[推荐] 经典 计算机技术大暴光 正更新中.

渴望酒吧

< align=left><FONT color=#f73809 size=6>第一站杀毒软件：</FONT>
对于大部分计算机用户来说，计算机木马病毒都是有杀毒软件来代劳解决，但很多时候效果并不理想，下面又小弟来介绍一下我的使用心得：
第一、曾经堪称世界杀毒效果排名第一的又俄罗斯一实验室研制的杀毒软件卡巴斯基杀毒软件，其特点是对表面杀毒效果超强，在网上公布的木马病毒中基本上今天公布第二天就被杀掉了，但在大陆具我所见 很大一部分人都没有用过。&lt;&lt;但也有个弱点 只要改一下木马病毒的程序头 或加点花指令就可以朵过他的追杀，所以引出了第二款杀毒软件

第二、瑞星杀毒软件，我想没有人不认识他吧（谁啊 别用砖头来砸 我，·##￥·##我没有在这里做广告啊，况且我也不是买瑞星杀毒软件的）瑞星的杀毒效果强是强在内存杀毒效果，就是木马病毒运行的时候会把自己释放到内存中才可以运行（也许说的不够专业 我是业余爱好者 别建议）它就在第一现场进行查杀，这也是很多玩木马病毒的小菜鸟们做头痛的地方，一自己不会写木马 写病毒，用别人的又被瑞星杀，其实说白了也就是那么回事很多 对汇编反汇编懂一点的只要在程序里面加点代码改点代码就OK了 又逃过一节怎么办。慢 接着往下看.....
4 i6 g2 J4 ^" f9 F
' P0 J2 }$ u) S' ]# I  [第三款、是金山的可疑文件扫描工具，这个工具利用的是·￥·￥·￥#·什么原理呢？
" v' J! q! X, [. w1 ^' F1 }我也不清楚，反正他利用了黑客们的心理 （跟社会工程学有关吧）加上对系统文件的盘查把可疑文件查出来，比如有经验的黑客会吧后门隐藏的很好，做成免杀的，一上两款杀毒软件对它视而不见的时候这个工具是最好的朋友呵呵......
- p# M( {9 w8 F" G9 Y0 Y) o</P><a href="http://db.kingsoft.com/download/othertools/TrojanDetector.EXE" target="_blank" ><FONT color=#3300ff>金山</FONT></A> <FONT color=#ff0000 size=5>下载 <FONT color=#000000>[em02]</FONT></FONT><a href="http://soft.hackbase.com/view.asp?id=20051124AVP.rar" target="_blank" >卡巴</A>  <FONT size=5><FONT color=#ff0000>下载 </FONT><FONT color=#000000>[em02]
</FONT></FONT>第一次发长贴 ........ 如果大家觉有用的话，能听懂的话 我会接着发 [em02][em02][em02]
<a href="http://download2.77169.com/soft/safe/protec/Kaspersky%20Anti-Virus%20Personal.v5.0.388%20Final.HH.zip%20target=" target="_blank" >卡巴</A> <FONT color=#ff0000 size=5>下载</FONT>[em02][em02]

[此贴子已经被作者于2005-12-10 13:51:22编辑过]

7 M! H$ c' e9 H3 g- U. x5 E

渴望酒吧

<><FONT color=#ff0000 size=6>第二站常见木马后门清除</FONT>
①工具清除法
( G6 B& |! c/ w% R6 p清除木马后门大家第一个肯定想到木马克星呵呵~~~~~~~ 不错但要钱的，怎么办（凉拌）</P>
<>呵呵 上有对策下有政策，如果有需要的话我可以教大家怎么破解木马克星（使你的木马</P>
5 j# b8 b. P  n0 D- x& @<>可行成为最新注册版）。这里我提几个比较好用的专杀工具比如最经典的是灰鸽子木马清</P>
<>除器网上有N多，我也可以提供一个呵呵 但这个是有局限性的，我们做事都要靠自己不要</P>
1 c0 ?% p0 t8 m7 \<>依靠别人，别人靠的住母猪会上树 ！·##·#·￥￥#·#·一阵狂晕 &lt;&lt;小学语文一直不</P>
<>好，也没办法比喻句不会造啊~~~~~~~~
②手工清除法
, R5 i; Q7 D  Z% Z  S8 r- S放眼一看 哇塞，手工清楚木马后门，我还二丈和尚摸不着头呢，怎么除马啊。莫怕 莫怕</P>
<>只要你认真的看完本贴包你会除马呵呵~~~~~~
首先来了解木马是怎么启动的。在Win.ini文件中，在[WINDOWS]下面，“run=”和 </P>
<>“load=”是可能加载“木马”程序像这样低级的木马启动方式的清除法我就不说了，网</P>
  R+ u1 D4 t7 A2 Q2 ]<>上一大堆况且这样的木马现在不多了呵呵 今天主要讲的是一系统服务方式启动的，现在</P>
<>一般的木马都是 木马.exe和 木马.dll连用的 用系统启动木马.exe再木马.exe来调用动</P>
( R2 H* X& t$ [0 k! S! p/ T5 N' h<P>态连接库木马.dll 来实现他们的工作的，这个工作方式的木马典型的有 灰鸽子，上兴 </P>
  r, Z1 H# l. q6 n3 r# g<P>黑洞、pcshare等等 他们都会有两部分组成的。今天给大家讲述的是 如何清除灰鸽子，</P>
  b' D& T( k, g3 @& m<P>上兴、黑洞。由于这三个比较典型清除方式也差不多，所以就拿来做实验呵呵；</P>
<P>当然虽然说是手工清楚 ，但还是要用到辅助工具的Resplendent Registrar这是一款非常</P>
<P>好使的工具，自从遇见了它我就被他深深的吸引住了（干吗 干吗 表白啊<a href="http://bbs.uggd.com/mailt!@$@$$%@@@@%" target="_blank" >!@$@$$%@@@@%</A>）
好了开始我们的今天之旅吧：
7 }5 K( W8 G6 v3 T: Y9 s8 a清除灰鸽子：先来说说老版本的,打开我的电脑&gt;系统盘(一般都是C盘的)&gt;windows(如果是</P>
<P>2000的话是winnt) 再是点工具栏里的工具&gt;文件夹选项&gt;查看&gt;如图1
把“隐藏受保护的操作系统文件（推荐）”的勾去掉，下面的“隐藏文件和文件夹”这里</P>
<P>选择“显示所有文件和文件夹”
再点“搜索”在“要搜索的文件或文件夹名为:”这里填入_hook.dll点搜索入图二这个是</P>
<P>正常的
如果错出了两个的话 看看名字有问题就用Resplendent Registrar这个工具来查他的注册</P>
<P>表位置，和启动项（&lt;&lt;由于我老版本的鸽子坏了不能用了，所以没有图片了大家如果有问</P>
<P>题可以单独M我）
. e5 i/ r! d, |" c  L接着看新版的鸽子查杀方法，由于这个木马后门是别人中的，我们没有办法知道名字，我</P>
9 ?  `% p7 A* C4 ]. u<P>这里借助了上一篇的那个金山查的结果如图呵呵看有问题吧，玩过这个木马的人都知道着</P>
/ \- g6 [; n7 ~5 Y8 V( K<P>是灰鸽子的服务端呵呵 接着用Resplendent Registrar工具来搜索程序名看下图
; ^/ @- K( v( @% }<img src="attachments/dvbbs/2005-12/20051210133720779.jpg" border="0" onload="if(this.width>screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.alt=\'Click here to open new window\nCTRL+Mouse wheel to zoom in/out\';}" onmouseover="if(this.width>screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.style.cursor=\'hand\'; this.alt=\'Click here to open new window\nCTRL+Mouse wheel to zoom in/out\';}" onclick="if(!this.resized) {return true;} else {window.open(\'attachments/dvbbs/2005-12/20051210133720779.jpg\');}" onmousewheel="return imgzoom(this);" alt="" />鸽子1
<img src="attachments/dvbbs/2005-12/20051210134144272.jpg" border="0" onload="if(this.width>screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.alt=\'Click here to open new window\nCTRL+Mouse wheel to zoom in/out\';}" onmouseover="if(this.width>screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.style.cursor=\'hand\'; this.alt=\'Click here to open new window\nCTRL+Mouse wheel to zoom in/out\';}" onclick="if(!this.resized) {return true;} else {window.open(\'attachments/dvbbs/2005-12/20051210134144272.jpg\');}" onmousewheel="return imgzoom(this);" alt="" />鸽子图2
4 n) {( _4 G$ i0 s0 v( }% y<img src="attachments/dvbbs/2005-12/20051210134214992.jpg" border="0" onload="if(this.width>screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.alt=\'Click here to open new window\nCTRL+Mouse wheel to zoom in/out\';}" onmouseover="if(this.width>screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.style.cursor=\'hand\'; this.alt=\'Click here to open new window\nCTRL+Mouse wheel to zoom in/out\';}" onclick="if(!this.resized) {return true;} else {window.open(\'attachments/dvbbs/2005-12/20051210134214992.jpg\');}" onmousewheel="return imgzoom(this);" alt="" />鸽子图三
找到后直接删掉 唉 计算机重起后删掉 c:\winnt\system\mdnn.exe就好了，记得千万不</P>
+ a* x9 Q$ e5 Z3 v) t5 d<P>要删了mdm.exe这个哦 </P>
" M9 i( h3 Q1 R4 q" Y. m<P>mdm.exe可是系统自己带的程序哦是删了的后果我不知道呵呵~~~~~~~~ （这是鸽子2.0的</P>
<P>删除方法）</P>
! ?! F" l! a7 @6 D& j* p7 H  p<P>最新鸽子2.02的删除方法
详细键植和名字如下：
& M2 a% L3 Y* J: o' n. o新版灰鸽子的查杀方法  
. d0 w& ]; ]! u) y  n# W4 v; c+ D# ~' B, y1、展开：HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\  
4 `4 C+ l0 y/ ~% Z删除：mchInjDrv  
2、展开：HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\  
! b2 z  s* D: [! x' C删除：virtual  
3、展开：HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet002\\Services\\  
删除：mchInjDrv  
4、展开：HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet002\\Services\\  
  T9 u9 T. J( t' g4 i! n3 K删除：virtual  
5、重启系统。此时，灰鸽子创建的文件及文件夹已全部可见。删除C:\\WINDOWS\\Intern</P>
  d# @* h' C  z8 c# L/ w<P>et Explorer\\文件夹中的所有文件，最后，删除这个文件夹。 </P>
; Q' B4 ]4 W# \1 G9 Y3 G<P>DZSCMF.DAT
. z/ {- [) L' J5 |0 z- RJZVYXN.DAT
svchost.exe
9 ^- p* m& o2 S" F% v  |+ A由于我没有这个版本的 鸽子所以不贴图片了呵呵 清除方法类似</P>
<P>接着来说如何清除黑洞
清除这些木马可是意见不容易的事 就像警察查案一样的 难唉没有办法凭着直觉告诉我那</P>
<P>个systemer的肯定有问题，打开一看
- \0 r" {$ J. I9 N( j  l<img src="attachments/dvbbs/2005-12/20051210134244103.jpg" border="0" onload="if(this.width>screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.alt=\'Click here to open new window\nCTRL+Mouse wheel to zoom in/out\';}" onmouseover="if(this.width>screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.style.cursor=\'hand\'; this.alt=\'Click here to open new window\nCTRL+Mouse wheel to zoom in/out\';}" onclick="if(!this.resized) {return true;} else {window.open(\'attachments/dvbbs/2005-12/20051210134244103.jpg\');}" onmousewheel="return imgzoom(this);" alt="" />黑洞图1
3 o& i1 R- p  i) ~, ?<img src="attachments/dvbbs/2005-12/200512101343347.jpg" border="0" onload="if(this.width>screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.alt=\'Click here to open new window\nCTRL+Mouse wheel to zoom in/out\';}" onmouseover="if(this.width>screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.style.cursor=\'hand\'; this.alt=\'Click here to open new window\nCTRL+Mouse wheel to zoom in/out\';}" onclick="if(!this.resized) {return true;} else {window.open(\'attachments/dvbbs/2005-12/200512101343347.jpg\');}" onmousewheel="return imgzoom(this);" alt="" />黑洞图2
哈哈 他小子还冒充啊看到没 冒充成 clipbook.exe这个文件 郁闷 干掉你 我们把木马的</P>
<P>路径记下来是 c:\winnt\system\c1ipbook.exe把systemer删了，大家如果怕弄坏系统的</P>
4 H" }$ f1 ^$ j- i3 o+ ]<P>话不防先备份呵呵</P>
<P>黑洞和鸽子的清除方法类似毕竟都是木马呵呵，</P>
; n4 Q1 Y; N$ l5 ]1 A<P>上兴
( g: |5 k) p0 b" m& _: Z( X$ wHKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Windows_rejoice2006\\Imag</P>
<P>ePath
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Windows_rejoice2006\\ImagePat</P>
" I7 S" V! t( h, [" Y! ~<P>h
9 L% S" M9 v& D. Z$ Y. E7 F我在检查注册表的时候发现了，Windows_rejoice2006那不是明摆着是上兴 VIP2.2版的木</P>
: i9 O* _1 d; \2 g5 b<P>马启动程序吗？
看图片
<img src="attachments/dvbbs/2005-12/2005121013446892.jpg" border="0" onload="if(this.width>screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.alt=\'Click here to open new window\nCTRL+Mouse wheel to zoom in/out\';}" onmouseover="if(this.width>screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.style.cursor=\'hand\'; this.alt=\'Click here to open new window\nCTRL+Mouse wheel to zoom in/out\';}" onclick="if(!this.resized) {return true;} else {window.open(\'attachments/dvbbs/2005-12/2005121013446892.jpg\');}" onmousewheel="return imgzoom(this);" alt="" />上兴1
; u! y% z6 B" p( d0 H) w<img src="attachments/dvbbs/2005-12/20051210134429406.jpg" border="0" onload="if(this.width>screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.alt=\'Click here to open new window\nCTRL+Mouse wheel to zoom in/out\';}" onmouseover="if(this.width>screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.style.cursor=\'hand\'; this.alt=\'Click here to open new window\nCTRL+Mouse wheel to zoom in/out\';}" onclick="if(!this.resized) {return true;} else {window.open(\'attachments/dvbbs/2005-12/20051210134429406.jpg\');}" onmousewheel="return imgzoom(this);" alt="" />上兴2</P>
<P>
靠什么啊是不是写程序的人都一个想法的啊 总结一下上面的清除方法看到没主要的工作</P>
1 H# G( {- d% a. V' ^6 V- M<P>两是在对HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services和HKEY_LOCAL_MACHI</P>
  y: m* G+ v4 P7 a; s. j<P>NE\SYSTEM\ControlSet001\Services的检查 有发现两个都有 而且名字奇怪的程序 多留</P>
<P>意一下 如果怕自己判对错误的话可以不那个.exe文件的名字复制到google里面去搜索一</P>
<P>下里面会告诉你是不是系统文件呵呵 .......大家就放心的做吧 如果有什么不懂的可以M</P>
<P>我，这篇文章比较乱，&lt;&lt;老兄没有办法啊 我大三了 比较忙啊 我是抽中午的一点点时间</P>
1 O' Y4 \. v/ Z; I<P>来写文章的，好累啊 我为了写文章 让自己分别中了三个 木马定都够可怜吧.......
# K4 _- Z$ `0 u8 n6 M! @没有功劳也有苦劳吧 大家就顶一下吧
<FONT color=#ff0000 size=6>相关软件晚上给大家下载地址</FONT>中午没有时间了 下午要操作数控机床</P>[em01][em01]

[此贴子已经被作者于2005-12-10 13:48:04编辑过]

渴望酒吧

<><FONT color=#f70909 size=5>都没有地三个人来看，看来我第三站 保卫站暂时不用发了 </FONT></P>[em06]
6 I# `4 S$ E6 l. D% d' K

[此贴子已经被作者于2005-12-11 14:11:20编辑过]

( z: y! C) t0 _; y

UG网

<>好，用电脑的就要会用杀毒软件。这几款确实不错。</P>

渴望酒吧

<>不知 <b><FONT color=#000066>天生流氓兄  要什么样的 真功夫，或者你想要知道那些内容~~~~~~~~
, i- {1 F: d' E6 a何内容为你心目中的真工夫我尽量满足大家的要求</FONT></b></P>[em02]

阳光雨露

<>支持版主！我正为找什么样的杀毒软件发愁呢，好东西当然要顶！</P><>谢谢！</P>

9066137

哦

lixiaoyu

ding

ybm520

<>大家最好不要下载上面那几个杀毒软件,因为来源不好,里面很多东西都是有后面的,那个网站里面的东西,大多数东西不是有病毒是有木马的,本人做为黑客几年,这些小网站早就踩烂了,最好到正规网站下载,上面我有一些异议:卡巴是不可否认的好软件,但第二和第三种软件,瑞星和金山就差多了,本人一个月前做过一个实验,本人就是拿配作灰鸽子去做实验,第一次不加壳,三个都可以查得出来,别个我还加多几个别的杀毒软件做试验,其中一个是诺顿,别的就不说出来了,第二次, 加壳,卡巴还是可以把所以的木马查出来,(木马一共有108个)瑞星可以查21个,金山就一个查不出来,诺顿可以查到84个,第三次,就是到源程序头加点花指令,卡巴可以查到72个,诺顿可以查到8个,其它的(瑞星和金山)一个也查不出来,就这样别的不多说了.</P><>最后再忠告一下别的读者,最好不要到不正规的网站下载,免得自己找麻烦~~</P>

渴望酒吧

<DIV class=quote><B>以下是引用<I>ybm520</I>在2006-1-4 22:35:11的发言：</B>
/ R1 s( [4 D. U- p; }/ t<>大家最好不要下载上面那几个杀毒软件,因为来源不好,里面很多东西都是有后面的,那个网站里面的东西,大多数东西不是有病毒是有木马的,本人做为黑客几年,这些小网站早就踩烂了,最好到正规网站下载,上面我有一些异议:卡巴是不可否认的好软件,但第二和第三种软件,瑞星和金山就差多了,本人一个月前做过一个实验,本人就是拿配作灰鸽子去做实验,第一次不加壳,三个都可以查得出来,别个我还加多几个别的杀毒软件做试验,其中一个是诺顿,别的就不说出来了,第二次, 加壳,卡巴还是可以把所以的木马查出来,(木马一共有108个)瑞星可以查21个,金山就一个查不出来,诺顿可以查到84个,第三次,就是到源程序头加点花指令,卡巴可以查到72个,诺顿可以查到8个,其它的(瑞星和金山)一个也查不出来,就这样别的不多说了.</P></DIV>
5 y1 P6 Q" B, N: H0 e0 \<>看来老兄你是只知其一不知其二了，对 你说的瑞星他在表面查杀功能上是比其他的差，但你说你自己是一个黑客 你总知道什么叫内存免杀吧 呵呵 瑞星我说他强就强在内存杀毒上，不信你去试一下黑洞的就知道了，很难定位出他的特征码（初定位100个字节可以定位出来4、8、16、32个字节的都定位不出来），也就是说他杀木马病毒的功能上是绝对是占优势的，你说的金山和诺顿我想用过的朋友都知道他的防御功能确实不错，但查杀功能上就迅了好多。你说的至于你说的上面几个连接 我只是提供一下，大家不放心可以到其他网站上去下。我个人觉得没有必要担心，因为我觉得一个技术好的黑客他是不会用这样的方法来抓去 肉鸡的呵呵，再加上那些软件都是安装形式的不是 绿色版的专业的打包软件我想小菜鸟们也没有那个能力去搞这些.当然这样做的人也有，里面放病毒的概率是存在的，但在杀毒软件上放病毒....................我自己用的也在用那里下的杀毒软件，用到现在还没有人说控制我的电脑什么之类的呵呵 大家各有见解 各自选择 我只是发表一下我自己的看法 好的就顶一下 说不好的可以回贴发表意见我会定期来看的 接受大家的意见</P>

[此贴子已经被作者于2006-1-11 18:20:54编辑过]

' F! `7 y( U  Y& i# e3 E: a- S8 C