网络安全：手动清除gh0st远控服务端（2）

网络安全：手动清除gh0st远控服务端（2）

服务名称 6to4 (xp |windows 200|windows 2003)
Ism (win7)
显示名称 Microsoft Device Manager

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\6to4
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_6TO4

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_6TO4
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\6to4
netstat -anbo >>C:\6to4.txt //木马服务停止后，进程缓存dll，可以先记住包含msvcrt.dll进程pid
TCP 192.168.1.103:1046
C:\WINDOWS\system32\mswsock.dll
c:\windows\system32\WS2_32.dll
c:\documents and settings\all users\xxx\XXX.dll
C:\WINDOWS\system32\msvcrt.dll
C:\WINDOWS\system32\kernel32.dll
[svchost.exe]

sc GetKeyName "Microsoft Device Manager" >>c:\6to4.txt //通过显示名称获取服务名称 ftp下载 ， c:\documents and settings\all users\xxx\XXX.dll 还是不能删除就 taskkill上面的进程

1. 描述: SC 是用于与服务控制管理器通信的命令行程序。
用法:
sc <server> [command] [service name] <option1> <option2>...

选项 <server> 的格式为
可以键入 "sc [command]"以获得命令的进一步帮助
命令:
query---------------查询服务的状态，或枚举服务类型的状态。
queryex------------查询服务的扩展状态， 或枚举服务类型的状态。
start----------------启动服务。
pause--------------发送 PAUSE 控制请求到服务。
interrogate--------发送 INTERROGATE 控制请求到服务。
continue-----------发送 CONTINUE 控制请求到服务。
stop----------------发送 STOP 请求到服务。
config--------------(永久地)更改服务的配置。
description--------更改服务的描述。
failure--------------更改服务失败时所进行的操作。
qc-------------------查询服务的配置信息。
qdescription-------查询服务的描述。
qfailure-------------查询失败服务所进行的操作。
delete---------------(从注册表)删除服务。
create---------------创建服务(将其添加到注册表)。
control--------------发送控制到服务。
sdshow--------------显示服务的安全描述符。
sdset----------------设置服务的安全描述符。
GetDisplayName---获取服务的 DisplayName。
GetKeyName--------获取服务的 ServiceKeyName。
EnumDepend-------枚举服务的依存关系。

下列命令不查询服务名称:
sc <server> <command> <option>
boot---------------(ok | bad) 表明是否将上一次启动保存为最后所知的好的启动配置
Lock---------------锁定服务数据库
QueryLock-------查询 SCManager 数据库的 LockStatus

示例 1:注册服务(类似与linux中系统启动自动加载的东西)

sc create SVN binpath= "C:\Program Files\Subversion\bin\svnserve.exe --service -r D:\svn" displayname= "Subversion Server" depend= Tcpip start= auto

其中sc create是sc注册服务命令
svn : 是服务注册时的键名
binpath : 是服务加载程序启动文件的路径和命令参数
displayname ：是服务显示名
depend ：传输依赖的协议
start ：是否自动启动

说明：上面的那个例子是注册一个svn的服务

示例 2:启动服务
sc start MyService

示例 3:删除服务

sc delete[servicename]

比如要删除apache2.2服务，操作如下：sc delete apache2.2

补充:如果用SC命令不能删除服务，可以从注册表里删除。

开始－＞运行　reg delete HKLM\SYSTEM\CurrentControlSet\Services\ServiceName

补充:

windows 注册服务 命令 sc的用法

1.服务显示名和注册键的区别，显示名称主要是在外面显示的名字(如Subversion Server)可以用命令msconfig和service.msc来查看
键名，另一种方法是用regedit注册表中HKEY_LOCAL_MACHINE->system->service中去查看.

键名和显示名的转化：
sc GetKeyName (显示名) ---->由显示名得到键名
sc GetDisplayName (键名)---->由键名得到显示名

2.对服务的操作都得由键名来做，显示名称不起作用

3.得到键名后就可以像linux命令service那样来操作服务

服务启动sc start '键名' 例如: sc start svn
服务停止sc stop '键名' 例如: sc stop svn
服务删除sc delete '键名' 例如: sc delete svn

对于sc的命令，windows不常用，但是在linux下经常用service命令，其实这两个命令都是一样的，通过svn在windows下注册的例子

后面会讨论关于win7上线的问题。
我最近在玩和讯微博，很方便，很实用，你也来和我一起玩吧！
去看看我的微博吧！http://t.hexun.com/3006897/default.html