1.自動跟蹤目標機的屏幕變化，同時完全模擬鍵盤鼠標輸入，即在同步被控終端屏幕變化的同時，監控終端的所有鍵盤鼠標操作都會反映在被控終端的屏幕上(局域網適用)；
2.記錄各種密碼信息:包括開機密碼、屏保密碼、共享資源的各種密碼以及已經出現在對話框中的大部分密碼信息；
3.獲取系統信息:包括電腦名稱、註冊公司、當前用戶、系統路徑、操作系統版本、當前顯示分辨率、物理和邏輯磁盤信息等系統數據；
4.限制系統功能:包括遠程關機、遠程重啟電腦、鼠標鎖定、系統熱鍵鎖定、註冊表鎖定；
5.遠程文件操作:包括創建、上傳、下載、復制、刪除文件或目錄、壓縮文件、快速瀏覽文本文件、遠程打開文件等多種文件操作功能(提供四種不同的打開模式——正常模式、最大化、最小化、隱藏模式)；
6.註冊表操作:包括瀏覽主鍵、添加、刪除、復制、重命名、讀寫鍵值等所有註冊表操作功能；
7.發送信息:用四個常用圖標向被控終端發送短信；
8.點對點通信:以聊天室的形式與受控端進行在線對話。
在某種程度上，冰川是最著名的特洛伊馬，甚至連剛的電腦用戶都聽說過。雖然很多殺毒軟件都可以查殺，但是國內還是有幾十萬臺電腦！作為壹匹特洛伊馬，冰川創造了壹個被最多人使用，被最多人拍攝的奇跡！現在網上有很多冰川變種程序。這裏介紹的是它的標準版本。掌握了如何清除標準版之後，對付變種冰川就很容易了。
冰川的服務器程序是G-server.exe，客戶端程序是G-client.exe。默認連接端口是7626。壹旦G-server運行，程序將在C:/Windows/system目錄下生成Kernel32.exe和sysexplr.exe，並刪除自己。Kernel32.exe在系統啟動時自動加載運行，sysexplr.exe與TXT文件關聯。即使刪除了Kernel32.exe，只要打開TXT文件，sysexplr.exe就會被激活，它又會生成Kernel32.exe，於是冰川又回來了！這就是冰川被反復刪除的原因。
清潔方法:
1.刪除C:windows系統下的Kernel32.exe和Sysexplr.exe文件。
2.Glacier將在HKEY本地機器/軟件/微軟/視窗/當前版本註冊。
在Run下root，鍵值為C:/windows C:/windows/system/kernel 32 . exe刪除它。
3.在註冊表中的HKEY _本地_機器/軟件/微軟/Windows/current version/run services下，還有壹個C:/windows/system/Kernel32.exe的鍵值，也應該刪除。
4.最後，將HKEY _類_根/txtfile/shell/open/command下的默認值，由木馬後的C:/Windows/system/sysexplr . exe % 1改為正常情況下的C:/windows/notepad.exe %1，TXT文件即可恢復。
如何識別木馬
先說壹下木馬是如何通過網頁進入妳的電腦的。相信大家都知道有很多圖片木馬，EML和exe木馬。圖片木馬其實很簡單，就是把特洛伊EXE文件的文件頭替換成bmp文件的文件頭，然後誘騙IE瀏覽器自動打開文件。然後用網頁中的壹個JAVASCRIPT小程序調用DEBUG將臨時文件中的bmp文件恢復為特洛伊exe文件並復制到啟動項中。接下來的事情很簡單。下次妳壹啟動電腦，妳的噩夢就開始了。EML特洛伊更便於傳播。特洛伊文件被偽裝成音頻/x-wav聲音文件，所以妳只需要在收到這封郵件時瀏覽壹下。妳不需要點擊任何連接，windows就會自動為妳播放這個他認為是wav的音樂文件，特洛伊就可以輕松進入妳的電腦。這個特洛伊還可以被框成網頁，只要妳打開網頁，特洛伊就會自動運行。還有壹種方法，就是把特洛伊exe編譯成. JS文件，然後在網頁中調用，也可以無聲無息的入侵妳的電腦。這只是壹些簡單的方法，還有遠程控制和*。
簡單的防治方法:
開始-設置-控制面板-添加和刪除程序-windows Installer-從附件中刪除windows scripting host，然後打開Internet Explorer瀏覽器，點擊工具-Internet選項-安全-自定義級別，禁用裏面腳本的所有三個選項，然後禁用“加載程序和文件於”。當然這只是壹個簡單的防範方法，但是可能會影響到壹些網頁的動態java效果，但是為了安全會犧牲掉，以此來防範壹些惡意的網頁炸彈和病毒。如果條件允許，可以安裝防火墻，給微軟網站打補丁。反正我知道的網吧都是用原裝的windows，很不安全。另外，盡量少從壹些小網站下載壹些程序。尤其是壹些所謂的黑客工具，註意不要先偷別人自己的軟件。當然，如果妳堅持使用的話，如果號碼被盜，妳也要付出代價。另外，不要認為安裝恢復向導是安全的。據我所知，壹般網吧的恢復向導只恢復C:盤，也就是系統區，所以只要特洛伊直接感染了妳安裝在其他盤的遊戲執行文件，妳就逃不掉了。
冰川木馬原理
特洛伊冰川是用C++Builder寫的。為了讓大家更容易理解，我就用相對簡單的VB來舉例說明，其中涉及到壹些WinSock編程和Windows API的知識。如果不太了解，請查閱相關資料。
壹、基礎篇(揭開特洛伊馬的神秘面紗)
無論特洛伊之馬有多神秘，無論特洛伊之馬有多強大，其本質都只是壹個網絡客戶端/服務程序。然後，我們從網絡客戶端/服務程序的編寫開始。
1.基本概念:
網絡客戶機/服務模式的原理是壹臺主機提供服務(服務器)，另壹臺主機接收服務(客戶機)。作為服務器，主機通常會打開壹個默認端口進行監聽。如果客戶端向服務器的這個端口發出連接請求，服務器上相應的程序將自動運行以響應客戶端的請求。這個程序叫做守護程序(UNIX術語，但是已經移植到MS系統上了)。對於冰川來說，受控端變成了服務器，控制端是客戶端，G_server.exe是守護進程，G_client是客戶端應用。(這經常被混淆，他們經常為自己種壹匹特洛伊馬！)
2.計劃實施:
在VB中，可以使用Winsock控件編寫網絡客戶端/服務程序，實現方法如下(其中G_Server和G_Client都是Winsock控件):
服務器:
g _服務器。local port = 7626(glacier的默認端口，可以更改為另壹個值)。
g _服務器。聽(等待連接)
客戶:
g _客戶端。RemoteHost=ServerIP(將遠程地址設置為服務器地址)。
g _客戶端。RemotePort=7626(讓遠程端口成為Glacier的默認端口，呵呵？這是冰川的生日。
(妳可以在這裏給G_Client分配壹個本地端口。如果不分配，電腦會自動分配壹個。建議電腦自動分配。)
g _客戶端。Connect(調用Winsock控件的連接方法)
壹旦服務器收到來自客戶端的ConnectionRequest，它就接受連接。
private Sub G _ Server _ connection request(ByVal request id為Long)
g _服務器。接受requestID
末端接頭
客戶端用G_Client發送命令。SendData，而服務器接受並執行g _ server _ datearrival事件中的命令(幾乎所有的特洛伊函數都在這個事件處理程序中實現)。
如果客戶斷開連接，請關閉連接並再次監聽端口。
Private Sub G_Server_Close()
g _服務器。關閉(關閉連接)
g _服務器。聽(再聽壹遍)
末端接頭
其他部分可以通過命令傳輸進行。客戶端上傳命令，服務器解釋並執行該命令。......
二、控制篇(特洛伊馬控制世界！)
因為Win98已經向用戶開放了所有的權限，以用戶權限運行的特洛伊幾乎可以控制壹切。看看Glacier能做什麽(看完之後妳會認同我的觀點:把Glacier稱為特洛伊是不合適的，Glacier已經實現了足夠多的功能，可以成為壹款成功的遠程控制軟件)。
因為Glacier實現的功能太多了，這裏就不詳細解釋了，所以這裏簡單介紹壹下Glacier的主要功能，主要使用Windows API函數。如果想知道這些函數的具體定義和參數，請查閱WinAPI手冊。
1.遠程監控(控制對方鼠標鍵盤，監控對方屏幕)
Keybd_event模擬壹個鍵盤動作(這個函數支持截屏)。
Mouse_event模擬壹個鼠標事件(這個函數的參數太復雜了，我在這裏全寫出來會被編輯罵死的，所以只能寫幾個主要的，其他的自己去查WinAPI)。
mouse_event(dwFlags，dx，dy，cButtons，dwExtraInfo)
dwFlags:
指定鼠標坐標系中的絕對位置。
移動鼠標。
模擬按下鼠標左鍵。
模擬鼠標左鍵的擡起。
模擬按下鼠標右鍵。
模擬按下鼠標右鍵。
模擬鼠標中鍵的按下。
模擬鼠標中鍵的按下。
dx，dy中的鼠標坐標:MOUSEEVENTF_ABSOLUTE。
2.記錄各種密碼信息
(作者註:出於安全考慮，本文不討論這個問題，也請不要寫信給我詢問。)
3.獲取系統信息
A.獲取計算機名GetComputerName
B.更改計算機名SetComputerName
C.當前用戶的GetUserName函數
D.系統路徑
set file system 0 object = createobject(" scripting。filesystemobject”)。
set system dir = file system 0 object . getspecialfolder(1)
(取系統目錄)
set system dir = file system 0 object . getspecial folder(0)
(取Windows安裝目錄)
友情提醒:FileSystemObject是壹個非常有用的對象，妳可以用它來完成很多有用的文件操作。
E.獲取系統版本GetVersionEx(還有壹個GetVersion，但是在32位windows下可能會有問題，建議使用GetVersionEx。
F.當前顯示分辨率
寬度=屏幕。寬度\屏幕。TwipsPerPixelX
高度=屏幕。高度\屏幕。TwipsPerPixelY
其實如果不使用Windows API，我們很容易就能獲取系統的各種信息，這就是Winodws的“垃圾站”——註冊表。
例如，計算機名稱和計算機徽標:HKEY _本地_機器\系統\當前控制集\服務\ vxd \ vnetsup中的註釋、計算機名稱和工作組。
註冊公司和用戶名:HKEY用戶。default \ Software \ Microsoft \ MS Setup(ACME)\ UserInfo至於如何獲取註冊表鍵值，請參見第6部分。
4.限制系統功能
A.使用WinAPI中的以下函數可以實現計算機的遠程關機或重啟:
ExitWindowsEx(ByVal uFlags，0)
當uFlags=0 EWX_LOGOFF時，停止進程並註銷。
當uFlags=1 EWX_SHUTDOWN時，關閉系統電源。
當uFlags=2 EWX_REBOOT時重新啟動系統。
當uFlags=4 EWX_FORCE強制停止無響應的進程。
B.鎖定鼠標
ClipCursor(lpRect As RECT)可以將指針限制在指定區域，或者使用ShowCursor(FALSE)隱藏鼠標。
註意:RECT是壹個矩形，定義如下:
RECT標牌
左等長
頂端壹樣長
壹樣長
底部壹樣長
結束類型
C.鎖定系統的方法太多了。呵呵，Windows很難不死機。比如做壹個無限循環。當然，要讓系統完全崩潰是需要壹些技巧的，比如設備漏洞或者資源耗盡。......
D.讓對方掉線，拉尚古普......
E.終止進程ExitProcess......
f .關閉窗口，使用FindWindow函數找到窗口，使用SendMessage函數關閉窗口。
5.遠程文件操作
無論在哪個編程語言中，文件操作功能都是比較簡單的，這裏就不贅述了。也可以用上面提到的FileSystemObject來實現。
6.註冊表操作
在VB中，只要設置regedit = createobject ("wscript。殼”)。
您可以使用以下註冊表函數:
刪除鍵值:RegEdit。RegDelete註冊表項
添加鍵值:RegEdit。寫入RegKey，RegValue。
獲取鍵值:RegEdit。重新讀取(值)
記住，註冊表的鍵值要寫全路徑，否則會出錯。
發送信息
很簡單，只是壹個彈出的消息框。在VB中使用MsgBox(" ")即可實現，其他程序也不太難。
8.點對點通信
呵呵，嗯，隨便看個聊天軟件就行了(因為簡單但是很煩，就不寫了，呵呵。還有:我還是不明白冰川為什麽要在特洛伊馬做這個事情，很費解...
9.更換壁紙
Callsystemparametersinfo (20，0，" & pathname "，& ampH1)
值得註意的是，如果使用ActiveDesktop，可能會更換壁紙失敗。在這種情況下，請不要找何冰和我，而是找比爾。
三、隱身篇(Windows，捉迷藏的大森林)
特洛伊馬不是壹個合法的網絡服務程序，所以它必須盡力隱藏自己。還好Windows是捉迷藏的大森林！
1，在任務欄中隱藏自己:
這是最基本的，如果妳連這個都做不到...(想象壹下，如果國際象棋中的特洛伊馬圖標出現在Windows任務欄中...@ #!# @ ...太囂張了！)
在VB中，只要窗體的Visible屬性設置為False，ShowInTaskBar設置為False，程序就不會出現在任務欄中。
2、在任務管理器中不可見:
在任務管理器中不可見意味著當妳按Ctrl+Alt+Del時，妳看不到名為“特洛伊馬”的進程。這有點難，但還是難倒我們了。將程序設置為“系統服務”就可以輕松偽裝成比爾蓋自己的單位(Windows，我們是妳的家人，不要告訴別人我躲在哪裏...).
在VB中，下面的代碼可以實現這個功能:
公共聲明函數RegisterServiceProcess Lib " kernel 32 "(ByVal ProcessID為Long，ByVal ServiceFlags為Long)為Long
公共聲明函數GetCurrentProcessId Lib " kernel 32 "()為Long
(以上為聲明)
私有子窗體_Load()
RegisterServiceProcess getCurrentProcessID，1(註冊系統服務)
末端接頭
私有子窗體_Unload()
RegisterServiceProcess getCurrentProcessID，0(取消系統服務)
末端接頭
3、如何悄悄開始:
當然，妳不會期望用戶在每次啟動後點擊特洛伊圖標來運行服務器。特洛伊要做的第二件重要的事是如何在用戶每次啟動時自動加載服務器(第壹件重要的事是如何讓對方贏得特洛伊，呵呵，這部分後面會提到)。
Windows支持多種方式在系統啟動時自動加載應用程序(就像專門為木馬做的壹樣)。啟動組、win.ini、system.ini、註冊表等等都是木馬藏身的好地方。冰川用各種方法保證妳擺脫不了。首先，Glacier會將\kernl32.exe(也就是系統目錄)添加到註冊表中HKEY _本地_機器\軟件\微軟\ Windows \當前版本\運行和運行服務的鍵值中。其次，如果妳刪除了這個鍵值，在妳沾沾自喜喝茶的時候，冰川又會出現...發生了什麽事?原來冰川的服務器會在c:\windows下生成壹個名為sysexplr.exe的文件(這個會隨著妳的windows的安裝目錄而改變)(就像超解壹樣，好毒，冰川！)，這個文件關聯了壹個文本文件，只要妳打開文本(妳壹天不打開文本多少次？)，sysexplr.exe文件會重新生成krnel32.exe，然後妳還是會被冰川控制。(冰川就是這樣長期占用貧困勞動人民寶貴的系統資源的，555555)
4.港口
特洛伊馬會很註意自己的港口(妳呢？妳在乎妳的6萬多個端口嗎？)，如果妳留意的話，會發現特洛伊的端口普遍在1000以上，並且呈遞增趨勢(netspy為1243...)這是因為1000以下的端口是常用端口，占用這些端口可能會導致系統異常，所以特洛伊會很容易暴露；因為端口掃描需要時間(壹個快速的端口掃描器遠程掃描所有端口大概需要20分鐘)，使用54321這樣的端口會讓妳很難找到。文末我給妳轉貼了壹個常見木馬的端口列表，妳可以去查壹下(不過值得提醒的是，Glacier和很多比較新的木馬都提供了端口修改功能，所以木馬其實可以出現在任何端口)。
5.最新的隱形技術
目前除了冰川使用的隱身技術，還出現了更新更隱蔽的方法，那就是-driver和動態鏈接庫技術(冰川3.0會采用這種方法嗎？)。
驅動和動態鏈接庫的技術不同於壹般的特洛伊，基本上擺脫了原有的特洛伊模式——監聽端口，采用了替換系統函數的方法(重寫驅動或動態鏈接庫)。這樣壹來，系統中就沒有新添加的文件(所以掃描不能用來查殺)，也沒有新的端口需要打開(所以端口監控不能用來查殺)，也沒有新的進程可用(所以用進程視圖方法找不到它，用kill process方法也不能終止它的操作)。在正常運行過程中，特洛伊馬幾乎沒有任何癥狀，但壹旦特洛伊馬的控制端向受控端發送特定信息，隱藏程序就會立即開始運行。......
其實我見過幾個這種類型的木馬，其中有壹個隱藏* * *享受的木馬就是通過重寫vxd文件建立的...(江湖又要起新浪潮了)。
四、破解文章(魔高壹尺道高壹丈)
本文主要討論特洛伊馬的基本原理，特洛伊馬的破解不是本文的重點(也不是我的強項)。敬請期待yagami的特洛伊馬(我已經期待了壹年了，那就和我壹起繼續期待吧，呵呵)。本文只是對特洛伊馬防卸常用方法做壹個小總結:
1.端口掃描
端口掃描是檢查遠程機器中是否有特洛伊木馬的最佳方式。端口掃描的原理非常簡單。掃描儀試圖連接到端口。如果成功，則意味著端口打開。如果失敗或超過壹定時間(超時)，則意味著端口關閉。(關於端口掃描，Oliver有壹篇關於“半連接掃描”的優秀文章，原理不同，但不在本文討論範圍之內。)
但值得註意的是，對於驅動/動態鏈接木馬，掃描端口不起作用。
檢查連接
查看連接和端口掃描的原理基本相同，只是所有的TCP/UDP連接都是通過netstat-a(或者第三方程序)在本地機器上查看，比端口掃描要快。缺點是找不到驅動/動態鏈接木馬，只能在本地使用。
檢查註冊表
上面討論木馬啟動方式的時候提到過，木馬可以通過註冊表啟動(現在看來大部分木馬都是通過註冊表啟動的，或者至少註冊表是作為壹種自我保護的方式)。然後，我們還可以通過查看註冊表找到“馬蹄印”。註冊表中冰川留下的痕跡請參考《隱身》。
查找文件
找到特洛伊馬的具體文件也是常用的方法(這個我知道，冰川的特色文件是G_Server.exe吧？傻逼！不會這麽簡單。冰川是狡猾的...)Glacier的壹個特色文件是kernl32.exe(該死的，偽裝成Windows的內核)，另壹個更隱蔽，sysexlpr.exe(什麽，不是超級解決方案嗎？)對！冰川之所以給這兩個文件起這樣的名字，是為了更好的偽裝自己。只要刪除這兩個文件，Glacier就不再工作。其他木馬也壹樣(廢話，服務器端程序都沒了，還能怎麽辦？)
如果妳只是在沒有完成任務的情況下刪除了sysexlpr.exe，妳可能會遇到壹些麻煩——那就是妳的文本文件打不開了，因為前面說過，sysexplr.exe是和文本文件關聯的，妳還必須把文本文件和記事本關聯起來。有三種方法:
A.改註冊表(我就不說了，有能力自己改的也不想說，不然最好不要篡改)
B.視圖中-文件夾選項-在文件類型中編輯
c按住SHIFT鍵的同時右擊任意壹個TXT文件，選擇打開方式，選擇，然後找到記事本，點擊就OK了。(這是最簡單的，推薦)
只是提醒妳，壹定要小心木馬這種狡猾的東西。冰川和txt文件有關聯，txt打不開也沒什麽大不了的。如果特洛伊木馬程序與exe文件相關聯，而您貿然刪除它們...妳苦啊！連regedit都跑不了！
5.殺毒軟件
之所以把殺毒軟件放在最後，是因為它用處不大，包括壹些號稱查殺木馬的軟件。但對於過時的木馬和新手安裝的木馬(無服務器)還是有用的。值得壹提的是，新開發的ip戰甲在這方面堪稱佼佼者。它采用了動態鏈接庫監控技術。它可以監控所有調用Winsock的程序，它可以動態地殺死進程。是個人防禦的好工具(雖然我很懷疑傳說中的“這款軟件能在未來十年內查殺木馬”的說法)，嘿嘿，很難說兩年後會怎麽樣。誰知道十年後木馬會“進化”到什麽程度？我甚至不敢想象十年後操作系統會是什麽樣子。
另外，對於驅動/動態鏈接庫特洛伊，有壹種方法可以嘗試壹下。可以使用Windows系統文件檢查器通過開始菜單-程序-附件-系統工具-系統信息-工具運行系統文件檢查器(這麽詳細，妳不會錯過吧？什麽，妳找不到！吐血！找個98安裝盤補壹下。系統文件檢查器可以檢查操作系統文件的完整性。如果這些文件損壞，檢查器可以恢復它們。檢查器還可以從安裝盤解壓縮壓縮文件(如驅動程序)。如果妳的驅動或者動態鏈接庫沒有升級就改了，可能是特洛伊馬(或者損壞了)。提取更改的文件可以確保系統的安全性和穩定性。(註意，該操作需要由熟悉系統的操作人員來完成。因為安裝某些程序可能會自動升級驅動程序或動態鏈接庫，在這種情況下恢復“損壞”的文件可能會導致系統崩潰或程序不可用！)
動詞 （verb的縮寫）狡猾的文章(只要妳稍有疏忽.....)
只要妳稍有疏忽，就有可能有人安裝了特洛伊木馬。了解壹些常見的技巧，為他人種植特洛伊馬，有利於確保自己的安全。
1.特洛伊種馬戲法
在互聯網上“幫助”人們種植木馬的伎倆主要有以下幾種。
A.軟哄硬騙
有很多方法可以做到這壹點，和技術無關。他們有的裝大蝦，有的裝PLMM，有的很卑微，還有的...反正目的是壹樣的，就是讓妳運行壹個特洛伊馬的服務器。
B.裝配綜合法
就是所謂的221(二比壹)把壹個正版程序綁定到壹個特洛伊上，正版程序的功能不受影響，但是當妳運行正版程序的時候，特洛伊會自動加載。同時，由於程序的代碼在綁定後發生了變化，很難根據簽名查出掃描的殺毒軟件。
C.更名改姓的方法
這種方法出現的比較晚，但是現在很流行，很容易被不熟練的windows操作人員忽悠。具體方法是將可執行文件偽裝成圖片或文本——在程序中把圖標改成Windows默認的圖片圖標，然後把文件名改成*。jpg *.exe .由於Win98的默認設置是“不顯示已知文件後綴”，所以文件會顯示為*。jpg，而且不關註這個圖標的人會被特洛伊馬撞上(如果在程序中嵌入圖片就更完美了)。
D.願意上鉤的方法
特洛伊馬的主人在網頁上放惡意代碼引誘用戶點擊，用戶點擊的結果不言而喻:開門搶賊；忠告:不要只點擊網頁上的鏈接，除非妳知道它，相信它，為它而死。...
2.壹些註釋(壹些陳詞濫調)
A.不要隨便從網站下載軟件。如果要下載的話，也要去比較有名有信譽的網站。這些網站壹般都有人殺馬殺病毒。
B.不要太相信別人，不要隨便運行別人給的軟件；
(尤其是妳認識的人，不要以為知道了就安全了，只有妳認識的人才會給妳裝個特洛伊馬，哈哈，挑撥離間...)
C.總是檢查妳的系統文件，註冊表，端口等。，並經常去安全網站查看最新的特洛伊馬公告；
D.更改windows關於隱藏文件後綴的默認設置(在看到文件後綴之前，我不會安全地放置它)。
E.上網時發現硬盤響或者貓身上的數據燈莫名其妙的閃，要小心；