殺毒軟體難以應對未知/變種木馬，掌握木馬運行原理與手工排查技能，才是終極防線。本文系統梳理木馬原理、啟動藏匿點、檢測方法與清除順序。

一、木馬運行原理

• 作為網絡服務端後台運行，監聽特定端口（多數 >5000）。
• 客戶端連接建立TCP連接，實現遠程控制。
• 隱藏手段：窗體 Visible=False, ShowInTaskBar=False；註冊為系統服務隱藏任務管理器進程。

二、啟動藏匿點大全

1. win.ini：[Windows] run= / load= 正常應為空。
2. system.ini：[Boot] shell=Explorer.exe 後若跟文件名即為木馬；或與 explorer.exe 綁定混淆視聽。
3. 註冊表核心啟動鍵：
   HKLM\Software\Microsoft\Windows\CurrentVersion\Run
RunOnce / RunOnceEx / RunServices / RunServicesOnce
   NT系統還需檢查 HKLM\Software\SAM（正常應為空）。
4. 用戶級啟動鍵：HKCU\...\Run、HKEY_USERS\****\...\Run。
5. 默認值被替換：各鍵下 (默認) 值正常為空，若被替換即為木馬。

三、多維檢測方法

1. msconfig：圖形化檢視 system.ini、win.ini、啟動組。
2. 註冊表編輯器：逐一展開上述鍵值，留意偽裝文件名（如 expiorer.exe 擬態 explorer.exe）。
3. 行為異常：速度驟變、硬碟狂讀寫、滑鼠/鍵盤失控、窗口自動開關 → 懷疑被遠控。
4. netstat 連接分析：
   netstat -an 查看已建立連接，異常大端口（>5000）+ 非正常遠程IP → 被控。
   netstat -a 查看監聽端口（無網絡活動時），不明端口 LISTENING → 木馬服務端。

四、清除順序鐵律

1. 終止進程（任務管理器/專用工具）。
2. 清理註冊表相關啟動項、文件關聯、服務鍵值。
3. 刪除磁碟上木馬文件（Shift+Delete 彈出回收站）。

註：採用線程注入/三線程保護的木馬需專用工具或自編代碼清除。

五、小技巧

• exe 關聯被劫持時：複製 regedit.exe 為 regedit.com 運行修復關聯（前提無進程監視該鍵值）。
• 發現 autorun.inf 關聯木馬：各分區根目錄下的 autorun.inf 訪問即觸發。

六、預防為本

• 勤打系統補丁，升級病毒庫，開啟實時監控。
• 不運行可疑程式，不訪問不可信站點。
• 推薦使用 Norton AntiVirus 等強力防毒產品。

知己知彼，手工查殺才是應對未知威脅的底氣。