设为首页
收藏本站
开启辅助访问
切换到窄版
登录
立即注册
中问网首页
我的收藏
站长博客
搜索
搜索
本版
帖子
用户
第一问答网
»
论坛
›
中问网
›
问答
›
怎么删除木马
返回列表
发新帖
怎么删除木马
[复制链接]
11
|
2
|
2006-3-26 09:26:55
|
显示全部楼层
|
阅读模式
灰鸽子(Backdoor.Huigezi)作者现在还没有停止对灰鸽子的开发,再加上有些人为了避开杀毒软件的查杀故意给灰鸽子加上各种不同的壳,造成现在网络上不断有新的灰鸽子变种出现。如果您的机器出现灰鸽子症状但用杀毒软件查不到,那很可能是中了还没有被截获的新变种。这个时候,就需要手工杀掉灰鸽子。 手工清除灰鸽子并不难,重要的是我们必须懂得它的运行原理。灰鸽子的运行原理灰鸽子木马分两部分:客户端和服务端。黑客(姑且这么称呼吧)操纵着客户端,利用客户端配置生成出一个服务端程序。服务端文件的名字默认为G_Server.exe,然后黑客通过各种渠道传播这个木马(俗称种木马或者开后门)。种木马的手段有很多,比如,黑客可以将它与一张图片绑定,然后假冒成一个羞涩的MM通过QQ把木马传给你,诱骗你运行;也可以建立一个个人网页,诱骗你点击,利用IE漏洞把木马下载到你的机器上并运行;还可以将文件上传到某个软件下载站点,冒充成一个有趣的软件诱骗用户下载……G_Server.exe运行后将自己拷贝到Windows目录下(98/xp下为系统盘的windows目录,2k/NT下为系统盘的Winnt目录),然后再从体内释放G_Server.dll和G_Server_Hook.dll到windows目录下。G_Server.exe、G_Server.dll和G_Server_Hook.dll三个文件相互配合组成了灰鸽子服务端,有些灰鸽子会多释放出一个名为G_ServerKey.dll的文件用来记录键盘操作。注意,G_Server.exe这个名称并不固定,它是可以定制的,比如当定制服务端文件名为A.exe时,生成的文件就是A.exe、A.dll和A_Hook.dll。Windows目录下的G_Server.exe文件将自己注册成服务(9X系统写注册表启动项),每次开机都能自动运行,运行后启动G_Server.dll和G_Server_Hook.dll并自动退出。G_Server.dll文件实现后门功能,与控制端客户端进行通信;G_Server_Hook.dll则通过拦截API调用来隐藏病毒。因此,中毒后,我们看不到病毒文件,也看不到病毒注册的服务项。随着灰鸽子服务端文件的设置不同,G_Server_Hook.dll有时候附在Explorer.exe的进程空间中,有时候则是附在所有进程中。灰鸽子的手工检测由于灰鸽子拦截了API调用,在正常模式下木马程序文件和它注册的服务项均被隐藏,也就是说你即使设置了“显示所有隐藏文件”也看不到它们。此外,灰鸽子服务端的文件名也是可以自定义的,这都给手工检测带来了一定的困难。但是,通过仔细观察我们发现,对于灰鸽子的检测仍然是有规律可循的。从上面的运行原理分析可以看出,无论自定义的服务器端文件名是什么,一般都会在操作系统的安装目录下生成一个以“_hook.dll”结尾的文件。通过这一点,我们可以较为准确手工检测出灰鸽子木马。由于正常模式下灰鸽子会隐藏自身,因此检测灰鸽子的操作一定要在安全模式下进行。进入安全模式的方法是:启动计算机,在系统进入Windows启动画面前,按下F8键(或者在启动计算机时按住Ctrl键不放),在出现的启动选项菜单中,选择“Safe Mode”或“安全模式”。1、由于灰鸽子的文件本身具有隐藏属性,因此要设置Windows显示所有文件。打开“我的电脑”,选择菜单“工具”—》“文件夹选项”,点击“查看”,取消“隐藏受保护的操作系统文件”前的对勾,并在“隐藏文件和文件夹”项中选择“显示所有文件和文件夹”,然后点击“确定”。2、打开Windows的“搜索文件”,文件名称输入“_hook.dll”,搜索位置选择Windows的安装目录(默认98/xp为C:\windows,2k/NT为C:\Winnt)。 3、经过搜索,我们在Windows目录(不包含子目录)下发现了一个名为Game_Hook.dll的文件。4、根据灰鸽子原理分析我们知道,如果Game_Hook.DLL是灰鸽子的文件,则在操作系统安装目录下还会有Game.exe和Game.dll文件。打开Windows目录,果然有这两个文件,同时还有一个用于记录键盘操作的GameKey.dll文件。 经过这几步操作我们基本就可以确定这些文件是灰鸽子木马了,下面就可以进行手动清除。另外,如果你发现了瑞星杀毒软件查不到的灰鸽子变种,也欢迎登陆瑞星新病毒上报网站(http://up.rising.com.cn)上传样本。灰鸽子的手工清除经过上面的分析,清除灰鸽子就很容易了。清除灰鸽子仍然要在安全模式下操作,主要有两步:1、清除灰鸽子的服务;2删除灰鸽子程序文件。注意:为防止误操作,清除前一定要做好备份。一、清除灰鸽子的服务2000/XP系统:1、打开注册表编辑器(点击“开始”-》“运行”,输入“Regedit.exe”,确定。),打开 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services注册表项。2、点击菜单“编辑”-》“查找”,“查找目标”输入“game.exe”,点击确定,我们就可以找到灰鸽子的服务项(此例为Game_Server)。3、删除整个Game_Server项。98/me系统:在9X下,灰鸽子启动项只有一个,因此清除更为简单。运行注册表编辑器,打开HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run项,我们立即看到名为Game.exe的一项,将Game.exe项删除即可。 二、删除灰鸽子程序文件删除灰鸽子程序文件非常简单,只需要在安全模式下删除Windows目录下的Game.exe、Game.dll、Game_Hook.dll以及Gamekey.dll文件,然后重新启动计算机。至此,灰鸽子已经被清除干净。小结本文给出了一个手工检测和清除灰鸽子的通用方法,适用于我们看到的大部分灰鸽子木马及其变种,然而仍有极少数变种采用此种方法无法检测和清除。同时,随着灰鸽子新版本的不断推出,作者可能会加入一些新的隐藏方法、防删除手段,手工检测和清除它的难度也会越来越大。当你确定机器中了灰鸽子木马而用本文所述的方法又检测不到时,最好找有经验的朋友帮忙解决
回复
使用道具
举报
千问
|
2006-3-26 09:26:55
|
显示全部楼层
方便来说用专杀木马的软件,但是很华时间。建议自己动手杀木马,这方法最有效又省时间。
回复
使用道具
举报
千问
|
2006-3-26 09:26:55
|
显示全部楼层
到天空软件下载一个木马专杀工具安装进行杀毒!
回复
使用道具
举报
返回列表
发新帖
高级模式
B
Color
Image
Link
Quote
Code
Smilies
您需要登录后才可以回帖
登录
|
立即注册
本版积分规则
发表回复
回帖后跳转到最后一页
千问
主题
0
回帖
4882万
积分
论坛元老
论坛元老, 积分 48824836, 距离下一级还需 -38824837 积分
论坛元老, 积分 48824836, 距离下一级还需 -38824837 积分
积分
48824836
加好友
发消息
回复楼主
返回列表
问答
热门排行
1
QQ三国34到35吃多少人参果
2
布加迪威龙和法拉利哪个更好一点?
3
在手机店买手机后忘开发票了,用了5天出现手机问题去补发票手机店老是拖,该怎么办?
4
信息系统开发有哪些过程模型,如果让你来开发一个图书馆系统,你如何选择过程模型,
5
电脑上的耳麦插座坏了,怎么办,插来插去都没有声音,可以修么?
6
火鹤花的花瓣及肉穗都很小叶子很多是不是要修剪
7
口袋妖怪守护者2冰晶洞窟
8
跪求XP变脸王帐号密码!10点悬赏
9
compaq b1800 手提笔记本2手能卖多少
10
推荐些好看的侦探小说、电影、动漫、电视剧
11
关于牙齿纠正的问题,做过的请进,不要复制他人答案。
12
关于诺基亚5233短信问题
13
血压100/20
14
有没有好看的小说?
15
怎么删除智能ABC
16
下单后没有付款,会出现何种结果
17
耳朵里可能长酒刺
18
炎火猴 学习力帮我看下
19
怎么在手臂上画出伤痕
20
暮光之城月食主题曲
21
西双版纳自助游路线
22
鲁斯王认真刷什么学习力?
23
找个nes游戏
24
淘宝上卖的手绘T恤 图案
25
环烷烃是烷烃吗?
26
初一下学期英语配套第9单元答案
27
如何减肥?
28
忍者村大战有哪些图电脑会动
29
07352338888的电话号码是什么公司的
30
蚂蚁为什么要在自己的窝周围堆沙子
31
姐妹花网名
32
我的松狮犬刚满月 拿回来两天了 就是不吃东西 一直睡觉 一到晚上就一只叫 每天只喝少量的水
33
我想要一对非主流的头像,女生是短头发的!
34
啊呀四千年 中文翻唱
35
广州市面上有哪种牌子的电动轮椅是比较好的?
36
喝不醉呀!
37
初一(下)英语问题
38
为什么加的Q吧退不了
39
悲伤,是否与生俱来????
40
5130安装java版的天天动听打开后总有提示
41
super junior四辑mv
42
精灵乐章副宠怎么升级
43
高中化学必修二的知识总结!急!!!!!
44
小学作文
45
小花仙失踪的套装任务
46
捡到了一块女士手表,好还是不好~???
47
伊苏7 问题
48
能把QQ2009 preview.mis发给我么 邮箱
[email protected]
49
她..什麽性格?
50
我的黑莓8700的选项-安全性-证书里面有很多是过期的证书,这些过期的证书能不能删除???
51
关于<理想>的主题班会课件
52
珠海这边去哪学CNC编程
53
怎么才能刷经验呢?
54
求几张好看的风景图片
55
写研究报告的方法
56
AMD闪龙2800+超频问题,请高手指点.
57
求周杰伦演唱会上改了编曲的歌些
58
请教高手一个凸凹模配合的问题
59
急?CSOL单机版跳出!
60
陈绮贞武汉演唱会什么时候,票价有多少的?
61
大家看那个名字好听呢???
62
魔兽世界推荐一个DPS职业??
63
谁能帮我点亮游戏人生 行的话 我QQ964997725
64
2010上海迪斯尼7月能建成吗
65
电脑硬件兼容性评估(整体性能+瓶颈建议)
66
我的电脑键盘经常被我弟那去玩真三国,这样键盘会容易坏吧?
67
新课标天天伴我学下册第74页的第6题怎么做
68
构成艺术对现代设计的影响
69
庆阳市都有些什么小吃
70
广州高中免择校
71
作文思路打不开
72
输青霉素多少速度?
73
紧急求助!感情问题
74
急!快要高考了,555,不知道咋办?
75
物业管理有几种职称?
76
谁帮我算下3DMAX注册激活码
77
急急急,关于DNF的问题
78
求英语翻译
79
为什么这么多人相信2012就是世界的末日?
80
土壤是自然界的重要组成部分,与人类生存和发展息息相关,系列关于保护土地的做法不恰当的是
81
魔兽世界推荐一个治疗职业??
82
河北公共素质教育与考试心理
83
面对着无聊的现实,做什么可以尽快赚到钱
84
超级QQ在线增不增加黄钻和会员成长值?
85
我血热该怎么办
86
第六大陆用什么PS最好?
87
若a-b=2,c-a=-1,则(c-b)^2的值为
88
除了鼓楼有英语角,还有哪里有英语角,具体什么时间?
89
未来的房子 想象作文
90
江苏境内哪有幼师专业或学日语的学校
91
打字加图片如何不跳行
92
玩圣安地列斯卡急求各位高手帮忙!!
93
水货机怎么售后维修?
94
夏侯悙刚烈郭嘉
95
精灵牧场连接超时怎么回事
96
站在山顶上,我不敢奢望永久的占领,只是想求证一次人应有的精神海拔
97
欢迎新加坡到邵武 用英语怎么说?
98
好友来偷我的菜我却偷不到他的怎么样才不让他偷
99
暴君 我来自军情9处txt免费下载
100
回乐峰前沙似雪 受降城外月如霜。是怎样描写景物的