特洛伊病毒的傳播途徑主要有兩種:壹種是通過電子郵件，控制終端以附件的形式發送木馬程序，收件人只要打開附件系統就會感染特洛伊病毒；另壹個是軟件下載。壹些不正規網站打著提供軟件下載的名義，將木馬綁定到軟件安裝程序中。下載後，這些程序壹運行就會自動安裝木馬。
(2)偽裝模式:
鑒於木馬的危害性，很多人對木馬還是有壹定了解的，對木馬的傳播起到了壹定的抑制作用，這是木馬的設計者不願意看到的。因此，他們開發了各種功能來偽裝木馬，以降低用戶的警惕性，欺騙用戶。
(1)修改圖標
當妳在電子郵件的附件中看到這個圖標時，妳會認為它是壹個文本文件嗎？但是我要告訴妳，它可能是壹個木馬程序。現在有木馬可以把特洛伊木馬服務器程序的圖標變成HTML、TXT、ZIP等各種文件的圖標這壹點相當混亂，但目前提供該功能的木馬並不多見，這種偽裝也並非無懈可擊，無需整天提心吊膽，疑神疑鬼。
(2)捆綁文件
這種偽裝方法是將特洛伊馬綁定到壹個安裝程序。當安裝程序運行時，特洛伊木馬會在用戶不知情的情況下偷偷進入系統。至於捆綁的文件，壹般都是可執行文件(即EXE、COM之類的文件)。
(3)錯誤顯示
對木馬有壹定了解的人都知道，如果打開壹個文件沒有任何反應，那很可能是壹個特洛伊程序，木馬的設計者也意識到了這個缺陷，所以有的木馬提供了壹個叫錯誤顯示的功能。服務端用戶打開Muma程序，會彈出如下圖所示的錯誤提示框(當然是假的)。錯誤內容可以自由定義，大部分都會定制成“文件損壞，無法打開！”這樣的信息，當服務器用戶信以為真的時候，特洛伊木馬已經悄悄入侵了系統。
(4)定制端口
許多老特洛伊口岸是固定的，這給判斷特洛伊是否被感染帶來了方便。只需檢查壹個具體的端口就可以知道特洛伊感染了什麽，所以現在很多新木馬都增加了自定義端口的功能，控制端的用戶可以選擇1024-65535之間的任意端口作為特洛伊端口(壹般不選擇1024以下的端口)，從而判斷感染情況。
(5)自毀
這個功能是為了彌補特洛伊馬的壹個缺陷。我們知道，當服務器用戶打開壹個包含特洛伊木馬的文件時，特洛伊木馬會將自身復制到WINDOWS的系統文件夾中(在C:WINDOWS或C:WINDOWSSYSTEM目錄下)。壹般來說，系統文件夾中的特洛伊馬文件原件和特洛伊馬文件的大小是壹樣的(捆綁文件的特洛伊馬除外)，所以被特洛伊馬打過的朋友只需要在最近收到的信件和下載的軟件中找到特洛伊馬原件，然後根據特洛伊馬原件的大小去系統文件夾中找到大小相同的文件，判斷哪壹個是特洛伊馬。特洛伊的自毀功能是指安裝木馬後，原有的特洛伊文件會被自動銷毀，因此服務器用戶很難找到特洛伊的來源，不借助查殺特洛伊的工具也很難刪除特洛伊。
(6)特洛伊改名
安裝在系統文件夾中的木馬文件名壹般都是固定的，所以只要根據壹些查殺木馬的文章在系統文件夾中尋找具體的文件，就可以確定自己中了哪些木馬。所以現在很多木馬允許控制端的用戶自由定制安裝的特洛伊文件名，這就很難確定被感染的特洛伊的類型。
第三步:跑特洛伊馬
在服務器用戶運行特洛伊或綁定特洛伊的程序後，特洛伊將被自動安裝。先把自己復制到WINDOWS的system文件夾下(C:WINDOWS或C:WINDOWSSYSTEM目錄下)，然後在註冊表、啟動組、非啟動組設置特洛伊的觸發條件，這樣就完成了特洛伊的安裝。安裝完成後，就可以啟動特洛伊馬了，具體流程如下:
①特洛伊馬由自啟動激活。
從特洛伊開始的馬況，壹般出現在以下六個地方:
1.註冊表:打開HKEY _ Local _ machinesoftwaremicrosoftwindowscurentversion下的Run和RunServices五個鍵值，尋找可能是啟動特洛伊的鍵值。
2.win.ini:c:Windows目錄下有壹個配置文件win . ini，以文本方式打開。在[windows]字段中，有啟動命令load=和run=，壹般為空。如果有壹個啟動程序，它可能是壹匹特洛伊馬。3.system.ini: C:有壹個配置文件系統。ini文件，該文件以文本形式打開。在[386Enh]、[mic]和[drivers32]中都有命令行，在其中可以找到特洛伊馬的啟動命令。
4.Autoexec.bat和config . sys:c盤根目錄下的這兩個文件也可以啟動木馬。但這種加載方式壹般需要控制端的用戶與服務器建立連接，然後將同名文件上傳到服務器，以覆蓋兩個文件。
5.*.INI:應用程序的啟動配置文件。控制終端利用這些文件可以啟動程序的特性，將與特洛伊啟動命令同名的文件上傳到服務器，以覆蓋同名文件，從而啟動特洛伊。
6.開始菜單:“開始-程序-開始”選項下可能有特洛伊馬的觸發條件。
(2)通過觸發器激活特洛伊。
1.註冊表:打開HKEY _類_根文件類型\ shellopencommand主鍵以查看其鍵值。比如國內的特洛伊“冰川”就是修改HKEY _類_根XFileShelopenCommand下的鍵值，把“C: Windows記事本。EXE% 1 "到" C: Windows系統SYXXXPLR。Exe% 1。這時，妳雙擊壹個TXT文件後，原來是用記事本打開文件的。還要註意的是，不僅是TXT文件，通過修改HTML、EXE、ZIP等文件的啟動命令鍵值，也可以啟動木馬。唯壹的區別在於“文件類型”主鍵的不同。TXT是TXTFile，ZIP是WINZIP，可以試著找壹下。
2.捆綁文件:為了實現這個觸發條件，控制端和服務端已經通過壹個特洛伊建立了連接，然後控制端用戶用工具軟件將特洛伊文件和壹個應用程序捆綁在壹起，然後上傳到服務端覆蓋原來的文件，這樣即使刪除了特洛伊，只要運行與特洛伊捆綁的應用程序，就會重新安裝特洛伊。
3.自動播放:自動播放最初用於CD-ROM。當壹張電影光盤插入光驅時，系統會自動播放其內容，這就是Autoplay的初衷。播放的內容由光盤中的AutoRun.inf文件指定。修改AutoRun.inf中的開放行，以指定在自動播放期間要運行的程序。後來有人拿來做硬盤和u盤。在u盤或硬盤的分區中創建了壹個Autorun.inf文件，並在Open中指定了壹個木馬程序。這樣，當妳打開硬盤或u盤的分區時，就會觸發木馬程序運行。
特洛伊馬的作者們仍在尋找“機會”。這裏只是舉例，還有不斷啟動的地方。
(2)特洛伊馬的奔跑過程
特洛伊激活後，它進入內存並打開預定義的特洛伊端口，準備與控制終端建立連接。此時，服務器用戶可以在MS-DOS模式下鍵入NETSTAT -AN來檢查端口狀態。壹般來說，個人電腦脫機時不會打開端口。如果有端口打開，要註意是否感染了木馬。下面是計算機感染特洛伊馬後使用NETSTAT命令檢查端口的兩個例子:
其中①是服務器和控制終端之間的連接建立時的顯示狀態，②是服務器和控制終端之間的連接尚未建立時的顯示狀態。
在上網的過程中，妳必須打開壹些端口來下載軟件、發送信件、在線聊天等。以下是壹些常用的端口:
(1) 1-1024之間的端口:這些端口稱為保留端口，專門用於壹些外部通信程序，比如使用21的FTP，使用25的SMTP，使用110的POP3等。只有少數特洛伊木馬會將保留端口用作特洛伊端口。
(2)1025以上的連續端口:上網時瀏覽器會打開多個連續端口將文字和圖片下載到本地硬盤，這些端口都是1025以上的連續端口。
(3)端口4000:這是OICQ的通信端口。
(4)端口6667:這是IRC的通訊端口。除了上述端口，基本可以排除。如果發現其他端口打開，尤其是數值較大的端口，就要懷疑是否感染了木馬。當然，如果木馬有自定義端口的功能，任何端口都可能是特洛伊端口。
四。信息泄露
壹般來說，設計良好的木馬都有信息反饋機制。所謂信息反饋機制，是指特洛伊馬安裝成功後，會收集服務器的壹些軟硬件信息，通過E-MAIL、IRC或ICO通知控制端用戶。
從反饋的信息中，控制終端可以知道服務器的壹些軟硬件信息，包括操作系統、系統目錄、硬盤分區、系統密碼等。在這些信息中，服務器的IP是最重要的，因為只有得到這個參數，控制終端才能與服務器建立連接。我們將在下壹節解釋具體的連接方法。
動詞 （verb的縮寫）建立聯系
在本節中，我們將解釋特洛伊馬連接是如何建立的。建立特洛伊木馬連接首先要滿足兩個條件:壹是服務器上已經安裝了木馬程序；第二，控制終端和服務器必須在線。在此基礎上，控制終端可以通過特洛伊端口與服務端建立連接。
假設A機是控制終端，B機是服務器，A機需要知道B機的特洛伊端口和IP地址，才能與B機建立連接，由於特洛伊端口是A機預設的，是已知項，所以最重要的是如何獲取B機的IP地址..獲取B機IP地址的方式主要有兩種:信息反饋和IP掃描。至於前壹種，上壹節已經介紹過了，這裏就不贅述了。我們將重點討論IP掃描。因為B機有木馬程序，它的特洛伊端口7626是開放的，所以現在A機只需要掃描IP地址段中端口7626開放的主機。比如圖中B機的IP地址是202.102.47.56。當計算機A掃描該IP並發現其端口7626是開放的時，該IP將被添加到列表中。此時，計算機A可以通過特洛伊控制終端程序向計算機B發送連接信號，計算機B中的特洛伊程序收到信號後會立即做出響應。當計算機A收到響應信號時，它將打開壹個隨機端口1031，與計算機B的特洛伊端口7626建立連接。此時，計算機B將與特洛伊端口7626連接。值得壹提的是，掃描整個IP地址段顯然是費時費力的。壹般來說，控制終端首先通過信息反饋獲得服務器的IP地址。因為撥號上網的IP是動態的，也就是用戶每次上網的IP是不壹樣的，但是這個IP是在壹定範圍內變化的。如圖所示，計算機B的IP是202.438+002.47.56。那麽電腦B的IP範圍是202.102.000 . 000-202.102.255 . 255，所以控制終端每次搜索這個IP地址段就能找到電腦B。
不及物動詞遙控
特洛伊馬連接建立後，控制端口和特洛伊馬端口之間將出現壹個通道。
控制終端上的控制終端程序可以通過這個通道與服務器上的木馬程序取得聯系，通過木馬程序遠程控制服務器。下面介紹壹下控制終端可以享有的具體控制權，遠遠大於妳的想象。
(1)竊取密碼:所有明文，*或緩存在緩存中的密碼都可以被木馬檢測到。另外，很多木馬還提供了按鍵記錄功能，會記錄服務器的每壹次按鍵，所以壹旦有特洛伊入侵，密碼就會被輕易竊取。
(2)文件操作:控制終端可以通過遠程控制對服務器上的文件進行刪除、新建、修改、上傳、下載、運行、改變所有權等操作，基本涵蓋了WINDOWS平臺上所有的文件操作功能。
(3)修改註冊表:控制端可以隨意修改服務器註冊表，包括刪除、創建或修改主鍵、子項和鍵值。通過該功能，控制終端可以禁止使用服務器上的軟驅和光驅，鎖定服務器上的註冊表，並將特洛伊馬的觸發條件設置在服務器上更加隱蔽。
(4)系統操作:該內容包括重啟或關閉服務器的操作系統、斷開服務器的網絡連接、控制服務器的鼠標和鍵盤、監控服務器的桌面操作、查看服務器進程等。控制終端甚至可以隨時向服務器發送信息。試想壹下，當服務器桌面上突然彈出壹段話，並不奇怪。
特洛伊馬和病毒都是人工程序和計算機病毒。為什麽要單獨提到特洛伊馬？眾所周知，計算機病毒在過去的作用實際上是破壞和摧毀計算機中的數據。除了破壞，其他的無非是壹些病毒制造者為了達到某些目的，或者炫耀自己的技術而進行的威懾和勒索。與特洛伊馬不同，特洛伊馬被用來赤裸裸地窺探他人，竊取他人的密碼和數據，如竊取管理員密碼-子網密碼進行破壞。或者為了好玩，盜用互聯網密碼做其他用途，比如遊戲賬號，股票賬號，甚至網上銀行賬號等。，達到窺視他人隱私，獲取經濟利益的目的。所以木馬的作用比早期的電腦病毒更有用，可以直接達到用戶的目的！很多別有用心的程序開發者以竊取、監控他人電腦為目的編寫大量入侵程序，這也是目前大量木馬充斥互聯網的原因。鑒於木馬的這些巨大的危害性，以及其與早期病毒的不同性質，木馬屬於病毒的壹個範疇，但要從病毒類型中單獨分離出來。它們被獨立稱為“木馬”程序。
壹般來說，壹個殺毒軟件程序，如果它的特洛伊查殺程序可以查殺某壹個特洛伊馬，那麽它自己的普通殺毒程序也壹定可以查殺這個特洛伊馬，因為在木馬泛濫的今天，專門為木馬設計壹個特洛伊查殺工具，可以提高這個殺毒軟件的產品檔次，對它的聲譽大有裨益。其實常見的殺毒軟件都含有查殺木馬的功能。如果人們說某個殺毒軟件沒有查殺木馬的程序，那麽這個殺毒軟件廠商就顯得有點心虛了，盡管它常見的殺毒軟件當然有查殺木馬的功能。
還有壹點，將木馬查殺程序單獨分離，可以提高查殺效率。目前很多殺毒軟件中的木馬查殺程序都是只查殺木馬，不檢查常用病毒庫中的病毒代碼，也就是說，用戶運行木馬查殺程序時，程序只調用木馬代碼庫中的數據，大大提高了木馬的查殺速度。我們知道常見病毒的查殺速度是比較慢的。因為現在病毒太多了。每個文件都要經過成千上萬個特洛伊馬代碼的測試，再加上近65438+百萬個已知病毒代碼，那不是很慢嗎？是否通過省略常見的病毒代碼測試來提高效率和速度？也就是說，很多殺毒軟件自帶的特洛伊查殺程序只查殺木馬，壹般不查殺病毒，而自己自帶的普通病毒查殺程序既殺病毒又殺木馬！