當你發(fā)現(xiàn)自己的愛機中了木馬時一定很氣憤，很想知道是誰把馬放在你的愛機里，
看看你是為誰在養(yǎng)“馬”
。這里先簡單解釋一下原理，怎么去找出馬的主人吧！現(xiàn)在很多木馬都有發(fā)IP信件的功能，“冰河”就是其中的佼佼者，也是國內用得最多的木馬。它能把你上地的動態(tài)IP，電腦里的隱藏密碼和個人信息等在受害密碼和個人信息等在受害者不知道的情況下記錄下來并發(fā)到指定的E－mail信箱。我們就利用它發(fā)的IP信是明文信息的特點（現(xiàn)在好像還沒有哪個木馬發(fā)的IP信有進行過加密的），用sniffer類軟件把它記錄下來。這樣我們就能知道對你用過木馬那人的E－mail了。所以我們不要立即把愛機里的木馬清除掉（不入虎穴焉得虎子），因為我們還要靠它找出它的主人呢！
首先去下載必要的工具，http://www.xfocus.org/htm1/data/tools/winsniff.zip(在DOS下運行）或HTTP://www.guanqian.com/starkun/tools/other/mpsnif01013.zip（在windos下運行)。兩個不同環(huán)境下運行的工具各有所長。
一、DOS下winsniff的用法
在c盤創(chuàng)建一個winsniff目錄，把包解壓，解壓后它里面有七個文件。
打開一個MS-DOS窗口(“點擊開始--程序--MS-DOS方式”)進入winsniff目錄(在MSDOS方式下輸入cdwinsniff,跟著按車鍵)。接著輸入winsniff/1，按回車，檢查撥號適配器的編號(這里檢查結果為0)。
輸入winsniff/a 0 /a mail.txt,按回車，這時顯示，其中的“0”是表示你的撥號適配器即modem的編號，當你還裝有其它網絡設備(如：局域網網卡)時它就不一定是0了，那時就要因應不同的需要而改變，“mail.txt”是表示記錄文件的名字，可以任意取名字。
接著就是撥號上網或與網絡連接(局域網的用戶)，等著winsniff幫你截獲信息吧。
當你看到顯示，出現(xiàn)“[mail]”時請按“ctrl+c”鍵結束程序，這時你就可以用筆記本打開“mail.txt”文件看看里面的信息了，是不是很驚訝呢，你的密碼什么的都給記錄下來了!記錄文件中的“TO：”后面顯示的E-mail地址就是木馬主人的E-mail地址了，跟闃想怎么利用這E-mail地址對付那可惡的人就你自已喜歡了，呵呵。但不要玩過火了!這軟件的優(yōu)點是比較穩(wěn)定不容易出錯；缺點就是操作煩瑣，適合具備一點DOS操作經驗的人用，但我個人比較喜歡用它，因為穩(wěn)定!
二、Windows下masnif的使用
在c盤創(chuàng)建一個mpsnif目錄，把它解壓，解壓后有四個文件，
電腦資料
《看看你是為誰在養(yǎng)“馬”》(http://m.clearvueentertainment.com)。通過雙擊MPSnif文件運行軟件，它的工作界面如圖4所示。首先要對它進行一下設置，點擊一下設置，點擊一下“setup”按鈕就會出現(xiàn)所示對話框，“Dicectory（目錄）”后原來填的是“c:”，把它改為“C：mpsnif”，而“DNS”可以忽略，點擊“OK”按鈕后它會再出現(xiàn)一個對話框，忽略它點擊“確定”即可。然后把軟件關掉再重新啟動，這時剛才的設置就生效了。
選擇要監(jiān)視的設備，一般是選“撥號適配器”（如果你還裝了其它網絡設備，并且要對它進行監(jiān)視才選你要監(jiān)視的設備）。還要選擇要監(jiān)視的協(xié)議，單擊“TCP ports”選中“Smtp(25)”，使它的前面有個鉤。
這時可以點擊“Start”按鈕使軟件開始工作，按著要做的就是撥號上網或與網絡連接(局域網的用戶)，等著MPsnif幫你截獲信息。我們也可以去干別的事，這時MPSnif會顯示很多數(shù)據(jù)記錄。
等下到網后再到“C：mpsnif”目錄中查找并打開文件名為XXX_XXX_XXX_XXX$XXX-XXX_XXX_XXX_XXX$25_XXXXXXX的文件(其中$XXXX為你在發(fā)信出去時在本機打開的承受機端口，而它前面的XXX_XXX_XXX_XXX是你該次上網的IP地址；$25為郵件服務器打開的S M T P 端口，它前面的XXXXXX為該郵件的大小)，在文件里“TO：”后面的E-mail地址就是木馬主人的E-mail地址了。這軟件的優(yōu)點是操作較為簡單方便，容易使用，功能比上面那個強(還有很多別的監(jiān)視功能，有興趣的可以自己研究。)；缺點是不夠穩(wěn)定，常提示你程序出錯(可能是它還是測試版的原因吧，或是我的系統(tǒng)出了問題)，但不會影響到它的攔截數(shù)據(jù)的功能，它適合那些對電腦了解不深的人應用。
三、使用注意事項
1.運行這兩個軟件時都必須要在撥號上網或與網絡連接前就運行，因為這樣才能肯定攔截到木馬所發(fā)出的IP信；
2.在運行這兩個軟件時不要作任何收發(fā)郵件的工作，因為這樣會影響到攔截數(shù)據(jù)的準確性，給你造成“誤報”的可能性；
3.這兩個軟件者不是百分之百的不會出問題，有時可能會攔截不到，請多試一兩次提高準確率；
4.我們知道木馬主人的E-mail后，記得把愛機里的木馬給清除了，這樣才能徹底的杜絕其他人對你愛機進行的木馬侵擾；
5.在給木馬主人的懲罰時請適可而止，不要過火了，到時候造成別的人嚴重損失時理虧就會變成你了；
6.這兩個軟件都會牽涉到一些別的安全問題，請不要用來做違法的事