手工查殺木馬的通用方法
手工查殺木馬的通用方法
去年可以說是木馬活動非常頻繁的一年，一篇篇針對這些木馬的查殺文章也先後登場，但是這些文章都是對某一個木馬講的，大家如果碰到新的木馬就又沒有辦法了。另一方面，反病毒、反黑客軟體的反應速度遠沒有木馬出現的速度快，通常情況下都是木馬已經悄悄地出現許久，這些廠商才會有反應，如果在這段時間你中了木馬又該怎樣清除呢？如果自己懂得手工查殺木馬的方法就可以應付自如了。
瞻@、關於木馬
瞻麆芋A其實質只是一個網路客戶/服務程序。網路客戶/服務模式的原理是一台主機提供服務(伺服器)，另一台主機接受服務(客戶端機)。作為伺服器的主機一般會開啟一個預設的連接阜並進行監聽 (Listen), 如果有客戶端機向伺服器的這一連接阜提出連接請求(Connect Request), 伺服器上的相應程序就會自動執行，來回應客戶端機的請求，這個程序稱為守護工作。就我們前面所講的木馬來說，被控制端相當於一台伺服器，控制端則相當於一台客戶端機，被控制端為控制端提供服務。
瞻G、發現木馬
瞼悕韝麆足O基於遠端控制的程序，因此中木馬的機器會開有特定的連接阜。一般一台個人用的系統在開機後最多只有137、138、139三個連接阜。若上網衝浪會有其他連接阜，這是本機與網上主機通訊時開啟的，IE一般會開啟連續的連接阜:1025，1026，1027……，QQ會開啟4000、4001……等連接阜。
礎bDOS命令行下用netstat -na命令可以看到本機所有開啟的連接阜。如果發現除了以上所說的連接阜外，還有其他連接阜被佔用（特別是木馬常用連接阜被佔用），那可要好好查查了，你很有可能「中彩」了！比方說木馬「冰河」所佔用的連接阜是7626，黑洞2001所佔用的連接阜是2001，網路公牛用的是234444連接阜……如果發現這些連接阜被佔用了，基本上就可以判定: 你中木馬了！
瞻T、搜尋木馬
簫漸要使你的系統能顯示隱藏文件，因為一些木馬文件屬性是隱藏的。
礎h數木馬都會把自身複製到系統目錄下並加入啟動項（如果不複製到系統目錄下則很容易被發現，不加入啟動項在重啟後木馬就不執行了），啟動項一般都是加在註冊表中的，具體位置在：
黏KEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion 下所有以「run」開頭的鍵值;
黏KEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion 下所有以「run」開頭的鍵值;
黏KEY_USERS\.Default\Software\Microsoft\Windows\CurrentVersion下所有以「Run」開頭的鍵值。
礎p木馬冰河的啟動鍵值是:
攆HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
駿="C:\\WINDOWS\\SYSTEM\\KERNEL32.EXE"
翹s外女生1.51版的啟動鍵值是:
攆HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices]
"Diagnostic Configuration"="C:\\WINDOWS\\SYSTEM\\DIAGCFG.EXE"
舊臟滮黤K0.5的啟動鍵值是:
攆HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"Network Services"="C:\\WINDOWS\\SYSTEM\\tasksvc.exe"
瞻ㄨL，也有一些木馬不在這些地方載入，它們躲在下面這些地方:
瞽隻bWin.ini中啟動
礎bWin.ini的[windows]字段中有啟動命令「load=」和「run=」，在一般情況下「＝」後面是空白的，如果有後跟程序，比方說是這個樣子:
瀑un=c:\windows\file.exe
殯oad=c:\windows\file.exe
簫n小心了，這個file.exe很可能是木馬。
瞽惘bSystem.ini中啟動
壘ystem.ini位於Windows的安裝目錄下，其[boot]字段的shell=Explorer.exe 是木馬喜歡的隱蔽載入之所，木馬通常的做法是將該句變為這樣:shell=Explorer. exe window.exe，注意這裡的window.exe就是木馬程序。
瞼t外，在System.ini中的[386Enh]字段，要注意檢查在此段內的「driver= 路徑\程序名」，這裡也有可能被木馬所利用。再有，在System.ini中的[mic]、 [drivers]、[drivers32]這三個字段，這些段也是起到載入驅動程式的作用，但也是增添木馬程序的好場所。
瞽畢bAutoexec.bat和Config.sys中載入執行
礎這種載入方式一般都需要控制端用戶與服務端建立連接後，將已增加木馬啟動命令的同名文件上傳到服務端覆蓋這兩個文件才行，而且採用這種方式不是很隱蔽，所以這種方法並不多見，但也不能因此而掉以輕心哦。
瞽釵bWinstart.bat中啟動
戳instart.bat是一個特殊性絲毫不亞於Autoexec.bat的批次處理文件，也是一個能自動被Windows載入執行的文件。它多數情況下為應用程式及Windows自動產生，在執行了Win.com並載入了多數驅動程式之後開始執行（這一點可通過啟動時按F8鍵再選擇逐步跟蹤啟動過程的啟動方式可得知）。由於Autoexec.bat的功能可以由Winstart.bat替代完成，因此木馬完全可以像在Autoexec.bat中那樣被載入執行，危險由此而來。
瞽敢珧妦
瞻麆阪蘌疆b啟動組雖然不是十分隱蔽，但這裡的確是自動載入執行的好場所，因此還是有木馬喜歡在這裡駐留的。啟動組對應的資料夾為:C: \Windows\Start Menu\Programs\StartUp，在註冊表中的位置:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders Startup="C:\windows\start menu\programs\startup"。
瞽*.INI
禮Y應用程式的啟動配置文件，控制端利用這些文件能啟動程序的特點，將製作好的帶有木馬啟動命令的同名文件上傳到服務端覆蓋同名文件，這樣就可以達到啟動木馬的目的了。
瞽雁蚹鴾憟鬊鶬p
簫蚹鴾憟鬊鶬p是木馬常用手段（主要是國產木馬，老外的木馬大都沒有這個功能），比方說正常情況下txt文件的開啟方式為Notepad.EXE文件，但一旦中了文件關聯木馬，則txt文件開啟方式就會被修改為用木馬程序開啟，如著名的國產木馬冰河就是這樣干的。「冰河」就是通過修改
黏KEY_CLASSES_ROOT\txtfile\shell\open\command下的鍵值，將「C: \Windows\Notepad.exe %1」改為「C:\Windows\System\SYSEXPLR.EXE %1」，這樣一旦你雙擊一個txt文件，原本套用Notepad開啟該檔案的，現在卻變成啟動木馬程序了，好狠毒哦！請大家注意，不僅僅是txt文件，其他諸如HTM、EXE、ZIP、COM等都是木馬的目標。對付這類木馬，只能檢查HKEY_CLASSES_ROOT\檔案類型\shell\open\command 主鍵，檢視其鍵值是否正常。
瞽榆兢j文件
繒窶{這種觸發條件首先要控制端和服務端已通過木馬建立連接，然後控制端用戶用工具軟體將木馬文件和某一應用程式捆綁在一起，然後上傳到服務端覆蓋原文件，這樣即使木馬被刪除了，只要執行捆綁了木馬的應用程式，木馬又會被安裝上去了。綁定到某一應用程式中，如綁定到系統檔案，那麼每一次Windows啟動均會啟動木馬。
繚穔o現可疑文件時，你可以試試能不能刪除它，因為木馬多是以後台方式執行的，通過按Ctrl+Alt+Del是找不到的，而後台執行的應是系統工作。如果在前台工作裡找不到，而又刪不了（提示正在被使用）那就應該注意了。
瞼|、手工清除
礎p果你發現自己的硬碟總是莫名其妙地讀盤，軟驅燈經常自己亮起，網路連接及滑鼠螢幕出現異常現象，很可能就是因為有木馬潛伏在你的機器裡面，此時就應該想辦法清除這些傢伙了。
穡獄穧p何清除木馬而不誤刪其他有用文件呢？當你通過上述方法找到可疑程序時，你可以先看看該檔案的屬性。一般系統檔案的修改時間應是1999年或199x年而不應該是最近的時間（安裝最新的Win2000、 WinXP的系統除外），文件的新增時間應當不會離現在很近。當看到可疑的執行文件時間是最近甚至是當前，那八成就有問題了。
簫漸查工作，檢查工作可以借助第三方軟體，如Windows優化大師，利用其「檢視工作」功能把可疑工作殺掉後，然後再看看原來懷疑的連接阜還有沒有開放（有時需重啟），如果沒有了那說明你對了，再把該程序刪掉，這樣你就手工刪除了這匹木馬了。
礎p果該木馬改變了TXT、EXE或ZIP等文件的關聯，那你應把註冊表改過來，如果不會改，那就把註冊表改回到以前的就可以恢覆文件關聯，可通過在DOS下執行scanreg/restore命令來恢復註冊表，不過這條命令只能恢復前五天的註冊表（這是系統預設的）。此舉可輕鬆恢復被木馬改變的註冊表鍵值，簡單易用。
|