欢迎来到 黑吧安全网 聚焦网络安全前沿资讯,精华内容,交流技术心得!

如何用Procexp和Autoruns工具识别与删除木马程序

来源:本站整理 作者:BlackStone 时间:2005-11-01 TAG: 我要投稿
木马程序是当前病毒中危害比较大的一种,鉴于变种比较多杀毒软件对其处理一般比较滞后,在论坛中经常有人认为自己中了木马,发个HijackThis日志上来让人分析,在此我介绍一个查找木马并且删除木马工具:Procexp和Autoruns,这两个工具对付一般的木马比较有效,使用这两个工具大家可以自己手动找到木马并删除它

两个工具可以从www.sysinternals.com网站下载
URL地址:http://www.sysinternals.com/Files/ProcessExplorerNt.zip
http://www.sysinternals.com/Files/Autoruns.zip

推荐理由:
1)完全免费
2)文件小,功能强大,免安装
2)支持9x,winme,NT,2000,xp,2003,64位XP
3)更新比较快
下面介绍两个工具的使用方法(本人使用的是XP系统,下面以XP为例):
一、Procexp:(完全可以替换windows自带的任务管理器)

此工具可以查看当前运行的程序(包括一些windows任务管理器不能看到的隐藏的进程),杀掉运行进程

直接运行程序如图,




点击这儿打开新的窗口
图中进程分为两种:一种是服务程序,一种是普通程序
普通程序可以用windows自带的任务管理器关闭,而服务程序只能通过服务管理器才能关闭,Procexp可以杀掉服务和普通进程,杀进程的方法:直接右键单击右键菜单中选择Kill Process项:(功能比较强大,连Winlogon.exe都可以杀掉,若你杀掉它,系统自动当机了,有兴趣的同志可以试试)



点击这儿打开新的窗口
图中进程分为两种:一种是服务程序,一种是普通程序
普通程序可以用windows自带的任务管理器关闭,而服务程序只能通过服务管理器才能关闭,Procexp可以杀掉服务和普通进程,杀进程的方法:直接右键单击右键菜单中选择Kill Process项:(功能比较强大,连Winlogon.exe都可以杀掉,若你杀掉它,系统自动当机了,有兴趣的同志可以试试)



点击这儿打开新的窗口
使用其识别木马程序的方法:
首先查看是否有可疑进程,一些木马使用了windows系统程序名,例如:services.exe,svchost.exe,(这些文件在windows\system32目录下,一般木马会放在磁盘根目录下,或是windows目录下,)另一种情况是某一进程占CPU占有比较大

看到可疑程序直接在列表中选中,右键查看属性,或直接双击




看程序的描述信息,微软程序描述信息和版本信息一般都很详细,若没有版本信息则可能是木马程序,也有一些木马写了跟微软类似的信息,此时可以使用数字签名校验功能,点击Verify按钮,若是微软的程序会提示(verified)
如图:




对于一般的程序,Explorer.exe启动的程序都可以杀掉的,一般不会引起系统问题

有时电脑会突然弹出消息框或错误框,但又不知道是那个程序弹出的,可以选择
如图按钮

按住鼠标左键,把鼠标放在弹出的对话框上,抬起鼠标左键工具会自动定位当运行的程序上。




在程序的属性对话框的TCP/IP属性页还可以看到程序访问的网络情况,木马一般都会打开端口向外发送数据包



当删除某一文件,提示文件正在使用时可以通过
发现是那个进程使用这个文件。








可以查看进程使用了那些动态库



点击这儿打开新的窗口
发现可疑程序,不能确认,在右键菜单上点击Google则可以直接打开IE帮你搜索网上关
于此程序的信息,这样可以确认程序是否是木马。




点击这儿打开新的窗口
此工具也支持日志导出功能



点击这儿打开新的窗口
此工具可以替换window资源管理器,选择Options-Replace Task Manager,则每次启动任务管理器时则启动此程序



点击这儿打开新的窗口
二. Autoruns
木马的特性之一时随系统一起启动,所以木马要在操作系统中写启动项,Autoruns就是一个查看清除启动项的工具,此工具将启动项分页签显示,运行界面如下




点击这儿打开新的窗口
删除某项启动项,只要去掉项前面的复选框即可,这样如果下次想把它置成自启动项,再选择即可



想永久删除某项启动项,只要选择右键单击,在右键菜单中删除即可



若不确定是否此项有问题则可以点击”Google”在网上搜索此项



若全部显示所有启动项则比较多,查看起来不便,可以选择隐藏微软项,这是将不显示微软的自启动项



此工具也支持日志导出功能,并且支持比较功能,你可以与以前的日志进行比较



新加启动项它会以不同的颜色显示



点击这儿打开新的窗口
【声明】:黑吧安全网(http://www.myhack58.com)登载此文出于传递更多信息之目的,并不代表本站赞同其观点和对其真实性负责,仅适于网络安全技术爱好者学习研究使用,学习中请遵循国家相关法律法规。如有问题请联系我们,联系邮箱admin@myhack58.com,我们会在最短的时间内进行处理。
  • 最新更新
    • 相关阅读
      • 本类热门
        • 最近下载