1.基本概念:
網絡客戶機/服務模式的原理是壹臺主機提供服務(服務器)，另壹臺主機接收服務(客戶機)。作為服務器，主機通常會打開壹個默認端口進行監聽。如果客戶端向服務器的這個端口發出連接請求，服務器上相應的程序將自動運行以響應客戶端的請求。這個程序叫做守護程序(UNIX術語，但是已經移植到MS系統上了)。對於冰川來說，受控端變成了服務器，控制端是客戶端，G_server.exe是守護進程，G_client是客戶端應用。(這經常被混淆，他們經常為自己種壹匹特洛伊馬！甚至還有人跟我吵暈了！！)
2.計劃實施:
在VB中，可以使用Winsock控件編寫壹個網絡客戶端/服務程序，實現方法如下:
(其中G_Server和G_Client是Winsock控件)
服務器:
g _服務器。local port = 7626(glacier的默認端口，可以更改為另壹個值)。
g _服務器。聽(等待連接)
客戶:
g _客戶端。RemoteHost=ServerIP(將遠程地址設置為服務器地址)。
g _客戶端。RemotePort=7626(讓遠程端口成為Glacier的默認端口，呵呵？這是冰川的生日。
(妳可以在這裏給G_Client分配壹個本地端口。如果不分配，電腦會自動分配壹個。建議電腦自動分配。)
g _客戶端。Connect(調用Winsock控件的連接方法)
壹旦服務器收到來自客戶端的ConnectionRequest，它就接受連接。
private Sub G _ Server _ connection request(ByVal request id為Long)
g _服務器。接受requestID
末端接頭
客戶端用G_Client發送命令。SendData，而服務器接受並執行g _ server _ datearrival事件中的命令(幾乎所有的特洛伊函數都在這個事件處理程序中實現)。
如果客戶斷開連接，請關閉連接並再次監聽端口。
Private Sub G_Server_Close()
g _服務器。關閉(關閉連接)
g _服務器。聽(再聽壹遍)
末端接頭
其他部分可以通過命令傳輸進行。客戶端上傳命令，服務器解釋並執行該命令。......
二、控制篇(特洛伊馬控制世界！)
因為Win98已經向用戶開放了所有的權限，以用戶權限運行的特洛伊幾乎可以控制壹切。看看Glacier能做什麽(看完之後妳會認同我的觀點:把Glacier稱為特洛伊是不合適的，Glacier已經實現了足夠多的功能，可以成為壹款成功的遠程控制軟件)。
因為Glacier實現的功能太多了，這裏就不詳細解釋了，所以這裏簡單介紹壹下Glacier的主要功能，主要使用Windows API函數。如果想知道這些函數的具體定義和參數，請查閱WinAPI手冊。
1.遠程監控(控制對方鼠標鍵盤，監控對方屏幕)
Keybd_event模擬壹個鍵盤動作(這個函數支持截屏)。
Mouse_event模擬壹個鼠標事件(這個函數的參數太復雜了，我在這裏全寫出來會被編輯罵死的，所以只能寫幾個主要的，其他的自己去查WinAPI)。
mouse_event(dwFlags，dx，dy，cButtons，dwExtraInfo)
dwFlags:
指定鼠標坐標系中的絕對位置。
移動鼠標。
模擬按下鼠標左鍵。
模擬鼠標左鍵的擡起。
模擬按下鼠標右鍵。
模擬按下鼠標右鍵。
模擬鼠標中鍵的按下。
模擬鼠標中鍵的按下。
dx，dy:
MOUSEEVENTF_ABSOLUTE中的鼠標坐標
2.記錄各種密碼信息(出於安全考慮，本文不討論這個問題，也請不要寫信給我詢問)
3.獲取系統信息
A.獲取計算機名GetComputerName
B.更改計算機名SetComputerName
C.當前用戶的GetUserName函數
D.系統路徑
set file system 0 object = createobject(" scripting。filesystemobject”)。
set system dir = file system 0 object . getspecialfolder(1)
(取系統目錄)
set system dir = file system 0 object . getspecial folder(0)
(取Windows安裝目錄)
友情提醒:FileSystemObject是壹個非常有用的對象，妳可以用它來完成很多有用的文件操作。
E.獲取系統版本GetVersionEx(還有壹個GetVersion，但是在32位windows下可能會有問題，建議使用GetVersionEx。
F.當前顯示分辨率
寬度=屏幕。寬度\屏幕。TwipsPerPixelX
高度=屏幕。高度\屏幕。TwipsPerPixelY
其實如果不使用Windows API，我們很容易就能獲取系統的各種信息，這就是Winodws的“垃圾站”——註冊表。
例如計算機名稱和計算機徽標:
HKEY _ LOCAL _ MACHINE \ System \ current control set \ Services \ VxD \ vnet sup
註釋、計算機名和工作組
註冊公司和用戶名:
HKEY _用戶\。默認\軟件\Microsoft\MS安裝程序(ACME)\UserInfo
至於如何獲取註冊表鍵值，請參見第6部分。
4.限制系統功能
A.使用WinAPI中的以下函數可以實現計算機的遠程關機或重啟:
ExitWindowsEx(ByVal uFlags，0)
當uFlags=0 EWX_LOGOFF時，停止進程並註銷。
=1 EWX_SHUTDOWN關閉系統電源。
= 2 EWX _重新啟動系統。
=4 EWX_FORCE強制停止無響應的進程。
B.鎖定鼠標
ClipCursor(lpRect As RECT)可以將指針限制在指定區域，或者使用ShowCursor(FALSE)隱藏鼠標。
註意:RECT是壹個矩形，定義如下:
RECT標牌
左等長
頂端壹樣長
壹樣長
底部壹樣長
結束類型
C.鎖定系統的方法太多了。呵呵，Windows很難不死機。比如做壹個無限循環。當然，要讓系統完全崩潰是需要壹些技巧的，比如設備漏洞或者資源耗盡。......
D.讓對方掉線，拉尚古普......
E.終止進程ExitProcess......
f .關閉窗口，使用FindWindow函數找到窗口，使用SendMessage函數關閉窗口。
5.遠程文件操作
無論在哪個編程語言中，文件操作功能都是比較簡單的，這裏就不贅述了。也可以用上面提到的FileSystemObject來實現。
6.註冊表操作
在VB中，只要設置regedit = createobject ("wscript。殼”)。
您可以使用以下註冊表函數:
刪除鍵值:RegEdit。RegDelete註冊表項
添加鍵值:RegEdit。寫入RegKey，RegValue。
獲取鍵值:RegEdit。重新讀取(值)
記住，註冊表的鍵值要寫全路徑，否則會出錯。
發送信息
很簡單，只是壹個彈出的消息框。在VB中使用MsgBox(" ")即可實現，其他程序也不太難。
8.點對點通信
呵呵，好吧，隨便看個聊天軟件就行了。
我就不寫了，因為簡單但是很煩，呵呵。還有:我還是不明白冰川為什麽要在特洛伊馬做這個事情，很費解...
9.更換壁紙
調用systemparametersinfo (20，0，" & pathname "，& ampH1)
值得註意的是，如果妳使用活動桌面，妳可能無法改變壁紙。在這種情況下，請不要找何冰和我，而是找比爾·蓋。
三、隱身篇(Windows，捉迷藏的大森林)
特洛伊馬不是合法的網絡服務程序(即使妳把它安裝在妳女朋友的電腦上也是非法的，當然我能理解這種行為，呵呵)，所以它肯定千方百計隱藏自己。還好Windows是捉迷藏的大森林！
1，在任務欄中隱藏自己:
這是最基本的，如果妳連這個都做不到...(想象壹下，如果特洛伊馬圖標出現在Windows任務欄中...@ # $%!# @ $ ...太囂張了！)
在VB中，只要窗體的Visible屬性設置為False，ShowInTaskBar設置為False，程序就不會出現在任務欄中。
2.在任務管理器中不可見:(即按Ctrl+Alt+Del時，看不到名為“特洛伊馬”的進程)
這有點難，但還是難倒我們了。將程序設置為“系統服務”可以輕松偽裝成比爾蓋自己的軍隊(Windows，我們是妳的家人，不要告訴別人我躲在哪裏...).
在VB中，下面的代碼可以實現這個功能:
公共聲明函數RegisterServiceProcess Lib " kernel 32 "(ByVal ProcessID為Long，ByVal ServiceFlags為Long)為Long
公共聲明函數GetCurrentProcessId Lib " kernel 32 "()為Long
(以上為聲明)
私有子窗體_Load()
RegisterServiceProcess getCurrentProcessID，1(註冊系統服務)
末端接頭
私有子窗體_Unload()
RegisterServiceProcess getCurrentProcessID，0(取消系統服務)
末端接頭
3、如何悄悄開始:
當然，妳不會期望用戶在每次啟動後點擊特洛伊圖標來運行服務器。特洛伊要做的第二件重要的事是如何在用戶每次啟動時自動加載服務器(第壹件重要的事是如何讓對方贏得特洛伊，呵呵，這部分後面會提到)。
Windows支持多種方式在系統啟動時自動加載應用程序(就像專門為木馬做的壹樣)。啟動組、win.ini、system.ini、註冊表等等都是木馬藏身的好地方。冰川采取了各種方法保證妳擺脫不了(怎麽聽起來有點固執...哦，誰，誰，黃鑫，別向我扔雞蛋！)首先，Glacier將添加
4.港口
特洛伊馬會很註意自己的港口(妳呢？妳在乎妳的6萬多個端口嗎？)，如果妳留意的話，會發現特洛伊的端口普遍在1000以上，並且呈遞增趨勢(netspy為1243...)這是因為1000以下的端口是常用端口，占用這些端口可能會導致系統異常，所以特洛伊會很容易暴露；因為端口掃描需要時間(壹個快速的端口掃描器遠程掃描所有端口大概需要20分鐘)，使用54321這樣的端口會讓妳很難找到。文末我給妳轉貼了壹個常見木馬的端口列表，妳可以去查壹下(不過值得提醒的是，Glacier和很多比較新的木馬都提供了端口修改功能，所以木馬其實可以出現在任何端口)。
5.最新的隱形技術
目前除了冰川使用的隱身技術，還出現了更新更隱蔽的方法，那就是-driver和動態鏈接庫技術(冰川3.0會采用這種方法嗎？)。
驅動和動態鏈接庫的技術不同於壹般的特洛伊，基本上擺脫了原有的特洛伊模式——監聽端口，采用了替換系統函數的方法(重寫驅動或動態鏈接庫)。這樣壹來，系統中就沒有新添加的文件(所以掃描不能用來查殺)，也沒有新的端口需要打開(所以端口監控不能用來查殺)，也沒有新的進程可用(所以用進程視圖方法找不到它，用kill process方法也不能終止它的操作)。在正常運行過程中，特洛伊馬幾乎沒有任何癥狀，但壹旦特洛伊馬的控制端向受控端發送特定信息，隱藏程序就會立即開始運行。......
其實我見過幾個這種類型的木馬，其中有壹個隱藏* * *享受的木馬就是通過重寫vxd文件建立的...(江湖還會有新的波瀾)。
冰川解析——揭開特洛伊馬的神秘面紗(下)
作者:shotgun yesky
四、破解文章(魔高壹尺道高壹丈)
本文主要討論特洛伊馬的基本原理，特洛伊馬的破解不是本文的重點(也不是我的強項)。敬請期待yagami的特洛伊馬(我已經期待了壹年了，那就和我壹起繼續期待吧，呵呵)。本文只是對特洛伊馬防卸常用方法做壹個小總結:
1.端口掃描
端口掃描是檢查遠程機器中是否有特洛伊木馬的最佳方式。端口掃描的原理非常簡單。掃描儀試圖連接到端口。如果成功，則意味著端口打開。如果失敗或超過壹定時間(超時)，則意味著端口關閉。(關於端口掃描，Oliver有壹篇關於“半連接掃描”的優秀文章，原理不同，但不在本文討論範圍之內。)
但值得註意的是，對於驅動/動態鏈接木馬，掃描端口不起作用。
檢查連接
查看連接和端口掃描的原理基本相同，只是所有的TCP/UDP連接都是通過netstat -a(或者第三方程序)在本地機器上查看，比端口掃描要快。缺點是找不到驅動/動態鏈接木馬，只能在本地使用。
檢查註冊表
上面討論木馬啟動方式的時候提到過，木馬可以通過註冊表啟動(現在看來大部分木馬都是通過註冊表啟動的，或者至少註冊表是作為壹種自我保護的方式)。然後，我們還可以通過查看註冊表找到“馬蹄印”。註冊表中冰川留下的痕跡請參考《隱身》。
查找文件
找到特洛伊馬的具體文件也是常用的方法(這個我知道，冰川的特色文件是G_Server.exe吧？傻逼！不會這麽簡單。冰川是狡猾的...)Glacier的壹個特色文件是kernl32.exe(該死的，偽裝成Windows的內核)，另壹個更隱蔽，sysexlpr.exe(什麽，不是超級解決方案嗎？)對！冰川之所以給這兩個文件起這樣的名字，是為了更好的偽裝自己。只要刪除這兩個文件，Glacier就不再工作。其他木馬也壹樣(廢話，服務器端程序都沒了，還能怎麽辦？)
黃鑫:“咳咳，沒那麽簡單……”(帶著狡黠的笑容)。
是的，如果妳只是刪除sysexlpr.exe而沒有完成任務，妳可能會遇到壹些麻煩——那就是妳的文本文件打不開，因為如前所述，sysexplr.exe與文本文件關聯，妳也必須將文本文件與記事本關聯。有三種方法:
A.改註冊表(我就不說了，有能力自己改的也不想說，不然最好不要篡改)
B.視圖中-文件夾選項-在文件類型中編輯
c按住SHIFT鍵的同時右擊任意壹個TXT文件，選擇打開方式，選擇，然後找到記事本，點擊就OK了。(這是最簡單的，推薦)
黃鑫:“我...我笑不出來。”
只是提醒妳，壹定要小心木馬這種狡猾的東西。冰川和txt文件有關聯，txt打不開也沒什麽大不了的。如果特洛伊木馬程序與exe文件相關聯，而您貿然刪除它們...妳苦啊！連regedit都跑不了！
5.殺毒軟件
之所以把殺毒軟件放在最後，是因為它用處不大，包括壹些號稱查殺木馬的軟件。但對於過時的木馬和新手安裝的木馬(無服務器)還是有用的。值得壹提的是，新開發的ip戰甲在這方面堪稱佼佼者。它采用了動態鏈接庫監控技術。它可以監控所有調用Winsock的程序，它可以動態地殺死進程。是個人防禦的好工具(雖然我很懷疑傳說中的“這款軟件能在未來十年內查殺木馬”的說法)，嘿嘿，很難說兩年後會怎麽樣。誰知道十年後木馬會“進化”到什麽程度？我甚至不敢想象十年後操作系統會是什麽樣子。
另外，對於驅動/動態鏈接庫特洛伊，有壹種方法可以嘗試壹下。可以使用Windows系統文件檢查器通過開始菜單-程序-附件-系統工具-系統信息-工具運行系統文件檢查器(這麽詳細，妳不會錯過吧？什麽，妳找不到！吐血！找個98安裝盤補壹下。系統文件檢查器可以檢查操作系統文件的完整性。如果這些文件損壞，檢查器可以恢復它們。檢查器還可以從安裝盤解壓縮壓縮文件(如驅動程序)。如果妳的驅動或者動態鏈接庫沒有升級就改了，可能是特洛伊馬(或者損壞了)。提取更改的文件可以確保系統的安全性和穩定性。(註意，該操作需要由熟悉系統的操作人員來完成。因為安裝某些程序可能會自動升級驅動程序或動態鏈接庫，在這種情況下恢復“損壞”的文件可能會導致系統崩潰或程序不可用！)
動詞 （verb的縮寫）狡猾的文章(只要妳稍有疏忽.....)
只要妳稍有疏忽，就有可能有人安裝了特洛伊木馬。了解壹些常見的技巧，為他人種植特洛伊馬，有利於確保自己的安全。
1.在互聯網上“幫助”人們種植木馬的伎倆主要有以下幾種。
A.軟哄硬騙法；
有很多方法可以做到這壹點，和技術無關。他們有的裝大蝦，有的裝PLMM，有的很卑微，還有的...反正目的是壹樣的，就是讓妳運行壹個特洛伊馬的服務器。
B.裝配綜合法
就是所謂的221(二比壹)把壹個正版程序綁定到壹個特洛伊上，正版程序的功能不受影響，但是當妳運行正版程序的時候，特洛伊會自動加載。同時，由於程序的代碼在綁定後發生了變化，很難根據簽名查出掃描的殺毒軟件。
C.更名改姓的方法
這種方法出現的比較晚，但是現在很流行，很容易被不熟練的windows操作人員忽悠。具體方法是將可執行文件偽裝成圖片或文本——在程序中將圖標改為Windows默認的圖片圖標，然後將文件名改為*.jpg.exe，由於Win98的默認設置是“不顯示已知文件後綴”，所以文件會顯示為*。jpg，而不註意的人點擊這個圖標就會被特洛伊馬打中(如果在程序中嵌入圖片就更完美了)。
D.願意上鉤的方法
特洛伊馬的主人在網頁上放惡意代碼引誘用戶點擊，用戶點擊的結果不言而喻:開門搶賊；建議:不要只點擊網頁上的鏈接，除非妳知道它，信任它，並願意為此而死...(真是壹團糟)
2.壹些註釋(壹些陳詞濫調)
A.不要隨便從網站下載軟件。如果要下載的話，也要去比較有名有信譽的網站。這些網站壹般都有人殺馬殺病毒。
B.不要太相信別人，不要隨便運行別人給的軟件；
(尤其是妳認識的人，不要以為知道了就安全了，只有妳認識的人才會給妳裝個特洛伊馬，哈哈，挑撥離間...)
C.總是檢查妳的系統文件，註冊表，端口等。，並經常去安全網站查看最新的特洛伊馬公告；
D.更改windows關於隱藏文件後綴的默認設置(在看到文件後綴之前，我不會安全地放置它)。
E.上網時發現硬盤響或者貓身上的數據燈莫名其妙的閃，要小心；
經常會突然關掉所有連接，盯著我的貓。也可以試試。如果這時數據傳輸燈還在拼命閃爍，那麽恭喜妳，妳被特洛伊馬撞了。快跑！)
6.附言
這篇文章的發表首先要感謝《冰川》的作者黃鑫。我對他說:“我想寫壹篇關於冰川的文章”，他說:“寫吧”。於是就有了這篇文章的初稿(黃鑫:“不行，妳答應用稿費請我吃飯，就不要留了”)。後來，黃鑫給了我很多建議，提供了很多信息。謝謝妳的冰川。
第二，來自西慈的yagami是公認的特洛伊專家。在我寫作期間，他不僅對木馬的查殺提出了很多意見，還找了壹些木馬的源代碼給我參考。不過這家夥太忙了，想看木馬的朋友就要耐心等待了。
第三個值得壹提的家夥來自武漢。我的初稿壹出來，他就搶著貼出來了。當時我很尷尬，只好加緊寫，爭取盡快寫完。不然呵呵，估計大家要等壹年左右才能看到這篇文章。
這篇文章初稿出來後，很多朋友問:為什麽不用C++，而用VB寫特洛伊馬的源代碼描述？呵呵，壹個是我懶，VB比VC容易多了，不會死機windows(我用VC死機系統:P)；其次，本文中的API我基本都用過。VB只是壹小塊。WINAPI很容易移植。第三，正如我前面強調的，本文只討論了特洛伊馬的結構和原理，而不是教人們如何編寫特洛伊馬程序。要知道，公安部已經正式表態，凡是給別人電腦投毒的，都要受到刑事處罰。相比較而言，VB代碼的危害要小得多(如果完全用VB做壹個冰川，大概要壹萬多億，更別說那些控件和動態鏈接庫文件了，呵呵，這麽龐大的程序能在別人的電腦上悄無聲息的玩花樣嗎？)