木马通常工作在客户/服务器模式，有两个可执行程序：一个是“客户机"，即控制端；另一个是“服务器”，即被控制端。“服务器”计算机运行木马后，会打开一个或几个端口，黑客通过这些端口进入其计算机系统，从而盗取用户的个人隐私。“服务器”计算机一但运行木马程序并被“客户机”连接，“客户机”将享有“服务器”的大部分操作权限，例如给计算机增加口令、浏览、移动、复制和删除文件，修改注册表，更改计算机配置等。