普通木马的防范方法

转载自江民科技官方论坛1 f* G  z/ ]8 {7 v) g
一些最新流行的木马 最有效果的防御就是修改名字7 d! H+ J6 t0 ]! ^# K, a7 U
现在我们来说防范的方法5 I% [) U) Y# a2 o
那就是把 windows\system\mshta.exe文件改名，
. {( H% d. l5 k$ O) z6 _改成什么自己随便 (xp和win2000是在system32下) 6 h; U6 f+ P, y  Q, S! s2 d" n
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\ 下为Active Setup controls创建一个基于CLSID的新键值 {6E449683_C509_11CF_AAFA_00AA00 B6015C}，然后在新键值下创建一个REG_DWORD 类型的键Compatibility，并设定键值为0x00000400即可。
* D" O; g9 j( S* ]; v5 s) ~还有windows\command\debug.exe和windows\ftp.exe都给改个名字 (或者删除)
- k$ j/ j7 y. U0 d4 s  y8 Z$ u比如网络上流行 的木马 smss.exe 这个是其中一种木马的主体 潜伏在 98/winme/xp c:\windows目录下 2000 c:\winnt .....   N2 T% a" c( f5 Y2 U5 R) o

0 ?; `! O& x& `! q$ h假如你中了这个木马 首先我们用进程管理器结束 正在运行的木马smss.exe 然后在C:\windows 或 c:\winnt\目录下 创建一个假的 smss.exe 并设置为只读属性~ （2000/XP NTFS的磁盘格式 的话那就更好 可以用“安全设置” 设置为读取） 这样木马没了~ 以后也不会在感染了这个办法本人测试过对很多木马 都很有效果的
( d( ~$ A% T* Q$ R" j- h0 I. O: U
8 }% m+ ]' S- p/ V( G经过这样的修改后，我现在专门找别人发的木马网址去测试，实验结果是上了大概20个木马网站，有大概15个瑞星会报警，另外5个瑞星没有反映，而我的机器没有添加出来新的EXE文件，也没有新的进程出现，只不过有些木马的残骸留在了IE的临时文件夹里，他们没有被执行起来，没有危险性，所以建议大家经常清理 临时文件夹和IE" K( j: }3 V7 _6 d" @& V

5 A9 E. H" |& W" B5 q% |# Q  e: ]6 w4 H　　随着病毒编写技术的发展，木马程序对用户的威胁越来越大，尤其是一些木马程序采用了极其狡猾的手段来隐蔽自己，使普通用户很难在中毒后发觉。
- A4 e. b3 H4 @5 s" H8 p* y6 ~2 L  Q1 i6 m" w% L- i

( y4 u! e1 V$ e  ?* T防治木马的危害，应该采取以下措施：) r; ^8 ~, j9 T

0 F# `3 V% U: ^- F; t7 Y/ S' R2 A  {+ Z* B6 ~7 r; _5 M
第一，安装杀毒软件和个人防火墙，并及时升级。
- \& u2 e  B0 a2 d/ |. \, N7 e
4 @9 Y, [* N" W+ Z1 [4 O1 J' f3 D第二，把个人防火墙设置好安全等级，防止未知程序向外传送数据。
* |+ I/ w' e  \$ |/ Z' P$ x% F0 B' f  b. U9 C- x( M0 s, j* Y
第三，可以考虑使用安全性比较好的浏览器和电子邮件客户端工具。
" l$ T9 `5 v/ `, J; R4 C" n: z$ H( H+ U- f5 s5 B  R$ \; |* g6 C
第四，如果使用IE浏览器，应该安装卡卡安全助手，防止恶意网站在自己电脑上安装不明软件和浏览器插件，以免被木马趁机侵入。
+ @1 Q, \! k) D3 m% ~1 X
  w, t  j2 t6 Q* {! g4 \　　远程控制的木马有：冰河（国人的骄傲，中国第一款木马），灰鸽子，上兴,PCshare，网络神偷，FLUX等，现在通过线程插入技术的木马也有很多.现在的木马程序常常和和DLL文件息息相关，被很多人称之为“DLL木马”。DLL木马的最高境界是线程插入技术，线程插入技术指的是将自己的代码嵌入正在运行的进程中的技术。理论上说，在Windows中的每个进程都有自己的私有内存空间，别的进程是不允许对这个私有空间进行操作的，但是实际上，我们仍然可以利用种种方法进入并操作进程的私有内存，因此也就拥有了那个远程进程相当的权限。无论怎样，都是让木马的核心代码运行于别的进程的内存空间，这样不仅能很好地隐藏自己，也能更好地保护自己。$ E6 Z2 v- e* I4 E

5 ^3 y! r  H- F# I# T  U3 ?5 p! l    DLL不能独立运行，所以要想让木马跑起来，就需要一个EXE文件使用动态嵌入技术让DLL搭上其他正常进程的车，让被嵌入的进程调用这个DLL的 DllMain函数，激发木马运行，最后启动木马的EXE结束运行，木马启动完毕。启动DLL木马的EXE是个重要角色，它被称为Loader， Loader可以是多种多样的，Windows的Rundll32.exe也被一些DLL木马用来作为Loader，这种木马一般不带动态嵌入技术，它直接注入Rundll32进程运行，即使你杀了Rundll32进程，木马本体还是存在的。利用这种方法除了可以启动木马之外，不少应用程序也采用了这种启动方式，一个最常见的例子是“3721网络实名”。2 [, t* s$ ]$ B$ A  F  x
. {( Z+ e6 R4 v+ Q8 Y& B  j+ A
    “3721网络实名”就是通过Rundll32调用“网络实名”的DLL文件实现的。在一台安装了网络实名的计算机中运行注册表编辑器，依次展开 “HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run”，发现一个名为“CnsMin”的启动项，其键值为“Rundll32 C:\WINDOWS\Downlo~1\CnsMin.dll,Rundll32”，CnsMin.dll是网络实名的DLL文件，这样就通过 Rundll32命令实现了网络实名的功能。
" {5 ?7 ]) W( j
) z( P. \5 z- \6 m    简单防御方法
5 d: x) C+ Q5 V5 l( M' W$ D
9 \9 `  ~4 h& j# c+ @  Q; K. H    DLL木马的查杀比一般病毒和木马的查杀要更加困难，建议用户经常看看系统的启动项中有没有多出莫名其妙的项目，这是DLL木马Loader可能存在的场所之一。如果用户有一定的编程知识和分析能力，还可以在Loader里查找DLL名称，或者从进程里看多挂接了什么陌生的DLL。对普通用户来说，最简单有效的方法还是用杀毒软件和防火墙来保护自己的计算机安全。现在有一些国外的防火墙软件会在DLL文件加载时提醒用户，比如Tiny、SSM等，这样我们就可以有效地防范恶意的DLL木马了。