清除系統(tǒng)中黑客種植木馬藏身之地
木馬因?yàn)殡[藏性高、危害性強(qiáng)而被人們所深?lèi)和唇^。其實(shí)，木馬從本質(zhì)上來(lái)說(shuō)是一種應(yīng)用程序，利用該程序可以輕松將中了木馬的計(jì)算機(jī)玩弄于股掌之中。由此可見(jiàn)，木馬要發(fā)生作用，必須有一個(gè)前提就是必須用戶運(yùn)行木馬的服務(wù)端程序。
當(dāng)然，這種運(yùn)行用戶自己肯定不會(huì)主動(dòng)進(jìn)行，那么種木馬者就必須想方設(shè)法，做到讓木馬能夠自動(dòng)運(yùn)行?，F(xiàn)在就教你如何找出系統(tǒng)中木馬的藏身之處，將其清除。
一、集成到程序中
由于用戶一般不會(huì)主動(dòng)運(yùn)行木馬程序，而種木馬者為了吸引用戶運(yùn)行，他們會(huì)將木馬文件和其它應(yīng)用程序進(jìn)行捆綁，用戶看到的只是正常的程序。但是你一旦運(yùn)行之后，不僅該正常的程序運(yùn)行，而且捆綁在一起的木馬程序也會(huì)在后臺(tái)偷偷運(yùn)行。
這種隱藏在其它應(yīng)用程序之中的木馬危害比較大，而且不容易發(fā)現(xiàn)。如果捆綁到系統(tǒng)文件中，那么則會(huì)隨Windows啟動(dòng)而運(yùn)行。不過(guò)只要我們安裝個(gè)人防火墻或者啟用Windows XP SP2中的Windows防火墻，那么在木馬服務(wù)端試圖連接種木馬的客戶端時(shí)，則會(huì)詢問(wèn)是否放行，據(jù)此即可判斷出自己有無(wú)中木馬。
二、隱藏在媒體文件中
這種類(lèi)型嚴(yán)格上說(shuō)，用戶還沒(méi)有中木馬。不過(guò)它的危害容易被人忽略。通過(guò)調(diào)查發(fā)現(xiàn)，大家對(duì)影音文件的警惕性不高。它的常用手段是在媒體文件中插入一段代碼，代碼中包含了一個(gè)網(wǎng)址，當(dāng)播放到指定時(shí)間時(shí)即會(huì)自動(dòng)訪問(wèn)該網(wǎng)址，而該網(wǎng)址所指頁(yè)面的內(nèi)容卻是一些網(wǎng)頁(yè)木馬或其它危害。
因此，當(dāng)我們?cè)诰W(wǎng)上下載的影片時(shí)，如果發(fā)現(xiàn)突然打開(kāi)了窗口，那么切不可好奇而應(yīng)將其立即關(guān)閉，然后跳過(guò)該時(shí)間段影片的播放。
三、隱藏在System.ini
System.ini中也是我們找出木馬藏身之地的一個(gè)絕佳地方。運(yùn)行"msconfig"打開(kāi)系統(tǒng)配置實(shí)用程序，切換到"SYSTEM.INI"標(biāo)簽，也可以直接打開(kāi)Windows安裝目錄下的System.ini文件，然后查看[boot]區(qū)域中"shell="這一行，如果顯示"shell=Explorer.exe"，則表示正常。如果是其它內(nèi)容，那么則說(shuō)明可能中木馬了。其次在[386Enh]區(qū)域，同樣要檢查“driver=路徑\程序名”，如果發(fā)現(xiàn)有來(lái)歷不明的文件名那么也可能是木馬。
四、隱藏在Win.ini
與System.ini相似，Win.ini中也是木馬喜歡加載的一個(gè)地方。對(duì)此我們可以打開(kāi)系統(tǒng)目錄下的Win.ini文件，然后查看[Windows]區(qū)域"load="和"run="，正常情況下它們后面應(yīng)該是空白，如果你發(fā)現(xiàn)它們后面加了某個(gè)程序，那么加載的程序則可能是木馬，需要將它們刪除。
五、隱藏在Autoexec.bat
在C盤(pán)根目錄下有一個(gè)Autoexec.bat文件，這里的內(nèi)容將會(huì)在系統(tǒng)啟動(dòng)時(shí)自動(dòng)運(yùn)行。與該文件類(lèi)似的還有Config.sys。因?yàn)樗詣?dòng)運(yùn)行，因此也成為木馬的一個(gè)藏身之地。對(duì)此我們同樣需要打開(kāi)這兩個(gè)文件，檢查里面是否加載了來(lái)歷不明的程序在運(yùn)行。
六、任務(wù)管理器
部分木馬運(yùn)行后我們可以在任務(wù)管理器中找出它的蹤跡。在任務(wù)欄上右擊，在彈出的菜單中選擇“任務(wù)管理器”，將打開(kāi)的窗口切換到“進(jìn)程”標(biāo)簽，在這里查看有沒(méi)有占用較多資源的進(jìn)程，有沒(méi)有不熟悉的進(jìn)程。若有，可以先試著將它們關(guān)閉。另外要特別注意Explorer.exe這類(lèi)進(jìn)程，因?yàn)楹芏嗄抉R會(huì)使用Exp1orer.exe進(jìn)程名，即把l換成1，用戶不仔細(xì)查看，還以為是系統(tǒng)進(jìn)程呢。
七、啟動(dòng)
在Windows XP中，我們可以運(yùn)行"msconfig"，將打開(kāi)的窗口切換到“啟動(dòng)”標(biāo)簽，在這里可以看到所有啟動(dòng)加載的項(xiàng)目，此時(shí)就可以根據(jù)“命令”和“位置”來(lái)判斷是啟動(dòng)加載的是否為木馬。如果判斷為木馬則可以將其啟動(dòng)取消，然后再作進(jìn)一步的處理。
八、注冊(cè)表
我們程序的運(yùn)行控制大多是由注冊(cè)表控制的，因此我們有必要對(duì)注冊(cè)表進(jìn)行檢查。運(yùn)行"regedit"打開(kāi)注冊(cè)表編輯器，然后依次檢查如下區(qū)域:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion、 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion、
HKEY_USERS\.Default\Software\Microsoft\Windows\CurrentVersion，看看這三個(gè)區(qū)域下所有以"run"開(kāi)頭的鍵值，如果鍵值的內(nèi)容指向一些隱藏的文件或自己從未安裝過(guò)的程序，那么這些則很可能是木馬了。
木馬之所以能夠?yàn)榉亲鞔?，正是因?yàn)槠渖朴陔[藏自己。不過(guò)我們掌握了其藏身之處，那么則可以將其一一清除。當(dāng)然，木馬在實(shí)際的偽裝隱藏自己中，可能會(huì)綜合使用上面一種或幾種方法來(lái)偽裝，這就需要我們?cè)跈z查清除時(shí)，不能只檢查其中的部分地點(diǎn)，一定要全面。
【編輯推薦】
