可以隐藏木马的有_可隐藏的木马程序

咩叫木马程式?

所谓的木马程式

就是用蒙混的方式让受害者无意间加以执行的程式 (通常是有不良意图的)。 例如有人寄一封 email 给你

附件有个执行档叫做 readme.txt.exe

早期 outlook 热心过头

会把副档名隐藏

windows 的执行档又可以附带自订的 icon

如果这个 readme.txt.exe 附带的是纯文字档的 icon

受害者很可能会误以为是无害的纯文字档

就给他 double-click 下去 ... 这种程式就叫做木马程式。 另外有些是用网页的方式

有些发垃圾邮件的

会在网页中用 onLoad() 去执行一小段 JavaScript

例如确认这个 email 是有人收的

这样受害者只要开过这个网页一次

就会源源不绝的收到更多的垃圾邮件

这也算是一种木马程式。 木马一词出自著名的特洛伊战争

特洛伊人因为好奇

在不知情的状况下把装满希腊士兵的大木马当成战利品拖进城中

让希腊人轻易地突破特洛伊坚固的城墙

攻陷特洛伊城。木马程式就是骇客从特洛伊战争所获得的灵感

用来入侵受害者电脑的一种手法。 木马是属于恶意软体，一般的防毒软体不一定能解决， 所以要靠专门的程式来防卫 去找 Spy Sweeper 这套程式来用，它能帮你解决恶意软体 下载测试版安装后，先更新资料库，然后开始完整扫描 安装本程式后，使用者仍然要配合其它防毒程式一起使用， 因为这套程式只防卫恶意软体，要预防病毒仍得靠防毒程式 建议你在 "安全模式" 下扫描， 在 Windows 启动之前按下 F8 键选择 "安全模式" 安装中文化前，要先关闭 Spy Sweeper 程式才能开始安装中文化 安装中文化化后，把 "防卫" 内的每一个能选的防卫项目全打勾， 到 "选项" 中执行 "更新定义资料" 把反间谍资料库更新到最新的， 再到 "扫除选项" 中把所有项目打勾，全部搞定再开始扫除 在 "防卫" 内的 "启动程式" 中会列出随着 Windows 启动而执行的程式， 如果有觉得可疑的程式，可以把打勾符号给消除，让它不能再搞怪， 基本上只要留下输入法用的 ctfmon.exe 和安装的防毒程式用的常驻监视 ， 不清楚的话，可以一个一个尝试看看哪些是用不到的，弄错随时可还原， 虽然每次改完要重开机测试很麻烦，但这可帮你了解你自己的电脑状况 在 "防卫" 内的 "Host 档案" 中，将 "编辑 Host 档案" 这个项目打勾后， 会列出一些项目，可以查看你的 host 文件目前将你的电脑封锁了哪些网站， 有些恶意程式会去封锁一些防毒软体商的网站，让你完全无法更新病毒码， 建议把可疑的选取后全删了 若觉得启动慢，可把 "选项" 中的 "停用绷现式启动画面" 打勾， 以后长驻这个程式可随时帮你防卫，也记得经常 "更新定义资料"

参考: .knowledge.yahoo/question/?qid=7006072401824

咩叫木马程式? 一种电脑病毒

特洛伊木马程式原理 引言 特洛伊木马是 Trojan Horse 的中译，是借自"木马屠城记"中那只木马的名称。古希腊有大军围攻特洛伊城，逾年无法攻下。 有人献计制造一只高二丈的大木马假装作战马神，攻击数天后仍然无功，遂留下木马拔营而去。城中得到解围的消息，及得到"木马"这个奇异的战利品，全城饮酒狂欢。 到午夜时份，全城军民尽入梦乡，匿于木马中的将士开暗门垂绳而下，开启城门及四处纵火，城外伏兵涌入，焚屠特洛伊城。后世称这只木马为"特洛伊木马"，现今电脑术语借用其名，意思是"一经进入，后患无穷"。 特洛伊木马原则上它和Laplink 、 PCanywhere 等程式一样，只是一种远端管理工具。 而且本身不带伤害性，也没有感染力，所以不能称之为病毒(也有人称之为第二代病毒)；但却常常被视之为病毒。原因是如果有人不当的使用，破坏力可以比病毒更强。 木马攻击原理 特洛伊木马是一个程式，它驻留在目标电脑里，可以随电脑自动启动并在某一连接进行侦听，在对接收的资料识别后，对目标电脑执行特定的****作。 木马，其实只是一个使用连接进行通讯的网路客户/伺服器程式。 基本概念：网路客户/伺服器模式的原理是一台主机提供伺服器(伺服端)，另一台主机接受伺服器(客户端)。 作为伺服端的主机一般会开启一个预设的连接埠并进行监听(Listen)，如果有客户端向伺服端的这一连接埠提出连接请求(Connect Request)，伺服端上的相对应程式就会自动执行，来回复客户端的请求。对于特洛伊木马，被控制端就成为一台伺服器。 特洛伊木马隐身方法 木马程式会想尽一切办法隐藏自己，主要途径有：在工作程序中隐形：将程式设为「系统伺服器」可以伪装自己。 当然它也会悄无声息地启动，木马会在每次使用者启动时自动载入伺服器端，Windows系统启动时自动载入应用程式的方法，「木马」都会用上，如：win.ini、system.ini、注册表等等都是「木马」藏身的好地方。 在win.ini档案中，在[WINDOWS]下面，「run=」和「load=」是可能载入「木马」程式的途径，一般情况下，它们的等号后面什么都没有，如果发现后面跟有路径与档案名称不是您熟悉的启动档案，电脑就可能中「木马」了。当然也得看清楚，因为好多「木马」，如「AOL Trojan木马」，它把自身伪装成mand.exe档案，如果不注意可能不会发现它不是真正的系统启动档案。 　MLaplink 、 PCanywhere 等程式一样，只是一种远端管理工具。 而且本身不带伤害性，也没有感染力，所以不能称之为病毒(也有人称之为第二代病毒)；但却常常被视之为病毒。原因是如果有人不当的使用，破坏力可以比病毒更强。 木马攻击原理 特洛伊木马是一个程式，它驻留在目标电脑里，可以随电脑自动启动并在某一连接进行侦听，在对接收的资料识别后，对目标电脑执行特定的****作。 木马，其实只是一个使用连接进行通讯的网路客户/伺服器程式。 基本概念：网路客户/伺服器模式的原理是一台主机提供伺服器(伺服端)，另一台主机接受伺服器(客户端)。 作为伺服端的主机一般会开启一个预设的连接埠并进行监听(Listen)，如果有客户端向伺服端的这一连接埠提出连接请求(Connect Request)，伺服端上的相对应程式就会自动执行，来回复客户端的请求。对于特洛伊木马，被控制端就成为一台伺服器。 特洛伊木马防御原理 知道了木马的攻击原理和隐身方法，我们就可以采取措施进行防御了。 1.连接埠扫瞄 连接埠扫瞄是检查远端机器有无木马的最好办法，连接埠扫瞄的原理非常简单，扫瞄程式尝试连接某个连接埠，如果成功，则说明连接埠开放，如果失败或超过某个特定的时间(逾时)，则说明连接埠关闭。但对于驱动程式/动态连结木马，扫瞄连接是不起作用的。 2.检视连接 检视连接埠和连接扫瞄的原理基本相同，不过是在本地电脑上使用stat -a检视所有的TCP/UDP连接，检视连接要比连接埠扫瞄快，但同样是无法查出驱动程式/动态连结木马，而且仅能在本地电脑使用。 3.检查注册表 上面在讨论木马的启动方式时已经提到，木马可以使用注册表启动（现在大部分的木马都是使用注册表启动的，至少也把注册表作为一个自我保护的方式），那么，我们同样可以使用检查注册表来发现木马在注册表里留下的痕迹。 4.寻找档案 寻找木马特定的档案也是一个常用的方法，木马的一个特征档案是kernl32.exe，另一个是sysexlpr.exe，只要删除了这两个档案，木马就已经不起作用了。 2007-03-14 19:30:00 补充： 在电脑领域中，特洛伊木马指的是一种后门程序，是骇客用来盗取其他用户的个人信息，甚至是远程控制对方的电脑而加壳制作，然后通过各种手段传播或者骗取目标用户执行该程序，以达到盗取密码等各种数据资料等目的。与病毒相似，木马程序有很强的隐秘性，随作业系统启动而启动。但不会自我复制，这一点和病毒程序不一样。 2007-03-14 19:30:27 补充： 一个完整的特洛伊木马套装程式含了两部分：服务端（伺服器部分）和用户端（控制器部分）。植入对方电脑的是服务端，而骇客正是利用用户端进入运行了服务端的电脑。运行了木马程式的服务端以后，会产生一个有着容易迷惑用户的名称的进程，暗中打开埠，向指定地点发送资料（如网络游戏的密码，QQ密码和用户上网密码等），骇客甚至可以利用这些打开的埠进入电脑系统。 2007-03-14 19:31:29 补充： 特洛伊木马程式不能自动操作， 一个特洛伊木马程式是包含或者安装一个存心不良的程式的， 它可能看起来是有用或者有趣的计划(或者至少无害) 对一不怀疑的用户来说，但是实际上有害当它被执行。 特洛伊木马不会自动执行，它是暗含在某些用户感兴趣的档中，用户下载时附带的。当用户执行档程式时，特洛伊木马才会运行，资讯或档才会被破坏和遗失。 特洛伊木马和后门不一样，后门指隐藏在程式中的秘密功能，通常是程式设计者为了能在日后随意进入系统而设置的。 2007-03-14 19:31:51 补充： 特洛伊木马有两种，universal and tritive

universal就是可以控制的，而tritive 是不能控制，刻死的操作。木马程序技术发展可以说非常迅速。主要是有些年轻人出于好奇，或是急于显示自己实力，不断改进木马程序的编写。至今木马程序已经经历了四代的改进： 2007-03-14 19:32:13 补充： 第一代，是最原始的木马程序。主要是简单的密码窃取，通过电子邮件发送信息等，具备了木马最基本的功能。 第二代，在技术上有了很大的进步，冰河是中国木马的典型代表之一。 第三代

主要改进在数据传递技术方面，出现了ICMP等类型的木马，利用畸形报文传递数据，增加了杀毒软体查杀识别的难度。 第四代 在进程隐藏方面有了很大改动，采用了核心插入式的嵌入方式，利用远程插入执行绪技术，嵌入DLL执行绪。或者挂接PSAPI

实现木马程序的隐藏，甚至在Windows NT/2000下，都达到了良好的隐藏效果。灰鸽子和蜜蜂大盗是比较出名的DLL木马。 专家相信，第五代木马很快会出现。 2007-03-14 19:32:31 补充： 木马的植入通常是利用了作业系统的漏洞

绕过了对方的防御措施（如防火墙）。中了特洛伊木马程序的电脑，因为资源被占用，速度会减慢，莫名死机。著名的木马 Back Orifice （BO） NetBus Pro SUB7 NetSpy 冰河 （木马） 广外女生 广外男生 灰鸽子 蜜蜂大盗 2007-03-14 19:32:49 补充： 如果要知道如何防止木马请到zh. *** /w/index?title=防火墙variant=zh-zh. *** /w/index?title=计算机病毒variant=zh-zh. *** /w/index?title=杀毒软件variant=zh-

参考: .knowledge.yahoo/question/?qid=7006032801153

木马程式是一种电脑病毒

木马系病毒!!

怎样让木马隐藏的更好？

一.躲过杀毒软件，悄无声息进入系统

木马要进入用户系统，首先要过杀毒软件这一关。否则一旦杀毒软件报警，木马就无隐蔽性可言了，立马被杀毒软件赶出系统。因此，面对杀毒软件，木马使尽浑身解数，通过各种手段隐藏自己，比较常见的方法有：寄宿于正常文件，木马加壳加密，修改木马特征码。

寄宿于正常文件

这个方法就是将木马程序与正常的文件捆绑在一起，捆绑后会生成一个可执行文件，当运行这个可执行文件时，正常文件和木马程序都会同时运行，这样木马就可以隐藏自己，悄悄进入用户的系统。要让木马实现这样的效果比较简单，只需要下载一个文件捆绑器即可，这里我们以木马老大“灰鸽子”出口的文件捆绑器为例。单击“文件捆绑器”上的“增加文件”按钮，选择一个正常的可执行文件，例如Flash小游戏等。再次单击该按钮将我们的木马程序也添加进来。需要捆绑的文件添加完成后，我们可以在“捆绑器”下方为捆绑后生成的文件指定一个文件图标。最后单击“捆绑文件”，即可将两个文件捆绑成一个可执行文件。

虽然这种方法比较简单，但是效果不佳，碰上杀毒能力强劲的杀毒软件，木马还是会被逮个正着。

二.木马加壳加密

“壳”是一种专门保护软件的程序，当运行一款加过壳的软件时，首先会运行这个软件的壳，壳会将包含在其中的程序进行还原，给予使用。当使用完毕后，壳又会将程序进行加密，整个过程都是在壳的保护过程中进行的。

正因为壳的性质，木马会进行加壳操作以使自身得到加密，这样就给杀毒软件的查杀带来了难度。不过目前主流的杀毒软件都改进了其杀毒引擎，增强了加壳程序的检测，对于加过壳的程序，杀毒软件会先将其脱壳，再进行查杀。因此如果木马使用的是类似ASP、UPX这样的热门加壳软件，那么还是很难逃过杀毒软件的查杀的，除非使用一些冷门的加壳软件。

修改木马特征码

这应该是最为有效的躲避杀毒软件的方法。我们都知道，杀毒软件判定这个程序是否是病毒是通过特征码来决定的，如果在这个程序中有一段代码与杀毒软件中的病毒特征码对上号，那么就判定它是病毒。根据这个原理，我们是否只要让木马的代码与杀毒软件的特征对不上号，就可以躲过杀毒软件的查杀呢？答案是肯定的，修改木马的特征码需要使用16进制编辑器，例如UltraEdit、Winhex等。修改特征码可以采用两种方法：1、直接修改特征码：用16进制编辑器打开木马后，将其中的特征码都替换为0；2、增加跳转指令：在木马特征码处增加一条跳转指令，让程序运行到该处时跳到下一段代码，这样做的目的是使杀毒软件检测时跳过这段代码的检测。

防范：在这一部分，木马的隐藏手段对我们的威胁还是比较小的。只要有足够的安全意识，就可以将木马拒之门外。

首先我们来看看如何对付经过捆绑的木马文件。由于捆绑文件是由两个文件合并生成的，虽然我们只能看到一个文件，但是可以在这个文件的内部找到捆绑的蛛丝马迹。这里我们使用“木马捆绑克星”这款软件就可以让木马原形毕露。单击程序界面上的“扫描”按钮，浏览选择可疑文件，如果程序下方的“包含多个可执行文件”选项被打上钩，这就表示文件被捆绑了。

至于对木马程序进行加壳，曾经是很流行的一种木马隐藏手段，但是随着杀毒软件的升级，木马已经很难再有效地利用这种手段。根据壳的原理我们可以得知，加壳木马运行后，会将其中的木马程序在内存中还原。还原后的木马是不受壳的保护的，因此大部分的杀毒软件都会抓住这个机会，将木马铲除。

如果唯一能对杀毒软件造成一点危害的，就只剩下修改木马特征码这种隐藏手段了。不过不同的杀毒软件提取同一木马程序的特征码是不同的。这就意味着我们改一处特征码只能躲避一款杀毒软件的查杀，如果要躲避多款杀毒软件，就需要修改多处特征码。这会对木马隐藏自己造成一定的困难。因此如果有条件，安装两款杀毒也是一个不错的办法。

三.隐藏窗口、设置文件属性、自我删除

隐藏窗口

木马的服务端程序是一个可执行程序，和我们在Windows上使用的绝大多数的软件相同，都是标准的Win32程序。不同的是，我们运行普通的可执行程序时，会出现软件窗口，我们可以在这个软件窗口中进行操作。而木马的服务端运行后，却没有出现窗口，这是因为木马服务端程序在编写的过程中将其窗口属性设置为隐藏，也就是说，木马服务端运行后的窗口是存在的，只是我们无法看到而已。

设置文件属性

木马为了隐藏在用户系统中生成的文件，通常会设置文件的属性为“隐藏”和“系统”，这样我们就无法在普通模式下看到木马的文件。

自我删除

自我删除是木马最初就具有的一种功能，当运行木马服务端程序后，服务端程序会将自身删除。这样做的目的是清除留下的痕迹，达到隐藏自身的效果。

防范：隐藏窗口和删除自身是木马服务端最常用的功能，虽然可以在一定程度上隐藏自己，但是也会因此而暴露自己。当我们双击一个可执行程序，结果没有出现任何窗口，或者运行后这个可执行文件消失了。那么我们很有可能中了木马，因为这是运行木马服务端最基本的两个特征。

设置文件属性是木马和病毒乐此不疲的隐藏手段，虽然手法简单，但效果不错。破解的方法也比较简单，点击资源管理器的“工具”菜单→“文件夹选项”，切换到“查看”标签，将“隐藏受保护的操作系统文件”前面的钩去掉，同时选择“显示所有文件和文件夹”选项，即可让隐藏的木马文件现形。

四.进程隐藏，遁地于无形

稍懂得安全保护知识的朋友都会通过任务管理器查看是否有可疑进程，以此确定木马的存在。不过随着木马编写技术的提高，在任务管理器中查找木马的方法不再是100%的有效。通过Hook技术编写的木马可以实现进程的隐藏和进程的插入。即使木马在系统中运行，我们在任务管理器中也只能看到正常的进程，而无法看到木马的进程。在了解这种隐藏技术之前，我们有必要先了解一下什么是Hook。

什么是Hook

Hook是Windows中提供的一种用以替换DOS下“中断”的一种系统机制，中文译名为“挂钩”或“钩子”。在对特定的系统事件进行Hook后，一旦发生已Hook的事件，对该事件进行Hook的程序就会收到系统的通知，这时程序就能在第一时间对该事件做出响应，木马程序便抢在函数返回前对结果进行了修改。

传统的进程隐藏技术

在Windows98系统中有一种能将进程注册为服务进程的技术。这种技术称为RegisterServiceProcess。通过这种技术，任何程序的进程都能将自己注册为服务进程，也就是说木马可以将自己的进程注册为服务进程。而服务进程在Windows98中的任务管理器中是不显示的。这样我们就无法通过任务管理器找到木马的进程。

通过Hook的进程隐藏

传统的进程隐藏技术到了Windows2000以后就毫无用武之地，因为在Windows2000以后的系统中，服务进程也是在任务管理器中显示的，例如svchost.exe进程，该进程是一个服务进程，我们可以在Windows2000的任务管理器中看到，而在Windows98下则不可以。此路不通，另寻他路。传统进程隐藏技术落后后，木马又转而使用Hook技术的进程隐藏。

新型的进程隐藏技术基本都是通过Hook来实现的。例如我们熟悉的灰鸽子木马，其通过Hook技术对系统中所有程序的进程检测相关API的调用进行了监控，“任务管理器”之所以能够显示出系统中所有的进程，也是因为其调用了EnumProcesses等进程相关的API函数。由于灰鸽子事先对该API函数进行了Hook，因此“任务管理器”返回给我们的信息是不真实的，是被Hook过的信息，而有关木马的进程信息已经被悄悄的处理掉了。

防范：使用“Windows优化大师”集成的“进程管理”工具。运行“Windows优化大师”→“系统性能优化”→“系统安全优化”→“进程管理”。在其中选择一个进程，然后将下方的进程状态切换到“模块列表”标签，一般的隐藏进程都会在这里现形。

至于采用Hook技术的进程隐藏，我们无法使用一般的工具来检查，不过有一款被喻为“反黑之刃”的软件──Icesword，可以将通过Hook技术隐藏的木马进程统统挖掘出来。Icesword我们曾经做过专门的介绍，在此不在阐述。用Icesword查看隐藏进程方法：运行Icesword，单击“进程”按钮即可。隐藏进程将会以红色字体显示。

怎样清除隐藏的木马

一、关闭病毒进程

在任务管理器应用程序里面查找类似kill等你不认识的进程，右键—转到进程，找到类似SVOHOST.exe（也可能就是某个svchost.exe）的进程，右键—结束进程树。

二、显示出被隐藏的系统文件

开始—运行—regedit

HKEY_LOCAL_MACHINE\Software\Microsoft\windows\CurrentVersion\explorer\Advanced\Folder\Hidden\SHOWALL

删除CheckedValue键值，单击右键

新建—Dword值—命名为CheckedValue，然后修改它的键值为1，这样就可以选择“显示所有隐藏文件”和“显示系统文件”。

三、删除病毒

在分区盘上单击鼠标右键—打开，看到每个盘跟目录下有autorun.inf

和tel\.xls\.exe

两个文件，将其删除，U盘同样。

四、删除病毒的自动运行项

开始—运行—msconfig—启动—删除类似sacksa.exe、SocksA.exe之类项，或者打开注册表运行regedit

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun

删除类似C:\WINDOWS\system32\SVOHOST.exe

的项。

五、删除遗留文件

C:\WINDOWS\

跟

C:\WINDOWS\system32\

目录下删除SVOHOST.exe(注意系统有一个类似文件，图标怪异的那个类似excel的图标的是病毒)session.exe、sacaka.exe、SocksA.exe以及所有excel类似图标的文件，每个文件夹两个，不要误删哦，自己注意。重启电脑后，基本可以了。

木马会隐藏进程？原理

由于很多新手对安全问题了解不多，所以并不知道自己的计算机中了“木马”该怎么样清除。虽然现在市面上有很多新版杀毒软件都可以自动清除“木马”，但它们并不能防范新出现的“木马”程序，因此最关键的还是要知道“木马”的工作原理，这样就会很容易发现“木马”。相信你看了这篇文章之后，就会成为一名查杀“木马”的高手了。

“木马”程序会想尽一切办法隐藏自己，主要途径有：在任务栏中隐藏自己，这是最基本的只要把Form的Visible属性设为False、ShowInTaskBar设为False，程序运行时就不会出现在任务栏中了。在任务管理器中隐形：将程序设为“系统服务”可以很轻松地伪装自己。

当然它也会悄无声息地启动，你当然不会指望用户每次启动后点击“木马”图标来运行服务端，，“木马”会在每次用户启动时自动装载服务端，Windows系统启动时自动加载应用程序的方法，“木马”都会用上，如：启动组、win.ini、system.ini、注册表等等都是“木马”藏身的好地方。下面具体谈谈“木马”是怎样自动加载的。

在win.ini文件中，在[WINDOWS]下面，“run=”和“load=”是可能加载“木马”程序的途径，必须仔细留心它们。一般情况下，它们的等号后面什么都没有，如果发现后面跟有路径与文件名不是你熟悉的启动文件，你的计算机就可能中上“木马”了。当然你也得看清楚，因为好多“木马”，如“AOL Trojan木马”，它把自身伪装成command.exe文件，如果不注意可能不会发现它不是真正的系统启动文件。

在system.ini文件中，在[BOOT]下面有个“shell=文件名”。正确的文件名应该是“explorer.exe”，如果不是“explorer.exe”，而是“shell= explorer.exe 程序名”，那么后面跟着的那个程序就是“木马”程序，就是说你已经中“木马”了。

在注册表中的情况最复杂，通过regedit命令打开注册表编辑器，在点击至：“HKEY－LOCAL－MACHINE\Software\Microsoft\Windows\CurrentVersion\Run”目录下，查看键值中有没有自己不熟悉的自动启动文件，扩展名为EXE，这里切记：有的“木马”程序生成的文件很像系统自身文件，想通过伪装蒙混过关，如“Acid Battery v1.0木马”，它将注册表“HKEY－LOCAL－MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run”下的Explorer 键值改为Explorer=“C:\WINDOWS\expiorer.exe”，“木马”程序与真正的Explorer之间只有“i”与“l”的差别。当然在注册表中还有很多地方都可以隐藏“木马”程序，如：“HKEY－CURRENT－USER\Software\Microsoft\Windows\CurrentVersion\Run”、“HKEY－USERS\＊＊＊＊\Software\Microsoft\Windows\CurrentVersion\Run”的目录下都有可能，最好的办法就是在“HKEY－LOCAL－MACHINE\Software\Microsoft\Windows\CurrentVersion\Run”下找到“木马”程序的文件名，再在整个注册表中搜索即可。

知道了“木马”的工作原理，查杀“木马”就变得很容易，如果发现有“木马”存在，最安全也是最有效的方法就是马上将计算机与网络断开，防止黑客通过网络对你进行攻击。然后编辑win.ini文件，将[WINDOWS]下面，“run=“木马”程序”或“load=“木马”程序”更改为“run=”和“load=”；编辑system.ini文件，将[BOOT]下面的“shell=‘木马’文件”，更改为：“shell=explorer.exe”；在注册表中，用regedit对注册表进行编辑，先在“HKEY－LOCAL－MACHINE\Software\Microsoft\Windows\CurrentVersion\Run”下找到“木马”程序的文件名，再在整个注册表中搜索并替换掉“木马”程序，有时候还需注意的是：有的“木马”程序并不是直接将“HKEY－LOCAL－MACHINE\Software\Microsoft\Windows\CurrentVersion\Run”下的“木马”键值删除就行了，因为有的“木马”如：BladeRunner“木马”，如果你删除它，“木马”会立即自动加上，你需要的是记下“木马”的名字与目录，然后退回到MS－DOS下，找到此“木马”文件并删除掉。重新启动计算机，然后再到注册表中将所有“木马”文件的键值删除。至此，我们就大功告成了。

小知识：

“木马”全称是“特洛伊木马(Trojan Horse)”，原指古希腊士兵藏在木马内进入敌方城市从而占领敌方城市的故事。在Internet上，“特洛伊木马”指一些程序设计人员在其可从网络上下载(Download)的应用程序或游戏中，包含了可以控制用户的计算机系统的程序，可能造成用户的系统被破坏甚至瘫痪

解决办法：现在下载个360安全卫士，为什么推荐它呢？由于它跟卡吧斯基联手，下一个安全卫士能免费试用三个月卡吧斯基，这样你的问题就能解决。

下载安全卫士后它再把卡吧斯基装上，这在安全卫士杀马程序就能操作的，无须到网站上下，方便简洁。下完后它会提示你把现有的杀毒软件谢载掉，把它谢完重启后再装卡吧斯基，最后装完升级，重启进入安全模式。这样差不多能百分百把木马干掉，我还没试过这方法不爽的。你试试吧

怎么查找 电脑里的隐藏木马

有以下几种常见的查询木马方式：

一、通过启动文件检测木马

1、一旦电脑中了木马，则在电脑开机时一般都会自动加载木马文件，由于木马的隐藏性比较强，在启动后大部分木马都会更改其原来的文件名。

2、如果用户对电脑的启动文件非常熟悉，则可以从Windows系统自动加载文件中分析木马的存在并清除木马，这种方式是最有效、最直接的检测木马方式。

3、但是，由于木马自动加载的方法和存放的文职比较多，这种方法对于不太懂电脑的人来说比较有难度

二、通过进程检测木马

1、由于木马也是一个应用程序，一旦运行，就会在电脑系统的内存中驻留进程。因此，我们可以通过系统自带的【Windows 任务管理器】来检测系统中是否存在木马进程

2、在Windows系统中，按下【Ctrl+Alt+Delete】组合键，打开【Windows任务管理器】窗口，选择【进程】选项卡，查看列表 中是否存在可以的木马程序。

3、如果存在可疑进程，选中此进程并右击，从弹出的快捷菜单中选择【结束进程】即可结束词进程。

三、通过网络连接检测木马

1、木马的运行通常是通过网络连接实现的，因此，用户可以通过分析网络连接来推测木马是否存在，最简单的办法是利用Windows自带的Netstat命令。

2、选择“开始”-“运行”菜单项，打开“运行”对话框，单击“确定”按钮，打开“命令提示符”窗口。

3、在“命令提示符”窗口中输入“netstat -a”，按“Enter”键，在其运行结果中查看有哪些可以的运行程序来判断木马文件。

如何查询电脑中所有隐藏的木马程序和彻底删除

使用 KIS(卡巴斯基网络套装) AVG (这个是专门杀木马和戒牒的) 有了这俩个就基本没什么问题了 再下个卡卡来清理流氓软件 下个ARSWP来清理系统 下个优化大师或者超级兔子来优化一下(慎用) 保证你的系统跑的快的不得了