木马的隐藏方式
手机木马原理
手机木马原理手机木马是一种恶意软件，通过潜藏在手机应用中感染设备并执行恶意操作。
其工作原理可分为以下几个步骤：1. 传播方式：手机木马可能通过多种方式传播，如通过恶意链接、应用下载或安装来自未知来源的应用等。
一旦用户点击或下载了木马应用，恶意软件便会开始植入和运行。
2. 植入手机系统：木马会试图植入到手机系统中，并获取系统级别的权限。
它会利用一些漏洞或系统安全性问题来获取这些权限，并绕过手机的防护机制。
3. 数据窃取：一旦木马植入成功并获取了系统权限，它就可以开始窃取用户的个人信息和敏感数据。
这些数据包括登录凭证、银行账户信息、个人通讯录等。
木马会将这些数据上传到远程控制服务器，供黑客使用或转售。
4. 远程控制：手机木马还可以被黑客远程操控。
黑客可以发送指令给木马，控制它执行各种操作，如发送短信、拍照、录音、窃取短信和通话记录等。
他们还可以利用木马发起网络攻击，感染其他设备或进行网络钓鱼。
5. 隐蔽性：为了不被用户察觉，手机木马通常会隐藏自己的图标和运行进程。
这使得用户很难察觉到手机已被感染，从而延长了恶意软件的潜伏时间。
为了保护手机免受木马感染，用户应采取以下措施：1. 下载应用时只从官方应用商店或可信的第三方应用市场下载，并注意应用的评论和评分，避免下载恶意或低评分的应用。
2. 及时更新手机操作系统和应用程序，以修复已知的漏洞和安全问题。
3. 安装可信的安全软件，及时扫描手机并清除潜在的恶意软件。
4. 禁用来自未知来源的应用安装选项，以防止恶意应用被安装。
5. 不点击来自陌生人或不可信来源的链接，尤其是不点击包含任何可疑内容的链接。
6. 注意手机的网络流量和电池消耗情况，以及不明原因的应用崩溃或手机反应迟钝等异常行为，可能是手机受到木马感染的迹象。
通过采取这些措施，用户可以增加手机木马感染的风险，保护个人信息的安全。
3-5-2木马的植入、自启动和隐藏
计算机病毒与防治课程小组
木马自启动途径
程序自动启动的原理
1. 利用INI文件实现相关程序的自动启动 win.ini是系统保存在[Windir]目录下的一个系统初始化文件。 系统在起动时会检索该文件中的相关项，以便对系统环境的初始设 置。在该文件中的“[windows]”数据段中，有两个数据项 “load=” 和“run=”。它们的作用就是在系统起动之后自动地装入和运行相关 的程序。 Win.ini: [windows] load=file.exe run=file.exe System.ini: [boot] Shell=Explorer.exe Shell=Explorer.exe
计算机病毒与防治课程小组
WIN2K中“进程隐藏”的实现
//使用WriteProcessMemory函数将DLL路径名复制到远程进程的内存空间
BOOL lRetun Code= WriteProcessMemory(hRemoteProcess,pszt_lbFlleRemote,( PVOID) pazlbFileName, ICb, NULL);
[HKEY _LOCAL_MACHINE\Software\CLASSES\ShellScrap] @="Scrap object" "NeverShowExt"=" "
NeverShowExt键可以隐藏SHS文件的扩展名.shs。比如将一个文件 改名为“abc.jpg.shs“它只会显示”abc.jpg”。如果你的注册表里有 很多NeverShowExt键值，应予以删除。
计算机病毒与防治课程小组
木马进程的隐藏
访问令牌 进程对象 VAD VAD VAD
对象句柄表项1 对象句柄表项2 „„
木马隐藏的10处位置
木马隐藏的10处位置木马是一种基于远程控制的病毒程序，该程序具有很强的隐藏性和危害性，它可以在不知不觉的状态下控制你或者监视你。
那我们怎么才能知道木马在哪里呢？下面就介绍木马潜伏的诡招。
1.集成到程序中其实木马也是一个服务器-客户端程序，它为了不让用户能轻易地把它删除，就常常集成到程序里，一旦用户激活木马程序，那么木马文件和某一应用程序捆绑在一起，然后上传到服务端覆盖原文件，这样即使木马被删除了，只要运行捆绑了木马的应用程序，木马又会被安装上去了。
如绑定到系统下载文件中，那么每一次Windows启动均会启动木马。
2.隐藏在配置文件中木马实在是太狡猾，知道有些人平时使用的是系统之家图形化界面的操作系统，对于那些已经不太重要的配置文件大多数是不闻不问，这正好给木马提供一个藏身之处。
而且利用配置文件的特殊作用，木马很容易就能在众多的计算机中运行、发作，从而偷窃或者监视受害者。
不过，现在这种方式不是很隐藏，容易被发现，所以在Autoexec.bat和Config.sys 中加载木马程序的并不多见，但也不能因此而掉以轻心。
3.潜伏在Win.ini中木马要想达到控制或者监视计算机的目的，必须要运行，然而没有人会傻到在自己的计算机中运行木马。
当然，木马也早有心理准备，因此它必须找一个既安全又能在系统启动时自动运行的地方，于是潜伏在Win.ini中是木马感觉比较惬意的地方。
大家不妨打开Win.ini 来看看，在它的[Windows]字段中有启动命令“load=”和“run=”，在一般情况下“=”后面是空白的，如果有后跟程序，比方说是这个样子：“run=c: \Windows\file.exe load=c :\Windows\file.exe”，这时你就要小心了，这个“file.exe”很可能是木马。
4.伪装在普通文件中这个方法出现是比较晚，不过现在很流行ghost xp，对于不熟练的Windows操作者，很容易上当。
了解常见的木马隐藏启动方法
系 统 目录 下 ， 释 放 出 来 的 新 病 毒 产 生 由
破 坏 。 如 ： 冰 河 播 种 者 （ ｏ ｐｒ Ｄｒｐ ｅ ．
点 击 这 类 病 毒 时 ， 毒 会 做 出 各 种 破 坏 病
操 作 来 吓 唬 用 户 ， 实 病 毒 并 没 有 对 用 其
候 我 们 还 会 看 到 一 些 其 他 的 ， 比 较 少 但
ｓ Ｔｗ ＡＲＥ Ｍｉｒ ｓ ＼ ｉｄ ＼ ｒ ｏＦ ＼ ｃｏｏ ｗ ｎ Ｏ ｃｕ ＿ ｒｎＶｅｓ ｎ Ｒｕ Ｏｎ ｅ ｅ ｔ ｒｉ ＼ ｎ ｃ ｏ
ＨＫ ＥＹ ＬＯ ＣＡＬ
＿
依次点 开 “ 始 ” —“ 序 ” — 开 — 程 — “ 动” 启
ｗａｅ ＣＬ Ｓ ＼ ｘ ｆｅｓ ｅ ＼ ｐ ｎ ｃ ｍ— ｒ＼ ＡＳ ＥＳ ｅ ｅｆ ＼ｈ ｌ ｏ ｅ ＼ ｏ ｌ ｌ ｍａ ｄ ｎ
这 里 只 要 有 “／” 感 字 眼 的 都 要 １１ 敏 ＂１ ｌ
注意 。
例 如 ：正 常 情 况 下 戗ｔ 件 的打 开 文
方 式 为 Ｎｏｅ ａ ． ｅ 件 ，如 果 一 旦 中 ｔ ｄｘ 文 ｐ ｅ
通过 ｎ ｔｔ ｔ 务名 （ 启 服 务） ｅ ｓ ｒ服 ａ 开 ；
ｎ ｔ ｔｐ服 务 名 （ 闭 服 务） ｅｓ ｏ 关 。
安 全 咖 啡 屋
计 算 机 与 网 络 创 新 生 活 程圈 砖 ｌ 酮阴鼷斌匝 Ｑ 、
—
解
木 马 的 隐 藏 启 动 对 于 识 别 木 马 至 关 重 要 ， 面 为 大 家 介 绍 一 下 它 隐藏 启 下
的拳 隐藏褰韵 法
方 法 二 ： 用 系统 文 件 利 可 以 利 用 的文 件 有 Ｗ ｉ． ｉ；ｙｔｍ． ｎｉ ｓｓｅ ｎ 了 文 件 关 联 类 的 木 马 ， 样 打 开 一 个 ｔｔ 这 Ｘ 文 件 ， 本 应 该 用 Ｎｏｅ ａ 原 ｔｐ ｄ打 开 该 文件
木马病毒原理
木马病毒原理
木马病毒是一种恶意软件，它隐藏在看似正常的程序中，通过欺骗用户获得访问权限，并在用户不知情的情况下潜伏和执行恶意活动。
木马病毒的原理是利用用户的信任，通常通过电子邮件附件、软件下载、插件安装等途径传播。
一旦被用户执行或安装，木马病毒就会在计算机上植入并开始运行。
木马病毒通常会创建一个与正常程序外观相似的图标，并在用户打开时隐藏自己的活动。
它可以通过网络传输个人隐私信息、窃取用户帐号密码、跟踪用户的在线活动、控制操作系统等。
木马病毒还可以通过远程控制指令控制受感染计算机的行为。
黑客可以利用木马病毒来进行恶意活动，例如远程监视、窃取敏感信息或发起分布式拒绝服务攻击。
为了保护计算机免受木马病毒的侵害，用户应该谨慎打开陌生邮件附件，只从可信任的网站下载软件，并定期使用安全软件进行全面系统扫描。
此外，及时更新操作系统和软件补丁也是防止木马病毒感染的重要步骤。
总之，木马病毒利用用户的信任并隐藏在正常的程序中，以实现窃取信息、控制操作系统等恶意活动。
用户应该保持警惕，并采取相应的安全措施，以保护个人计算机免受木马病毒的攻击。
特洛伊木马病毒的隐藏技术_李军丽
特洛伊木马病毒的隐藏技术李军丽云南大学信息学院 云南 ６５００３１摘要：隐藏技术是木马的关键技术之一，其直接决定木马的生存能力。
本文对木马病毒的隐藏技术从几个方面进行了研究，并对木马病毒的预防和检测提出了自己的一些建议。
关键词：木马病毒；网络安全；隐藏技术０ 引言随着计算机网络技术的迅速发展和普及，人们也开始面临着越来越多的网络安全的隐患，特别木马对网络用户的网络数据和隐私安全产生了极大的威胁；据调查，目前在国内，６８．２６％的用户怀疑受到过木马病毒的攻击，６３％的电脑用户曾受到过木马病毒攻击。
隐藏技术是木马的关键技术之一，其直接决定木马的生存能力。
本文对木马病毒的隐藏技术从几个方面进行了研究，并对木马病毒的预防和检测提出了自己的一些建议。
１ 木马的隐藏技术木马区别与远程控制程序的主要不同点就在于它的隐蔽性，木马的隐蔽性是木马能否长期存活的关键。
木马的隐藏技术主要包括以下几个方面：本地文件隐藏、启动隐藏、进程隐藏、通信隐藏和内核模块隐藏和协同隐藏等。
１．１ 本地文件伪装隐藏木马文件通过将木马文件设置为系统、隐藏或是只读属性来实现木马问的隐藏，或是通过将木马文件命名为和系统文件的文件名相似的文件名，从而使用户误认为系统文件而忽略。
或是将文件的存放在不常用或难以发现的系统文件目录中，或是将木马存放的区域设置为坏扇区。
１．２ 木马的启动隐藏方式（１） 本地文件伪装最常用的文件隐藏是将木马病毒伪装成本地文件。
木马病毒将可执行文件伪装成图片或文本－－－－在程序中把图标改成ＷＩＮＤＯＷＳ的默认图片图标，再把文件名改为．ＪＰＧ．ＥＸＥ。
由于ＷＩＮＤＯＷＳ默认设置是不显示已知的文件后缀名，文件将会显示为．ＪＰＧ．，不注意的人一点击这个图标就在无意间启动了木马程序。
（２） 通过修改系统配置来实现木马的启动隐藏利用配置文件的特殊作用，木马很容易就能在大家的计算机中运行。
像Ａｕｔｏｅｘｅｃ．ｂａｔ和Ｃｏｎｆｉｇ．ｓｙｓ。
木马最新植入五方法揭密
木马最新植入五种方法揭密木马是大家网上安全的一大隐患，说是大家心中永远的痛也不为过。
对于木马采用敬而远之的态度并不是最好的方法，我们必须更多地了解其“习性”和特点，只有这样才能做到“知己知彼，百战不殆”！随着时间的推移，木马的植入方式也悄悄地发生了一定的变化，较之以往更加的隐蔽，对大家的威胁也更大，以下是笔者总结的五种最新的木马植入方式，以便大家及时防范。
方法一：利用共享和Autorun文件为了学习和工作方便，有许多学校或公司的局域网中会将硬盘共享出来。
更有甚者，竟将某些硬盘共享设为可写！这样非常危险，别人可以借此给您下木马！利用木马程序结合Autorun.inf文件就可以了。
方法是把Autorun.inf和配置好的木马服务端一起复制到对方D盘的根目录下，这样不需对方运行木马服务端程序，只需他双击共享的磁盘图标就会使木马运行！这样作对下木马的人来说的好处显而易见，那就是大大增加了木马运行的主动性！许多人在别人给他发来可执行文件时会非常警惕，不熟悉的文件他们轻易不会运行，而这种方法就很难防范了。
下面我们简单说一下原理。
大家知道，将光盘插入光驱会自动运行，这是因为在光盘根目录下有个Autorun.inf文件，该文件可以决定是否自动运行其中的程序。
同样，如果硬盘的根目录下存在该文件，硬盘也就具有了AutoRun功能，即自动运行Autorun.inf文件中的内容。
把木马文件.exe文件以及Autorun.inf放在磁盘根目录（这里假设对方的D盘共享出来且可写），对于给您下木马的人来说，他还会修改Autorun.inf文件的属性，将该文件隐藏起来。
这样，当有人双击这个盘符，程序就运行了。
这一招对于经常双击盘符进入“我的电脑”的人威胁最大。
更进一步，利用一个.REG文件和Autorun.inf结合，还可以让你所有的硬盘都共享出去！方法二：把木马文件转换为BMP格式这是一种相对比较新颖的方式，把EXE转化成为BMP来欺骗大家。
电脑病毒藏在什么地方
电脑病毒藏在什么地方电脑病毒无处不在!一般会藏在什么地方，下面由店铺给你做出详细的电脑病毒藏储的地方介绍!希望对你有帮助!让你对电脑病毒有初步的认识!电脑病毒藏在什么地方一、1，病毒大多隐藏在C盘的SYSTEM32文件夹内，这是装载系统的文件夹，不过木马病毒都具有隐藏性，您想自己找是不行的。
2，如果您的电脑中毒了，可以到电脑管家官网下载一个电脑管家。
3，然后使用电脑管家——杀毒——全盘查杀，电脑管家拥有4+1杀毒引擎，基于“云查杀与微特征技术”的新一代电脑管家云查杀引擎和本地反病毒引擎，可以轻松根据微特征和云病毒库，检测出各种流行顽固木马病毒，并做出查杀。
电脑藏在什么地方二、(1)通过软盘：通过使用外界被感染的软盘, 例如, 不同渠道来的系统盘、来历不明的软件、游戏盘等是最普遍的传染途径。
由于使用带有病毒的软盘, 使机器感染病毒发病, 并传染给未被感染的“干净”的软盘。
大量的软盘交换, 合法或非法的程序拷贝, 不加控制地随便在机器上使用各种软件造成了病毒感染、泛滥蔓延的温床。
(2)通过硬盘：通过硬盘传染也是重要的渠道, 由于带有病毒机器移到其它地方使用、维修等, 将干净的软盘传染并再扩散。
(3)通过光盘：因为光盘容量大，存储了海量的可执行文件，大量的病毒就有可能藏身于光盘，对只读式光盘，不能进行写操作，因此光盘上的病毒不能清除。
以谋利为目的非法盗版软件的制作过程中，不可能为病毒防护担负专门责任，也决不会有真正可靠可行的技术保障避免病毒的传入、传染、流行和扩散。
当前，盗版光盘的泛滥给病毒的传播带来了很大的便利。
(4)通过网络：这种传染扩散极快, 能在很短时间内传遍网络上的机器。
随着Internet的风靡，给病毒的传播又增加了新的途径，它的发展使病毒可能成为灾难，病毒的传播更迅速，反病毒的任务更加艰巨。
Internet带来两种不同的安全威胁，一种威胁来自文件下载，这些被浏览的或是被下载的文件可能存在病毒。
木马的攻击原理
木马的攻击原理
木马是一种恶意软件，可以隐藏在看似正常的程序或文件中，一旦被执行，会在背后执行恶意操作。
木马的攻击原理主要包括以下几个步骤：
1. 欺骗用户：木马通常会通过社交工程或其他方式欺骗用户执行它，比如伪装成常用软件的安装包或诱导用户点击恶意链接。
2. 植入系统：一旦用户执行了木马，它会植入系统，通常是将自己复制到一些系统目录中，使得它能够在系统启动时自动运行。
3. 启动与隐藏：木马在系统启动后会悄悄地运行，并尽力隐藏自己，比如修改进程名称或隐藏窗口。
这样用户通常难以察觉到木马的存在。
4. 远程操作：木马会与控制端建立连接，使攻击者能够远程控制被感染的计算机。
攻击者可以通过命令控制木马执行各种恶意操作，如窃取个人信息、监控用户活动、发送垃圾邮件或发起网络攻击等。
5. 后门设置：为了保持持久性，木马通常会在系统中设置后门，以便日后攻击者可以随时重新获取对被感染计算机的控制权。
为了防止木马的攻击，用户应保持警惕，谨慎下载和执行可疑的文件或程序，定期更新操作系统和安全软件补丁，及时删除
系统中的可疑文件，使用防火墙以及实时监测和查杀软件来检测木马的存在。
木马的工作原理
木马的工作原理
木马是一种恶意软件，通过欺骗或者胁迫方式侵入电脑系统，并在背后执行不被用户知晓的操作。
木马的工作原理可以描述为以下几个步骤：
1. 渗透：木马首先要渗透到受害者的电脑系统中。
这可以通过诱骗用户点击恶意链接、下载感染文件、插入感染的移动存储设备等方式实现。
2. 安装：一旦成功渗透，木马会开始安装自己到受害者电脑系统中，通常是将木马隐藏在合法的程序或文件中，来避免受到用户的怀疑。
3. 打开后门：安装完成后，木马会打开一个后门，以便攻击者可以远程操作受感染的电脑。
通过这个后门，攻击者可以执行各种恶意操作，比如窃取敏感个人信息、操控计算机、启动其他恶意软件等。
4. 隐蔽行动：为了不被用户察觉，木马会尽可能隐藏自己的存在。
这可以包括隐藏进程、修改注册表、关闭安全软件和防护机制等操作。
5. 通信与命令控制：木马通常会与控制服务器建立连接，通过命令控制来获取指令、向攻击者报告信息以及接收新的命令和更新。
6. 恶意行为：木马还可以执行各种其他恶意行为，比如窃取账
户密码、传播自身到其他系统、发起拒绝服务攻击等。
总之，木马的工作原理是通过欺骗和操控来在电脑系统中埋下后门，并获取对目标系统的控制权限，以实现攻击者的目的。
用户需要保持警惕，避免点击可疑链接、下载非信任来源的文件，以及定期更新和使用安全软件来防护自己的电脑。
木马的7种分类
木马的7种分类随着计算机技术的不断发展，木马病毒也不断地演化和发展，出现了各种不同类型的木马病毒，本文将介绍木马病毒的七种基本分类。
1.远程控制木马远程控制木马可以通过网络，远程控制受感染电脑的操作系统。
黑客可以远程操作受害者的计算机，以获取其个人信息、机密资料和密码等。
这种木马病毒非常隐蔽，很难被发现，因此危害性相对较大。
2.间谍木马间谍木马主要用于监控用户的行动，例如记录用户的浏览历史记录、键盘输入等。
这种木马病毒通常会将窃取到的数据发送给黑客来实现监控。
3.下载木马下载木马病毒具有下代码、过滤HTML代码等功能，可以从远程服务器下载感染电脑所需的程序或文件。
当这种木马病毒感染到用户的计算机后，可以在后台下载恶意程序或软件。
4.钓鱼木马钓鱼木马通常通过电子邮件、社交网络等方式来欺骗受害者，使其下载木马病毒。
这种木马病毒的危害性非常高，因为它可以窃取受害者的个人信息，例如社交网络的用户账户和密码、银行账户信息等。
5.后门木马后门木马是指在计算机上预留出的一些未经授权的入口，可以让黑客在未经授权的情况下远程访问受害者的计算机系统。
这种木马病毒可以在用户不知情的情况下进行远程控制，非常隐蔽，难以发现。
6.窃密木马窃密木马可以获取用户的账户和密码等个人信息，并将这些信息上传到黑客服务器。
这种木马病毒通常隐藏在诱骗受害者下载的文件、恶意链接等背后。
7.多功能木马多功能木马是一种综合了多种木马病毒功能的复合木马病毒。
它可以通过网络来获取用户的个人信息、远程访问受害者计算机、窃取银行账号密码等敏感信息。
这种木马病毒的危害性非常高，可以严重威胁用户的安全和隐私。
常见木马的隐藏启动方法
这里只要有“run”敏感字眼的都要仔细。
方法二：利用系统文件
可以利用的文件有Win.ini ; system.ini ; Autoexec.bat ; Config.sys. 当系统启动的时候，上述这些文件的一些内容是可以随着系统一起加载的，从而可以被木马利用，用文本方式打开 C:\Windows 下面的system.ini文件 我们会看到，其它的几个所述文件也是经常被用来利用，从而达到开机启动的目的的。
木马的隐藏启动至关重要，下面为大家介绍一下它的几种方法：
方法一：注册表启动项:这个大家可能比较熟悉，请大家注意以下的注册表键值：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
net stop 服务名(关闭服务)
�
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
方法四：利用文件关联：
例如：正常情况下txt文件的打开方式为Notepad.exe文件，如果一旦中了文件关联类的木马，这样打开一个txt文件，原本应该用Notepad打开该文件的，现在却变成了启动木马程序了。
②进入控制面版，选择文件夹选项-----------文件类型
然后点击"高级" 在弹出的菜单中选择“应用程序”
方法五：利用服务加载
系统要正常的运行，就少不了一些服务，一些木马通过加载服务来达到随系统启动的目的
木马工作原理
木马工作原理
木马（Trojan horse）是一种恶意软件，它通常被欺骗性地伪
装成合法的程序，诱使用户下载或运行。
木马的工作原理可以分为以下几个步骤：
1. 传播和感染：木马通常通过电子邮件附件、恶意网站下载或软件漏洞等途径传播。
一旦用户下载或运行了木马程序，它会开始感染执行它的主机。
2. 隐蔽性：木马一般会采用隐蔽的方式存在于主机系统中，如隐藏在合法程序中、添加到系统文件夹或隐藏在系统进程中，以免被用户察觉。
3. 控制和远程操作：木马会与远程控制服务器建立连接，使攻击者获得对感染主机的控制权。
攻击者可以通过远程操作，执行各种恶意活动，如窃取敏感信息、操纵主机行为、安装其他恶意软件等。
4. 后门功能：木马还可能安装后门，即在感染主机上创建隐藏的入口，以便日后远程访问。
这使得攻击者可以随时进入被感染的主机，并进一步利用和操作该主机。
总体来说，木马通过欺骗用户获取访问权限，并在用户不知情的情况下运行恶意代码，以达到攻击者的目的。
用户要保护自己免受木马感染的最好方法是保持操作系统和应用程序的更新，并注意不要下载和运行来自不可信来源的文件或程序。
此外，使用防病毒软件和防火墙也可以帮助检测和阻止木马的感染。
木马的常用伪装手段
木马的常用伪装手段在网络安全领域，木马是一种恶意软件，可以在不被用户察觉的情况下悄悄地进入计算机系统，实现盗取用户信息、破坏系统的行为。
因此，木马程序的伪装手段非常重要，可以使其更容易地潜入计算机系统。
以下是一些常用的木马伪装手段：1. 伪装成正常程序许多木马程序被设计成伪装成常见的软件或系统组件，例如浏览器插件、媒体播放器、下载器等，以此混淆用户的视觉，避免受到用户的怀疑，从而更容易渗透进入用户的系统。
2. 终端木马伪装终端木马常被伪装成程序源码、编译工具或其它网络安全工具来骗取用户信任，而终端木马常常伴随着对受害者机器的远程控制，拥有非常广泛的攻击能力。
3. 使用非常规的文件扩展名很多木马程序使用并不常见的文件扩展名，比如".txt"、".jpg"、".pdf"等，以绕过一些计算机安全防护软件的检测。
在实际应用过程中，我们应该避免打开不熟悉的文件。
4. 嵌入宏或脚本很多木马程序将自己嵌入到宏或脚本中，然后利用漏洞自动执行，从而绕过了常规的安全检测。
例如，利用办公软件（Word、Excel等）中的宏病毒的攻击方式。
5. 嵌入加密模块有些木马程序会嵌入加密模块，使得其内容在传输过程中无法被轻易识别和拦截，从而达到对计算机系统的“偷窃”。
综上所述，木马程序有很多伪装手段，其中有些是非常难以被发现的。
因此，我们需要时刻保持警惕，使用网络安全软件来防范这些木马程序的攻击，同时也需要提高自己的网络安全意识，确保个人计算机和重要信息的安全。
除了上述常用的木马伪装手段，还有一些更高级的木马伪装手段。
这些高级伪装手段越来越普遍，它们可以更好地欺骗人们的眼睛和虚拟机器的安全防御。
以下是一些高级木马伪装技术：1. 避免反病毒软件现在的反病毒软件具有越来越高的检测能力，它们能够及时发现木马程序并抵御攻击。
因此，一些高级的木马程序会通过加密自己来避免反病毒软件的检测与抵抗。
专家教你怎么找木马隐藏在哪里
所以无论是“任务管理器”还是杀毒软件，想对这种木马的进程进行检测都是徒劳的。这种木马目前没有非常有效的查杀手段，只有在其运行前由杀毒软件检测到木马文件并阻止其病毒体的运行。当时还有一种技术是由木马程序将其自身的进程信息从Windows系统用以记录进程信息的“进程链表”中删除，这样进程管理工具就无法从“进程链表”中获得木马的进程信息了。但由于缺乏平台通用性而且在程序运行时有一些问题，所以没有被广泛采用。
而木马由于事先对该API函数进行了Hook，所以在“任务管理器”(或其他调用了列举进程函数的程序)调用EnumProcesses函数时(此时的API函数充当了“内线”的角色)，木马便得到了通知，并且在函数将结果(列出所有进程)返回给程序前，就已将自身的进程信息从返回结果中抹去了。就好比你正在看电视节目，却有人不知不觉中将电视接上了DVD，你在不知不觉中就被欺骗了。
跟杀毒软件对着干:反杀毒软件外壳
木马再狡猾，可是一旦被杀毒软件定义了特征码，在运行前就被拦截了。要躲过杀毒软件的追杀，很多木马就被加了壳，相当于给木马穿了件衣服，这样杀毒软件就认不出来了，但有部分杀毒软件会尝试对常用壳进行脱壳，然后再查杀(小样，别以为穿上件马夹我就不认识你了)。除了被动的隐藏外，最近还发现了能够主动和杀毒软件对着干的壳，木马在加了这种壳之后，一旦运行，则外壳先得到程序控制权，由其通过各种手段对系统中安装的杀毒软件进行破坏，最后在确认安全(杀毒软件的保护已被瓦解)后由壳释放包裹在自己“体内”的木马体并执行之。对付这种木马的方法是使用具有脱壳能力的杀毒软件对系统进行保护。
木马将自身作为DLL插入别的进程空间后，用查看进程的方式就无法找出木马的踪迹了，你能看到的仅仅是一些正常程序的进程，但木马却已经偷偷潜入其中了。解决的方法是使用支持“进程模块查看”的进程管理工具(如“ATool”提供的进程查看)，木马的DLL模块就会现形了。
木马病毒工作原理
木马病毒工作原理
木马病毒是一种恶意软件，它的工作原理是将自己伪装成正常的程序，然后隐藏在用户的计算机系统中。
木马病毒通常通过电子邮件附件、下载软件、携带病毒的软件或文件共享网络等方式传播。
一旦用户打开或下载了被感染的文件，木马病毒就会悄无声息地进入系统。
一旦木马病毒进入用户的计算机系统，它就会开始执行各种恶意活动。
这些活动包括但不限于以下几种：
1. 监视活动: 木马病毒可以监视用户的各种活动，例如记录键盘输入、监控网络流量、截屏等。
通过这种方式，黑客可以获取用户的个人信息、密码、账户信息等敏感数据。
2. 远程控制: 木马病毒可以允许黑客通过远程连接访问受感染的计算机，并获得对系统的完全控制权。
黑客可以远程执行各种活动，例如修改系统设置、安装其他恶意软件或删除文件。
3. 后门功能: 木马病毒还可以在受感染的计算机上创建后门，这样黑客就可以随时进入系统，而不需要用户的许可或身份验证。
这为黑客提供了对系统的长期访问权限，使他们能够持续收集信息或进行其他恶意活动。
4. 数据破坏: 某些木马病毒还可以破坏用户的数据或系统。
它们可以删除、修改或加密文件，从而导致数据的永久性损坏或丧失。
为了能够更好地保护个人计算机系统免受木马病毒的侵害，我们应该采取一些安全措施。
这包括定期更新杀毒软件、避免打开或下载来历不明的文件、注意安全性较低的网站等。
此外，定期备份重要数据也是非常重要的，以防止数据丢失。
了解系统中木马隐藏伎俩与检查清除方法
“ ＫＥＹ —Ｌｏ ＣＡＬ —Ｍ ＡＣＨ Ｉ Ｈ ＮＥＳｏ ｔ ｆ—
ｗ ａｅ ｉｒ ｏ ｒＭ ｃｏｓ
ｉ ｄｏ ｓ ｕＴｅ ｎ ｗ Ｃ ｌ
ｅｓｏ ｒｉｎ
动 ，用 户 不 会 每 次 启 动 后 再 自己 点 击
“ 马 ” 标来运行服务端 ， 以“ 木 图 所 木 ”
Ｒｕ ”目录 下 ． ｎ 查看 键 值 中有 没 有 自己 不
“ 序” “ ａ 程 或 ｌ ｄ＝” 马 “ 序 ” 改 为 ｏ 木 程 更
“
而 是 “ ｅ ＝ ｘ ｌ ｅ． ｅ程 序 名 ” ｓ ｌ ｅｐｏ ｒ ｘ ｈｌ ｒ ｅ ，
那 么后 面 跟 着 的 那 个 程 序 就 是 “ 马 ” 木
程 序 ， 是 说 你 已经 中“ 马 ” 。 就 木 了 在 注 册 表 中 的 情 况 最 复 杂 ，通 过
序 的方 法 ， 木 马 ” 会 用 上 ， ： 动 “ 都 如 启
组 、 ｉ． ｉ ｙｔ ｉ 、注 册 表 等 等 都 是 ｗ ｎｉ 、 ｓ ｍ． ｉ ｎ ｓ ｅ ｎ “ 马 ” 身 的好 地 方 。 木 藏
Ｗ ｉｄ ｗｓ ｒ ｎ ｒ ｏ Ｒｕ ” 找 到 “ ｎ ｏ Ｃｕｒ ｔ ｓ ｎ ｎ 下 ｅ Ｖｅ ｉ 木 马 ” 序 的文件 名 ． 程 再在 整 个 注 册 表 中 搜
表“ ＨＫＥ — ＯＣＡＬ—ＭＡＣＨＩ Ｓ Ｔ— Ｙ Ｌ ＮＥ ＯＦ
Ｗ ＡＲ＿ ｉｒ ｏ ｔ ｉ ｏ ｓ ｕ ｒｎｔ ｅｓｏ ＥＭ ｃｏｓ ｆＷ ｎｄ ｗ Ｃ ｒｅ Ｖ ｒｉｎ
将 ［ＯＯＴ 下面 的 “ ｅ ＝ 木马 文件 ” 更 ｔ ３ ］ ｓ ｌ ｈｌ 。
改 为 ：ｓｅ ＝ ｘ ｌｒｒ ｘ ” 在注 册 表中 ， “ｈ ｌ ｅｐｏ ｅ． ｅ ； ｌ ｅ 用
木马的隐藏技术
真隐藏实现方式
在Windows系统中常见的真隐藏实现方 式有：
利用DLL实现简单隐藏 采用替代技术的DLL木马 采用动态嵌入技术的DLL木马
采用替代技术的DLL木马
工作原理是替换常用的DLL文件，截获并处理 特定的消息，将正常的调用转发给原DLL
此种技术是比较古老的技术，因此微软也做 了相当的防范
在Windows的system32目录下有一个dllcache目录，一旦操 作系统发现被保护的DLL文件被篡改(利用数字签名技术)，就 会自动从dllcache中恢复该文件
真隐藏实现方式
在Windows系统中常见的真隐藏实现方 式有：
利用DLL实现简单隐藏 采用替代技术的DLL木马 采用动态嵌入技术的DLL木马
进程隐藏
想要隐藏木马的服务器端，可以伪隐藏， 也可以真隐藏
伪隐藏是指程序的进程仍然存在，只不过是让 它消失在进程列表里
真隐藏则是让程序彻底的消失，不以一个进程 或者服务的方式工作
进程隐藏
伪隐藏
把木马服务器端的程序注册为一个服务，这样， 程序就会从任务列表中消失了，当按下 Ctrl+Alt+Delete的时候，也看不到这个程序。 但是通过服务管理器，会发现在系统中注册过 的服务
进程隐藏
进程、线程、服务 进程：一个正常的Windows应用程序，在运行之
后，都会在系统之中产生一个进程，分别对应一 个不同的PID（进程标识符）。这个进程会被系统 分配一个虚拟的内存空间地址段，一切相关的程 序操作，都会在这个虚拟的空间中进行 线程：一个进程，可以存在一个或多个线程，线 程之间同步执行多种操作，一般地，线程之间是 相互独立的，当一个线程发生错误的时候，并不 一定会导致整个进程的崩溃 服务：一个进程当以服务的方式工作的时候，它 将会在后台工作，不会出现在任务列表中，但可 通过服务管理器检查任何的服务程序是否被启动 运行
木马工作原理
木马工作原理
木马是一种恶意软件，旨在通过隐藏在合法程序或文件中，进而偷取敏感信息、控制被感染的计算机或传播其他恶意软件。
它的工作原理主要由以下几个步骤组成：
1. 欺骗用户：木马通常会被命名为吸引人的文件名，如游戏补丁、破解工具等，以诱使用户下载并执行。
2. 静默安装：一旦用户下载并执行木马程序，它会进行静默安装，尽可能避免用户察觉。
3. 植入恶意代码：木马会将自身植入计算机系统中，并将恶意代码插入到合法程序或系统文件中，使其与正常的软件功能相混合，隐藏自己的存在。
4. 启动后门：木马通过在被感染系统上创建后门，以便黑客远程控制被感染的计算机，并执行恶意操作。
5. 数据窃取：木马通常会用指令集记录用户的敏感信息，如账号密码、银行卡信息等，然后将这些数据发送到控制服务器上。
6. 扩散传播：木马可以通过多种方式传播自己，如利用邮件附件、网络下载、USB设备等，以感染更多的计算机。
为了更好地保护计算机系统免受木马的侵害，用户应该保持良好的安全意识，避免下载和执行可疑来源的文件，及时安装和更新杀毒软件，定期进行系统补丁更新，并备份重要数据。
同时，网络管理员也应采取综合的安全措施，包括防火墙、入侵检测系统等，来减少木马的风险。
木马的常见四大伪装欺骗行为
1、将木马包装为图像文件首先,黑客最常使用骗别人执行木马的方法,就是将特洛伊木马说成为图像文件,比如说是照片等,应该说这是一个最不合逻辑的方法,但却是最多人中招的方法,有效而又实用;只要入侵者扮成美眉及更改服务器程序的文件名例如为“类似”图像文件的名称,再假装传送照片给受害者,受害者就会立刻执行它;为甚么说这是一个不合逻辑的方法呢图像文件的扩展名根本就不可能是exe,而木马程序的扩展名基本上又必定是exe,明眼人一看就会知道有问题,多数人在接收时一看见是exe文件,便不会接收了,那有什么方法呢其实方法很简单,他只要把文件名改变,例如把“”更改为“”,那么在传送时,对方只会看见了,而到达对方电脑时,因为windows默认值是不显示扩展名的,所以很多人都不会注意到扩展名这个问题,而恰好你的计算机又是设定为隐藏扩展名的话,那么你看到的只是了,受骗也就在所难免了还有一个问题就是,木马本身是没有图标的,而在电脑中它会显示一个windows预设的图标,别人一看便会知道了但入侵者还是有办法的,这就是给文件换个“马甲”,即用IconForge等图标文件修改文件图标,这样木马就被包装成jpg或其他图片格式的木马了,很多人会不经意间执行了它;2、以Z-file伪装加密程序Z-file伪装加密软件经过将文件压缩加密之后,再以bmp图像文件格式显示出来扩展名是bmp,执行后是一幅普通的图像;当初设计这个软件的本意只是用来加密数据,用以就算计算机被入侵或被非法使使用时,也不容易泄漏你的机密数据所在;不过如果到了黑客手中,却可以变成一个入侵他人的帮凶;使用者会将木马程序和小游戏合并,再用Z-file加密及将此“混合体”发给受害者,由于看上去是图像文件,受害者往往都不以为然,打开后又只是一般的图片,最可怕的地方还在于就连杀毒软件也检测不出它内藏特洛伊木马和病毒;当打消了受害者警惕性后,再让他用WinZip解压缩及执行“伪装体比方说还有一份小礼物要送给他,这样就可以成功地安装了木马程序;如果入侵者有机会能使用受害者的电脑比如上门维修电脑,只要事先已经发出了“混合体,则可以直接用Winzip对其进行解压及安装;由于上门维修是赤着手使用其电脑,受害者根本不会怀疑有什么植入他的计算机中,而且时间并不长,30秒时间已经足够;就算是“明晃晃”地在受害者面前操作,他也不见得会看出这一双黑手正在干什么;特别值得一提的是,由于“混合体”可以躲过反病毒程序的检测,如果其中内含的是一触即发的病毒,那么一经结开压缩,后果将是不堪设想;3、合并程序欺骗通常有经验的用户,是不会将图像文件和可执行文件混淆的,所以很多入侵者一不做二不休,干脆将木马程序说成是应用程序：反正都是以exe作为扩展名的;然后再变着花样欺骗受害者,例如说成是新出炉的游戏,无所不能的黑客程序等等,目地是让受害者立刻执行它;而木马程序执行后一般是没有任何反应的,于是在悄无声息中,很多受害者便以为是传送时文件损坏了而不再理会它;如果有更小心的用户,上面的方法有可能会使他们的产生坏疑,所以就衍生了一些合并程序;合并程序是可以将两个或以上的可执行文件exe文件结合为一个文件,以后一旦执行这个合并文件,两个可执行文件就会同时执行;如果入侵者将一个正常的可执行文件一些小游戏如和一个木马程序合并,由于执行合并文件时会正常执行,受害者在不知情中,背地里木马程序也同时执行了;而这其中最常用到的软件就是joiner,由于它具有更大的欺骗性,使得安装特洛伊木马的一举一动了无痕迹,是一件相当危险的黑客工具以往有不少可以把两个程序合并的软件为黑客所使用,但其中大多都已被各大防毒软件列作病毒了,而且它们有两个突出的问题存在,这问题就是：合并后的文件体积过大,只能合并两个执行文件;正因为如此,黑客们纷纷弃之转而使用一个更简单而功能更强的软件,那就是Joiner,这个软件可以把图像文件、音频文件与可执行文件合并,还能减小合并后文件体积,而且可以待使用者执行后立即收到信息,告诉你对方已中招及对方的IP;大家应该提高警惕;4、伪装成应用程序扩展组件这一类属于最难识别的特洛伊木马;黑客们通常将木马程序写成为任何类型的文件例如dll、ocx等然后挂在一个十分出名的软件中,让人不去怀疑安装文件的安全性,更不会有人检查它的文件多是否多了;而当受害者打开软件时,这个有问题的文件即会同时执行;这种方式相比起用合并程序有一个更大的好处,那就是不用更改被入侵者的登录文件,以后每当其打开软件时木马程序都会同步运行;当您遇到以上四种情况时请小心为妙,说不定无意之中您已经中招了。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
木马是一种基于远程控制的病毒程序，该程序具有很强的隐蔽性和危害性，它可以在人不知鬼不觉的状态下控制你或者监视你。
有人说，既然木马这么厉害，那我离它远一点不就可以了！然而这个木马实在是“淘气”，它可不管你是否欢迎，只要它高兴，它就会想法设法地闯到你“家”中来的！哎呀，那还了得，赶快看看自己的电脑中有没有木马，说不定正在“家”中兴风作浪呢！那我怎么知道木马在哪里呢，相信不熟悉木马的菜鸟们肯定想知道这样的问题。
下面就是木马潜伏的诡招，看了以后不要忘记采取绝招来对付这些损招哟！1、集成到程序中木马的工作原理，木马查杀。
-电脑维修知识网其实木马也是一个服务器-客户端程序，它为了不让用户能轻易地把它删除，就常常集成到程序里，一旦用户激活木马程序，那么木马文件和某一应用程序捆绑在一起，然后上传到服务端覆盖原文件，这样即使木马被删除了，只要运行捆绑了木马的应用程序，木马又会被安装上去了。
绑定到某一应用程序中，如绑定到系统文件，那么每一次Windows启动均会启动木马。
电+脑*维+修-知.识_网(w_ww*dnw_xzs*co_m)2、隐藏在配置文件中木马的工作原理，木马查杀。
-电脑维修知识网木马实在是太狡猾，知道菜鸟们平时使用的是图形化界面的操作系统，对于那些已经不太重要的配置文件大多数是不闻不问了，这正好给木马提供了一个藏身之处。
而且利用配置文件的特殊作用，木马很容易就能在大家的计算机中运行、发作，从而偷窥或者监视大家。
不过，现在这种方式不是很隐蔽，容易被发现，所以在 Autoexec.bat和Config.sys中加载木马程序的并不多见，但也不能因此而掉以轻心哦。
电+脑*维+修-知.识_网(w_ww*dnw_xzs*co_m)3、潜伏在Win.ini中木马的工作原理，木马查杀。
-电脑维修知识网木马要想达到控制或者监视计算机的目的，必须要运行，然而没有人会傻到自己在自己的计算机中运行这个该死的木马。
当然，木马也早有心理准备，知道人类是高智商的动物，不会帮助它工作的，因此它必须找一个既安全又能在系统启动时自动运行的地方，于是潜伏在Win.ini中是木马感觉比较惬意的地方。
大家不妨打开Win.ini来看看，在它的[windows]字段中有启动命令“load=”和“run=”，在一般情况下“＝”后面是空白的，如果有后跟程序，比方说是这个样子：run=c:\windows\file.exe load=c:\windows\file.exe这时你就要小心了，这个file.exe很可能是木马哦。
电+脑*维+修-知.识_网(w_ww*dnw_xzs*co_m)4、伪装在普通文件中木马的工作原理，木马查杀。
-电脑维修知识网这个方法出现的比较晚，不过现在很流行，对于不熟练的windows操作者，很容易上当。
具体方法是把可执行文件伪装成图片或文本----在程序中把图标改成Windows的默认图片图标, 再把文件名改为*.jpg.exe, 由于Win98默认设置是"不显示已知的文件后缀名",文件将会显示为 *.jpg, 不注意的人一点这个图标就中木马了(如果你在程序中嵌一张图片就更完美了)。
5、内置到注册表中上面的方法让木马着实舒服了一阵，既没有人能找到它，又能自动运行，真是快哉！然而好景不长，人类很快就把它的马脚揪了出来，并对它进行了严厉的惩罚！但是它还心有不甘，总结了失败教训后，认为上面的藏身之处很容易找，现在必须躲在不容易被人发现的地方，于是它想到了注册表！的确注册表由于比较复杂，木马常常喜欢藏在这里快活，赶快检查一下，有什么程序在其下，睁大眼睛仔细看了，别放过木马哦：HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion下所有以“run”开头的键值；HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion下所有以“run”开头的键值；HKEY-USERS\.Default\Software\Microsoft\Windows\CurrentVersion下所有以“run” 开头的键值。
电+脑*维+修-知.识_网(w_ww*dnw_xzs*co_m)6、在System.ini中藏身木马真是无处不在呀！什么地方有空子，它就往哪里钻！这不，Windows安装目录下的System.ini也是木马喜欢隐蔽的地方。
还是小心点，打开这个文件看看，它与正常文件有什么不同，在该文件的[boot]字段中，是不是有这样的内容，那就是shell= Explorer.exe file.exe，如果确实有这样的内容，那你就不幸了，因为这里的file.exe就是木马服务端程序！另外，在 System.ini中的[386Enh]字段，要注意检查在此段内的“driver=路径\程序名”，这里也有可能被木马所利用。
再有，在 System.ini中的[mic]、[drivers]、[drivers32]这三个字段，这些段也是起到加载驱动程序的作用，但也是增添木马程序的好场所，现在你该知道也要注意这里喽。
电+脑*维+修-知.识_网(w_ww*dnw_xzs*co_m)7、隐形于启动组中木马的工作原理，木马查杀。
-电脑维修知识网有时木马并不在乎自己的行踪，它更注意的是能否自动加载到系统中，因为一旦木马加载到系统中，任你用什么方法你都无法将它赶跑（哎，这木马脸皮也真是太厚），因此按照这个逻辑，启动组也是木马可以藏身的好地方，因为这里的确是自动加载运行的好场所。
动组对应的文件夹为：C:\windows\ start menu\programs\startup，在注册表中的位置：HKEY_CURRENT_USER\Software\ Microsoft\Windows\CurrentVersionExplorer\ShellFoldersStartup="C:\windows \start menu\programs\startup"。
要注意经常检查启动组哦！8、隐蔽在Winstart.bat中按照上面的逻辑理论，凡是利于木马能自动加载的地方，木马都喜欢呆。
这不，Winstart.bat也是一个能自动被Windows加载运行的文件，它多数情况下为应用程序及Windows自动生成，在执行了并加载了多数驱动程序之后开始执行（这一点可通过启动时按F8键再选择逐步跟踪启动过程的启动方式可得知）。
由于Autoexec.bat的功能可以由Winstart.bat代替完成，因此木马完全可以像在 Autoexec.bat中那样被加载运行，危险由此而来。
电+脑*维+修-知.识_网(w_ww*dnw_xzs*co_m)9、捆绑在启动文件中木马的工作原理，木马查杀。
-电脑维修知识网即应用程序的启动配置文件，控制端利用这些文件能启动程序的特点，将制作好的带有木马启动命令的同名文件上传到服务端覆盖这同名文件，这样就可以达到启动木马的目的了。
电+脑*维+修-知.识_网(w_ww*dnw_xzs*co_m)10、设置在超级连接中木马的主人在网页上放置恶意代码，引诱用户点击，用户点击的结果不言而喻：开门揖盗！奉劝不要随便点击网页上的链接，除非你了解它，信任它，为它死了也愿意等等。
电+脑*维+修-知.识_网(w_ww*dnw_xzs*co_m)木马程序是如何实现隐藏的近年来，黑客技术不断成熟起来，对网络安全造成了极大的威胁，黑客的主要攻击手段之一，就是使用木马技术，渗透到对方的主机系统里，从而实现对远程操作目标主机。
其破坏力之大，是绝不容忽视的，黑客到底是如何制造了这种种具有破坏力的木马程序呢，下面，让我们对木马的开发技术做一次彻底的透视，从了解木马技术开始，更加安全的管理好自己的计算机。
电+脑*维+修-知.识_网(w_ww*dnw_xzs*co_m)木马程序的隐藏技术木马的工作原理，木马查杀。
-电脑维修知识网木马程序的服务器端，为了避免被发现，多数都要进行隐藏处理，下面让我们来看看木马是如何实现隐藏的。
电+脑*维+修-知.识_网(w_ww*dnw_xzs*co_m)说到隐藏，首先得先了解三个相关的概念：进程，线程和服务。
我简单的解释一下。
电+脑*维+修-知.识_网(w_ww*dnw_xzs*co_m)进程：一个正常的Windows应用程序，在运行之后，都会在系统之中产生一个进程，同时，每个进程，分别对应了一个不同的PID （Progress ID, 进程标识符）这个进程会被系统分配一个虚拟的内存空间地址段，一切相关的程序操作，都会在这个虚拟的空间中进行。
电+脑*维+修-知.识_网(w_ww*dnw_xzs*co_m)线程：一个进程，可以存在一个或多个线程，线程之间同步执行多种操作，一般地，线程之间是相互独立的，当一个线程发生错误的时候，并不一定会导致整个进程的崩溃。
电+脑*维+修-知.识_网(w_ww*dnw_xzs*co_m)服务：一个进程当以服务的方式工作的时候，它将会在后台工作，不会出现在任务列表中，但是，在Windows NT/2000下，你仍然可以通过服务管理器检查任何的服务程序是否被启动运行。
电+脑*维+修-知.识_网(w_ww*dnw_xzs*co_m)想要隐藏木马的服务器端，可以伪隐藏，也可以是真隐藏。
伪隐藏，就是指程序的进程仍然存在，只不过是让他消失在进程列表里。
真隐藏则是让程序彻底的消失，不以一个进程或者服务的方式工作。
电+脑*维+修-知.识_网(w_ww*dnw_xzs*co_m)伪隐藏的方法，是比较容易实现的，只要把木马服务器端的程序注册为一个服务就可以了，这样，程序就会从任务列表中消失了，因为系统不认为他是一个进程，当按下Ctrl+Alt+Delete的时候，也就看不到这个程序。
但是，这种方法只适用于Windows9x的系统，对于Windows NT, Windows 2000等，通过服务管理器，一样会发现你在系统中注册过的服务。
难道伪隐藏的方法就真的不能用在Windows NT/2000下了吗？当然还有办法，那就是API的拦截技术，通过建立一个后台的系统钩子，拦截PSAPI的EnumProcessModules等相关的函数来实现对进程和服务的遍历调用的控制，当检测到进程ID（PID）为木马程序的服务器端进程的时候直接跳过，这样就实现了进程的隐藏，金山词霸等软件，就是使用了类似的方法，拦截了TextOutA,TextOutW函数，来截获屏幕输出，实现即时翻译的。
同样，这种方法也可以用在进程隐藏上。
电+脑*维+修-知.识_网(w_ww*dnw_xzs*co_m)当进程为真隐藏的时候，那么这个木马的服务器部分程序运行之后，就不应该具备一般进程，也不应该具备服务的，也就是说，完全的溶进了系统的内核。