特洛伊木马攻击者既可以随心所欲地查看已被入侵的机器，也可以用广播方式发布命令，指示所有在他控制之下的特洛伊木马一起行动，或者向更广泛的范围传播，或者做其他危险的事情。那么，特洛伊木马病毒有哪些启动方式呢？

1、在Win.ini中自启动

在Win.ini的[windows]字段中有启动命令"load="和"run="，在一般情况下"="后面是空白的，这里是开机自启动的地方，如果有后跟程序，比方说是这个样子：

[windows]

run=c:\windows\file.exe

load=c:\windows\file.exe

要小心了，这个file.exe很可能是木马哦。

2、在System.ini中启动

System.ini位于Windows的安装目录下，其[boot]字段的shell=Explorer.exe是木马喜欢的隐藏加载之所，木马通常的做法是将该何变为这样：shell=Explorer.exefile.exe。注意这里的file.exe就是木马服务端程序！

另外，在System.中的[386Enh]字段，要注意检查在此段内的"driver=路径\程序名"这里也有可能被木马所利用。再有，在System.ini中的[mic]、[drivers]、[drivers32]这3个字段，这些段也是起到加载驱动程序的作用，但也是增添木马程序的好场所，你现在该知道也要注意这里了，平时应该是不会注意的。

3、利用注册表加载运行

注册表并不是容易找到而且容易损坏，建议大家用杀毒软件为妙。

4、在Autoexec.bat和Config.sys中加载运行

请大家注意，在C盘根目录（即打开C盘就可以看到的）下的这两个文件也可以启动木马，这2个文件是隐藏的，一般情况下看不到。但这种加载方式一般都需要控制端用户与服务端建立连接后，将己添加木马启动命令的同名文件上传到服务端覆盖这两个文件才行，而且采用这种方式不是很隐蔽。容易被发现，所以在Autoexec.bat和Confings中加载木马程序的并不多见，但也不能因此而掉以轻心。

5、在Winstart.bat中启动

Winstart.bat是一个特殊性丝毫不亚于Autoexec.bat的批处理文件，也是一个能自动被Windows加载运行的文件。它多数情况下为应用程序及Windows自动生成，由于Autoexec.bat的功能可以由Witart.bat代替完成，因此木马完全可以像在Autoexec.bat中那样被加载运行，危险由此而来。

6、启动组

木马们如果隐藏在启动组虽然不是十分隐蔽，但这里的确是自动加载运行的好场所，因此还是有木马喜欢在这里驻留的。启动组对应的文件夹为C:\Windows\startmenu\programs\startup，在注册表中的位置：HKEY_CURRENT_USER\Software\Microsoft\windows\CurrentVersion\Explorer\shell

FoldersStartup="c:\windows\startmenu\programs\startup"。但是大家放心大部分的杀毒软件对这一块极为敏感因为修改极为容易，所以不需要这么紧张。

7、*.INI

即应用程序的启动配置文件，控制端利用这些文件能启动程序的特点，将制作好的带有木马启动命令的同名文件上传到服务端覆盖这同名文件，这样就可以达到启动木马的目的了。只启动一次的方式：在winint.ini.中（用于安装较多）。

8、修改文件关联

修改文件关联是木马们常用手段（主要是国产木马，国外的木马大都没有这个功能），比方说正常情况下TXT文件的打开方式为Notepad.EXE文件，但一旦中了文件关联木马，则txt文件打开方式就会被修改为用木马程序打开，如著名的国产木马冰河就是这样干的."冰河"就是通过修改HKEY_CLASSES_ROOT\txtfile\shell\open\command下的键值，将“C:\WINDOWS\NOTEPAD.EXE本应用Notepad打开，如著名的国产HKEY一CLASSES一ROOT\txt闹e\shell\open\commandT的键值，将"C:\WINDOWS\NOTEPAD.EXE%l"改为"C:\WINDOWS\SYSTEM\SYSEXPLR.EXE%l"，这样，一旦你双击一个TXT文件，原本应用Notepad打开该文件，却变成启动木马程序了，好狠毒哦！请大家注意，不仅仅是TXT文件，其他诸如HTM、EXE、ZIP等都是木马的目标，要小心喽。

对付这类木马，可以Win+R组合键，输入cmd，在新打开的黑窗口里面输入assoc>D:\1.log在打开D:\1.log就可以查看当前文件关联了！

9、捆绑文件

实现这种触发条件首先要控制端和服务端已通过木马建立连接，然后控制端用户用工具软件将木马文件和某一应用程序捆绑在一起，然后上传到服务端覆盖源文件，这样即使木马被删除了，只要运行捆绑了木马的应用程序，木马义会安装上去。绑定到某一应用程序中，如绑定到系统文件，那么每一次Windows启动均会启动木马

10、反弹端口型木马的主动连接方式

反弹端口型木马我们已经在前面说过了，由于它与一般的木马相反，其服务端（被控制端）主动与客户端（控制端）建立连接，并且监听端口一般开在80，所以如果没有合适的工具、丰富的经验真的很难防范。这类木马的典型代表就是网络神偷"。由于这类木马仍然要在注册表中建立键值注册表的变化就不难查到它们。同时，最新的天网防火墙（如我们在第三点中所讲的那样），因此只要留意也可在网络神偷服务端进行主动连接时发现它。