一般木马也就是一个EXE，而正常情况下EXE是运行在 ring3 级别上的，但是 ring3 级别上的程序有一定权限限制，而且有些比较高级的木马后门之类的为了更好的隐藏就设计一个驱动，这个通常用来辅助木马隐藏比如常见的使用 Rootkit 技术的木马。 使用了 Rootkit 技术可以隐藏进程，文件，端口等等，使用这种技术隐藏的木马是比较难查杀到的，不过这个技术已经不是什么秘密所以还是比较好查杀。
ring3 是一种权限等级，Windows 系统运行在一种保护模式下，而一般的程序都是在 ring3 权限运行，ring3 下是无法操作硬件的，而
内核驱动运行在 ring0 等级下，可以直接操作硬件，所以一般你买这个摄像头都会有专门的驱动就是这个原因，在DOS模式下是没有这些等级的，DOS的模式称为实模式，所以比如一些分区的工具（DOS下的）就没有驱动，可以直接通过汇编操作硬盘。扩展一下，在WINDOWS下（特指WIN98,95）也可以运行DOS程序，是因为这种情况下的DOS（16位程序）是运行在一个叫虚拟86模式下的，这种分等级有个好处就是每个程序是在一个虚拟的空间中运行，程序自己以为自己是独占整个机器运行（实际也是这样的，能同时运行多个程序的原因是因为操作系统给每个程序不断分时间片）这样当程序出错崩溃的时候不会造成系统崩溃，这些做过驱动开发的人应该很熟悉，经常写驱动没注意，一个小的错误造成驱动崩溃就会造成蓝屏或者直接崩溃重启。