特洛伊木马的定义与六大特性详解

特洛伊木马是什么？定义与核心特性

木马的本质，通俗地说，就是一个网络客户端/服务器程序。这种架构并不陌生：一台主机作为服务器提供特定服务，另一台主机作为客户机接收服务。服务器通常会在默认端口开启监听，一旦客户机向该端口发起连接请求，服务器上的守护进程就会自动响应。在木马攻击场景中，被控制端充当服务器角色，控制端则是客户机，被控制端为控制端提供远程控制服务。整体流程便是这种“你开我连”的配合机制。

那么，木马究竟有何特殊之处？它具备以下六大典型特性，每一个都值得高度警惕。

1. 隐蔽性：藏身于正常程序之中，极难发现

木马从事的是“地下工作”，因此必须千方百计隐藏自己。许多人分不清木马与远程控制软件的区别，例如PCanywhere，它是一款合法的远程控制软件。当服务器端运行时，客户端连接成功后会显示醒目的提示标志。然而，木马服务器端运行时，绝不会留下任何明显痕迹——开发者早已将可能暴露的破绽消除殆尽。例如，木马会修改注册表或关联文件，确保下次启动时仍能自动运行，但它不会直接创建启动项，而是依附于其他正常程序。有些木马甚至使用exe-binder工具，将木马与正常程序捆绑，当用户运行正常程序时，木马也顺势潜入。更极端的例子是，个别木马还能将自己的exe文件与图片文件绑定，用户兴高采烈地查看图片时，木马已悄然入侵。隐蔽性主要体现在以下两个方面：

（1）不产生图标，避免暴露。木马虽然随系统自动运行，但绝不会在任务栏中显示任何图标——若出现不明图标，用户必定会起疑心。

（2）自动在任务管理器中隐藏，并以“系统服务”名义欺骗操作系统。因此，即便打开任务管理器，用户也难以发现其踪迹。

2. 自动运行性：系统启动时自动激活

木马若要控制服务端，必须在系统启动时随之运行。因此，它会潜入系统的启动配置文件，例如win.ini、system.ini、winstart.bat以及启动组中。如果用户不了解这些位置，木马便能长期驻留。

3. 包含未公开且可能引发严重后果的功能程序

这一特性听起来有些复杂，但通俗地说：木马并非普通软件，它隐藏着开发者故意不公开的恶意功能，一旦被触发，将造成严重后果。

4. 自动恢复功能：多重备份，相互复活

如今的木马日益狡猾，其功能模块不再由单一文件构成，而是采用多重备份机制，相互恢复。用户删除其中一个，以为已彻底清除，然而运行其他程序时，它又会悄然复活。如同幽灵一般，防不胜防。

5. 能自动打开特殊端口，便于远程控制

木马潜入电脑的主要目的并非破坏，而是窃取有价值的信息。当用户上网时，木马需要与远端黑客通信，这必须依赖特定端口。根据TCP/IP协议，每台电脑拥有65535个端口（范围0-65535），而常用的端口仅有少数几个。木马专门挑选那些不常用的端口，打开一扇“方便之门”，以便黑客远程控制或实施进一步入侵。

6. 功能的特殊性：恶意操作远超普通远程控制

普通远程控制软件（例如前面提到的PCanywhere）旨在方便用户操作远程机器，而木马的功能则恶意得多。除了基本的文件操作，某些木马还能搜索缓存中的口令、设置口令、扫描目标IP地址、记录键盘输入、远程修改注册表，甚至锁定鼠标。这些功能显然不是用于帮助，而是用于攻击对方。

以上便是特洛伊木马的本质及其六大核心特性。了解这些，才算真正认识了这位“潜伏者”。