灰鴿子2006VIP親密接觸-分析-清除
灰鴿子於3月3日推出了2006VIP版，其功能大大超越了05以前的版本，特別是在服務端載入項的隱藏上真正可以說做到了無色無味，下面我將從它的服務端組態的選項，分析它的載入象和怎麼判斷以及清除的方法來詳細說明。
服務端的組態（從中可以瞭解一些它的一些特性）。
它的組態除了繼承了05所有的功能以外，還增加了隱藏服務項的功能，這給判斷是否中灰鴿子上設立了障礙，請看下圖：
由於它不單隱藏了工作還隱藏了服務，傳統的使用HIJACKTHIS掃瞄判斷是否中灰鴿子的方法已經失效！
http://bbs.52happy.net/attachment/Mon_0603/110_8365_adb7590a0b710d8.gif[/IMG]
載入和判斷
06版和05以前的版本一樣，都是使用服務載入啟動，並插入IE工作，所不同的是新版隱藏了幾乎所有的載入項目，包括工作，文件，06版還增加了服務的隱藏，可以說作到了真正的隱身，使你豪無察覺，但再狡猾的狐狸也逃不出好獵手的手掌，下面我將說明怎麼才知道判斷中了灰鴿子它和以前的版本一樣，都是要插入IE工作執行，所以開放連接阜是沒辦法隱藏的，OK，那我們就用Tcpview看看，請看下圖：
關閉你所有的IE工作後，如果發現仍然有IE在某個連接阜監聽，這就說明即使你沒用中鴿子也是中了其它的後門。大家都知道灰鴿子是使用服務載入，06以前的版本其服務是沒有隱藏的，使用hijackthis一下就可以掃瞄出來，但06版服務是完全隱藏的，只有使用IceSword底層掃瞄工具才可以是它顯形，即使直接從管理-服務裡也無從搜尋，這個就是06版最大的亮點，請看下圖：
搜尋註冊表後才能找到其載入的服務，但由於其服務名稱可以自訂，給搜尋判斷帶來了很大的困難，下圖是我使用預設值名稱搜尋到的，其位置在HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\
清除
綜上所描，06版的清除要比舊版困難的多，其難點就在於服務項的判斷和移除，由於可以自訂服務項的名稱，傳統的掃瞄判斷方法都已經失效，這給清除它帶來了重重阻礙，建議做如下判斷和清除處理：
1。 使用Tcpview檢視是否有可疑的IE連接阜開啟，鴿子的預設值連接阜為8000，但也可以自訂，一點發現有可疑連接阜說明你已經中後門，
2 。使用IceSword檢視系統服務項，由於IceSword是一款系統底層安全掃瞄器，所以可疑的系統服務等載入都顯示無疑，如果發現有紅色顯示就說明你已經被某個載入到服務裡啟動的後門程序所控制，記下它的服務名稱。
3 。開啟註冊表找直接置在HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\再找到使用IceSword所搜尋到的服務項目，找到後展開它記下這項服務所載入的檔案名稱後整個移除其載入的註冊表值。
4 。移除註冊表載入的服務項值以後重新啟動進入安全模式，開啟隱藏的文件和系統保護的隱藏文件，搜尋剛才所在註冊表裡找到並記下的文件和它所解壓縮的DLL文件，例如 ***.exe ***.dll ***_hook.dll ***Key.DLL 全部移除。
至此，灰鴿子已經完全清除完畢。