分类

安卓应用安卓游戏攻略资讯

安全相关

另类方法找木马

作者:佚名 来源: JZ5U整理 日期:2006-8-27 22:44:56
木马虽疯狂,但对付它的方法也有多种,我认为最好的方法是能自己掌握查杀木马的方法。下面用一个实例介绍一种利用系统本身自带的“程序安装事件记录文件”查找木马的方法,希望起到抛砖引玉的作用(该方法只适用Windows 2000/XP/2003)。
“程序安装事件记录文件”的文件名是SETUPAPI.LOG,根据你的系统所在分区不同,在Windows或WINNT目录下,这个文件记录的是机器安装硬件和软件的信息,不管是否安装成功,它都会把这些动作记录在案。由于这些记录很详细,所以文件体积大、内容繁杂。不过只要细心,有耐性,你也会成为逮“马”的高手。以下是我的电脑被感染木马后,截取SETUPAPI.LOG的部分内容。
[2004/11/10 14:01:54 180.1]
#-198 处理的命令行: "E:\Program Files\Internet Explorer\iexplore.exe" -nohome
#-024 正在将文件 "E:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\UVE9O9O5\icyfox[1].exe" 复制到 "E:\Windows\Downloaded Program Files\#.exe"。
#W361 一个未经过签名、签名不正确或 Authenticode(TM) 签名的文件 "E:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\UVE9O9O5\icyfox[1].exe" 将得到安装(策略=忽略)。 错误 87: 参数不正确。
从这些片断中不难看出, 该病毒是通过IE进来的,到达IE临时文件夹后再复制到了IE默认的下载文件夹下进行安装。整个过程都是通过一个脚本文件完成的,包括它自动运行。
此木马在系统中的进程名是HWS.EXE,文件存放在Windows的系统文件夹下。通过文件时间可以看出与SETUPAPI.LOG记录的时间相吻合。它在系统中运行后,IE和注册表被改,而且无法再打开“注册表编辑器”,也无法再导入注册表文件,最后利用工具才解除了注册表禁用,可不一会又回到了原来的状态。种种迹象表明,HWS.EXE不是一个正常的进程。
之后,先在“任务管理器”中将HWS.EXE终止,然后在系统文件夹下删除HWS.EXE文件,再用工具修复IE和注册表,终于把此“马”赶出了系统。
这个木马是以进程方式在系统中运行,相对比较容易被发现。而对于一些插入进程的木马,就要在SETUPAPI.LOG文件中搜索调用系统注册服务的命令REGSVR32.EXE了。
以上我说了利用SETUPAPI.LOG文件查找木马的过程。其实它还有很多有用的地方,如查找软件和硬件故障也大有用武之地。
展开

文章推荐

应用推荐

网友评论