隐形木马在系统中的打开方式

大家所熟知的木马程序一般的启动方式有：加载到“开始”菜单中的“启动”项、记录到注册表的[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]项和[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]项中， 更高级的木马还会注册为系统的“服务”程序， 以上这几种启动方式都可以在“系统配置实用程序”(在“开始→运行”中执行“Msconfig”)的“启动”项和“服务”项中找到它的踪迹。

　　另一种鲜为人知的启动方式， 是在“开始→运行”中执行“Gpedit.msc”。 打开“组策略”， 可看到“本地计算机策略”中有两个选项：“计算机配置”与“用户配置”， 展开“用户配置→管理模板→系统→登录”， 双击“在用户登录时运行这些程序”子项进行属性设置， 选定“设置”项中的“已启用”项并单击“显示”按钮弹出“显示内容”窗口， 再单击“添加”按钮， 在“添加项目”窗口内的文本框中输入要自启动的程序的路径， 如图所示， 单击“确定”按钮就完成了。

　　添加需要启动的文件面

　　重新启动计算机， 系统在登录时就会自动启动你添加的程序， 如果刚才添加的是木马程序， 那么一个“隐形”木马就这样诞生了。 因为用这种方式添加的自启动程序在系统的“系统配置实用程序”是找不到的， 同样在我们所熟知的注册表项中也是找不到的， 所以非常危险。

　　通过这种方式添加的自启动程序虽然被记录在注册表中， 但是不在我们所熟知的注册表的[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]项和[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]项内， 而是在册表的[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]项。 如果你怀疑你的电脑被种了“木马”， 可是又找不到它在哪儿， 建议你到注册表的[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]项里找找吧， 或是进入“组策略”的“在用户登录时运行这些程序”看看有没有启动的程序。

　　现在网页木马无非有以下几种方式中到你的机器里

　　1：把木马文件改成BMP文件， 然后配合你机器里的DEBUG来还原成EXE， 网上存在该木马20%

　　2：下载一个TXT文件到你机器， 然后里面有具体的FTP^-^作， FTP连上他们有木马的机器下载木马， 网上存在该木马20% 

　　3：也是最常用的方式， 下载一个HTA文件， 然后用网页控件解释器来还原木马。 该木马在网上存在50%以上

　　4：采用JS脚本， 用VBS脚本来执行木马文件， 该型木马偷qq的比较多， 偷传奇的少， 大概占10%左右

　　5：ARP欺骗， 利用ARP欺骗拦截局域网数据， 攻击网关。 在数据包中插入木马。 解决方案， 安装arp防火墙。