可恶的木马……

最佳答案 - 由投票者2006-07-18 01:32:00选出

长时间不杀会损坏电脑!
要手动杀毒!不懂就请教别人!
祝你机上的木马死光光!


木马的清除和防范?

木马程序不同于病毒程序，通常并不象病毒程序那样感染文件。木马一般是以寻找后门、窃取密码和重要文件为主，还可以对电脑进行跟踪监视、控制、查看、修改资料等操作，具有很强的隐蔽性、突发性和攻击性。由于木马具有很强的隐蔽性，用户往往是在自己的密码被盗、机密文件丢失的情况下才知道自己中了木马。在这里将介绍如何检测自己的机子是否中了木马，如何对木马进行清除和防范。

木马检测

　　1、查看开放端口

　　当前最为常见的木马通常是基于TCP/UDP协议进行Client端与Server端之间的通讯的，这样我们就可以通过查看在本机上开放的端口，看是否有可疑的程序打开了某个可疑的端口。例如冰河使用的监听端口是7626，Back Orifice 2000使用的监听端口是54320等。假如查看到有可疑的程序在利用可疑端口进行连接，则很有可能就是中了木马。查看端口的方法有几种：

　　(1)使用Windows本身自带的netstat命令

　　　C:\>netstat -an
　　　Active Connections

　　　
　　(2)使用windows2000下的命令行工具fport

　　　E:\software>Fport.exe
　　　FPort v2.0 - TCP/IP Process to Port Mapper
　　　Copyright 2000 by Foundstone, Inc.
　　　http://www.foundstone.com

　　　
　　　(3)使用图形化界面工具Active Ports

　　这个工具可以监视到电脑所有打开的TCP/IP/UDP端口，还可以显示所有端口所对应的程序所在的路径，本地IP和远端IP(试图连接你的电脑IP)是否正在活动。这个工具适用于Windows NT/2000/XP平台。

　　2、查看win.ini和system.ini系统配置文件

　　查看win.ini和system.ini文件是否有被修改的地方。例如有的木马通过修改win.ini文件中windows节 的“load=file.exe ，run=file.exe”语句进行自动加载。此外可以修改system.ini中的boot节，实现木马加载。例如 “妖之吻” 病毒，将“Shell=Explorer.exe” （Windows系统的图形界面命令解释器）修改成“Shell=yzw.exe”，在电脑每次启动后就自动运行程序yzw.exe。修改的方法是将“shell=yzw.exe”还原为“shell=explorer.exe”就可以了。

　　3、查看启动程序

　　如果木马自动加载的文件是直接通过在Windows菜单上自定义添加的，一般都会放在主菜单的“开始->程序->启动”处，在Win98资源管理器里的位置是“C:\windows\start menu\programs\启动”处。通过这种方式使文件自动加载时，一般都会将其存放在注册表中下述4个位置上： 
　　HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion
\Explorer\Shell Folders 　　　　
　　HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion
\Explorer\User Shell Folders 　
　　HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion
\Explorer\User Shell Folders　　 　
　　HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion
\Explorer\Shell Folders
　　检查是否有可疑的启动程序，便很容易查到是否中了木马。
　　在Win98系统下，还可以直接运行Msconfig命令查看启动程序和system.ini、win.ini、autoexec.bat等文件。

　　4、查看系统进程

　　木马即使再狡猾，它也是一个应用程序，需要进程来执行。可以通过查看系统进程来推断木马是否存在。
在Windows NT/XP系统下，按下“CTL+ALT+DEL”，进入任务管理器，就可看到系统正在运行的全部进程。在Win98下，可以通过Prcview和winproc工具来查看进程。查看进程中，要求你要对系统非常熟悉，对每个系统运行的进程要知道它是做什么用的，这样，木马运行时，就很容易看出来哪个是木马程序的活动进程了。


木马是如何侵入系统的?

网络是互联的，当你从中获取资源的同时，也要经受其中的考验，木马程序会修改并破坏电脑的系统和文件，除了安装杀毒软件（包括防火墙）外，还应该尽可能地掌握系统文件知识。下面简单介绍一下木马的加载方式：

　　加载方式：定位于System．ini和Win．ini文件

　　System.ini(位置C:\windows\)

　　[boot]项原始值配置：“shell=explorer.exe”，explorer.exe是Windows的核心文件之一，每次系统启动时，都会自动加载。

　　[boot]项修改后配置：“shell=explorer C:\windows\xxx.exe”(xxx.exe假设一木马程序)。

　　Win.ini(位置C:\windows\)

　　[windows]项原始值配置：“load=”；“run=”，一般情况下，等号后无启动加载项。

　　[windows]项修改后配置：“load=”和“run=”后跟非系统、应用启动文件，而是一些你不熟悉的文件名。

　　解决办法：

　　执行“运行→msconfig”命令，将System.ini文件和Win.ini文件中被修改的值改回原值，并将原木马程序删除。若不能进入系统，则在进入系统前按“Shift+F5”进入Command Prompt Only方式，分别键入命令edit system.ini和edit win.ini进行修改。

　　加载方式：隐藏在注册表中（此方式最为隐蔽）。

　　注意以下注册表项：HKEY LOCAL MACHINE\Software\classes\exefile\shell\open\command\

　　原始数值数据："%1"%

　　被修改后的数值数据：C:\system\xxx.exe "%1"%
　　原注册表项是运行可执行文件的格式，被修改后就变为每次运行可执行文件时都会先运行C:\system\xxx.exe这个程序。

　　例如：开机后运行QQ主程序时，该xxx.exe（木马程序）就先被加载了。

　　解决办法：

　　当通过防火墙得知某端口被监听，立即下线，检查注册表及系统文件是否被修改，找到木马程序，将其删除。

　　所谓“病从口入” 感染源还是在于加载了木马程序的服务器端。目前，伪装可执行文件图标的方法很多，如：修改扩展名，将文件图标改为文件夹的图标等，并隐藏扩展名，因此接收邮件和下载软件时一定要小心。许多木马程序的文件名很像系统文件名，造成用户对其没有把握，不敢随意删除，因此要不断增长自己的知识才可防备万一。

　　可以借助一些软件来狙击木马，如：The Cleaner、Trojan Remover等。建议经常去微软网站下载补丁包来修补系统；及时升级病毒库。


常见病毒分类

　　1.Windows病毒

　　主要指针对Win9X操作系统的病毒。现在的电脑用户一般都安装Windows系统，Windows病毒一般感染Win9X系统，其中最典型的病毒有CIH病毒。但这并不意味着可以忽略系统是WindowsNT系列(包括Windows2000)的计算机。一些Windows病毒不仅在Windows9X上容易感染，还可以感染WinNT上的其它文件。主要感染的文件扩展名为EXE、SCR、DLL、OCX等。

　　2.DOS病毒

　　电脑病毒发展初期因为操作系统大多为DOS系统，指针对DOS操作系统开发的病毒。目前几乎没有新制作的DOS病毒，由于Windows9X病 毒的出现，DOS病毒几乎绝迹。但DOS病毒在Win9X环境中仍可以发生感染，因此若执行染毒文件，Win9X用户也会被感染。

　　3.蠕虫类病毒

　　通过计算机网络传播，不改变文件和资料信息，利用网络从一台机器的内存传播到其他机器的内存，计算网络地址，将自身的病毒通过网络发送。有时它们在系统存在，一般除了内存不占用其他资源。可以说这是Windows病毒的一个分支，但它比一般只感染EXE文件通过文件传播的Windows病毒更凶狠。像蠕虫病毒尼坶达，它不但会感染EXE文件，还会通过局域网，电子邮件网页等途径进行传播。

　　4.木马类程序

　　之所以叫它是程序而不是病毒，是因为这类的程序定义界限比较模糊。一个木马程序可以被用作正常的途径，也可以被一些别有用心的人利用来做非法的事情。木马程序一般被用来进行远程控制，常被一些别有用心的人用来偷取别人机器上的一些重要文件或是QQ密码等东西。

　　不同类型病毒的清除方式

　　1.感染EXE文件的病毒

　　一般对于此类染毒文件，杀毒软件可以安全地清除文件中的病毒代码还你一个干净的文件(即：清除病毒后文件还能正常使用)。但也有一些病毒因为编写时的BUG或编写者的恶毒用心，感染的文件清除病毒后可能也无法正常地使用。如：被求职信感染的EXE文件，清除病毒后就可能无法正常使用。

　　特别说明：有些EXE文件是由病毒生成的，并不是感染了病毒的文件，对于这样的文件杀毒软件采取的就是删除文件操作，即：按下“清除病毒”=“删除病毒文件”。

　　2.感染了DOC，XLS等Office文档的宏病毒

　　此类病毒一般杀毒软件都能安全清除病毒，清除病毒后的文件可以正常使用。

　　3.木马类程序

　　此类程序其程序本身就是一个危害系统的文件，所以杀毒软件对它的操作都是删除文件，即：“清除病毒”=“删除病毒文件”。

　　最后提醒大家，注意定期更新你的杀毒软件和给系统打补丁，别等到暴风骤雨来了以后才慌乱打补丁升级。