特洛伊木马程序攻击分析和检测技术

一、引言……………………………………………………………………………1-1

二、“特洛伊”木马程序的发作表现及其发展历史……………………………1-5

三、“特洛伊”木马的组成……………………………………………………… 5-5

四、“特洛伊”木马攻击原理分析……………………………………………… 5-10

五、“特洛伊”木马检测技术……………………………………………………10-11

内 容 摘 要

随着网络技术的不断发展，上网已成了人类生活中不可缺少的一部分，但在人们享受网络给人类带来便利的同时，另一类可怕的东西—“木马”已把魔爪伸向了网络。本文先主要介绍了“特洛伊木马”这个词的由来，接着向大家讲述“特洛伊”木马程序的发展历史和发作表现，意在引起大家在日常工作和生活中的注意，然后介绍了“特洛伊”木马的组成并详细介绍了它的攻击原理，最后向大家讲述应如何检测“特洛伊”木马，发现了“特洛伊”木马如何处理。希望通过此文能对大家的工作和生活带来便利。

特洛伊木马程序攻击机理分析和检测技术

木马是一个计算机的词汇，但是他却是来源于古希腊。古希腊神话《木马屠城记》记录有这样的故事，说的是有一个美丽而妖艳的女孩嫁给了希腊的王子，但是最终却被Trojan City(特洛伊城) 的王子吸引并私奔回到了特洛伊城，希腊人于是把发兵把该城围住，但是围了十年都没有攻下，后来希腊人想出了一条计策，他们把士兵藏在一匹匹木头做的马（这就是木马的来历）里面，并且引诱特洛伊人把这些木马当成战利品夺回城中，到了半夜，这些木马的士兵跳出来，和城外的希腊士兵里应外合，最终把特洛伊城攻下了。后世称这只大木马为“特洛伊木马”。 一、引言

特洛伊木马是一种基于C/S架构的网络通信软件 ，一般情况下可分为客户端程序和服务器端程序两部分，其中服务器端在目标计算机上驻留，客户端被控制者操纵。通常情况下，由客户端程序通过某种方法，主动与服务器端程序连接并建立通信关系，对目标计算机进行操纵。现在比较流行的“反弹端口” 的木马， 由服务器端主动向客户端发出建立连接的请求并建立通信关系。著名的木马“灰鸽子”就采用了这种技术。

特洛伊木马可以通过多种方法与特定的程序进行关联， 当目标计算机系统启动后，如果用户不幸打开了被木马用来关联的程序，则木马的服务器端程序将被激活，并开始打开端口，建立与远程对应的客户端程序的通信。通过打开的端口，服务器端程序对目标计算机进行未授权的侦听。在侦听过程中，它可接收并执行来自客户端的指令，诸如删除文件、重启计算机等非法操作，并将目标计算机的一些秘密信息送往客户端。

可见，特洛伊木马对网络上的计算机的安全性和信息的秘密性构成了极大的威胁。计算机一旦被植入木马，攻击者便可进行远程控制， 目标计算机将毫无安全和秘密可言。

二、特洛伊木马程序的发作表现及其发展历史

如果用户计算机中了木马，那么发作时的情况多种多样，常见表现如下：

1.计算机有时死机，有时又重新启动；

2.莫名其妙地读写硬盘或软驱，光驱莫名其妙地开仓；

3.用户并没有运行大的程序，系统速度变慢，系统资源占用变多；

4.在任务管理器中出现一些陌生且奇怪的进程名，它们明显不应该出现在这里。出现上述现象，说明用户计算机有可能中了木马，当然，也有可能是其他病毒在作怪。特洛伊木马具有隐蔽性，这是木马程序的一大特点，同时也是它与远程控制类软件(如Windows自带的“远程桌面连接”)的主要区别。

特洛伊木马程序发展至今，已经经历了4代：

（1）第一代木马，即是简单的密码窃取，发送等；

（2）第二代木马，在技术上有了很大的进步，“冰河”是典型代表之一；

（3）第三代木马在数据传输技术上做了不小的改进，出现了ICMP等类型的木马，利用畸形报文传递数据，增加了查杀的难度；

（4）第四代木马在进程隐藏方面做了大的改动，采用了内核插入式的嵌入方式，利用远程插入线程技术，嵌入DLL线程，或者挂接PSAPI，实现木马程序的隐藏。

木马的种类：

1.破坏型

惟一的功能就是破坏并且删除文件，可以自动的删除电脑上的DLL、INI、EXE文件。

2.密码发送型

可以找到隐藏密码并把它们发送到指定的信箱。有人喜欢把自己的各种密码以文件的形式存放在计算机中，认为这样方便；还有人喜欢用WINDOWS提供的密 码记忆功能，这样就可以不必每次都输入密码了。许多黑客软件可以寻找到这些文件，把它们送到黑客手中。也有些黑客软件长期潜伏，记录操作者的键盘操作，从 中寻找有用的密码。

在这里提醒一下，不要认为自己在文档中加了密码而把重要的保密文件存在公用计算机中，那用户就大错特错了。别有用心的 人完全可以用穷举法暴力破译用户的密码。利用WINDOWS API函数EnumWindows和EnumChildWindows对当前运行的所有程序的所有窗口（包括控件）进行遍历，通过窗口标题查找密码输入和 出确认重新输入窗口，通过按钮标题查找我们应该单击的按钮，通过ES_PASSWORD查找我们需要键入的密码窗口。向密码输入窗口发送 WM_SETTEXT消息模拟输入密码，向按钮窗口发送WM_COMMAND消息模拟单击。在破解过程中，把密码保存在一个文件中，以便在下一个序列的密 码再次进行穷举或多部机器同时进行分工穷举，直到找到密码为止。此类程序在黑客网站上唾手可得，精通程序设计的人，完全可以自编一个。

3.远程访问型

最广泛的是特洛伊马，只需有人运行了服务端程序，如果客户知道了服务端的IP地址，就可以实现远程控制。以下的程序可以实现观察"受害者"正在干什么，当然这个程序完全可以用在正道上的，比如监视学生机的操作。

程序中用的UDP（User Datagram Protocol，用户报文协议）是因特网上广泛采用的通信协议之一。与TCP协议不同，它是一种非连接的传输协议，没有确认机制，可靠性不如TCP，但 它的效率却比TCP高，用于远程屏幕监视还是比较适合的。它不区分服务器端和客户端，只区分发送端和接收端，编程上较为简单，故选用了UDP协议。本程序 中用了DELPHI提供的TNMUDP控件。

4.键盘记录木马

这种特洛伊木马是非常简单的。它们只做一件事情，就是 记录受害者的键盘敲击并且在LOG文件里查找密码。据笔者经验，这种特洛伊木马随着Windows的启动而启动。它们有在线和离线记录这样的选项，顾名思 义，它们分别记录用户在线和离线状态下敲击键盘时的按键情况。也就是说用户按过什么按键，下木马的人都知道，从这些按键中他很容易就会得到用户的密码等有用信 息，甚至是用户的信用卡账号哦!当然，对于这种类型的木马，邮件发送功能也是必不可少的。

5.DoS攻击木马

随着 DoS攻击越来越广泛的应用，被用作DoS攻击的木马也越来越流行起来。当用户入侵了一台机器，给他种上DoS攻击木马，那么日后这台计算机就成为用户DoS 攻击的最得力助手了。用户控制的肉鸡数量越多，用户发动DoS攻击取得成功的机率就越大。所以，这种木马的危害不是体现在被感染计算机上，而是体现在攻击者可 以利用它来攻击一台又一台计算机，给网络造成很大的伤害和带来损失。

还有一种类似DoS的木马叫做邮件炸弹木马，一旦机器被感染，木马就会随机生成各种各样主题的信件，对特定的邮箱不停地发送邮件，一直到对方瘫痪、不能接受邮件为止。

6.代理木马

黑客在入侵的同时掩盖自己的足迹，谨防别人发现自己的身份是非常重要的，因此，给被控制的肉鸡种上代理木马，让其变成攻击者发动攻击的跳板就是代理木马 最重要的任务。通过代理木马，攻击者可以在匿名的情况下使用Telnet,ICQ,IRC等程序，从而隐蔽自己的踪迹。

7.FTP木马

这种木马可能是最简单和古老的木马了，它的惟一功能就是打开21端口，等待用户连接。现在新FTP木马还加上了密码功能，这样，只有攻击者本人才知道正确的密码，从而进人对方计算机。

8.程序杀手木马

上面的木马功能虽然形形色色，不过到了对方机器上要发挥自己的作用，还要过防木马软件这一关才行。常见的防木马软件有ZoneAlarm,Norton Anti-Virus等。程序杀手木马的功能就是关闭对方机器上运行的这类程序，让其他的木马更好地发挥作用。

9.反弹端口型木马

木马是木马开发者在分析了防火墙的特性后发现:防火墙对于连入的链接往往会进行非常严格的过滤，但是对于连出的链接却疏于防范。于是，与一般的木马相反，反弹端口型木马的服务端 (被控制端)使用主动端口，客户端 (控制端)使用被动端口。木马定时监测控制端的存在，发现控制端上线立即弹出端口主动连结控制端打开的主动端口;为了隐蔽起见，控制端的被动端口一般开在 80，即使用户使用扫描软件检查自己的端口，发现类似TCP UserIP:1026 ControllerIP:80ESTABLISHED的情况，稍微疏忽一点，用户就会以为是自己在浏览网页。

三、“特洛伊”木马的组成

一个完整的木马系统由硬件部分，软件部分和具体连接部分组成。 

1.硬件部分：建立木马连接所必须的硬件实体。控制端：对服务端进行远程控制的一方。服务端：被控制端远程控制的一方。INTERNET：控制端对服务端进行远程控制，数据传输的网络载体。 

2.软件部分：实现远程控制所必须的软件程序。控制端程序：控制端用以远程控制服务端的程序。木马程序：潜入服务端内部，获取其操作权限的程序。木马配置程序：设置木马程序的端口号，触发条件，木马名称等，使其在服务端藏得更隐蔽的程序。 

3.具体连接部分：通过INTERNET在服务端和控制端之间建立一条木马通道所必须的元素。控制端IP，服务端IP：即控制端，服务端的网络地址，也是木马进行数据传输的目的地。控制端端口，木马端口：即控制端，服务端的数据入口，通过这个入口，数据可直达控制端程序或木马程序。

四、“特洛伊”木马攻击原理分析

用木马这种黑客工具进行网络入侵，从过程上看大致可分为六步，下面我就按这六步来详细阐述木马的攻击原理分析。 

1.配置木马 

一般来说一个设计成熟的木马都有木马配置程序，从具体的配置内容看，主要是为了实现以下两方面功能： 

(1)木马伪装：木马配置程序为了在服务端尽可能的隐藏木马，会采用多种伪装手段，如修改图标，捆绑文件，定制端口，自我销毁等。 

(2)信息反馈：木马配置程序将就信息反馈的方式或地址进行设置，如设置信息反馈的邮件地址，IRC号，ICO号等等。 

2.传播木马 

(1)传播方式 

木马的传播方式主要有两种：一种是通过E-MAIL，控制端将木马程序以附件的形式夹在邮件中发送出去，收信人只要打开附件系统就会感染木马；另一种是软件下载，一些非正规的网站以提供软件下载为名义，将木马捆绑在软件安装程序上，下载后，只要一运行这些程序，木马就会自动安装。 

(2)伪装方式 

鉴于木马的危害性,很多人对木马知识还是有一定了解的，这对木马的传播起了一定的抑制作用，这是木马设计者所不愿见到的，因此他们开发了多种功能来伪装木马，以达到降低用户警觉，欺骗用户的目的。 

①修改图标 

当用户在E-MAIL的附件中看到这个图标时，是否会认为这是个文本文件呢？但是我不得不告诉用户，这也有可能是个木马程序，现在已经有木马可以将木马服务端程序的图标改成HTML，TXT， ZIP等各种文件的图标，这有相当大的迷惑性，但是目前提供这种功能的木马还不多见，并且这种伪装也不是无懈可击的，所以不必整天提心吊胆，疑神疑鬼的。 

②捆绑文件 

这种伪装手段是将木马捆绑到一个安装程序上，当安装程序运行时，木马在用户毫无察觉的情况下，偷偷的进入了系统。至于被捆绑的文件一般是可执行文件(即EXE，COM一类的文件)。 

③出错显示 

有一定木马知识的人都知道，如果打开一个文件，没有任何反应，这很可能就是个木马程序，木马的设计者也意识到了这个缺陷，所以已经有木马提供了一个叫做出错显示的功能。当服务端用户打开木马程序时，会弹出一个错误提示框(这当然是假的)，错误内容可自由定义，大多会定制成一些诸如“文件已破坏，无法打开！”之类的信息，当服务端用户信以为真时，木马却悄悄侵入了系统。 

④定制端口 

很多老式的木马端口都是固定的，这给判断是否感染了木马带来了方便，只要查一下特定的端口就知道感染了什么木马，所以现在很多新式的木马都加入了定制端口的功能，控制端用户可以在1024---65535之间任选一个端口作为木马端口(一般不选1024以下的端口)，这样就给判断所感染木马类型带来了麻烦。 

⑤自我销毁 

这项功能是为了弥补木马的一个缺陷。我们知道当服务端用户打开含有木马的文件后，木马会将自己拷贝到WINDOWS的系统文件夹中(C:\WINDOWS或C:\WINDOWS\SYSTEM目录下)，一般来说原木马文件和系统文件夹中的木马文件的大小是一样的(捆绑文件的木马除外)，那么中了木马的朋友只要在近来收到的信件和下载的软件中找到原木马文件，然后根据原木马的大小去系统文件夹找相同大小的文件，判断一下哪个是木马就行了。而木马的自我销毁功能是指安装完木马后，原木马文件将自动销毁，这样服务端用户就很难找到木马的来源，在没有查杀木马的工具帮助下，就很难删除木马了。 

⑥木马更名 

安装到系统文件夹中的木马的文件名一般是固定的，那么只要根据一些查杀木马的文章，在系统文件夹查找特定的文件。就可以断定中了什么木马。所以现在有很多木马都允许控制端用户自由定制安装后的木马文件名，这样很难判断所感染的木马类型了。 

3.运行木马 

服务端用户运行木马或捆绑木马的程序后，木马就会自动进行安装。首先将自身拷贝到WINDOWS的系统文件夹中(C:\WINDOWS或C:\WINDOWS\SYSTEM目录下)，然后在注册表，启动组，非启动组中设置好木马的触发条件，这样木马的安装就完成了。安装后就可以启动木马了。 

(1)由触发条件激活木马 

触发条件是指启动木马的条件,大致出现在下面八个地方: 

①注册表：打开HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Current Version\下的五个以Run和RunServices主键，在其中寻找可能是启动木马的键值。

②WIN.INI:C:\WINDOWS目录下有一个配置文件win.ini，用文本方式打开，在[windows]字段中有启动命令load=和run=，在一般情况下是空白的，如果有启动程序，可能是木马。 

③SYSTEM.INI:C:\WINDOWS目录下有个配置文件system.ini，用文本方式打开，在[386Enh]，[mic]，[drivers32]中有命令行，在其中寻找木马的启动命令。 

④Autoexec.bat和Config.sys：在C盘根目录下的这两个文件也可以启动木马。但这种加载方式一般都需要控制端用户与服务端建立连接后，将已添加木马启动命令的同名文件上传到服务端覆盖这两个文件才行。 

⑤*.INI：即应用程序的启动配置文件，控制端利用这些文件能启动程序的特点，将制作好的带有木马启动命令的同名文件上传到服务端覆盖这同名文件，这样就可以达到启动木马的目的了。 

⑥注册表：打开HKEY_CLASSES_ROOT\文件类型\shell\open\command主键，查看其键值。举个例子，国产木马“冰河”就是修改HKEY_CLASSES_ROOT\txtfile\shell\open\command下的键值，将“C :\WINDOWS \NOTEPAD.EXE %1”改为“C:\WINDOWS\SYSTEM\SYSEXPLR.EXE %1”，这时用户双击一个TXT文件后，原本应用NOTEPAD打开文件的，现在却变成启动木马程序了。还要说明的是不光是TXT文件，通过修改HTML，EXE，ZIP等文件的启动命令的键值都可以启动木马，不同之处只在于“文件类型”这个主键的差别，TXT是txtfile，ZIP是WINZIP，大家可以试着去找一下。 

⑦捆绑文件：实现这种触发条件首先要控制端和服务端已通过木马建立连接，然后控制端用户用工具软件将木马文件和某一应用程序捆绑在一起，然后上传到服务端覆盖原文件，这样即使木马被删除了，只要运行捆绑了木马的应用程序，木马又会被安装上去了。 

⑧启动菜单：在“开始---程序---启动”选项下也可能有木马的触发条件。 

(2)木马运行过程 

木马被激活后，进入内存，并开启事先定义的木马端口，准备与控制端建立连接。这时服务端用户可以在MS-DOS方式下，键入NETSTAT -AN查看端口状态，一般个人电脑在脱机状态下是不会有端口开放的，如果有端口开放，用户就要注意是否感染木马了。 

在上网过程中要下载软件，发送信件，网上聊天等必然打开一些端口，下面是一些常用的端口： 

①1---1024之间的端口：这些端口叫保留端口，是专给一些对外通讯的程序用的，如FTP使用21，SMTP使用25，POP3使用110等。只有很少木马会用保留端口作为木马端口的。

②1025以上的连续端口：在上网浏览网站时，浏览器会打开多个连续的端口下载文字，图片到本地硬盘上，这些端口都是1025以上的连续端口。 

③4000端口：这是OICQ的通讯端口。 

④6667端口：这是IRC的通讯端口。 除上述的端口基本可以排除在外，如发现还有其它端口打开，尤其是数值比较大的端口，那就要怀疑是否感染了木马，当然如果木马有定制端口的功能，那任何端口都有可能是木马端口。 

4.信息泄露 

一般来说，设计成熟的木马都有一个信息反馈机制。所谓信息反馈机制是指木马成功安装后会收集一些服务端的软硬件信息，并通过E-MAIL，IRC或ICO的方式告知控制端用户。 

5.建立连接 

一个木马连接的建立首先必须满足两个条件：一是服务端已安装了木马程序；二是控制端，服务端都要在线 。在此基础上控制端可以通过木马端口与服务端建立连接。 

假设A机为控制端，B机为服务端，对于A机来说要与B机建立连接必须知道B机的木马端口和IP地址，由于木马端口是A机事先设定的，为已知项，所以最重要的是如何获得B机的IP地址。获得B机的IP 地址的方法主要有两种：信息反馈和IP扫描。我们重点来介绍IP扫描，因为B机装有木马程序，所以它的木马端口7626是处于开放状态的，所以现在A机只要扫描IP地址段中7626端口开放的主机就行了，假设B机的IP地址是202.102.47.56，当A机扫描到这个IP时发现它的7626端口是开放的，那么这个IP就会被添加到列表中，这时A机就可以通过木马的控制端程序向B机发出连接信号，B机中的木马程序收到信号后立即做出响应，当A机收到响应的信号后，开启一个随即端口1031与B机的木马端口7626建立连接，到这时一个木马连接才算真正建立。值得一提的要扫描整个IP地址段显然费时费力，一般来说控制端都是先通过信息反馈获得服务端的IP地址，由于拨号上网的IP是动态的，即用户每次上网的IP都是不同的，但是这个IP是在一定范围内变动的，B机的IP是202.102.47.56，那么B机上网IP的变动范围是在202.102.000.000---202.102.255.255，所以每次控制端只要搜索这个IP地址段就可以找到B机了。 

6.远程控制 

木马连接建立后，控制端端口和木马端口之间将会出现一条通道。 

控制端上的控制端程序可藉这条通道与服务端上的木马程序取得联系，并通过木马程序对服务端进行远程控制。下面我们就介绍一下控制端具体能享有哪些控制权限，这远比用户想象的要大。 

(1)窃取密码：一切以明文的形式，*形式或缓存在CACHE中的密码都能被木马侦测到，此外很多木马还提供有击键记录功能，它将会记录服务端每次敲击键盘的动作，所以一旦有木马入侵， 密码将很容易被窃取。 

(2)文件操作：控制端可藉由远程控制对服务端上的文件进行删除，新建，修改，上传，下载，运行，更改属性等一系列操作，基本涵盖了WINDOWS平台上所有的文件操作功能。 

(3)修改注册表：控制端可任意修改服务端注册表，包括删除，新建或修改主键，子键，键值。有了这项功能控制端就可以禁止服务端软驱，光驱的使用，锁住服务端的注册表，将服务端上木马的触发条件设置得更隐蔽一系列高级操作。 

(4)系统操作：这项内容包括重启或关闭服务端操作系统，断开服务端网络连接，控制服务端的鼠标，键盘，监视服务端桌面操作，查看服务端进程等，控制端甚至可以随时给服务端发送信息，想象一下，当服务端的桌面上突然跳出一段话，不吓人一跳才怪。

五、“特洛伊”木马检测技术

1.检查注册表 

看HKEY_LOCAL_MACHINE＼SOFTWARE＼Microsoft＼Windows＼Curren Version和HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼Current Version下，所有以“Run”开头的键值名，其下有没有可疑的文件名。如果有，就需要删除相应的键值，再删除相应的应用程序。 

2.检查启动组 

木马们如果隐藏在启动组虽然不是十分隐蔽，但这里的确是自动加载运行的好场所，因此还是有木马喜欢在这里驻留的。启动组对应的文件夹为：C:＼windows＼start menu＼programs＼startup，在注册表中的位置：HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼Current Version＼Explorer＼Shell 

Folders Startup="C:＼windows＼start menu＼programs＼startup"。要注意经常检查这两个地方！ 

3.Win.ini以及System.ini也是木马们喜欢的隐蔽场所，要注意这些地方。 

比方说，Win.ini的[Windows]小节下的load和run后面在正常情况下是没有跟什么程序的，如果有了那就要小心了，看看是什么；在System.ini的[boot]小节的Shell=Explorer.exe后面也是加载木马的好场所，因此也要注意这里了。当用户看到变成这样：Shell=Explorer.exe wind0ws.exe，请注意那个wind0ws.exe很有可能就是木马服务端程序！要赶快检查。 

4.对于下面所列文件也要勤加检查，木马们也很可能隐藏在那里。 

C:＼windows＼winstart.bat、C:＼windows＼wininit.ini、Autoexec.bat。 

5.如果是EXE文件启动，那么运行这个程序，看木马是否被装入内存，端口是否打开。如果是的话，则说明要么是该文件启动木马程序，要么是该文件捆绑了木马程序，只好再找一个这样的程序，重新安装一下了。 

6.万变不离其宗，木马启动都有一个方式，它只是在一个特定的情况下启动 

所以，平时多注意一下用户的端口，查看一下正在运行的程序，用此来监测大部分木马应该没问题的。

随着计算机网络的不断更新和发展，特洛伊木马技术也在不断地更新换代。“道高一丈，魔高一尺”，相信特洛伊木马攻击与检测之间的较量会继续下去。

参 考 文 献

【1】张耀疆，聚焦黑客一攻击手段与防护策略，人民邮电出版社，2002年9月第1版，

【2】CPU真能防病毒么?微电脑世界，2006年11期．

【3】朱明，徐骞，刘春明，木马病毒分析及其检测方法研究.计算机工程与应用，2005年2期. 

【4】王宇，郭聪辉，网络安全与注册表．机械工业出版社，2003年6月．

【5】邢建民．木马攻击与防御，河北工业科技，2002年9月

【6】王伟兵，现代木马技术的分析与研究，网络安全技术与应用，2005年10月．

【7】谢志鹏，陈饺生，Windows环境下Client/Server木马攻击与防御分析，信息技术，2002年第5期．

【8】李军，“防火墙上台阶：安全网关多层过滤技术的走向”，《信息网络安全》，总第45期，第7期，2004年．

【9】阿锐.现代版特洛伊反木马大战[J].网络与信息,2003,(3):51-53.

【10】彭君，融合环境下的终端安全技术.信息安全决策者大会2006，北京．

【11】林海等，《计算机网络安全》，高等教育出版社，2001,7.

【12】劳帼龄，网络安全与管理.高等教育出版社,2003．

【13】张雅静，侯朝桢，一种基于生物免疫原理的计算机杭病毒策略， 计算机工程．2003年6期．

【14】鲁远,程波财.特洛伊木马的防范策略[J].计算机与现代化,2003,(5):44-45.

【15】李剑锋,木马病毒的通用解法[N].中国电脑教育报,2000,11.

【16】大皮球， 透视木马程序开发技术[ EB/OL].. yesky. com ,2001,18.

【17】Shotgun·yesky，揭开木马神秘面纱[ EB/ OL].补天网.patching. net ,2001, 01.

【18】傅歆,特洛伊木马大揭密.. yesky. com ,2001,8.

【19】张欣,于海勋,王玮.“特洛伊木马”侵入机制的研究[J] . 现代电子技术,1996,35.

【20】吴云燕,裴开平,许涛,刘宪成.木马程序的隐藏机理及有效检测手段[J] . 河海大学常州分校学报,2003,(1):85-87.