微信公众平台：计算机与网络信息安全
ID：Computer-network
1、计算机病毒的理解与特点
计算机病毒(Computer Virus)是人为因素制作的、可以完成自身复制的、对计算机資源具备破坏功效的一组程序流程或命令的结合，这也是计算机病毒的通俗界定。计算机病毒把本身粘附在各种各样的文档上或寄生在储存媒体中，能对计算机系统软件和互联网开展各种各样破坏，与此同时可以自身复制和感染。
在1994年2月18日发布的《我国计算机信息管理系统安全性保障管理条例》中，计算机病毒被理解为：“计算机病毒就是指定编或是在计算机程序流程中插进的破坏计算机作用或是破坏数据信息，危害计算机应用而且可以自身复制的一组计算机命令或是编程代码。”
计算机病毒与生物病毒一样，有其本身的病毒体(木马程序)和寄生体(寄主)。所说感柒或寄生，就是指病毒感染将本身置入到寄主命令编码序列中。寄生体为病毒感染给予一种生存条件，是一种合理合法程序流程。当木马程序寄生于合理合法程序流程以后，病毒感染就变成了应用程序的一部分，并在系统中占据合理合法影响力。那样，合理合法程序流程就变成了木马程序的寄生体，或称之为木马程序的媒介。病毒感染可以寄生在合理合法程序流程的所有部位。木马程序一旦寄生于合理合法程序流程，便会随合理合法程序流程的实行而执行，随它的生活而存活，随它的消退而消失。为了更好地增强活力，木马程序通常会寄生于一个或好几个被经常启用的流程中。
(1)病毒特征
计算机病毒品种繁多、特点各不相同，但一般具备自身复制工作能力、传染性、自限性、开启性和破坏性。计算机病毒的本质特征详细介绍如下所示。
1)计算机病毒的可操作性
计算机病毒与合理合法程序流程一样，是一段可执行文件。计算机病毒在运作的时候会与合理合法程序流程角逐系统软件的决策权。例如，病毒感染一般在运作其寄主程序流程以前先运作自身，根据这些方式争夺系统软件的决策权。计算机病毒仅有在计算机内运转时，才具备感染性和破坏性等活力。计算机病毒一经在计算机上运作，在同一台计算机内，木马程序与一切正常系统软件程序流程便会角逐系统软件的决策权，通常会导致崩溃，造成计算机偏瘫。
2)计算机病毒的感染性
计算机病毒的传染性就是指病毒感染具备把本身复制到别的程序流程和系统软件的工作能力。计算机病毒也会根据各种各样的渠道从已被感染的计算机蔓延到未被感染的计算机，在某种情形下导致被感染的计算机工作中紊乱乃至偏瘫。计算机病毒一旦进到计算机并得到实行，便会寻找合乎其感染标准的别的应用程序或存储介质，明确总体目标后再将本身编码插进在其中，做到自身繁育的目地。而被感染的总体目标又成为了新的病原体，当它强制执行之后，便又会去感柒另一个可以被传染的总体目标。计算机病毒可以利用各种各样有可能的方式(如U盘、互联网)等去感柒别的的计算机。
3)计算机病毒的非受权性
计算机病毒没经受权而实行。一般常规的系统由客户启用，再由系统软件资源分配，开展进行客户交到的每日任务，其目地对客户是看得见的、全透明的。而病毒感染掩藏在普通程序流程中，其在系统软件中的运作步骤一般是：做复位工作中→找寻感染总体目标→盗取系统软件决策权→进行感染破坏主题活动，其目地对客户是不明的、未被容许的。
4)计算机病毒的隐秘性
计算机病毒通常附在普通程序流程中或硬盘中较隐敝的地区，也是有少数的病毒感染以暗含文档方式发生，目地是不许客户发觉其存有。如果不通过编码剖析，木马程序与一切正常流程是没那么容易被分辨的，而一旦病毒感染发病的危害体现出去，就通常早已给计算机系统软件导致了不一样水平的破坏。恰好是因为计算机病毒的隐秘性，其才能够在客户沒有发觉的情形下蔓延并流荡于全球几百万台计算机中。
5)计算机病毒的自限性
一个编写精致的计算机病毒程序流程进到系统软件以后一般不容易立刻发病。自限性越好，其在系统软件中具有的时间段便会越长，病毒感染的感染范畴便会越大。自限性就是指无需专用型检验程序流程没法查验出木马程序，除此之外其还有着一种开启体制，不符合开启标准时，计算机病毒只感染而不做破坏，仅有达到开启标准时，病毒感染才会被激话并使计算机发生食物中毒症状。
6)计算机病毒的破坏性
计算机病毒一旦运作，便会对计算机系统软件产生不一样水平的危害，轻则减少计算机系统软件的工作效能、占有服务器资源(如占有内存空间、硬盘储存空间及其体系运作的时间等)，重则造成内容丢失、崩溃。计算机病毒的破坏性选择了病毒的危害性。
7)计算机病毒的寄生性
木马程序会置入寄主程序流程中，取决于寄主程序流程的实行而存活，这就是计算机病毒的寄生性。木马程序在置入寄主程序流程之后，一般会对寄主程序流程开展一定的改动，那样，寄主程序流程一旦实行，木马程序便会被激话，进而可以实现自身复制和繁殖。
8)计算机病毒的不可预测性
从对病毒感染的检验层面看来，病毒感染也有不可预测性。不一样品种的病毒感染的编码各有不同，但有一些实际操作是一共有的(如驻运行内存、改终断等)。伴随着计算机病毒新技术应用的层出不穷，对未知病毒的预测分析难度系数也在不断地增加，这也确定了计算机病毒的不可预测性。实际上，反病毒软件防范措施和方式方法通常落后于病毒的产生速率。
9)计算机病毒的引诱欺诈性
一些病毒感染常以某类独特的主要表现方法，诱惑、蒙骗客户不自觉地开启、激话病毒感染，进而激发其感柒、破坏作用。一些病毒感染会根据诱惑客户点一下电子邮箱中的有关网站地址、文字、照片等来激话本身并开展散播。
(2)病毒分类
依据散播和细菌感染的方法，计算机病毒关键有下列几个种类。
1)正确引导型病毒感染
正确引导型病毒感染(Boot Strap Sector Virus)潜藏在硬盘片或电脑硬盘的第一个磁道。由于DOS的软件架构设计，病毒感染可以在每一次启动时电脑操作系统还未被载入以前就被载入到运存中，这一特点使病毒感染可以良好控制DOS的各种终断，而且有着更多的功能开展感染与破坏。
2)文档型病毒感染
文档型病毒感染(File Infector Virus)通常寄生在可实行(如.com、.exe等)文档中。当这种文档强制执行时，木马程序便会跟随强制执行。文档型病毒感染依据传染方式的不一样，又分成十分驻型及其长驻型二种。十分驻型病毒感染将自身寄生在.com、.exe或.sys文件中。当这种中毒了的程序流程强制执行时，他们便会试着将病毒传染给另一个或数个文档。长驻型病毒感染寄生在存储空间中，其个人行为便是寄生在各种低级作用(如终断等)中，因为这些缘故，长驻型病毒感染通常会对硬盘导致较大的损害。一旦长驻型病毒感染进到运行内存，只需实行文档，其便会对运行内存开展感柒。
3)混合型病毒感染
混合型病毒感染(Multi-Partite Virus)兼顾正确引导型病毒感染和文档型病毒的特性。混合型病毒感染可以感染.com、.exe文件，还可以感染硬盘的正确引导区。因为这种特点，这类病毒感染具备相当程度的感染力。一旦病发，其破坏水平可能十分恐怖。
4)宏病毒
宏病毒(Macro Virus)主要是利用计算机自身所供应的宏工作能力设计制作病毒感染，因此但凡具备宏工作能力的系统都是有存有宏病毒的很有可能，如Word、Excel、Powerpoint等。
2、病毒攻击基本原理剖析
以正确引导型病毒感染为例子来剖析病毒感染的进攻基本原理。
要想掌握正确引导型病毒感染的进攻基本原理，最先要掌握正确引导区的构造。电脑硬盘有两个正确引导区，在0面0道1磁道的称为主导正确引导区，內有主正确引导程序流程和分区表，主正确引导程序流程搜索激话系统分区，该分区的第一个磁道即是DOS BOOT SECTOR。绝大部分病毒感染可以感柒电脑硬盘主正确引导磁道和软盘DOS正确引导磁道。
虽然Windows电脑操作系统应用普遍，但计算机在被正确引导至Windows页面以前，或是要根据传统的的DOS自举全过程，从电脑硬盘正确引导区载入正确引导程序流程。图1和图2各自叙述了常规的DOS自举全过程和木马病毒的DOS自举全过程。
图1 一切正常的DOS自举全过程
图2 木马病毒的DOS自举全过程
一切正常的DOS运行全过程如下所示：
① 插电开机后，进到操作系统的检验程序流程并实施该程序流程，以系统对的基本上机器设备开展检验;
② 检测没问题后，从C盘0面0道1磁道(即逻辑性0磁道)读Boot正确引导程序流程到运行内存的0000:7C00处;
③ 转到Boot实行;
④ Boot分辨是不是为C盘，要不是，则得出信息提示;不然，读入并实行2个暗含文档，并将COMMAND.com装进运行内存;
⑤ 系统软件正常的运作，DOS运行取得成功。
假如C盘感染了病毒感染，则DOS的运行可能是另一种状况，其流程如下所示：
① 将Boot区中的病毒代码最先读入运行内存的0000:7C00处;
② 病毒感染将自己的所有编码读入运行内存的某一安全性地域，长驻运行内存，并监控系统的运作;
③ 改动INT 13H终断服务项目程序处理的通道详细地址，使之偏向病毒感染控制器并实行;由于任何的一种病毒性感染软盘或是电脑硬盘时，都少不了对硬盘的存取数据，因此改动INT 13H终断系统服务的通道详细地址是一项不可或缺的实际操作;
④ 木马程序所有被读入运行内存后，再读入一切正常的Boot內容到运行内存的0000:7C00处，并开展常规的运行全过程;
⑤ 木马程序出其不意(提前准备随时随地)感柒新的C盘或者非C盘。
假如看到有可进攻的目标，则病毒感染要开展以下工作中：
① 将总体目标盘的正确引导磁道读入运行内存，并辨别该盘是不是感染了病毒感染;
② 当达到感染标准时，将病毒感染的所有或一部分载入Boot区，把没问题的硬盘正确引导区程序流程载入硬盘的指定部位;
③ 回到常规的INT 13H终断服务项目程序处理，进行对总体目标盘的感染。
3、木马病毒的进步与归类
木马病毒是一种木马程序，网络黑客可以使用其窃取客户的个人隐私信息内容，乃至远程操作客户的计算机。木马病毒全名特洛伊木马，其名字来源于古希腊神话中的《特洛伊木马记》。在公元12新世纪，古希腊向特洛伊城开战，对战了10年都没有获得胜利。最终，古希腊部队故作撤离，并在特洛伊城外面留有许多极大的木马病毒。这种木马病毒是中空的，里边藏了古希腊最好是的战士职业。在西方人故作撒离后，特洛伊人把这种木马病毒做为补给品拉进了城。那天晚上，古希腊战士职业从木马病毒中出去并与城外面的古希腊部队声东击西占领特洛伊城，这就是特洛伊木马名字的来历。因而，特洛伊木马一般会装扮成合理合法程序流程嵌入系统软件，从而对系统优化造成威胁。详细的恶意代码一般由两部份构成，一是网络服务器被控制端程序流程，二是客户端控制端程序流程。网络黑客关键利用嵌入总体目标服务器的手机客户端控制端程序流程来控制总体目标服务器。
(1)木马技术性的发展趋势
从木马技术性的发展趋势看来，其大部分可分成4代。
第1代木马作用单一，仅仅完成简洁的登陆密码盗取与推送等，在隐藏和通讯层面均无独到之处。
第2代木马在隐藏、自动运行和控制网络服务器等领域有较大发展。海外具备象征性的第2代木马有BOZ000和Sub7。冰川可以算是中国木马的经典象征之一，它可以对注册表文件开展实际操作以完成自启动，并能根据将程序流程设定为系统服务来实现掩藏隐藏。
第3代木马在数据信息传送技术性上拥有全局性的发展，发生了ICMP等独特报文格式种类传送数据的木马，提升了杀毒的难度系数。这一代木马在过程隐藏层面也进行了较大的改善，并采取了核心插式的置入方法，利用远程控制插进线程技术置入DLL进程，完成木马程序流程的隐藏，做到了较好的隐藏实际效果。
第4代木马完成了与病毒感染紧密联系，利用电脑操作系统系统漏洞，立即完成感柒散播的目地，而不需要像之前的木马那般必须蒙骗客户积极激话。具备象征性的等4代木马有近期新产生的磁碟机和机器人木马等。
(2)木马程序流程的归类
依据木马程序流程对电子计算机的实际姿势方法，可以把目前的木马程序流程分成下列5类。
1)远程控制控制型
远程控制型木马是如今最普遍的特洛伊木马，这类木马具备实时监控的作用，应用简易，只需被控制服务器联入互联网并与控制端客户端程序创建数据连接，就能使控制者随意浏览被控制的电子计算机。这类木马在控制端控制下可以在被测服务器上做一切事儿，如键盘记录器、上传文件/免费下载、显示屏提取、远程控制实行等。
2)密码发送型
密码发送型木马的目地是寻找全部的隐藏登陆密码，而且在客户不知道的情形下把他们发送至特定的电子邮箱。在大部分情形下，这类木马程序流程不容易在每一次Windows系统重新启动时都全自动载入，他们大部分应用25端口号推送电子邮箱。
3)键盘记录器型
键盘记录型木马比较简单，他们只做一件事情，便是纪录客户的电脑键盘敲打，而且在LOG文档里开展详细的纪录。这类木马程序流程会伴随着Windows系统的运行而全自动载入，并能认知被害服务器线上，且纪录每一个客户事情，随后根据电子邮件或其它方法将客户事情发给控制者。
4)损坏型
绝大多数木马程序流程仅仅盗取信息内容，不做毁灭性的事情，但损坏型木马却以毁坏而且删除文件夹以民为本。他们可以全自动删掉可控服务器上任何的.ini或.exe文件，乃至远程控制恢复出厂设置可控服务器电脑硬盘，使可控服务器上的全部信息内容都受到损坏。总得来说，此类木马的目的只有一个，便是尽量地损坏受感柒系统软件，使其偏瘫。
5)FTP型
FTP型木马会开启被测软件系统的21号端口号(FTP服务项目所采用的默认设置端口号)，使每个人可以用一个FTP客户端程序不用登陆密码就能联接到被测软件系统，从而开展最大权限的上传文件和免费下载，盗取被害系统软件中的绝密文件。
依据木马的数据连接方位，可以将木马分成下列两大类。
依据木马应用的构架，木马可分成4类。
依据木马存有的形状的不一样，可将木马分成下列几类：
- 传统式EXE体系文件木马：这也是最普遍、最一般的木马，即在总体目标电子计算机中以.exe文件运作的木马。
- 传统式DLL/VXD木马：该类木马本身没法运作，他们须利用开机启动或别的程序流程来运作，或应用Rundi132.exe来运作。
- 更换关系式DLL木马：这类木马实质上依然是DLL木马，但它却会更换某一系统软件的DLL文件并将它更名。
- 内嵌式DLL木马：这类木马利用远程控制跨站脚本攻击的侵入方法，从远程控制将木马编码载入现阶段已经运作的某一程序流程的存储空间中，随后利用变更出现意外解决的方法来运作木马编码。这类技术性在实际操作上难度系数较高。
- 网页页面木马：即利用脚本制作等设计方案的木马。这类木马会利用IE等的系统漏洞置入总体目标服务器，散播覆盖面广。
- 外溢型木马：将要跨站脚本攻击进攻和木马紧密结合的木马，其完成方法有很多特性和优点，归属于一种较新的木马种类。
除此之外，依据隐藏方法，木马可以分成下列几种：本地文件隐藏、运行隐藏、过程隐藏、通讯隐藏、内核模块隐藏和协作隐藏等。隐藏技术性是木马的核心技术之一，立即决策木马的生存力。木马与远程控制控制程序流程的首要不同之处就取决于它的隐秘性，木马的隐蔽性是木马能不能长久生存的重要。
(3)木马的作用
木马的功能可以归纳为下列5种。
1)管理方法远程控制文档
对被测服务器的服务器资源开展管理方法，如拷贝文档、删除文件夹、查询文档、及其提交/下载文件等。
2)开启未认证的服务项目
为远程计算机安裝常见的互联网服务，令它为网络黑客或其它不法客户服务。例如，被木马设置为FTP文件服务器后的电子计算机，可以给予FTP文件传送服务项目、为手机客户端开启共享文件服务项目，那样，网络黑客就可以轻轻松松获得客户电脑硬盘上的信息内容。
3)监控远程控制显示屏
即时提取显示屏图象，可以将提取到的图象另存图片文件;即时监控远程控制客户现阶段已经开展的实际操作。
4)控制远程计算机
根据指令或远程控制监控对话框立即控制远程计算机。例如，控制远程计算机程序执行、打开文件或向别的电子计算机启动进攻等。
5)盗取数据信息
以盗取数据信息为目地，自身不毁坏电子计算机的资料和数据信息，不防碍系统软件的常规工作中。它以系统软件使用人难以发觉的形式向外传送数据，典型性意味着为键盘和鼠标操作记录型木马。
4、木马进攻基本原理
木马程序流程是一种远程服务器客户端程序，典型性构造为手机客户端/网络服务器(Client/Server，C/S)方式，服务器端(黑客攻击的服务器)程序流程在运作时，网络黑客可以应用相应的手机客户端立即控制总体目标服务器。电脑操作系统用户权限管理中有一个基本上标准，便是在远程服务器立即运行运作的程序流程有着与使用人同样的管理权限。假定你以系统管理员的真实身份应用设备，那麼从当地硬盘启动的一个应用软件就拥有管理权限，可以实际操作远程服务器的所有資源。可是从外界连接的流程一般沒有对电脑硬盘实际操作浏览的管理权限。木马服务器端便是利用了这一标准，嵌入总体目标服务器，诱发客户实行，获得总体目标服务器的使用管理权限，以做到控制总体目标服务器的目的性的。
木马程序流程的服务器端程序是必须移植到总体目标服务器的一部分，嵌入总体目标服务器后做为回应程序流程。客户端程序是用于控制总体目标服务器的一部分，安裝在控制者的计算机系统上，它的功能是联接木马服务器端程序流程，监控或控制远程计算机。
典型性的木马原理是：当服务器端程序流程在总体目标服务器上实行后，木马开启一个默认设置的端口号开展监视，当手机客户端(控制端)向服务器端(被测服务器)明确提出联接要求时，被测服务器上的木马程序流程便会自动重拨手机客户端的要求，服务器端程序流程与手机客户端创建联接后，手机客户端(控制端)就可以推送各种控制命令对服务器端(被测服务器)开展彻底控制，其实际操作几乎与在被测服务器的远程服务器实际操作的管理权限完全一致。
木马手机软件的最终目标是完成对总体目标服务器的控制，可是为了更好地完成此总体目标，木马手机软件务必采用各种方法掩藏，以保证更简单地散播，更隐敝地停留在总体目标服务器中。
下边详细介绍木马的栽种基本原理和木马的隐藏。
(1)木马栽种基本原理
木马程序流程最主要的一个需求是可以将服务器端程序流程嵌入总体目标服务器。木马栽种(散播)的形式一般包含下列3种。
1)根据电子邮箱配件带入
这也是最常见也是非常合理的一种方法。木马宣传者将木马服务器端程序流程以电子邮箱配件的方法额外在电子邮箱中，对于特殊服务器推送或漫无目的地群发消息，电子邮箱的文章标题和內容一般都十分吸引人，当客户点击阅读电子邮件时，配件中的系统便会在后台管理悄悄的免费下载到远程服务器。
2)捆缚在各种手机软件中
网络黑客常常把木马程序流程捆缚在各种所说的补丁包、注册机、破译程序流程等系统中开展散播，当客户免费下载对应的程序流程时，木马程序也会被下載到自身的计算机系统中，这类方法的隐敝度和通过率较高。
3)网页页面镜像劫持
网页页面镜像劫持是在一切正常访问的网页页面中置入相应的代码编码，当客户访问该页面时，置入网页页面的脚本制作便会在后台管理自动下载其特定的木马并实行。在其中网页页面是网页木马的关键一部分，特殊的网页源代码使网页页面被开启时木马能随着免费下载并实行。网页页面镜像劫持大多数利用电脑浏览器的系统漏洞来完成，也是有利用ActiveX控制或垂钓网页页面来完成的。
(2)木马程序流程隐藏
木马程序为了更好地能能够更好地躲避客户的查验，以悄悄的控制客户系统软件，务必选用各种各样方法将其隐藏在客户操作系统中。木马为了更好地做到长期性隐藏的目地，通常会另外选用多种多样隐藏技术性。木马程序流程隐藏的形式有很多，主要包含下列4类：
① 根据将木马程序流程设定为系统软件、隐藏或者审阅特性来完成隐藏;
② 根据将木马程序流程取名为和安装文件的名字极其类似的文件夹名称，进而使客户误以为其是安装文件而忽视之;
③ 将木马程序流程储放在没有常见或无法发觉的系统软件文件名称中;
④ 将木马程序流程储放的地区设定为坏磁道的电脑硬盘磁盘。
(3)木马运行隐藏
木马程序流程在运作时务必让电脑操作系统或电脑杀毒软件没法发觉本身才可以停留系统软件。木马程序流程运行的隐藏方法详细介绍如下所示。
1)文档掩藏
木马最经常使用的文档隐藏方法是将木马文档装扮成当地可执行程序。例如，木马程序流程常常会将自身装扮成图片文件，改动其标志为Windows默认设置的照片文件图标，与此同时改动木马文件扩展名为.jpg、.exe等，因为Windows默认无法显示已经知道的文件后缀名，因而文档可能表明为.jpg，当客户以一切正常图片文件开启并访问那时候便会运行木马程序流程。
2)改动系统设置
利用系统软件环境变量的特殊功效，木马程序流程非常容易隐藏在系统启动项中。例如，Windows系统环境变量MSCONFIG.sys中的系统启动项system.ini是诸多木马的隐藏地。Windows安装文件下的system.ini[boot]字段中，正常情况下有boot=“Explorer.exe”，假如其之后有其余的程序流程，如boot=“Explorer.exe file.exe”，则这儿的file.exe就会有可能是木马病毒服务器端程序流程。
3)运用系统软件检索标准
Windows系统寻找一个没有途径信息内容的文档时遵循“从里到外”的标准，它会由系统软件所处的盘符的网站根目录逐渐向系统目录最深处并列搜索，而不是精准定位。这就代表着，如果有2个一样名字的文档各自放到“C:\”和“C:\WINDOWS”下时，检索会实行C:\下的程序流程，而不是C:\WINDOWS下的程序。那样的寻找标准就给木马病毒给予了一个机遇，木马病毒可以把自己改成开机启动时一定会启用的某一文档，并拷贝到比源文件的文件目录浅一级的目录里，电脑操作系统便会实行这一恶意代码，而不是一切正常的这个程序流程。若要防备这类占有系统启动项而保证自启动的木马病毒，则客户务必认识自己的电子计算机里全部常规的开机启动项信息内容。
4)更换安装文件
恶意代码会运用系统软件里的这些不容易损害到系统软件正常的运作而又会被常常启用的体系文件，如电脑输入法标示程序流程。恶意代码会更换掉原先的安装文件，并把原先的系统软件文件夹名称改为仅有恶意代码了解的一个冷僻文件夹名称。只需系统进程那一个被更换的程序流程，木马病毒就能再次停留运行内存。恶意代码做为原先的应用程序被开机启动时，会得到一个由系统软件传送来的运转主要参数，这时，恶意代码就把这个传参给被更名的程序运行。
(4)木马病毒进程隐藏
恶意代码运作后的进程隐藏有2种状况：一种是恶意代码的过程存有，仅仅不发生在过程目录里，选用APIHOOK技术性阻拦相关系统软件函数公式的启用以完成运作时的掩藏;另一种是木马病毒不因一个过程或是业务的方法工作中，反而是将其关键编码以进程或DLL的方法引入合理合法过程，客户不容易发觉被添加的进程或DLL，进而做到木马病毒掩藏的目地。
在Windows系统中普遍的掩藏方法有注册表文件DLL插进、特洛伊DLL、动态性置入技术性、CreateProcess插进和程序调试插进等。
(5)木马病毒通讯时的信息内容掩藏
木马病毒运作时必须根据互联网与外机通讯，以获得室外机的调节指令或向室外机发送短信。木马病毒通讯时的信息内容掩藏主要包含通讯內容、总流量、频带和端口号的掩藏。
木马病毒常见的沟通內容掩藏方式是对通讯內容开展数据加密。通讯频带的掩藏一般选用互联网隐敝安全通道技术性。在TCP/IP族中，有很多沉余信息内容可用来创建互联网隐敝安全通道。木马病毒可以运用这种互联网隐敝安全通道提升网络信息安全体制。较为普遍的有：ICMP畸型报文格式传送、HTTP隧道施工技术性、自定 TCP/UDP报文格式等。木马病毒选用互联网隐敝安全通道技术性时，假如采用一般的安全设置都是会容许的端口号(如80端口)开展通讯，则可随便透过服务器防火墙和避开入侵检测系统等安全性体制的检验，进而得到很强的隐秘性。通讯总流量的掩藏一般选用监控系统通信网络的方法，当检测到操作系统中出现别的通讯总流量时，恶意代码便会运行通讯;当不会有别的通讯总流量时，恶意代码便会处在监视情况，等候别的通讯打开。
(6)木马病毒隐敝载入
木马病毒隐敝载入就是指根据改动虚似机器设备驱动软件(VxD)或动态链接库(DLL)来载入木马病毒。这类办法大部分消除了固有的木马病毒方式——监视端口号，而采取了取代系统功能的方式(改变VxD或DLL文件)：木马病毒用改动后的DLL更换系统软件原先的DLL，并对任何的调用函数开展过虑。针对常用函数的启用，木马病毒会应用函数公式发送器将其立即发送给被更换的系统软件DLL;针对一些事前承诺好的特殊情况，木马病毒会自行实行。一般情形下，DLL仅仅开展监视，一旦发觉操纵端要求，其便会激话本身。这类木马病毒沒有提高新的文档，不用开启新的端口号，沒有新的过程，应用基本的方式没法检测到。在正常的运作时，木马病毒几乎没有足迹，仅有在木马病毒的操纵端向被控制端传出特殊的消息后，掩藏的恶意代码才会运行。