《木马的检测,清除与防范.doc》由会员分享，可在线阅读，更多相关《木马的检测,清除与防范.doc（5页珍藏版）》请在金锄头文库上搜索。
1、木马的检测、清除与防范木马程序不同于病毒程序，通常并不象病毒程序那样感染文件。木马一般是以寻找后门、窃取密码和重要文件为主，还可以对电脑进行跟踪监视、控制、查看、修改资料等操作，具有很强的隐蔽性、突发性和攻击性。由于木马具有很强的隐蔽性，用户往往是在自己的密码被盗、机密文件丢失的情况下才知道自己中了木马。在这里将介绍如何检测自己的机子是否中了木马，如何对木马进行清除和防范。木马检测1、查看开放端口当前最为常见的木马通常是基于TCP/UDP协议进行Client端与Server端之间的通讯的，这样我们就可以通过查看在本机上开放的端口，看是否有可疑的程序打开了某个可疑的端口。例如冰河使用的监听端口是
2、7626，Back Orifice 2000使用的监听端口是54320等。假如查看到有可疑的程序在利用可疑端口进行连接，则很有可能就是中了木马。查看端口的方法有几种：(1) 使用Windows本身自带的netstat命令C:netstat -anActive ConnectionsProto LocalAddress ForeignAddress StateTCP 0.0.0.0:113 0.0.0.0:0 LISTENINGTCP 0.0.0.0:135 0.0.0.0:0 LISTENINGTCP 0.0.0.0:445 0.0.0.0:0 LISTENINGTCP 0.0.0.0:102
3、5 0.0.0.0:0 LISTENINGTCP 0.0.0.0:1026 0.0.0.0:0 LISTENINGTCP 0.0.0.0:1033 0.0.0.0:0 LISTENINGTCP 0.0.0.0:1230 0.0.0.0:0 LISTENINGTCP 0.0.0.0:1232 0.0.0.0:0 LISTENINGTCP 0.0.0.0:1239 0.0.0.0:0 LISTENINGTCP 0.0.0.0:1740 0.0.0.0:0 LISTENINGTCP 127.0.0.1:5092 0.0.0.0:0 LISTENINGTCP 127.0.0.1:5092 127.0.
4、0.1:1748 TIME_WAITCP 127.0.0.1:6092 0.0.0.0:0 LISTENINGUDP 0.0.0.0:69 *:*UDP 0.0.0.0:445 *:*UDP 0.0.0.0:1703 *:*UDP 0.0.0.0:1704 *:*UDP 0.0.0.0:4000 *:*UDP 0.0.0.0:6000 *:*UDP 0.0.0.0:6001 *:*UDP 127.0.0.1:1034 *:*UDP 127.0.0.1:1321 *:*UDP 127.0.0.1:1551 *:*(2) 使用windows2000下的命令行工具fportE:softwareFpo
5、rt.exeFPort v2.0 - TCP/IP Process to Port MapperCopyright 2000 by Foundstone, Inc.http:/Pid Process Port Proto Path420 svchost - 135 TCP E:WINNTsystem32svchost.exe8 System - 139 TCP8 System - 445 TCP768 MSTask - 1025 TCP E:WINNTsystem32MSTask.exe8 System - 1027 TCP8 System - 137 UDP8 System - 138 UD
6、P8 System - 445 UDP256 lsass - 500 UDP E:WINNTsystem32lsass.exe(3) 使用图形化界面工具Active Ports这个工具可以监视到电脑所有打开的TCP/IP/UDP端口，还可以显示所有端口所对应的程序所在的路径，本地IP和远端IP(试图连接你的电脑IP)是否正在活动。这个工具适用于Windows NT/2000/XP平台。2、查看win.ini和system.ini系统配置文件查看win.ini和system.ini文件是否有被修改的地方。例如有的木马通过修改win.ini文件中windows节的“load=file.exe ，r
7、un=file.exe”语句进行自动加载。此外可以修改system.ini中的boot节，实现木马加载。例如“妖之吻” 病毒，将“Shell=Explorer.exe” （Windows系统的图形界面命令解释器）修改成“Shell=yzw.exe”，在电脑每次启动后就自动运行程序yzw.exe。修改的方法是将“shell=yzw.exe”还原为“shell=explorer.exe”就可以了。3、查看启动程序如果木马自动加载的文件是直接通过在Windows菜单上自定义添加的，一般都会放在主菜单的“开始-程序-启动”处，在Win98资源管理器里的位置是“C:windowsstart menupr
8、ograms启动”处。通过这种方式使文件自动加载时，一般都会将其存放在注册表中下述4个位置上： HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorerShell Folders HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorerUser Shell Folders HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionExplorerUser Shell FoldersHKEY_LOCAL_
9、MACHINESoftwareMicrosoftWindowsCurrentVersionExplorerShell Folders检查是否有可疑的启动程序，便很容易查到是否中了木马。在Win98系统下，还可以直接运行Msconfig命令查看启动程序和system.ini、win.ini、autoexec.bat等文件。4、查看系统进程木马即使再狡猾，它也是一个应用程序，需要进程来执行。可以通过查看系统进程来推断木马是否存在。在Windows NT/XP系统下，按下“CTL+ALT+DEL”，进入任务管理器，就可看到系统正在运行的全部进程。在Win98下，可以通过Prcview和winproc
10、工具来查看进程。查看进程中，要求你要对系统非常熟悉，对每个系统运行的进程要知道它是做什么用的，这样，木马运行时，就很容易看出来哪个是木马程序的活动进程了。5、查看注册表木马一旦被加载，一般都会对注册表进行修改。一般来说，木马在注册表中实现加载文件一般是在以下等处：HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunOnce HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCu
11、rrentVersionRunServicesHKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunServicesOnce HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRunHKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRunOnceHKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRunServices此外在注册表中的HKEY_CLASSE
12、S_ROOTexefileshellopencommand=“%1” %*”处，如果其中的“%1”被修改为木马，那么每次启动一个该可执行文件时木马就会启动一次，例如著名的冰河木马就是将TXT文件的Notepad.exe改成了它自己的启动文件，每次打开记事本时就会自动启动冰河木马，做得非常隐蔽。还有“广外女生”木马就是在HKEY_CLASSES_ROOTexefileshellopencommand=“%1” %*”处将其默认键值改成%1 %*，并在HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunServices添加了名称为D
13、iagnostic Configuration的键值；6、使用检测软件上面介绍的是手工检测木马的方法，此外，我们还可以通过各种杀毒软件、防火墙软件和各种木马查杀工具等检测木马。各种杀毒软件主要有：KV3000,Kill3000、瑞星等，防火墙软件主要有国外的Lockdown，国内的天网、金山网镖等，各种木马查杀工具主要有：The Cleaner、木马克星、木马终结者等。这里推荐一款工具防护工具McAfee VirusScan ，它集合了入侵防卫及防火墙技术，为个人电脑和文件服务器提供全面的病毒防护木马清除检测到电脑中了木马后，就要根据木马的特征来进行清除。查看是否有可疑的启动程序、可疑的进程存
14、在，是否修改了win.ini、system.ini系统配置文件和注册表。如果存在可疑的程序和进程，就按照特定的方法进行清除。主要的步骤都不外乎以下几个：（但并不是所有的木马清除都能够根据下列步骤删除，这里只是介绍清除木马的基本方法）1、删除可疑的启动程序查看系统启动程序和注册表是否存在可疑的程序后，判断是否中了木马，如果存在木马，则除了要查出木马文件并删除外，还要将木马自动启动程序删除。例如Hack.Rbot病毒、后门就会拷贝自身到一些固定的windows自启动项中：WINDOWSAll UsersStart MenuProgramsStartUp WINNTProfilesAll Users
15、Start MenuProgramsStartup WINDOWSStart MenuProgramsStartupDocuments and SettingsAll UsersStart MenuProgramsStartup查看一下这些目录，如果有可疑的启动程序，则将之删除。2、恢复win.ini和system.ini系统配置文件的原始配置许多病毒会将win.ini和system.ini系统配置文件修改，使之能在系统启动时加载和运行木马程序。例如电脑中了“妖之吻”病毒后，病毒会将system.ini中的boot节的“Shell=Explorer.exe”字段修改成“Shell= yzw.exe”,清除木马的方法是把system.ini给恢复原始配置，即将“Shell= yzw.exe”修改回“Shell=Explorer.exe”，再删除掉病毒文件即可。TROJ_BADTRANS.A病毒，也会更改win.ini以便在下一次重新开机时执行木马程序。主要是将win.ini中的windows节的“Run=”字段修改成“Run= C:%W
