如今網(wǎng)上傳播的反彈型木馬以國(guó)產(chǎn)的最為常見(jiàn)，例如灰鴿子（牽手 2004）、黑洞2004、安哥等等。下面我們就以最新的木馬──灰鴿子（牽手 2004）為例，介紹現(xiàn)在的木馬都是如何生成、種植、使用、隱藏和防范的，其他的反彈型木馬與之類似，我們就不展開(kāi)介紹了。
軟件小資料
運(yùn)行灰鴿子，在主界面點(diǎn)擊“配置服務(wù)程序”命令，彈出“服務(wù)端配置”畫面，單擊“連接類型”選項(xiàng)卡（如下圖1），可以選擇與木馬服務(wù)端的連接方式。如果你想生成普通木馬，可以選擇“主動(dòng)連接型”，這樣木馬運(yùn)行后、就會(huì)打開(kāi)別人機(jī)器上的TCP：2513端口監(jiān)聽(tīng)，等待你的控制連接，這是傳統(tǒng)的木馬，很容易被人發(fā)現(xiàn)。如果你選擇“自動(dòng)上線型”，則生成反彈型木馬，然后在“URL轉(zhuǎn)向域名”、“DNS解析域名”、“網(wǎng)頁(yè)文件”三項(xiàng)中任填一個(gè)，例如在“URL轉(zhuǎn)向域名”欄中，填入你事先注冊(cè)好的域名http://lacl.icpcn.com，這樣木馬服務(wù)端一上線就會(huì)連接這個(gè)地址，控制端于是便得知服務(wù)端已上線，自動(dòng)與服務(wù)端連接。
圖 1
接下來(lái)單擊打開(kāi)“安裝信息”選項(xiàng)卡，在“安裝路徑”欄選擇“<System DIR>”（如下圖2），把木馬服務(wù)端安裝在他人硬盤的系統(tǒng)目錄（WinXP為Windows\system32，WinMe/98為Windows\system）下，你也可以選擇<Windows DIR>或<temp DIR>，把服務(wù)端安裝在其他位置；在“安裝名稱”欄輸入“G.jpg.exe”，給服務(wù)端程序起個(gè)名字；勾選“自動(dòng)刪除安裝文件”。
圖 2
單擊打開(kāi)“啟動(dòng)項(xiàng)目”選項(xiàng)卡，設(shè)置木馬服務(wù)端在他人的機(jī)器上如何自啟動(dòng)，建議全勾選（如下圖3），這樣在Win9x下會(huì)寫入注冊(cè)表啟動(dòng)項(xiàng)，WinXP/2000下會(huì)安裝成Hgz_Server服務(wù)啟動(dòng)，你可以更改服務(wù)的顯示名稱（默認(rèn)為Hgz_Server），應(yīng)該把“描述信息”刪空。
圖 3
單擊打開(kāi)“綁定文件”選項(xiàng)卡，勾選“每次啟動(dòng)自動(dòng)加載”（如下圖4），單擊“文件路徑”右邊的小按鈕，選擇一幅圖片（例如banner.jpg），然后按“增加”按鈕，把木馬服務(wù)端與該圖片綁定，最后選擇保存路徑，按“生成服務(wù)器”，木馬服務(wù)端安裝文件就產(chǎn)生了。以后只要你單擊這個(gè)安裝文件，就會(huì)中了木馬！表現(xiàn)為顯示剛才綁定的圖片，同時(shí)木馬服務(wù)端將悄悄地安裝在你的硬盤中。
圖 4
二、把木馬植入他人的電腦中
現(xiàn)在我們要把木馬服務(wù)端投到別人的電腦中。種植木馬的方法有很多，例如Email夾帶，把服務(wù)端作為附件寄給對(duì)方；建一個(gè)網(wǎng)站，偽裝成XXXX軟件的破解版，引誘他人下載服務(wù)端文件；通過(guò)系統(tǒng)漏洞入侵他人電腦，把木馬服務(wù)端傳過(guò)去；把服務(wù)端偽裝后放到自己的共享文件夾，欺騙網(wǎng)友用P2P軟件下載并運(yùn)行之。下面我們以Email夾帶為例，介紹種植木馬的方法。
首先啟動(dòng)Outlook等Email軟件，撰寫一封新郵件，將剛才生成的木馬服務(wù)端安裝文件壓縮成一個(gè)文件，放到郵件的附件中，編寫一個(gè)誘人的主題，例如“驚天消息：大興安嶺抓住外星人，請(qǐng)看現(xiàn)場(chǎng)照片……”，對(duì)方收到郵件后，如果好奇打開(kāi)附件、單擊該木馬安裝文件，就會(huì)顯示綁定的圖片，其他什么現(xiàn)象也沒(méi)有，重新啟動(dòng)系統(tǒng)后，木馬服務(wù)端就種植成功了。
三、遠(yuǎn)程控制對(duì)方
以上投毒成功后，控制對(duì)方的電腦就很容易了，只要使用客戶端即可。由于是反彈型木馬，所以服務(wù)端上線后會(huì)自動(dòng)連接客戶端，此時(shí)你可以啟動(dòng)灰鴿子，操控客戶端對(duì)服務(wù)端進(jìn)行遠(yuǎn)程控制。在軟件主界面列表中（如下圖5），隨便選擇一臺(tái)已經(jīng)上線的電腦，然后單擊打開(kāi)選項(xiàng)卡對(duì)這臺(tái)電腦進(jìn)行分類控制，選項(xiàng)卡有“文件管理器”、遠(yuǎn)程控制命令、注冊(cè)表模擬器、遠(yuǎn)程監(jiān)控、文件傳輸管理、命令廣播。
圖 5
文件管理器：在該選項(xiàng)卡中，你可以隨意的下載對(duì)方機(jī)器中的文件，而且還支持?jǐn)帱c(diǎn)傳輸。你可以象操作“Windwos資源管理器”那樣，下載、新建、重命名、刪除對(duì)方電腦中的文件，還可以把對(duì)方的文件上傳到FTP服務(wù)器上保存。
遠(yuǎn)程控制命令：在這里，你可以查看對(duì)方的系統(tǒng)信息、剪切板中內(nèi)容；查看、終止對(duì)方的進(jìn)程，例如發(fā)現(xiàn)有殺毒軟件或防火墻，即可終止對(duì)應(yīng)的進(jìn)程，以便保護(hù)服務(wù)器端；你可以啟動(dòng)、關(guān)閉對(duì)方的服務(wù)；查看對(duì)方共享的信息；關(guān)閉或恢復(fù)對(duì)方的程序窗口；遠(yuǎn)程運(yùn)行DOS命令控制對(duì)方，卸載、重新加載服務(wù)端，遠(yuǎn)程關(guān)機(jī)或重啟等。
遠(yuǎn)程監(jiān)控：這里你可以啟動(dòng)語(yǔ)音監(jiān)聽(tīng)、或發(fā)送，如果對(duì)方有麥克風(fēng)，你就可以聽(tīng)到他們的談話，而且你還可以向?qū)Ψ桨l(fā)送文字信息。
四、木馬服務(wù)端的加殼保護(hù)
KV2004等殺毒軟件（最新的病毒庫(kù)）很容易發(fā)現(xiàn)、查殺以上木馬，為了逃避殺毒軟件的查殺，你可以使用壓縮軟件對(duì)木馬服務(wù)端進(jìn)行加殼保護(hù)，目前加殼的軟件有很多，例如ASPack、ASProtect、UPXShell、Petite等。下面我們就以ASPack（下載地址http://www.fz20.com/down.asp?id=3465&no=2）為例，介紹給木馬加殼的方法：
啟動(dòng)ASPack（如上圖6），點(diǎn)擊“open（打開(kāi)）”按鈕，選擇要加殼的木馬服務(wù)端程序，ASPack就會(huì)自動(dòng)進(jìn)行加殼。加殼完成后，殺毒軟件就不能查殺該木馬了。假如殺毒軟件依舊可以查殺，你可以使用其他壓縮軟件（例如ASProtect）對(duì)服務(wù)端再次加殼，這樣處理之后，殺毒軟件一般不可能再查殺原來(lái)的木馬了。
圖 6
五、灰鴿子的手工清除
機(jī)器里中了灰鴿子之后，如果是WinMe/9x系統(tǒng)，木馬會(huì)修改注冊(cè)表自啟動(dòng)項(xiàng)，手工清除方法：首先要禁止它開(kāi)機(jī)自動(dòng)運(yùn)行，點(diǎn)開(kāi)始/運(yùn)行，輸入msconfig點(diǎn)確定，在系統(tǒng)配置實(shí)用程序中選“啟動(dòng)項(xiàng)”，然后把SVCHOST前面的勾去掉，點(diǎn)確定后退出；接下來(lái)在運(yùn)行中輸regedit 進(jìn)入注冊(cè)表，查找SVCHOST（注意是大寫的），刪除找到的SVchost.ini、mapis32a.dll、%systemroot%F4.Jpg，關(guān)機(jī)重啟；最后運(yùn)行TcpView，檢查你的2513端口是否開(kāi)著。
如果是WinXP/2000系統(tǒng)，木馬會(huì)啟動(dòng)灰鴿子服務(wù)（服務(wù)名稱默認(rèn)為Hgz_Server，可以是其他名稱），因此刪除該木馬，首先要關(guān)閉這個(gè)服務(wù)，單擊“開(kāi)始”/設(shè)置/控制面板，雙擊“管理工具”/服務(wù)，禁止該服務(wù)；然后在該服務(wù)“屬性”中查出對(duì)應(yīng)的執(zhí)行文件位置，刪除執(zhí)行文件即可。
反彈型木馬防范篇
為了防范越來(lái)越猖獗的反彈型木馬，我們?yōu)槟銣?zhǔn)備了以下的措施，通過(guò)對(duì)網(wǎng)絡(luò)自身的設(shè)置，以及軟件的幫助，你能更好的防護(hù)反彈型木馬對(duì)你的攻擊：
一、關(guān)閉不用的端口
默認(rèn)情況下Windows有很多端口是開(kāi)放的，在你上網(wǎng)的時(shí)候，網(wǎng)絡(luò)病毒和黑客可以通過(guò)這些端口連上你的電腦，為了讓你的系統(tǒng)銅墻鐵壁，應(yīng)該封閉這些端口，主要有：TCP 139、445、593、1025 端口和 UDP123、137、138、445、1900 端口，一些流行病毒的后門端口（如 TCP 2513、2745、3127、6129 端口），以及遠(yuǎn)程服務(wù)訪問(wèn)端口3389。
137、138、139、445端口都是為共享而開(kāi)的，是NetBios協(xié)議的應(yīng)用，你應(yīng)該禁止別人共享你的機(jī)器，所以要把這些端口全部關(guān)閉，方法是：?jiǎn)螕簟伴_(kāi)始”/控制面板/系統(tǒng)/硬件/設(shè)備管理器，單擊“查看”菜單下的“顯示隱藏的設(shè)備”，單擊“非即插即用驅(qū)動(dòng)程序”，找到Netbios over Tcpip禁用該設(shè)備，重新啟動(dòng)后即可。
關(guān)閉UDP123端口：?jiǎn)螕簟伴_(kāi)始”/設(shè)置/控制面板，雙擊“管理工具”/服務(wù)，停止windows time服務(wù)即可，關(guān)閉UDP 123端口，可以防范某些蠕蟲(chóng)病毒。
關(guān)閉UDP1900端口：在控制面板中雙擊“管理工具”/服務(wù)，停止SSDP Discovery Service 服務(wù)即可。關(guān)閉這個(gè)端口，可以防范DDoS攻擊。
其他端口你可以用網(wǎng)絡(luò)防火墻關(guān)閉之，或者在控制面板中，雙擊“管理工具”/本地安全策略，選中“IP 安全策略，在本地計(jì)算機(jī)”，創(chuàng)建 IP 安全策略來(lái)關(guān)閉這些端口。
二、安裝殺毒軟件
及時(shí)安裝升級(jí)殺毒軟件（例如KV2004等）及其病毒庫(kù)，并及時(shí)給系統(tǒng)打上的安全補(bǔ)丁。上網(wǎng)時(shí)要特別注意，木馬無(wú)處不在！不要隨意下載來(lái)歷不明的文件，只下載使用官方的升級(jí)程序；不要接收陌生人的郵件，如果有附件，也不要打開(kāi)附件，更不要執(zhí)行附件中的可執(zhí)行程序，注意病毒程序偽裝的圖標(biāo)，不要輕信圖標(biāo)為“電子表格、文本文件、文件夾”的附件。
三、使用反木馬軟件
使用專門的反木馬軟件，及時(shí)升級(jí)軟件和病毒庫(kù)，這是查殺木馬最簡(jiǎn)單的方法。目前反木馬軟件數(shù)量眾多，著名的有金山毒霸木馬專殺、諾頓安全特警、木馬克星、TrojanHunter、Anti-Trojan Shield、The Cleaner Professional、木馬清除大師等。
1、金山毒霸木馬專殺
金山木馬專殺既是一個(gè)木馬專殺工具（可以查殺2萬(wàn)多種木馬），又是一個(gè)木馬防火墻,可以有效地保護(hù)你的QQ號(hào)碼、網(wǎng)游以及網(wǎng)絡(luò)支付安全，快速清除遠(yuǎn)程控制型、盜取密碼型、進(jìn)程注入型木馬以及反彈端口型木馬。
2、諾頓安全特警
諾頓安全特警（NIS2004）是塞門鐵克公司推出了優(yōu)秀的網(wǎng)絡(luò)安全軟件，能夠查殺木馬病毒、進(jìn)行入侵檢測(cè)，具備個(gè)人防火墻等功能；軟件新增加的反垃圾郵件功能非常實(shí)用，多網(wǎng)絡(luò)環(huán)境支持、Web助手等新功能也很貼心。在網(wǎng)絡(luò)木馬和病毒越來(lái)越多的今天，有必要請(qǐng)一個(gè)“特警”回來(lái)護(hù)駕，不過(guò)，它體積大、資源占用過(guò)多。
3、木馬克星（Iparmor）
木馬克星是國(guó)人開(kāi)發(fā)的一款防殺木馬的軟件，擅長(zhǎng)查殺國(guó)產(chǎn)木馬、對(duì)查殺最近非常流行的網(wǎng)絡(luò)神偷、網(wǎng)吧殺手、鍵盤幽靈以及捆綁在圖片文件中的木馬非常有效。它體積不大（安裝文件只有3.7MB），可以用閃存隨身攜帶，方便你在網(wǎng)吧電腦中安裝使用。
4、Anti-Trojan Shield
Anti-Trojan Shield是一款享譽(yù)歐洲的專業(yè)木馬偵測(cè)、攔截及清除軟件，目前可以查殺9468種木馬和病毒，其特點(diǎn)是界面簡(jiǎn)捷，雖是英文但只要你會(huì)用殺毒軟件，就能很容易操作該軟件。
5、TrojanHunter(木馬獵手)
TrojanHunter是一款非常不錯(cuò)的防木馬軟件，可以在Win9X/NT/2000/XP系統(tǒng)中運(yùn)行，能夠發(fā)現(xiàn)流行的木馬。
6、The Cleaner Professional
The Cleaner Professional 是MooSoft公司開(kāi)發(fā)的查殺木馬軟件，可以查殺各種木馬、蠕蟲(chóng)、鍵盤記錄機(jī)、間諜程序等。軟件包括Cleaner、TCActive、TCMonitor等組件，其中Cleaner專門查殺木馬等病毒，TCActive用來(lái)顯示當(dāng)前正在運(yùn)行的所有進(jìn)程，TCMonitor負(fù)責(zé)后臺(tái)監(jiān)視系統(tǒng)文件和注冊(cè)表是否被修改，如果發(fā)現(xiàn)被修改即報(bào)警。
7、木馬清除大師正式版
木馬清除大師（BeatTrojan）能查殺5800余種國(guó)際國(guó)內(nèi)流行木馬、網(wǎng)絡(luò)游戲盜號(hào)工具、QQ盜密碼工具、幽靈后門，查殺率在95%以上，正式版還加強(qiáng)了對(duì)第五代木馬的查殺，更加人性化的進(jìn)程管理設(shè)計(jì)，能完美的查殺各種無(wú)進(jìn)程木馬。
四、使用第三方防火墻
Win XP自帶的放火墻和ADSL貓的NAT方式，只能防止從外到內(nèi)的連接，不能阻擋從內(nèi)到外的連接，因此這類防火墻不能阻擋反彈型木馬。
防范反彈型木馬，最好的辦法是安裝使用第三方防火墻。因?yàn)橐话愕姆阑饓Γ伎梢栽O(shè)置應(yīng)用程序訪問(wèn)網(wǎng)絡(luò)的權(quán)限，你可以把懷疑為木馬的程序，設(shè)置成不允許訪問(wèn)網(wǎng)絡(luò)，這樣就能阻擋木馬從內(nèi)到外的連接。建議你安裝使用天網(wǎng)防火墻、諾頓防火墻等一些著名的防火墻軟件，這類防火墻各大網(wǎng)站都有下載。
五、在線安全檢測(cè)
按照上面的方法查殺木馬后，如果你還不放心，可以在網(wǎng)上找個(gè)在線安全測(cè)試的網(wǎng)站，對(duì)你的系統(tǒng)當(dāng)前安全情況進(jìn)行檢查，不過(guò)在線檢測(cè)前，請(qǐng)關(guān)閉你的防火墻。目前這類測(cè)試各網(wǎng)站都是免費(fèi)的，建議你去下面知名的網(wǎng)站測(cè)試：
諾頓是網(wǎng)絡(luò)安全的鼻祖，它的風(fēng)險(xiǎn)評(píng)估是非常及時(shí)和全面的。該網(wǎng)站提供了活動(dòng)的木馬程序掃描，利用木馬常用的方法嘗試與你的電腦進(jìn)行Internet 通信；它還可以掃描你的網(wǎng)絡(luò)漏洞、NetBIOS可用性，確定黑客是否能訪問(wèn)你機(jī)器中的信息。掃描完成后，會(huì)顯示詳細(xì)的分析結(jié)果。
著名的殺毒廠商金山公司提供的在線木馬專殺服務(wù)，目前該服務(wù)完全免費(fèi)。
.net.cn/main/view.php?cid=170" target=_blank>3、天網(wǎng)安全在線
可進(jìn)行木馬檢測(cè)、端口掃描、信息泄漏檢查、系統(tǒng)安全性檢查。檢測(cè)時(shí)會(huì)出現(xiàn)倒計(jì)時(shí)，在倒數(shù)時(shí)間內(nèi)，如果你的電腦出現(xiàn)藍(lán)屏死機(jī)，則表示你的電腦不安全，你可以下載該網(wǎng)站提供的個(gè)人電腦網(wǎng)絡(luò)安全軟件，來(lái)修補(bǔ)目前的安全漏洞。
免費(fèi)檢查你的電腦有那些端口開(kāi)放或關(guān)閉，是否有木馬；與“北京趨勢(shì)科技”合作，提供了在線按需掃描病毒服務(wù)。
藍(lán)盾安全實(shí)驗(yàn)室研制、開(kāi)發(fā)的在線安全檢測(cè)系統(tǒng)，可以檢查你的系統(tǒng)中是否有漏洞，可掃描你的端口，檢查你的電腦中是否有木馬和信息泄漏。
六、經(jīng)常用Tcpview觀察連接情況
為了防范未知的反彈型木馬，你可以經(jīng)常使用Tcpview檢查連接情況（如下圖7），這樣就能隨時(shí)發(fā)現(xiàn)哪個(gè)連接有可能是非法連接。
圖 7
例如上圖中本機(jī)的TCP 135端口正在監(jiān)聽(tīng)，眾所周知，135端口是RPC服務(wù)打開(kāi)的端口，如果你把RPC服務(wù)停掉，雖然可以關(guān)閉135端口，但是計(jì)算機(jī)也就關(guān)機(jī)了。沖擊波病毒利用的就是135端口，建議你使用第三方防火墻，設(shè)置外界不能連接本機(jī)的135端口。
注意：如果tcp協(xié)議的linsten在1025端口以上，則可能是木馬，大家就要警惕了。例如上圖灰鴿子打開(kāi)了本機(jī)的TCP 2513端口進(jìn)行監(jiān)聽(tīng)，這是主動(dòng)連接方式（非反彈連接），你可以斷定這是非法連接。此時(shí)你應(yīng)該右擊該連接，選擇連接屬性，記錄下執(zhí)行文件的名稱和位置，然后選擇“End Process”結(jié)束連接，最后再刪除對(duì)應(yīng)的執(zhí)行文件。