如何检测一个系统中是否有木马程序
2004-08-19 22:09
507 查看
如何检测一个系统中是否有木马程序呢?现仅以一些简单的木马惯用伎俩做说明:
1、启动任务管理器,看其中是否有陌生进程,记录下来,暂时别动它
2、启动注册表编辑器,查看以下几个地方:
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run
...
HKEY_CURRENT_USER/Software/Microsoft/Windows/CurrentVersion/Run
...
看看启动表项里是否有可疑的程序
HKEY_CLASSES_ROOT/exefile/shell/open/command
看看是否有 exe 文件关联型木马程序,正确的键值应该是:"%1" %*
HKEY_CLASSES_ROOT/inffile/shell/open/command
看看是否有 inf 文件关联型木马程序,正确的键值应该是:%SystemRoot%/system32/NOTEPAD.EXE %1
HKEY_CLASSES_ROOT/inifile/shell/open/command
看看是否有 ini 文件关联型木马程序,正确的键值应该是:%SystemRoot%/system32/NOTEPAD.EXE %1
HKEY_CLASSES_ROOT/txtfile/shell/open/command
看看是否有 txt 文件关联型木马程序,正确的键值应该是:%SystemRoot%/system32/NOTEPAD.EXE %1
记录下来,暂时不要更改
3、启动一个 cmd 窗口,netstat -an 看看是否有异常端口,建议去www.sometips.com 下载一个 Active Ports
用来看端口与进程的关系,找出使用异常端口的进程
4、用资源管理器查看winnt/ 及 winnt/system32 的文件(记得显示全部文件,包括受保护文件),按时间排序,找出建立时间或修改时间异常的程序,记录下来
5、开始->程序->启动中是否有奇怪的启动文件
综合以上5步的结果,应该能排出来一个可疑程序的清单,下面就是照单杀马了 :D
6、清除木马的顺序是:
先停止进程 -> 清理注册表相关表项 -> 删除硬盘上木马文件
注:对于有些木马,使用了线程注入或三线程保护方式,需要使用相关工具进行清除(或者自己写写试试,就当是练习 coding)
另外,曾经见过一只马,采用了 autorun 文件关联,在每个分区的根下都有一个 autorun 文件,只要访问这个分区,就会加载木马文件
一个小技巧:exe 文件被关联后,当出现 exe 文件无法打开时,可将regedit.exe 复制为 regedit.com,并运行 regedit.com,将 exe 文件关联改回来即可,前提是系统中没有相关进程在监视这个表项。
以上只是简单说了一下怎么用简单的方法自己判断系统中是否有马,更重要的是预防,最基本的预防方式就是给MS点颜面,勤打补丁,另外就是尽量不要运行可疑程序,还有就是最好有一个强大的防病毒软件,推荐 Norton Antivirus
相关文章推荐
- 如何检测系统是否已经运行了相同的程序。
- 如何检测系统是否已经运行了相同的程序
- (Inno setup打包)检测系统是否已安装程序,若已安装则弹出卸载提示的代码
- 通过分析exevc系统调用处理过程来理解Linux内核如何装载和启动一个可执行程序
- linux下如何检测程序是否运行并重启
- 如何检测使用Qt Creator制作的程序中的括号是否匹配
- [VB.NET]vb.net中如何检测一个已知的文件是否已经被打开或者被其他应用程序调用
- 检测系统是否已经运行了相同的程序
- 请教一个问题,Android应用运行时在调用某个API(比如相机)时,系统如何判断这个应用是否具备相应的权限?
- 通过学习学生信息管理系统软件,C程序中,如何设计和编写一个应用系统
- [windows]如何在batch脚本中检测系统是否安装了python和pip
- android 程序检测是否安装其他一个程序
- 如何检测一个变量是否存在?[转]
- 如何用程序检测系统处理器的存储模式(即是大端存储还是小端存储)
- Python:一个小小程序,如何分析unix是否安装了某个命令
- 教程:系统特征合集.如何查看一个站点是用什么程序做的.
- C#检测是否已经运行了一个当前的程序【搜藏】
- 如何修复 ubuntu 中检测到系统程序错误的问题
- ASP.NET中如何检测一个图片是否是真实图片 防范病毒上传
- 如何开发一个异常检测系统:使用什么特征变量(features)来构建异常检测算法