三千年前，特洛伊小王子帕里斯直覺巨大木馬藏禍心，勸父王焚燒，卻無人聽從。希臘士兵夜間從木馬內部打開城門，特洛伊遂亡。若帕里斯當初堅持焚燒木馬，歷史將改寫。二十一世紀的網路世界同樣木馬橫行，人類在解決病毒戰爭後，最大困惑正是木馬後門的攻防難題。

認識木馬：雙端架構與運作機制

資訊領域的木馬，是一種潛伏受害者電腦、秘密開放一個或多個資料傳輸通道的遠端控制程式，由客戶端（Client，控制端）與伺服器端組成。木馬傳播實指伺服器端程式散播：入侵者必須將伺服器端傳送給受害者執行。一旦執行，伺服器端會自我複製至系統目錄，並將啟動代碼寫入系統啟動自動調用區域（啟動項），隨系統啟動而運行，隨後進入潛伏期——偷偷開放系統連接埠，等待入侵者連線。此時木馬尚未破壞，僅如特洛伊市民將木馬拉入城內。

當入侵者用客戶端連上伺服器端開放的連接埠，特洛伊城門大開，木馬的噩夢正式開始。因此，在木馬屠城軍號響起前，若能及時「焚燒」這只龐然大物，系統或許不會淪陷。

阻止木馬進城：不同時期木馬形態與防護對策

早期：社交工程學為主，防毒意識薄弱

早期網民單純，防火牆普及率低，入侵者僅需簡單社交工程即可誘導執行木馬。此時木馬隱蔽性低，但感染率極高，任一 IP 段可能超過 40% 主機開放大門。唯一制約是網速普遍較慢。

發展期：防毒軟體與防火牆雛形出現

網民安全意識提高，初期防毒防火牆出現。入侵者需掌握更高階社交工程與入侵技術。木馬隱蔽性提升，但仍基於「客戶端連接伺服器端」模式。防毒軟體大幅提升查殺效率，但普及率尚低，舊木馬仍橫行。

成熟期：網路防火牆技術誕生，木馬分裂兩派

網路防火牆實現「攔截外部連線請求」與「審核內部程式存取網路」，導致大部分木馬失效。木馬分裂為：
1. 仍用傳統架構，改用 Email、FTP 等傳輸管道，或嘗試在內部移除防火牆。
2. 反轉連線思維：伺服器端主動連接客戶端（反彈型木馬），突破防火牆限制。
此時攻防提升至技術層級，使用者必須安裝雙重防火牆並學習網路攻防技術。

Windows XP 時代：系統漏洞頻出，補丁管理成關鍵

XP 專為網路應用設計，網路漏洞眾多（MIME 漏洞、LSASS 溢出等）。Win9x 雖也有漏洞，但網路功能極弱，幾無組件依賴網路運行。現代使用者除雙重防火牆外，還需頻繁安裝微軟安全更新。

別讓士兵下馬：防止木馬啟動

木馬程式若不執行，對作業系統等同無害。啟動木馬最簡單途徑是透過啟動項載入。各版本 Windows 提供不同啟動項：

Windows 9x 至少 5 個啟動項：

• DOS 環境：Autoexec.bat、Config.sys
• Windows 環境：「啟動」程式群組
• 登錄表：HKLM\...\Run、HKCU\...\Run、HKLM\...\RunServices

Windows 2000/XP 新增：

• 「服務」啟動區域
• 登錄表新增：HKLM\...\Windows\AppInit_DLLs、HKCU\...\Windows\run

木馬不會放過任何啟動入口，我們常在啟動項發現陌生程式名，需自行或靠防毒軟體判斷。另有一種系統路徑遍歷優先級欺騙：Windows 搜尋不帶路徑的檔案遵循「由外而內」規則（從磁碟根目錄向系統目錄遞進），若同名檔案分別置於 C:\ 與 C:\Windows，系統會執行前者。木馬可偽裝成系統啟動必調用的檔名（如 internat.exe），置於較淺層目錄，系統便會誤執行木馬。防範此類木馬，使用者必須熟知自己機器所有正常啟動項資訊。

為何難根除：檔案並聯型木馬查殺

使用者常遇到：刪除木馬檔案與啟動項後，木馬過段時間原封不動回來；甚至殺毒後系統故障，所有應用程式無法開啟。這類木馬採用檔案並聯（Companion）技術：不修改原檔案，而是利用系統載入優先順序，生成同名但不同副檔名的伴隨體（如 .com 優先於 .exe），或將原 .com 改名為 .exe 並生成同名 .com 伴隨體。解除時僅需刪除伴隨體即可，但若誤刪原檔或登錄項，系統即癱瘓。查殺此類木馬需精確識別伴隨體與原檔關係，單靠殺毒軟體自動掃描往往不足，需結合人工分析。

結語

木馬防禦的核心在於阻止伺服器端進入系統與封鎖其啟動路徑。如同特洛伊若拒絕木馬入城，悲劇不會發生。保持系統更新、部署多層防護、養成安全習慣，才是贏下這場防毒戰爭的關鍵。