如何预防木马?结合木马的藏身之所,隐藏技术,总结清除木马的方法.

PE病毒的感染过程是怎样的？如何判断一个文件是否感染了PE病毒(如Immunity)？针

对你的判断依据，采用何种手段可以更好地隐藏PE病毒？编程修复被Immunity感染的host_pe.exe文件。

PE病毒的感染过程

1．判断目标文件开始的两个字节是否为“MZ”。

2．判断PE文件标记“PE”。

3．判断感染标记，如果已被感染过则跳出继续执行HOST程序，否则继续。

4．获得Directory（数据目录）的个数，（每个数据目录信息占8个字节）。

5．得到节表起始位置。(Directory的偏移地址+数据目录占用的字节数=节表起始位置)

6．得到目前最后节表的末尾偏移（紧接其后用于写入一个新的病毒节）

节表起始位置+节的个数*(每个节表占用的字节数28H)=目前最后节表的末尾偏移。

7．开始写入节表

脚本病毒有哪些弱点？如何防治和清除脚本病毒？

（1）VBS脚本病毒具有如下几个特点：

编写简单 破坏力大 感染力强 传播范围大

病毒源码容易被获取，变种多 欺骗性强

使得病毒生产机实现起来非常容易

（2）针对以上提到的VBS脚本病毒的弱点，可以采用如下集中防范措施：

?

?

?

?

?

?

?

?

?禁用文件系统对象

FileSystemObject 卸载WSH 删除VBS、VBE、JS、JSE文件后缀名与应用程序的映射

将WScript.exe更改名称或者删除 自定义安全级别，把与“ActiveX控件及插件”有关的一切设为禁用

禁止OutlookExpress的自动收发邮件功能

显示扩展名，避免病毒利用文件扩展名作文章

安装、使用杀毒软件 将系统的网络连接的安全级别设置至少为“中等”

宏病毒采用哪些传播方式？如何防治和清除宏病毒？

（1）宏病毒的传播方式

在Word或其他Office程序中，宏分成两种

①在某个文档中包含的内嵌宏，如FileOpen宏

②属于Word应用程序，所有打开的文档公用的宏，如AutoOpen宏

Word宏病毒一般都首先隐藏在一个指定的Word文档中，一旦打开了这个Word文档，

宏病毒就被执行，宏病毒要做的第一件事情就是将自己拷贝到全局宏的区域，使得所有打开的文档都可使用这个宏

当Word退出的时候，全局宏将被存储在某个全局的模板文档(.dot文件)中，这个文件的

名字通常是“normal.dot”，即normal模板

如果全局宏模板被感染，则Word再启动的时候将自动载入宏病毒并且自动执行

（2）宏病毒的防御

①禁止运行不安全的宏

②Word被宏病毒感染之后(实际上是Word使用的模板文档被感染)，可以将其恢复正常

?

?

?

?退出Word，然后先到C盘根目录下查看是否存在Autoexec.dot文件，如果存在，而你又不知道它是什么时侯出现的，删除之 找到Normal.dot文件，用先前的干净备份替换之或干脆删除之 查看Normal.dot所在目录是否还存在其他模板文件，如果存在且不是你自己拷贝进去的，删除之 重新启动Word，已经恢复正常

预防恶意网站可采取哪些措施？

1、禁止修改注册表。

2、及时打系统补丁，尤其是及时把IE升级到最新版本,可以在很大程度上避免IE漏洞带来的安全隐患。

3、用360浏览器或 Firefox 浏览网页。

4、下载安装微软最新的Microsoft Windows Script，可以很大程度上预防恶意修改。

5、相当多的恶意网页是含有有害代码的ActiveX网页文件，因此在IE设置中将ActiveX插件和控件、Java脚本等禁止，或者把WSH（Windows Scripting Host）删除就在很大程度上避免中标。1)禁止脚本运行 2)删除WSH

6、安装杀毒软件并打开网页监控、文件监控和内存监控。

7、把fdisk.exe、deltree.exe、format.com等危险的命令文件改名，以免被恶意代码利用，造成不必要的损失。

8、不要轻易访问浏览一些自己不了解的站点，特别是那些看上去美丽诱人的网址，否则吃亏的往往是我们。

9、为WINDOWS系统文件夹里的HOSTS文件设置只读属性。10、禁止访问已知的恶意网页／站点。

如何预防木马？结合木马的藏身之所、隐藏技术，总结清除木马的方法。

预防木马：1、不要随便打开别人给你发过来的文件，（这个要小心，最好是打开病毒防火墙） 2、不要点一些不健康的网页，因为这些网页是最容易放一些不明的代码，也就是恶意代码；3、就是系统了，你要把你的管理员帐号密码设置的相对麻烦一些，当然要好记咯。长度最好不要小于8位，也不要太长了。也不要太简单。大小写、特别的字符等等都 可以的。还有要关心一些官方网站发布的SP，及时打上SP，网络设置要好一些，不要开一些不必要的通讯端口。总之，自己勤奋一些，养成一个好的上网、护理系统的习惯。手动查杀木马的主要步骤及系统命令的使用。

端口(netstat,FPort)

运行。

简述木马传播途径。

木马的传播方式主要有两种：一种是通过E-MAIL，控制端将木马程序以附件的形式夹在邮件中发送出去，收信人只要打开附件系统就会感染木马；另一种是软件下载，一些非正规的网站以提供软件下载为名义，将木马捆绑在软件安装程序上，下载后，只要一运行这些程序，木马就会自动安装。

途径：1、捆绑欺骗，2.网页木马法。3、QQ冒名欺骗4、邮件冒名欺骗。5、危险下载点。6、文件夹惯性点击。

简述一下多态病毒的六个级别

答：根据病毒使用多态技术的复杂程度，多态病毒大致可以划分为6个级别：

(1)半多态 :病毒拥有一组解密算法，感染的时候从其中随机选择一种算法进行加密和感染。

(2)具有不动点的多态:病毒有一条或几条语句是不变的（把这些不变的语句叫做不动点），其他病毒指令都是可变的。

(3)带有填充物的多态:解密代码中包含一些没有实际用途的代码来干扰分析者的视线。

(4)算法固定的多态:解密代码所使用的算法是固定的，但是实现这个算法的指令和指令的次序是可变的。

(5)算法可变的多态:

使用了上面所有的技术，同时解密的算法也是可以部分或者全部改变的。

(6)完全多态 :算法多态，同时病毒体可以随机分布在感染文件的各个位置，但是在运行的时候能够进行拼装，并且可以正常工作。计算机病毒如何得知一个文件是不是PE文件？

答：最基本、简答的方法就是先看该文件的前两个字节是不是4D5A，如果不是，则已经说明不是PE文件，如果是，那么我们可以再DOS程序头中的偏移3CH处的四个字节找到PE字串的偏移位置（e_ifanew）。然后察看该偏移位置的四个字节是否是50\45\00\00，如果不是，说明不是PE文件，如果是，那么我们认为它是一个PE文件。当然为了准确还需要再加上其它一些判断条件。实际内存地址=基地址（即ImageBase值）+相对虚地址（RVA）。

节表起始位置=Directory（数据目录）的偏移地址+数据目录占用的字节数；

最后节表的末尾偏移（紧接其后用于写入一个新的病毒节）=节表起始位置+节的个数*(每个节表占用的字节数)。

简述一下嵌入文件的隐藏技术。

宏病毒的隐藏技术比引导型病毒要简单很多，只要在Word/Excel中禁止菜单：“文件”—>“模板”或者“工具”—>“宏”就可以隐藏病毒了，可以通过宏病毒代码删除菜单项，或者宏病毒用自己的File Templates和ToolsMacro宏替代体统缺省的宏。

当然，宏病毒还有其他一些隐藏技术，这在前面宏病毒一节已经有所介绍。还有一些高级的病毒隐藏技术，需要大家细细揣摩。除了宏病毒，由于现在各种格式文件之间的交叉引用越来越多，例如在Word文档中插入恶意图片，或者将JavaScript恶意代码插入PDF文档，并在打开文档时运行中。利用这样的方式，就可以很好地隐藏恶意代码，并完成恶意行为，而不被用户感知。

阐述计算机病毒的检测方法？并分析哪种检测方法是最有效的？

特征码检测法、校验和检测法、感染实验法。感染实验法是一种简单实用的检测病毒方法，这种方式的原理是利用病毒的最重要的基本特征感染性，所有的病毒都会感染，如果不会感染就不成其为病毒，如果系统中有异常行为，最新版本的检测工具也是检测不出来的，就可以做感染实验。

PID、调用DLL、EXE文件(Tasklist)DLL查找对应的进程或服务

(Tasklist,IceSword)gpedit.msc），禁止指定的应用程序除相关的DLL、EXE

篇三：木马通用的激活方式和清除方法

木马通用的激活方式和清除方法

木马取自古希腊神话的特洛伊木马记，是一种基于远程控制的黑客工具，具有很强的隐藏性和危害性。为了达到控制服务端主机的目的，木马往往要采用各种手段达到激活自己，加载运行的目的。这里，我们简要的介绍一下木马通用的激活方式，它们的藏身地，并通过一些实例来让您体会一下手动清除木马的方法。

●在Win.ini中启动木马：

在Win.ini的[Windows]小节中有启动命令“load=”和“run=”，在一般的情况下“=”后面是空的，如果后面跟有程序，比如：run=C:Windows ile.exe

load=C:Windows ile.exe

则这个file.exe很有可能就是木马程序。

●在Windows XP注册表中修改文件关联：

修改注册表中的文件关联是木马常用的手段，如何修改的方法已在本系列的前几文中有过阐述。举个例子，在正常情况下txt文件的打开方式为Notepad.exe（记事本），但一旦感染了文件关联木马，则txt文件就变成条用木马程序打开了。如著名的国产木马“冰河”，就是将注册表HKEY_CLASSES_ROOT xtfileshellopencommand子键分支下的键值项“默认”的键值“C:Windows otepad.exe %1”修改为“C:WindowsSystemSysexplr.exe”，这样，当你双击一个txt文件时，原本应该用记事本打开的文件，现在就成了启动木马程序了。当然，不仅是txt 文件，其它类型的文件，如htm、exe、zip、com等

文件也都是木马程序的目标，要小心。

对这类木马程序，只能检查注册表中的HKEY_CLASSES_ROOT中的文件类型shellopencommand子键分支，查看其值是否正常。

●在Windows XP系统中捆绑木马文件：

实现这种触发条件首先要控制端和服务端已通过木马建立连接，控制端用户使用工具软件将木马文件和某一应用程序捆绑在一起，上传到服务端覆盖原有文件，这样即使木马被删除了，只要运行捆绑了木马的应用程序，木马又会被重新安装了。如果捆绑在系统文件上，则每次Windows XP启动都会启动木马。

●在System.ini中启动木马：

System.ini中的[boot]小节的shell=Explorer.exe是木马喜欢的藏身之所，木马通常的做法是将该语句变为这样：

Shell=Explorer.exe file.exe

这里的file.exe就是木马服务端程序。

另外，在[386enh]小节，要注意检查在此小节的“driver=path程序名”，因为也有可能被木马利用。[mic]、[drivers]、[drivers32]这三个小节也是要加载驱动程序的，所以也是添加木马的理想场所。

●利用Windows XP注册表加载运行：

注册表中的以下位置是木马偏爱的藏身之所：

HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersion子键分支下所有以“run”开头的键值项数据。

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersion子键分支下所有以“run”开头的键值项数据。

HKEY_USERS.DEFAULTSoftwareMicrosoftWindowsCurrentVersion子键分支下所有以“run”开头的键值项数据。

●在Autoexec.bat和Config.sys中加载运行木马：

要建立控制端与服务端的连接，将已添置木马启动命令的同名文件上传到服务端覆盖着两个文件才能以这种方式启动木马。不过不是很隐蔽，所以这种方式并不多见，但也不能掉以轻心。

●在Winstart.bat中启动木马：

Winstart.bat也是一个能自动被Windows XP加载运行的文件，多数时由应用程序及Windows自动生成，在执行了Win.com或者Kernel386.exe，并加载了多数驱动程序之后开始执行（这可以通过在启动时按F8选择逐步跟踪启动过程的启动方式得知）。由于

Autoexec.bat的功能可以由 Winstart.bat代替完成，因此木马完全可以像在Autoexec.bat中那样被加载运行。

木马病毒的通用排查技术

现在，我们已经知道了木马的藏身之处，查杀木马自然就容易了。如果您发现计算机已经中了木马，最安全最有效的方法就是马上与网络段开，防止计算机骇客通过网络对您进行攻击，执行如下步骤：

1、编辑Win.ini文件，将[Windows]小节下面的“run=木马程序”或“load=木马程序”更改为“run=”，“load=”。

2、编辑System.ini文件，将[boot]小节下面的“shell=木马文件”更改为“shell=Explorer.exe”。

3、在Windows XP注册表中进行修改：先在

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun

子键分支下找到木马程序的文件名删除，并在整个注册表中查找木马程序，将其删除或替换。但可恶的是，并不是所有的木马程序都只要删除就能万事大吉的，有的木马程序被删除后会立即自动添上，这时，您需要记下木马的位置，即它的路径和文件名，然后退到DOS系统下，找到这个文件并删除。重启计算机，再次回到注册表中，将所有的木马文件的键值项删除。

Re:用注册表清除计算机病毒

计算机木马清除实例

●冰河v1.1的注册表清除实例：

在注册表编辑器中打开

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun子键分支，在右边的窗口中找到并删除

C:WINNTSystem32Kernel32.exe，C:WINNTSystem32sysexplr.exe，再重新启动到MS-DOS方式后，删除C:WINNTSystem32Kernel32.exe和C:WINNTSystem32sysexplr.exe木马程序。

AOL Trojan的注册表清除实例：

首先到MS-DOS方式下，删除以下文件：

C:command.exe

C:Americ~1.0uddyl~1.exe

C:Windowssystem orton~1 egist~1.exe

打开Win.ini文件，在[Windows]小节下面将特洛伊木马程序的路径清除掉，改为“run=”，“load=”，保存Win.ini文件。

然后打开Windows XP注册表，打开

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun子键分支，将右表窗口中的键值项“WinProfile=C:Command.exe”删除，关闭注册表，重启计算机即可。

●Doly v1.1-v1.5的注册表实例（v1.6和v1.7类似）：

首先进入MS-DOS方式，删除以下三个木马程序，但v1.35版还多一个木马文件Mdm.exe。

C:WindowsSystem esk.sys

C:WindwosStart MenuProgramsStartupmstesk.exe

C:Program FilesMStesk.exe

C:Program FilesMdm.exe

重新启动Windows，打开Win.ini文件，将[windows]小节下的“load=C:WindowsSystem esk.exe”删除，即改为“load=”，保存Win.ini文件。

然后，在注册表中打开

HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionRun子键分支，将右边的窗口中的键值项“Mstesk=”C:Program FilesMStesk.exe””删除，打开

HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionss子键分支，将其下的全部内容都删除（全为木马参数选择和设置的服务器）；再打开

HKEY_USERS.DEFAULTSOFTWAREMicrosoftWindowsCurrentVersionRun子键分支，将右边的窗口中的键值项“Mstesk=”C:Program FilesMStesk.exe””删除。

　　以上就是这篇范文的全部内容，涉及到病毒、文件、木马、感染、程序、计算机病毒、系统、哪些等范文相关内容，希望网友能有所收获。