网络安全技术与实训-第5章-第1节-计算机病毒与木马的区别
第5章 计算机病毒与木马
日常说话时我们常把“病毒”“木马”“恶意软件”混着用，但在技术上它们是不同的东西。分不清这两者，就看不懂它们的行为差异，也就谈不上有针对性地防护。 这一节用一组类比把界限划清楚。
一、一句话概括
- 病毒 = 传染病患者——见人就传染，发病后搞破坏。传染性是它的根本特征。
- 木马 = 潜伏的间谍——安静地藏在你家里偷情报、开后门，你几乎察觉不到它的存在。
二、五个维度逐项对比
| 对比项 | 病毒（Virus / Worm） | 木马（Trojan） |
|---|---|---|
| 一句话比喻 | 传染病患者——见人就传染，发病搞破坏 | 潜伏间谍——安静偷情报、开后门 |
| 主要目的 | 破坏数据、瘫痪系统 | 远程控制、窃取账号密码 |
| 传播方式 | 自我复制、主动传播（传染性是根本特征） | 伪装诱骗用户主动安装，自身不主动传播 |
| 用户感知 | 往往明显：系统变慢、频繁崩溃、文件异常 | 往往无感：悄悄干活，看不出异常 |
| 典型危害 | 数据被删除、系统不可用、大面积传播 | 隐私外泄、账号被盗、机器被远程控制成“肉鸡” |
三、为什么这个区分对防护很重要
- 病毒靠“传染”，所以防它的重点是阻断传播路径：不打开发热门的电子邮件附件、不给陌生程序管理员权限、及时打补丁（蠕虫最爱的就是利用漏洞自动扩散）。
- 木马靠“骗你安装”，所以防它的重点是管住自己的手：破解软件、游戏外挂、来路不明的聊天工具安装包——这些是木马最集中的藏身处。技术手段再强，也拦不住用户亲手点下“下一步、下一步、完成”。
四、边界正在模糊
需要说明的是，现实中两者的界限越来越模糊。比如一段恶意代码既有自我复制能力，又能被远程控制，还附带勒索加密功能——这种情况我们通常统称为恶意代码 / 恶意软件（Malware），再按其具体能力分类描述。分类的意义不在于贴标签，而在于看到它的行为特征时，知道该往哪个方向防。
一句话记忆：会传染的是病毒，潜伏偷情报的是木马。病毒防“传播”，木马防“安装”。
五、配套实训
本章对应两个实训，正好各对应一类恶意代码：
- 实训 5 · 安卓木马测试与沙箱分析——观察木马样本的行为：它在后台做了什么、偷偷连接了哪里。用沙箱分析而不是在真实设备上运行，是安全行业的标准做法。
- 实训 6 · 一句话木马测试（蚁剑）——在隔离的靶场网站中，体验 Web 层木马落地后的形态。做完这个实训，你会更理解“网站目录里突然多出来的一个 php 文件”意味着什么。
⚠️ 所有样本分析与木马测试仅在隔离实验环境或专用沙箱中进行，绝不允许在接入校园网或公网的设备上运行任何恶意样本。