壹、基礎知識
在介紹木馬的原理之前有壹些木馬構成的基礎知識我們要事先加以說明,因為下面有很多地方會提到這些內容。
壹個完整的木馬系統由硬件部分，軟件部分和具體連接部分組成。
(1)硬件部分：建立木馬連接所必須的硬件實體。 控制端：對服務端進行遠程控制的壹方。 服務端：被控制端遠程控制的壹方。 INTERNET：控制端對服務端進行遠程控制，數據傳輸的網絡載體。
(2)軟件部分：實現遠程控制所必須的軟件程序。 控制端程序：控制端用以遠程控制服務端的程序。 木馬程序：潛入服務端內部，獲取其操作權限的程序。 木馬配置程序：設置木馬程序的端口號，觸發條件，木馬名稱等，使其在服務端藏得更隱蔽的程序。
(3)具體連接部分：通過INTERNET在服務端和控制端之間建立壹條木馬通道所必須的元素。 控制端IP，服務端IP：即控制端，服務端的網絡地址，也是木馬進行數據傳輸的目的地。 控制端端口，木馬端口：即控制端，服務端的數據入口，通過這個入口，數據可直達控制端程序或木馬 程序。
用木馬這種黑客工具進行網絡入侵，從過程上看大致可分為六步(具體可見下圖)，下面我們就按這六步來詳細闡述木馬的攻擊原理。
壹.配置木馬
壹般來說壹個設計成熟的木馬都有木馬配置程序，從具體的配置內容看，主要是為了實現以下兩方 面功能：
(1)木馬偽裝：木馬配置程序為了在服務端盡可能的好的隱藏木馬，會采用多種偽裝手段，如修改圖標 ，捆綁文件，定制端口，自我銷毀等，我們將在“傳播木馬”這壹節中詳細介紹。
(2)信息反饋：木馬配置程序將就信息反饋的方式或地址進行設置，如設置信息反饋的郵件地址，IRC號 ，ICO號等等，具體的我們將在“信息反饋”這壹節中詳細介紹。
二、傳播木馬.
(1)傳播方式:
木馬的傳播方式主要有兩種:壹種是通過E-MAIL,控制端將木馬程序以附件的形式夾在郵件中發送出 去, 收信人只要打開附件系統就會感染木馬;另壹種是軟件下載，壹些非正規的網站以提供軟件下載為名義， 將木馬捆綁在軟件安裝程序上，下載後，只要壹運行這些程序，木馬就會自動安裝。
(2)偽裝方式:
鑒於木馬的危害性,很多人對木馬知識還是有壹定了解的,這對木馬的傳播起了壹定的抑制作用,這 是木馬設計者所不願見到的,因此他們開發了多種功能來偽裝木馬,以達到降低用戶警覺,欺騙用戶的目的。
(壹)修改圖標
當妳在E-MAIL的附件中看到這個圖標時,是否會認為這是個文本文件呢?但是我不得不告 訴妳,這也有可能是個木馬程序,現在 已經有木馬可以將木馬服務端程序的圖標改成HTML,TXT, ZIP等各種文件的圖標,這有相當大的迷 惑性,但是目前提供這種功能的木馬還不多見,並且這種 偽裝也不是無懈可擊的,所以不必整天提心吊膽,疑神疑鬼的。
(二)捆綁文件
這種偽裝手段是將木馬捆綁到壹個安裝程序上,當安裝程序運行時,木馬在用戶毫無察覺的 情況下 ,偷偷的進入了系統。至於被捆綁的文件壹般是可執行文件(即EXE,COM壹類的文件)。
(三)出錯顯示
有壹定木馬知識的人都知道,如果打開壹個文件,沒有任何反應,這很可能就是個木馬程序, 木馬的 設計者也意識到了這個缺陷,所以已經有木馬提供了壹個叫做出錯顯示的功能。當服務 端用戶打開木 馬程序時,會彈出壹個如下圖所示的錯誤提示框(這當然是假的),錯誤內容可自由 定義,大多會定制成 壹些諸如“文件已破壞，無法打開的！”之類的信息，當服務端用戶信以 為真時,木馬卻悄悄侵入了 系統。
(四)定制端口
很多老式的木馬端口都是固定的,這給判斷是否感染了木馬帶來了方便,只要查壹下特定的 端口就 知道感染了什麽木馬,所以現在很多新式的木馬都加入了定制端口的功能,控制端用戶可 以在1024---65535之間任選壹個端口作為木馬端口(壹般不選1024以下的端口)，這樣就給判斷 所感染木馬類型帶 來了麻煩。
(五)自我銷毀
這項功能是為了彌補木馬的壹個缺陷。我們知道當服務端用戶打開含有木馬的文件後，木馬 會將自己拷貝到WINDOWS的系統文件夾中(C:WINDOWS或C:WINDOWSSYSTEM目錄下)，壹般來說 原木馬文件 和系統文件夾中的木馬文件的大小是壹樣的(捆綁文件的木馬除外),那麽中了木馬 的朋友只要在近來 收到的信件和下載的軟件中找到原木馬文件,然後根據原木馬的大小去系統 文件夾找相同大小的文件, 判斷壹下哪個是木馬就行了。而木馬的自我銷毀功能是指安裝完木 馬後，原木馬文件將自動銷毀，這 樣服務端用戶就很難找到木馬的來源，在沒有查殺木馬的工 具幫助下，就很難刪除木馬了。
(六)木馬更名
安裝到系統文件夾中的木馬的文件名壹般是固定的，那麽只要根據壹些查殺木馬的文章,按 圖索驥在系統文件夾查找特定的文件,就可以斷定中了什麽木馬。所以現在有很多木馬都允許控 制端用戶自由定制安裝後的木馬文件名，這樣很難判斷所感染的木馬類型了。