木马能得手，制作木马靠的制作木马是你亲手把它请进电脑。去年秋天我帮朋友清理一台笔记本，制作木马机器卡得连浏览器都打不开。制作木马查了一圈启动项，制作木马发现一个叫“SynTPEnh.exe”的制作木马进程挂在用户目录下，图标仿得跟Synaptics触摸板驱动一模一样。制作木马朋友说前阵子下过一个“触摸板增强工具”，制作木马装完没任何反应，制作木马以为没生效就搁那儿了。制作木马那个exe就是制作木马木马，已经在后台跑了三周，制作木马把浏览器cookie和几个文档目录打包传了出去。制作木马

制作木马这件事，制作木马拆开看就三块：客户端、制作木马服务端、免杀处理。客户端是攻击者手里的控制台，服务端是塞进目标机器的那个文件。网上流传的“远控生成器”大多基于Gh0st或PoisonIvy改的，界面花哨，核心逻辑十几年没大变——服务端上线后反连客户端指定端口，然后等指令。有人用C++手写，有人拿Python打包成exe，本质都是建立一个隐蔽的通信通道。

真正花时间的是让服务端不被杀软认出来。裸编译的远控样本，VT上随便一扫就是四五十个引擎报毒。常见做法是加壳，UPX已经没用了，现在流行VMProtect或者自己写混淆。更省事的路线是“白加黑”：找一个带数字签名的正常exe，比如某些国产办公软件的主程序，把恶意dll放在它同目录下，利用dll劫持加载。杀软看到签名白文件，往往放行。我见过一个样本，白文件是某银行的安全控件，dll被替换后照样上线，卡巴斯基当时没拦。

通信层也在进化。早期木马直连IP，流量特征明显，防火墙一抓一个准。后来用域名，再后来用云函数、Telegram Bot API、甚至GitHub的issue区当C2。有个开源项目叫Sliver，它的HTTP监听器可以把心跳包伪装成正常的REST请求，URL路径长得跟API文档一样。流量侧看，跟访问一个普通网站没区别。域名前置技术更绝，SNI里填的是微软或亚马逊的域名，实际连的是攻击者的服务器，中间设备很难分辨。

不过木马制作的门槛在降低，防守方的难度却在升高。我观察到一个现象：很多中小企业的终端防护还停留在“装了杀软就行”的阶段，补丁不打，端口乱开，员工用管理员权限日常上网。这种环境下，一个加了壳的Gh0st变种就能横扫整个内网。去年某地一家设计公司中招，攻击者用木马控制了财务机器，潜伏两个月，模仿老板的邮件语气让会计转账，骗走八十多万。事后查日志，木马最初是通过一个伪装成“字体安装包”的exe进来的，员工双击时UAC弹窗被顺手点了“是”。

说回技术本身。写一个能用的木马不需要多高深的知识，C语言 socket编程加一点Windows API就够了。难的是隐蔽和持久。注册表Run键、计划任务、服务、WMI事件订阅，这些启动项杀软都盯着。有人把木马做成屏幕保护程序，.scr文件放在system32目录，等用户 idle 时触发。还有人利用COM劫持，修改CLSID指向自己的dll，系统加载某个组件时顺带拉起木马。这些手法在MITRE ATT&CK框架里都有编号，T1546、T1547，一条条列得清楚。

我写这些不是教人做木马。恰恰相反，知道它怎么工作，才能判断自己机器有没有中招。任务管理器里多出来的陌生进程、开机后莫名其妙的网络连接、杀软被静默关闭——这些信号比任何安全软件弹窗都直接。木马的本质是欺骗，你多看一眼，它就少一分机会。