木馬通用的激活方式和清除方法

《木馬通用的激活方式和清除方法》由會員上傳分享，免費在線閱讀，更多相關內容在行業(yè)資料-天天文庫。

1、木馬通用的激活方式和清除方法木馬取自古希臘神話的特洛伊木馬記，是一種基于遠程控制的黑客工具，具有很強的隱藏性和危害性。為了達到控制服務端主機的目的，木馬往往要采用各種手段達到激活自己，加載運行的目的。這里，我們簡要的介紹一下木馬通用的激活方式，它們的藏身地，并通過一些實例來讓您體會一下手動清除木馬的方法?！裨赪in.ini中啟動木馬：在Win.ini的[Windows]小節(jié)中有啟動命令“l(fā)oad=”和“run=”，在一般的情況下“=”后面是空的，如果后面跟有程序，比如：run=C:Windowsil

2、e.exeload=C:Windowsile.exe則這個file.exe很有可能就是木馬程序?！裨赪indowsXP注冊表中修改文件關聯(lián)：修改注冊表中的文件關聯(lián)是木馬常用的手段，如何修改的方法已在本系列的前幾文中有過闡述。舉個例子，在正常情況下txt文件的打開方式為Notepad.exe（記事本），但一旦感染了文件關聯(lián)木馬，則txt文件就變成條用木馬程序打開了。如著名的國產木馬“冰河”，就是將注冊表HKEY_CLASSES_ROOTxtfileshellopencommand子鍵分支下的鍵值項“默

3、認”的鍵值“C:Windowsotepad.exe%1”修改為“C:WindowsSystemSysexplr.exe”，這樣，當你雙擊一個txt文件時，原本應該用記事本打開的文件，現(xiàn)在就成了啟動木馬程序了。當然，不僅是txt8文件，其它類型的文件，如htm、exe、zip、com等文件也都是木馬程序的目標，要小心。對這類木馬程序，只能檢查注冊表中的HKEY_CLASSES_ROOT中的文件類型shellopencommand子鍵分支，查看其值是否正常?！裨赪indowsXP系統(tǒng)中捆綁木馬文件：實現(xiàn)

4、這種觸發(fā)條件首先要控制端和服務端已通過木馬建立連接，控制端用戶使用工具軟件將木馬文件和某一應用程序捆綁在一起，上傳到服務端覆蓋原有文件，這樣即使木馬被刪除了，只要運行捆綁了木馬的應用程序，木馬又會被重新安裝了。如果捆綁在系統(tǒng)文件上，則每次WindowsXP啟動都會啟動木馬?！裨赟ystem.ini中啟動木馬：System.ini中的[boot]小節(jié)的shell=Explorer.exe是木馬喜歡的藏身之所，木馬通常的做法是將該語句變?yōu)檫@樣：Shell=Explorer.exefile.exe這里的f

5、ile.exe就是木馬服務端程序。另外，在[386enh]小節(jié)，要注意檢查在此小節(jié)的“driver=path程序名”，因為也有可能被木馬利用。[mic]、[drivers]、[drivers32]這三個小節(jié)也是要加載驅動程序的，所以也是添加木馬的理想場所?！窭肳indowsXP注冊表加載運行：注冊表中的以下位置是木馬偏愛的藏身之所：HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersion子鍵分支下所有以“run”開頭的鍵值項數據。HKEY_LO

6、CAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersion子鍵分支下所有以“run”開頭的鍵值項數據。8HKEY_USERS.DEFAULTSoftwareMicrosoftWindowsCurrentVersion子鍵分支下所有以“run”開頭的鍵值項數據。●在Autoexec.bat和Config.sys中加載運行木馬：要建立控制端與服務端的連接，將已添置木馬啟動命令的同名文件上傳到服務端覆蓋著兩個文件才能以這種方式啟動木馬。不過不是很隱蔽，所以這種方式并

7、不多見，但也不能掉以輕心?！裨赪instart.bat中啟動木馬：Winstart.bat也是一個能自動被WindowsXP加載運行的文件，多數時由應用程序及Windows自動生成，在執(zhí)行了Win.com或者Kernel386.exe，并加載了多數驅動程序之后開始執(zhí)行（這可以通過在啟動時按F8選擇逐步跟蹤啟動過程的啟動方式得知）。由于Autoexec.bat的功能可以由Winstart.bat代替完成，因此木馬完全可以像在Autoexec.bat中那樣被加載運行。木馬病毒的通用排查技術現(xiàn)在，我們已經

8、知道了木馬的藏身之處，查殺木馬自然就容易了。如果您發(fā)現(xiàn)計算機已經中了木馬，最安全最有效的方法就是馬上與網絡段開，防止計算機駭客通過網絡對您進行攻擊，執(zhí)行如下步驟：1、編輯Win.ini文件，將[Windows]小節(jié)下面的“run=木馬程序”或“l(fā)oad=木馬程序”更改為“run=”，“l(fā)oad=”。2、編輯System.ini文件，將[boot]小節(jié)下面的“shell=木馬文件”更改為“shell=Explorer.exe”。3、在Windows8XP注冊表中進行修改