找出电脑八大养“马”之地

heelove

木马因为隐藏性高、危害性强而被人们所深恶痛绝。其实，木马从本质上来说是一种应用程序，利用该程序可以轻松将中了木马的计算机玩弄于股掌之中。由此可见，木马要发生作用，必须有一个前提就是必须用户运行木马的服务端程序。当然，这种运行用户自己肯定不会主动进行，那么种木马者就必须想方设法，做到让木马能够自动运行。基于这样的道理，找出木马的藏身之处。
6 H/ ~  U: Q! L; l. O0 z
$ R. |  w( l, p* R3 i9 R7 A　　一、集成到程序中
9 n3 \: `3 }8 g- u
　　由于用户一般不会主动运行木马程序，而种木马者为了吸引用户运行，他们会将木马文件和其它应用程序进行捆绑，用户看到的只是正常的程序。但是你一旦运行之后，不仅该正常的程序运行，而且捆绑在一起的木马程序也会在后台偷偷运行。
% O$ w+ b, c/ m) Q/ ]/ K
% Q, P9 B0 {: O7 G# y　　这种隐藏在其它应用程序之中的木马危害比较大，而且不容易发现。如果捆绑到系统文件中，那么则会随Windows启动而运行。不过只要我们安装个人防火墙或者启用Windows XP SP2中的Windows防火墙，那么在木马服务端试图连接种木马的客户端时，则会询问是否放行，据此即可判断出自己有无中木马。
2 O0 c9 w( _# U8 J* c6 V% G  C8 s4 _
; _% T/ B- f' B) s+ S　　二、隐藏在媒体文件中

　　这种类型严格上说，用户还没有中木马。不过它的危害容易被人忽略。通过调查发现，大家对影音文件的警惕性不高。它的常用手段是在媒体文件中插入一段代码，代码中包含了一个网址，当播放到指定时间时即会自动访问该网址，而该网址所指页面的内容却是一些网页木马或其它危害。

　　因此，当我们在播放网上下载的影片时，如果发现突然打开了窗口，那么切不可好奇而应将其立即关闭，然后跳过该时间段影片的播放。
" f) e, _' Z9 p9 t
- N# b& z7 ?- c8 d  K, N1 V, L　　三、隐藏在System.ini
5 M% `$ t- w8 s( K
( |- N* ^' A! l& X! l& u　　System.ini中也是我们找出木马藏身之地的一个绝佳地方。运行“msconfig”打开系统配置实用程序，切换到“SYSTEM.INI”标签，也可以直接打开Windows安装目录下的System.ini文件，然后查看[boot]区域中“shell=”这一行，如果显示“shell=Explorer.exe”，则表示正常。如果是其它内容，那么则说明可能中木马了。其次在[386Enh]区域，同样要检查“driver=路径＼程序名”，如果发现有来历不明的文件名那么也可能是木马。
+ }( c/ Q) @- B5 O
　　四、隐藏在Win.ini
9 U/ S. d" v9 d9 f  \3 w/ D
　　与System.ini相似，Win.ini中也是木马喜欢加载的一个地方。对此我们可以打开系统目录下的Win.ini文件，然后查看[Windows]区域“load=”和“run=”，正常情况下它们后面应该是空白，如果你发现它们后面加了某个程序，那么加载的程序则可能是木马，需要将它们删除。

; I" c. _* B) K5 L) k7 n* C1 o　　五、隐藏在Autoexec.bat
( H  z% E$ p' O% }4 |* U6 w& ~0 s4 c
! j" B7 o5 i" Z0 y5 j: b; _, U　　在C盘根目录下有一个Autoexec.bat文件，这里的内容将会在系统启动时自动运行。与该文件类似的还有Config.sys。因为它自动运行，因此也成为木马的一个藏身之地。对此我们同样需要打开这两个文件，检查里面是否加载了来历不明的程序在运行。
9 T: C: w; @  p0 u0 X  z% T. V2 G2 E
* ~' i+ W! o1 K, ~6 N4 B, ^* h　　六、任务管理器
9 d0 f) d1 o9 x, n/ g! A/ T
　　部分木马运行后我们可以在任务管理器中找出它的踪迹。在任务栏上右击，在弹出的菜单中选择“任务管理器”，将打开的窗口切换到“进程”标签，在这里查看有没有占用较多资源的进程，有没有不熟悉的进程。若有，可以先试着将它们关闭。另外要特别注意Explorer.exe这类进程，因为很多木马会使用Exp1orer.exe进程名，即把l换成1，用户不仔细查看，还以为是系统进程呢。

　　七、启动
- i, R! ^  M! e+ o
　　在Windows XP中，我们可以运行“msconfig”，将打开的窗口切换到“启动”标签，在这里可以看到所有启动加载的项目，此时就可以根据“命令”和“位置”来判断是启动加载的是否为木马。如果判断为木马则可以将其启动取消，然后再作进一步的处理。
' d& S# T0 x9 H- A$ r  X
　　八、注册表
( \5 w& C3 F: y% c: l* n4 J
8 z$ Z. X5 s4 E) T　　我们程序的运行控制大多是由注册表控制的，因此我们有必要对注册表进行检查。运行“regedit”打开注册表编辑器，然后依次检查如下区域：
  \, m9 v, ^7 T- |2 @" x) p4 u
% p2 w7 r, S/ v% g# Y! {HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion、

7 J" I+ x9 m; rHKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion、
1 Q3 e8 y' y" C4 X
5 w  j  q# ?/ N$ ]# w% e( t9 ~- }HKEY_USERS\.Default\Software\Microsoft\Windows\CurrentVersion，看看这三个区域下所有以“run”开头的键值，如果键值的内容指向一些隐藏的文件或自己从未安装过的程序，那么这些则很可能是木马了。
7 }( D* s0 P/ j3 Z, E$ d
& @1 |: U/ S# Y% W: x2 f0 Q6 R9 h　　木马之所以能够为非作歹，正是因为其善于隐藏自己。不过我们掌握了其藏身之处，那么则可以将其一一清除。当然，木马在实际的伪装隐藏自己中，可能会综合使用上面一种或几种方法来伪装，这就需要我们在检查清除时，不能只检查其中的部分地点。

bmx极限运动

谢谢楼主分享！！