统进程。

欺骗性:木马之所以具有欺骗性，是为了防止一眼就被计算机用户认出。

自动恢复:木马的自动恢复是指当木马的某一功能模块丢失时，它能够自动恢复成丢失之前的状态。

自动打开端口:木马潜入目标计算机的目的不是为了破坏文件，即使为了获取目标计算机中的有用信息，因此就需要保证能与目标计算机进行通信。

木马的特点包括

“木马”程序是目前比较流行的病毒文件，与一般的病毒不同，它不会自我繁殖，也并不“刻意”地去感染其他文件，它通过将自身伪装吸引用户下载执行，向施种木马者提供打开被种者电脑的门户，使施种者可以任意毁坏、窃取被种者的文件，甚至远程操控被种者的电脑。“木马”与计算机 *** 中常常要用到的远程控制软件有些相似，但由于远程控制软件是“善意”的控制，因此通常不具有隐蔽性；“木马”则完全相反，木马要达到的是“偷窃”性的远程控制，如果没有很强的隐蔽性的话，那就是“毫无价值”的。

　 一个完整的“木马”程序包含了两部分：“服务器”和“控制器”。植入被种者电脑的是“服务器”部分，而所谓的“黑客”正是利用“控制器”进入运行了“服务器”的电脑。运行了木马程序的“服务器”以后，被种者的电脑就会有一个或几个端口被打开，使黑客可以利用这些打开的端口进入电脑系统，安全和个人隐私也就全无保障了！

木马程序的基本特征有哪些？

木马是病毒的一种，同时木马程序又有许多种不同的种类，那是受不同的人、不同时期开发来区别的，如BackOrifice(BO)、BackOrifice2000、Netspy、Picture、Netbus、Asylum、冰河等等这些都属于木马病毒种类。综合现在流行的木马程序，它们都有以下基本特征

隐蔽性

如其它所有的病毒一样，木马也是一种病毒，它必需隐藏在系统之中。很多人对木马和远程控制软件有点分不清，因为木马程序就要通过木马程序驻留目标机器后通过远程控制功能控制目标机器。

实际上他们两者的更大区别就是在于这一点，举个例子来说吧，进行局域网间通讯软件——PCanywhere。PCanwhere在服务器端运行时，客户端与服务器端连接成功后客户端机上会出现很醒目的提示标志。

而木马类的软件的服务器端在运行的时候应用各种手段隐藏自己,不可能还出现什么提示，这些黑客们早就想到了方方面面可能发生的迹象，把它们扼杀了。

它的隐蔽性主要体现在两个方面：

不产生图标。它虽然在你系统启动时会自动运行，但它不会在“任务栏”中产生一个图标，这是容易理解的，不然的话，凭你的火眼金睛你一定会发现它的。我们知道要想在任务栏中隐藏图标，只需要在木马程序开发时把“Form”的“Visible”属性设置为“False”、把“ShowintaskBar”属性设置为“Flase”即可；

木马程序自动在任务管理器中隐藏，并以“系统服务”的方式欺骗操作系统。

自动运行性

它是一个当你系统启动时即自动运行的程序，所以它必需潜入在你的启动配置文件中，如win.ini、system.ini、winstart.bat以及启动组等文件之中。

欺骗性

木马程序要达到其长期隐蔽的目的，就必需借助系统中已有的文件，以防被你发现，它经常使用的是常见的文件名或扩展名，如“dll\\win\\sys\\explorer等字样，或者仿制一些不易被人区别的文件名，如字母“l”与数字“1”、字母“o”与数字“0”，常修改基本个文件中的这些难以分辨的字符，更有甚者干脆就借用系统文件中已有的文件名，只不过它保存在不同路径之中。还有的木马程序为了隐藏自己，也常把自己设置成一个ZIP文件式图标，当你一不小心打开它时，它就马上运行。等等这些手段那些编制木马程序的人还在不断地研究、发掘，总之是越来越隐蔽，越来越专业，所以有人称木马程序为“骗子程序”。

自动恢复功能

现在很多的木马程序中的功能模块已不再是由单一的文件组成，而是具有多重备份，可以相互恢复。

能自动打开特别的端口

木马程序潜入人的电脑之中的目的不主要为了破坏你的系统，更是为了获取你的系统中有用的信息，这样就必需当你上网时能与远端客户进行通讯，这样木马程序就会用服务器/客户端的通讯手段把信息告诉黑客们，以便黑客们控制你的机器，或实施更加进一步入侵企图。

功能的特殊性

通常的木马的功能都是十分特殊的，除了普通的文件操作以外，还有些木马具有搜索cache中的口令、设置口令、扫描目标机器人的IP地址、进行键盘记录、远程注册表的操作、以及锁定鼠标等功能,上面所讲的远程控制软件的功能当然不会有的，毕竟远程控制软件是用来控制远程机器，方便自己操作而已，而不是用来黑对方的机器的。

黑客组织趋于公开化

以往还从未发现有什么公开化的病毒组织，多数病毒是由个别人出于好奇，想试一下自己的病毒程序开发水平而做的，但他（她）绝对不敢公开，因为一旦发现是有可能被判坐牢或罚款的，这样的例子已不再什么新闻了。如果以前真的也有专门开发病毒的病毒组织，但应绝对是属于“地下”的。

现在倒好，什么专门开发木马程序的组织到处都是，不光存在，而且还公开在网上大肆招兵买马，似乎已经合法化。正因如此所以黑客程序不断升级、层出不穷，黑的手段也越来越高明。我不知道为什么，但据讲其理由是“为了自卫、为了爱国”。