端口扫描接口_js端口扫描

网页设计师非常有用的几个在线工具

时间戳转换

功能简介：Unix时间戳和北京时间互转、获取时间戳 ***

地址：

代码对比/归并

功能简介：在线检测/比较两个文件文本的不同

地址：

LESS编译器

功能简介：将LESS代码编译成CSS代码，方便前端人员使用

地址：

crontab表达式

功能简介：根据crontab表达式计算未来N次的执行时间

地址：

代码格式化

功能简介：可以对SQL、XML、 *** ON代码进行格式化和美化

地址：

编码转换

功能简介：URL解码、Native转UTF-8、Native转ASCII

地址：

网页调色板

功能简介：网页颜色选择器、颜色代码查询、RGB颜色值参考

地址：

正则表达式

功能简介：正则表达式匹配和替换、多种常用正则表达式

地址：

答题

功能简介：学霸，快来做题，提升一下你的技能吧

地址：

Markdown

功能简介：将web上的文本转换成HTML文档

地址：

UBB编译器

功能简介：UBB是一种网页中的替代HTML代码的安全代码

地址：

进制转换

功能简介：2~36进制之间任意进制转换，支持浮点型

地址：

CSV转HTML

功能简介：将CSV数据转换为HTML的表格,并展示在页面上

地址：

HTML特殊符号

功能简介：HTML特殊字符编码大全

地址：

XML转 *** ON

功能简介：XML和 *** ON的内容和输出互相转换

地址：

HTML转 ***

功能简介：HTML和 *** 的内容和输出互相转换

地址：

js/css压缩

功能简介：在线压缩Javascript和CSS代码

地址：

网页常用字体

功能简介：总结了各种常见的网页字体的显示效果

地址：

Cron生成器

功能简介：可以在线生成任务调度Quartz的Cron表达式

地址：

*** ON格式化

功能简介：Json解析、验证、格式化、压缩、以及Json与XML相互转换

地址：

SQL格式化

功能简介：sql在线美化、格式化、脚本压缩

地址：

端口扫描

功能简介：扫描常用或指定的端口，查看端口是否开放

地址：

Base64编码解码

功能简介：将字符base64编码加密,或者将base64加密的字符还原

地址：

MD5加密

功能简介：生成32位和16位的大写和小写的密文

地址：

摩斯电码

功能简介：在线摩斯电码加密解密

地址：

IP查询

功能简介：查询IP或域名的地理位置和宽带供应商、查看本机IP

地址：

文字加密解密

功能简介：支持AES、DES、RC4、Rabbit 等多种算法

地址：

HTTP状态查询

功能简介：检测网页返回的HTTP状态码

地址：

生成htpasswd

功能简介：生成htpasswd

地址：

favicon图标 ***

功能简介：将上传图像剪切并生成ico格式的图标

地址：

传图识字

功能简介：可以将一段含有英文文字的照片免费转化成文字

地址：

gif图 ***

功能简介：一键生成gif动态图、闪图和搞笑表情包

地址：

生成二维码

功能简介：可以设置图像格式、容错率、大小、颜色及LOGO

地址：

图片转pdf

功能简介：在线免费将多张图片转成pdf文档，一键生成pdf文档

地址：

人脸识别

功能简介：在线人脸识别，自动识别人脸批量裁剪出头像图片

地址：

DIY卡通头像

功能简介：免费的动漫人物 *** 工具，可以随心定制男女卡通头像

地址：

传图识色

功能简介：可以识别出光标所在处图片的颜色，并提取出图片的主色调

地址：

手绘图片

功能简介：可以自动生成手绘风格照片，还可以改变照片的模糊度

地址：

图片转Base64

功能简介：图片和Base64编码互转

地址：

衣服尺码计算

功能简介：输入你的身高体重，即可计算出你需要的衣服尺寸

地址：

身份证信息查询

功能简介：输入身份证号，查询归属地、性别和出生年月

地址：

科学计算器

功能简介：开方(√)、圆周率(π)、倒数(1/x)、正弦(Sin)

地址：

大小写转换

功能简介：可以实现人民币数字大写转换和英文大小写转换

地址：

日期间隔计算

功能简介：一款可以计算两个日期之间的天数的工具

地址：

汉字转拼音

功能简介：可以将汉字转化为带声调的拼音

地址：

文字去重

功能简介：该工具可得到无重复数据的文字

地址：

单位换算器

功能简介：长度、面积、重量、温度等单位一键对等转换

地址：

中文简繁转换

功能简介：将输入的一段文字转换为简体或繁体

地址：

阴阳历转换

功能简介：支持农历公历互查，公历和农历互相转换

地址：

邮编区号查询

功能简介：输入省份、城市、区号或邮编查询该地区号

地址：

字数统计

功能简介：快速计算文章中汉字、标点、英文和数字的个数

地址：

利用最近热门的Xss漏洞能做什么？

1、针对性挂马 所以这类网站一定是游戏网站，银行网站或者是关于qq、taobao或者影响力相当大的网站等，它们必须有我们平常需要盗取的帐号密码;当然也或许是这个站点的浏览量相当高，我们能将更多的马挂出去。 而如果仅仅是平平常常的一个小站点的XSS漏洞，如果我们要挂马，那么莫不如就直接把木马页面地址贴出去。 2、用户权限下操作 这类网站则必须有会员了，而且这些会员有很多有意义的操作或者有我们需要的内部个人资料，所以我们可以通过XSS对已登录访问者进行有权限操作。我认为cookies的盗取应该算作这一项，因为其目的也是获取用户操作权限(盗密码包括在内)，从而获取用户某些信息或者进行权限下的相关操作。 3、Dos攻击或傀儡机 这同样需要一个访问量非常大的站点，利用小站点莫不如我们自己攻击或获取信息。我们可以通过此页的访问用户不间断地攻击其他站点，或者进行局域网扫描等等。这类js工具早已经产生，js端口扫描、jikto、xssshell等等。 4、提权 一般这主要发生在论坛或信息管理系统，总之一定要有管理员了。这需要攻击者对目标系统相当熟悉(一般这样的系统需要开源代码)，从而知道怎样构造语句进行提权。 5、实现特殊效果 譬如Monyer在百度空间的插入视频，插入版块;譬如一些人在新浪博客或者校内网实现的特殊效果等等。 结论： 从而你应该了解到这些网站应该具有的性质： 极高的访问量，有会员，有管理员，有具有价值的帐号密码，或者有意义进行特殊效果的实现。 如果你读过《Ajax Hacking with XSS》，你应该知道XSS至少包含input XSS和textarea XSS等七种方式。 其中url XSS属于input XSS，这些漏洞大部分属于保留式的XSS，而textarea XSS等一般属于不保留XSS。 这意味着正常访问一个页面是不会触发保留式的XSS的，尽管这是大部分网站具有的漏洞，其中搜索部分又称搜索式XSS漏洞。 所以当你获取了一个input XSS，你仅仅alert出一个小框框。你跟别人大吹大擂，你发现了一个漏洞，并且你可以alert一个框框给他看，但是事实上你什么都做不了。即使你能挂些小木马，那也是很没意义的事情——因为你莫不如直接在自己的虚拟主机里做XSS页面发给别人。 这个跟sql注入不同，XSS毕竟是客户端的东西。sql注入的目的往往是为了得到目标系统的权限，并且sql语句本身执行的就是服务端的指令;但 XSS一般却是为了获得客户端的东西，执行的也是客户端的指令。所以他们可以“'”一下“出错了”而大喊，你却不能因为“alert”出了“xss窗口” 而乱叫。

求采纳

相关冰河木马的资料

该软件主要用于远程监控，具体功能包括:

1．自动跟踪目标机屏幕变化，同时可以完全模拟键盘及鼠标输入,即在同步被控端屏幕变化的同时，监控端的一切键盘及鼠标操作将反映在被控端屏幕（局域网适用）；

2．记录各种口令信息：包括开机口令、屏保口令、各种共享资源口令及绝大多数在对话框中出现过的口令信息；

3．获取系统信息：包括计算机名、注册公司、当前用户、系统路径、操作系统版本、当前显示分辨率、物理及逻辑磁盘信息等多项系统数据；

4．限制系统功能：包括远程关机、远程重启计算机、锁定鼠标、锁定系统热键及锁定注册表等多项功能限制；

5．远程文件操作：包括创建、上传、下载、复制、删除文件或目录、文件压缩、快速浏览文本文件、远程打开文件（提供了四中不同的打开方式——正常方式、更大化、最小化和隐藏方式）等多项文件操作功能；

6．注册表操作：包括对主键的浏览、增删、复制、重命名和对键值的读写等所有注册表操作功能；

7．发送信息：以四种常用图标向被控端发送简短信息；

8．点对点通讯：以聊天室形式同被控端进行在线交谈。

从一定程度上可以说冰河是最有名的木马了，就连刚接触电脑的用户也听说过它。虽然许多杀毒软件可以查杀它，但国内仍有几十万中冰河的电脑存在！作为木马，冰河创造了最多人使用、最多人中弹的奇迹！现在网上又出现了许多的冰河变种程序，我们这里介绍的是其标准版，掌握了如何清除标准版，再来对付变种冰河就很容易了。

冰河的服务器端程序为G-server.exe，客户端程序为G-client.exe，默认连接端口为7626。一旦运行G-server，那么该程序就会在C:/Windows/system目录下生成Kernel32.exe和sysexplr.exe，并删除自身。Kernel32.exe在系统启动时自动加载运行，sysexplr.exe和TXT文件关联。即使你删除了Kernel32.exe，但只要你打开TXT文件，sysexplr.exe就会被激活，它将再次生成Kernel32.exe，于是冰河又回来了！这就是冰河屡删不止的原因。

清除 *** ：

1、删除C:Windowssystem下的Kernel32.exe和Sysexplr.exe文件。

2、冰河会在注册表HKEY_LOCAL_MACHINE/software/microsoft/windows/ CurrentVersion

Run下扎根，键值为C:/windows/system/Kernel32.exe，删除它。

3、在注册表的HKEY_LOCAL_MACHINE/software/microsoft/windows/ CurrentVersion/Runservices下，还有键值为C:/windows/system/Kernel32.exe的，也要删除。

4、最后，改注册表HKEY_CLASSES_ROOT/txtfile/shell/open/command下的默认值，由中木马后的C:/windows/system/Sysexplr.exe %1改为正常情况下的C:/windows/notepad.exe %1，即可恢复TXT文件关联功能。

如何识别木马

先来说一下木马是如何通过网页进入你的电脑的，相信大家都知道，现在有很多图片木马，EML和EXE木马，其中的图片木马其实很简单，就是把木马exe文件的文件头换成bmp文件的文件头，然后欺骗IE浏览器自动打开该文件，然后利用网页里的一段JAVASCRIPT小程序调用DEBUG把临时文件里的bmp文件还原成木马exe文件并拷贝到启动项里，接下来的事情很简单，你下次启动电脑的时候就是你噩梦的开始了，EML木马更是传播方便，把木马文件伪装成audio/x-wav声音文件，这样你接收到这封邮件的时候只要浏览一下，不需要你点任何连接，windows就会为你代劳自动播放这个他认为是wav的音乐文件，木马就这样轻松的进入你的电脑，这种木马还可以frame到网页里，只要打开网页，木马就会自动运行，另外还有一种 *** ，就是把木马exe编译到. *** 文件里，然后在网页里调用，同样也可以无声无息的入侵你的电脑，这只是些简单的办法，还有远程控制和共享等等漏洞可以钻，知道这些，相信你已经对网页木马已经有了大概了解，

简单防治的 *** ：

开始-设置-控制面版-添加删除程序-windows安装程序-把附件里的windows scripting host去掉，然后打开Internet Explorer浏览器，点工具-Internet选项-安全-自定义级别，把里面的脚本的3个选项全部禁用，然后把“在中加载程序和文件”禁用，当然这只是简单的防治 *** ，不过可能影响一些网页的动态java效果，不过为了安全就牺牲一点啦，这样还可以预防一些恶意的网页炸弹和病毒，如果条件允许的话可以加装防火墙，再到微软的网站打些补丁，反正我所知道的网吧用的都是原始安装的windows，很不安全哦，还有尽量少在一些小网站下载一些程序，尤其是一些号称黑客工具的软件，小心盗不着别人自己先被盗了，当然，如果你执意要用的话，号被盗了也应该付出这个代价吧。还有，不要以为装了还原精灵就很安全，据我所知，一般网吧的还原精灵都只还原c:盘即系统区，所以只要木马直接感染你安装在别的盘里的游戏执行文件，你照样逃不掉的。

冰河木马原理

木马冰河是用C++Builder写的，为了便于大家理解，我将用相对比较简单的VB来说明它，其中涉及到一些WinSock编程和Windows API的知识，如果你不是很了解的话，请去查阅相关的资料。

一、基础篇（揭开木马的神秘面纱）

无论大家把木马看得多神秘，也无论木马能实现多么强大的功能，木马，其实质只是一个 *** 客户/服务程序。那么，就让我们从 *** 客户/服务程序的编写开始。

1.基本概念:

*** 客户/服务模式的原理是一台主机提供服务(服务器)，另一台主机接受服务(客户机)。作为服务器的主机一般会打开一个默认的端口并进行监听(Listen), 如果有客户机向服务器的这一端口提出连接请求(Connect Request), 服务器上的相应程序就会自动运行，来应答客户机的请求，这个程序我们称为守护进程(UNIX的术语,不过已经被移植到了MS系统上)。对于冰河，被控制端就成为一台服务器，控制端则是一台客户机，G_server.exe是守护进程, G_client是客户端应用程序。(这一点经常有人混淆，而且往往会给自己种了木马!）

2.程序实现:

在VB中,可以使用Winsock控件来编写 *** 客户/服务程序,实现 *** 如下(其中,G_Server和G_Client均为Winsock控件):

服务端:

G_Server.LocalPort=7626(冰河的默认端口,可以改为别的值)

G_Server.Listen(等待连接)

客户端:

G_Client.RemoteHost=ServerIP(设远端地址为服务器地址)

G_Client.RemotePort=7626 (设远程端口为冰河的默认端口,呵呵,知道吗?这是冰河的生日哦)

(在这里可以分配一个本地端口给G_Client, 如果不分配, 计算机将会自动分配一个, 建议让计算机自动分配)

G_Client.Connect (调用Winsock控件的连接 *** )

一旦服务端接到客户端的连接请求ConnectionRequest,就接受连接

Private Sub G_Server_ConnectionRequest(ByVal requestID As Long)

G_Server.Accept requestID

End Sub

客户机端用G_Client.SendData发送命令,而服务器在G_Server_DateArrive事件中接受并执行命令(几乎所有的木马功能都在这个事件处理程序中实现)

如果客户断开连接,则关闭连接并重新监听端口

Private Sub G_Server_Close()

G_Server.Close (关闭连接)

G_Server.Listen (再次监听)

End Sub

其他的部分可以用命令传递来进行，客户端上传一个命令，服务端解释并执行命令......

二、控制篇（木马控制了这个世界！）

由于Win98开放了所有的权限给用户，因此，以用户权限运行的木马程序几乎可以控制一切，让我们来看看冰河究竟能做些什么(看了后,你会认同我的观点:称冰河为木马是不恰当的,冰河实现的功能之多,足以成为一个成功的远程控制软件)

因为冰河实现的功能实在太多,我不可能在这里一一详细地说明,所以下面仅对冰河的主要功能进行简单的概述,主要是使用Windows API函数, 如果你想知道这些函数的具体定义和参数,请查询WinAPI手册。

1.远程监控(控制对方鼠标、键盘，并监视对方屏幕)

keybd_event 模拟一个键盘动作(这个函数支持屏幕截图哦)。

mouse_event 模拟一次鼠标事件(这个函数的参数太复杂,我要全写在这里会被编辑骂死的,只能写一点主要的,其他的自己查WinAPI吧)

mouse_event(dwFlags,dx,dy,cButtons,dwExtraInfo)

dwFlags:

MOUSEEVENTF_ABSOLUTE 指定鼠标坐标系统中的一个绝对位置。

MOUSEEVENTF_MOVE 移动鼠标

MOUSEEVENTF_LEFTDOWN 模拟鼠标左键按下

MOUSEEVENTF_LEFTUP 模拟鼠标左键抬起

MOUSEEVENTF_RIGHTDOWN 模拟鼠标右键按下

MOUSEEVENTF_RIGHTUP 模拟鼠标右键按下

MOUSEEVENTF_MIDDLEDOWN 模拟鼠标中键按下

MOUSEEVENTF_MIDDLEUP 模拟鼠标中键按下

dx,dy: MOUSEEVENTF_ABSOLUTE中的鼠标坐标

2.记录各种口令信息

(作者注：出于安全角度考虑,本文不探讨这方面的问题,也请不要给我来信询问)

3.获取系统信息

a.取得计算机名 GetComputerName

b.更改计算机名 SetComputerName

c.当前用户 GetUserName函数

d.系统路径

Set FileSystem0bject = CreateObject("Scripting.FileSystemObject") (建立文件系统对象)

Set SystemDir = FileSystem0bject.getspecialfolder(1)

(取系统目录)

Set SystemDir = FileSystem0bject.getspecialfolder(0)

(取Windows安装目录)

(友情提醒: FileSystemObject是一个很有用的对象,你可以用它来完成很多有用的文件操作)

e.取得系统版本 GetVersionEx(还有一个GetVersion,不过在32位windows下可能会有问题,所以建议用GetVersionEx

f.当前显示分辨率

Width = screen.Width \ screen.TwipsPerPixelX

Height= screen.Height \ screen.TwipsPerPixelY

其实如果不用Windows API我们也能很容易的取到系统的各类信息,那就是Winodws的"垃圾站"-注册表

比如计算机名和计算机标识吧:HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\VxD\VNETSUP中的Comment,ComputerName和WorkGroup

注册公司和用户名:HKEY_USERS\.DEFAULT\Software\Microsoft\MS Setup (ACME)\UserInfo至于如何取得注册表键值请看第6部分。

4.限制系统功能

a.远程关机或重启计算机,使用WinAPI中的如下函数可以实现:

ExitWindowsEx(ByVal uFlags,0)

当uFlags=0 EWX_LOGOFF 中止进程，然后注销

当uFlags=1 EWX_SHUTDOWN 关掉系统电源

当uFlags=2 EWX_REBOOT 重新引导系统

当uFlags=4 EWX_FORCE 强迫中止没有响应的进程

b.锁定鼠标

ClipCursor(lpRect As RECT)可以将指针限制到指定区域,或者用ShowCursor(FALSE)把鼠标隐藏起来也可以

注:RECT是一个矩形,定义如下:

Type RECT

Left As Long

Top As Long

Right As Long

Bottom As Long

End Type

c.锁定系统 这个有太多的办法了,嘿嘿,想Windows不死机都困难呀,比如,搞个死循环吧,当然,要想系统彻底崩溃还需要一点技巧,比如设备漏洞或者耗尽资源什么的......

d.让对方掉线 RasHangUp......

e.终止进程 ExitProcess......

f.关闭窗口 利用FindWindow函数找到窗口并利用SendMessage函数关闭窗口

5.远程文件操作

无论在哪种编程语言里,文件操作功能都是比较简单的,在此就不赘述了,你也可以用上面提到的FileSystemObject对象来实现

6.注册表操作

在VB中只要Set RegEdit=CreateObject（"WScript.Shell")

就可以使用以下的注册表功能:

删除键值:RegEdit.RegDelete RegKey

增加键值:RegEdit.Write RegKey,RegValue

获取键值:RegEdit.RegRead (Value)

记住,注册表的键值要写全路径,否则会出错的。

7.发送信息

很简单,只是一个弹出式消息框而已,VB中用MsgBox("")就可以实现,其他程序也不太难的。

8.点对点通讯

呵呵,这个嘛随便去看看什么聊天软件就行了(因为比较简单但是比较烦,所以我就不写了,呵呵。又:我始终没有搞懂冰河为什么要在木马里搞这个东东，困惑......)

9.换墙纸

CallSystemParametersInfo(20,0,"BMP路径名称",H1)

值得注意的是,如果使用了ActiveDesktop,换墙纸有可能会失败，遇到这种问题，请不要找冰河和我，去找Bill吧。

三、潜行篇（Windows，一个捉迷藏的大森林）

木马并不是合法的 *** 服务程序，因此，它必须想尽一切办法隐藏自己，好在，Windows是一个捉迷藏的大森林!

1、在任务栏中隐藏自己：

这是最基本的了,如果连这个都做不到......（想象一下，如果Windows的任务栏里出现一个国际象棋中木马的图标...@#!#@...也太嚣张了吧!)

在VB中，只要把form的Visible属性设为False, ShowInTaskBar设为False, 程序就不会出现在任务栏中了。

2、在任务管理器中隐形：

在任务管理器中隐形,就是按下Ctrl+Alt+Del时看不见那个名字叫做“木马”的进程，这个有点难度，不过还是难不倒我们，将程序设为“系统服务”可以很轻松的伪装成比尔盖子的嫡系部队(Windows,我们和你是一家的,不要告诉别人我藏在哪儿...)。

在VB中如下的代码可以实现这一功能：

Public Declare Function RegisterServiceProcess Lib "kernel32" (ByVal ProcessID As Long, ByVal ServiceFlags As Long) As Long

Public Declare Function GetCurrentProcessId Lib "kernel32" () As Long

(以上为声明)

Private Sub Form_Load()

RegisterServiceProcess GetCurrentProcessId, 1 (注册系统服务)

End Sub

Private Sub Form_Unload()

RegisterServiceProcess GetCurrentProcessId, 0 (取消系统服务)

End Sub

3、如何悄没声息地启动：

你当然不会指望用户每次启动后点击木马图标来运行服务端，木马要做到的第二重要的事就是如何在每次用户启动时自动装载服务端（之一重要的是如何让对方中木马，嘿嘿，这部分的内容将在后面提到）

Windows支持多种在系统启动时自动加载应用程序的 *** (简直就像是为木马特别定做的)启动组、win.ini、system.ini、注册表等等都是木马藏身的好地方。冰河采用了多种 *** 确保你不能摆脱它。首先,冰河会在注册表的HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run和RUNSERVICE键值中加上了\kernl32.exe(是系统目录),其次如果你删除了这个键值,自以为得意地喝著茶的时候,冰河又阴魂不散地出现了...怎么回事?原来冰河的服务端会在c:\windows(这个会随你windows的安装目录变化而变化）下生成一个叫sysexplr.exe文件（太象超级解霸了，好毒呀，冰河！）,这个文件是与文本文件相关联的,只要你打开文本(哪天不打开几次文本?),sysexplr.exe文件就会重新生成krnel32.exe, 然后你还是被冰河控制著。（冰河就是这样长期霸占著穷苦劳动人民宝贵的系统资源的，555555）

4、端口

木马都会很注意自己的端口(你呢?你关心你的6万多个端口吗?),如果你留意的话,你就会发现,木马端口一般都在1000以上,而且呈越来越大的趋势(netspy是1243....)这是因为,1000以下的端口是常用端口,占用这些端口可能会造成系统不正常,这样木马就会很容易暴露;而由于端口扫描是需要时间的(一个很快的端口扫描器在远程也需要大约二十分钟才能扫完所有的端口),故而使用诸如54321的端口会让你很难发现它。在文章的末尾我给大家转贴了一个常见木马的端口表,你就对著这个表去查吧(不过,值得提醒的是,冰河及很多比较新的木马都提供端口修改功能,所以,实际上木马能以任意端口出现)

5.最新的隐身技术

目前,除了冰河使用的隐身技术外,更新、更隐蔽的 *** 已经出现，那就是-驱动程序及动态链接库技术（冰河3.0会采用这种 *** 吗?）。

驱动程序及动态链接库技术和一般的木马不同，它基本上摆脱了原有的木马模式-监听端口，而采用替代系统功能的 *** （改写驱动程序或动态链接库）。这样做的结果是：系统中没有增加新的文件（所以不能用扫描的 *** 查杀）、不需要打开新的端口（所以不能用端口监视的 *** 查杀）、没有新的进程（所以使用进程查看的 *** 发现不了它，也不能用kill进程的 *** 终止它的运行）。在正常运行时木马几乎没有任何的症状,而一旦木马的控制端向被控端发出特定的信息后,隐藏的程序就立即开始运作......

事实上，我已经看到过几个这样类型的木马，其中就有通过改写vxd文件建立隐藏共享的木马...(江湖上又将掀起新的波浪)

四、破解篇（魔高一尺、道高一丈）

本文主要是探讨木马的基本原理,木马的破解并非是本文的重点(也不是我的长处),具体的破解请大家期待yagami的《特洛伊木马看过来》（我都期待一年了，大家和我一起继续期待吧，嘿嘿），本文只是对通用的木马防御、卸载 *** 做一个小小的总结：

1.端口扫描

端口扫描是检查远程机器有无木马的更好办法, 端口扫描的原理非常简单, 扫描程序尝试连接某个端口, 如果成功, 则说明端口开放, 如果失败或超过某个特定的时间(超时), 则说明端口关闭。（关于端口扫描，Oliver有一篇关于“半连接扫描”的文章，很精彩，那种扫描的原理不太一样，不过不在本文讨论的范围之中）

但是值得说明的是, 对于驱动程序/动态链接木马, 扫描端口是不起作用的。

2.查看连接

查看连接和端口扫描的原理基本相同，不过是在本地机上通过netstat-a（或某个第三方的程序）查看所有的TCP/UDP连接，查看连接要比端口扫描快，缺点同样是无法查出驱动程序/动态链接木马,而且仅仅能在本地使用。

3.检查注册表

上面在讨论木马的启动方式时已经提到，木马可以通过注册表启动（好像现在大部分的木马都是通过注册表启动的，至少也把注册表作为一个自我保护的方式），那么，我们同样可以通过检查注册表来发现"马蹄印",冰河在注册表里留下的痕迹请参照《潜行篇》。

4.查找文件

查找木马特定的文件也是一个常用的 *** （这个我知道,冰河的特征文件是G_Server.exe吧? 笨蛋!哪会这么简单,冰河是狡猾狡猾的......）冰河的一个特征文件是kernl32.exe(靠,伪装成Windows的内核呀),另一个更隐蔽,是sysexlpr.exe(什么什么,不是超级解霸吗?)对！冰河之所以给这两个文件取这样的名字就是为了更好的伪装自己, 只要删除了这两个文件,冰河就已经不起作用了。其他的木马也是一样（废话，Server端程序都没了，还能干嘛？）

如果你只是删除了sysexlpr.exe而没有做扫尾工作的话,可能会遇到一些麻烦-就是你的文本文件打不开了,因为前面说了,sysexplr.exe是和文本文件关联的,你还必须把文本文件跟notepad关联上, *** 有三种:

a.更改注册表(我就不说了,有能力自己改的想来也不要我说,否则还是不要乱动的好)

b.在我的电脑-查看-文件夹选项-文件类型中编辑

c.按住SHIFT键的同时鼠标右击任何一个TXT文件,选择打开方式,选中始终用该程序打开......,然后找到notepad,点一下就OK了。（这个最简单，推荐使用）

提醒一下，对于木马这种狡猾的东西，一定要小心又小心，冰河是和txt文件关联的，txt打不开没什么大不了，如果木马是和exe文件关联而你贸然地删了它......你苦了！连regedit都不能运行了！

5.杀病毒软件

之所以把杀病毒软件放在最后是因为它实在没有太大的用,包括一些号称专杀木马的软件也同样是如此,不过对于过时的木马以及菜鸟安装的木马(没有配置服务端)还是有点用处的, 值得一提的是最近新出来的ip armor在这一方面可以称得上是比较领先的,它采用了监视动态链接库的技术,可以监视所有调用Winsock的程序，并可以动态杀除进程，是一个个人防御的好工具（虽然我对传说中“该软件可以查杀未来十年木马”的说法表示怀疑，嘿嘿，两年后的事都说不清，谁知道十年后木马会“进化”到什么程度？甚至十年后的操作系统是什么样的我都想象不出来）

另外，对于驱动程序/动态链接库木马，有一种 *** 可以试试，使用Windows的"系统文件检查器"，通过"开始菜单"-"程序"-"附件"-"系统工具"-"系统信息"-"工具"可以运行"系统文件检查器"(这么详细,不会找不到吧? 什么,你找不到! 吐血! 找一张98安装盘补装一下吧), 用“系统文件检查器”可检测操作系统文件的完整性，如果这些文件损坏，检查器可以将其还原，检查器还可以从安装盘中解压缩已压缩的文件（如驱动程序）。如果你的驱动程序或动态链接库在你没有升级它们的情况下被改动了,就有可能是木马(或者损坏了),提取改动过的文件可以保证你的系统安全和稳定。(注意,这个操作需要熟悉系统的操作者完成,由于安装某些程序可能会自动升级驱动程序或动态链接库,在这种情况下恢复"损坏的"文件可能会导致系统崩溃或程序不可用！)

五、狡诈篇（只要你的一点点疏忽......)

只要你有一点点的疏忽，就有可能被人安装了木马，知道一些给人种植木马的常见伎俩对于保证自己的安全不无裨益。

1. 木马种植伎俩

网上“帮”人种植木马的伎俩主要有以下的几条

a.软哄硬骗法

这个 *** 很多啦, 而且跟技术无关的, 有的是装成大虾, 有的是装成PLMM, 有的态度谦恭,有的......反正目的都一样,就是让你去运行一个木马的服务端。

b.组装合成法

就是所谓的221(Two To One二合一)把一个合法的程序和一个木马绑定,合法程序的功能不受影响,但当你运行合法程序时,木马就自动加载了,同时,由于绑定后程序的代码发生了变化,根据特征码扫描的杀毒软件很难查找出来。

c.改名换姓法

这个 *** 出现的比较晚,不过现在很流行,对于不熟练的windows操作者，很容易上当。具体 *** 是把可执行文件伪装成图片或文本----在程序中把图标改成Windows的默认图片图标, 再把文件名改为*.jpg *.exe, 由于Win98默认设置是"不显示已知的文件后缀名",文件将会显示为*.jpg, 不注意的人一点这个图标就中木马了(如果你在程序中嵌一张图片就更完美了)

d.愿者上钩法

木马的主人在网页上放置恶意代码，引诱用户点击，用户点击的结果不言而喻：开门揖盗;奉劝：不要随便点击网页上的链接，除非你了解它，信任它，为它死了也愿意...

2． 几点注意（一些陈词滥调）

a．不要随便从网站上下载软件,要下也要到比较有名、比较有信誉的站点，这些站点一般都有专人杀马杀毒；

b．不要过于相信别人，不能随便运行别人给的软件；

（特别是认识的，不要以为认识了就安全了，就是认识的人才会给你装木马,哈哈,挑拨离间......）

c．经常检查自己的系统文件、注册表、端口什么的，经常去安全站点查看最新的木马公告；

d.改掉windows关于隐藏文件后缀名的默认设置(我是只有看见文件的后缀名才会放心地点它的)

e．如果上网时发现莫名奇妙地硬盘乱响或猫上的数据灯乱闪，要小心；

参考资料：