黑客技术之浏览器执行exe文件的深入探讨 (黑客浏览)

以下的文章主要向大家讲述的是黑客技术之浏览器执行exe文件的深入探讨，如果你对黑客技术之浏览器执行exe文件的深入探讨相关的实际操作有兴趣的话，你就可以对以下的文章点击观看了。

一：真的能在浏览器中执行命令文件吗?

答案是肯定的。不过先别高兴，只能执行 服务器 端的，而且是必须经过授权的。否则服务器想黑你就太容易了，谁敢看我我就格式化谁。

二：他是如何实现的。是靠asp文件吗?

在服务器端执行文件是靠SSI来实现的，SSI时服务器端包含的意思(不是SSL)，我们经常使用的#include就是服务器端包含的指令之一。不过，这次要介绍的就是——#exec。就是他可以实现服务器端执行指令。

不过，这次他不能用于.asp的文件。而只能用.stm、.shtm 和 .shtml这些扩展名。而能解释执行他们的就是Ssinc.dll。所以，你写好的代码必须保存成.stm等格式才能确保服务器能执行。

黑客技术——浏览器执行exe文件的探讨三：如何执行呢?

终于开始讨论实质性问题了。

它的语法是：

CommandType是参数，他有两个可选类型：

1.CGI 运行一个应用程序

如 CGI 脚本、ASP 或 ISAPI 应用程序。

CommandDes cription 参数是一个字符串。此字符串包含应用程序的虚拟路径，后跟一个问号以及传送给应用程序的任一参数，参数之间由加号分隔(+)。

他可是#exec命令最有用的参数，也是#exec命令存在的大部分理由。他可以处理已授权的CGI脚本，或Isapi应用程序。微软为了向下兼容一些早期的ISAPI应用程序，而创建了该项命令。我们知道，微软早期的WEB应用程序都是靠ISAPI解释的，而且也兼容CGI程序。你现在也可以在你的WEB根目录中找到CGI-BIN的目录。

我们可以用一下例子说明。

这种命令我们在一些UNIX主机上可以经常见到。现在，我们也可以在自己的.shtml中运用他了。当然，如果服务器允许的话。

还有一种类型的程序：

这种命令方式将启动一个进程外的程序来解释并动态输出信息到网页上。这种方式不常见。但你仍然可以在一些网站中见到。

2.CMD参数

他可是#exec命令中最可怕的参数，也是#exec命令禁止使用的大部分理由。他也是我们一些网友实现最终幻想的利器。可惜，要得到我们幻想的招数有些困难，也几乎是不可能的。

以下是微软关于CMD参数的说明，你一定要读明白再试!

CMD 运行 shell 命令。 CommandDes cription 参数是一个字符串，其中包含 shell命令程序的完整物理路径，后跟由空格分隔的任何命令行参数。如果没有指定全路经，Web 服务器将搜索系统路径。默认情况下，该指令是被禁用的，这是因为它会对 Web站点造成安全方面的危险;例如，用户可能使用 format 命令格式化您的硬盘。

我本人建议关闭，因为现在微软也不推荐用这个命令。不过，如果你是服务器的管理员，可以试一试。

你可以新建一个test.shtml的文件，然后在首行设置一个命令。

[an error occurred while processing this directive]

‘NT中的一个帮助文件(没有危险)。

或试一试!

[an error occurred while processing thisdirective]

‘window98下的显示内存的一个命令。(没有危险)

然后你在该虚拟目录中将其权限设为脚本，或可执行。

最后，你可以在浏览器中输入该地址如果你看到浏览器中显示了他们的屏幕输入信息。那么，恭喜你。你试成功了。

四：最终幻想

如果我们想执行多的命令呢?那么闭上眼，往下看吧。

首先，你打开注册表编辑器(记住要先备份)，然后找

KEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services　\W3SVC4’也可能是w3svc\Parameters

选择新建一个Dword值SSIEnableCmdDirective，它的两个值为0，1。下面是微软的说明。

服务器端的 #exec cmd 命令包括可执行外壳命令。安全意识强的站点希望通过将此值设置为 0 来关闭 #exec cmd命令，并以此作为外加的安全防范，尤其是在允许不受信任的使用者将文件放置到服务器时更是如此。默认状态下，注册表中不存在此值;要允许该命令执行外壳命令，必须先创建此值并将值设置为1。

还可以在添一个Dwordd值AllowSpecialCharsInShell它的两个值为0，1。下面是微软的说明。

范围：0，1 默认值：0 (禁用)

本值控制在运行批处理文件( .bat 和 .cmd 文件)时，是否允许在命令行使用[( , ; % < > ] 等 Cmd.exe特殊字符。这些特殊字符可能引发严重的安全隐患。如果该项值设置为 1，心怀叵测的用户可以在服务器上随意执行命令。因此，强力推荐用户保留其默认设置0。默认情况下，这些特殊字符不能传递到脚本映射 CGI 程序。如果设置为 1，除了管道符号和标准 I/O 重定向符(< 和>)之外(这两类字符在命令处理器中具有特殊含义)，这些特殊字符都能够传递到脚本映射 CGI 程序。

下面我就不详述了。不过你要执行一些你希望的命令可不是这么简单(如：[an error occurred while processing thisdirective])你不会成功的，如果死机不要怨我。

脱壳和加壳是什么意思？有什么能破解吗

壳，脱壳，加壳在自然界中，我想大家对壳这东西应该都不会陌生了，由上述故事，我们也可见一斑。 自然界中植物用它来保护种子，动物用它来保护身体等等。 同样，在一些计算机软件里也有一段专门负责保护软件不被非法修改或反编译的程序。 它们一般都是先于程序运行，拿到控制权，然后完成它们保护软件的任务。 就像动植物的壳一般都是在身体外面一样理所当然（但后来也出现了所谓的“壳中带籽”的壳）。 由于这段程序和自然界的壳在功能上有很多相同的地方，基于命名的规则，大家就把这样的程序称为“壳”了。 就像计算机病毒和自然界的病毒一样，其实都是命名上的方法罢了。 从功能上抽象，软件的壳和自然界中的壳相差无几。 无非是保护、隐蔽壳内的东西。 而从技术的角度出发，壳是一段执行于原始程序前的代码。 原始程序的代码在加壳的过程中可能被压缩、加密……。 当加壳后的文件执行时，壳－这段代码先于原始程序运行，他把压缩、加密后的代码还原成原始程序代码，然后再把执行权交还给原始代码。 软件的壳分为加密壳、压缩壳、伪装壳、多层壳等类，目的都是为了隐藏程序真正的OEP（入口点，防止被破解）。 关于“壳”以及相关软件的发展历史请参阅吴先生的《一切从“壳”开始》。 （一）.壳的概念作者编好软件后,编译成exe可执行文件。 1.有一些版权信息需要保护起来,不想让别人随便改动,如作者的姓名等，即为了保护软件不被破解，通常都是采用加壳来进行保护。 2.需要把程序搞的小一点,从而方便使用。 于是,需要用到一些软件,它们能将exe可执行文件压缩, 3.在黑客界给木马等软件加壳脱壳以躲避杀毒软件。 实现上述功能,这些软件称为加壳软件。 （二）.加壳软件最常见的加壳软件ASPACK ,UPX,PEcompact 不常用的加壳软件WWPACK32；PE-PACK ；PETITE ；NEOLITE（三）.侦测壳和软件所用编写语言的软件，因为脱壳之前要查他的壳的类型。 1.侦测壳的软件 简称(侦测壳的能力极强) 2.侦测壳和软件所用编写语言的软件(两个功能合为一体,很棒) 推荐language2000中文版（专门检测加壳类型） 3.软件常用编写语言Delphi,VisualBasic(VB)---最难破,VisualC(VC)（四）脱壳软件。 软件加壳是作者写完软件后，为了保护自己的代码或维护软件产权等利益所常用到的手段。 目前有很多加壳工具，当然有盾，自然就有矛，只要我们收集全常用脱壳工具，那就不怕他加壳了。 软件脱壳有手动脱壳和自动脱壳之分，下面我们先介绍自动脱壳，因为手动脱壳需要运用汇编语言，要跟踪断点等，不适合初学者，但我们在后边将稍作介绍。 加壳一般属于软件加密，现在越来越多的软件经过压缩处理，给汉化带来许多不便，软件汉化爱好者也不得不学习掌握这种技能。 现在脱壳一般分手动和自动两种，手动就是用TRW2000、TR、SOFTICE等调试工具对付，对脱壳者有一定水平要求，涉及到很多汇编语言和软件调试方面的知识。 而自动就是用专门的脱壳工具来脱，最常用某种压缩软件都有他人写的反压缩工具对应，有些压缩工具自身能解压，如UPX；有些不提供这功能，如：ASPACK，就需要UNASPACK对付，好处是简单，缺点是版本更新了就没用了。 另外脱壳就是用专门的脱壳工具来对付，最流行的是PROCDUMP v1.62 ，可对付目前各种压缩软件的压缩档。 在这里介绍的是一些通用的方法和工具，希望对大家有帮助。 我们知道文件的加密方式，就可以使用不同的工具、不同的方法进行脱壳。 下面是我们常常会碰到的加壳方式及简单的脱壳措施，供大家参考： 脱壳的基本原则就是单步跟踪，只能往前，不能往后。 脱壳的一般流程是:查壳->寻找OEP->Dump->修复 找OEP的一般思路如下： 先看壳是加密壳还是压缩壳，压缩壳相对来说容易些，一般是没有异常，找到对应的popad后就能到入口，跳到入口的方式一般为。 我们知道文件被一些压缩加壳软件加密，下一步我们就要分析加密软件的名称、版本。 因为不同软件甚至不同版本加的壳，脱壳处理的方法都不相同。 常用脱壳工具： 1、文件分析工具（侦测壳的类型）：Fi,GetTyp,peid，pe-scan， 2、OEP入口查找工具：SoftICE,TRW,ollydbg,loader,peid 3、dump工具：IceDump,TRW,PEditor,ProcDump32,LordPE 4、PE文件编辑工具：PEditor,ProcDump32,LordPE 5、重建Import Table工具：ImportREC,ReVirgin 6、ASProtect脱壳专用工具：Caspr(ASPr V1.1-V1.2有效)，Rad(只对ASPr V1.1有效),loader,peid(1)Aspack: 用的最多，但只要用UNASPACK或PEDUMP32脱壳就行了 (2)ASProtect+aspack: 次之，国外的软件多用它加壳，脱壳时需要用到SOFTICE+ICEDUMP，需要一定的专业知识，但最新版现在暂时没有办法。 (3)Upx: 可以用UPX本身来脱壳，但要注意版本是否一致，用-D 参数 (4)Armadill: 可以用SOFTICE+ICEDUMP脱壳，比较烦 (5)Dbpe: 国内比较好的加密软件，新版本暂时不能脱，但可以破解 (6)NeoLite: 可以用自己来脱壳 (7)Pcguard: 可以用SOFTICE+ICEDUMP+FROGICE来脱壳 (8)Pecompat: 用SOFTICE配合PEDUMP32来脱壳，但不要专业知识 (9)Petite: 有一部分的老版本可以用PEDUMP32直接脱壳，新版本脱壳时需要用到SOFTICE+ICEDUMP，需要一定的专业知识 (10)WWpack32: 和PECOMPACT一样其实有一部分的老版本可以用PEDUMP32直接脱壳，不过有时候资源无法修改，也就无法汉化，所以最好还是用SOFTICE配合 PEDUMP32脱壳 我们通常都会使用Procdump32这个通用脱壳软件，它是一个强大的脱壳软件，他可以解开绝大部分的加密外壳，还有脚本功能可以使用脚本轻松解开特定外壳的加密文件。 另外很多时候我们要用到exe可执行文件编辑软件ultraedit。 我们可以下载它的汉化注册版本,它的注册机可从网上搜到。 ultraedit打开一个中文软件,若加壳,许多汉字不能被认出 ultraedit打开一个中文软件,若未加壳或已经脱壳,许多汉字能被认出 ultraedit可用来检验壳是否脱掉,以后它的用处还很多,请熟练掌握例如,可用它的替换功能替换作者的姓名为你的姓名注意字节必须相等,两个汉字替两个,三个替三个,不足处在ultraedit编辑器左边用00补

金禅脱壳

金蝉脱壳属于三十六计中的混战计。 金蝉脱壳的本意是：寒蝉在蜕变时，本体脱离皮壳而走，只留下蝉蜕还挂在枝头。 此计用于军事，是指通过伪装摆脱敌人，撤退或转移，以实现我方的战略目标的谋略。 稳住对方，撤退或转移，决不是惊慌失措，消极逃跑，而是保留形式，抽走内容，稳住对方，使自己脱离险境，达到己方战略目标，己方常常可用巧妙分兵转移的机会出击另一部分敌人。 三国时期，诸葛亮六出祁山，北伐中原，但一直未能成功，终于在第六次北伐时，积劳成疾，在五丈原病死于军中。 维遵照诸葛亮的吩咐，在诸葛亮死后，秘不发丧，对外严密封锁消息。 他带着灵柩，秘密率部撤退。 司马懿派部队跟踪追击蜀军。 姜维命工匠仿诸葛亮摸样，雕了一个木人，羽扇纶巾，稳坐车中。 并派杨仪率领部分人马大张旗鼓，向魏军发动进攻。 魏军远望蜀军，军容整齐，旗鼓大张，又见诸葛亮稳坐车中，指挥若定，不知蜀军又耍什么花招，不敢轻举妄动。 司马懿一向知道诸葛亮“诡计多端”，又怀疑此次退兵乃是诱敌之计，于是命令部队后撤，观察蜀军动向。 姜维趁司马懿退兵的大好时机，马上指挥主力部队，迅速安全转移，撤回汉中。 等司马懿得知诸葛亮已死，再进兵追击，为时已晚。 相信这个故事，大家在大型连续剧《三国演义》里已经看过了。 呵呵，只是没有理解得这么深入罢了！而在黑客入侵技术中，金蝉脱壳则是指：删除系统运行日志 攻击者攻破系统后,常删除系统运行日志,隐藏自己的痕迹...呵呵

我的电脑被被人控制了！

是被人远程控制了吧！特洛伊木马（Trojan horse） 古希腊传说，特洛伊王子帕里斯访问希腊，诱走了王后海伦，希腊人因此远征特洛伊。 围攻9年后，到第10年，希腊将领奥德修斯献了一计，就是把一批勇士埋伏在一匹巨大的木马腹内，放在城外后，佯作退兵。 特洛伊人以为敌兵已退，就把木马作为战利品搬入城中。 到了夜间，埋伏在木马中的勇士跳出来，打开了城门，希腊将士一拥而入攻下了城池。 后来，人们在写文章时就常用“特洛伊木马”这一典故，用来比喻在敌方营垒里埋下伏兵里应外合的活动 特洛伊木马没有复制能力，它的特点是伪装成一个实用工具或者一个可爱的游戏，这会诱使用户将其安装在PC或者服务器上。 “特洛伊木马”（trojan horse）简称“木马”，据说这个名称来源于希腊神话《木马屠城记》。 古希腊有大军围攻特洛伊城，久久无法攻下。 于是有人献计制造一只高二丈的大木马，假装作战马神，让士兵藏匿于巨大的木马中，大部队假装撤退而将木马摈弃于特洛伊城下。 城中得知解围的消息后，遂将“木马”作为奇异的战利品拖入城内，全城饮酒狂欢。 到午夜时分，全城军民尽入梦乡，匿于木马中的将士开秘门游绳而下，开启城门及四处纵火，城外伏兵涌入，部队里应外合，焚屠特洛伊城。 后世称这只大木马为“特洛伊木马”。 如今黑客程序借用其名，有“一经潜入，后患无穷”之意。 完整的木马程序一般由两个部份组成：一个是服务器程序，一个是控制器程序。 “中了木马”就是指安装了木马的服务器程序，若你的电脑被安装了服务器程序，则拥有控制器程序的人就可以通过网络控制你的电脑、为所欲为，这时你电脑上的各种文件、程序，以及在你电脑上使用的帐号、密码就无安全可言了。 木马程序不能算是一种病毒，但越来越多的新版的杀毒软件，已开始可以查杀一些木马了，所以也有不少人称木马程序为黑客病毒。 详解木马原理 介绍特洛伊木马程序的原理、特征以及中了木马后系统出现的情况…… QUOTE: 特洛伊木马是如何启动的 作为一个优秀的木马，自启动功能是必不可少的，这样可以保证木马不会因为你的一次关机操作而彻底失去作用。 正因为该项技术如此重要，所以，很多编程人员都在不停地研究和探索新的自启动技术，并且时常有新的发现。 一个典型的例子就是把木马加入到用户经常执行的程序 (例如)中，用户执行该程序时，则木马自动发生作用。 当然，更加普遍的方法是通过修改Windows系统文件和注册表达到目的，现经常用的方法主要有以下几种: 1.在中启动 在的[windows]字段中有启动命令load＝和run＝，在一般情况下 ＝后面是空白的，如果有后跟程序，比方说是这个样子： run=c:\windows\ load=c:\windows\ 要小心了，这个很可能是木马哦。 2.在中启动 位于Windows的安装目录下，其[boot]字段的shell=是木马喜欢的隐藏加载之所，木马通常的做法是将该何变为这样:shell=。 注意这里的就是木马服务端程序! 另外，在System.中的[386Enh]字段，要注意检查在此段内的driver＝路径\程序名这里也有可能被木马所利用。 再有，在中的[mic]、[drivers]、[drivers32]这3个字段，这些段也是起到加载驱动程序的作用，但也是增添木马程序的好场所，现在你该知道也要注意这里喽。 3.利用注册表加载运行 如下所示注册表位置都是木马喜好的藏身加载之所，赶快检查一下，有什么程序在其下。 4.在和中加载运行 请大家注意，在C盘根目录下的这两个文件也可以启动木马。 但这种加载方式一般都需要控制端用户与服务端建立连接后，将己添加木马启动命令的同名文件上传到服务端覆盖这两个文件才行，而且采用这种方式不是很隐蔽。 容易被发现，所以在和Confings中加载木马程序的并不多见，但也不能因此而掉以轻心。 5.在中启动 是一个特殊性丝毫不亚于的批处理文件，也是一个能自动被Windows加载运行的文件。 它多数情况下为应用程序及Windows自动生成，在执行了Windows自动生成，在执行了并加截了多数驱动程序之后 开始执行 (这一点可通过启动时按F8键再选择逐步跟踪启动过程的启动方式可得知)。 由于的功能可以由代替完成，因此木马完全可以像在中那样被加载运行，危险由此而来。 6.启动组 木马们如果隐藏在启动组虽然不是十分隐蔽，但这里的确是自动加载运行的好场所，因此还是有木马喜欢在这里驻留的。 启动组对应的文件夹为C:\Windows\start menu\programs\startup,在注册表中的位置:HKEY_CURRENT_USER\Software\Microsoft\windows\CurrentVersion\Explorer\shell Folders Startup=c:\windows\start menu\programs\startup。 要注意经常检查启动组哦! 7.* 即应用程序的启动配置文件，控制端利用这些文件能启动程序的特点，将制作好的带有木马启动命令的同名文件上传到服务端覆盖这同名文件，这样就可以达到启动木马的目的了。 只启动一次的方式:在.中(用于安装较多)。 8.修改文件关联 修改文件关联是木马们常用手段 (主要是国产木马，老外的木马大都没有这个功能)，比方说正常情况下TXT文件的打开方式为文件，但一旦中了文件关联木马，则txt文件打开方式就会被修改为用木马程序打开，如著名的国产木马冰河就是这样干的. 冰河就是通过修改HKEY_CLASSES_ROOT\txtfile\whell\open\command下的键值，将“C:\WINDOWS\本应用Notepad打开，如著名的国产HKEY一CLASSES一ROOT\txt闹e\shell\open\commandT的键值，将 C:\WINDOWS\%l改为 C:\WINDOWS\SYSTEM\%l，这样，一旦你双击一个TXT文件，原本应用Notepad打开该文件，现在却变成启动木马程序了，好狠毒哦!请大家注意，不仅仅是TXT文件，其他诸如HTM、EXE、等都是木马的目标，要小心搂。 对付这类木马，只能经常检查HKEY_C\shell\open\command主键，查看其键值是否正常。 9.捆绑文件 实现这种触发条件首先要控制端和服务端已通过木马建立连接，然后控制端用户用工具软件将木马文件和某一应用程序捆绑在一起，然后上传到服务端覆盖源文件，这样即使木马被删除了，只要运行捆绑了木马的应用程序，木马义会安装上去。 绑定到某一应用程序中，如绑定到系统文件，那么每一次Windows启动均会启动木马。 10.反弹端口型木马的主动连接方式 反弹端口型木马我们已经在前面说过了，由于它与一般的木马相反，其服务端 (被控制端)主动与客户端 (控制端)建立连接，并且监听端口一般开在80，所以如果没有合适的工具、丰富的经验真的很难防范。 这类木马的典型代表就是网络神偷。 由于这类木马仍然要在注册表中建立键值注册表的变化就不难查到它们。 同时，最新的天网防火墙(如我们在第三点中所讲的那样)，因此只要留意也可在网络神偷服务端进行主动连接时发现它。 QUOTE: 木马的隐藏方式 1.在任务栏里隐藏 这是最基本的隐藏方式。 如果在windows的任务栏里出现一个莫名其妙的图标，傻子都会明白是怎么回事。 要实现在任务栏中隐藏在编程时是很容易实现的。 我们以VB为例。 在VB中，只要把from的Visible属性设置为False,ShowInTaskBar设为False程序就不会出现在任务栏里了。 2.在任务管理器里隐藏 查看正在运行的进程最简单的方法就是按下Ctrl+Alt+Del时出现的任务管理器。 如果你按下Ctrl+Alt+Del后可以看见一个木马程序在运行，那么这肯定不是什么好木马。 所以，木马会千方百计地伪装自己，使自己不出现在任务管理器里。 木马发现把自己设为 系统服务“就可以轻松地骗过去。 因此，希望通过按Ctrl+Alt+Del发现木马是不大现实的。 3.端口 一台机器有个端口，你会注意这么多端口么?而木马就很注意你的端口。 如果你稍微留意一下，不难发现，大多数木马使用的端口在1024以上，而且呈越来越大的趋势;当然也有占用1024以下端口的木马，但这些端口是常用端口，占用这些端口可能会造成系统不正常，这样的话，木马就会很容易暴露。 也许你知道一些木马占用的端口，你或许会经常扫描这些端口，但现在的木马都提供端口修改功能，你有时间扫描个端口么? 4.隐藏通讯 隐藏通讯也是木马经常采用的手段之一。 任何木马运行后都要和攻击者进行通讯连接，或者通过即时连接，如攻击者通过客户端直接接人被植人木马的主机;或者通过间接通讯。 如通过电子邮件的方式，木马把侵入主机的敏感信息送给攻击者。 现在大部分木马一般在占领主机后会在1024以上不易发现的高端口上驻留;有一些木马会选择一些常用的端口，如80、23,有一种非常先进的木马还可以做到在占领80HTTP端口后，收到正常的HTTP请求仍然把它交与Web服务器处理，只有收到一些特殊约定的数据包后，才调用木马程序。 5.隐藏隐加载方式 木马加载的方式可以说千奇百怪，无奇不有。 但殊途同归，都为了达到一个共同的目的，那就是使你运行木马的服务端程序。 如果木马不做任何伪装，就告诉你这是木马，你会运行它才怪呢。 而随着网站互动化避程的不断进步，越来越多的东西可以成为木马的传播介质，Java Script、VBScript、....几乎WWW每一个新功能部会导致木马的快速进化。 6.最新隐身技术 在Win9x时代，简单地注册为系统进程就可以从任务栏中消失，可是在Windows2000盛行的今天。 这种方法遭到了惨败。 注册为系统进程不仅仅能在任务栏中看到，而且可以直接在Services中直接控制停止。 运行(太搞笑了，木马被客户端控制)。 使用隐藏窗体或控制台的方法也不能欺骗无所不见的Admlin大人(要知道，在NT下，Administrator是可以看见所有进程的)。 在研究了其他软件的长处之后，木马发现，Windows下的中文汉化软件采用的陷阱技术非常适合木马的使用。 这是一种更新、更隐蔽的方法。 通过修改虚拟设备驱动程序(VXD)或修改动态遵掇库 (DLL)来加载木马。 这种方法与一般方法不同，它基本上摆脱了原有的木马模式---监听端口，而采用替代系统功能的方法(改写vxd或DLL文件)，木马会将修改后的DLL替换系统已知的DLL，并对所有的函数调用进行过滤。 对于常用的调用，使用函数转发器直接转发给被替换的系统DLL，对于一些相应的操作。 实际上。 这样的事先约定好的特种情况，DLL会执行一般只是使用DLL进行监听，一旦发现控制端的请求就激活自身，绑在一个进程上进行正常的木马操作。 这样做的好处是没有增加新的文件，不需要打开新的端口，没有新的进程，使用常规的方法监测不到它。 在往常运行时，木马几乎没有任何瘫状，且木马的控制端向被控制端发出特定的信息后，隐藏的程序就立即开始运作。