快速上手指南 電腦木馬查殺大全
常在河邊走，哪有不濕腳？所以有時候上網時間長了，很有可能被攻擊者在電腦中種了木馬。如何來知道電腦有沒有被裝了木馬呢？
一、手動式方法：
1、檢查網路連接情況
由於不少木馬會主動偵聽連接阜，或者會連接特定的IP和連接阜，所以我們可以在沒有正常程序連接網路的情況下，通過檢查網路連情情況來發現木馬的存在。具體的步驟是點擊「開始」->「執行」->「cmd」，然後輸入netstat -an這個指令能看到所有和自己電腦建立連接的IP以及自己電腦偵聽的連接阜，它包含四個部分——proto(連接方式)、local address(本機連接位址)、foreign address(和本機建立連接的位址)、state(當前連接阜狀態)。通過這個指令的詳細資料，我們就可以完全監控電腦的網路連接情況。
2、檢視目前執行的服務
服務是很多木馬用來保持自己在系統中永遠能處於執行狀態的方法之一。我們可以通過點擊「開始」->「執行」->「cmd」，然後輸入「net start」來檢視系統中究竟有什麼服務在開啟，如果發現了不是自己開放的服務，我們可以進入「服務」系統管理工具中的「服務」，找到相應的服務，停止並禁用它。
3、檢查系統啟動項
由於註冊表對於普通用戶來說比較複雜，木馬常常喜歡隱藏在這裡。檢查註冊表啟動項的方法如下：點擊「開始」->「執行」->「regedit」，然後檢查HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion下所有以「run」開頭的鍵值；HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion下所有以「run」開頭的鍵值；HKEY-USERS\.Default\Software\Microsoft\Windows\CurrentVersion下所有以「run」開頭的鍵值。
Windows安裝目錄下的System.ini也是木馬喜歡隱蔽的地方。開啟這個文件看看，在該檔案的[boot]字段中，是不是有shell=Explorer.exe file.exe這樣的內容，如有這樣的內容，那這裡的file.exe就是木馬程序了！
4、檢查系統帳戶
惡意的攻擊者喜在電腦中留有一個賬戶的方法來控制你的電腦。他們採用的方法就是啟動一個系統中的預設賬戶，但這個賬戶卻很少用的，然後把這個賬戶的權限提升為管理員權限，這個帳戶將是系統中最大的安全隱患。惡意的攻擊者可以通過這個賬戶任意地控制你的電腦。針對這種情況，可以用以下方法對賬戶進行檢測。
點擊「開始」->「執行」->「cmd」，然後在指令行下輸入net user，檢視電腦上有些什麼用戶，然後再使用「net user 用戶名」檢視這個用戶是屬於什麼權限的，一般除了Administrator是administrators組的，其他都不應該屬於administrators組，如果你發現一個系統內裝的用戶是屬於administrators組的，那幾乎可以肯定你被入侵了。快使用「net user用戶名/del」來刪掉這個用戶吧！
如果檢查出有木馬的存在，可以按以後步驟進行殺木馬的工作。
1、執行工作管理器，殺掉木馬工作。
2、檢查註冊表中RUN、RUNSERVEICE等幾項，先制作備份，記下可以啟動項的位址， 再將可疑的移除。
3、移除上述可疑鍵在硬碟中的執行文件。
4、一般這種文件都在WINNT，SYSTEM，SYSTEM32這樣的資料夾下，他們一般不會單獨存在，很可能是有某個母文件複製過來的，檢查C、D、E等盤下有沒有可疑的.exe，.com或.bat文件，有則移除之。
5、檢查註冊表HKEY_LOCAL_MACHINE和HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Main中的幾項(如Local Page)，如果被修改了，改回來就可以。
6、檢查HKEY_CLASSES_ROOT\txtfile\shell\open\command和 HKEY_CLASSES_ROOTxtfileshellopencommand等等幾個常用檔案類型的預設開啟程序是否被更改。這個一定要改回來。很多病毒就是通過修改.txt文件的預設開啟程序讓病毒在用戶開啟文本文件時載入的。
二、利用工具：
查殺木馬的工具有LockDown、The Clean、木馬剋星、金山木馬專殺、木馬清除大師、木馬分析專家等，其中有些工具，如果想使用全部功能，需要付一定的費用，木馬分析專家是免費使用權使用。
|