104种清除木马的好方法 1

upring

很多新手对安全问题了解比较不多，计算机中了特洛伊木马不知道怎么样来清除。虽然现在有很多的清除特洛伊木马的软件，可以自动清除木马。但你不知道木马是怎样在计算机中运行的，如果你看了这篇文章之后，你就会明白一些木马的原理。
1 ?3 y, J: c5 {) A
1. 冰河v1.1 v2.2
- u4 |% h4 v4 W
) R8 g9 q6 b! w; D0 V* ~冰河是国产最好的木马

9 B% h3 F( q9 c  n& Z' ]清除木马v1.1

+ C5 G# f' J* J6 I打开注册表Regedit

$ E7 t5 Z9 b& T9 @* M点击目录至：

$ ^* U6 l; V5 p! L  q; mHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
9 Y8 A6 X4 c3 c  @$ l
; @; [- I6 \% J. U- \  k( R7 S查找以下的两个路径，并删除

9 M2 y) z9 r/ a/ N" C:\windows\system\ kernel32.exe"

- ?, E- {0 u5 F- F. ?& |% Q" C:\windows\system\ sysexplr.exe"

6 r. u2 X. G3 H6 ]7 T8 F! E关闭Regedit

重新启动到MSDOS方式

删除C:\windows\system\ kernel32.exe和C:\windows\system\ sysexplr.exe木马程序
8 A9 g+ |6 ?2 q0 B; o5 I; R6 s" k
0 x; y, n+ S; x重新启动。OK

清除木马v2.2

服务器程序、路径用户是可以随意定义，写入注册表的键名也可以自己定义。

+ U1 Y4 h5 U5 P* W: ]因此，不能明确说明。
( d2 @" k- W- {# d" j
9 |0 `$ i) E8 \. }你可以察看注册表，把可疑的文件路径删除。

重新启动到MSDOS方式
7 P; v5 o5 \* m9 _
2 z7 p1 f2 I- \& k" f删除于注册表相对应的木马程序

9 M6 Y& A  r5 \. \重新启动Windows。OK
: I" n. t3 \: i2 i0 X4 G
2. Acid Battery v1.0

3 k4 E; d- z) {. `3 ]0 I清除木马的步骤：

打开注册表Regedit
7 X$ d! O$ p2 X# Z
1 ?' I5 Z# k9 T: H( \5 L0 K点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

删除右边的Explorer ="C:\WINDOWS\expiorer.exe"
4 m/ z$ g8 y8 W5 l0 O
关闭Regedit
6 j6 a& _1 J# [: X# i
7 n9 j+ a5 R. z8 g. z- j2 w" o" k重新启动到MSDOS方式
  r, X4 B# R% _- R( f0 }
6 f- r; ]+ g7 F  p删除c:\windows\expiorer.exe木马程序

0 Z6 l- @' |$ {$ a注意：不要删除正确的ExpLorer.exe程序，它们之间只有i与L的差别。
6 Y; `4 T) f" Z; h& ?
重新启动。OK
( c" i1 s7 D0 J& w6 y
3. Acid Shiver v1.0 + 1.0Mod + lmacid

清除木马的步骤：

( Y* X. N  B' C; L1 ]7 z; e重新启动到MSDOS方式

删除C:\windows\MSGSVR16.EXE

然后回到Windows系统

8 P  i2 J8 W: q( e- L) k; |打开注册表Regedit

# k5 c. w, ^; d7 \点击目录至：
9 |( h+ a4 F0 u  @7 T
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
+ B$ Z- B% c9 ^
删除右边的Explorer = "C:\WINDOWS\MSGSVR16.EXE"

  x" W# W4 u) N; AHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
  K9 |; A  q( q
删除右边的Explorer = "C:\WINDOWS\MSGSVR16.EXE"
3 \& m: m; o& M9 b( ^8 y
关闭Regedit

重新启动。OK
+ w. N1 U! x" X
2 b( G- p4 O  x  \重新启动到MSDOS方式
8 b. a& O: I2 c; k
  b3 p- k: i# u删除C:\windows\wintour.exe然后回到Windows系统
$ i7 f' T  }. O9 j  j- i
打开注册表Regedit
- B2 `5 ]0 B7 w2 _7 K- C
点击目录至：
- ?) |: M9 r$ W3 g
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
0 J% E2 t1 x' a' Y2 d+ d
/ b& S8 w: m' O% G& j) c删除右边的Wintour = "C:\WINDOWS\WINTOUR.EXE"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
* W1 ]* q6 u3 T
# Q- b+ L/ j' t$ ^% i1 I删除右边的Wintour = "C:\WINDOWS\WINTOUR.EXE"

关闭Regedit

# M; B- g2 g8 k7 P重新启动。OK

4. Ambush

( l0 I* F5 i- C' S清除木马的步骤：
3 |3 l  C5 |- Q  O0 {/ Z4 G
打开注册表Regedit
7 d  q2 g3 }/ n% a6 g8 H% R9 C
" N5 C5 x4 _8 B点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\

& A% l4 h  b  }# q9 T删除右边的zka = "zcn32.exe"

关闭Regedit

9 G' @- U# V$ w2 X! G4 f# c重新启动到MSDOS方式
* o3 H: R! h7 _8 `) m0 D9 ~
7 l1 u* P; B- g4 }% G& R. R; u7 H/ W5 J删除C:\Windows\ zcn32.exe

重新启动。OK

5. AOL Trojan

$ V0 D' U$ B/ o7 D1 T0 t2 `" ^清除木马的步骤：
( _+ Q9 U4 {/ ?' U& k6 s! l0 N
3 W9 n( W2 }( V0 E, @启动到MSDOS方式
' L  m* [6 D. U# |- V/ F
删除C:\ command.exe（删除前取消文件的隐含属性）
8 C  k! C; G& g( y
8 P- l+ s+ l9 G+ i/ h注意：不要删除真的command.com文件。
0 L& P7 }  D7 c2 m, Y0 N1 n+ h
8 v& R# e, x) ^' a! U" c删除C:\ americ~1.0\buddyl~1.exe（删除前取消文件的隐含属性）
" e4 }0 H5 D1 S* O# y( y
8 v$ F3 F, s, u& {5 c, x8 r5 H. j删除C:\ windows\system\norton~1\regist~1.exe（删除前取消文件的隐含属性）

1 O& R7 R1 k$ f5 t0 F; E0 {# w' l8 I) h) v打开WIN.INI文件

7 `9 u- _' k' q1 j- b在[WINDOWS]下面"run="和"load="都加载者特洛伊木马程序的路径，必须清除它们：
* r8 ?3 I  ]+ A! t
run=

4 w$ k" Y( q3 K7 r( w" z5 Z4 zload=
+ G; g, {+ a, ?3 k7 `! ^6 Q
保存WIN.INI
+ t! q8 M( K, `( z
2 j8 I4 ]( H) a+ G8 q  ?还要改正注册表Regedit
6 e( {3 `# ]8 R' M5 H
点击目录至：
3 ^, }* w8 Y$ S* ]- S; `
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
* u+ X6 n/ f3 Y. }! Z5 m' W& d% H
. l2 `( |7 P/ j/ g9 i/ B删除右边的WinProfile = c:\command.exe
2 `# m0 v- D% T/ `2 ]  V0 X
关闭Regedit，重新启动Windows。OK
& B+ V' o! u2 B6 e" ?# |( ?
* D% E7 U* l/ v" |( a: l& u& @' B6. Asylum v0.1, 0.1.1, 0.1.2, 0.1.3 + Mini 1.0, 1.1

清除木马的步骤：

) J# E' m+ p4 y- i- o8 x注意：木马程序默认文件名是wincmp32.exe，然而程序可以随意改变文件名。
; m9 l% B5 \4 d0 Z/ T- Y  Z
8 e& O' |- w/ i7 U# \( h1 s我们可以根据木马修改的system.ini和win.ini两个文件来清除木马。

8 v- B" u7 O# U5 \) t( ~) `打开system.ini文件
1 q; M6 B& Y  e, R' W
在[BOOT]下面有个"shell=文件名"。正确的文件名是explorer.exe
) x0 |; ?  t5 T( y
/ }) T/ ^7 h: @+ `如果不是"explorer.exe"，那么那个文件就是木马程序，把它查找出来，删除。
% p# Y8 ?+ D# t0 |2 o
保存退出system.ini

打开win.ini文件

; o' z8 x7 F0 [( |# `( m: \+ E在[WINDOWS]下面有个run=
8 N, [4 H( A5 L2 d. v7 S; d
0 a: }; @9 a! \8 F如果你看到=后面有路径文件名，必须把它删除。
$ E% u+ `# z$ C1 T
正确的应该是run=后面什么也没有。

=后面的路径文件名就是木马，把它查找出来，删除。
7 ~, M% y6 I. u+ x; Y7 z9 [
  W+ @# W0 V$ n3 o保存退出win.ini。

OK
+ p) U/ m/ j# U% V; h$ n2 K
7. AttackFTP
& Y) D2 }5 g& e' m. w
# `7 k& j( k3 `5 r" {( M- @" K, n清除木马的步骤：
4 }" ~7 S/ |4 d+ J
打开win.ini文件
' j; X4 o1 d- E# I% g+ u
  t: E0 e- x" e4 A- [; ]1 r在[WINDOWS]下面有load=wscan.exe

! I6 W& y( \$ f) Q) j7 j9 u删除wscan.exe ，正确是load=

+ ^( D" K( N2 C5 @( k保存退出win.ini。
' R# V1 |' N. M/ l* G1 X2 a
/ G  B: D/ M# ^( x$ O9 d0 i打开注册表Regedit
! P! T/ T( z" U% R. V
* ]$ b2 l; X' U. x# {' D8 s; k) O9 O点击目录至：

& ?* ]5 S% w  K0 l3 cHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
, P; @  U- h  k1 A
" c' R  |% g) W' O( t5 B- P0 l删除右边的Reminder="wscan.exe /s"
9 y$ ?* d5 x( }1 B: e, k
关闭Regedit，重新启动到MSDOS系统中

删除C:\windows\system\ wscan.exe
2 z  A+ y' ?. q  |  [5 p+ `
OK

6 q6 |7 e* H" n4 S; s6 J1 j% g8. Back Construction 1.0 - 2.5

清除木马的步骤：

* h( e5 v! n  W9 B. {/ u打开注册表Regedit
) q. L' B. i4 |
点击目录至：
" h$ ~$ c2 I7 V! D, ^
: G! R6 \2 x9 a: L. dHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
" Y6 i8 P9 k5 M2 O% Z- }
删除右边的"C:\WINDOWS\Cmctl32.exe"

关闭Regedit，重新启动到MSDOS系统中
3 ]  y4 C5 Q( O6 o- Q8 a4 n
. V! m3 `& z: P7 c删除C:\WINDOWS\Cmctl32.exe
9 j' a( h7 l, e1 p* P
OK
$ {6 W6 c1 M6 X5 H
9. BackDoor v2.00 - v2.03
' U' I6 Y& |" ?
; p6 ^* m+ n- Y6 G清除木马的步骤：
5 a9 P3 ^% j$ S; K; l6 V
% f# h7 _  K5 E* C2 v打开注册表Regedit

点击目录至：
7 L. I; g/ u" v5 \9 V* G
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run