《木马的防范基本方法》由会员分享，可在线阅读，更多相关《木马的防范基本方法（12页珍藏版）》请在金锄头文库上搜索。
1、木马的防范基本方法一、防范木马应该注意的一些问题 1、不到不受信任的网站上下载软件运行2、不随便点击来历不明邮件所带的附件3、及时安装相应的系统补丁程序4、为系统选用合适的正版杀毒软件，并及时升级相关的病毒库5、为系统所有的用户设置合理的用户口令口令设置要求：1.口令应该不少于 8 个字符；2.不包含字典里的单词、不包括姓氏的汉语拼音；3.同时包含多种类型的字符，比如o 大写字母(A,B,C,.Z)o 小写字母(a,b,c.z)o 数字(0,1,2,9)o 标点符号(,#,!,$,%,& )win2000 口令设置方法:当前用户口令：在桌面环境下按 crtl+alt+del 键后弹出选项单，选
2、择其中的更改密码项后按要求输入你的密码（注意：如果以前 administrator 没有设置密码的话，旧密码那项就不用输入，只需直接输入新的密码） 。其他用户口令：在开始-控制面板-用户和密码- 选定一个用户名-点击设置密码二、检查和清除木马可能会使用到命令1、如何进入命令行方式？win98 下在开始运行中输入 command 点确定winnt、win2000、winxp 下在开始运行中输入 cmd 后点确定2、如何使用 netstat 命令？netstat 是用来显示网络连接、路由表和网络接口信息的命令，使用方法是在命令行下输入 netstat -an 后回车，输出结果格式如下：Active
3、 ConnectionsProto Local Address Foreign Address StateTCP 0.0.0.0:135 0.0.0.0:0 LISTENINGTCP 0.0.0.0:445 0.0.0.0:0 LISTENINGTCP 0.0.0.0:1025 0.0.0.0:0 LISTENINGTCP 0.0.0.0:1026 0.0.0.0:0 LISTENINGUDP 0.0.0.0:445 *:*UDP 0.0.0.0:2967 *:*UDP 0.0.0.0:38037 *:*这其中 Proto 项代表是协议类型，Local Address 项代表的是本地 IP 地
4、址和端口（冒号后面为端口号），Foreign Address 项代表的是外部 IP 地址和端口,State 表示的是当前状态。上面这个结果表示这台机器开放了 TCP 的135、445、1025 和 1026 端口，UDP 的 445、2967 和 38027 端口3、如何使用 Fport 命令？Fport 是查看系统进程与端口关联的命令，使用方法是在命令行方式下输入Fport 后回车，输出结果格式如下：Pid Process Port Proto Path472 svchost - 135 TCP C:WINNTsystem32svchost.exe8 System - 445 TCP580
5、MSTask - 1025 TCP C:WINNTsystem32MSTask.exe8 System - 1026 TCP8 System - 445 UDP444 rtvscan - 2967 UDP C:Program FilesNavNTrtvscan.exe812 MsgSys - 38037 UDP C:WINNTSystem32MsgSys.EXE这其中 port 下面代表的是系统当前开放的端口而 path 下面列出的是与该端口关联的程序及其所在位置。从上面这个结果看，系统上 135、445 端口是与C:winntsystem32svchost.exe 程序关联的 1025、10
6、26、445（udp)端口与c:winntsystem32mstask.exe 程序关联的 2967(udp)端口是与 C:Program FilesNavNTrtvscan.exe 程序关联的 38027(udp)端口是与 C:WINNTSystem32MsgSys.EXE 程序关联的注：fport 仅适用于 winnt、win2000 和 winxp，在 win98 下无法使用4、如何编辑注册表？请在开始-运行中输入 regedit 后点确定进入注册表编辑状态。注册表编辑框左边显示的是注册表的项，右边显示的是注册的键值，要删除键值请点中该键值后点右键选择其中的删除。要修改键值请点中该键值后
7、点鼠标右键选择修改。要删除项请选中该项后点右键选删除。5、如何关闭服务？开始 控制面版 管理工具 服务进入服务管理工具，选中要关闭的服务后点右键选停止注：上面方法仅适用于 WINNT、WIN2000 和 WINXP6、如何进入安全模式？系统启动时按 F87、如何杀进程？win98 下按 ALT+CTRL+DEL，在弹出的对话框中选中你要结束的进程后点关闭，winnt、win2000 和 winxp 下按 ALT+CTRL+DEL 弹出窗口后选择任务管理器，在进程一项里选中你要结束的进程后点击结束进程三、常见木马及控制软件的服务端口与关闭方法注意：下文中提到的相关路径根据您的操作系统版本不同会有
8、所不同，请根据自己的系统做相应的调整win98 系统： c:windows c:windowssystemwinnt 和 win2000 系统： c:winnt c:winntsystem32winxp 系统： c:windows c:windowssystem32根据系统安装的路径不同，目录所在盘符也可能不同，如系统安装在 D 盘，请将 C:windows 改为 D:windows 依此类推大部分的木马程序都可以改变默认的服务端口，我们应该根据具体的情况采取相应的措施，一个完整的检查和删除过程如下例所示：例：113 端口木马的清除（仅适用于 windows 系统）：这是一个基于 irc 聊天
9、室控制的木马程序。1.首先使用 netstat -an 命令确定自己的系统上是否开放了 113 端口2.使用 fport 命令察看出是哪个程序在监听 113 端口例如我们用 fport 看到如下结果：Pid Process Port Proto Path392 svchost - 113 TCP C:WINNTsystem32vhos.exe我们就可以确定在监听在 113 端口的木马程序是 vhos.exe 而该程序所在的路径为c:winntsystem32 下。3.确定了木马程序名（就是监听 113 端口的程序）后，在任务管理器中查找到该进程，并使用管理器结束该进程。4.在开始-运行中键入
10、regedit 运行注册表管理程序，在注册表里查找刚才找到那个程序，并将相关的键值全部删掉。5.到木马程序所在的目录下删除该木马程序。 （通常木马还会包括其他一些程序，如，rscan.exe 、psexec.exe 、ipcpass.dic、ipcscan.txt 等，根据木马程序不同，文件也有所不同，你可以通过察看程序的生成和修改的时间来确定与 监听 113 端口的木马程序有关的其他程序）6.重新启动机器。以下列出的端口仅为相关木马程序默认情况下开放的端口，请根据具体情况采取相应的操作：707 端口的关闭：这个端口开放表示你可能感染了 nachi 蠕虫病毒，该蠕虫的清除方法如下：停止服务名为
11、 WINS Client 和 Network Connections Sharing 的两项服务删除 c:winntSYSTEM32WINS目录下的 DLLHOST.EXE 和SVCHOST.EXE 文件编辑注册表，删除HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices 项中名为RpcTftpd 和 RpcPatch 的两个键值1999 端口的关闭：这个端口是木马程序 BackDoor 的默认服务端口，该木马清除方法如下：使用进程管理工具将 notpa.exe 进程结束删除 c:windows目录下的 notpa.exe 程序编辑注册表，删除HK
12、EY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun项中包含 c:windowsnotpa.exe /o=yes 的键值2001 端口的关闭：这个端口是木马程序黑洞 2001 的默认服务端口，该木马清除方法如下：首先使用进程管理软件将进程 windows.exe 杀掉删除 c:winntsystem32 目录下的 windows.exe 和 S_Server.exe 文件编辑注册表，删除将HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunServices项中名为 w
13、indows 的键值将 HKEY_CLASSES_ROOT 和HKEY_LOCAL_MACHINESoftwareCLASSES 项中的 Winvxd 项删除修改 HKEY_CLASSES_ROOTtxtfileshellopencommand 项中的c:winntsystem32S_SERVER.EXE %1 为 C:WINNTNOTEPAD.EXE %1修改HKEY_LOCAL_MACHINESoftwareCLASSEStxtfileshellopencommand 项中的 c:winntsystem32S_SERVER.EXE %1 键值改为 C:WINNTNOTEPAD.EXE %1
14、2023 端口的关闭：这个端口是木马程序 Ripper 的默认服务端口，该木马清除方法如下：使用进程管理工具结束 sysrunt.exe 进程删除 c:windows 目录下的 sysrunt.exe 程序文件编辑 system.ini 文件，将 shell=explorer.exe sysrunt.exe 改为shell=explorer.exe 后保存重新启动系统2583 端口的关闭：这个端口是木马程序 Wincrash v2 的默认服务端口，该木马清除方法如下：编辑注册表，删除HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersion
15、Run项中的 WinManager = c:windowsserver.exe键值编辑 win.ini 文件，将 run=c:windowsserver.exe 改为 run=后保存退出重新启动系统后删除 C:windowssystem SERVER.EXE3389 端口的关闭：首先说明 3389 端口是 windows 的远程管理终端所开的端口，它并不是一个木马程序，请先确定该服务是否是你自己开放的。如果不是必须的，请关闭该服务。win2000 关闭的方法：win2000server 开始程序管理工具 服务里找到 Terminal Services 服务项，选中属性选项将启动类型改成手动，并
16、停止该服务。win2000pro 开始 设置控制面板管理工具 服务里找到Terminal Services 服务项，选中属性选项将启动类型改成手动，并停止该服务。winxp 关闭的方法：在我的电脑上点右键选属性远程，将里面的远程协助和远程桌面两个选项框里的勾去掉。4444 端口的关闭：如果发现你的机器开放这个端口，可能表示你感染了 msblast 蠕虫，清除该蠕虫的方法如下：使用进程管理工具结束 msblast.exe 的进程编辑注册表，删除HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun 项中的windows auto update=msblast.e
