Gh0st是一种远程控制型木马程序，目前许多类似的恶意软件均基于其代码进行修改和演化。该程序采用客户端/服务器（C/S）架构，包含服务端与客户端两部分。客户端通常运行于被攻击的计算机上，负责接收并执行来自服务端的指令；服务端则部署在攻击者主机上，用于发送控制命令并接收目标机器回传的数据。此类木马常监听80端口以实现通信。为实现持久驻留，它通常依附于系统进程svchost.exe，可通过替换现有系统服务或创建新的系统服务来启动自身，确保在操作系统重启后仍能自动运行，从而维持长期隐蔽控制。
1、 安装程序
2、 安装程序后即可完成准备工作，接下来可查看Gh0st的操作界面。该系统具备多种常见功能，包括获取受控主机的硬盘信息，浏览目标计算机所有磁盘的目录与文件，实现远程文件管理，并支持键盘记录、摄像头控制、远程桌面监控、命令行操作以及服务管理等功能。
3、 用PEID检测壳
4、 接下来需查看Gh0st.exe软件信息，使用PEID工具打开后，可发现该文件未加壳。
5、 软件未加壳
6、 还需检查Server.exe的软件信息。从图中可见该软件未加壳，判断是否加壳主要看查壳工具显示的位置信息，无壳情况较为明显。
7、 静态代码检测
8、 检查后确认软件无壳（若带壳需先脱壳，此处不涉及），随后对Server.exe进行静态分析。使用OLLYDBG打开该文件，获取其入口点地址为00001EDB，文件偏移为000012D8。掌握这两个关键信息即可继续后续分析工作。
9、 实时解析
10、 动态分析是在静态分析基础上，利用IDA等工具进行程序调试的过程，了解其基本流程即可，具体操作可查阅相关资料深入学习。
11、 监视运行程序
12、 由于这是对木马程序的初步分析，最后需进行PCT View进程监控，以便准确掌握其运行行为并作出相应判断。
