妳當然不會指望用戶每次啟動後點擊木馬圖標來運行服務端，木馬要做到的第二重要的事就是如何在每次用戶啟動時自動裝載服務端（第壹重要的是如何讓對方中木馬，嘿嘿，這部分的內容將在後面提到）
Windows支持多種在系統啟動時自動加載應用程序的方法(簡直就像是為木馬特別定做的)啟動組、win.ini、system.ini、註冊表等等都是木馬藏身的好地方。冰河采用了多種方法確保妳不能擺脫它。首先,冰河會在註冊表的HKEY_LOCAL_MACHINE\Software\ Microsoft\Windows\CurrentVersion\Run和RUNSERVICE鍵值中加上了\kernl32.exe(是系統目錄),其次如果妳刪除了這個鍵值,自以為得意地喝著茶的時候,冰河又陰魂不散地出現了...怎麽回事?原來冰河的服務端會在c:\windows(這個會隨妳windows的安裝目錄變化而變化）下生成壹個叫sysexplr.exe文件（太象超級解霸了，好毒呀，冰河！）,這個文件是與文本文件相關聯的,只要妳打開文本(哪天不打開幾次文本?),sysexplr.exe文件就會重新生成krnel32.exe, 然後妳還是被冰河控制著。（冰河就是這樣長期霸占著窮苦勞動人民寶貴的系統資源的，555555） 更新、更隱蔽的方法已經出現，那就是-驅動程序及動態鏈接庫技術（冰河3.0會采用這種方法嗎?）。
驅動程序及動態鏈接庫技術和壹般的木馬不同，它基本上擺脫了原有的木馬模式-監聽端口，而采用替代系統功能的方法（改寫驅動程序或動態鏈接庫）。這樣做的結果是：系統中沒有增加新的文件（所以不能用掃描的方法查殺）、不需要打開新的端口（所以不能用端口監視的方法查殺）、沒有新的進程（所以使用進程查看的方法發現不了它，也不能用kill進程的方法終止它的運行）。在正常運行時木馬幾乎沒有任何的癥狀,而壹旦木馬的控制端向被控端發出特定的信息後,隱藏的程序就立即開始運作......
事實上，我已經看到過幾個這樣類型的木馬，其中就有通過改寫vxd文件建立隱藏***享的木馬...(江湖上又將掀起新的波浪) 冰河陷阱。
冰河陷阱有兩種作用：
1、自動清除所有版本“冰河”
2、偽裝成“冰河”被控端對入侵者進行欺騙，並記錄入侵者的所有操作 端口掃描是檢查遠程機器有無木馬的最好辦法, 端口掃描的原理非常簡單, 掃描程序嘗試連接某個端口, 如果成功, 則說明端口開放, 如果失敗或超過某個特定的時間(超時), 則說明端口關閉。（關於端口掃描，Oliver有壹篇關於“半連接掃描”的文章，很精彩，那種掃描的原理不太壹樣，不過不在本文討論的範圍之中）
但是值得說明的是, 對於驅動程序/動態鏈接木馬, 掃描端口是不起作用的。 查找木馬特定的文件也是壹個常用的方法（這個我知道,冰河的特征文件是G_Server.exe吧? 笨蛋!哪會這麽簡單,冰河是狡猾狡猾的......）冰河的壹個特征文件是kernl32.exe(靠,偽裝成Windows的內核呀),另壹個更隱蔽, 是sysexlpr.exe(什麽什麽,不是超級解霸嗎?)對！冰河之所以給這兩個文件取這樣的名字就是為了更好的偽裝自己, 只要刪除了這兩個文件,冰河就已經不起作用了。其他的木馬也是壹樣（廢話，Server端程序都沒了，還能幹嘛？）
如果妳只是刪除了sysexlpr.exe而沒有做掃尾工作的話,可能會遇到壹些麻煩-就是妳的文本文件打不開了,因為前面說了,sysexplr.exe是和文本文件關聯的,妳還必須把文本文件跟notepad關聯上,方法有三種:
a.更改註冊表(我就不說了,有能力自己改的想來也不要我說,否則還是不要亂動的好)
b.在<我的電腦>-查看-文件夾選項-文件類型中編輯
c.按住SHIFT鍵的同時鼠標右擊任何壹個TXT文件,選擇打開方式,選中<始終用該程序打開......>,然後找到notepad,點壹下就OK了。（這個最簡單，推薦使用）
提醒壹下，對於木馬這種狡猾的東西，壹定要小心又小心，冰河是和txt文件關聯的，txt打不開沒什麽大不了，如果木馬是和exe文件關聯而妳貿然地刪了它......妳苦了！連regedit都不能運行了！ 之所以把殺病毒軟件放在最後是因為它實在沒有太大的用,包括壹些號稱專殺木馬的軟件也同樣是如此,不過對於過時的木馬以及菜鳥安裝的木馬(沒有配置服務端)還是有點用處的, 可以監視所有調用Winsock的程序，並可以動態殺除進程，是壹個個人防禦的好工具（雖然我對傳說中“該軟件可以查殺未來十年木馬”的說法表示懷疑，嘿嘿，兩年後的事都說不清，誰知道十年後木馬會“進化”到什麽程度？甚至十年後的操作系統是什麽樣的我都想象不出來）
另外，對於驅動程序/動態鏈接庫木馬，有壹種方法可以試試，使用Windows的系統文件檢查器，通過開始菜單-程序-附件-系統工具 -系統信息-工具可以運行系統文件檢查器(這麽詳細,不會找不到吧? 什麽,妳找不到! 吐血! 找壹張98安裝盤補裝壹下吧), 用“系統文件檢查器”可檢測操作系統文件的完整性，如果這些文件損壞，檢查器可以將其還原，檢查器還可以從安裝盤中解壓縮已壓縮的文件（如驅動程序）。如果妳的驅動程序或動態鏈接庫在妳沒有升級它們的情況下被改動了,就有可能是木馬(或者損壞了),提取改動過的文件可以保證妳的系統安全和穩定。(註意,這個操作需要熟悉系統的操作者完成,由於安裝某些程序可能會自動升級驅動程序或動態鏈接庫,在這種情況下恢復損壞的文件可能會導致系統崩潰或程序不可用！)
狡詐篇（只要妳的壹點點疏忽......)
只要妳有壹點點的疏忽，就有可能被人安裝了木馬，知道壹些給人種植木馬的常見伎倆對於保證自己的安全不無裨益。 網上“幫”人種植木馬的伎倆主要有以下的幾條
a.軟哄硬騙法
這個方法很多啦, 而且跟技術無關的, 有的是裝成大蝦, 有的是裝成PLMM, 有的態度謙恭,有的......反正目的都壹樣,就是讓妳去運行壹個木馬的服務端。
b.組裝合成法
就是所謂的221(Two To One二合壹)把壹個合法的程序和壹個木馬綁定,合法程序的功能不受影響,但當妳運行合法程序時,木馬就自動加載了,同時,由於綁定後程序的代碼發生了變化,根據特征碼掃描的殺毒軟件很難查找出來。
c.改名換姓法
這個方法出現的比較晚，很容易上當。具體方法是把可執行文件偽裝成圖片或文本----在程序中把圖標改成Windows的默認圖片圖標, 再把文件名改為*.jpg *.exe, 由於Win98默認設置是不顯示已知的文件後綴名,文件將會顯示為*.jpg, 不註意的人壹點這個圖標就中木馬了(如果妳在程序中嵌壹張圖片就更完美了)
d.願者上鉤法
木馬的主人在網頁上放置惡意代碼，引誘用戶點擊，用戶點擊的結果不言而喻：開門揖盜;奉勸：不要隨便點擊網頁上的鏈接，除非妳了解它，信任它，為它死了也願意...
幾點註意（壹些陳詞濫調）
a．不要隨便從網站上下載軟件,要下也要到比較有名、比較有信譽的站點，這些站點壹般都有專人殺馬殺毒；
b．不要過於相信別人，不能隨便運行別人給的軟件；
（特別是認識的，不要以為認識了就安全了，就是認識的人才會給妳裝木馬,哈哈,挑撥離間......）
c．經常檢查自己的系統文件、註冊表、端口什麽的，經常去安全站點查看最新的木馬公告；
d.改掉windows關於隱藏文件後綴名的默認設置(我是只有看見文件的後綴名才會放心地點它的) 不用我說了,大家都知道冰河2.2最新版吧!它的強大的功能大家也壹定十分的了解吧!他的操作界面清晰簡潔,控制類功能強大，壹些功能如果應用與遠程控制管理，那麽它將是非常理想的軟件,可要是被他人用於黑客木馬，那麽它的危害比起BO2000,NETSPY真是有過之而無不及.事實上，把它定位於黑客木馬並不過分，因為它的服務器端程序具有隱藏,自我復制保護,盜取密碼帳號等功能,這不是壹個正常的軟件所應具備的.他甚至還可以在客戶端將木馬設置成任意文件名,服務器端程序在上網後，還會自動將該機當前的IP通過E-MAIL方式發送到客戶端.拷貝,刪除文件,關閉進程,強制關機，跟蹤鍵盤鎖定鼠標等更不在話。
所以我在此給大家介紹解除冰河服務端的方法,從此就不必再擔心自己的機子會被人控制了！
那麽如何防範與消除冰河呢？
首先，不要執行來路不明的軟件程序,這是千古不變的真理.任何黑客程序再高明，功能再強大,都需要利用系統漏洞才能達到入侵的目的.假如沒有服務器端的木馬程序運行，就可以使掌握著客戶端程序的這類黑客不能得逞.其次，應養成良好的電腦使用習慣,如不把撥號上網的密碼保存等等！
了解冰河黑客軟件的攻擊機制,就沒有什麽可懼怕的了。壹旦感染了冰河,可以使用以下的方法,將其殲滅在妳的電腦裏：
1.檢查註冊表啟動組,具體為:開始-->運行-->regedit,值:HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run和HKEY_LOCAL_MACHINE\Sogtware\Microsoft\Windows\CurrentVersion\RunServer,查找KERNEL32.EXE的執行項目,如有則將兩個鍵值刪除.值得註意的是,因為冰河可以隨意配置服務器程序的參數,如服務器文件名，端口號,密碼等,因此服務器端的程序可以是隨意名稱，即不局限是KERNEL32.EXE,所以在這裏需要具備壹定的Windows知識,準確的找出可疑的啟動文件,如哪不定主意的話可以與另壹臺電腦進行對照.
2.刪除硬盤上與“冰河”有關的文件.可以按上述文件名將可疑文件找出後刪除.KERNEL32.EXE和sysexplr.exe(或更改為新名稱)默認在\Windows\sytem目錄下,但同樣因配置的不同可以寄存與\Windows或\Temp目錄下.
3.“冰河”的自我保護措施是很強的,它可以利用註冊表的文件關聯項目,在妳毫不知覺的情況下復制自己重新安裝.在做完上述工作後,雖然表面上“冰河”不復存在了，但當妳點擊打開有關文件時(如*.TXT,*EXE),“冰河”又復活了！因此為斬草除根,在上述1.2步的基礎上,還應以可疑文件名為線索,全面掃描查找壹遍註冊表,可以發現可疑鍵值壹壹刪除.
4.上述的操作因需要在系統的心臟--註冊表上做手術，有壹定的危險性.其實最簡便有效的辦法就是格式化妳的硬盤,重裝Windows系統，當然,妳要為此付出壹定的時間了！
以下是補充上述方法的新文章:
壹. 按照上述方法殺掉冰河後，還應該對註冊表中HKEY_CLASS_ROOT\txtfile\shell\open\command下的鍵值C:\WINDOWS\NOTEPAD.EXE%1 進行修正,改為:C:\WINDOWS\SYSTEM\EXE%1,否則大家會發現打不開文本文件,當打開文本文件時,大家會看到'未找到程序'的提示.
二.是上述介紹殺掉木馬的方法是,只是針對客戶端配置的確省模式,當客戶端在配置服務器程序是更換了文件名,廣大網友可能就找不到了.具體的判斷解決方法是首先還是查看註冊表中HKEY_CLASS_TOOT\txtfile\shell\poen\command的鍵值是什麽,如C:\WINDOWS\SYSTEM\CY.EXE%1(這裏也可能是其它文件名和路徑),記下來CY.EXE;查註冊表中HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Run和 HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\RunServer的鍵值,如也有CY.EXE,則基本上判斷他就是冰河木馬,最好還要再核對文件的字節數(2.0版本冰河木馬字節熟為495,733字節),將以上的兩個鍵值刪除C:\WINDOWS\SYSTEM\CY.EXE即可(在WIN98下是刪不掉的).需要註意的是在修正註冊表之前,要做好備份;要對與CY.EXE字節熟相同的文件引其高度註意,以防客戶端在此前給妳配置了幾套冰河木馬。