完美：检测和杀死木马的常规手动方法[安全]

去年可以说是木马活动非常频繁的一年。关于这些木马的文章也陆续出现。但是，这些文章都是关于某个木马的。如果遇到新的木马，您将没有办法。另一方面，反病毒和反黑客软件的响应速度远远低于木马。通常，木马已经悄然出现很长时间了，这些供应商会做出回应。如果您在这段时间内再次被木马捕获，该如何删除？如果您知道如何手动检测并杀死木马，则可以轻松进行处理。

一、关于木马

木马实质上只是一个网络客户端/服务程序。网络客户端/服务模型的原理是，一台主机提供服务（服务器），另一台主机接收服务（客户端）。作为服务器的主机通常会打开默认端口并进行侦听（侦听）。如果客户端向服务器的该端口发出连接请求（Connect Request），则服务器上的相应程序将自动运行以应答客户端。请求，此程序称为守护程序。就我们前面提到的木马而言，受控端等同于服务器，控制端等同于客户端，并且受控端为控制端提供服务。

发现二、木马

由于木马是基于远程控制的程序，因此木马的计算机将打开特定的端口。通常，个人使用的系统在打开后仅具有三个端口137、138、139。如果您浏览Internet，则将有其他端口，当本机与Internet上的主机通信时，这些端口将打开。 IE通常会打开连续的端口：1025、1026、1027 ......，QQ将打开4000、4001 ......和其他端口。

在DOS命令行中，使用netstat -na命令查看计算机的所有打开的端口，如图所示。如果您发现除了上述端口之外，还有其他端口（特别是木马常用的端口）被占用，那么请仔细检查它，您很可能会“中奖”！例如，木马“冰川”使用的端口是7626，黑洞2001使用的端口是2001，网络公牛使用的端口234444 ...如果发现这些端口已被占用，则可以基本确定：你是木马！

三、查找木马

首先，您必须使系统能够显示隐藏文件，因为某些木马文件属性被隐藏了。

大多数木马都会将自己复制到系统目录并添加启动项（如果未将其复制到系统目录中，则很容易找到，如果不添加启动项，则木马在重启后将不会执行），启动项通常会添加到注册表单中，具体位置为：

HKEY_LOCAL_MACHINE \ Software \ Microsoft \ Windows \ CurrentVersion所有以“ run”开头的键值;

HKEY_CURRENT_USER \ Software \ Microsoft \ Windows \ CurrentVersion所有以“ run”开头的键值;

HKEY_USERS \ .Default \ Software \ Microsoft \ Windows \ CurrentVersion所有以“ Run”开头的键值。

例如，Trojan Binghe的激活密钥为：

[HKEY_LOCAL_MACHINE \ Software \ Microsoft \ Windows \ CurrentVersion \ Run] @ =“ C：\\ WINDOWS \\ SYSTEM \\ KERNEL32.EXE”

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/shouji/article-324624-1.html