嗯 先謝謝各位大大的幫忙...jpg 的部份大致上了解

不過txt檔 這部份就麻煩了...囧
GOOGLE了一下，到對岸找了一堆文章，八九不離十都是冰河這隻產生器
(沒有說是怎麼做的文章)

不過裡面的這小段介紹文,倒是引起我不小的興趣...

不過...當我逛完文章後 上來發感謝文時...

我發現...我的notepad.exe在對外連線 而且State是LISTENING

個人是在猜啦...懶惰還沒有問google大神
TEXT純文字檔的話
應該是將一些無法正常顯示的控制字元
塞進去
所以當文字檔被打開時，就會執行某些功能....
---------------以上純屬自己幻想 尚未查證--------------

當然如果是指word 那種 可以塞入macro指令的檔案
或是 vb script的
能夠放入木馬的可能性當然就很大..

--------------- 拜過 google大神後-------------------
[別以為是純文字文檔就沒有病毒]
看到的新聞是這個 2000年的
不過裡面說的也不是真正的TEXT純文本
這是夾帶在MAIL裡面，偽裝成TEXT騙不知道的人
所以我認為這個是誇大的說法，或是說定義不清楚

應該要說雖然HTML也是非執行檔，都是文字內容(meta data)
但是因為它會讓瀏覽器執行某些特定的功能
因此應該可以視作為非純文本檔案
不然 你用 純粹看文字內容的notepad(記事本)去開，我想不會發生問題
或是更保險的，在 cmd 視窗裡面，直接用 [type] 指令直接瀏覽內容
我相信也會是相同的結果....沒事情發生

---------------------- 以下個人想法 --------------------------
另外，因為大多數的人並不會設定[顯示已知副檔名]
所以多半是由每個檔案前面的小icon來判斷是哪種檔案
所以只要有個執行檔，在編譯時就設定好其icon就用純文字的圖檔
這樣，在大多數的人沒有看仔細的情況下就點他打開，就會中毒了....

不過這種作法的風險蠻高的，很容易就被發現

copy指令可以合併檔案

如果說把木馬跟txt合併起來

"理論上" 就可以同時執行而且不知不覺
（前提是防毒軟體要抓不到木馬）

以下是找到的資訊:
修改文件關聯是木馬們常用手段(主要是國產木馬，老外的木馬大都沒有這個功能)，比方說正常情況下TXT文件的打開方式為Notepad.exe文件，但一旦中了文件關聯木馬，則TXT文件打開方式就會被修改為用木馬程式打開，如著名的國產木馬冰河。“冰河”就是通過修改HKEY_CLASSES_ROOT xtfileshellopen mmand下的鍵值，將“C:WINDOWSNOTEPAD.EXE %1”改為“C:WINDOWSSYSTEMSYSEXPLR.EXE %1”，這樣當你雙擊一個TXT文件，原本應用Notepad打開該文件的，現在卻變成啟動木馬程式了，好狠毒哦！請大家註意，不僅僅是TXT文件，其他諸如HTM、EXE、ZIP、COM等都是木馬的目標，要小心嘍。對付這類木馬，只能經常檢查HKEY_CLASSES_ROOT文件類型shellopen mmand主鍵，查看其鍵值是否正常。


題外話:
請愛用防火牆，不需要的程式就嚴禁連網
雖然最近 comodo換新版
有夠複雜的，還要花時間多多玩玩..

只有這篇是正解. 純txt文件本身沒辦法讓病毒發作 (但是當然可以夾帶程式碼). 發作的原理就像引言裡寫的, 當電腦感染該病毒之後, 原本預設的.txt編輯器notepad就會被假的notepad病毒取代, 讓你讀取文件的時候, 畫面上看不到文件後面夾帶的程式碼, 但是該程式碼是可以被假的notepad執行的.

Jpeg病毒的部分原理類似. Jpeg圖檔當然也可以夾帶一些非圖片的資訊, 這個叫做 information hiding, 資訊隱碼. 正當用途的資訊隱碼, 是將特殊編碼的資訊夾帶在圖片中(不一定是檔案最後), 圖片瀏覽程式可以正常顯示圖片, 必須另外用特殊的程式才能擷取出裡面的隱含資訊. 常見的應用如 "愛的機器".

而Jpeg病毒則多半是利用作業系統(如windows)或看圖軟體(如IE或Outlook)的漏洞, 通常是緩衝區溢位漏洞. 所謂緩衝區漏洞, 簡單的說, 就是看圖程式本身有bug, 當載入不正常的jpeg檔時, 因為載入的緩衝區爆滿, 導致程式裡的指標指向一個特殊位置, 有心人士就可以把可執行的機械碼擺在那個特殊位置, 這樣看圖程式就變成一個程式的執行平台.

舉個具體的例子, PSP的破解方式中, 有一種就是用內建的圖片瀏覽程式, 讀取特殊的tiff檔, 該tiff檔裡夾帶了可執行的程式碼, 當瀏覽程式瀏覽到這個圖檔時, 就會順貸執行那個程式碼.

關於微軟作業系統的Jpeg漏洞 (MS04-028), 相關的資訊可以參考以下網頁:
http://www.cert.org.tw/document/adv...=TW-CA-2004-156
http://security.seed.net.tw/advisor...ml?title=050801

這是2004年發布的, 很多人不知道是正常, 但不代表他們正確