精华区 [关闭][返回]

当前位置:网易精华区>>讨论区精华>>电脑技术>>● 电脑病毒>>★黑客木马★>>手工发现和清除木马的方法

主题:手工发现和清除木马的方法
发信人: mimry()
整理人: emil(2000-06-24 14:36:39), 站内信件
 手工发现和清除木马的方法
==========================

    现在黑客猖獗,特洛伊木马盛行,杀毒软件的升级往往跟不上新木马的出现
速度。我们个人用户一般都是用的Win9x系统,下面介绍Win9x下手工发现和清除
木马的方法:
    现在的Win9x下的木马通常都采用Client/Server方式,victim方是一个TCP服
务程序,而黑客控制方则运行其客户端程序。一旦木马服务方程序在victim上安
装运行成功,则黑客就很容易控制victim的机器,包括读写任何文件、查看密码
、控制victim用户的操作、改写victim机器注册表、重启机器等等,这时我们就
说该机器被控制了。那怎么样及时发现自己的机器是否中了木马呢?
    我们知道TCP服务程序都需要listen在某个port上,客户端程序才能与其建立
连接进行数据传输。我们可以用Win9x的命令netstat -an查看所有的活动连接,
典型输出如下:
C:\WINDOWS>netstat -an

Active Connections

  Proto  Local Address          Foreign Address        State
  TCP    192.168.1.92:137       0.0.0.0:0              LISTENING
  TCP    192.168.1.92:138       0.0.0.0:0              LISTENING
  TCP    192.168.1.92:139       0.0.0.0:0              LISTENING
  UDP    192.168.1.92:137       *:*
  UDP    192.168.1.92:138       *:*
其中“Local Address”栏即本机IP地址,冒号后为port号。上述输出为正常情况
下(可以使用“网上邻居”)没装其它TCP服务的情形,我们看到只有137-139几
个port处于listen状态;如果没装其它TCP服务程序而又在netstat -an 的输出中
发现有别的port处于listen状态则表明可能你的机器已经中了木马了。这里需要
说明两点:1、“Local Address”栏中IP地址为127.0.0.1的行是无害的,而IP地
址为0.0.0.0且port不是137-139则要注意啦;2、有的木马比较隐蔽,它只有当你
拨通Internet时才处于listen状态,而平时你是看不到的。
    如果你用netstat -an 发现了异常(有时在使用系统是也能感到异常),这
时应该按照“Win9x下程序自启动的方法”中所述的情况检查一下是否有可疑程序
(最好的情况是你熟悉你的系统正常时的这些项,用系统自带的regedit程序查看
/修改注册表)。发现可疑程序将其连同该注册表项一起删除即可,重启系统则木
马就已经被清除了。这里也有几点需要说明:1、如果木马正在运行,则你无法删
除其程序,这时你可以重启动到DOS方式然后将其删除;2、有的木马会自动检查
其在注册表中的自启动项,如果你是在木马处于活动时删除该项的话它能自动恢
复,这时你可以重启到DOS下将其程序删除后再进入Win9x下将其注册表中的自启
动项剔除(顺序一定不能错);3、在做删除操作和注册表修改操作前一定要先备
份(注册表的备份与恢复可以用regedit中的“导出注册表”和“引入注册表”)
,切记,切记!


--
※ 来源:.月光软件站 http://www.moon-soft.com.[FROM: 202.104.48.33]

[关闭][返回]