电脑知识大全|电脑编程|电脑故障排除知识|操作系统|硬件|软件基础知识

看清木马藏身地 学会通用排查技术

发布:admin2020-09-14 10:45分类网络知识

木马取自古希腊神话的特洛伊木马记,是一种基于远程控制的黑客工具,具有很强的隐藏性和危害性。为了达到控制服务端主机的目的,木马往往要采用各种手段达到激活自己,加载运行的目的。这里,我们简要的介绍一下木马通用的激活方式,它们的藏身地,并通过一些实例来让您体会一下手动清除木马的方法。

  ●在Win.ini中启动木马:

  在Win.ini的[Windows]小节中有启动命令“load=”和“run=”,在一般的情况下“=”后面是空的,如果后面跟有程序,比如:

  run=C:Windows ile.exe load=C:Windows ile.exe

  则这个file.exe很有可能就是木马程序。

  ●在Windows XP注册表中修改文件关联:

  修改注册表中的文件关联是木马常用的手段,如何修改的方法已在本系列的前几文中有过阐述。举个例子,在正常情况下txt文件的打开方式为Notepad.exe(记事本),但一旦感染了文件关联木马,则txt文件就变成条用木马程序打开了。如著名的国产木马“冰河”,就是将注册表HKEY_CLASSES_ROOT xtfileshellopencommand子键分支下的键值项“默认”的键值“C:Windows otepad.exe %1”修改为“C:WindowsSystemSysexplr.exe”,这样,当你双击一个txt文件时,原本应该用记事本打开的文件,现在就成了启动木马程序了。当然,不仅是txt 文件,其它类型的文件,如htm、exe、zip、com等文件也都是木马程序的目标,要小心。

  对这类木马程序,只能检查注册表中的HKEY_CLASSES_ROOT中的文件类型shellopencommand子键分支,查看其值是否正常。

上一篇:揭密:关于病毒命名规则的说明
下一篇:AUTO病毒增强伪装性 生成大量假微软文件
温馨提示如有转载或引用以上内容之必要,敬请将本文链接作为出处标注,谢谢合作!