购卡充值平台 新手指南 游戏入门
颜色教学
游戏系统
种族职业 角色详解 六大属性
魔法技能
常用资料 装备道具
地图怪物
任务资料
关于104种木马的手工清除方法
圣魔隐者　　　　　　　　　
2003-11-20 11:17
】　　【
104种木马的手工清除方法
大家都很惧怕木马，所以，建议有条件的都***好木马查杀工具。
并且尽量使用杀毒软件，网络防护墙和木马查杀工具。
找来这些手工清除木马的方法，大家可以试试。也可以对照清除方法查看一下自己的电脑系统是不是安全干净的。呵呵。大家好运~~~
冰河v1.1v2.2
这是国产最好的木马作者：黄鑫
清除木马v1.1
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
查找以下的两个路径，并删除
C:\windows\system\kernel32.exe
C:\windows\system\sysexplr.exe
关闭Regedit
重新启动到MSDOS方式
删除C:\windows\system\kernel32.exe和C:\windows\system\sysexplr.exe木马程序
重新启动。OK
清除木马v2.2
服务器程序、路径用户是可以随意定义，写入注册表的键名也可以自己定义。
因此，不能明确说明。
你可以察看注册表，把可疑的文件路径删除。
重新启动到MSDOS方式
删除于注册表相对应的木马程序
重新启动Windows。OK
2.AcidBatteryv1.0
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的Explorer=C:\WINDOWS\expiorer.exe
关闭Regedit
重新启动到MSDOS方式
删除c:\windows\expiorer.exe木马程序
注意：不要删除正确的ExpLorer.exe程序，它们之间只有i与L的差别。
重新启动。OK
3.AcidShiverv1.0+1.0Mod+lmacid
清除木马的步骤：
重新启动到MSDOS方式
删除C:\windows\MSGSVR16.EXE
然后回到Windows系统
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的Explorer=C:\WINDOWS\MSGSVR16.EXE
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
删除右边的Explorer=C:\WINDOWS\MSGSVR16.EXE
关闭Regedit
重新启动。OK
重新启动到MSDOS方式
删除C:\windows\wintour.exe然后回到Windows系统
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的Wintour=C:\WINDOWS\WINTOUR.EXE
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
删除右边的Wintour=C:\WINDOWS\WINTOUR.EXE
关闭Regedit
重新启动。OK
4.Ambush
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的zka=zcn32.exe
关闭Regedit
重新启动到MSDOS方式
删除C:\Windows\zcn32.exe
重新启动。OK
5.AOLTrojan
清除木马的步骤：
启动到MSDOS方式
删除C:\command.exe（删除前取消文件的隐含属性）
注意：不要删除真的command.com文件。
删除C:\americ~1.0\buddyl~1.exe（删除前取消文件的隐含属性）
删除C:\windows\system\norton~1\regist~1.exe（删除前取消文件的隐含属性）
打开WIN.INI文件
在[WINDOWS]下面run=和load=都加载者特洛伊木马程序的路径，必须清除它们： run=
保存WIN.INI
还要改正注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的WinProfile=c:\command.exe
关闭Regedit，重新启动Windows。OK
6.Asylumv0.1,0.1.1,0.1.2,0.1.3+Mini1.0,1.1
清除木马的步骤：
注意：木马程序默认文件名是wincmp32.exe，然而程序可以随意改变文件名。
我们可以根据木马修改的system.ini和win.ini两个文件来清除木马。
打开system.ini文件
在[BOOT]下面有个" hell=文件名。正确的文件名是explorer.exe
如果不是explorer.exe，那么那个文件就是木马程序，把它查找出来，删除。
保存退出system.ini
打开win.ini文件
在[WINDOWS]下面有个run=
如果你看到=后面有路径文件名，必须把它删除。
正确的应该是run=后面什么也没有。
=后面的路径文件名就是木马，把它查找出来，删除。
保存退出win.ini。
7.AttackFTP
清除木马的步骤：
打开win.ini文件
在[WINDOWS]下面有load=wscan.exe
删除wscan.exe，正确是load=
保存退出win.ini。
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的Reminder=wscan.exe/ quot;
关闭Regedit，重新启动到MSDOS系统中
删除C:\windows\system\wscan.exe
8.BackCo truction1.0-2.5
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的C:\WINDOWS\Cmctl32.exe
关闭Regedit，重新启动到MSDOS系统中
删除C:\WINDOWS\Cmctl32.exe
9.BackDoorv2.00-v2.03
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的'c:\windows\notpa.exe/o=yes'
关闭Regedit，重新启动到MSDOS系统中
删除c:\windows\notpa.exe
注意：不要删除真正的notepad.exe笔记本程序
10.BFEvolutionv5.3.12
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的(Default)=
关闭Regedit，再次重新启动计算机。
将C:\windows\system\.exe（空格exe文件）
11.BioNetv0.84-0.92+2.21
0.8X版本是运行在Win95/98
0.9X以上版本有运行在Win95/98和WinNT上两个软件
客户－服务器协议是一样的，因而NT客户能黑95/98被感染的机器，和Win95/98客户能黑
NT被感染的系统完全一样。
清除木马的步骤：
首先准备一张98的启动盘，用它启动后，进入c:\windows目录下，用attriblibupd~1.
命令让木马程序可见，然后删除它。
抽出软盘后重新启动，进入98下，在注册表里找到：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
的子键WinLibUpdate=c:\windows\libupdate.exe-hide
将此子键删除。
12.Blav1.0-5.03
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的Systemdoor=C:\WINDOWS\System\mprdll.exe
关闭Regedit，重新启动计算机。
查找到C:\WINDOWS\System\mprdll.exe和
C:\WINDOWS\system\rundll.exe
注意：不要删除C:\WINDOWS\RUNDLL.EXE正确文件。
并删除两个文件。
13.BladeRu er
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
可以找到System-Tray=c:\something\something.exe
右边的路径可能是任何东西，这时你不需要删除它，因为木马会立即自动加上，你需要
的是记下木马的名字与目录，然后退回到MS-DOS下，找到此木马文件并删除掉。
重新启动计算机，然后重复第一步，在注册表中找到木马文件并删除此键。
14.Bobov1.0-2.0
清除木马v1.0
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的DirrectLibrarySu ort=C:\WINDOWS\SYSTEM\Dllclient.exe
关闭Regedit，重新启动计算机。
DELC:\Windows\System\Dllclient.exe
清除木马v2.0
打开注册表Regedit
点击目录至：
HKEY_USER/.Default/Software/Mirabilis/ICQ/Agent/A /ICQAccel/
ICQAccel是一个“假象“的主键，选中ICQAccel主键并把它删除。
重新启动计算机。OK
15.BrainSpyvBeta
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
右边有???=C:\WINDOWS\system\BRAINSPY.exe
???标签选是随意改变的。
关闭Regedit，重新启动计算机
查找删除C:\WINDOWS\system\BRAINSPY.exe
16.CainandAbelv1.50-1.51
这是一个口令木马
进入MS-DOS方式
查找到C:\windows\msabel32.exe
并删除它。ＯＫ
17.Cana on
清除木马的步骤：
打开WIN.INI文件
查找c:\msie5.exe，删除全部主键
保存win.ini
重新启动计算机
删除c:\msie5.exe木马文件
18.Chupachbra
清除木马的步骤：
打开WIN.INI文件
[Windows]的下面有两个行
run=wi rot.exe
load=wi rot.exe
删除wi rot.exe
保存Win.ini，再打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run
删除右边的'SystemProtect'=wi rot.exe
重新启动Windows
查找到C:\windows\system\wi rot.exe，并删除。
19.Comav1.09
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run
删除右边的'RunTime'=C:\windows\msgsrv36.exe
重新启动Windows
查找到C:\windows\msgsrv36.exe，并删除。
20.Control
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run
删除右边的LoadMSchvDrv=C:\windows\system\MSchv.exe
保存Regedit，重新启动Windows
查找到C:\windows\system\MSchv.exe，并删除。
21.DarkShadow
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\RunServices
删除右边的winfunctio =winfunctio .exe
保存Regedit，重新启动Windows
查找到C:\windows\system\winfunctio .exe，并删除。
22.DeepThroatv1.0-3.1+Mod(Foreplay)
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run
版本1.0
删除右边的项目'System32'=c:\windows\system32.exe
版本2.0-3.1
删除右边的项目'SystemTray'='Systray.exe'
保存Regedit，重新启动Windows
版本1.0删除c:\windows\system32.exe
版本2.0-3.1
删除c:\windows\system\systray.exe
23.DeltaSourcev0.5-0.7
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run
删除右边的项目：DSadmintool=C:\TEMPSERVER.exe
保存Regedit，重新启动Windows
查找到C:\TEMPSERVER.exe，并删除它。
24.DerSpaeherv3
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run
删除右边的项目：explore=c:\windows\system\dkbdll.exe
保存Regedit，重新启动Windows
删除c:\windows\system\dkbdll.exe木马文件。
25.Dolyv1.1-v1.7(SE)
清除木马V1.1-V1.5版本：
这几个木马版本的木马程序放在三处，增加二个注册项目，还增加到Win.ini项目。
首先，进入MS-DOS方式，删除三个木马程序，但V1.35版本多一个木马文件mdm.exe。
把下列各项全部删除：
C:\WINDOWS\SYSTEM\tesk.sys
C:\WINDOWS\StartMenu\Programs\Startup\mstesk.exe
c:\ProgramFiles\MStesk.exe
c:\ProgramFiles\Mdm.exe
重新启动Windows。
接着，打开win.ini文件
找到[WINDOWS]下面load=c:\windows\system\tesk.exe项目，删除路径，改变为load=
保存win.ini文件。
最后，修改注册表Regedit
找到以下两个项目并删除它们
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
Mstesk=C:\ProgramFiles\MStesk.exe
HKEY_USER\.Default\Software\Microsoft\Windows\CurrentVersion\Run
Mstesk=C:\ProgramFiles\MStesk.exe
再寻找到HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ 这个组是木马的全部参数选择和设置的服务器，删除这个 组的全部项目。
关闭保存Regedit。
还有打开C:\AUTOEXEC.BAT文件，删除
@echooffcopyc:\sys.lonc:\windows\StartMenu\StartupItems\
delc:\win.reg
关闭保存autoexec.bat。
清除木马V1.6版本：
该木马运行时，将不能通过98的正常操作关闭，只能RESET键。彻底清除步骤如下：
1．打开控制面板——添加删除程序——删除memorymanager3.0，这就是木马程序，但
是它并不会把木马的EXE文件删除掉。
2．用98或DOS启动盘启动（用RESET键）后，转入C:\，编辑AUTOEXEC。BAT，把如下内容
@echooffcopyc:\sys.lonc:\windows\startm~1\programs\startup\mdm.exe
delc:\win.reg
保存AUTOEXEC。BAT文件并返回DOS后，在C：\根目录下删除木马文件：
delsys.lon
delwindows\startm~1\programs\startup\mdm.exe
delprogra~1\mdm.exe
3．抽出软盘重新启动，进入98后，把c:\programfiles\目录下的memorymanager目录
清除木马V1.7版本：
首先，打开C:\AUTOEXEC.BAT文件，删除
@echooffcopyc:\sys.lonc:\windows\startm~1\programs\startup\mdm.exe
delc:\win.reg
关闭保存autoexec.bat
然后打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run
找到c:\windows\system\mdm.exe路径并删除这个项目
点击目录至：
HKEY_USER/.Default/Software/Marabilis/ICQ/Agent/A /
找到C:\windows\system\kernal32.exe路径并删除这个项目
关闭保存Regedit。重新启动Windows。
最后，删除以下木马程序：
c:\sys.lon
c:\iecookie.exe
c:\windows\startmenu\programs\startup\mdm.exe
c:\programfiles\mdm.exe
c:\windows\system\mdm.exe
c:\windows\system\kernal32.exe
注意：kernal32是Ａ
75.Revengerv1.0-1.5
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：A Name=C:\...\server.exe
关闭保存Regedit，重新启动Windows
在c:\windows查找相应的木马程序server.exe，并删除
76.Ri er
清除木马的步骤：
打开system.ini文件
将shell=explorer.exesysrunt.exe
改为shell=explorer.exe
关闭保存system.ini，重新启动Windows
在c:\windows查找相应的木马程序sysrunt.exe，并删除
77.Sata BackDoorv1.0
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices\
删除右边的项目：sy rotprotection=C:\windows\sy rot.exe
关闭保存Regedit，重新启动Windows
删除C:\windows\sy rot.exe
78.Schwindlerv1.82
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：User.exe=C:\WINDOWS\User.exe
关闭保存Regedit，重新启动Windows
删除C:\WINDOWS\User.exe
79.SetupTrojan(Sshare)+ModSmallShare
这个共享隐藏Ｃ盘的木马
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Network\LanMan\
选择右边有'C$'的项目，并全部删除
关闭保存Regedit，重新启动Windows
80.ShadowPhyrev2.12.38-2.X
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：WinZi =C:\WINDOWS\SYSTEM\WinZi .exe/nomsg
或者WinZip=C:\WINDOWS\SYSTEM\WinZip.exe/nomsg
关闭保存Regedit，重新启动Windows
删除C:\WINDOWS\WinZi .exe或者C:\WINDOWS\WinZip.exe
81.ShareAll
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Network\LanMan\
这里你将看到所有被木马共享出来的你的硬盘符号，把它们一个个删除掉。
82.ShitHeap
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices\
删除右边的项目：recycle-bin=c:\windows\system\recycle-bin.exe
或者recycle-bin=c:\windows\system.exe
关闭保存Regedit，重新启动Windows
删除c:\windows\system\recycle-bin.exe或者c:\windows\system.exe
83.Snidv1-2
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：System-tray='c:\windows\temp$01.exe'
关闭保存Regedit，重新启动Windows
删除c:\windows\temp$01.exe
84.Softwarst
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：NetA =C:\windows\system\wi erv.exe
关闭保存Regedit，重新启动Windows
删除C:\windows\system\wi erv.exe
85.Spirit2000Beta-v1.2(fixed)
清除木马vBeta版本:
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：internet=c:\windows\netip.exe
关闭保存Regedit
打开win.ini文件
查找到run=c:\windows\netip.exe
更改为：run=
关闭保存win.ini，重新启动Windows
删除c:\windows\netip.exe和c:\windows\netip.exe
清除木马v1.2版本:
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：SystemTray=c:\windows\windown.exe
关闭保存Regedit，重新启动Windows
删除c:\windows\windown.exe
清除木马v1.2(fixed)版本:
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：Server1.2.exe=c:\windows\server1.2.exe
关闭保存Regedit，重新启动Windows
删除c:\windows\server1.2.exe
86.Stealthv2.0-2.16
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：Wi rotectSystem=C:\WINDOWS\wi rotecte.exe
关闭保存Regedit，重新启动Windows
删除C:\WINDOWS\wi rotecte.exe
87.SubSeven-Introduction
清除木马v1.0-1.1：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：SystemTrayIcon=C:\WINDOWS\SysTrayIcon.Exe
关闭保存Regedit，重新启动Windows
删除C:\WINDOWS\SysTrayIcon.Exe
清除木马v1.3-1.4-1.5：
打开win.ini文件
查找到run=nodll
更改为run=
关闭保存win.ini，重新启动Windows
删除c:\windows\nodll.exe
清除木马v1.6：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：SystemTray=SysTray.Exe
关闭保存Regedit，重新启动Windows
删除C:\windows\systray.exe
清除木马v1.7：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
查找到右边的项目：C:\windows\kernel16.dl，并删除
关闭保存Regedit，重新启动Windows
删除C:\windows\kernel16.dl
清除木马v1.8：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run和
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
查找到右边的项目：c:\windows\system.ini.，并删除
关闭保存Regedit。
打开win.ini文件
查找到run=kernel16.dl
更改为run=
关闭保存win.ini。
打开system.ini文件
查找到shell=explorer.exekernel32.dl
更改为shell=explorer.exe
关闭保存system.ini，重新启动Windows
删除C:\windows\kernel16.dl
清除木马v1.9-1.9b：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run和
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
删除右边的项目：RegistryScan=rundll16.exe
关闭保存Regedit，重新启动Windows
删除C:\windows\rundll16.exe
清除木马v2.0：
打开system.ini文件
查找到shell=explorer.exetroja ame.exe
更改为shell=explorer.exe
关闭保存system.ini，重新启动Windows
删除c:\windows\rundll16.exe
清除木马v2.1-2.1Gold+SubStealth-2.1.3Mod+2.1.3MUIE+2.1Bonus：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run和
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
删除右边的项目：WinLoader=MSREXE.EXE
hkey_cla es_root\exefile\shell\open\command
将右边的项目更改为：@=\%1\%*
关闭保存Regedit。
打开win.ini文件
查找到run=msrexe.exe和
load=msrexe.exe
更改为run=
关闭保存win.ini。
打开system.ini文件
查找到shell=explore.exemsrexe.exe
更改为shell=explorer.exe
关闭保存system.ini，重新启动Windows
删除C:\windows\msrexe.exe
C:\windows\system\systray.dll
清除木马v2.2b1：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run和
删除右边的项目：加载器=c:\windows\system\***
注：加载器和文件名是随意改变的
关闭保存Regedit。
打开win.ini文件
更改为run=
关闭保存win.ini。
打开system.ini文件
更改为shell=explorer.exe
关闭保存system.ini，重新启动Windows
删除相对应的木马程序
88.Telecommando1.54
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：SystemA ＝ODBC.EXE
关闭保存Regedit，重新启动Windows
删除C:\windows\system\ODBC.EXE
89.TheUnexplained
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：InetB00st=C:\WINDOWS\TEMPINETB00ST.EXE
关闭保存Regedit，重新启动Windows
删除C:\WINDOWS\TEMPINETB00ST.EXE
90.Thingv1.00-1.60
清除木马v1.00-1.12：
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：(Default)=C:\some\path\here\thing.exe
也有一些是在：
HKEY_LOCAL_MACHINE\System\CurrentControlSet\control\Se ionManager\Known16DL
删除右边的项目：wsasrv.exe=wsasrv.exe
关闭保存Regedit，重新启动Windows
删除C:\some\path\here\thing.exe
清除木马v1.20版本:
进入MS_DOS方式：
delwi c13.exe
delms097.exe
打开system.ini文件
查找到shell=explorer.exems097.exe
更改为：shell=explorer.exe
关闭保存system.ini，重新启动Windows
清除木马v1.50版本:
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
这个项目的路径和文件名是随机改变的，察看有可疑的文件路径，将它删除。
关闭保存Regedit。
打开system.ini文件
查找到shell=explorer.exe后面是木马文件
更改为：shell=explorer.exe
关闭保存system.ini，重新启动Windows
删除相应的木马文件
清除木马v1.50版本:
进入MS_DOS方式：
delwi c13.exe
delms097.exe
打开system.ini文件
查找到shell=explorer.exe后面是木马文件
更改为：shell=explorer.exe
关闭保存system.ini，重新启动Windows
删除相应的木马文件
91.Tra mi ionScountv1.1-1.2
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：Kernel16=C:\WINDOWS\Kernel16.exe
关闭保存Regedit，重新启动Windows
删除C:\WINDOWS\Kernel16.exe
92.Trinoo
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：SystemServices=service.exe
关闭保存Regedit，重新启动Windows
删除C:\windows\system\service.exe
93.TrojanCowv1.0
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：SysWindow=C:\WINDOWS\Syswindow.exe
关闭保存Regedit，重新启动Windows
删除C:\WINDOWS\Syswindow.exe
94.TryIt
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：Rc5Dec=C:\ProgramFiles\InternetExplorer\_.exe-guistart
关闭保存Regedit，重新启动Windows
删除C:\ProgramFiles\InternetExplorer\_.exe
95.Vampirev1.0-1.2
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：Sockets=c:\windows\system\Sockets.exe
关闭保存Regedit，重新启动Windows
删除c:\windows\system\Sockets.exe
96.WarTrojanv1.0-2.0
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：Kernel32=C:\somepath\server.exe
关闭保存Regedit，重新启动Windows
删除C:\somepath\server.exe
97.wCratv1.2b
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：MSWindowsSystemExplorer=C:\WINDOWS\sysexplor.exe
关闭保存Regedit，重新启动Windows
删除C:\WINDOWS\sysexplor.exe
98.WebEx(v1.2,1.3,and1.4)
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：RunDl32=C:\windows\system\task_bar
关闭保存Regedit，重新启动Windows
删除C:\windows\system\task_bar.exe和c:\windows\system\msinet.ocx
99.WinCrashv2
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：WinManager=c:\windows\server.exe
关闭保存Regedit
打开win.ini文件
查找到run=c:\windows\server.exe
更改为：run=
保存关闭win.ini，重新启动Windows
删除c:\windows\server.exe
100.WinCrash
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：MsManager=SERVER.EXE
关闭保存Regedit，重新启动Windows
删除C:\windows\system\SERVER.EXE
101.Xanaduv1.1
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：SETUP=c:\somepath\setup.exe
关闭保存Regedit，重新启动Windows
删除c:\somepath\setup.exe
102.Xplorerv1.20
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：PCX=C:\WINDOWS\system\PCX.exe
关闭保存Regedit，重新启动Windows
删除C:\WINDOWS\system\PCX.exe
103.Xtcpv2.0-2.1
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：msgsv32=C:\WINDOWS\system\winmsg32.exe
关闭保存Regedit，重新启动Windows
删除C:\WINDOWS\system\winmsg32.exe
104.YAT
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices\
删除右边的项目：Batterieanzeige='c:\pathnamehere\server.exe/nomsg'
关闭保存Regedit，重新启动Windows
删除c:\pathnamehere\server.exe
设计公司： 韩国Ncsoft公司
代理公司： 北京新浪互联信息服务有限公司
游戏类型： 角色扮演网络游戏
官方网站：
***信箱：
******： 021-58826015 24小时不打烊
专区投稿：笔记本游戏玩家 如何清除征途木马
笔记本游戏玩家 如何清除征途木马
2009-03-04 01:46:21
现在木马病毒的传播方式越来越来隐蔽，让不少用户防不胜防。特别是针对某款网游的盗号木马，如果不加以控制，将给这款网游带来毁灭性灾难。最近针对《征途》游戏出了一款木马，它的隐藏方式相当狡诈，非常难以发现。不过，对于这类劣迹斑斑的病毒，安全诊所的裘文锋医生早已见怪不怪了。下面就帮史玉柱揪出这款针对《征途》游戏的木马。
征途木马档案
　　Svhost32.exe征途木马可以盗取《征途》的密码、其他游戏密码、IM工具密码等等。感染病毒之后，会生成Svhost32.exe、Rundl132.exe进程、msccrt.exe进程等，这些迷惑性进程并不是木马的核心，真正的主谋其实躲藏在阴暗处。该木马的杀手锏应该是插入到Explorer.exe进程的DLL文件。
Svhost32进程“出卖”征途木马
　　今天安全诊所迎来了一个就诊者。从他咬牙切齿地叙述中，裘医生了解到小王对该病毒深恶痛绝。这也不奇怪，病毒盗取了他的征途游戏的密码，让他损失不小。
　　盗取密码的一般是木马病毒，那么到底是哪种木马呢？从小王描述的病毒发作特征中，裘医生发现病毒修改了IE的默认主页为http://u4.sky99.cn/。
　　该木马占用了大量系统资源，使系统稳定性大大下降。在任务管理器的进程窗口出现了Svhost32.exe进程，疑似病毒进程，关闭之后重启系统，仍然会出现。木马占用了网络带宽向黑客发送密码信息，而且把自己的线程插入了系统关键进程。
　　另外获取用户的密码信息的方式也极其危险，极易导致系统崩溃。病毒还关闭了瑞星杀毒监控。通过小王的叙述，裘医生发现这个系统的情况和中Svhost32.exe征途木马后的情况对上了号，因此，当即就开始诊治起来。
去除木马病毒的伪装
　　由于Svhost32.exe征途木马有一些没有破坏性的伪装文件，裘医生决定先去除这些垃圾文件。
　　打开了IceSword，裘医生很快便在其进程选项中发现了Svhost32.exe进程的文件是“C:\Windows\Download\Svhost32.exe”。
　　右键单击该进程选择“结束进程”命令即可，接着进入该目录删除该文件。同样的，Rundl132.exe进程的文件是C:\windows\rundl132.exe，结束进程后也删除该文件。
　　同样的，发现msccrt.exe进程的文件是C:\windows\msccrt.exe，结束进程后也删除该文件。由于这些进程都能自启动，打开System Repair Engineer来清除自启动项目。打开程序后，选中“启动项目”时弹出了两次警告信息框，默认为空的注册表值load被修改成了“C:\windows\rundl132.exe”用以启动加载rundl132.exe这个病毒进程。
　　清空load值来防止病毒自启动。接着删除值为“C:\windows\Download\svhost32.exe”的启动项目xy和值为“C:\DOCUME~1\ADMI NI~1\LOCALS~1\Te mp\upxdn.exe”的启动项目upxdn。
　　由于病毒试图窜改UserInit项目来达到运行自己的目的，不过这次并未进行实质性修改，只是破坏了原来的值，因此把UserInit项目重新修改为正常的“C:\windows\system32\Userinit.exe”（不包括引号）即可。
幕后主谋现身
　　裘医生清除完这些病毒文件，下面就是让插入Explorer.exe进程的病毒文件现身了。打开了《超级巡警》，选择“进程管理”选项，根据病毒发作时间很快便发现了位于“C:\Program Files\Commo Files\Microsoft Sha red\MSINFO”的可疑文件xiaran.dat；位于“C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp”的可疑文件upxdn.dll和位于“C:\Windows\system32”的可疑文件msccrt.dll。这些文件不但以***警告色显示，而且文件属性显示创建时间都是病毒发作期主谋就地正法
　　狡猾的主谋已经被发现了，下面就开始清除这些文件吧。裘医生选中这些文件，右键单击选择“强制卸载标记模块”命令，这样这些文件就不能得到Explorer.exe进程的庇护了。
　　接着就可以进入这些文件的目录逐个删除了。完成之后，重新启动计算机，未发现病毒进程，系统运行也稳定了。这说明病毒已经被成功清除了。
　　Svhost32.exe征途木马，一般通过浏览恶意网站来传播。因此，我们***杀毒软件开启网页和文件实时防护功能，可以比较好地防范这类木马。开启下载软件（如：迅雷、快车）的文件病毒监控也是必要的。
本文关键词：
您对本文的评价：
责任编辑：
发表评论：
用户名：
近日，巨人投资有限公司创始...
福布斯中文版今日首次发布201...
“云计算”、“物联网”不是...
阿里巴巴董事局主席马云昨日...
关注最多
评论最多
06-16 15:53
06-13 18:12
《愤怒的小鸟》、《宝石迷阵》······各种趣...
从品牌到山寨、从服务到产品、从硬件到应用...
Copyright ccw.com.cn,All rights reserved
中国计算机世界出版服务公司内容版权所有
京ICP证010182是指潜伏在电脑中，受外部用户控制以窃取本机信息或者控制权的程序。它的全程叫
，英文叫做“Trojan horse”，其名称取自希腊神话的特洛伊木马记。 木马程序危害在于多数有恶意企图，例如占用
，降低电脑效能，危害本机信息安全（盗取QQ帐号、游戏帐号甚至银行帐号），将本机作为工具来攻击其他设备等。
　　“木马”
是目前比较流行的病毒文件，与一般的病毒不同，
木马病毒
它不会自我繁殖，也并不“刻意”地去感染其他文件，它通过将自身伪装吸引用户下载执行，向施种木马者提供打开被种者电脑的门户，使施种者可以任意毁坏、窃取被种者的文件，甚至远程操控被种者的电脑。
木马病毒扫描
木马（Trojan）这个名字来源于
传说(荷马史诗中木马计的故事，Trojan一词的本意是
的，即代指
，也就是木马计的故事)。
　　木马会想尽一切
隐藏自己，主要途径有：在任务栏中隐藏自己，这是最基本的办法。只要把Form的Visible
设为False，ShowInTaskBar设为False，程序运行时就不会出现在任务栏中了。在任务管理器中隐形：将程序设为“系统服务”可以很轻松地伪装自己。当然它也会悄无声息地启动，
当然不会指望用户每次启动后点击“木马”图标来运行服务端，“木马”会在每次用户启动时自动装载。Windows系统启动时自动加载
的方法，“木马”都会用上，如：启动组、Win.ini、System.ini、注册表等都是“木马”藏身的好地方。
　　它是指通过一段特定的程序（木马程序）来控制另一台计算机。木马通常有两个可执行程序：一个是
，即控制端，另一个是服务端，即被控制端。植入被种者电脑的是“
”部分，而所谓的“黑客”正是利用“控制器”进入运行了“服务器”的电脑。运行了木马程序的“服务器”以后，被种者的电脑就会有一个或几个端口被打开，使黑客可以利用这些打开的端口进入
，安全和个人隐私也就全无保障了！ 木马的设计者为了防止木马被发现，而采用多种手段隐藏木马。木马的服务一旦运行并被控制端连接，其控制端将享有服务端的大部分操作权限，例如给计算机增加口令，浏览、移动、复制、删除文件，修改
，更改计算机配置等。
　　随着病毒编写技术的发展，木马程序对用户的威胁越来越大，尤其是一些木马程序采用了极其狡猾的手段来隐蔽自己，使普通用户很难在中毒后发觉。
　　最初网络还处于以UNIX平台为主的时期，木马就产生了，当时的木马程序的功能相对简单，往往是将
伪装的木马病毒
一段程序嵌入到
中，用跳转指令来执行一些木马的功能，在这个时期木马的设计者和使用者大都是些技术人员，必须具备相当的网络和编程知识。
　　而后随着WINDOWS平台的日益普及，一些基于图形操作的木马程序出现了，用户界面的改善，使使用者不用懂太多的专业知识就可以熟练的操作木马，相对的木马入侵事件也频繁出现，而且由于这个时期木马的功能已日趋完善，因此对服务端的破坏也更大了。
　　所以木马发展到今天，已经
，一旦被木马控制，电脑将毫无秘密可言。
　　木马是病毒的一种，同时木马程序又有许多种不同的种类，那是受不同的人、不同时期开发来区别的，如BackOrifice(BO)、BackOrifice2000、Net y、Picture、Netbus、Asylum、冰河等等这些都属于
种类。综合现在流行的木马程序，它们都有以下基本特征：
　　如其它所有的
一样，木马也是一种病毒，它必需隐藏在系统之中。很多人对木马和远程控制软件
木马病毒扫描
有点分不清，因为木马程序就要通过木马程序驻留目标机器后通过远程控制功能控制目标机器。实际上他们两者的最大区别就是在于这一点，举个例子来说吧，进行局域网间通讯
——PCanywhere。
　　PCanwhere在服务器端运行时，客户端与服务器端连接成功后客户端机上会出现很醒目的提示标志。而木马类的软件的服务器端在运行的时候应用各种手段隐藏自己，不可能还出现什么提示，这些黑客们早就想到了方方面面可能发生的迹象，把它们扼杀了。例如大家所熟悉木马修改注册表和
以便机器在下一次启动后仍能载入木马程式，它不是自己生成一个启动程序，而是依附在其它程序之中。有些把服务器端和正常程序绑定成一个程序的软件，叫做exe-binder绑定程式，可以让人在使用绑定的程式时，木马也入侵了系统，甚至有个别木马程序能把它自身的
和服务器端的图片文件绑定，在你看图片的时候，木马也侵入了你的系统。 它的隐蔽性主要体现在以下两个方面：
　　a、不产生图标
　　它虽然在你系统启动时会自动运行，但它不会在“任务栏”中产生一个图标，这是容易理解的，不然的话，凭你的火眼金睛你一定会发现它的。我们知道要想在任务栏中隐藏图标，只需要在木马程序开发时把“Form”的“Visible ”属性设置为“False”、把“ShowintaskBar”属性设置为“Flase”即可；
　　b、木马程序自动在任务管理器中隐藏，并以“系统服务”的方式欺骗
自动运行性
　　它是一个当你系统启动时即自动运行的程序，所以它必需潜入在你的启动配置文件中，如
、system.ini、wi tart.bat以及启动组等文件之中。
　　木马程序要达到其长期隐蔽的目的，就必需借助系统中已有的文件，以防被你发现，它经常使用的是常见的文件名或
，如“dll\win\sys\explorer等字样，或者仿制一些不易被人区别的文件名，如字母“l”与数字“1”、字母“o”与数字“0”，常修改基本个文件中的这些难以分辨的字符，更有甚者干脆就借用系统文件中已有的文件名，只不过它保存在不同路径之中。还有的木马程序为了隐藏自己，也常把自己设置成一个ZIP文件式图标，当你一不小心打开它时，它就马上运行。等等这些手段那些编制木马程序的人还在不断地研究、发掘，总之是越来越隐蔽，越来越专业，所以有人称木马程序为“骗子程序”。
自动恢复功能
　　现在很多的木马程序中的功能模块已不再是由单一的文件组成，而是具有多重
，可以相互恢复。
自动打开端口
　　木马程序潜入人的电脑之中的目的不主要为了破坏你的系统，更是为了获取你的系统中有用的信息，这样就必需当你上网时能与远端客户进行通讯，这样木马程序就会用服务器/客户端的通讯手段把信息告诉黑客们，以便黑客们控制你的机器，或实施更加进一步入侵企图。
　　通常的木马的功能都是十分特殊的，除了普通的文件操作以外，还有些木马具有搜索cache中的
、设置口令、扫描目标机器人的IP地址、进行键盘记录、远程注册表的操作、以及锁定鼠标等功能，上面所讲的远程控制软件的功能当然不会有的，毕竟远程控制软件是用来控制远程机器，方便自己操作而已，而不是用来黑对方的机器的。
黑客组织
　　以往还从未发现有什么公开化的病毒组织，多数病毒是由个别人出于好奇，想试一下自己的病毒程序开发水平而做的，但他（她）绝对不敢公开，因为一旦发现是有可能被判坐牢或罚款的，这样的例子已不再什么新闻了。如果以前真的也有专门开发病毒的病毒组织，但应绝对是属于“地下”的。现在倒好，什么专门开发木马程序的组织到处都是，不光存在，而且还公开在网上大肆招兵买马，似乎已经合法化。正因如此所以黑客程序不断升级、层出不穷，黑的手段也越来越高明。我不知道为什么，但据讲其理由是“为了自卫、为了爱国” 。
　　木马程序就是一个网络上的
的概念。以下简单介绍一些木马程序的功能：
　　1．
　　可以控制对方的鼠标、键盘和监视对方屏幕。
　　2．记录密码
　　3．取得电脑
的信息资料
　　如果你在电脑用户账户填上真名的话，对方就可能知道你的姓名了。
　　4．远程控制
　　5．发送信息
网络游戏木马
　　随着网络在线游戏的普及和升温，
拥有规模庞大的网游玩家。网络游戏中的金钱、装备等虚拟财富与现实财富之间的界限越来越模糊。与此同时，以盗取网游帐号密码为目的的木马病毒也随之发展泛滥起来。
　　网络游戏木马通常采用记录用户
游戏进程API函数等方法获取用户的密码和帐号。窃取到的信息一般通过发送电子邮件或向远程
提交的方式发送给木马作者。
　　网络游戏木马的种类和数量，在国产木马病毒中都首屈一指。流行的
无一不受网游木马的威胁。一款新游戏正式发布后，往往在一到两个星期内，就会有相应的木马程序被制作出来。大量的木马生成器和黑客网站的公开销售也是网游木马泛滥的原因之一。
网银木马
　　网银木马是针对网上交易系统编写的木马病毒，其目的是盗取用户的卡号、密码，甚至安全***。此类木马种类数量虽然比不上网游木马，但它的危害更加直接，受害用户的损失更加惨重。
　　网银木马通常针对性较强，木马作者可能首先对某
的网上交易系统进行仔细分析，然后针对安全薄弱环节编写病毒程序。如2004年的“网银大盗”病毒，在用户进入工行网银登录页面时，会自动把页面换成安全性能较差、但依然能够运转的老版页面，然后记录用户在此页面上填写的卡号和密码；“网银大盗3”利用招行网银专业版的备份安全***功能，可以盗取安全***；2005年的“新网银大盗”，采用API Hook等技术干扰网银登录安全控件的运行。
　　随着中国网上交易的普及，受到外来网银木马威胁的用户也在不断增加。
通讯软件木马
　　国内
百花齐放。
UC、网易泡泡、盛大圈圈……网上聊天的用户群十分庞大。常见的即时通讯类木马一般有3种：
传播示意图
一、发送消息型。通过即时通讯软件自动发送含有恶意网址的消息，目的在于让收到消息的用户点击网址中毒，用户中毒后又会向更多好友发送病毒消息。此类病毒常用技术是搜索聊天窗口，进而控制该窗口自动发送
内容。发送消息型木马常常充当网游木马的
，如“武汉男生2005”木马，可以通过
、QQ、UC等多种聊天软件发送带毒网址，其主要功能是盗取传奇游戏的帐号和密码。
　　二、盗号型。主要目标在于即时通讯软件的登录帐号和密码。工作原理和网游木马类似。病毒作者盗得他人帐号后，可能偷窥聊天记录等隐私内容，或将帐号卖掉。
　　三、传播自身型。2005年初，“
”等通过MSN传播的
泛滥了一阵之后，MSN推出新版本，禁止用户传送
。2005年上半年，“
”和“QQ爱虫”这两个国产病毒通过QQ聊天软件发送自身进行传播，感染用户数量极大，在江民公司统计的2005年上半年十大病毒排行榜上分列第一和第四名。从技术角度分析，发送文件类的QQ蠕虫是以前发送消息类QQ木马的进化，采用的基本技术都是搜寻到聊天窗口后，对聊天窗口进行控制，来达到发送文件或消息的目的。只不过发送文件的操作比发送消息复杂很多。
网页点击类木马
点击类木马会恶意模拟用户点击广告等动作，在短时间内可以产生数以万计的点击量。病毒作者的编写目的一般是为了赚取高额的广告推广费用。此类病毒的技术简单，一般只是向服务器发送HTTP GET请求。
下载类木马
　　这种木马程序的体积一般很小，其功能是从网络上下载其他病毒程序或***广告软件。由于体积很小，下载类木马更容易传播，传播速度也更快。通常功能强大、体积也很大的
类病毒，如“
”、“黑洞”等，传播时都单独编写一个小巧的下载型木马，用户中毒后会把后门主程序下载到本机运行。
代理类木马
　　用户感染代理类木马后，会在本机开启HTTP、
等代理服务功能。黑客把受感染计算机作为跳板，以被感染用户的身份进行黑客活动，达到隐藏自己的目的。
传播方式
　　1．通过邮件附件、程序下载等形式传播：不要随意使用来历不明的程序，因为可能被修改过含有木马。
　　2．通过伪装网页登录过程，骗取用户信息进而传播木马
　　3．通过攻击
传播木马：大量黑客使用专门的黑客工具来传播木马。
伪装方式
修改图标
　　当在E-MAIL的附件中看到文本图标时，是否会认为这是个文本文件呢?其实这也有可能是个木马程序，现在已经有木马可以将木马服务端程序的图标改成HTML，TXT， ZIP等各种文件的图标，这有相当大的迷惑性，但是目前提供这种功能的木马还不多见，并且这种伪装也不是无懈可击的。
捆绑文件
　　这种伪装手段是将木马捆绑到一个***程序上，当***程序运行时，木马在用户毫无察觉的 情况下 ，偷偷的进入了系统。至于被捆绑的文件一般是可执行文件(即EXE，COM一类的文件)。
出错显示
　　有一定木马知识的人都知道，如果打开一个文件，没有任何反应，这很可能就是个木马程序， 木马的设计者也意识到了这个
，所以已经有木马提供了一个叫做出错显示的功能。当服务 端用户打开木马程序时，会弹出一个错误提示框(这当然是假的)，错误内容可自由 定义，大多会定制成一些诸如“文件已破坏，无法打开的！”之类的信息，当服务端用户信以为真时，木马却悄悄侵入了系统。
定制端口
　　很多老式的木马端口都是固定的，这给判断是否感染了木马带来了方便，只要查一下特定的 端口就知道感染了什么木马，所以现在很多新式的木马都加入了定制端口的功能，控制端用户可以在1024---65535之间任选一个端口作为木马端口(一般不选1024以下的端口)，这样就给判断 所感染木马类型带来了麻烦。
自我销毁
　　这项功能是为了弥补木马的一个缺陷。我们知道当服务端用户打开含有木马的文件后，木马会将自己
到WINDOWS的
中(C:\\WINDOWS或C:\\WINDOWS\\SYSTEM目录下)，一般来说 原木马文件和系统文件夹中的木马文件的大小是一样的(捆绑文件的木马除外)，那么中了木马 的朋友只要在近来收到的信件和下载的软件中找到原木马文件，然后根据原木马的大小去系统 文件夹找相同大小的文件， 判断一下哪个是木马就行了。而木马的自我销毁功能是指***完木
，原木马文件将自动销毁，这样服务端用户就很难找到木马的来源，在没有查杀木马的工 具帮助下，就很难删除木马了。
木马更名
　　***到系统文件夹中的木马的文件名一般是固定的，那么只要根据一些查杀木马的文章，按 图索骥在系统文件夹查找特定的文件，就可以断定中了什么木马。所以现在有很多木马都允许控 制端用户自由定制***后的木马文件名，这样很难判断所感染的木马类型了。
　　1．出现与系统现有文件类似的文件名或进程名。
　　2．运用msinfo32.exe，发现在
\SOFTWARE\Microsoft\Windows\CurrentVersion\Run等项中出现不明键值。
　　3．有可疑进程访问
　　4．有若干Rundll32.exe进程
1．集成到程序中
　　其实木马也是一个服务器-客户端程序，它为了不让用户能轻易地把它删除，就常常集成到程序里，一旦用户激活木马程序，那么木马文件和某一应用程序捆绑在一起，然后上传到服务端覆盖原文件，这样即使木马被删除了，只要运行捆绑了木马的应用程序，木马又会被***上去了。绑定到某一应用程序中，如绑定到系统文件，那么每一次Windows启动均会启动木马。
2．隐藏在配置文件中
　　利用配置文件的特殊作用，木马很容易就能在大家的计算机中运行、发作，从而偷窥或者监视大家。不过，现在这种方式不是很隐蔽，容易被发现，所以在
和Config.sys中加载木马程序的并不多见，但也不能因此而掉以轻心哦。
3．潜伏在Win.ini中
　　木马要想达到控制或者监视计算机的目的，必须要运行，然而没有人会傻到自己在自己的计算机中运行这个该死的木马。当然，木马也早有心理准备，知道人类是高智商的动物，不会帮助它工作的，因此它必须找一个既安全又能在系统启动时自动运行的地方，于是潜伏在Win.ini中是木马感觉比较惬意的地方。大家不妨打开Win.ini来看看，在它的[window #93;字段中有启动
“load=”和“run=”，在一般情况下“=”后面是空白的，如果有后跟程序，比方说是这个样子：run=c:\windows\
load=c:\windows\file.exe，这个file.exe很可能是木马哦。
4．伪装在普通文件中
　　这个方法出现的比较晚，不过现在很流行，对于不熟练的windows操作者，很容易上当。具体方法是把可执行文件伪装成图片或文本----在程序中把图标改成Windows的默认图片图标， 再把文件名改为*.jpg.exe， 由于Win98默认设置是不显示已知的文件后缀名，文件将会显示为*.jpg， 不注意的人一点这个图标就中木马了。
5．内置到注册表中
　　上面的方法让木马着实舒服了一阵，既没有人能找到它，又能自动运行，真是快哉！然而好景不长，人类很快就把它的马脚揪了出来，并对它进行了严厉的惩罚！但是它还心有不甘，总结了失败教训后，认为上面的藏身之处很容易找，现在必须躲在不容易被人发现的地方，于是它想到了注册表！的确注册表由于比较复杂，木马常常喜欢藏在这里快活，赶快检查一下，有什么程序在其下，睁大眼睛仔细看了，别放过木马哦：HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion下所有以“run”开头的键值；
\Software\Microsoft\Windows\CurrentVersion下所有以“run”开头的键值；HKEY-USERS\.Default\Software\Microsoft\Windows\CurrentVersion下所有以“run”开头的键值。
6．在System.ini中藏身
　　Windows***目录下的System.ini是木马喜欢隐蔽的地方。打开文件看看，它与正常文件有什么不同，在该文件的[ oot]字段中，是不是有这样的内容，那就是shell=Explorer.exe file.exe，如果确实有这样的内容，那你就不幸了，因为这里的file.exe就是木马服务端程序！另外，在System.ini中的[386Enh]字段，要注意检查在此段内的“driver=路径\程序名”，这里也有可能被木马所利用。再有，在System.ini中的[mic]、[driver #93;、[drivers32]这三个字段，这些段也是起到加载驱动程序的作用，但也是增添木马程序的好场所，现在你该知道也要注意这里喽。
7．隐形于启动组中
　　有时木马并不在乎自己的行踪，它更注意的是能否自动加载到系统中，因为一旦木马加载到系统中，任你用什么方法你都无法将它赶跑(哎，这木马脸皮也真是太厚)，因此按照这个逻辑，启动组也是木马可以藏身的好地方，因为这里的确是自动加载运行的好场所。动组对应的文件夹为：C:\windows\start menu\programs\startup，在注册表中的位置：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellFolders Startup=C:\windows\start menu\programs\startu quot;。要注意经常检查启动组哦！
8．隐蔽在
按照上面的逻辑理论，凡是利于木马能自动加载的地方，木马都喜欢呆。这不，Wi tart.bat也是一个能自动被Windows加载运行的文件，它多数情况下为应用程序及Windows自动生成，在执行了Win. com并加载了多数驱动程序之后开始执行(这一点可通过启动时按F8键再选择逐步跟踪启动过程的启动方式可得知)。由于Autoexec.bat的功能可以由Wi tart.bat代替完成，因此木马完全可以像在Autoexec.bat中那样被加载运行，危险由此而来。
9．捆绑在启动文件中
　　即应用程序的启动配置文件，控制端利用这些文件能启动程序的特点，将制作好的带有木马启动命令的同名文件上传到服务端覆盖这同名文件，这样就可以达到启动木马的目的了。
10．设置在超级连接中
　　木马的主人在网页上放置
，引诱用户点击，用户点击的结果不言而喻：开门揖盗！奉劝不要随便点击网页上的链接。
　　在Win.ini文件中，在[WINDOWS]下面，“run=”和“load=”是可能加载“木马”程序的途径。一般情况下，它们的等号后面应该什么都没有，如果发现后面跟有路径与文件名不是启动文件，计算机就可能中“木马”了。当然好多“木马”，如“AOLTrojan木马”，它把自身伪装成
(真正的系统文件为command. com)文件，如果不注意可能不会发现它不是真正的系统启动文件(特别是在Windows窗口下)。
　　在System.ini文件中，在下面有个“shell=文件名”。正确的文件名应该是“
”，如果不是“explorer.exe”，而是“shell=explorer.exe程序名”，那么后面跟着的那个程序就是“木马”程序，就是说你已经中“木马”了。注册表中的情况最复杂，通过regedit命令打开
，在点击至：“HKEY-LOCAL-MACHINESoftwareMicrosoftWindowsCurrentVersionRun”目录下，查看键值中有没有自己不熟悉的自动启动文件，扩展名为EXE，这里切记：有的“木马”程序生成的文件很像系统自身文件，想通过伪装蒙混过关，如“AcidBatteryv1.0木马”，它将注册表“HKEY-LOCAL-MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun”下的Explorer键值改为Explorer=“C:WINDOWSexpiorer.exe”，“木马”程序与真正的Explorer之间只有“i”与“l”的差别。当然在注册表中还有很多地方都可以隐藏“木马”程序，如：“HKEY-CURRENTUSERSoftwareMicrosoftWindowsCurrentVersionRun”、“HKEY-USERS****SoftwareMicrosoftWindowsCurrentVersionRun”的目录下都有可能，最好的办法就是在“HKEY-LOCAL-MACHINESoftwareMicrosoftWindowsCurrentVersionRun”下找到“木马”程序的文件名，再在整个注册表中搜索即可。
　　危害本机信息安全：木马程序多数有恶意企图，例如盗取QQ帐号、游戏帐号甚至银行帐号，将本机作为工具来攻击其他设备等；占用
，降低电脑效能。
　　（一）木马查杀
　　基本能防御大部分木马，但是现在的软件都不是万能的，还要学点专业知识，有了这些，你的电脑就安全多了。
　　现在高手也很多，只要你不随便访问来历不明的网站，使用来历不明的软件（很多盗版或破解软件都带木马，这个看你自己经验去区分），如果你都做到了，木马，病毒。就不容易进入你的电脑了。
　　（二）删除木马病毒
　　可以下载
（建议先
其他杀毒软件）
，也可以下载
（建议先卸载其他杀毒软件）
　　1．禁用系统还原（Windows Me/XP）
　　如果您运行的是
，建议您暂时关闭“
”。此功能默认情况下是启用的，一旦计算机中的文件被破坏，Windows 可使用该功能将其还原。如果病毒、蠕虫或特洛伊木马感染了计算机，则系统还原功能会在该计算机上备份病毒、蠕虫或特洛伊木马。
　　Windows 禁止包括防病毒程序在内的外部程序修改系统还原。因此，防病毒程序或工具无法删除 System Restore 文件夹中的威胁。这样，系统还原就可能将受感染文件还原到计算机上，即使您已经清除了所有其他位置的受感染文件。
　　此外，病毒扫描可能还会检测到 System Restore 文件夹中的威胁，即使您已将该威胁删除。
　　2．将计算机重启到安全模式或者 VGA 模式
　　关闭计算机，等待至少 30 秒钟后重新启动到安全模式或者 VGA 模式
　　Windows 95/98/Me/2000/XP 用户：将计算机重启到安全模式。所有 Windows 32-bit 作系统，除了Windows NT，可以被重启到安全模式。更多信息请参阅文档 如何以安全模式启动计算机 。
　　Windows NT 4 用户：将计算机重启到 VGA 模式。扫描和删除受感染文件启动防病毒程序，并确保已将其配置为扫描所有文件。运行完整的系统扫描。如果检测到任何文件被 Download.Trojan 感染，请单击“删除”。如有必要，清除 Internet Explorer 历史和文件。如果该程序是在 Temporary Internet Files 文件夹中的压缩文件内检测到的，请执行以下步骤：启动 Internet Explorer。单击“工具”“Internet 选项”。单击“常规”选项卡“Internet 临时文件”部分中，单击“删除文件”，然后在出现提示后单击“确定”。在“历史”部分，单击“清除历史”，然后在出现提示后单击“是”。
　　3．关于病毒的危害，Download.Trojan会执行以下作：进入其作者创建的特定网站或 FTP 站点并试图下载新的特洛伊木马、病毒、蠕虫或其组件。完成下载后，特洛伊木马程序将执行它们。中了木马不能打开杀毒软件可以用
安全启动来先修复一下。
　　一般使用专门的木马查杀工具来杀除，例如木马克星、
、费尔托斯特等软件。
　　目前的杀毒软件多数也可以查杀大量木马，但在杀除木马方面没有上述软件更专业，因而推荐两者配合使用。
　　对于最新出现的木马，有时也可以到网络搜寻特定的查杀工具来处理。
　　知道了“木马”的工作原理，查杀“木马”就变得很容易，如果发现有“木马”存在，最有效的方法就是马上将计算机与网络断开，防止黑客通过网络对你进行攻击。然后编辑win.ini文件，将[WINDOWS]下面，“run=“木马”程序”或“load=“木马”程序”更改为“run=”和“load=”；编辑system.ini文件，将下面的“shell=‘木马’文件”，更改为：“shell=explorer.exe”；在注册表中，用regedit对注册表进行编辑，先在“HKEY-LOCAL-MACHINESoftwareMicrosoftWindowsCurrentVersionRun”下找到“木马”程序的文件名，再在整个注册表中搜索并替换掉“木马”程序，有时候还需注意的是：有的“木马”程序并不是直接将“HKEY-LOCAL-MACHINESoftwareMicrosoftWindowsCurrentVersionRun”下的“木马”键值删除就行了，因为有的“木马”如：BladeRu er“木马”，如果你删除它，“木马”会立即自动加上，你需要的是记下“木马”的名字与目录，然后退回到
下，找到此“木马”文件并删除掉。重新启动计算机，然后再到注册表中将所有“木马”文件的键值删除。至此，我们就大功告成了。
　　通过邮件附件、程序下载等形式传播：不要随意使用来历不明的程序，因为可能被修改过含有木马。
　　通过伪装网页登录过程，骗取用户信息进而传播木马
　　通过攻击系统
传播木马：大量黑客使用专门的
来传播木马。
　　出现与系统现有文件类似的文件名或进程名。
　　运用msinfo32.exe，发现在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run等项中出现不明键值。
　　有可疑进程访问网络。
　　有若干Rundll32.exe进程
　　木马与病毒的区别：木马一般不像
一样大量自我繁殖，也并不刻意感染其他程序。病毒程序以大量传播为乐趣，而木马程序以侵入特定电脑并获得权限为目的。
　　木马与adware（恶意
）的区别：adware是一类特定的木马，受
控制，在用户电脑上不断弹出广告内容。
　　木马与远程控制程序的区别：远程控制程序公开、善意地控制其他电脑，以完成某些工作；木马程序则是潜伏的、恶意的程序。
　　会想尽一切办法隐藏自己，主要途径有：在任务栏中隐藏自己，这是最基本的办法。只要把Form的Visible属性设为False，ShowInTaskBar设为False，程序运行时就不会出现在任务栏中了。在
中隐形：将程序设为“系统服务”可以很轻松地伪装自己。当然它也会悄无声息地启动，黑客当然不会指望用户每次启动后点击“木马”图标来运行服务端，“木马”会在
　　每次用户启动时自动装载。Windows系统启动时自动加载应用程序的方法，“木马”都会用上，如：启动组、Win.ini、System.ini、注册表等都是“木马”藏身的好地方。
相关常识
什么是特洛伊木马
传说，特洛伊王子
访问希腊，诱走了王后
，希腊人因此远征特洛伊。围攻9年后，到第10年，希腊将领
献了一计，就是把一批勇士埋伏在一匹巨大的木马腹内，放在城外后，佯作退兵。特洛伊人以为敌兵已退，就把木马作为战利品搬入城中。到了夜间，埋伏在木马中的勇士跳出来，打开了城门，希腊将士一拥而入攻下了城池。后来，人们在写文章时就常用“特洛伊木马”这一典故，用来比喻在敌方营垒里埋下伏兵里应外合的活动盗密报卡解绑过程：
　　登陆的时候通过木马盗取玩家的密码，并且用盗取的密码进入密码保护卡解除绑定的网页页面，在通过木马把玩家登陆时候的三个密码保护卡数换成密码保护卡解绑需要的三个数，1次就能骗到密码保护卡解除绑定需要的三个数了，再解除绑定，玩家的帐号就跟没密码保护卡一样.***密码保护也一样，玩家打了***，然后登陆的时候通过木马让玩家不能连接服务器并盗取玩家的密码，然后盗取账号者就2分内可以上去了盗取玩家财产。
反击盗取账号者措施
　　1.设置角色密码（可结合密码保护卡），
　　2.设置背包密码，背包分二部分（G也分2部份，1大额，1小额），一部分需要密码（可以放重要的财产），一部分不要密码（放置常用物品），可结合密保卡。
　　3，装备栏设置密码保护卡，上线后需要输入密保卡解除装备栏的密报卡数，才能使用技能 ，如果不解除绑定，不能使用技能并且无法交易。
　　4，仓库通过密码打开后，与背包相同。
　　5，设置退出密码，输入退出密码正常才能下线，非正常下线5分内不能登陆。
　　6 设置下次登陆地点，玩家下线时可以选者下次登陆的IP段（以市为单位，不在IP段里面的IP，不能登陆 ）
　　6 计算机绑定，对于有计算机的玩家可以绑定CPU编号，这点某些杀毒软件有这个技术，你们估计也有这技术。
　　7，上述六点可结合密码保护卡，并且可以设置多张密码保护卡，登陆界面一张密码保护卡，角色界面一张密码保护卡，背包一张密码保护卡，仓库一张密码保护卡，退出登录一张密码保护卡。补充：密保卡可随自己意愿绑定，但是追号大于等于2，背包，仓库等可以用同1张密保卡（最好不和登陆用同1张），关于手机密保可改为，登陆时不需打手机，登陆后所有物品全部无法交易出售，无法发言，在登陆后打手机才可解除，可防止手机密保在登陆界面被木马利用
　　8，加强游戏本身防木马能力。可以和杀毒软件公司合作设置一款专门用于魔兽的杀毒软件
　　9，加入网吧IP段保护
如何自动加载
　　在Win.ini文件中，在[WINDOWS]下面，“run=”和“load=”是可能加载“木马”程序的途径，必须仔细留心它们。一般情况下，它们的等号后面应该什么都没有，如果发现后面跟有路径与文件名不是你熟悉的启动文件，你的计算机就可能中“木马”了。当然你也得看清楚，因为好多“木马”，如“AOLTrojan木马”，它把自身伪装成command.exe(真正的系统文件为command. com)文件，如果不注意可能不会发现它不是真正的系统启动文件(特别是在Windows窗口下)。
　　在System.ini文件中，在下面有个“shell=文件名”。正确的文件名应该是“explorer.exe”，如果不是“explorer.exe”，而是“shell=explorer.exe程序名”，那么后面跟着的那个程序就是“木马”程序，就是说你已经中“木马”了。注册表中的情况最复杂，通过regedit命令打开注册表编辑器，在点击至：“HKEY-LOCAL-MACHINESoftwareMicrosoftWindowsCurrentVersionRun”目录下，查看键值中有没有自己不熟悉的自动启动文件，扩展名为EXE，这里切记：有的“木马”程序生成的文件很像系统自身文件，想通过伪装蒙混过关，如“AcidBatteryv1.0木马”，它将注册表“HKEY-LOCAL-MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun”下的Explorer键值改为Explorer=“C:WINDOWSexpiorer.exe”，“木马”程序与真正的Explorer之间只有“i”与“l”的差别。当然在注册表中还有很多地方都可以隐藏“木马”程序，如：“HKEY-CURRENTUSERSoftwareMicrosoftWindowsCurrentVersionRun”、“HKEY-USERS****SoftwareMicrosoftWindowsCurrentVersionRun”的目录下都有可能，最好的办法就是在“HKEY-
　　LOCAL-MACHINESoftwareMicrosoftWindowsCurrentVersionRun”下找到“木马”程序的文件名，再在整个注册表中搜索即可。
开放分类：
“木马程序”相关词条：
百度百科中的词条内容仅供参考，如果您需要解决具体问题（尤其在法律、医学等领域），建议您咨询相关领域专业人士。
本词条对我有帮助
分享到:
合作编辑者
如果您认为本词条还需进一步完善，百科欢迎您也来参与
在开始编辑前，您还可以先学习
如想投诉，请到
；如想提出意见、建议，请到
编辑热词可获得额外经验值
您目前的等级是
您目前的经验值是
点经验值即可升为
词条统计
浏览次数：约
编辑次数：18次
最近更新：
2011-07-02
创建者：
贡献光荣榜
鼠标滑过用户名，我们有名片啦！
辛勤贡献者：
© 2011 Baidu