本文目录一览：
- 1、木马病毒是文件还是什么东西
- 2、什么是“二进制病毒”？
- 3、请问木马是什么意思？
- 4、Trojan.win32.generic.12668913 是什么病毒
- 5、所有的病毒和木马的后缀名是什么?有谁能告诉我?谢谢了!
- 6、如何清除木马病毒？
木马病毒是文件还是什么东西
木马病毒入侵电脑
木马（Trojan）这个名字来源于古希腊传说（荷马史诗中木马计的故事，Trojan一词的特洛伊木马本意是特洛伊的，即代指特洛伊木马，也就是木马计的故事）。“木马”程序是目前比较流行的病毒文件，与一般的病毒不同，它不会自我繁殖，也并不“刻意”地去感染其他文件，它通过将自身伪装吸引用户下载执行，向施种木马者提供打开被种者电脑的门户，使施种者可以任意毁坏、窃取被种者的文件，甚至远程操控被种者的电脑。
自从有了电脑就有了病毒和木马，从而有了防火墙和杀毒软件。木马和杀毒软件的斗争无时无刻不在，比如说腾讯电脑管家的木马查杀工作，都是与时俱进的。
什么是“二进制病毒”？
网上转载浅谈‘二进制病毒’曾经有人问过我，什么是二进制病毒，二进制病毒对电脑都有哪些危害？二进制病毒都有哪些？哪些木马是不会发作的？
现在我就浅谈一下二进制病毒。
很多人都认为，从根本上说，所有病毒都是二进制的吧。不发作的木马。。中木马后木马的服务端挂掉了，木马才不会发作吧？
错，常理来讲，部分病毒都是二进制编译的。
二进制,八进制，十进制，十六进制都可以编译病毒....
按照计算机方面来讲你所说的二进制病毒就是全部病毒,因为二进制也可以编译病毒,对于二进制对电脑的危害太多了，比如：自动删除文件，开不起机。蓝屏。盗号，反正都是些病毒的特征，不能进安全模式，自动关闭杀毒软件！但是二进制编译的病毒无法在XP系统等等下运行~~ 只能运行于Unix操作系统下~~~ 我反正只知道一个二进制病毒：ELK CLONER:第一个计算机病毒，它将会得到你磁盘上所有的东西，它甚至将渗透到芯片内部，这就是Cloner!它会象胶水一样粘住你，它还会修改内存!盗取你所有资料！ 例如大蜘蛛杀等度软件只支持XP 2000 98等系统下运行，所以不存在二进制病毒，所以大蜘蛛杀软没有把“二进制病毒”和那些不会发作的木马放进病毒库！ 至于不会发作的木马：那我也知道灰鸽子后门木马不会发作~~此木马是灰鸽子变种！还有就是木马只要你不运行程序就不会发作，比如：盗号木马是你在运行程序如QQ就会发作的， 所以说，补丁也不是可以随便乱装的，有些补丁安装后系统或者IE还会出现错误和问题，所以一般漏洞都不需要补。防火墙也不需要安装，用系统自带的就行了，不看垃圾网页。定期杀毒查毒消灭临时文件恶意软件，一般没问题的！
请问木马是什么意思？
木马就是在没有授权的条件下，偷偷运行的程序。
木马与病毒有两点本质的不同：
1、木马不会自动传染，病毒一定会自动传染；
2、木马是窃取资料的，病毒是破坏文件的
简单的木马只能盗取帐号、密码，很多木马可以窃取对方计算机上的全部资料，以达到完全监视完全控制的目的。
后门就是辅助木马进一步入侵的小程序，通常会打开指定的端口、服务等。
计算机有65536个端口，也就是2的16次方（端口用16位2进制数值表示，所以最大65536）。
16位二进制就是两个8位二进制之和，也就是用两个字节的空间存储。
Trojan.win32.generic.12668913 是什么病毒
互联网上的“热门”木马病毒排名。
下表显示了中国地区在2009年1月期间，互联网上木马病毒的活跃情况。表中所列的都是最常遇到的恶意程序。这些恶意程序会在用户上网的同时给用户带来危害。
（下表中的数据根据卡巴斯基产品检测情况统计得出）
Name of Malware %
1. Trojan-GameThief.Win32.Magania.gen 13.41
2. Trojan-GameThief.Win32.OnLineGames.ufmu 6.54
3. Exploit.Win32.IMG-WMF.fx 5.50
4. Worm.Win32.Downloader.yq 3.22
5. Worm.Win32.Downloader.yv 3.13
6. Trojan-Dropper.Win32.MultiJoiner.13.y 2.51
7. Worm.Win32.Downloader.yw 2.43
8. HEUR:Trojan.Win32.Generic 2.09
9. HEUR:Trojan-Downloader.Win32.Generic 2.07
10. Heur.Win32.Trojan.Generic 1.97
11. not-a-virus:AdWare.Win32.BHO.fay 1.90
12. Worm.Win32.Downloader.zd 1.52
13. Trojan-GameThief.Win32.Agent.w 1.42
14. HEUR:Trojan.Win32.Invader 1.38
15. Trojan-GameThief.Win32.OnLineGames.bknq 1.34
16. Trojan-GameThief.Win32.OnLineGames.ubok 1.26
17. HEUR:Trojan.Win32.StartPage 1.22
18. Trojan-Downloader.Win32.Small.dfl 1.18
19. Trojan.Win32.Pakes.lmb 1.09
20. Trojan-GameThief.Win32.OnLineGames.ubga 1.01
排名第一的恶意程序是恶意程序家族：Trojan-GameThief.Win32.Magania.gen。11月时它位居排行榜的第二位，这个月它又增加了半个百分点，成为了头号“恶霸”。
这个恶意程序家族是一类流行的恶意程序——Trojan-GameThief的代表。从木马的名称可以看出，它们会窃取用户的网络游戏账号密码等信息。2009年1月份，此类木马独占了所有恶意程序总量的25%。而在排行榜中位列第2、13、15、16以及第20位的盗号木马也是此类恶意程序的代表。值得注意的是，此类盗号木马的信息盗窃行为都是针对中国流行网络游戏用户的。所以，喜爱网络游戏的计算机用户要格外注意反病毒安全的问题。
Exploit.Win32.IMG-WMF.fx，这个在上个月的排行榜中位居第三位的恶意程序，这次以5.5%的“流行度”再次中取了排行榜的探花。在上月的报告中我们已经介绍了这个恶意程序。这里，卡巴斯基实验室再一次地提醒用户们一定要针对此漏洞进行更新。关于此漏洞的更详细的信息可以在这里找到： 。同时需要注意的是，这个exploit有许多变种，如何利用漏洞那就看病毒作者的想象力和创造力了。Exploit.Win32.IMG-WMF.fx这个变种会在系统中安装rootkit。
在本月的报告中还有一类需要注意的恶意程序家族：Worm.Win32.Downloader。此家族的不同代表占据了排行榜的第4、5、7和12 位。尽管这种恶意程序最初出现在大约一年以前，但它们只在这个月才“榜上有名”，而且一下子就占到了10%左右的百分比。而所有此家族的代表都发源于同一恶意程序，不同变种间的区别只在于下载链接地址和恶意程序在系统中的文件名的不同。它们的共同点就是会在系统目录下生成随机名的dll文件，这个dll会被注入到系统进程中。
此外，还要指出的是，大约30%的恶意程序都是用启发式分析检测到的。对于用户来说，这就意味着卡巴斯基实验室的反病毒软件可以检测到大多数的未知恶意程序。
2、网络攻击排行:
大多数用户对于网络安全问题都不太了解，这是可以理解的，因为甚至很多从事与计算机相关职业的、有经验的用户也都很难了解安全问题的所有细节。也许，会有一些用户觉得这份报告有些地方非常难于理解。虽然我们会尽量使它简明易懂，但如果你仍有不明白的地方，请查阅相关资料。
现在的计算机安全世界纷繁复杂。普通用户的计算机总是面临着大量的攻击与威胁。要对抗这种多样性的威胁，当今的反病毒软件自身应该包含多种模块，以便在不同层面为用户提供保护。现如今，网络连接已经是工作中不可或缺的必要条件，因而保护计算机系统免受网络攻击是至关重要的。下面就让我们来看一下在 2009年1月期间最为常见的网络攻击。
Name of Attack Number of Atttack
1. DoS.Generic.SYNFlood 4759410
2. Intrusion.Win.MSSQL.worm.Helkern 964297
3. Intrusion.Win.NETAPI.buffer-overflow.exploit 152898
4. Scan.Generic.UDP 101639
5. Intrusion.Generic.TCP.Flags.Bad.Combine.attack 30354
6. Intrusion.Win.DCOM.exploit 25565
7. Intrusion.Win.LSASS.exploit 5203
8. Scan.Generic.TCP 3030
9. Intrusion.Win.HTTPD.GET.buffer-overflow.exploit 1584
10. Intrusion.Win.Messenger.exploit 1525
11. DoS.Win.IGMP.Host-Membership-Query.exploit 1066
12. Intrusion.Win.LSASS.ASN1-kill-bill.exploit 1007
13. Intrusion.Unix.Fenc.buffer-overflow.exploit 391
14. DoS.Generic.ICMPFlood 357
15. Intrusion.Win.MediaPlayer.ASX.buffer-overflow.exploit 291
16. Intrusion.Win.W3Filer.buffer-overflow.exploit 169
17. Intrusion.Win.EasyAddressWebServer.format-string.exploit 138
18. Intrusion.Win.MSSQL.preauth.buffer-overflow.exploit 110
19. Intrusion.Win.WINS.heap-overflow.exploit 77
20. Intrusion.Unix.AtpHttpd.buffer-overflow.exploit 50
占据头名位置的以洪水般发送各种syn数据包的DoS攻击。这类攻击会导致网络瘫痪。如果具有某种特征的数据包多得超过一定数量就会发生此类报告。有时，某些正常程序也会有类似的网络行为，这时则需要进一步分析原因。
第二位是Intrusion.Win.MSSQL.worm.Helkern攻击。这种攻击针对的是MS SQL的1434端口上的服务。蠕虫病毒Slammer也会进行此类攻击。
第三位是Intrusion.Win.NETAPI.buffer-overflow.exploit。
一般来说，收到这种提示时说明在局域网中存在着恶意程序，比如说蠕虫病毒Net-Worm.Win32.Kido。这种蠕虫利用了微软的 MS08-067漏洞。尽管针对这个漏洞的更新已经发布了很久，但还是有越来越多的用户机器被这种蠕虫感染。卡巴斯基实验室建议大家安装微软的更新补丁。这种蠕虫会作为服务启动，并使自己在磁盘上隐藏起来。所以，用户很难在机器上找到这个病毒。而要在磁盘上找到这个二进制文件就必须从其它介质上启动系统，比如从光盘启动系统并进行扫描。
这个例子很好地说明了在复杂的安全问题下卡巴斯基的反病毒产品的优势。蠕虫病毒有时可以隐藏起来不被反病毒扫描器扫描到，但是它的网络活动却可以被网络模块检测到。正因为如此，卡巴斯基可以成功地对抗这种恶意程序。
另一种网络攻击Scan.Generic.UDP并不能明确地指示出网络中存在哪种恶意程序。对这种网络活动的产生原因还需要更详细的分析。需要注意被扫描的端口、攻击源IP地址以及攻击的间隔。也可能这只是一次性的扫描，也不用太过于不安。但如果这种攻击是周期反复性的，那就要引起特别的注意并采取措施，不仅要研究扫描端口列表，查看并关闭未使用的服务，还要及时地为系统打补丁。端口扫描都是网络攻击的第一步，因而需要提前做好准备。
位居第五的网络攻击是Intrusion.Generic.TCP.Flags.Bad.Combine.attack。一般来说，如果在网络数据包中使用了不正确的标志组合都会给出这种提示。这种不正确的标志组合是一种异常情况，需要进一步详细地分析原因。有可能只是虚惊一场，但也有很大概率是恶意行为。
一般而言，所有这些攻击可以分为：扫描攻击、拒绝服务式攻击和exploit攻击。如果系统中没有启动含有漏洞的服务，那么扫描攻击不会产生什么危害。而拒绝服务式攻击和exploit攻击通常都是由恶意程序产生的，值得引起更多的关注。
我们得到的另外一个结论是，大多数攻击都是针对Win32平台的，在排行榜里只有两种攻击是针对Unix的，即 Intrusion.Unix.Fenc.buffer-overflow.exploit和 Intrusion.Unix.AtpHttpd.buffer-overflow.exploit.当然，这并不能用来证明哪种平台更安全，这只是因为大多数桌面用户使用的都是Win32平台。
我们还要再次提醒您：尽管卡巴斯基的IDS入侵检测系统提示您有人试图攻击您的计算机并被成功阻止，您也要为您的软件安装好最新的更新程序，并及时更新病毒库。
3、恶意程序排行：
根据卡巴斯基安全网络（KSN）2009年1月份收集的数据，我们整理并列出两个恶意程序排行榜，每个榜单罗列出了活跃度排名前20 位的恶意程序。
第一个排行榜是根据卡巴斯基实验室2009的反病毒产品收集到的数据整理出的排名前20位的恶意程序榜单，包含了在用户计算机上发现的恶意程序、广告软件以及其他潜在的不良程序的详细信息。
排名 排名变化 恶意程序名称
1. 0 Virus.Win32.Sality.aa
2. 0 Packed.Win32.Krap.b
3. 1 Worm.Win32.AutoRun.dui
4. -1 Trojan-Downloader.Win32.VB.eql
5. 3 Trojan.Win32.Autoit.ci
6. 0 Trojan-Downloader.WMA.GetCodec.c
7. 2 Packed.Win32.Black.a
8. -1 Virus.Win32.Alman.b
9. 5 Trojan.Win32.Obfuscated.gen
10. 10 Trojan-Downloader.WMA.GetCodec.r
11. 新上榜 Exploit.JS.Agent.aak
12. -1 Worm.Win32.Mabezat.b
13. -3 Worm.Win32.AutoIt.ar
14. 1 Email-Worm.Win32.Brontok.q
15. 新上榜 Virus.Win32.Sality.z
16. 新上榜 Net-Worm.Win32.Kido.ih
17. 重新上榜 Trojan-Downloader.WMA.Wimad.n
18. -2 Virus.Win32.VB.bu
19. -2 Trojan.Win32.Agent.abt
20. 新上榜 Worm.Win32.AutoRun.vnq
排行榜一
2009年的第1个月，以上榜单的排名没有大的变化。只是Exploit.JS.Agent.aak取代了于去年12月上榜的 Trojan.HTML.Agent.ai和Trojan-Downloader.JS.Agent.czm。而AutoRun.eee worm则从本月的榜单中消失，取而代之的是Worm.Win32.AutoRun.vnq。这一点并不奇怪，因为对于此类恶意程序，频繁的更改正是其特点。
值得注意的是，去年12月消失于榜单中的Trojan-Downloader.WMA.Wimad.n，本月又重新上榜。这是由于榜单中的三个非典型的恶意下载程序的大范围传播以及用户对于多媒体文件的信任态度。Trojan-Downloader.WMA.GetCodec.r在榜单中急速上升，其排名已经位于第十位，恰恰证实了我们在上个月的前20名恶意程序报告中提到的对恶意程序传播方式的判断，即恶意程序利用点对点网络以及多媒体文件下载程序进行传播的方式是非常有效的。
同时Sality.aa仍高居榜首，而且Sality.z也加入到前20名，使得Sality家族成为最近转播最为广泛，最为危险的恶意程序。
而利用微软Windows重大漏洞进行传播的臭名昭著的Kido家族的网络蠕虫仍然出现在榜单上。但考虑到当前的蠕虫感染疫情，该蠕虫的传播方式以及有潜在威胁的计算机的数量，kido蠕虫的变种出现在本月的榜单上并不奇怪。
木马– 35%
病毒– 50%
恶意程序– 15%
第一个排行榜中的所有恶意程序、广告软件以及其他潜在的不良程序都可以根据我们检测到的威胁类别进行分类。总体来说，自我复制程序的数量再一次超过了木马程序。
1月份，卡巴斯基实验室在用户计算机上共检测到46014中恶意程序、广告软件以及其他潜在的不良程序。值得注意的是前一段的假期期间，“自然状态”发现的威胁数量并没有下降，相反在12月于“自然状态”中截获的样本数量（38190）要比平时还多7800个。
下面，让我们一起来关注第二个排行榜。在 第二个排行榜中，排名在前20位的是在用户的计算机中发现的最容易感染文件的恶意程序。感染文件的恶意程序在该榜单中占大多数。
排名 排名变化 恶意程序名称
1. 0 Virus.Win32.Sality.aa
2. 0 Worm.Win32.Mabezat.b
3. 2 Net-Worm.Win32.Nimda
4. -1 Virus.Win32.Xorer.du
5. 1 Virus.Win32.Alman.b
6. 3 Virus.Win32.Sality.z
7. 0 Virus.Win32.Parite.b
8. 2 Virus.Win32.Virut.q
9. -5 Trojan-Downloader.HTML.Agent.ml
10. -2 Virus.Win32.Virut.n
11. 1 Email-Worm.Win32.Runouce.b
12. 1 Worm.Win32.Otwycal.g
13. 1 P2P-Worm.Win32.Bacteraloh.h
14. 4 Virus.Win32.Hidrag.a
15. 5 Virus.Win32.Small.l
16. -5 Virus.Win32.Parite.a
17. 重新上榜 Worm.Win32.Fujack.bd
18. 新上榜 P2P-Worm.Win32.Deecee.a
19. -4 Trojan.Win32.Obfuscated.gen
20. 新上榜 Virus.Win32.Sality.y
排行榜二
Sality.z是Virus.Win32.Sality家族中最新进入前20名榜单的恶意程序。Sality.y出现在第二个榜单中，进一步说明了该自我复制程序家族的高活跃性。有趣的是第二个排行榜中新上榜的P2P-Worm.Win32.Deecee.a.。该蠕虫通过DC++点对点网络传播，能够下载其他恶意程序。它能够在这张榜单中占有一席之地，并不是因为其感染的计算机数量多，而是由于其在每台感染的计算机上的备份数量。在该蠕虫感染用户计算机时，它会复制自己很多次，一旦感染，该蠕虫会公开复制自己。而其自我复制产生的可执行文件都会遵循一定的模式：其前缀为“(CRACK)”, “(PATCH)”，文件名为流行的应用软件名称如“ADOBE ILLUSTRATOR (All Versions)”, “GTA SAN ANDREAS ACTION 1 DVD”等。而于去年11月重回榜单的Worm.VBS.Headtail.a此次又消失了，延续了其在2008年年底的不稳定表现。
所有的病毒和木马的后缀名是什么?有谁能告诉我?谢谢了!
现在，市面上，所以的二进制病毒和木马，都是以exe（PE2格式）形式存在的。
这样讲比较严谨。至于后缀名，可以任意起，也可以捆绑在其它格式中，比如chm文件，也可以加进木马。这些就不说了。
如何清除木马病毒？
目前网络上最猖獗的病毒估计非木马程序莫数了，特别是在过去的2004年木马程序的攻击性也有了很大的加强，在进程隐藏方面，做了较大的改动，不再采用独立的EXE可执行文件形式，而是改为内核嵌入方式、远程线程插入技术、挂接PSAPI等，这些木马也是目前最难对付的。本期就教你查找和清除线程插入式木马。
操作步骤：
1.通过自动运行机制查木马
一说到查找木马，许多人马上就会想到通过木马的启动项来寻找“蛛丝马迹”，具体的地方一般有以下几处：
1）注册表启动项：
在“开始/运行”中输入“regedit.exe”打开注册表编辑器，依次展开[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\]和[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\]，查看下面所有以"Run"开头的项，其下是否有新增的和可疑的键值，也可以通过键值所指向的文件路径来判断，是新安装的软件还是木马程序。
另外[HKEY LOCAL MACHINE\Software\classes\exefile\shell\open\command\]键值也可能用来加载木马，比如把键值修改为“X:\windows\system\ABC.exe "%1"%”。
2）系统服务
有些木马是通过添加服务项来实现自启动的，大家可以打开注册表编辑器，在[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Runservices]下查找可疑键值，并在[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\]下查看的可疑主键。
然后禁用或删除木马添加的服务项：在“运行”中输入“Services.msc”打开服务设置窗口，里面显示了系统中所有的服务项及其状态、启动类型和登录性质等信息。找到木马所启动的服务，双击打开它，把启动类型改为“已禁用”，确定后退出。也可以通过注册表进行修改，依次展开“HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\服务显示名称”键，在右边窗格中找到二进制值“Start”，修改它的数值数，“2”表示自动，“3”表示手动，而“4”表示已禁用。当然最好直接删除整个主键，平时可以通过注册表导出功能，备份这些键值以便随时对照。
3）开始菜单启动组
现在的木马大多不再通过启动菜单进行随机启动，但是也不可掉以轻心。如果发现在“开始/程序/启动”中有新增的项，可以右击它选择“查找目标”到文件的目录下查看一下，如果文件路径为系统目录就要多加小心了。也可以在注册表中直接查看，它的位置为[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders]，键名为Startup。
4）系统INI文件Win.ini和System.ini
系统INI文件Win.ini和System.ini里也是木马喜欢隐蔽的场所。选择“开始/运行”，输入“msconfig”调出系统配置实用程序，检查Win.ini的[Windows]小节下的load和run字段后面有没有什么可疑程序，一般情况下“＝”后面是空白的；还有在System.ini的[boot]小节中的Shell=Explorer.exe后面也要进行检查。
5）批处理文件
如果你使用的是WIN 9X系统，C盘根目录下“AUTOEXEC.BAT”和WINDOWS目录下的“WinStart.bat”两个批处理文件也要看一下，里面的命令一般由安装的软件自动生成，在系统默认会将它们自动加载。在批处理文件语句前加上“echo off”，启动时就只显示命令的执行结果，而不显示命令的本身；如果再在前面加一个“@”字符就不会出现任何提示，以前的很多木马都通过此方法运行。
2.通过文件对比查木马
最近新出现的一种木马。它的主程序成功加载后，会将自身做为线程插入到系统进程SPOOLSV.EXE中，然后删除系统目录中的病毒文件和病毒在注册表中的启动项，以使反病毒软件和用户难以查觉，然后它会监视用户是否在进行关机和重启等操作，如果有，它就在系统关闭之前重新创建病毒文件和注册表启动项。下面的几招可以让它现出原形（下面均以Win XP系统为例）：
1）对照备份的常用进程
大家平时可以先备份一份进程列表，以便随时进行对比查找可疑进程。方法如下：开机后在进行其他操作之前即开始备份，这样可以防止其他程序加载进程。在运行中输入“cmd”，然后输入“tasklist /svc X:\processlist.txt”（提示：不包括引号，参数前要留空格，后面为文件保存路径）回车。这个命令可以显示应用程序和本地或远程系统上运行的相关任务/进程的列表。输入“tasklist /？”可以显示该命令的其它参数。
2）对照备份的系统DLL文件列表
对于没有独立进程的DLL木马怎么办吗？既然木马打的是DLL文件的主意，我们可以从这些文件下手，一般系统DLL文件都保存在system32文件夹下，我们可以对该目录下的DLL文件名等信息作一个列表，打开命令行窗口，利用CD命令进入system32目录，然后输入“dir *.dllX:\listdll.txt”敲回车，这样所有的DLL文件名都被记录到listdll.txt文件中。日后如果怀疑有木马侵入，可以再利用上面的方法备份一份文件列表“listdll2.txt”，然后利用“UltraEdit”等文本编辑工具进行对比；或者在命令行窗口进入文件保存目录，输入“fc listdll.txt listdll2.txt”，这样就可以轻松发现那些发生更改和新增的DLL文件，进而判断是否为木马文件。
3）对照已加载模块
频繁安装软件会使system32目录中的文件发生较大变化，这时可以利用对照已加载模块的方法来缩小查找范围。在“开始/运行”中输入“msinfo32.exe”打开 “系统信息”，展开“软件环境/加载的模块”，然后选择“文件/导出”把它备份成文本文件，需要时再备份一个进行对比即可。
4）查看可疑端口
所有的木马只要进行连接，接收/发送数据则必然会打开端口，DLL木马也不例外，这里我们使用netstat命令查看开启的端口。我们在命令行窗口中输入“netstat -an”显示出显示所有的连接和侦听端口。Proto是指连接使用的协议名称，Local Address是本地计算机的IP地址和连接正在使用的端口号，Foreign Address是连接该端口的远程计算机的IP地址和端口号，State则是表明TCP连接的状态。Windows XP所带的netstat命令比以前的版本多了一个-O参数，使用这个参数就可以把端口与进程对应起来。输入“netstat /？”可以显示该命令的其它参数。
接着我们可以通过分析所打开的端口，将范围缩小到具体的进程上，然后使用进程分析软件，例如《WINDOWS优化大师》目录下的WinProcess.exe程序，来查找嵌入其中的木马程序。有些木马会通过端口劫持或者端口重用的方法来进行通信的，一般它们会选择139、80等常用端口，所以大家分析时要多加注意。也可以利用网络嗅探软件（如：Commview）来了解打开的端口到底在传输些什么数据.