網際論壇 - Powered by Discuz! Board

標題: 〔知識〕如何檢測我們的系統裏面存在木馬程式 [打印本頁]

作者: sodown 時間: 2006-7-20 12:26 PM 標題: 〔知識〕如何檢測我們的系統裏面存在木馬程式

作者： free
來源： internet
日期：

首先，查看system.ini、win.ini、啟動組中的啟動專案。由“開始→運行”，輸入msconfig，運行Windows自帶的“系統配置實用程式”。第一步我們可以查看system.ini文件，選中“System.ini”標籤，展開[boot]目錄，查看“shell=”這行，正常為“shell=Explorer.exe”，如果不是這樣，就可能中了木馬了。

第二步就是查看win.ini文件，選中win.ini標籤，展開[Windows]目錄項，查看“run=”和“load=”行，等號後面正常應該為空。

第三步就是查看啟動組，看看啟動標籤中的啟動項目，有沒有什麼非正常項目？要是有象netbus、netspy、bo等關鍵字，極有可能就是木馬了。

我們一般都將啟動組中的項目保持在比較精簡的狀態，不需要或無大用途的專案都遮罩掉了。只是選中了與註冊表檢查、音量控制、輸入法和能源保護相關的啟動欄。到時要是有木馬出現，自是一目了然。

第四步就是查看註冊表，由“開始→運行”，輸入regedit，確定就可以運行註冊表編輯器。再展開至：“HKEY-LOCAL-MACHINE\Software\ Microsoft\ Windows\CurrentVersion\Run”目錄下，查看鍵值中有沒有自己不熟悉的自動啟動檔專案，比如netbus、netspy、netserver等的單詞。注意，有的木馬程式生成的伺服器程式檔很像系統自身的檔，想由此偽裝蒙混過關。比如Acid Battery木馬，它會在註冊表項“HKEY-LOCAL-MACHINE\SOFTWARE\Microsoft\Windows\ CurrentVersion\Run”下加入Explorer=“C:\Windows\expiorer.exe”，木馬伺服器程式與系統自身的真正的Explorer之間只有一個字母的差別！

然後我們通過類似的方法對下列各個主鍵下面的鍵值進行檢查：

HKEY-LOCAL-MACHINE\Software \Microsoft\Windows\CurrentVersion\RunOnce

HKEY-LOCAL-MACHINE\Software\ Microsoft\Windows\CurrentVersion\RunOnceEx

HKEY-LOCAL-MACHINE\Software\ Microsoft\Windows\CurrentVersion\RunServices

HKEY-LOCAL-MACHINE\Software\ Microsoft\Windows\CurrentVersion\RunServicesOnce

如果作業系統是Windows NT/2000，還得注意HKEY-LOCAL-MACHINE\Software\ SAM下面的內容，如果有專案，那極有可能就是木馬了。正常情況下，該主鍵下面是空的。當然在註冊表中還有很多地方都可以隱藏木馬程式，上面這些主鍵是木馬比較常用的隱身之處。除此之外，象HKEY-CURRENT-USER\Software\Microsoft\ Windows\CurrentVersion\Run、HKEY-USERS\****\Software\Microsoft\Windows\Current Version\Run的目錄下都有可能成為木馬的藏身之處。最好的辦法就是在HKEY-LOCAL-MACHINE\Software\ Microsoft\Windows\ CurrentVersion\Run或其他主鍵下面找到木馬程式的檔案名，再通過其檔案名對整個註冊表進行全面搜索就知道它有幾個藏身的地方了。

如果有留意，你會發現註冊表各個主鍵下都會有個叫“(默認)”名稱的註冊項，而且資料顯示為“(未設置鍵值)”，也就是空的，這是正常現象。如果發現這個默認項被替換了，那麼替換它的就是木馬了。

歡迎光臨網際論壇 (http://centurys.net/)