如何用Procexp和Autoruns識別并刪除木馬
木馬程序是當前病毒中危害比較大的一種，鑒于變種比較多殺毒軟件對其處理一般比較滯后，在論壇中經(jīng)常有人認為自己中了木馬，發(fā)個(gè) HijackThis日志上來(lái)讓人分析，在此我介紹一個(gè)兩個(gè)工具：Procexp和Autoruns，這兩個(gè)工具對付一般的木馬比較有效，使用這兩個(gè)工具大家可以自己手動(dòng)找到木馬并刪除它
下面介紹兩個(gè)工具的使用方法（本人使用的是XP系統，下面以XP為例）：
一、Procexp:（完全可以替換windows自帶的任務(wù)管理器）
此工具可以查看當前運行的程序（包括一些windows任務(wù)管理器不能看到的隱藏的進(jìn)程），殺掉運行進(jìn)程
直接運行程序如圖，
圖中進(jìn)程分為兩種：一種是服務(wù)程序，一種是普通程序
普通程序可以用windows自帶的任務(wù)管理器關(guān)閉，而服務(wù)程序只能通過(guò)服務(wù)管理器才能關(guān)閉，Procexp可以殺掉服務(wù)和普通進(jìn)程，殺進(jìn)程的方法：直接右鍵單擊右鍵菜單中選擇Kill Process項：（功能比較強大，連Winlogon.exe都可以殺掉，若你殺掉它，系統自動(dòng)當機了，有興趣的朋友可以試試)
使用其識別木馬程序的方法：
首先查看是否有可疑進(jìn)程，一些木馬使用了windows系統程序名，例如：services.exe,svchost.exe,（這些文件在windows\system32目錄下，一般木馬會(huì )放在磁盤(pán)根目錄下，或是 windows目錄下，）另一種情況是某一進(jìn)程占CPU占有比較大
看到可疑程序直接在列表中選中，右鍵查看屬性，或直接雙擊
看程序的描述信息，微軟程序描述信息和版本信息一般都很詳細，若沒(méi)有版本信息則可能是木馬程序，也有一些木馬寫(xiě)了跟微軟類(lèi)似的信息，此時(shí)可以使用數字簽名校驗功能，點(diǎn)擊Verify按鈕，若是微軟的程序會(huì )提示(verified)
如圖：
對于一般的程序，Explorer.exe啟動(dòng)的程序都可以殺掉的，一般不會(huì )引起系統問(wèn)題
有時(shí)電腦會(huì )突然彈出消息框或錯誤框，但又不知道是那個(gè)程序彈出的，可以選擇如圖按鈕
按住鼠標左鍵，把鼠標放在彈出的對話(huà)框上，抬起鼠標左鍵工具會(huì )自動(dòng)定位當運行的程序上。
在程序的屬性對話(huà)框的TCP/IP屬性頁(yè)還可以看到程序訪(fǎng)問(wèn)的網(wǎng)絡(luò )情況，木馬一般都會(huì )打開(kāi)端口向外發(fā)送數據包
當刪除某一文件，提示文件正在使用時(shí)可以通過(guò)發(fā)現是那個(gè)進(jìn)程使用這個(gè)文件。
可以查看進(jìn)程使用了那些動(dòng)態(tài)庫
發(fā)現可疑程序，不能確認，在右鍵菜單上點(diǎn)擊Google則可以直接打開(kāi)ＩＥ幫你搜索網(wǎng)上關(guān)于此程序的信息，這樣可以確認程序是否是木馬。
此工具也支持日志導出功能
此工具可以替換Windows任務(wù)管理器，選擇Options->Replace Task Manager，則每次通過(guò)CTRL+ALT+DEL或在Explorer任務(wù)欄里啟動(dòng)任務(wù)管理器時(shí)則啟動(dòng)此程序
發(fā)表于 @ 2008年11月17日 17:47:00 | 評論( 0 ) | 編輯| 舉報| 收藏
舊一篇:IE有錯誤，需要重置IE | 新一篇:Windows中各個(gè)系統目錄功能揭密
