什麼是特洛伊木馬？
特洛伊木馬偽裝成具備某種功能或趣味性的程式，實際執行時竊取密碼、檔案、鍵盤記錄、螢幕截圖，甚至完全控制受害主機。不同於病毒/蠕蟲，木馬不具備自我複製傳播能力，依賴社交工程或漏洞利用誘導使用者主動執行。
木馬雙端架構：Client（控制端）+ Server（被控端/木馬本體）
- Server 端：植入受害者電腦，隱藏運行、監聽特定埠口、修改登錄檔自啟動、竊取資料回傳。
- Client 端：攻擊者操作介面，連線 Server 端發送指令（檔案管理、註冊表操作、程式執行、螢幕監控、鍵盤記錄等）。
- 通訊協定：多數採 TCP/IP，少數用 UDP 規避防火牆偵測。
四大主流植入途徑
1. 社交工程誘騙執行（最常見）
- 郵件附件偽裝賀卡、照片、發票、履歷。
- 下載軟體捆綁木馬（「披著羊皮的狼」），執行主程式同時釋放木馬。
- 即時通訊傳送偽裝檔案（利用隱藏副檔名：
photo.jpg.exe 顯示為 photo.jpg）。
2. 網頁腳本/ActiveX 漏洞駕馭下載 (Drive-by Download)
- 利用 IE 腳本引擎 (VBScript/JavaScript)、ActiveX 控制項漏洞（如舊版
mshtml.dll、shdocvw.dll 漏洞），無需使用者點擊，瀏覽網頁即自動下載執行木馬。
- 歷史案例：利用 Script 漏洞格式化瀏覽者硬碟的 HTML 頁面。
3. CGI/ASP 腳本交互植入
攻擊者控制的 Web 伺服器放置木馬執行檔於可執行目錄，編寫 CGI 程式觸發遠端執行，誘導受害者造訪特定 URL 觸發植入。
4. 系統/服務漏洞遠端植入
- 經典案例：IIS Web 伺服器溢位漏洞，利用
IISHACK 攻擊工具癱瘓服務並同步執行遠端木馬。
- 適用於伺服器端入侵，再以此為跳板橫向移動。
Server 端啟動後的三大核心行為
- 隱藏自身：進程隱藏、檔案屬性隱藏/系統屬性、Rootkit 技術掛載核心、DLL 注入合法進程。
- 監聽埠口等待連線：固定或隨機高埠口，部分木馬採用反向連線 (Reverse Shell) 穿透防火牆/NAT。
- 持久化自啟動：修改登錄檔 Run/RunOnce/RunServices、Win.ini、System.ini Shell、服務、排程工作、啟動資料夾等。
防禦核心策略
- 源頭阻斷：修補系統/應用程式漏洞、禁用不必要的腳本/ActiveX、不執行不明檔案、顯示副檔名。
- 行為偵測：HIPS/EDR 監控「非受信程式寫入啟動區、注入系統進程、連接外部高埠口」等異常行為。
- 網路層面：出站防火牆規則限制非必要程式對外連線、IDS/IPS 偵測木馬通訊特徵 (心跳封包、指令格式)。
- 應急處置：發現中毒即斷網、安全模式/PE 環境清除、修改所有帳密、檢查橫向移動痕跡。
結語
理解木馬「雙端架構、多元植入、隱藏持久、命令控制」全生命週期，才能從根本上建立有效防禦。技術手段日新月異，但核心邏輯不變：誘導執行 → 隱藏持久 → 遠端控制。掌握此邏輯，配合分層防護，即可大幅降低中毒風險。