yoyo007
論壇貴賓
 
菸草撐住的日子
  
積分 38778
發文 6170
註冊 2005-9-10
來自 滅絕希望的世界
狀態 離線
|
|
2007-10-18 12:49 PM |
|
yoyo007
論壇貴賓
菸草撐住的日子
積分 38778
發文 6170
註冊 2005-9-10
來自 滅絕希望的世界
狀態 離線
|
 #2
以下文章轉載自：偉大的網際網路...
圖片上傳及編排：http://www.centurys.net/index.php
利用 Autoruns 輕鬆判斷是否中毒 & 輕鬆 DIY 清除木馬。
一、前言
Autoruns 是一款由 Microsoft 所推出的工具，擁有不遜於 SREng 的報表能力，有些部份甚至贏過 SREng。與 SREng 不同的是，Autoruns 可以方便快速的檢查啟動項，我認為很適合一般使用者自行檢查是否有中毒情形。
•近來有很多惡意程式會利用 IFEO (映像劫持) 造成工具無法開啟。
若 Autoruns 無法執行，請自行更換名稱、副檔名。
•任何工具都是兩面刃，操作請務必小心謹慎！
Autoruns 適用處理範圍：木馬、間諜、廣告、後門、大致上全部都可以處理，不過有部份會進行檔案感染的蠕蟲就無法簡單的使用工具處理了。
二、木馬基礎概念
防毒軟體偵測到木馬，但是卻刪不掉，或者刪除過後又再生，這因該很多人都碰過，也是許多人的夢魘。究竟為什麼會造成這個原因呢？
一隻完整的木馬，通常不會只有一個檔案，它會利用各種手動想辦法不要被刪除，於是產生很多生成物，這些生成物之前彼此保護，防毒軟體通常都沒砍乾淨，甚至連偵測到都沒有，這就是所謂「斬草不除根，春風吹又生」，要徹底清除木馬，得砍掉他最重要的啟動程式。
木馬也只是個普通的程式，若沒特殊條件進行啟動，根本無法運作，且最常利用的方式就是登錄檔，但是那麼繁雜混亂的登錄檔，一般人根本無從判斷起，也絲毫沒有頭緒，這時候就該借助工具了，Autoruns 就是一款操作簡單，判斷容易的安全軟體，足以讓您 DIY 清除木馬。
三、自動判定啟動項、產生記錄檔
當檔案下載完成，且解壓縮之後，雙按 [autoruns.exe] 程式就會啟動了。
這就是這款軟體為什麼可以簡單判斷登錄檔的原因了。
透過連接 Microsoft 資料庫，且自動隱藏驗證過的 Microsoft 物件，達到大幅度簡化 Log 效果。
接下來進行輸出 Log 的動作，方便日後運用。
接著請輸出 Log，一來有需要時可提供給版上大大判讀，二來需要有 Log 才能使用 Autoruns 經典功能之一。
四、啟動項的判斷
判斷啟動項有兩種方法，一種是節省時間，也較為方便的方法，不過還是得靠一點經驗。
方法 1：網路搜尋資料。
方法 2：VT 判讀法。
VT 網址：http://www.virustotal.com/en/virustotalf.html
稍微簡介一下 VT，VT 就是一個專門提供掃描服務的網站，內含非常多的防毒引擎，也就是說您可以一次使用數十種防毒軟體來檢查這個檔案。
•由於很多檔案會以「隱藏檔」、「作業系統檔」的形式存在，
所以請先 行修改資料夾選項，否則可能會無法找到檔案。
修改資料夾選項的步驟大致如下，由於操作簡單，就不用太多圖片說明，改用文字說明呈現。
① 按「我的電腦」。
② 工具 > 資料夾選項 。
③ 然後上方選擇到檢視。
④ 之後請見下圖操作。
由於有些檔案屬性是「作業系統檔案」、「隱藏檔」，所以需要修改資料夾選項才可看見，請照圖操作。
修改過後請自行手動連結到 VT：http://www.virustotal.com/en/virustotalf.html
若自己不敢確定，可以嘗試回報防毒軟體公司，或者請其他大大協助判斷、回報。
五、威脅處理
要清理一隻木馬要分兩個部份，登錄檔 (Registry)、實體檔案。
Autoruns 只能處理登錄檔，實體檔案部份請自行運用工具處理，只要是能刪除檔案的工具都可以，沒了啟動項，木馬不過就是破銅爛鐵。
當確認有威脅，且刪除登錄檔過後，請重新啟動一次電腦，再刪除實體檔案，確保操作期間不會受到干擾。
若手動還是刪除不了，可以運用一下刪除工具，這種工具各位因該都多少會幾款，就不詳細說明了。
可運用的刪除工具有：Unlocker、KillBox、費爾木馬強力清除助手、Icesword、Gmer ...等等)
•建議清除步驟簡述
步驟一：
請先準備相關會應用到的工具。 EX：(Unlocker、KillBox、費爾木馬強力清除助手，隨便選一款自己會用的就好。)
步驟二：關閉系統還原、清空 IE 暫存檔。
步驟三：進入安全模式。
步驟四：啟動「Autoruns」，照上圖說明刪除登錄檔。
步驟五：請再度重新開機，且再度進入安全模式。
步驟六：使用刪除工具，對實體檔案進行刪除。
備註：可能得修改資料夾選項才看的到檔案；
如何修改資料夾選項文中有提到，請自行查閱。
P.S 清除方法有很多種，以上是個人推薦之清除方案。
還是強調，工具操作請謹慎小心。
六、在未來懷疑中毒？自己 DIY 比對 Log！
這就是為何麼推廣此軟體的原因了，可以進行「前後比對」，當未來某一天您懷疑有中木馬時，可以輸出 Log 進行比對。
•Options 設定部份請不要進行任何修改，保持「驗證代碼簽署、隱藏已簽署的微軟項目」
以免造成一些混亂狀況發生。
七、結論
這款軟體我早就想推廣了，自行檢查啟動項，及未來當作比對用途，都非常方便，也非常適合一般大眾。
剛好碰到端午連續假期，花了兩天的時間編輯完成，由於進度匆忙，若發現有錯誤煩請指正。
為了推廣此工具，歡迎各位自由轉載。
|
我從遠方來．你到遠方去
風。穿膛而過
蒼茫的月色．灼傷誰的眼眸… |
|
|
2007-10-18 12:50 PM |
|
xp20060726
榮譽會員
隨緣放下,輕安自在.
 
積分 82058
發文 8761
註冊 2006-7-26
來自 無緣大慈,同體大悲.
狀態 離線
|
#3 感謝提供分享!
這款軟體很實用,還附帶使用教學圖示,
留在USB中可以隨時使用到,
經常有友人的電腦遭病毒侵襲,這時候就可以派上用場了!!
感謝您的分享!!!
(下載正常約400K/S)
|
|
|
2007-10-18 02:15 PM |
|
sme
VIP會員
 
積分 11340
發文 392
註冊 2005-9-26
來自 台中
狀態 離線
|
#4
這有必要把版大這詳細的文章加以儲存，方便日後練習操作之用，畢竟"不怕一萬"，
只怕萬一 !!
|
|
|
2007-10-18 02:29 PM |
|
小傑；Jay
中級會員
積分 1376
發文 200
註冊 2007-7-4
來自 【情盡夜上海】
狀態 離線
|
#5
感謝ＹｏＹｏ兄的詳細教學
讓我對這套軟體更了解一點
感謝ＹｏＹｏ兄＞＿＜ｙ
|
我的部落格*
http://blog.pixnet.net/Linux99Sun |
|
|
2007-10-18 08:44 PM |
|
tenhon
資深會員
積分 3760
發文 632
註冊 2006-11-13
狀態 離線
|
#6
好東西！這麼詳細的教學當然要仔細研究一下，開機自動執行的東西還真是不少....
|
|
|
2007-10-18 09:18 PM |
|
e722146
金卡會員
積分 17398
發文 5052
註冊 2006-5-13
來自 高雄
狀態 離線
|
#7
可以輕鬆判斷病毒及 DIY 清除木馬的好軟体喔！
多謝大大愛心提供軟体載點喔！
趕緊備份安裝試用看看吧！
|
 |
|
|
2007-10-18 10:17 PM |
|
osk
金卡會員
化龍轉鳳趴趴走
積分 21354
發文 2612
註冊 2005-9-5
來自 地球=防衛隊
狀態 離線
|
#8
教學過長.看的有些眼花撩亂..呵..呵
感覺此程式功能還不錯.是值得下載使用~
感謝 版兄無私分享 ^^
|
 |
|
|
2007-10-19 01:01 AM |
|
benleung
資深會員
積分 4188
發文 605
註冊 2006-5-7
狀態 離線
|
#9
今天收穫真是不小,
圖文講解正是YOYO版大一貫作風,清晰明確
相信花了大大不小時間,辛苦大大了
|
|
|
2007-10-19 01:05 AM |
|
丹頂鶴
進階會員
積分 1971
發文 149
註冊 2005-9-12
狀態 離線
|
#10
內行看門道，外行看熱鬧。
我是屬於後者。
台上講得鏗鏘有力，台下努力拍手叫好。
我又是屬於後者。
至少看著看著，努力學習台上跑龍套。
|
|
|
2007-10-19 02:45 AM |
|
ccsyah
中級會員
積分 1399
發文 214
註冊 2006-3-4
狀態 離線
|
|
|
2007-10-19 10:04 AM |
|
tsjking
高級會員
積分 6906
發文 982
註冊 2007-1-20
來自 台灣台東
狀態 離線
|
#12
好用的工具,從以前的版本就有在使用,只是以前的功能沒
有現在那麼多,稍為用了一下,真的好用,比兔子的進程及另
一個工具Procmon都還要好用,又加了大大的教學,想不會
都難啊!還是一句!謝謝YOYO大的中文化及教學和分享
|
有下有回真君子!有下無回真小人 |
|
|
2007-10-19 04:27 PM |
|
lin5105
高級會員
積分 6290
發文 1433
註冊 2006-8-13
狀態 離線
|
#13
解說得真詳細!下載來依樣畫葫蘆!對於無所不在的木馬,真是嚇怕了!!
Thanks~~
|
|
|
2007-10-20 02:04 PM |
|
amet
中級會員
積分 1181
發文 314
註冊 2006-3-31
狀態 離線
|
#14
謝謝大大詳細的解說~~太棒了!!這樣就不會麻煩了!謝謝
|
|
|
2007-10-20 11:26 PM |
|
南樂
進階會員
積分 1948
發文 476
註冊 2005-11-17
來自 Taiwan
狀態 離線
|
#15
程度有限，對於半路出家的，還是很深奧，但版主的耐心，還是要慢慢的去瞭解，至少能多充實自己，謝謝。
|
|
|
2007-10-21 03:53 PM |
|
yuhyann
一般會員
積分 510
發文 111
註冊 2006-5-15
來自 Taipei
狀態 離線
|
#16
謝謝分享，對個人來說還須要掙扎一下來消化，
不過下載的速度很快，連網頁都一齊存下來溫習，
感謝版主的教學，用功去了。
|
|
|
2007-10-21 06:39 PM |
|
lynee
中級會員
積分 1214
發文 109
註冊 2005-9-6
狀態 離線
|
#17
解說真詳細，下載也很快∼
一定要收藏的∼
多謝版主喔∼
|
|
|
2007-10-27 06:24 PM |
|
caf
基本會員
積分 152
發文 25
註冊 2005-9-23
來自 台北
狀態 離線
|
|
|
2007-10-28 04:04 PM |
|
t27tt
進階會員
積分 2306
發文 465
註冊 2006-7-30
狀態 離線
|
#19
好詳細的圖，但我這生手也看得有點霧煞煞公司了，先下載再來慢慢琢磨，謝謝~~
|
|
|
2007-10-28 05:22 PM |
|
七彩琉璃雨
論壇貴賓
雲眉站掌門人
積分 21404
發文 1287
註冊 2005-8-31
來自 九重天外 臥雲居
狀態 離線
|
|
|
2007-11-30 11:48 AM |
|
