下面的文章主要介紹的是攻用WinRAR捆綁木馬技巧和防范的正確操作，現(xiàn)在隨著人們安全意識的不斷提高，木馬生存也變的很難了，當然木馬種植者肯定不甘心木馬就這樣被人所發(fā)覺，于是他們想出許多辦法來偽裝隱藏自己的行為，利用WinRAR捆綁木馬就是其中的手段之一。

隨著人們安全意識的提高，木馬的生存越來越成為問題，木馬種植者當然不甘心木馬就這樣被人所發(fā)覺，于是他們想出許多辦法來偽裝隱藏自己的行為，利用WinRAR捆綁木馬就是其中的手段之一。那么我們怎么才能識別出其中藏有木馬呢?本文講述的正是這個問題。

攻擊者可以把木馬和其他可執(zhí)行文件，比方說Flash動畫放在同一個文件夾下，然后將這兩個文件添加到檔案文件中，并將文件制作為exe格式的自釋放文件，這樣，當你雙擊這個自釋放文件時，就會在啟動Flash動畫等文件的同時悄悄地運行木馬文件!這樣就達到了木馬種植者的目的，即運行木馬服務(wù)端程序。

而這一招效果又非常好，令對方很難察覺到，因為并沒有明顯的征兆存在，所以目前使用這種方法來運行木馬非常普遍。為戳穿這種偽裝，了解其制作過程，做到知己知彼，下面我們來看一個實例。

下面我們以一個實例來了解這種WinRAR捆綁木馬的方法。目標是將一個Flash動畫(1.swf)和木馬服務(wù)端文件(1.exe)捆綁在一起，做成自釋放文件，如果你運行該文件，在顯示Flash動畫的同時就會中木馬!具體方法是：

把這兩個文件放在同一個目錄下，按住Ctrl鍵的同時用鼠標選中1.swf和1.exe，然后點擊鼠標右鍵，在彈出菜單中選擇“添加到檔案文件”，會出現(xiàn)一個標題為“檔案文件名字和參數(shù)”的對話框，在該對話框的“檔案文件名”欄中輸入任意一個文件名，比方說暴笑三國.exe(只要容易吸引別人點擊就可以)。注意，文件擴展名一定得是.exe(也就是將“創(chuàng)建自釋放格式檔案文件”勾選上)，而默認情況下為.rar，要改過來才行，否則無法進行下一步的工作。

接下來點擊“高級”選項卡，然后單擊“SFX選項”按鈕，會出現(xiàn)“高級自釋放選項”對話框，在該對話框的“釋放路徑”欄中輸入C:Windows emp，其實“釋放路徑”可以隨便填，就算你設(shè)定的文件夾不存在也沒有關(guān)系，因為在自解壓時會自動創(chuàng)建該目錄。在“釋放后運行”中輸入1.exe，也就是填入攻擊者打算隱蔽運行的木馬文件的名字。

下一步，請點擊“模式”選項卡，在該選項卡中把“全部隱藏”和“覆蓋所有文件”選上，這樣不僅安全，而且隱蔽，不易為人所發(fā)現(xiàn)。如果你愿意的話，還可以改變這個自釋放文件的窗口標題和圖標，點擊“文字和圖標”，在該選項卡的“自釋文件窗口標題”和“顯示用于自釋文件窗口的文本”中輸入你想顯示的內(nèi)容即可，這樣更具備欺騙性，更容易使人上當。

最后，點擊“確定”按鈕返回到“檔案文件名字和參數(shù)”對話框。 下面請你點擊“注釋”選項卡，你會看到如圖所示的內(nèi)容，這是WinRAR捆綁木馬根據(jù)你前面的設(shè)定自動加入的內(nèi)容，其實就是自釋放腳本命令。

其中，C:Windows emp代表自解壓路徑，Setup=1.exe表示釋放后運行1.exe文件即木馬服務(wù)端文件。而Silent和Overwrite分別代表是否隱藏和覆蓋文件，賦值為1則代表“全部隱藏”和“覆蓋所有文件”。一般說來，給你下木馬的人為了隱蔽起見，會修改上面的自釋放腳本命令，比如他們會把腳本改為如下內(nèi)容：

Path=c:windows emp

Setup=1.exe

Setup=explorer.exe 1.swf

Silent=1

Overwrite=1

仔細看，其實就是加上了Setup=explorer.exe 1.swf這一行，點擊“確定”按鈕后就會生成一個名為暴笑三國.exe的自解壓文件，現(xiàn)在只要有人雙擊該文件，就會打開1.swf這個動畫文件，而當人們津津有味的欣賞漂亮的Flash動畫時，木馬程序1.exe已經(jīng)悄悄地運行了!更可怕的是，還可以在WinRAR捆綁木馬中就可以把自解壓文件的默認圖標換掉，如果換成你熟悉的軟件的圖標，對大家來說是不是更危險?