computer 版 (精华区)

发信人: neverbw (汇编汇编我爱你！), 信区: network
标  题: 木马综述篇：通通透透看木马(4)
发信站: 听涛站 (2001年10月14日22:51:41 星期天), 站内信件

几款常见木马病毒的清除
　　为了方便大家及时快捷地查杀你电脑中的现有木马，现向大家介绍几款木马病毒的
查杀方法。
1.Back Orifice（BO）
　 只要检查注册表\HEKY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersi
on\ RunServices中有无.exe键值。如有，则将其删除，并进入MS-DOS方式，将\Window
s\System中的.exe文件删除（可运用开始菜单中的“搜索”程序帮助你进行查找这一文
件）。
2.Back Orifice 2000(BO2000)
　 只要检查注册表\HEKY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersi
on\RunServices中有无Umgr32.exe的键值，如有，则将其删除。重新启动电脑，并将\W
indows\System中的Umgr32.exe删除。
3.Netspy
　　检查注册表\HEKY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersion\
Run中有无键值Spynotify.exe和Netspy.exe。如有将其删除，重新启动电脑后将\Windo
ws\System中的相应文件删除。
4.Happy99
　　此程序首次运行时，会在荧幕上开启一个名为“Happy new year1999”的窗口，显
示美丽的烟花，此时该程序就会将自身复制到Windows95/98的System目录下，更名为Sk
a.exe，创建文件Ska.dll，并修改Wsock32.dll，将修改前的文件备份为Wsock32.ska，
并修改注册表。
　　用户可以检查注册表\HEKY-LOCAL-MACHINE\Software\Microsoft\Windows\Current
Version\RunOnce中有无键值Ska.exe。如有，将其删除，并删除\Windows\System中的S
ka.exe和Ska.dll两个文件，将Wsock32.ska更名为Wscok32.dll。
5.Picture
　　检查Win.ini系统配置文件中“load=”是否指向一个可疑程序，清除该项。重新启
动电脑，将指向的程序删除即可。
6.Netbus
　　用“Netstat -an”查看12345端口是否开启，在注册表相应位置中是否有可疑文件
。首先清除注册表中的Netbus的主键，然后重新启动电脑，删除可执行文件即可。
7、冰河
　　用纯DOS启动进入系统（以防木马的自动恢复），删除你安装的windows下的system
\kernel32.exe和system\sysexplr.exe两个木马文件，注意如果系统提示你不能删除它
们，则因为木马程序自动设置了这两个文件的属性，我们只需要打开它们的隐藏、只读
属性，方法是键入如下命令：Attrib a h r kernel32.exe或sysexplr.exe即可。
　　删除后进入windows系统进入注册表中，找到[HKEY_LOCAL_MACHINE\SOFTWARE\Micr
osoft \Windows\CurrentVersion\Run]和[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft \
Windows\CurrentVersion\RunServices]两项，然后查找kernel32.exe和sysexplr.exe两
个键值。再找到[HKEY_CLASSES_ROOT\txtfile\open\command],看在键值中是不是已改为
“sysexplr.exe %1”，如是改回"notepad.exe %1” 。
8、Asylum
　　这个木马程序是修改了system.ini win.ini两个文件，先查一下system.ini文件下
面的[BOOT]贡，看看"shell=explorer.exe”，如不是则删除它，用回上面的设置，并记
下原来的文件名以便回过头去在纯DOS下删除它。再打开win.ini文件，看在[windows]项
下的"run=”是不是有什么文件名，一般情况下是没有任何加载值的，如有记下它以便回
过头过在纯DOS下删除相应的文件名。
【责

--
   
       欢迎访问   ftp://neverbw.dhs.org
※ 来源:·听涛站 tingtao.dhs.org·[FROM: 匿名天使的家]