您的位置: ZDNetChina空间 » 三人行 » 博文

做精明的赶马人：木马查找清除攻略

上一篇 / 下一篇 2007-09-28 16:59:03 文章类型：转载

这年头的网络越来越不安全了，黑客制作工具比Word还要简单，随便一个菜鸟都可以借助工具制作出“马”力强劲的攻击武器。看网页、收邮件、聊QQ都有可能被马“踩”到。稍不留意，你的个人信息、账户
、密码等重要信息就会被它“驮”走，你知道如何识马、抓马、赶马吗？下面的招数将告诉你如何对付这些顽劣的马。
一、学伯乐认马识马
木马这东西从本质上说，就是一种远程控制软件。不过远程控制软件也分正规部队和山间土匪。正规部队顾名思义就是名正言顺的帮你远程管理和设置电脑的软件，如Windows XP自带的远程协助功能，一般这类软件在运行时，都会在系统任务栏中出现，明确的告诉用户当前系统处于被控制状态；而木马则属于山间土匪，他们会偷偷潜入你的电脑进行破坏，并通过修改注册表、捆绑在正常程序上的方式运行，使你难觅其踪迹。
木马与普通远程控制软件另外一个不同点在于，木马实现的远程控制功能更为丰富，其不仅能够实现一般远程控制软件的功能，还可以破坏系统文件、记录键盘动作、盗取密码、修改注册表和限制系统功能等。而且你还可能成为养马者的帮凶，养马者还可能会使用你的机器去攻击别人，让你来背黑锅。
二、寻根溯源找到引马入门的罪魁祸首
作为一个不受欢迎的土匪，木马是如何钻进你系统的呢？一般有以下几种主要的传播方式：
最常见的就是利用聊天软件“杀熟”，例如你的QQ好友中了某种木马，这个木马很有可能在好友的机器上运行QQ，并发一条消息给你，诱使你打开某个链接或运行某个程序，如果你不慎点击或运行，马儿就会偷偷跑进来；另外一种流行的方法是买一“送”一，木马会与一些正常的文件捆绑，如与图片文件捆绑，当你浏览图片的时候，木马也会偷偷溜达进来；网页里养马也是一种常见的方法，黑客把做好的木马放到网页上，并诱使你打开，你只要浏览这个页面就可能中招；最后一种常用方法是网吧种植，网吧的机器安全性差，黑客还可以直接在机器上做手脚，所以网吧中带马的机器很多。在网吧上网时受到木马攻击的几率也很大。而且上边这些方法可能还会联合行动，组合在一起对你进行攻击。
三、亡羊补牢如何查杀木马
我们如何判断机器里是否有木马呢？下面有一些简单的方法可以尝试。
STEP1
查看开放端口，作为远程控制软件，木马同样具备远程控制软件的特征。为了与其主人联系，它必须给自己开道门（即端口），因此我们可以通过查看机器开放的端口，来判断是否有木马经过。选择“开始”—“运行”，输入“CMD”后回车，打开命令行编辑界面，在里边输入命令“netstat –an”（见图1），其中“ESTABLISHED”表示已经建立连接的端口，“LISTENING”表示打开并等待别人连接的端口。在打开端口中寻找可疑分子，如7626（冰河木马），54320（Back Orifice 2000）等。

STEP2
查看注册表，为了实现随系统启动等功能，木马都会对注册表进行修改，我们可以通过查看注册表来寻找木马的痕迹，在“运行”中输入“regedit”，回车后打开注册表编辑器，
定位到：HKEY_CURRENT_USERSoftwaremicrosoft
CurrentVersionExplorer下，分别打开Shell Folders、User Shell Folders、Run、RunOnce和RunServices子键，检查里边是否有可疑的内容。再定位到HKEY_LOCAL_MACHINESoftwareMicrosoft

CurrentVersionExplorer下，分别查看上述5个子键中的内容。一旦在里边找到你不认识的程序，就要提高警惕了，很可能木马曾经到此一游。
STEP3
查看系统配置文件，很多木马文件都会修改系统文件，而win.ini和system.ini文件则是被修改最频繁的两个软件。我们需要对其进行定期体检。在“运行”中输入“%systemroot%”，回车后会打开“Windows”文件夹，找到里边的win.ini文件，在里边搜索“windows”字段，如果找到形如“load=file.exe，run=file.exe”这样的语句（file.exe为木马程序名），就要格外小心了，这很可能是木马的主程序。类似的，在system.ini文件中搜索“boot”字段，找到里边的“Shell=ABC.exe”，默认应为“Shell=Explorer.exe”，如果是其他程序则也可能是中了木马。
除此之外，你还可以通过查看系统进程和使用专用木马检测软件的方法，来推断系统中是否存在木马。
关上马厩的门做好木马防御工作
在系统中搜索mshta.exe文件，将其改名，如cfan.exe。再在“运行”中输入“%windows%coMMand”，将里边debug.exe和ftp.exe也改名。打开注册表编辑器，定位到：HKEY_LOCAL_MACHINESOFTWAREMicrosoftInternet ExplorerActiveX Compatibility ，在里边找到“Active Setup controls”子键（如没有需手动建立），再在其下创建新子键，命名为{6E449683_C509_11CF_AAFA_00AA00 B6015C}，在右侧的空白处单击鼠标右键，选择“新键”—“DWORD值”，键名为“Compatibility”，设定键值为“0x00000400”即可。

全部脚印 不留脚印留下脚印:

相关阅读:

教你打造一道超级防御的电脑防火墙 (zhouna, 2007-9-21)
[原创]不出四步巧妙设置确保局域网安全 (阿楠zdnet, 2007-9-21)
防止黑客入侵ADSL的一些技巧 (qinyao, 2007-9-22)
System Repair Engineer (SREng) 2.5 常用操作,使用不再难~~ (zhouna, 2007-9-22)
各种路由器初始地址和密码 (qinyao, 2007-9-23)
我们为什么需要防火墙，我们需要什么样的防火墙？ (qinyao, 2007-9-24)
锁定P2Pwindows网络安全 (zhouna, 2007-9-24)
被病毒蹂躏得不能打开杀毒网站或杀毒软件后的有效措施 (songyuan, 2007-9-24)
保护你的电脑免于中招 (qinyao, 2007-9-26)
绝对值得收藏的,系统DIY,清除各种系统垃圾 (songyuan, 2007-9-26)

导入论坛引用链接收藏分享给好友推荐到圈子管理举报

TAG: 网络安全

引用删除 yidadz / 2008-07-09 22:07:52: 评 5 分

引用删除 aksakshh / 2008-06-15 15:48:48: 苹果机水果机技术打法与建议
当你注意到一个赌友往里面输钱，怎么压怎么不中，而且很少出双星，双7，西瓜。那么你的机会来了，等他走了，你上！等上10分钟不玩，再开始少点压分，可能开始还是不出大的，甚至连大铃铛，大橘子也不出，那么它还处于吃分状态！等出到一个大的时候，那么就差不多该送分了！出一个大的，在5手之内又出一个大的（双星或者西瓜或者大7），那么肯定送分时间到了！！抓住机会，大的一样多压几个，因为可能是同一个连跑，可能是轮换着出大的！
如果中间出了大铃铛或者大橘子，那就跟几手大铃铛或者大橘子！也会接着中的。这段时间基本上是20分钟！前提是在有人在机上输掉不少钱的基础上！原理是吞100吐50，就是说，机器吃掉一定分数，会吐出来一半左右，我们只求那一半就可以了！
苹果机最新技术打法二：
打彩的规律
当转到中间位置，大彩灯了，你注意一下！如果连续两把三把灯熄火，那么这个机器处于吃分状态，换机器吧，不然送多少它吃多少！
如果打彩打到是大铃铛，那么在后3手内还会出大铃铛或者大橘子，概率是60%！
如果打到的是大芒果，那么后一手可能还是大芒果，或者机器马上要处于吃分状态！小心！
如果打到了大星之类，那么下几把还会有大的出！
如果打到了苹果，而且是打了两个苹果！！那么机器会在15手之内出大奖BAR！！概率70%
IGS公司的金凰冠是很难破解的，如果玩家掌握一些规律也能赢到钱的，金凰冠是用时间和开牌的手数来控制出大奖的，可以先记录时间再根据多长时间出大奖（这段时间可以用最小的分数），同样也记录开牌的手数，当下次记录的时间和开牌的手数接近上次出大奖的时候就可以……
机子出现这种情况，如果一个点子上面押的注数太多
指超过五注），那么几乎不中，但不跑空门，则破解方法为：将3，4，5均押6注，8押4注，这时开马只会跑8，这种方法中奖不是百分之百，有时会跑大点子，但没有关系，因为每次只押22注，每次赢X注，偶尔出一个大点子，输22分，只要两牌就能赢回来。
另一种跟踪块的破解方法：每次都在3，4，8，10上各押两注，让机器自己跑，连续押5-1 0次，然后改押4，8，10这三个数，机器会在一段时间内只出这三个数，直到爆机，若机器偶尔跑其他分，则可从头开始，即在3，4，8，10各押两注，如此循环。。。。。。
★ ☆ ★ ☆★ ☆★ ☆★ ☆★ ☆★ ☆★ ☆★ ☆★ ☆★ ☆★ ☆★ ☆★ ☆★ ☆★ ☆★ ☆★ ☆★ ☆
本公司全国联销奔驰宝马连线机.赛车风云.雪豹.彩金狮王.疯狂斗地主.水果大餐.大小老虎机．斗地主.小型水果机.动物乐园.狮子彩金及部分连线机，轮盘机，作弊器，上分器、定位器、退币器，效果显著，安全隐蔽性高，全国货到付款，无效全退款！简单易学，破解全在你的拇指控制范围
更多的破解技术交流请加QQ：1002070238
热线15060451167http://www.chinagamebuluo.cn/