木馬病毒的六種啟動方式

　　木馬是隨計算機或Windows的啟動而啟動並掌握一定的控制權的，其啟動方式可謂多種多樣，通過登錄檔啟動、通過System.ini啟動、通過某些特定程式啟動等，真是防不勝防。其實只要能夠遏制住不讓它啟動，木馬就沒什麼用了，這裡小編就簡單說說木馬的啟動方式，知己知彼百戰不殆嘛。

　　一、通過"開始\程式\啟動"

　　隱蔽性：2星

　　應用程度：較低

　　這也是一種很常見的方式，很多正常的程式都用它，大家常用的QQ就是用這種方式實現自啟動的，但木馬卻很少用它。因為啟動組的每人會會出現在“系統配置實用程式”***msconfig.exe，以下簡稱msconfig***中。事實上，出現在“開始”選單的“程式\啟動”中足以引起菜鳥的注意，所以，相信不會有木馬用這種啟動方式。

　　二、通過Win.ini檔案

　　隱蔽性：3星

　　應用程度：較低

　　同啟動組一樣，這也是從Windows3.2開始就可以使用的方法，是從Win16遺傳到Win32的。在Windows3.2中，Win.ini就相當於Windows9x中的登錄檔，在該檔案中的[Windows]域中的load和run項會在Windows啟動時執行，這兩個專案也會出現在msconfig中。而且，在Windows98安裝完成後這兩項就會被Windows的程式使用了，也不很適合木馬使用。

　　三、通過登錄檔啟動

　　1、通過HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run，

　　HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run和

　　HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices

　　隱蔽性：3.5星

　　應用程度：極高

　　應用案例：BO2000，GOP，NetSpy，IEthief，冰河……

　　這是很多Windows程式都採用的方法，也是木馬最常用的。使用非常方便，但也容易被人發現，由於其應用太廣，所以幾乎提到木馬，就會讓人想到這幾個登錄檔中的主鍵，通常木馬會使用最後一個。使用Windows自帶的程式：msconfig或登錄檔編輯器***regedit.exe，以下簡稱regedit***都可以將它輕易的刪除，所以這種方法並不十分可靠。但可以在木馬程式中加一個時間控制元件，以便實時監視登錄檔中自身的啟動鍵值是否存在，一旦發現被刪除，則立即重新寫入，以保證下次Windows啟動時自己能被執行。這樣木馬程式和登錄檔中的啟動鍵值之間形成了一種互相保護的狀態。木馬程式未中止，啟動鍵值就無法刪除***手工刪除後，木馬程式又自動新增上了***，相反的，不刪除啟動鍵值，下次啟動Windows還會啟動木馬。怎麼辦呢?其實破解它並不難，即使在沒有任何工具軟體的情況下也能輕易解除這種互相保護。

　　破解方法：首先，以安全模式啟動Windows，這時，Windows不會載入登錄檔中的專案，因此木馬不會被啟動，相互保護的狀況也就不攻自破了;然後，你就可以刪除登錄檔中的鍵值和相應的木馬程式了。

　　2、通過HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce，

　　HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce和

　　HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce

　　隱蔽性：4星

　　應用程度：較低

　　應用案例：Happy99月

　　這種方法好像用的人不是很多，但隱蔽性比上一種方法好，它的內容不會出現在msconfig中。在這個鍵值下的專案和上一種相似，會在Windows啟動時啟動，但Windows啟動後，該鍵值下的專案會被清空，因而不易被發現，但是隻能啟動一次，木馬如何能發揮效果呢?

　　四、通過Autoexec.bat檔案，或winstart.bat，config.sys檔案

　　隱蔽性：3.5星

　　應用程度：較低

　　其實這種方法並不適合木馬使用，因為該檔案會在Windows啟動前執行，這時系統處於DOS環境，只能執行16位應用程式，Windows下的32位程式是不能執行的。因此也就失去了木馬的意義。不過，這並不是說它不能用於啟動木馬。可以想象，SoftIce for Win98***功能強大的程式除錯工具，被黑客奉為至寶，常用於破解應用程式***也是先要在Autoexec.bat檔案中執行然後才能在Windows中呼叫出視窗，進行除錯的，既然如此，誰能保證木馬不會這樣啟動呢?到目前為止，我還沒見過這樣啟動的木馬，我想能寫這樣木馬的人一定是高手中的高手了。

　　另外，這兩個BAT檔案常被用於破壞，它們會在這個檔案中加入類似"Deltree C：\*.*"和"Format C：/u"的行，這樣，在你啟動計算機後還未啟動Windows，你的C盤已然空空如也。

　　五、通過System.ini檔案

　　隱蔽性：5星

　　應用程度：一般

　　事實上，System.ini檔案並沒有給使用者可用的啟動專案，然而通過它啟動卻是非常好用的。在System.ini檔案的[Boot]域中的Shell項的值正常情況下是"Explorer.exe"，這是Windows的外殼程式，換一個程式就可以徹底改變Windows的面貌***如改為Progman.exe就可以讓Win9x變成Windows3.2***。我們可以在"Explorer.exe"後加上木馬程式的路徑，這樣Windows啟動後木馬也就隨之啟動，而且即使是安全模式啟動也不會跳過這一項，這樣木馬也就可以保證永遠隨Windows啟動了，名噪一時的尼姆達病毒就是用的這種方法。這時，如果木馬程式也具有自動檢測新增Shell項的功能的話，那簡直是天衣無縫的絕配，我想除了使用檢視程序的工具中止木馬，再修改Shell項和刪除木馬檔案外是沒有破解之法了。但這種方式也有個先天的不足，因為只有Shell這一項嘛，如果有兩個木馬都使用這種方式實現自啟動，那麼後來的木馬可能會使前一個無法啟動，呵呵以毒攻毒啊。

　　六、通過某特定程式或檔案啟動

　　1、寄生於特定程式之中

　　隱蔽性：5星

　　應用程度：一般

　　即木馬和正常程式捆綁，有點類似於病毒，程式在執行時，木馬程式先獲得控制權或另開一個執行緒以監視使用者操作，擷取密碼等，這類木馬編寫的難度較大，需要了解PE檔案結構和Windows的底層知識***直接使用捆綁程式除外***。

　　2、將特定的程式改名

　　隱蔽性：5星

　　應用程度：常見

　　這種方式常見於針對QQ的木馬，例如將QQ的啟動檔案QQ2000b.exe，改為QQ2000b.ico.exe***Windows預設是不顯示副檔名的，因此它會被顯示為QQ2000b.ico，而使用者會認為它是一個圖示***，再將木馬程式改為QQ2000b.exe，此後，使用者執行QQ，實際是運行了QQ木馬，再由QQ木馬去啟動真正的QQ，這種方式實現起來要比上一種簡單的多。

　　3、檔案關聯

　　隱蔽性：5星

　　應用程度：常見

　　通常木馬程式會將自己和TXT檔案或EXE檔案關聯，這樣當你開啟一個文字檔案或執行一個程式時，木馬也就神不知鬼不覺的啟動了。

　　這類通過特定程式或檔案啟動的木馬，發現比較困難，但查殺並不難。一般地，只要刪除相應的檔案和登錄檔鍵值即可。