病毒木马启动方式

《病毒木马启动方式》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、病毒木马启动方式   由于木马是基于远程控制的程序，因此，中木马的机器会开有特定的端口。一般一台个人用的系统在开机后最多只有137、138、139三个端口。若上网，会有其他端口，这是本机与网上主机通讯时打开的，如IE一般会打开连续的端口:1025，1026，1027等。   如果发现自己的硬盘总是莫明其妙地读盘，软驱灯经常自己亮起，网络连接及鼠标、屏幕出现异常现象，很可能就是因为有木马潜伏在你的机器里面，此时，就应该想办法清除它们了。   当发现可疑文件时，可以试试能不能删除它，因为木马多是以后台方式运行，通过按“Ctrl+Al

2、t+Del”是找不到的，而后台运行的应是系统进程。如果在前台进程里找不到，而又删不了(提示正在被使用)，那就应该注意了。    在DOS命令行下用”netstat-na”命令可以看到本机所有打开的端口。如果发现除了以上所说的端口外，还有其他端口被占用(特别是木马常用端口被占用)，那可要好好查查了，很有可能中了木马。 在电脑越来越普及的今天,使用杀毒软件明显已经不够,如果能知道病毒的运行方式和藏身之处,必定事半功倍,经过N久的收集,木马通常自启动是通过以下几种方式: 一.系统启动文件夹 可能这种方式比较多,假设你当前用户名为yex

3、j00,系统盘为C盘,那么对你有影响的有两个系统启动文件夹,就是C:DocumentsandSettingsyexj00「开始」菜单程序启动和C:DocumentsandSettingsAllUsers「开始」菜单程序启动。 [注："AllUsers"即对所有用户都有作用]在开始菜单的“启动”文件夹是可更改的，如果用户更改了启动文件夹，则以上注册表的键值均会改变为相应的名称。 　　 　　值得注意的是：开始菜单的“启动”文件夹中的内容虽然在默认的状态下可以被用户看得一清二楚。但通过改动还是可以达到相当隐蔽地启动

4、的目的的： 　　 　　首先，“启动”文件夹中的快捷方式或其他文件的属性可以改变为“隐藏”。这样可以达到系统不启动被隐藏的文件，等到需要启动的时候又可以通过更改回文件属性而恢复启动的作用。 　其次，其实“启动”文件夹只是一个普通的文件夹，但是由于系统监视了这个文件夹，所以变得有些特殊，但文件夹有的功能该文件夹也是有的。譬如“启动”文件夹的名称是可以更改的，并且“启动”文件夹也可以设置属性。如果把属性设置为“隐藏”，则在系统中的【开始】--【程序】菜单中是看不到“启动”文件夹的（即使在“文件夹选项”中已经设定了“显示所有文件”）。而

5、系统还会启动这个被隐藏的文件夹中的非隐藏文件。敏感的人们也许已经发现问题。举一个例子：如果我想启动A木马的server端服务器，我可以把原来的“启动”菜单的名称更改为“StartUp”（这里是随便改的，注册表相应的键值也会自动更改。）之后再创建一个名为“启动”的文件夹，把“StartUp”菜单中的文件全部复制（这里用复制，可以骗过用户的检查）到“启动”菜单中，然后把A木马的server程序放入“StartUp”文件夹中，最后把“StartUp”文件夹隐藏。大功告成！ 　　 　　从外表看来，用户的【开始】--【启动】目录还在，而且

6、要启动的文件也在。但系统此时启动的文件不是名为“启动”的文件夹中的文件，而是名为“StartUp”的文件夹中的文件。如果木马做的好的话，完全可以在每次启动的时候把“StartUp”中的文件复制到“启动”目录中来达到实时更新启动目录的目的。由于“StartUp”文件夹被隐藏，从【开始】?【程序】中是无法看到真正的启动菜单“StartUp”的，所以达到了隐蔽启动的目的！这个启动方式虽然比较隐蔽，但通过msconfig依旧可以在“启动”页中看出来。二.注册表HKEY_CURRENT_USERSoftwareMicrosoftWi

7、ndowsCurrentVersionPoliciesExplorerRun HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionPoliciesExplorerRun HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRunServicesOnce HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunS

8、ervicesOnce HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRunServices HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsC