|
||||||||||
|
|
|||||||||
|
|
|||||||||||||||
| | 网站首页 | 局域网教程 | 软件说明书 | 局域网论坛 | | ||
 |
||
|
||
|
|||||
| 查看系统中是否有简单木马（W2K） | |||||
作者：互联网 文章来源：www.98pc.com 点击数： 更新时间：2006-4-11  |
|||||
如何检测一个系统中是否有木马程序呢？现仅以一些简单的木马惯用伎俩做说明： 1、启动任务管理器，看其中是否有陌生进程，记录下来，暂时别动它 2、启动注册表编辑器，查看以下几个地方： HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run ... HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run ... 看看启动表项里是否有可疑的程序 HKEY_CLASSES_ROOT\exefile\shell\open\command 看看是否有 exe 文件关联型木马程序，正确的键值应该是："%1" %* HKEY_CLASSES_ROOT\inffile\shell\open\command 看看是否有 inf 文件关联型木马程序，正确的键值应该是：%SystemRoot%\system32\NOTEPAD.EXE %1 HKEY_CLASSES_ROOT\inifile\shell\open\command 看看是否有 ini 文件关联型木马程序，正确的键值应该是：%SystemRoot%\system32\NOTEPAD.EXE %1 HKEY_CLASSES_ROOT\txtfile\shell\open\command 看看是否有 txt 文件关联型木马程序，正确的键值应该是：%SystemRoot%\system32\NOTEPAD.EXE %1 记录下来，暂时不要更改 3、启动一个 cmd 窗口，netstat -an 看看是否有异常端口，建议去www.sometips.com 下载一个 Active Ports 用来看端口与进程的关系，找出使用异常端口的进程 4、用资源管理器查看winnt\ 及 winnt\system32 的文件（记得显示全部文件，包括受保护文件），按时间排序，找出建立时间或修改时间异常的程序，记录下来 5、开始->程序->启动中是否有奇怪的启动文件 综合以上5步的结果，应该能排出来一个可疑程序的清单，下面就是照单杀马了 :D 6、清除木马的顺序是： 先停止进程 -> 清理注册表相关表项 -> 删除硬盘上木马文件 注：对于有些木马，使用了线程注入或三线程保护方式，需要使用相关工具进行清除（或者自己写写试试，就当是练习 coding） 另外，曾经见过一只马，采用了 autorun 文件关联，在每个分区的根下都有一个 autorun 文件，只要访问这个分区，就会加载木马文件 一个小技巧：exe 文件被关联后，当出现 exe 文件无法打开时，可将regedit.exe 复制为 regedit.com，并运行 regedit.com,将 exe 文件关联改回来即可，前提是系统中没有相关进程在监视这个表项。 以上只是简单说了一下怎么用简单的方法自己判断系统中是否有马，更重要的是预防，最基本的预防方式就是给MS点颜面，勤打补丁，另外就是尽量不要运行可疑程序，还有就是最好有一个强大的防病毒软件，推荐 Norton Antivirus （出处：viphot） |
|||||
| 文章录入：wuwq 责任编辑：wuwq | |||||
| 【发表评论】【加入收藏】【告诉好友】【打印此文】【关闭窗口】 | |||||
| 最新热点 | 最新推荐 | 相关文章 | ||
| 网络捕包分析系统及其协议分 OICQ服务器系统通讯协议 盗帅下载系统2.0正式版存在多 堵住操作系统的缺口 让黑客无 木马的常用手法 手工添加系统 为系统文件量身定做的“文件 系统被入侵后的恢复 系统漏洞分析:DoS拒绝服务攻 如何防治破坏Windows系统的网 Win 2000防毒从安装系统时开 |
| 网友评论：（只显示最新10条。评论内容只代表网友观点，与本站立场无关！） |
| | 设为首页 | 加入收藏 | 联系站长 | 友情链接 | 版权申明 | 网站公告 | | |||||
|
