远程控制类木马的检测和清除

◇◇◇◇◇◇◇◇◇◇◇◇◇◇◇◇◇◇◇◇◇◇◇◇◇◇◇◇◇◇◇◇◇◇
▲◥华夏黑客联盟◤▲
http://www.hxhack.com
◆侠者风范★正义之神◆
普及网络安全技术，推动黑客平民化！
论坛地址:http://www.hxhack.com/bbs
网站宗旨:打造中国黑客第一门户站！
◇◇◇◇◇◇◇◇◇◇◇◇◇◇◇◇◇◇◇◇◇◇◇◇◇◇◇◇◇◇◇◇◇
华夏黑客联盟提醒您：
安全意识第一，网络技术第二！
华夏黑客联盟大型网络安全免费培训系列原创教程
——祝愿2008年北京奥运成功举办，宏扬黑客文化
普及网络安全知识，提升全民安全意识
——华夏黑客联盟，http://www.hxhack.com
★华夏黑客联盟VIP教学介绍★
http://www.hxhack.com/vip/
============★★★★★★华夏黑客联盟有你更精彩★★★★★★==================
（华夏黑客联盟2008年迎奥运大型免费培训教程如果想学习更多内容，请加入VIP会员，客服QQ:88373635 ）
论坛地址:http://www.hxhack.com/bbs

主讲：阿杰论坛ID：4681941

动画名称：远程控制类木马的检测和清除
---------------------------------------------------
远程控制软件，是大家平时喜欢玩的一类软件。我们总是用它来攻击他人，但是自己如果中了远程木马，
将是一件很麻烦的事情。今天就来讲讲远程控制类木马的检测和清除方法！

杀毒软件查杀！杀毒软件不是万能的，没有杀毒软件是万万不能的。有的时候凭我们的经验，很难判断文件是否有毒。但是方法也是很重要的。举个例子- 我下载了一个播放器，但是它的大小只有27K左右，毫无疑问这是木马，我们直接删除即可！

检测方法 1.检查开放的端口 8000 8181 7626
2.程序名称以及其路径

灰鸽子木马的路径C:\windows\hacker.com.cn.exe （可以改变）
上兴木马的路径C:\Program Files\Common Files\Microsoft Shared\MSInfo
attrib hacker.com.cn.exe -s -h

一、清除灰鸽子的服务

2000／XP系统：

1、打开注册表编辑器（点击“开始”－》“运行”，输入“Regedit.exe”，确定。），打开 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services注册表项。

2、点击菜单“编辑”－》“查找”，“查找目标”输入“game.exe”，点击确定，我们就可以找到灰鸽子的服务项（此例为Game_Server）。

3、删除整个Game_Server项。

98／me系统：

在9X下，灰鸽子启动项只有一个，因此清除更为简单。运行注册表编辑器，打开HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run项，我们立即看到名为Game.exe的一项，将Game.exe项删除即可。
二、删除灰鸽子程序文件
删除灰鸽子程序文件非常简单，只需要在安全模式下删除Windows目录下的Game.exe、Game.dll、Game_Hook.dll以及Gamekey.dll文件，然后重新启动计算机。至此，灰鸽子服务端已经被清除干净。

木马常用的启动方式
　　木马是随计算机或Windows的启动而启动并掌握一定的控制权的，其启动方式可谓多种多样，通过注册表启动、通过System.ini启动、通过某些特定程序启动等，真是防不胜防。其实只要能够遏制住不让它启动，木马就没什么用了，这里就简单说说木马的启动方式，知己知彼百战不殆嘛。

　　一、通过"开始\程序\启动"

　　隐蔽性:2星

　　应用程度:较低

　　这也是一种很常见的方式，很多正常的程序都用它，大家常用的QQ就是用这种方式实现自启动的，但木马却很少用它。因为启动组的每人会会出现在“系统配置实用程序”(msconfig.exe，以下简称msconfig)中。事实上，出现在“开始”菜单的“程序\启动”中足以引起菜鸟的注意，所以，相信不会有木马用这种启动方式。

　　二、通过Win.ini文件

　　隐蔽性:3星

　　应用程度:较低

　　应用案例:Asylum

　　同启动组一样，这也是从Windows3.2开始就可以使用的方法，是从Win16遗传到Win32的。在Windows3.2中，Win.ini就相当于Windows9x中的注册表，在该文件中的[Windows]域中的load和run项会在Windows启动时运行，这两个项目也会出现在msconfig中。而且，在Windows98安装完成后这两项就会被Windows的程序使用了，也不很适合木马使用。

　　三、通过注册表启动

　　1、通过HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run，

　　HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run和

　　HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices

　　隐蔽性:3.5星

　　应用程度:极高

　　应用案例:BO2000，GOP，NetSpy，IEthief，冰河……

　　这是很多Windows程序都采用的方法，也是木马最常用的。使用非常方便，但也容易被人发现，由于其应用太广，所以几乎提到木马，就会让人想到这几个注册表中的主键，通常木马会使用最后一个。使用Windows自带的程序:msconfig或注册表编辑器(regedit.exe，以下简称regedit)都可以将它轻易的删除，所以这种方法并不十分可靠。但可以在木马程序中加一个时间控件，以便实时监视注册表中自身的启动键值是否存在，一旦发现被删除，则立即重新写入，以保证下次Windows启动时自己能被运行。这样木马程序和注册表中的启动键值之间形成了一种互相保护的状态。木马程序未中止，启动键值就无法删除(手工删除后，木马程序又自动添加上了)，相反的，不删除启动键值，下次启动Windows还会启动木马。怎么办呢?其实破解它并不难，即使在没有任何工具软件的情况下也能轻易解除这种互相保护。

　　破解方法:首先，以安全模式启动Windows，这时，Windows不会加载注册表中的项目，因此木马不会被启动，相互保护的状况也就不攻自破了;然后，你就可以删除注册表中的键值和相应的木马程序了。

　　2、通过HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce，

　　HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce和

　　HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce

　　隐蔽性:4星

　　应用程度:较低

　　应用案例:Happy99月

　　这种方法好像用的人不是很多，但隐蔽性比上一种方法好，它的内容不会出现在msconfig中。在这个键值下的项目和上一种相似，会在Windows启动时启动，但Windows启动后，该键值下的项目会被清空，因而不易被发现，但是只能启动一次，木马如何能发挥效果呢?

　　其实很简单，不是只能启动一次吗?那木马启动成功后再在这里添加一次不就行了吗?在Delphi中这不过3、5行程序。虽说这些项目不会出现在msconfig中，但是在Regedit中却可以直接将它删除，那么木马也就从此失效了。

　　还有一种方法，不是在启动的时候加而是在退出Windows的时候加，这要求木马程序本身要截获WIndows的消息，当发现关闭Windows消息时，暂停关闭过程，添加注册表项目，然后才开始关闭Windows，这样用Regedit也找不到它的踪迹了。这种方法也有个缺点，就是一旦Windows异常中止(对于Windows9x这是经常的)，木马也就失效了。

　　破解他们的方法也可以用安全模式。

　　另外使用这三个键值并不完全一样，通常木马会选择第一个，因为在第二个键值下的项目会在Windows启动完成前运行，并等待程序结束会才继续启动Windows。

新闻来自: 新客网(www.xker.com) 详文参考：http://www.xker.com/page/e2007/0403/24037.html