如何檢測(cè)我們的系統(tǒng)里面存在木馬程序

申請(qǐng)免費(fèi)試用、咨詢電話：400-8352-114

首先，查看system.ini、win.ini、啟動(dòng)組中的啟動(dòng)項(xiàng)目。由“開始→運(yùn)行”，輸入msconfig，運(yùn)行Windows自帶的“系統(tǒng)配置實(shí)用程序”。第一步我們可以查看system.ini文件，選中“System.ini”標(biāo)簽，展開[boot]目錄，查看“shell=”這行，正常為“shell=Explorer.exe”，如果不是這樣，就可能中了木馬了。第二步就是查看win.ini文件，選中win.ini標(biāo)簽，展開[Windows]目錄項(xiàng)，查看“run=”和“l(fā)oad=”行，等號(hào)后面正常應(yīng)該為空。第三步就是查看啟動(dòng)組，看看啟動(dòng)標(biāo)簽中的啟動(dòng)項(xiàng)目，有沒有什么非正常項(xiàng)目？要是有象netbus、netspy、bo等關(guān)鍵詞，極有可能就是木馬了。我們一般都將啟動(dòng)組中的項(xiàng)目保持在比較精簡(jiǎn)的狀態(tài)，不需要或無(wú)大用途的項(xiàng)目都屏蔽掉了。只是選中了與注冊(cè)表檢查、音量控制、輸入法和能源保護(hù)相關(guān)的啟動(dòng)欄。到時(shí)要是有木馬出現(xiàn)，自是一目了然。第四步就是查看注冊(cè)表，由“開始→運(yùn)行”，輸入regedit，確定就可以運(yùn)行注冊(cè)表編輯器。再展開至：“HKEY-LOCAL-MACHINESoftware Microsoft WindowsCurrentVersionRun”目錄下，查看鍵值中有沒有自己不熟悉的自動(dòng)啟動(dòng)文件項(xiàng)目，比如netbus、netspy、netserver等的單詞。注意，有的木馬程序生成的服務(wù)器程序文件很像系統(tǒng)自身的文件，想由此偽裝蒙混過(guò)關(guān)。比如Acid Battery木馬，它會(huì)在注冊(cè)表項(xiàng)“HKEY-LOCAL-MACHINESOFTWAREMicrosoftWindows CurrentVersionRun”下加入Explorer=“C:Windowsexpiorer.exe”，木馬服務(wù)器程序與系統(tǒng)自身的真正的Explorer之間只有一個(gè)字母的差別！然后我們通過(guò)類似的方法對(duì)下列各個(gè)主鍵下面的鍵值進(jìn)行檢查： HKEY-LOCAL-MACHINESoftware MicrosoftWindowsCurrentVersionRunOnce HKEY-LOCAL-MACHINESoftware MicrosoftWindowsCurrentVersionRunOnceEx HKEY-LOCAL-MACHINESoftware MicrosoftWindowsCurrentVersionRunServices HKEY-LOCAL-MACHINESoftware MicrosoftWindowsCurrentVersionRunServicesOnce 如果操作系統(tǒng)是Windows NT/2000，還得注意HKEY-LOCAL-MACHINESoftware SAM下面的內(nèi)容，如果有項(xiàng)目，那極有可能就是木馬了。正常情況下，該主鍵下面是空的。當(dāng)然在注冊(cè)表中還有很多地方都可以隱藏木馬程序，上面這些主鍵是木馬比較常用的隱身之處。除此之外，象HKEY-CURRENT-USERSoftwareMicrosoft WindowsCurrentVersionRun、HKEY-USERS****SoftwareMicrosoftWindowsCurrent VersionRun的目錄下都有可能成為木馬的藏身之處。最好的辦法就是在HKEY-LOCAL-MACHINESoftware MicrosoftWindows CurrentVersionRun或其他主鍵下面找到木馬程序的文件名，再通過(guò)其文件名對(duì)整個(gè)注冊(cè)表進(jìn)行全面搜索就知道它有幾個(gè)藏身的地方了。如果有留意，你會(huì)發(fā)現(xiàn)注冊(cè)表各個(gè)主鍵下都會(huì)有個(gè)叫“(默認(rèn))”名稱的注冊(cè)項(xiàng)，而且數(shù)據(jù)顯示為“(未設(shè)置鍵值)”，也就是空的，這是正?，F(xiàn)象。如果發(fā)現(xiàn)這個(gè)默認(rèn)項(xiàng)被替換了，那么替換它的就是木馬了。

發(fā)布：2007-04-16 17:24 編輯：泛普軟件 · xiaona [打印此頁(yè)] [關(guān)閉]

相關(guān)欄目：