20CN网络安全小组论坛 - 菜鸟乐园

论坛: 菜鸟乐园标题: 远离木马

作者: newmyth21 [newmyth21]

论坛用户

木马是“黑客”速成器（第一步我们来看看自己有没有中标（什么，你没这东西？恭喜，恭喜哈！真的能肯定吗？只有90%的把握啊？那还是看下去吧。）先回忆下你在上网时有以下情况发生吗？A'没运行其他程序或刷新浏览时，硬盘灯还不停向你眨眼；B'没下载或浏览时，任务栏那双猫眼还大放光芒；C'在同一网站，刚才还速度正常，却突然变慢，而猫的状态却在传送大量数据；D'鼠标突然不动啦或被限制了范围，文件突然自己打开，光驱主动运行，机子自动重起……（遇上D类你是不幸中万幸啦，呵呵）。你有这几种情况发生吗？还在回忆啊？我们不等你，开始自检啦。以下几种方法你选吧。
1 通过扫描本机端口
扫描的前提是关闭你所有的网络软件（当然包括防火墙啦），因为所有的网络程序都的占用不同的端口才能工作。（什么，用什么来扫描？我，你……不会吧？服你啦，我们站上有个东西勉强能用，叫什么来着？你去找嘛）此时你的机子应该最多只有139端口是开着的，如果还有其他的端口被扫描到啦，那，呵呵，会是什么软件打开的？记下扫描到的端口号，去和“木马端口表”对照下，看是什么在照顾你。什么，不是木马端口？会是什么？反正不是好东西，他们不是说马儿可以改端口吗，让我们试试。打开浏览器，在浏览器的地址栏中输入 http://110.110.110.110:xxxx/（110.110.110.110换成你的IP，XXXX 是你扫描到的端口）看看会发生什么？浏览器告诉你地址已找到吗？然后会在浏览器地址栏里显一些字母，那是什么？好象是一种木马的版本嘛。
你不懂扫描？不慌，那注册表熟悉吗？
2 检查注册表
马儿绝大多数都会在注册表里找个位置安家(系统入口)，大慨是在―――CurrentVersion目录下的run里吧，完整途经是C:\WINDOWS\REGEDIT.EXE―HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run 在这里面找找看，有什么你没见过的东西吗？马儿都用些什么键值，我只能提供我所知的，因为太多啦。反正你看到不顺眼的就记下来，下面我们有用。
这是最常见的四种马的键值：
NETBUS：PATCH.EXE & Mring.exe
NETSPY：NETSPY.EXE
BO：.EXE (这家伙最坏,连S端都未命名,是空白)
冰河: kernel32.exe
这儿还有点我收集的其他一些乱七八糟马儿在注册表里的名字，也许有用：我会不断收集的！
其实通过键值名找是不贴实际的,聪明点的使用者都会把服务端改名.不过,怎么改它所在的位置是不能改的(总算有丝公平嘛),你就记下他改过的名吧.在一些黑站看到了不在注册表里打招呼的木马,(红刺怕怕!)嘻嘻,不慌,还是有法想的,接着看嘛.
注册表太麻烦啦?好嘛,又换种方法就是.
3 检查开机自动执行程序
我们知道大多数马儿都是修改注册表后每次开机都自动运行(脸皮厚哈!)当然有不在这个时候启动的,我们另有方法收拾它.开始----运行----msconfig.exe ,（或在win/system打开msconfig.exe）好啦,看到些什么?有可疑分子吗?查下它所在的位置,看看它的信息,还不能确定是不是马马吗?那就记下其大名到安全论坛问问吧.
还有简单点的方法吗?红刺只剩一种啦(不好意思,我一般都用这种.开始还想保密的.)
4 系统快照
熟悉WIN的人都知道盖仔为我们准备了种实时检查所有运行程序的东西,叫"系统快照"或拍照吧,用来查马不正好吗?呵呵,来,先打开你平时上网时爱运行的所有软件.因为上面我们说了有的马儿不是在开机时自己启动的,它们是被绑定在一些程序上,随这些程序启动而启动(是你的话会把它们绑在哪儿?依我就绑在上网必需打开的东西上.所以你平时上时都用了哪些程序全打开它们).在这儿照:C:\WINDOWS\DRWATSON.EXE---高级视图---任务.好啦,有哪些东西在运行,你看懂了吗?(这个方法我看过"奇奇"介绍过,不知有没有被大家广泛运用,我是竭力推荐哈)这儿还能查到启动时要运行的全部程序喔.
如何,你中没有?
中啦?呵呵,提醒你先把你机里的所以密码改啦(我认为这是很重要的,最怕别人用我的帐号上啦,红刺都穷得很).杀吧,大卸八块!
第二步清除
行动前我们先讲讲杀毒软件和防火墙.杀毒软件都有个病毒库,记的是要杀的病毒名,它的工作原理是查到有库里名字相同的程序就K.这儿就有两个缺陷啦,一是杀毒软件都是走在病毒的后面出台,它只有在知道已知病毒名后才能起作用;木马使用者往往把马儿改名,再老的马马都可在最新杀毒软件下寻欢作乐.所以你用再好的杀毒软件每天杀三遍还是可能伤不到我们的马儿半根寒毛.防火墙的原理是监视固定的端口,一旦这些端口有连接企图时就拦截和报警.再好的防火墙都只能对有限的固定端口进行监控(有种墙倒是对所有的端口连接都敏感,但它秒秒钟都要求你确认连接真的很烦)作者把已知木马端口写进程序里(也可自己设定),听说有几万个端口,你要监控哪些?因为我听说马儿很多都是可改服务端端口的,你能猜到他用哪个?所以啦我要说杀毒软件和防火墙不是我们放心的依靠.
好啦,好啦,还是说怎么大卸八块吧.
既然我们都找到木马啦,剩下的其实就简单了.
1 进住注册表的马儿,找到后删除其键值,重起机器,删除其程序体(就是它在文件袋里肉眼能看到的服务端,呵呵,说复杂了哈).怎么找马儿的程序端？在“内存拍照”里能查到它的位置的。之所以要先删键值重起后再删程序体,是因为木马在运行时是不能删掉其程序体的.这儿特别要说明一点,有些木马重起后你会发现注册表里又有了才删了的那个键值,也就是没删除掉(冰河好象就是这样的,黄兄果然是高手)因为这种木马加了个启动的关联,你重启时马马通过其关联又加载到了注册表(这叫卷土重来).冰河的关联是文本文件,用文本关联来保护自己的服务端。对于这种狡猾的马儿，我们重起时直接进入Ms-dos,在windows\system\kernel32.exe删掉就行啦。另一种删除冰河的方法先删注册表里的kernel32.exe键值，然后在文件的“查看”--“文件夹选项”--“文件类型”里找到文本文件，点”编辑“---点“open“的编辑，这时候你会看到C:\WINDOWS\SYSTEM\SYSEXPLR.EXE。这是什么意思你该知道了吧？就是它做怪啦。删了它。再重启删程序体即可。至于其他这类马马的关联,我就不知啦.不过也不别担心,这样的马并不多,如果真遇到删不了的马儿，我们就挨个找各种文件的打开关联，总发现得到它吧。
2 对于不进注册表的马儿,我们可通过"系统快照"找到它后,查其所在位置,追踪过去将其程序体删之既可.
3 那位问了，我看不懂注册表或快照里的字母怎么办？我怎么知那些是马马。这，这有回到老问题啦，我说老兄，你只好辛苦点把“RUN”或快照里的字母大哥们全抄下来，随便到哪个安全论坛问下啦。如果遇到改了名的S端，注册表行家也会告诉这东西不应该在你计算机里的。（嗯，是个好办法！）

好啦,你还有什么不懂的吗？
完了红刺要说几句,这篇文章所涉及到的知识我全是在网上学的,也就是别人早写出来的东西啦,我只是回忆整理编辑了下,所以文章的版权所有为中国所有网络安全工作者.我准备写几篇关于端口，扫描等方面的滥文，届时请各位大哥斧正，用力劈哈，呵呵。

不会吧，就成黑客啦？我倒！）

地主发表时间: 04-01-13 00:01

回复: newmyth21 [newmyth21]

论坛用户

顶一下。

B1层发表时间: 04-01-13 00:45

论坛: 菜鸟乐园