|
 | 作者: lj0815 [lj0815]
 论坛用户 |
登录 |
| 偶的机子中了木马，用金山毒霸可以查出来。但却删除不了。显示染毒文件在C：、WINDOWS、SYSTEM、scanregw。EXE 是一个病毒名称叫Trojan.pswh 有手动删除该木马的方法没有？ PS：金山毒霸删除该木马后。重起机器一查还在。。郁闷呀。怎么就碰上打不死的小强了呢？ |
| 地主 发表时间: 04/21 03:05 |
 | 回复: bking [bking]  版主 |
登录 |
|
����1.修改批处理 ����很古老的方法，但仍有人使用。一般通过修改下列三个文件来作案： ����Autoexec.bat(自动批处理，在引导系统时执行) ����Winstart.bat(在启动GUI图形界面环境时执行) ����Dosstart.bat(在进入MS-DOS方式时执行) ����例如：编辑C:\windows\Dosstart.bat，加入：start Notepad，当你进入“MS-DOS方式”时，就可以看到记事本被启动了。 ���� ����2.修改系统配置 ����常使用的方法，通过修改系统配置文件System.ini、Win.ini来达到自动运行的目的，涉及范围有： ����在Win.ini文件中： ����[windows] ����load=程序名 ����run=程序名 ����在System.ini文件中： ����[boot] ����shell=Explorer.exe ����其中修改System.ini中Shell值的情况要多一些，病毒木马通过修改这里使自己成为Shell，然后加载Explorer.exe，从而达到控制用户电脑的目的。 ���� ����3.借助自动运行功能 ����这是黑客最新研发成果，之前该方法不过被发烧的朋友用来修改硬盘的图标而已，如今它被赋予了新的意义，黑客甚至声称这是Windows的新BUG。 ����Windows的自动运行功能确实很烂，早年许多朋友因为自动运行的光盘中带有CIH病毒而中招，现在不少软件可以方便地禁止光盘的自动运行，但硬盘呢？其实硬盘也支持自动运行，你可尝试在D盘根目录下新建一个Autorun.inf，用记事本打开它，输入如下内容： ����[autorun] ����open=Notepad.exe ���� ����保存后进入“我的电脑”，按F5键刷新一下，然后双击D盘盘符，怎么样？记事本打开了，而D盘却没有打开。 ����当然，以上只是一个简单的实例，黑客做得要精密很多，他们会把程序改名为“ .exe”(不是空格，而是中文的全角空格，这样在Autorun.inf中只会看到“open= ”而被忽略，此种行径在修改系统配置时也常使用，如“run= ”（如图1)；为了更好地隐藏自己，其程序运行后，还会替你打开硬盘，让你难以查觉。(示例请看http://hbydxxx.8u8.com/findstar.htm) ����由此可以推想，如果你打开了D盘的共享，黑客就可以将木马和一个Autorun.inf存入该分区，当Windows自动刷新时，你也就“中奖”了，因此，大家千万不要共享任何根目录，当然更不能共享系统分区（一般为C:）。 ���� ����4.通过注册表中的Run来启动 ����很老套的方法，但80%的黑客仍在使用，通过在Run、RunOnce、RunOnceEx、RunServices、RunServicesOnce中添加键值，可以比较容易地实现程序的加载，黑客尤其方便在带”Once”的主键中作手脚，因此带“Once”的主键中的键值，在程序运行后将被删除，因此当用户使用注册表修改程序查看时，不会发现异样。另外，还有这样的程序：在启动时删除Run中的键值，而在退出时（或关闭系统时）又添加键值，达到隐蔽自己的目的。(这种方法的缺点是：害怕恶意关机或停电，呵呵！) ���� ����5.通过文件关联启动 ����很受黑客喜爱的方式，通过EXE文件的关联(主键为：exefile)，让系统在执行任何程序之前都运行木马，真的好毒！通常修改的还有txtfile(文本文件的关联，谁不用用记事本呢？)、regfile(注册表文件关联，一般用来防止用户恢复注册表，例如让用户双击.reg文件就关闭计算机)、unkown(未知文件关联)。为了防止用户恢复注册表，用此法的黑客通常还连带谋杀scanreg.exe、sfc.exe、Extrac32.exe、regedit.exe等程序，阻碍用户修复。 ���� ����6.通过API HOOK启动 ����这种方法较为高级，通过替换系统的DLL文件，让系统启动指定的程序。例如：拨号上网的用户必须使用Rasapi32.dll中的API函数来进行连接，那么黑客就会替换这个DLL，当用户的应用程序调用这个API函数，黑客的程序就会先启动，然后调用真正的函数完成这个功能（特别提示：木马可不一定是EXE，还可以是DLL、VXD），这样既方便又隐蔽（不上网时根本不运行）。中此绝毒的虫子，只有两种选择：Ghost或重装系统，幸好此毒廖廖无几，实属万虫之幸！ ���� ����API的英文全称为：Application Programming Interface，也就是应用程序编程接口。在Windows程序设计领域发展初期，Windows程序员所能使用的编程工具唯有API函数，这些函数是Windows提供给应用程序与操作系统的接口，他们犹如“积木块”一样，可以搭建出各种界面丰富，功能灵活的应用程序。所以可以认为API函数是构筑整个Windows框架的基石，在它的下面是Windows的操作系统核心，而它的上面则是所有华丽的Windows应用程序。 ���� ����7.通过VXD启动 ����此法也是高手专用版，通过把木马写成VXD形式加载，直接控制系统底层，极为罕见。它们一般在注册表[HKEY_ LOCAL_MACHINE\System\CurrentControlSet\Services\VxD]主键中启动，很难发觉，解决方法最好也是用Ghost恢复或重新干净安装。 ���� ����8.通过浏览网页启动 ����通过此种途径有两种方法： ����利用MIME漏洞：这是2001年黑客中最流行的手法，因为它简单有效，加上宽带网的流行，令用户防不胜防，想一想，仅仅是鼠标变一下“沙漏”，木马就安装妥当，Internet真是太“方便”了！不过今年有所减少，一方面许多人都改用IE6.0；另一方面，大部分个人主页空间都不允许上传.eml文件了。 ���� ����MIME被称为多用途Internet邮件扩展（Multipurpose Internet Mail Extensions），是一种技术规范，原用于电子邮件，现在也可以用于浏览器。MIME对邮件系统的扩展是巨大的，在它出现前，邮件内容如果包含声音和动画，就必须把它变为ASCII码或把二进制的信息变成可以传送的编码标准，而接收方必须经过解码才可以获得声音和图画信息。MIME提供了一种可以在邮件中附加多种不同编码文件的方法，这与原来的邮件是大大不同的。而现在MIME已经成为了HTTP协议标准的一个部分。 ���� ����9.利用Java applet ����划时代的Java更高效、更方便――不过是悄悄地修改你的注册表，让你千百次地访问黄(黑)色网站，让你关不了机，让你……，还可以让你中木马。这种方法其实很简单，先利用HTML把木马下载到你的缓存中，然后修改注册表，指向其程序。 ���� ����10.利用系统自动运行的程序 ����这一条主要利用用户的麻痹大意和系统的运行机制进行，命中率很高。在系统运行过程中，有许多程序是自动运行的，比如：磁盘空间满时，系统自动运行“磁盘清理”程序(cleanmgr.exe)；启动资源管理器失败时，双击桌面将自动运行“任务管理器”程序(Taskman.exe)；格式化磁盘完成后，系统将提示使用“磁盘扫描”程序(scandskw.exe)；点击帮助或按F1时，系统将运行Winhelp.exe或Hh.exe打开帮助文件；启动时，系统将自动启动“系统栏”程序(SysTray.exe)、“输入法”程序(internat.exe)、“注册表检查” 程序(scanregw.exe)、“计划任务”程序(Mstask.exe)、“电源管理”程序等。 ���� ����这为恶意程序提供了机会，通过覆盖这些文件，不必修改任何设置系统就会自动执行它们！而用户在检查注册表和系统配置时不会引起任何怀疑，例如“注册表检查” 程序的作用是启动时检查和备份注册表，正常情况不会有任何提示，那么它被覆盖后真可谓是“神不知、鬼不觉”。当然，这也许会被“系统文件检查器”检查（但勤快的人不多）出来。 ���� ����黑客还有一高招“偷天换日”！不覆盖程序也可达到这个目的，方法是：利用System目录比Windows目录优先的特点，以相同的文件名，将程序放到System目录中。你可以试试，将Notepad.exe(记事本)复制到System目录中，并改名为Regedit.exe(注册表编辑器)，然后从“开始”→“运行”中，输入“Regedit”回车，你会发现运行的竟然是那个假冒的Notepad.exe！同样，如果黑客将程序放到System中，然后在运行时调用真正的Regedit，谁知道呢？(这种方法由于大部分目标程序不是经常被系统调用，因此常被黑客用来作为被删除后的恢复方法，如果某个东东被删除了又出现，不妨检查检查这些文件。) ���� ����11.还有什么“高招” ����黑客还常常使用名字欺骗技术和运行假象与之配合。名字欺骗技术如上述的全角空格主文件名“ .exe”就是一例，另外常见的有在修改文件关联时，使用“ ”（ASCII值255，输入时先按下Alt键，然后在小键盘上输入255）作为文件名，当这个字符出现在注册表中时，人们往往很难发现它的存在。此外还有利用字符相似性的，如：“Systray.exe”和“5ystray”(5与大写S相似)；长度相似性的，如：“Explorer.exe”和“Explore.exe”(后者比前者少一个字母，心理学实验证明，人的第一感觉只识别前四个字母，并对长度不敏感)；运行假象则是指运行某些木马时，程序给出一个虚假的提示来欺骗用户。一个运行后什么都没有的程序，地球人都知道不是什么好东西；但对于一个提示“内存不足的程序，恐怕还在埋怨自己的P4太差哩！ |
| B1层 发表时间: 04/21 03:19 |
| 回复: lj0815 [lj0815] 论坛用户 |
登录 |
|
楼上的说了那么多种如何识别木马的方法。但我的这个木马怎么手动删除？删错了注册表的东西就麻烦啦~所以请最好详细说明一下针对这个木马的删除方法。谢谢乐~ |
| B2层 发表时间: 04/21 07:34 |
| 回复: bking [bking] 版主 |
登录 |
|
如果说你把上面的都看完了，还不知道如果该如何下手的话I服了U了。虽然照上面所说的去做不敢保证一定就能把木马给除掉,但最坏你也应该知道如何下手了三。晕~~~~~~~~~~~~~~~~~~~~~~~~~~~~ |
| B3层 发表时间: 04/21 08:54 |
| 回复: bking [bking] 版主 |
登录 |
|
删错了注册表的东西又怎么了？大不了重装。至少你以后就在不会在犯这种错误了。难道不值吗？ 引用相见不如怀念的签名档： ―――――――――――――――― 老子是菜鸟，老子怕个吊啊！！！ ―――――――――――――――― [此贴被 新月峰岭(bking) 在 04月21日09时40分 编辑过] |
| B4层 发表时间: 04/21 08:55 |
 | 回复: wskli [wskli]  |
登录 |
|
晕楼上的，你说得好哦！！！ |
| B5层 发表时间: 04/22 12:28 |
| 回复: lj0815 [lj0815] 论坛用户 |
登录 |
|
新月批评得对。偶其实并不是怕重装。多装几次自己对机器的性能会多一些了解，但偶有实际困难的说。偶的电那无光驱无软盘。重装有一定的难度至少偶现在不会呀。 PS；也许是偶太菜了。杀木马的时候没拔网线。拔了网线就杀掉乐？能解释一下为什么会这样？什么原因？为什么一定要拔了网线才能杀掉木马？也许自己去下个木马来用一下。会了解得详细一些。但上面的问题有谁能告诉我吗？谢谢了 |
| B6层 发表时间: 04/22 22:33 |
 | 回复: snow [vane] 论坛用户 |
登录 |
|
拔网线是为了断开木马的控制端和服务端的联接， 而人家没联接你时也不必要拔 |
| B7层 发表时间: 04/22 23:50 |
| 回复: lj0815 [lj0815] 论坛用户 |
登录 |
|
哦。原来如此。谢谢楼上的PPMM。那就是说我在线的时候用金山毒霸查出的木马杀不掉。是有人在偷窥偶了。。 吓出一身汗~~~ |
| B8层 发表时间: 04/23 01:26 |
 | 回复: bigman [bigman] 论坛用户 |
登录 |
|
顶 |
| B9层 发表时间: 04/23 08:10 |
|
20CN网络安全小组版权所有
Copyright © 2000-2010 20CN Security Group. All Rights Reserved.
论坛程序编写：NetDemon
粤ICP备05087286号
论坛: 病毒专区
标题: 金山毒霸居然杀不了？？？