查看系统中是否有简单木马
、启动任务管理器，看其中是否有陌生进程，记录下来，暂时别动它2、启动注册表编辑器，查看以下几个地方：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
...
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
...
看看启动表项里是否有可疑的程序
HKEY_CLASSES_ROOT\exefile\shell\open\command
看看是否有 exe 文件关联型木马程序，正确的键值应该是："%1" %*
HKEY_CLASSES_ROOT\inffile\shell\open\command
看看是否有 inf 文件关联型木马程序，正确的键值应该是：%SystemRoot%\system32\NOTEPAD.EXE %1
HKEY_CLASSES_ROOT\inifile\shell\open\command
看看是否有 ini 文件关联型木马程序，正确的键值应该是：%SystemRoot%\system32\NOTEPAD.EXE %1
HKEY_CLASSES_ROOT\txtfile\shell\open\command
看看是否有 txt 文件关联型木马程序，正确的键值应该是：%SystemRoot%\system32\NOTEPAD.EXE %1
记录下来，暂时不要更改
3、启动一个 cmd 窗口，netstat -an 看看是否有异常端口，建议去www.sometips.com 下载一个 Active Ports
用来看端口与进程的关系，找出使用异常端口的进程
4、用资源管理器查看winnt\ 及 winnt\system32 的文件（记得显示全部文件，包括受保护文件），按时间排序，找出建立时间或修改时间异常的程序，记录下来
5、开始->程序->启动中是否有奇怪的启动文件
综合以上5步的结果，应该能排出来一个可疑程序的清单，下面就是照单杀马了 :D
6、清除木马的顺序是：
先停止进程 -> 清理注册表相关表项 -> 删除硬盘上木马文件
注：对于有些木马，使用了线程注入或三线程保护方式，需要使用相关工具进行清除（或者自己写写试试，就当是练习 coding）
另外，曾经见过一只马，采用了 autorun 文件关联，在每个分区的根下都有一个 autorun 文件，只要访问这个分区，就会加载木马文件
一个小技巧：exe 文件被关联后，当出现 exe 文件无法打开时，可将regedit.exe 复制为 regedit.com，并运行 regedit.com,将 exe 文件关联改回来即可，前提是系统中没有相关进程在监视这个表项。
以上只是简单说了一下怎么用简单的方法自己判断系统中是否有马，更重要的是预防，最基本的预防方式就是给MS点颜面，勤打补丁，另外就是尽量不要运行可疑程序，还有就是最好有一个强大的防病毒软件，推荐 Norton Antivirus autorun 文件是啥木马 ??? 我以前也碰到过每个盘下都有autorun 文件 学习来了哦 感谢楼主经验分享 产品简介：
•2000可见光分光光度计采用低杂散光，高分辨率的单光束光路结构，仪器具有良好的稳定性、重现性。应用最新微处理芯片，使操作更为快速、便捷，几个按键就能完成测试，并且具有自动校准0%T和100%T等控制功能及各种方法的数据处理功能。
•LED数字数码管可直观显示透视比、吸光度和浓度等参数，提高了仪器读数准确度。
•配有并行口，可直接连接打印机，打印实验数据。
•标准RS-232(串口)通讯接口，可通过UNICO用户应用软件(选购)和普通的装有Microsoft Windows系统的个人电脑联机，进行实验测试和数据处理。http://www.qinmai.net/kejianguang/images/2000.jpg2000型可见分光光度计光学部分单光束，1200条/毫米衍射光栅波长范围325-1100 nm(纳米)波长精度±2nm波长重复性1nm光度范围0-125%T,-0.097-1.999A,0-1999C(0-1999F)光度精度±0.8%T杂散光≤0.5%T@360nm处带宽5nm稳定性±0.004A/h@500nm处显示LED数码显示管数据输出串口打印机接口并口尺寸/重量470×400×140mm/9.5kg标准配置主机、比色皿、说明书、防尘罩选购附件四槽位吸收池架（1-5cm）试管形吸收池架程控平移四槽位吸收池架比色皿多功能吸收池附件四槽位吸收池架（10cm）水浴式恒温吸收池架可调式微量吸收池架 上海秦迈仪器美国尤尼柯分光光度计优势经销商
电话:021-56710030 现货供应 其实，autoruns和360的顽固木马清除器很好用。
页:
[1]