2022年黑客攻防技术内幕-安全防入侵与防病毒基础(2).docx

2022年黑客攻防技术内幕-安全防入侵与防病毒基础(2)3.2 常见特洛伊木马的清除方法(1) 3.2 常见特洛伊木马的清除方法特洛伊木马程序通常指伪装成合法软件的有害程序。这种程序一般不进行自我复制，因此并不属于严格意义上的病毒，反病毒探讨者们把类似的有害程序称为恶意软件(malicious software)或不友好代码(hostile code)。 特洛伊木马程序比起其他各种恶意的软件来说都更加了解用户的心理状态 这种程序的创作者用在怎样使你运行特洛伊木马程序的功夫可能和他们创作木马的时间一样多。这些伎俩可能是特别简洁的方法，如给文件取一个欺瞒性的名字或把木马放到适当的位置，也可能是特别困难的方法。有些特洛伊木马可以仿照运行环境，收集所需的信息，最常见的特洛伊木马就是试图窃取用户名和密码的登录窗口。有一类特洛伊木马就是试图从用户众多的因特网服务供应商(ISP)那里窃取用户的注册信息与账号信息。木马程序收集你访问过的英特网站点并发送出去，或者执行其他不受欢迎的功能。3.2.1 广外女生清除方法广外女生是由广州外语外贸高校“广外女生”网络小组制作的一种特洛伊木马，该木马更具有隐藏性，下面来看看如何手工清除广外女生服务端。(1) 运行广外女生服务端后，就会在系统的C：WINDOWSYSTEM下生成一个名为Diagcfg.exe的文件，如图3-1所示。广外女生随着Windows的启动而启动，所以在Windows环境下是删除不了的，因为该木马在Windows环境下运行，因此启动计算机后，按F8键进入菜单，然后选择进入到纯DOS模式下，找到System书目下的Diagcfg.exe并将它删除。图3-1 运行广外服务端后成生的Diagcfg.exe文件提示：删除Diagcfg.exe时，在DOS下输入：c:>del c:windowssystemdiagcfg.exe。(2) 由于Diagcfg.exe文件已经被删除了，因此在Windows环境下任何.exe文件都将无法运行。这时找到Windows书目中的注册表编辑器Regedit.exe，将它改名为R，如图3-2所示。图3-2 给注册表改名(3) 回到Windows模式下，运行Windows书目下的R程序(改名后的注册表)，如图3-3所示。图3-3 运行注册表编辑器留意：将注册表改名为后也可以照常运行。(4) 依次绽开HKEY_CLASSES_ROOTexefileshellopencommand键值，将其默认键值改成"%1" %*，如图3-4所示。图3-4 更改注册表键值(5) 依次绽开以下键值：HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunServices删除其中名称为Diagnostic Configuration的键值，如图3-5所示。图3-5 删除注册表键值提示：删除Diagnostic Configuration的键值是禁止其在启动时运行。(6) 关掉注册表编辑器，回到Windows书目，将R改回Regedit.exe。(7) 广外女生服务端胜利被清除。3.2.2 蓝色火焰清除方法蓝色火焰是一款没有客户端的优秀国产木马，接下来看一看如何清除蓝色火焰服务端，以下清除在Windows 98下进行。(1) 重新启动，进入纯DOS界面。(2) 进入(例如：windows 98即在windows/system书目。)删除：tasksvc.exe、sysexpl.exe、bfhook.dll或是在DOS下运行以下吩咐：C:WindowsSystem>del tasksvc.exeC:WindowsSystem>del sysexpl.exeC:WindowsSystem>del bfhook.dll(3) 单击吩咐，在对话框的下拉列表框中输入regedit，单击按钮，进入注册表编辑器。(4) 在注册表编辑器里，绽开如下键值：HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun删除注册表键值名：Network Services(键值：C:WindowsSystemtasksvc.exe)。如图3-6所示。图3-6 删除键值(5) 在txt文件上按住shift键并右击，在弹出的快捷菜单中选择吩咐，然后在对话框中启用复选框，如图3-7和3-8所示。图3-7 选择打开方式图3-8 以记事本的方式打开(6) 蓝色火焰服务端清除完成，也可以运用蓝色火焰特地清除工具清除服务端。