104种清除木马的好方法 1

upring

很多新手对安全问题了解比较不多，计算机中了特洛伊木马不知道怎么样来清除。虽然现在有很多的清除特洛伊木马的软件，可以自动清除木马。但你不知道木马是怎样在计算机中运行的，如果你看了这篇文章之后，你就会明白一些木马的原理。
, c' C. t9 I) B0 W) ]) i5 J" U
1. 冰河v1.1 v2.2
) }/ C5 d" y4 L' B7 ^  o# a7 t9 Q
6 S6 X9 G$ G8 v; l) x冰河是国产最好的木马
. P+ u  x1 q9 ]+ ?5 x) s
* h+ i- X$ {9 }* F: W: Q2 O1 S1 S清除木马v1.1
" w( T1 r: y- I
打开注册表Regedit
$ x1 i# T1 G) f
, |  \5 j0 v) C" P( ?点击目录至：
( X3 l5 f$ m: j. |9 |& h3 K
, F% Z/ S( t0 B0 E9 O. GHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

$ M: }" e) g/ ]0 X查找以下的两个路径，并删除

" C:\windows\system\ kernel32.exe"
$ n' B! I) m" Z8 B& c
" C:\windows\system\ sysexplr.exe"

9 k) C0 U& D. M' j! K. x" B  t& i关闭Regedit
3 u( O3 J/ Z; w9 m% ]( w
0 C( U+ `, z* A4 X* J2 C6 N重新启动到MSDOS方式
: ]/ U; G5 w! y( g
删除C:\windows\system\ kernel32.exe和C:\windows\system\ sysexplr.exe木马程序
4 G( s' n/ L, F% U) G
重新启动。OK
5 Y& [. |: @3 D4 \
9 Z' m- B5 L* N+ w2 l清除木马v2.2
0 |8 Q5 T( y" u' m
) S( ?0 b4 d6 ^( }服务器程序、路径用户是可以随意定义，写入注册表的键名也可以自己定义。

因此，不能明确说明。
; M8 |8 H2 V2 s, s$ e  a/ a4 P1 ?: ~
9 _) d* H2 y" I+ N你可以察看注册表，把可疑的文件路径删除。

重新启动到MSDOS方式
7 M  S. O& ], c1 j$ v6 k' `
删除于注册表相对应的木马程序
- m5 E8 r* f' D4 T! t4 t
5 I0 h7 ^) z! W8 Z0 F重新启动Windows。OK

2. Acid Battery v1.0
/ X/ ]+ q/ K* ?9 Y$ a0 L
, d8 \' I* w# s. D! K清除木马的步骤：

打开注册表Regedit

, @: D/ ~3 p" T0 f/ @点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

删除右边的Explorer ="C:\WINDOWS\expiorer.exe"
" Q$ q& t* i1 b
关闭Regedit
" E( k. r/ o/ |- a& v7 `* E
重新启动到MSDOS方式

% t. q" _, A! w# H. I删除c:\windows\expiorer.exe木马程序

* \. L8 ]  m' D3 i5 i) M注意：不要删除正确的ExpLorer.exe程序，它们之间只有i与L的差别。
: J! c9 v8 r) [. d9 Z0 H( G
# H4 i" P8 V2 U! W/ V重新启动。OK
/ P, g2 {) U" }1 s" _: A
1 m" r6 b# @; c# Y' n4 Y9 h3. Acid Shiver v1.0 + 1.0Mod + lmacid
& k; ?! v: C- s: f0 Y
清除木马的步骤：
+ s: I* B# K* p) Z7 o$ l+ E
1 j) V/ t5 I9 B  H9 H% O重新启动到MSDOS方式
- j. H$ `# m9 b. K
删除C:\windows\MSGSVR16.EXE
. B( S8 i/ _. z/ A
! s7 t9 ?' S( x/ E1 z" A然后回到Windows系统

0 O4 H1 P9 o- I" J* B2 x- P打开注册表Regedit
5 h& b# P' ~) L. [# D5 U
' m7 f  H- \( A4 a, e8 Z点击目录至：
5 c* F5 d/ }& k- [2 |0 t; X3 l
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

删除右边的Explorer = "C:\WINDOWS\MSGSVR16.EXE"
3 ]/ t9 D( A6 c" r1 }
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices

删除右边的Explorer = "C:\WINDOWS\MSGSVR16.EXE"

关闭Regedit
0 B3 M2 r, L" S* y  q0 G% s( s
% K' \- o' h3 O6 m8 R& h' ?* ~0 ?重新启动。OK
7 n" M* W/ Y+ A5 f: N* X0 L: X
重新启动到MSDOS方式
" l- d7 H) [% i3 c7 \+ g- a
' @# y* B; [8 v/ \8 w删除C:\windows\wintour.exe然后回到Windows系统

. ^7 f  w) W' `6 T6 U打开注册表Regedit

' J+ q. D* G; X. H1 N) h) T2 v点击目录至：
8 v, P% z8 \$ q8 k8 s
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

, p# e9 Y8 u& r: E% M删除右边的Wintour = "C:\WINDOWS\WINTOUR.EXE"
! b9 A+ ]6 K/ M- k& M
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices

5 Y& f1 R5 p% W9 N" V$ `删除右边的Wintour = "C:\WINDOWS\WINTOUR.EXE"

关闭Regedit
  J- ~) b, c, n; y3 w6 `( k
7 n- o1 s7 d! G  e. z. S重新启动。OK
# ]0 _0 T, h4 M( k$ b
4. Ambush

* K; s& ?& }8 T8 U. V清除木马的步骤：

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
% c! i% m! w/ r5 ^
删除右边的zka = "zcn32.exe"
4 P5 Y: U+ i5 d8 V
关闭Regedit

重新启动到MSDOS方式
% Z6 s3 N" k5 B% a% s6 \
删除C:\Windows\ zcn32.exe
: ]$ Y. W! ]7 x: \/ }6 A
重新启动。OK

5. AOL Trojan

+ p4 ~* m0 X$ b. w1 L清除木马的步骤：

启动到MSDOS方式
7 t+ b" h( e& G' ^) _+ Q
删除C:\ command.exe（删除前取消文件的隐含属性）
  r0 |, m4 b5 d- L
注意：不要删除真的command.com文件。

删除C:\ americ~1.0\buddyl~1.exe（删除前取消文件的隐含属性）
5 C7 b# b/ n- w7 u2 i3 P8 {! B
删除C:\ windows\system\norton~1\regist~1.exe（删除前取消文件的隐含属性）

打开WIN.INI文件
: u( d* ^) P9 v$ m( g; x- @. k
在[WINDOWS]下面"run="和"load="都加载者特洛伊木马程序的路径，必须清除它们：
8 K$ }" Q' ]" i7 G, z! m4 V
; i1 d7 ?# Z2 r! n. erun=
& f* O) s* ]& d. C5 ]
load=

9 A& B" m: D  [- Q1 \, l$ O保存WIN.INI
( D7 J! C% l# P/ F: M1 u
2 Y1 Z) X+ M8 f- P5 \, c还要改正注册表Regedit

点击目录至：
1 \/ B' L5 F; e. X9 v" Y+ b
, m6 Q5 a4 x$ wHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
5 U1 x+ e- w( i; n& v
8 D- i8 h5 |; _' m删除右边的WinProfile = c:\command.exe

% O6 U% V" E1 R$ }0 C关闭Regedit，重新启动Windows。OK

; }# W* Z& n0 G) c' o$ W6. Asylum v0.1, 0.1.1, 0.1.2, 0.1.3 + Mini 1.0, 1.1

清除木马的步骤：
/ }( I, @* p/ n; c
( U/ o* |" S( ]* L注意：木马程序默认文件名是wincmp32.exe，然而程序可以随意改变文件名。
( I% J0 p. L2 {% |
我们可以根据木马修改的system.ini和win.ini两个文件来清除木马。
1 V0 y$ a* m. c# K  H
: J+ C  g5 F6 x打开system.ini文件

6 _" S" [  b7 S5 v/ g$ f在[BOOT]下面有个"shell=文件名"。正确的文件名是explorer.exe
! G* f3 }/ G/ `) O* G: L
0 C3 h# }$ X0 _如果不是"explorer.exe"，那么那个文件就是木马程序，把它查找出来，删除。

/ f) J! F& n& T' Y, m保存退出system.ini

打开win.ini文件
( K& C. e0 P! l' y- G) L9 k
: |' x0 u! k# @: }) ^  r5 {) C2 w在[WINDOWS]下面有个run=

如果你看到=后面有路径文件名，必须把它删除。
& H" Q" z# S& V7 ~* k
7 U, G' F* M: [( I; f4 i正确的应该是run=后面什么也没有。
2 u( ^: M, N# A& }* _
=后面的路径文件名就是木马，把它查找出来，删除。
' ~4 N, \! }8 Q- N
! ^9 C# o4 w" v" g. `" s保存退出win.ini。

* i2 {+ L6 W& x6 A1 n6 @6 s& wOK

; V. T* [# T7 G( X: K5 g0 y7. AttackFTP

. _6 W" n. ~0 J' i' q* B$ D6 R清除木马的步骤：

打开win.ini文件
4 r. ]; U% w; C+ J
# m( B$ V2 p. f+ j在[WINDOWS]下面有load=wscan.exe
. e1 j+ K3 F. R
/ `  {- f! V! r5 \删除wscan.exe ，正确是load=

保存退出win.ini。

打开注册表Regedit
; m$ h' K' R8 f& a0 q+ r- c
- }% D0 x$ j) ?6 A# X点击目录至：

9 m- Y) `/ I, g0 M7 cHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
4 w  W( ^) s5 }8 c
. L& [" M0 Q1 v- b) h6 x  Y) V删除右边的Reminder="wscan.exe /s"

" H7 ]" w5 J* v' H8 A' {0 l8 P关闭Regedit，重新启动到MSDOS系统中
- f% w7 b2 H. c* t) {
$ a2 Z3 ^, j. `, @删除C:\windows\system\ wscan.exe
5 q/ h" t3 i: o+ M
OK

8. Back Construction 1.0 - 2.5

清除木马的步骤：

9 n' K, \0 r: i+ [' L打开注册表Regedit

点击目录至：
/ \  n, @+ o4 O1 A" [. q
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

删除右边的"C:\WINDOWS\Cmctl32.exe"

+ S* v7 R. h0 u. ]1 x! E" |关闭Regedit，重新启动到MSDOS系统中

% H$ d/ U$ u7 p0 J! Z4 W' X) M删除C:\WINDOWS\Cmctl32.exe
& M1 t' X2 ]6 S2 ^9 p* v6 S& x
OK

; f" f0 |# v% W9. BackDoor v2.00 - v2.03

清除木马的步骤：
0 R) u" K' B3 D5 @% y8 d2 k
3 V; N- _; R, \: o1 e. `打开注册表Regedit

; W$ m6 x* W' G3 j; Z, x点击目录至：
; Z, ?/ E  b% M7 @) h2 O$ z
* o* p7 z1 x6 b) @3 k( j- f4 P( LHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
2 W  i* M* o4 A8 A% Z" P7 G5 B5 H