|
木马因为隐藏性高、危害性强而被人们所深恶痛绝。其实,木马从本质上来说是一种应用程序,利用该程序可以轻松将中了木马的计算机玩弄于股掌之中。由此可见,木马要发生作用,必须有一个前提就是必须用户运行木马的服务端程序。当然,这种运行用户自己肯定不会主动进行,那么种木马者就必须想方设法,做到让木马能够自动运行。基于这样的道理,找出木马的藏身之处。
8 D2 d% H! `* i" v% m M
0 j0 _( M& d* T( S7 ^8 g$ S 一、集成到程序中3 g( f; J1 [1 V$ `) @
3 y: Q* b8 p5 u3 s2 C
由于用户一般不会主动运行木马程序,而种木马者为了吸引用户运行,他们会将木马文件和其它应用程序进行捆绑,用户看到的只是正常的程序。但是你一旦运行之后,不仅该正常的程序运行,而且捆绑在一起的木马程序也会在后台偷偷运行。
1 z; t v. a9 m# l% a2 @' X8 Z: L% H4 P8 a
这种隐藏在其它应用程序之中的木马危害比较大,而且不容易发现。如果捆绑到系统文件中,那么则会随Windows启动而运行。不过只要我们安装个人防火墙或者启用Windows XP SP2中的Windows防火墙,那么在木马服务端试图连接种木马的客户端时,则会询问是否放行,据此即可判断出自己有无中木马。
6 N0 f9 i* x8 n1 L* f' ~8 ~; B* S# ?( x" R9 w7 D
二、隐藏在媒体文件中% r. v( I! G& a1 E d
1 u4 P. O0 V% O1 U" R 这种类型严格上说,用户还没有中木马。不过它的危害容易被人忽略。通过调查发现,大家对影音文件的警惕性不高。它的常用手段是在媒体文件中插入一段代码,代码中包含了一个网址,当播放到指定时间时即会自动访问该网址,而该网址所指页面的内容却是一些网页木马或其它危害。
4 }% f1 r$ L& k j9 O5 x' Z V1 G& a6 H1 T
因此,当我们在播放网上下载的影片时,如果发现突然打开了窗口,那么切不可好奇而应将其立即关闭,然后跳过该时间段影片的播放。
' r- K( f& i- w2 P' b8 J: t8 S+ g% i" Q0 G# G0 v# ^0 F
三、隐藏在System.ini
j6 t4 Q2 p, [' b3 t4 ?# [. u
# ]+ Q3 w8 \' |9 p& q System.ini中也是我们找出木马藏身之地的一个绝佳地方。运行“msconfig”打开系统配置实用程序,切换到“SYSTEM.INI”标签,也可以直接打开Windows安装目录下的System.ini文件,然后查看[boot]区域中“shell=”这一行,如果显示“shell=Explorer.exe”,则表示正常。如果是其它内容,那么则说明可能中木马了。其次在[386Enh]区域,同样要检查“driver=路径\程序名”,如果发现有来历不明的文件名那么也可能是木马。
6 [( j3 ^/ t& b4 `5 R4 A$ P4 q7 q$ c1 M; v. U
四、隐藏在Win.ini
$ i9 Z7 i9 O/ m& r b. E7 p
4 T0 H- c% L) ~: f7 o8 G0 w1 c. t% V 与System.ini相似,Win.ini中也是木马喜欢加载的一个地方。对此我们可以打开系统目录下的Win.ini文件,然后查看[Windows]区域“load=”和“run=”,正常情况下它们后面应该是空白,如果你发现它们后面加了某个程序,那么加载的程序则可能是木马,需要将它们删除。3 i8 Q; e) V \5 W9 y2 i$ [$ ^
6 A) K( V. o9 j5 V1 F! d
五、隐藏在Autoexec.bat4 x8 N; \, n6 w3 \5 h9 w
r- u. y4 ~' \3 s, b
在C盘根目录下有一个Autoexec.bat文件,这里的内容将会在系统启动时自动运行。与该文件类似的还有Config.sys。因为它自动运行,因此也成为木马的一个藏身之地。对此我们同样需要打开这两个文件,检查里面是否加载了来历不明的程序在运行。& e' K6 {7 C1 ]: W
# }" w& w1 j4 M: ] T% Q6 m' t 六、任务管理器/ D& h: f2 n; z* _" [" A
8 M. `1 }3 N$ ?
部分木马运行后我们可以在任务管理器中找出它的踪迹。在任务栏上右击,在弹出的菜单中选择“任务管理器”,将打开的窗口切换到“进程”标签,在这里查看有没有占用较多资源的进程,有没有不熟悉的进程。若有,可以先试着将它们关闭。另外要特别注意Explorer.exe这类进程,因为很多木马会使用Exp1orer.exe进程名,即把l换成1,用户不仔细查看,还以为是系统进程呢。9 L0 p4 Z3 Z j- `; U" R! k7 W
5 e. X# K+ ]0 r; J) n) H; j
七、启动
% V1 N4 ~- J4 |; i3 ?
% _& K9 @5 Y* N+ [* f6 r1 Q 在Windows XP中,我们可以运行“msconfig”,将打开的窗口切换到“启动”标签,在这里可以看到所有启动加载的项目,此时就可以根据“命令”和“位置”来判断是启动加载的是否为木马。如果判断为木马则可以将其启动取消,然后再作进一步的处理。9 n) b) e7 q* W8 ]( t2 f
, ?# @8 n! q; ^* t* w
八、注册表
- k6 I$ p; t2 C5 u/ a/ ^
, x/ B U! z- u- ^3 K- i; g# t; y* ~ 我们程序的运行控制大多是由注册表控制的,因此我们有必要对注册表进行检查。运行“regedit”打开注册表编辑器,然后依次检查如下区域:
; z. D$ N9 U4 ?
" F- Y! `0 d1 H; ~( ?( GHKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion、
" N( a6 r1 `7 \# q% a* f
; u8 y9 X8 A# eHKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion、' F, Q1 a# L! x" B* z
1 F5 T6 b7 O8 f% o8 g9 l! i1 ?
HKEY_USERS\.Default\Software\Microsoft\Windows\CurrentVersion,看看这三个区域下所有以“run”开头的键值,如果键值的内容指向一些隐藏的文件或自己从未安装过的程序,那么这些则很可能是木马了。) O! |" m' g4 F5 U; R
& _# o; [! ]" Q, K% z1 C 木马之所以能够为非作歹,正是因为其善于隐藏自己。不过我们掌握了其藏身之处,那么则可以将其一一清除。当然,木马在实际的伪装隐藏自己中,可能会综合使用上面一种或几种方法来伪装,这就需要我们在检查清除时,不能只检查其中的部分地点。 |
评分
-
1
查看全部评分
-
|