黑客攻防技术内幕-安全防入侵与防病毒基础(2)

3.2  常见特洛伊木马的清除方法

特洛伊木马程序通常指伪装成合法软件的有害程序。这种程序一般不进行自我复制，因此并不属于严格意义上的病毒，反病毒研究者们把类似的有害程序称为恶意软件(malicious software)或不友好代码(hostile code)。

特洛伊木马程序比起其他各种恶意的软件来说都更加了解用户的心理状态—— 这种程序的创作者用在怎样使你运行特洛伊木马程序的功夫可能和他们创作木马的时间一样多。这些伎俩可能是非常简单的方法，如给文件取一个欺骗性的名字或把木马放到适当的位置，也可能是非常复杂的方法。有些特洛伊木马可以模仿运行环境，收集所需的信息，最常见的特洛伊木马就是试图窃取用户名和密码的登录窗口。

有一类特洛伊木马就是试图从用户众多的因特网服务提供商(ISP)那里窃取用户的注册信息与账号信息。木马程序收集你访问过的英特网站点并发送出去，或者执行其他不受欢迎的功能。

3.2.1  广外女生清除方法

广外女生是由广州外语外贸大学“广外女生”网络小组制作的一种特洛伊木马，该木马更具有隐蔽性，下面来看看如何手工清除广外女生服务端。

(1) 运行广外女生服务端后，就会在系统的C：\WINDOW\SYSTEM下生成一个名为Diagcfg.exe的文件，如图3-1所示。广外女生随着Windows的启动而启动，所以在Windows环境下是删除不了的，因为该木马在Windows环境下运行，因此启动计算机后，按F8键进入【开始】菜单，然后选择进入到纯DOS模式下，找到System目录下的Diagcfg.exe并将它删除。

图3-1  运行广外服务端后成生的Diagcfg.exe文件

提示：

删除Diagcfg.exe时，在DOS下输入：c:\>del c:\windows\system\diagcfg.exe。

(2) 由于Diagcfg.exe文件已经被删除了，因此在Windows环境下任何.exe文件都将无法运行。这时找到Windows目录中的注册表编辑器Regedit.exe，将它改名为Regedit.com，如图3-2所示。

图3-2  给注册表改名

(3) 回到Windows模式下，运行Windows目录下的Regedit.com程序(改名后的注册表)，如图3-3所示。

图3-3  运行注册表编辑器

注意：

将注册表改名为regedit.com后也可以照常运行。

(4) 依次展开HKEY_CLASSES_ROOT\exefile\shell\open\command键值，将其默认键值改成"%1" %*，如图3-4所示。

图3-4  更改注册表键值

(5) 依次展开以下键值：

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices

删除其中名称为Diagnostic Configuration的键值，如图3-5所示。

图3-5  删除注册表键值

提示：

删除Diagnostic Configuration的键值是禁止其在启动时运行。

(6) 关掉注册表编辑器，回到Windows目录，将Regedit.com改回Regedit.exe。

(7) 广外女生服务端成功被清除。

3.2.2  蓝色火焰清除方法

蓝色火焰是一款没有客户端的优秀国产木马，接下来看一看如何清除蓝色火焰服务端，以下清除在Windows 98下进行。

(1) 重新启动，进入纯DOS界面。

(2) 进入【系统目录】(例如：windows 98即在windows/system目录。)

删除：tasksvc.exe、sysexpl.exe、bfhook.dll

或是在DOS下运行以下命令：

C:\Windows\System>del tasksvc.exe

C:\Windows\System>del sysexpl.exe

C:\Windows\System>del bfhook.dll

(3) 单击【开始】→【运行】命令，在【运行】对话框的【打开】下拉列表框中输入regedit，单击【确定】按钮，进入注册表编辑器。

(4) 在注册表编辑器里，展开如下键值：

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run

删除注册表键值名：Network Services(键值：C:\Windows\System\tasksvc.exe)。

如图3-6所示。

图3-6  删除键值

(5) 在txt文件上按住shift键并右击，在弹出的快捷菜单中选择【打开方式】命令，然后在【打开方式】对话框中启用【始终使用该程序打开这种类型的文件】复选框，如图3-7和3-8所示。

图3-7  选择打开方式

图3-8  以记事本的方式打开

(6) 蓝色火焰服务端清除完成，也可以使用蓝色火焰专门清除工具清除服务端。