您的位置：首页 > 编程技术 > html  >  手工清除木马的一般方法

手工清除木马的一般方法

 更新时间：2016年9月20日 19:02  点击：1501

　　首先你要具备一些电脑的常识，比如查看自己的电脑有哪些自启动程序；然后你要对自己的电脑比较熟悉，为什么？晕。。。。。每个人的电脑都不一样，只有你自己知道自己装了哪些硬件软件。最后要说句，不要怕，做好ghost，系统还原等备份工作。就算系统被你搞崩溃了，你也学到东西了。

　　首先，你有中了木马的迹象，你应该先看看你的启动组有哪些东西是自动加载的，木马肯定是在这里面的。发现陌生的的程序了？还不止一个？没关系，一个一个来，记下名字。

　　然后找个进程查看工具（为什么要看进程？木马从来都是没窗体的或隐藏的，但却逃不出进程查看器），xp/2000有自带的工具，ctrl+shift+esc呼出，98/me用windows优化大师的进程查看器。

　　找到进程后，先结束他的进程（不然程序在使用中怎么删得到？），然后再把自启动项删除（因为高级点的木马有保护功能，如多线裎木马）。再隔离该可疑程序。最后重起计算机。这步要一个一个的来，不然你怎么知道哪个是木马？但是如果你对自己的电脑很熟悉的话，一般一眼就能看出来哪些不是自己装的程序。

　　如果还是有中木马的迹象，重复上面的步骤。

　　如果已经知道木马程序的位置，那么先结束进程，然后删除启动项目，删除木马程序。重起。

　　看完后，你是不是觉得很简单，就那么几步？ ：）

　　############### windows9x/me 下的一些自启动方法#########

　　1. Autostart 文件

　　C:windowsstart menuprogramsstartup {chinese/english}

　　在注册表中的位置： HKEY_CURRENT_USER SoftwareMicrosoftWindowsCurrentVersionExplorerShell

　　Folders Startup="C:windowsstart menuprogramsstartup"

　　所以它将很容易被程序更改

　　2. Win.ini

　　[windows]
　　load=file.exe
　　run=file.exe

　　3. System.ini [boot]

　　Shell=Explorer.exe file.exe

　　4. c:windowswinstart.bat

　　看似平常，但每次都重新启动

　　5. Registry键

　　[HKEY_LOCAL_MACHINE SoftwareMicrosoftWindowsCurrentVersionRunServices]
　　[HKEY_LOCAL_MACHINE SoftwareMicrosoftWindowsCurrentVersionRunServicesOnce]
　　[HKEY_LOCAL_MACHINE SoftwareMicrosoftWindowsCurrentVersionRun]
　　[HKEY_LOCAL_MACHINE SoftwareMicrosoftWindowsCurrentVersionRunOnce]
　　[HKEY_CURRENT_USER SoftwareMicrosoftWindowsCurrentVersionRun]
　　[HKEY_CURRENT_USER SoftwareMicrosoftWindowsCurrentVersionRunOnce]
　　[HKEY_CURRENT_USER SoftwareMicrosoftWindowsCurrentVersionRunServices]


　　6. c:windowswininit.ini

　　一旦运行就被windows删除，安装的setup程序常用

　　Example: (content of wininit.ini)
　　[Rename]
　　NUL=c:windowspicture.exe

　　例子：将c:windowspicture.exe设置为NUL, 表示删除它，完全隐蔽的执行！

　　7. Autoexec.bat

　　在DOS下每次自启动

　　8. Registry Shell Spawning （使用过Subseven吗？看看吧）这个方法比较黑的说。----老妖注.

　　[HKEY_CLASSES_ROOT exefileshellopencommand] @=""%1" %*"
　　[HKEY_CLASSES_ROOT comfileshellopencommand] @=""%1" %*"
　　[HKEY_CLASSES_ROOT batfileshellopencommand] @=""%1" %*"
　　[HK
<

　　刚才想在Blog上放一个可以连续播放多首歌曲的代码，本以为应该很容易实现，于是在动网论坛上想找人给一份，没想到半天没人理，只有一个朋友给了个大概思路，偶根据此思路写了如下程序：

播放页PlayMusic.htm：
<OBJECT id=Player style="LEFT: 0px; POSITION: relative; height:62px;width:100%"
type=application/x-oleobject classid=CLSID:6BF52A52-394A-11d3-B153-00C04F79FAA6>
<PARAM NAME="URL" VALUE="Song.pls">
<PARAM NAME="autoStart" VALUE="true">
<PARAM NAME="playCount" VALUE="2">
</OBJECT>

曲目列表页：song.pls
<ASX Version="3.0" PREVIEWMODE="NO">
<entry>
  <ref href="http:///htmldata/2005-02-24/DownLoad/Music/cxjd.mp3" />
    <param name="singer_name" value="李圣洁"/>
    <param name="song_name" value="痴心绝对"/>
</entry>
<entry>
  <ref href="http:///htmldata/2005-02-24/DownLoad/Music/jsb.mp3" />
    <param name="singer_name" value="周传雄"/>
    <param name="song_name" value="记事本"/>
</entry>

<entry>
  <ref href="http:///htmldata/2005-02-24/DownLoad/Music/mlxq.mp3" />
    <param name="singer_name" value="本都RuRu"/>
    <param name="song_name" value="美丽心情"/>
</entry>

<entry>
  <ref href="http:///htmldata/2005-02-24/DownLoad/Music/TakeMeToYourHeart.mp3" />
    <param name="singer_name" value="摇滚麦克合唱团"/>
    <param name="song_name" value="TakeMeToYourHeart"/>
</entry>
</ASX>

　　用ASP+XML应该还可以实现用户自定义选择播放列目，我这里因为服务器是本地机，也就懒得去写这些功能了，本地将就能用就可以了，曲目列表可以自己手动添加！




作为一名系统维护专员，经常遇到客户抱怨中了恶意网站的招，笔者也经历了无数次与恶意网站对决，一向以完胜告终。但最近遇到的一个恶意网中王却令我足足忙活了一下午，不敢独享，拿出来和各位读者分享。

　　客户的机器是Windows XP系统，补丁是Update后最新的，IE6也安装了最新的补丁，主页还是显示“about:blank”，但内容已经被恶意网站侵占。修改Blank页这种情况我还是第一次遇到，当时就觉得清除方法不像以前那么简单。

　　Step1： 拿出Spant（流行病毒专杀工具）查杀后恢复IE无效，用KV 2004最新病毒库检查也没有病毒。

　　Step2： 运行程序Msconfig.exe，在程序启动项，注册表中“Run”、“Runonce”、“Runservice”中都没有可疑程序加载，在System.ini与Win.ini和服务中也没有可疑的。

　　这下弄得我一身冷汗，以前还没有遇到过Spant不能查杀的恶意网站呢。

　　Step3： 既然Spant不能查杀，在注册表中常常提到的几项修改也会无效的，试着修改了注册表中的相应主页及首页键值，刚修改后启动IE没有问题。重新启动电脑后，恶意网站仍然历历在目。

　　Step4： 断开网络检查一下，启动IE，居然恶意网页全部清晰的显示出来，看来这个恶意页面并不是从网上而来的，已经在本机寄生（通常在断网的情况下会出现页面无法显示的提示）。

　　Step5： 看来是Blank这个页面被修改而存在本机，于是找到Blank.htm所在的位置C:windowspchealth

　　helpctrSystempanelsblank.htm，打开后发现页面是空白的，并没有恶意网页的足迹，看来和我想的不一样，病毒并没有修改Blank.htm这个页面。

　　Step6： 没有办法了，只好在网上搜索解决办法，还真是搜索到一些内容，在很多安全论坛中都有这个情况的讨论，情况居然和我遇到的一模一样，但都没有得到解决，所有遇到这个病毒的人的最后解决方法都是用Ghost恢复或者重装系统，就连重新安装IE也没用，3721等修复软件对它一点作用没有。

　　Step7： 这时候看到有人介绍黄山IE修复专家，下载安装后，先恢复IE，再选择“永久免疫”，重新启动计算机，这个顽固病毒终于被我清除了。

　　黄山IE修复专家

　　软件版本：7．41

　　软件大小：4226 KB

　　下载地址：点击下载

　　这个病毒的机理，应该是有相应程序的关联，因而修复后过一段时间或者重新启动又会恢复，所以各个启动项和杀毒软件都没能找出异常所在。


　　反病毒中心紧急提醒用户：应对JPEG图片漏洞不能只打系统补丁，因为JPEG图片漏洞存在于微软提供的一个用于图形开发的动态链接库(Gdiplus.dll)中，电子图片文件会被该系统文件使用，从而可被病毒制造者加入各种病毒代码，以用于进行偷盗密码、进行网络攻击的重要手段。

　　反病毒专家解释，目前该程序已经广泛应用于各种图形程序的开发，但是，系统文件只在Windows XP及以上系统中才被默认安装，因此大部份常用的非微软的应用软件在安装时会自带该文件。

　　除了系统图片漏洞之外，存在图片漏洞的是一些使用该文件的第三方应用程序。比如：图像制作软件PhotoShop等，它们都会在安装时在自己的目录安装该文件。所以，从事美工、或者图象处理工作者应该更加提防此病毒危害。金山反病毒专家认为，为了真正防止该漏洞的危害，应该把这些第三方软件所使用的Gdiplus.dll文件全部替换为已经修补好的Gdiplus.dll文件。

　　反病毒专家提议二招彻底杜绝图片病毒漏洞：

　　一、使用工具

　　“JEPG病毒及漏洞检测”工具可以全盘扫描磁盘上的所有Gdiplus.dll文件，包括系统及第三方应用软件中的该文件。将存在漏洞的Gdiplus.dll文件找出来，并可自动将其修补。工具下载地址：

　　点击下载

　　二、手工方法(推荐计算机熟练者使用)

　　1、请到微软官方网站下载没漏洞的Gdiplus.dll；http://www.microsoft.com/downloads/details.aspx?FamilyId=6A63AB9C-DF12-4D41-933C-BE590FEAA05A&displaylang=en

　　2、打开“我的电脑”， 按F3，选择“搜索所有文件和文件夹”，在文件名中填写“GDIPlus.dll”进行搜索。查找哪些程序自带了GDIPlus.dll 文件；

　　3、将从微软网站中下载的Gdiplus.dll文件替换这些文件。

　　附：使用了Gdiplus.dll文件的常用第三方软件，如果您装了以下软件请注意检查。目前还有一些软件使用了这个系统文件，最简单的办法是，通过操作系统查找文件功能，查找GDIPLUS.dll文件，看看有多少软件在使用。

　　使用了GDIPLUS.dll文件的常用软件如下：

　　QQ 2004

　　Adobe ImageReady CS

　　Dreamweaver MX 2004

　　PhotoShop

　　Discreet 3dmax6.0

　　MyIM即时通讯软件 2004

　　快递通 v1.8

　　WPS Office

　　剑侠情缘网络版

　　Nero BURNING ROM 6




< 每一项服务都对应相应的端口，比如众如周知的WWW服务的端口是80，smtp是25，ftp是21，win2000安装中默认的都是这些服务开启的。对于个人用户来说确实没有必要，关掉端口也就是关闭无用的服务。

　　“控制面板”的“管理工具”中的“服务”中来配置。

　　1、关闭7.9等等端口：关闭Simple TCP/IP Service,支持以下TCP/IP服务：Character Generator,Daytime, Discard, Echo, 以及 Quote of the Day。

　　2、关闭80口：关掉WWW服务。在“服务”中显示名称为"World Wide Web Publishing Service"，通过 Internet 信息服务的管理单元提供 Web 连接和管理。

　　3、关掉25端口：关闭Simple Mail Transport Protocol (SMTP)服务，它提供的功能是跨网传送电子邮件。

　　4、关掉21端口：关闭FTP Publishing Service,它提供的服务是通过 Internet 信息服务的管理单元提供 FTP 连接和管理。

　　5、关掉23端口：关闭Telnet服务，它允许远程用户登录到系统并且使用命令行运行控制台程序。

　　6、还有一个很重要的就是关闭server服务，此服务提供RPC支持、文件、打印以及命名管道共享。关掉它就关掉了win2k的默认共享，比如ipc

　　7、还有一个就是139端口，139端口是NetBIOS Session端口，用来文件和打印共享，注意的是运行samba的unix机器也开放了139端口，功能一样。以前流光2000用来判断对方主机类型不太准确，估计就是139端口开放既认为是NT机，现在好了。

　　关闭139口听方法是在“网络和拨号连接”中“本地连接”中选取“Internet协议(TCP/IP)”属性，进入“高级TCP/IP设置”“WINS设置”里面有一项“禁用TCP/IP的NETBIOS”，打勾就关闭了139端口。

　　对于个人用户来说，可以在各项服务属性设置中设为“禁用”，以免下次重启服务也重新启动，端口也开放了。


<
[!--infotagslink--]

相关文章

  • php 中file_get_contents超时问题的解决方法

    file_get_contents超时我知道最多的原因就是你机器访问远程机器过慢，导致php脚本超时了，但也有其它很多原因，下面我来总结file_get_contents超时问题的解决方法总结。...2016-11-25

  • @CacheEvict 清除多个key的实现方式

    这篇文章主要介绍了@CacheEvict 清除多个key的实现方式，具有很好的参考价值，希望对大家有所帮助。一起跟随小编过来看看吧...2021-02-13

  • php抓取网站图片并保存的实现方法

    php如何实现抓取网页图片，相较于手动的粘贴复制，使用小程序要方便快捷多了，喜欢编程的人总会喜欢制作一些简单有用的小软件，最近就参考了网上一个php抓取图片代码，封装了一个php远程抓取图片的类，测试了一下，效果还不错分享...2015-10-30

  • HTTP 408错误是什么 HTTP 408错误解决方法

    相信很多站长都遇到过这样一个问题，访问页面时出现408错误，下面一聚教程网将为大家介绍408错误出现的原因以及408错误的解决办法。 HTTP 408错误出现原因： HTT...2017-01-22

  • Android子控件超出父控件的范围显示出来方法

    下面我们来看一篇关于Android子控件超出父控件的范围显示出来方法，希望这篇文章能够帮助到各位朋友，有碰到此问题的朋友可以进来看看哦。 <RelativeLayout xmlns:an...2016-10-02

  • ps把文字背景变透明的操作方法

    ps软件是现在非常受大家喜欢的一款软件，有着非常不错的使用功能。这次文章就给大家介绍下ps把文字背景变透明的操作方法，喜欢的一起来看看。 1、使用Photoshop软件...2017-07-06

  • intellij idea快速查看当前类中的所有方法(推荐)

    这篇文章主要介绍了intellij idea快速查看当前类中的所有方法,本文通过实例代码给大家介绍的非常详细，对大家的学习或工作具有一定的参考借鉴价值，需要的朋友可以参考下...2020-09-02

  • Mysql select语句设置默认值的方法

    1.在没有设置默认值的情况下： 复制代码 代码如下:SELECT userinfo.id, user_name, role, adm_regionid, region_name , create_timeFROM userinfoLEFT JOIN region ON userinfo.adm_regionid = region.id 结果：...2014-05-31

  • js导出table数据到excel即导出为EXCEL文档的方法

    复制代码 代码如下: <!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd"> <html xmlns="http://www.w3.org/1999/xhtml"> <head> <meta ht...2013-10-13

  • mysql 批量更新与批量更新多条记录的不同值实现方法

    批量更新mysql更新语句很简单，更新一条数据的某个字段，一般这样写：复制代码 代码如下:UPDATE mytable SET myfield = 'value' WHERE other_field = 'other_value';如果更新同一字段为同一个值，mysql也很简单，修改下where即...2013-10-04

  • ps怎么制作倒影 ps设计倒影的方法

    ps软件是一款非常不错的图片处理软件，有着非常不错的使用效果。这次文章要给大家介绍的是ps怎么制作倒影，一起来看看设计倒影的方法。 用ps怎么做倒影最终效果&#819...2017-07-06

  • IDEA中的clean,清除项目缓存图文教程

    这篇文章主要介绍了IDEA中的clean,清除项目缓存图文教程，具有很好的参考价值，希望对大家有所帮助。一起跟随小编过来看看吧...2020-09-25

  • js基础知识（公有方法、私有方法、特权方法）

    本文涉及的主题虽然很基础，在许多人看来属于小伎俩，但在JavaScript基础知识中属于一个综合性的话题。这里会涉及到对象属性的封装、原型、构造函数、闭包以及立即执行表达式等知识。公有方法 公有方法就是能被外部访问...2015-11-08

  • 安卓手机wifi打不开修复教程，安卓手机wifi打不开解决方法

    手机wifi打不开？让小编来告诉你如何解决。还不知道的朋友快来看看。 手机wifi是现在生活中最常用的手机功能，但是遇到手机wifi打不开的情况该怎么办呢?如果手机wifi...2016-12-21

  • PHP 验证码不显示只有一个小红叉的解决方法

    最近想自学PHP ，做了个验证码，但不知道怎么搞的，总出现一个如下图的小红叉，但验证码就是显示不出来，原因如下 未修改之前，出现如下错误； （1）修改步骤如下，原因如下，原因是apache权限没开， （2）点击打开php.int.， 搜索extension=ph...2013-10-04

  • c#中分割字符串的几种方法

    单个字符分割 string s="abcdeabcdeabcde"; string[] sArray=s.Split('c'); foreach(string i in sArray) Console.WriteLine(i.ToString()); 输出下面的结果: ab de...2020-06-25

  • js控制页面控件隐藏显示的两种方法介绍

    javascript控制页面控件隐藏显示的两种方法，方法的不同之处在于控件隐藏后是否还在页面上占位 方法一： 复制代码 代码如下: document.all["panelsms"].style.visibility="hidden"; document.all["panelsms"].style.visi...2013-10-13

  • 连接MySql速度慢的解决方法(skip-name-resolve)

    最近在Linux服务器上安装MySql5后，本地使用客户端连MySql速度超慢，本地程序连接也超慢。 解决方法：在配置文件my.cnf的[mysqld]下加入skip-name-resolve。原因是默认安装的MySql开启了DNS的反向解析。如果禁用的话就不能...2015-10-21

  • C#方法的总结详解

    本篇文章是对C#方法进行了详细的总结与介绍，需要的朋友参考下...2020-06-25

  • Zend studio文件注释模板设置方法

    步骤：Window -> PHP -> Editor -> Templates，这里可以设置（增、删、改、导入等）管理你的模板。新建文件注释、函数注释、代码块等模板的实例新建模板，分别输入Name、Description、Patterna)文件注释Name: 3cfileDescriptio...2013-10-04