木馬的檢測,清除與防范

《木馬的檢測,清除與防范》由會員上傳分享，免費在線閱讀，更多相關內(nèi)容在行業(yè)資料-天天文庫。

1、木馬的檢測、清除與防范木馬程序不同于病毒程序，通常并不象病毒程序那樣感染文件。木馬一般是以尋找后門、竊取密碼和重要文件為主，還可以對電腦進行跟蹤監(jiān)視、控制、查看、修改資料等操作，具有很強的隱蔽性、突發(fā)性和攻擊性。由于木馬具有很強的隱蔽性，用戶往往是在自己的密碼被盜、機密文件丟失的情況下才知道自己中了木馬。在這里將介紹如何檢測自己的機子是否中了木馬，如何對木馬進行清除和防范。木馬檢測1、查看開放端口當前最為常見的木馬通常是基于TCP/UDP協(xié)議進行Client端與Server端之間的通訊的，這樣我們就可以通過查看在本機上開放的端口，看是否有可疑的程序打開了

2、某個可疑的端口。例如冰河使用的監(jiān)聽端口是7626，BackOrifice2000使用的監(jiān)聽端口是54320等。假如查看到有可疑的程序在利用可疑端口進行連接，則很有可能就是中了木馬。查看端口的方法有幾種：(1)使用Windows本身自帶的netstat命令C:>netstat-anActiveConnectionsProtoLocalAddressForeignAddressStateTCP0.0.0.0:1130.0.0.0:0LISTENINGTCP0.0.0.0:1350.0.0.0:0LISTENINGTCP0.0.0.0:4450.0.0.0:

3、0LISTENINGTCP0.0.0.0:10250.0.0.0:0LISTENINGTCP0.0.0.0:10260.0.0.0:0LISTENINGTCP0.0.0.0:10330.0.0.0:0LISTENINGTCP0.0.0.0:12300.0.0.0:0LISTENINGTCP0.0.0.0:12320.0.0.0:0LISTENINGTCP0.0.0.0:12390.0.0.0:0LISTENINGTCP0.0.0.0:17400.0.0.0:0LISTENINGTCP127.0.0.1:50920.0.0.0:0LISTENINGTCP1

4、27.0.0.1:5092127.0.0.1:1748TIME_WAITCP127.0.0.1:60920.0.0.0:0LISTENINGUDP0.0.0.0:69*:*UDP0.0.0.0:445*:*UDP0.0.0.0:1703*:*UDP0.0.0.0:1704*:*UDP0.0.0.0:4000*:*UDP0.0.0.0:6000*:*UDP0.0.0.0:6001*:*UDP127.0.0.1:1034*:*UDP127.0.0.1:1321*:*UDP127.0.0.1:1551*:*(2)使用windows2000下的命令行工具fpor

5、tE:software>Fport.exeFPortv2.0-TCP/IPProcesstoPortMapperCopyright2000byFoundstone,Inc.http://www.foundstone.comPidProcessPortProtoPath420svchost->135TCPE:WINNTsystem32svchost.exe8System->139TCP8System->445TCP768MSTask->1025TCPE:WINNTsystem32MSTask.exe8System->1027TCP8Syste

6、m->137UDP8System->138UDP8System->445UDP256lsass->500UDPE:WINNTsystem32lsass.exe(3)使用圖形化界面工具ActivePorts這個工具可以監(jiān)視到電腦所有打開的TCP/IP/UDP端口，還可以顯示所有端口所對應的程序所在的路徑，本地IP和遠端IP(試圖連接你的電腦IP)是否正在活動。這個工具適用于WindowsNT/2000/XP平臺。2、查看win.ini和system.ini系統(tǒng)配置文件查看win.ini和system.ini文件是否有被修改的地方。例如有的木馬通過修改

7、win.ini文件中windows節(jié)的“l(fā)oad=file.exe，run=file.exe”語句進行自動加載。此外可以修改system.ini中的boot節(jié)，實現(xiàn)木馬加載。例如“妖之吻”病毒，將“Shell=Explorer.exe”（Windows系統(tǒng)的圖形界面命令解釋器）修改成“Shell=yzw.exe”，在電腦每次啟動后就自動運行程序yzw.exe。修改的方法是將“shell=yzw.exe”還原為“shell=explorer.exe”就可以了。3、查看啟動程序如果木馬自動加載的文件是直接通過在Windows菜單上自定義添加的，一般都會放在主

8、菜單的“開始->程序->啟動”處，在Win98資源管理器里的位置是“C:win