为普及病毒知识，让群众深入了解杀毒软件的功能和使用方法，IT168软件频道与金山公司联合推出本届“玩转金山毒霸”系列活动。

本届活动共分有奖征文和趣味活动两部分。本月（2007.7.9至2007.8.5）征文主题为“我与木马的亲密接触”，只要是与木马有关的亲身经历（经验、教训、遭遇、损失、对抗、心得、查杀等），无论长短，均可到征文专帖中参与。主办方每月会从中评选出两名优秀奖，并从其他参赛用户中抽取一名幸运奖，共计3人，每人可获得价值298元的金山毒霸杀毒U盘一个（1G）。

参赛文章请直接在本帖回复。

    冰河让我刻骨铭心
遭遇冰河
      N年前,具体来讲应该是在2001年左右,当时的拔号上网,刚买了联想的电脑,那个时候也热衷于QQ,聊得是混天暗地啊，不管天南地北，随着系统长时间的运行感觉速度越来越慢了，当时只知道重装系统，没注意到平常的维护，其时当时我还是有安全意识的，才买来电脑就去买了金山的钻石会员版了，在重装了系统之后，速度较之以前是飞快啊，在还没装金山之前，我就迫不急待的装好了ＱＱ，想一边聊天，一边装剩下的其它常用软件，同时和不同的网友聊天，基本上很难记着谁是谁，只是觉得那些ＭＭ好活泼，好可爱啊．突然有个ＭＭ说要给我看她的照片，那我当然是毫不犹豫的接收啦，看着接收进度条向100%靠近，心里在想：现在的ＭＭ真奇怪动不动就把自已照片给人看，难道是要开学了，以后上网少想给网友留个纪念吗？哎，不管了，接收完的第一件大事当然是，先睹为快啦．．．点开以后确实看到了一个可爱的ＭＭ，哇，那叫一个可爱啊，但是！！！但是！！！在我高兴没多久，我装金山的时候就出问题了，金山安装失败，随后系统就开始出现一些不正常的现象，ＱＱ上出现了一个不知什么时候加的好友，发来信息说我机子里的图真好看，我当时就奇怪了，他怎么知道，难道是那ＭＭ的朋友，然后那鼠标就开始不听话了，自动点开我的电脑的一些文件夹，最后重启了我的电脑，真是让我大吃一惊，重启后，心里一直莫名其妙的，不过还是拨了号上了网，上了ＱＱ．那可爱的ＭＭ不在线了，到是有一个不太熟悉的好友出现了，也还是隐约觉得电脑有问题了，金山一直装不上，终于那边来信息了，让我别装了，不起作用的，没几句就骂开了，他最后在我机子上打出一串字，说：信不信我把你硬盘格了！我用ＱＱ回他说:不信，再骂了他一句，然后飞快地把电话线给扯了，傻眼了．．漂亮ＭＭ？可爱ＭＭ？活泼？？？没想到我也月今天！！！！

与冰河对抗
      冷静下来后，还是把金山毒霸放进了光驱，先再试试能不能把金山装起来，可还是安装不成功．又打电话找朋友，朋友也说没办法，要不就还是再重装．搞来搞去头都搞晕了，决定上网查查是什么病毒有没有解决的办法，就上网查起来，一边看资料，一边又启动了ＱＱ看有没有高手帮忙，那知ＱＱ密码不对．ＱＱ被盗啦！  等下了网后，朋友打来电话，问我是怎么回事，说我在ＱＱ上乱骂，我说没有啊，我的ＱＱ被盗了，然后又让朋友在ＱＱ上帮我骂，真不知朋友是怎以说的，那"黑客"说把ＱＱ还给我．我重新上了ＱＱ，果然上去了．上了ＱＱ一看，那资料被改得乱七八糟的，真想杀了那XX！！最后想起来用其人之道还治其人之身，也开始在网上忙活起来，最后我又把金山给卸了，因为我也准备了冰河，下了捆绑器，也把小马绑在了美女的身上，可是我找来找去"那黑客 "已经消失得无影无踪了．其时现在想想，就算那"黑客"还在ＱＱ上，换个ＱＱ号与他为好友，把图发给他，人家也不会接收的，他都是用这一套肯定是不会中招的了．怪只怪自已好"色" 啊！

多年心得与体会
      从此以后，每次重装系统后的头等大事就是先把杀毒软件装了，升完级，再保险点的话，先把升级的数据下载好，离线升级完再接入网络．平常用的常用软件最好是备份好，刻录成光碟或是放在移动硬盘里，这样重装完统之后也不用接入网络下软件，上网就得注意啦，尽量在大网站下软件，养 成下完软件后先查一遍的习惯，定期全面扫描，特别是现在安装软件时一定要注意，有些有捆绑的软件或插件，最好是装个360安全卫士或瑞星卡卡之类的防流氓软件．当然了网络安全是全方位的，是不能一劳永逸的，这需要个人的安全意识提高和安全软件的不断发展．希望我们能有一个安全的网络环境．
　　本人用的杀毒软件不多，就用过金山，诺顿，和卡巴斯基，目前正在使用卡巴＋360安全卫士 ，感觉还不错．平时很少写文章，写得不好，或者不太通顺，请各位多多包涵 ．
　　最后祝大家上网少中招！   

[ 本帖最后由 逸豪 于 2007-7-10 17:29 编辑 ]

上网六年，与木马的亲密接触


  上网六年了，近五年平均每天在网8小时左右，但只受过两次病毒侵袭，所以你应该看看我是怎么做到的。

  木马，其实就是个悄悄运行在你电脑上的间谍，偷偷控制你的电脑，窃取你的资料，人品差的还会让你系统缓慢甚至瘫痪。

怎么装到你电脑上的？

  主要有三个主要途径：1.你主动安装的 2.利用网页漏洞偷偷下载并安装的 3.系统漏洞通过网络安装

  简单明了，你应该知道怎么做了，下载的软件或者从别人那copy的软件都要用升级了病毒库的杀毒软件扫描一下，上网时开着杀毒软件的网页监控，特别是乱七八糟的小网站，经常更新你的系统补丁，保证系统无漏洞。

  这就是我六年来仅遭受两次病毒攻击的经验，那这两次中毒又是怎么回事呢？

  第一次，相信很多网友和我一样都经历过。

  冲击波，这是个蠕虫病毒，中毒后阻塞你的网络连接，并且每分钟重启一次电脑。

  因为我一直更新自己的XP，金山毒霸也一直开着，所以一开始并没有中招，也没在意。

  后来重装系统，没打完补丁就点了拨号上网，然后就开始倒数重启电脑，我没想到它会这么容易传遍，也是第一次领略到病毒的威力。

  打开CMD，输入shutdown -a，重启取消，然后查杀了病毒，冲击波就这么化解了。

  第二次，也是最愤怒的一次！

  一天突然打开程序的时候提示错误，然后几乎所有的EXE文件打不开，我意识到可能中了木马，因为我那段时间自以为功夫了得百毒不侵所以既没开金山毒霸也没有开防火墙。

  我没想到网页病毒能这么厉害，我很少接触乱七八糟的小网站，系统补丁也一直更新。

  因为木马感染了所有的EXE文件，所以金山毒霸也打不开了，只好用备用的硬盘启动然后查杀木马。

  一个叫virus.win32.parite.a的病毒，译名“网页杀手变种e”(Troj.StartPage.e)

  我至今还留着这个病毒的名字，因为这家伙给我造成了太大的损失！

  我的硬盘80G，几乎有70多M的程序和资料，具体查杀了多长时间我记不得了，查杀了N个被感染的文件。

  然后我重装了系统，我的ADOBE MACROMEDIA 等等设计软件都损坏了，需要重装，EXE的安装文件也被损坏了，后来还有N个软件在我需要安装的时候发现也坏了。

  感觉是家园被歹徒洗劫了一遍，剩下一个熟悉又陌生的家。

  后来在很长的时间内我一直开着杀毒软件，我第一次感觉怕了。

  后来爆发的几次网络病毒危机我都幸免于难，直至今日再也没有中过木马。

  我与木马的亲密接触就是这么平静而又悲壮，现在你应该返回文章的开头，想想我告诉你的对抗木马的经验是不是值得借鉴。



  

[ 本帖最后由 superman0 于 2007-7-11 18:50 编辑 ]

                                       可怕的熊猫木马

      刚刚走出大学校门，毕业的场景一一呈现，这其中还有那天去打印毕业论文时第一次看到熊猫烧香病毒的经历，想想那天还真是“惊心动魄”。

      那天我拿着十几天辛苦的成果——毕业论文来到了寝室楼下的打印室，刚刚连上移动硬盘，打开后我看到了一直“可怕”的传说中的熊猫，这还是我第一次亲眼看见熊猫烧香呢，这可吓坏我这个对于电脑并不怎么精通的毕业生了，第一感觉就是：这下栽了，全完了，移动硬盘里的资料全废了。我有这种想法的原因是因为一个同班同学的电脑硬盘刚刚因为中了熊猫烧香而导致所有资料全部删除，因此当时我自己也不知道怎么办才好，大叫起来：这可怎么办啊，我中熊猫烧香了，阿姨怎么办啊？
      打印室的阿姨也很惊讶：怎么会啊，没事的同学，熊猫烧香现在已经不厉害了，不用担心。
      我更加激动：怎么不厉害啊，我同学刚因为它废了个硬盘，你们电脑里怎么会有熊猫烧香啊？
      阿姨见我着急，安慰我：没关系的同学，等会我儿子回来让他给你弄，我也不会啊。
      旁边的同学见我也很着急：没事的，现在的熊猫已经没那么厉害了，我都中了几次了，只要你升级最新的正版杀毒软件，按右键杀毒就没事的，别双击安装程序就行，熊猫主要是破坏软件，对程序没什么大的影响的，主要是EXE的安装程序。
      听了这话我还有点安心了，也不敢动移动硬盘了的任何东西了。
      还好，有惊无险，第二天我又来到了打印室，老板娘儿子回来重新安装了系统升级了杀毒软件，给我的移动硬盘彻底查了一遍，终于将熊猫变种杀掉了。
      这次经历让我真正体会到了熊猫木马的威力，更体会到了正版杀毒软件的好处，以后一定多增加一些这方面的知识，在遇到类似情况不至于手忙脚乱。

[ 本帖最后由 jasonyuyu 于 2007-7-10 10:33 编辑 ]

提高警惕，保卫电脑

赵   春

这天，挂在线上敲一篇文章，屏幕底下忽然冉冉升起一个对话框：“大哥，写得挺有文采嘛，借兄弟参考参考，谢了啊！”看着这个不速之“框”，我呆了几秒钟之后大呼“不好”，赶紧下线并保存文章，但因为时已晚，一切已成徒劳，我眼睁睁地看着自己敲出的上千文字从屏幕上“蒸发”得无影无踪。赶忙买了最新的杀毒软件搜捕一通，一串“Trojan”像死苍蝇一样恶心地一字排开，这已经不是我第一次吃“木马”的亏了，吃亏长记性，以后我说什么也不挂在网上进行私人操作了。
一夜之间，木马病毒像幽灵一样徘徊在互联网上。如果你的电脑不幸被木马病毒“附身”，而没有及时查杀的话，那么这台电脑就成了游荡在网络上的“黑客”们的囊中之物，只要你一上线，你在电脑中保存的隐私就完全暴露在遥控着病毒的黑客们手中。对于偷窥所得，好心的黑客只是饱饱眼福而已，而遇到真正的“黑心客”，事情就没那么简单了，他们或把你的重要文件删除，或把你的核心隐私窃取，总而言之，中了木马病毒并引起黑客的注意，对于一台私人电脑和他的主人来说，无异于一场“大麻烦”。
害人不浅的木马病毒形形色色，但它们的来源大都在网上，现在很多人都把电脑接入了宽带网，这些人往往因为上网费用没有时间限制，所以把电脑长时间地挂在网上，有时甚至人进入梦乡，电脑仍在熬夜下载电影。长时间地挂在网上的电脑很容易出问题，尤其是午夜凌晨时间段，更是黑客们兴风作浪的“黄金时间”。由此可见，缩短上网时间是防范木马病毒的有效措施之一。
此外，通过购买杀毒软件并定期升级、查杀病毒等手段，建立有效的网络防火墙等防御体系，也是防范木马的有效途径。而尽可能地少登录或不登录非正规的网站，不在这些网站上乱下载软件，也可以避免很多不必要的麻烦。总之，在“木马”肆虐的时代，一定要提高警惕，保卫好自己的电脑和电脑中一些私人的东西。


太原市南内环街市委党校     赵春      邮编030012
宅电0351－7234572
email：zjh168168@vip.sina.com

　　前段时间从一个陌生的网站上下载了一个软件。因为以前没有从他们那里下载过任何东西，所以在安装这个软件之前，我先用杀毒软件对这个程序进行杀毒。很快杀毒软件报告说没有病毒，于是我就安心的双击这个安装程序。可是当我双击这个安装程序之后并没有弹出任何对话框，开始我以为可能我是开得程序太多，安装程序运行得慢，我就继续去浏览网页去了。过了许久还没有任何动静，但是正当我以为是我自己操作错误的时候，突然弹出一个广告页面出来，顿时我知道我中招了。同时我的资源管理器也无缘无故地打开，并且定位到D盘下面，而且多了一个叫做Dplayer.com文件，一看就知道不是什么好东西，删掉再说。我马上关掉所有的浏览器窗口，打开杀毒软件将其病毒库升级到最新的日期，然后用它进行杀毒，同时也打开任务管理器看看有没有可疑的进程。一下子我就发现多了microserv.exe、bind_50438.exe、pingso_1113_20070608.exe等几个奇怪的程序在运行，不管三七二十一先结束掉再说。
　　不一会儿杀毒软件就扫描完了，在 C:\WINDOWS\system32\下面发现sysup32.dll Trojan/PSW.GamePass.lum 病毒、scrsys16_070401.scr TrojanSpy.Agent.yy 病毒、winsys32_070401.dll  TrojanDownloader.Delf.awc 病毒、winsys16_070401.dll  TrojanSpy.Agent.yy 病毒等好几个木马病毒。虽然杀毒软件说了已经将它们删除或者重启后删除，但是我还是不放心，用sysup32.dll作为关键字到百度上面搜索了一下，一共找到500多篇相关的文章。我马上从最前面的开始阅读起来。很快我就搞清楚了这是个什么样的木马病毒。虽然杀毒厂商
已经能查杀该毒了，但是由于该木马病毒会感染explorer.exe程序，直接用杀毒软件将其杀掉的话，下次开机的时候就会报找不到sysup32.dll文件而无法启动explorer.exe，也就是说屏幕除了壁纸可以看到以外，其他什么东西也看不到。幸好我杀完毒之后没有马上重启，要不然都不知道接下来该怎么办。
　　要想避免这种情况出现必须用新的explorer.exe代替已经被感染的旧程序。我马上用explorer.exe作为关键词在百度上搜索，很快就找到一个新的explorer.exe程序。然后我就把电脑重启，按F8进入带命令行的安全模式下，用新的explorer.exe代替原来的那个，同时也将刚才在任务管理器里面看到的那些程序和其他一些文件删掉，接着再次重启，终于顺利地进入到系统了。这还没有完，还要到注册表里面将相应的键值改回来，到启动和服务那里将与刚才那些程序有关的项清除掉，最后还要清除sysetm.ini、win.ini文件中添加项。到此，清除完毕。
　　就这样辛辛苦苦地弄了一个晚上，本以为把这些木马病毒给铲除掉了，可是第二天，我的杀毒软件老是报winlog.exe程序要访问网络。我一看就知道那些木马还没有清除完，当时可以说心都碎了。还是按照老办法上百度搜索一下，很快就有答案了。这可能是大名鼎鼎的“落雪”。下载了专杀工具进行查杀，但是它报说没有发现“落雪”的踪迹。难道这不是“落雪”？不管那么多继续看一看用百度搜到的文章再说。终于，王天不负有心人，让我找到了与我电脑病症一模一样的一篇文章。我根据里面的解决方法的描述用SREng软件对我的操作系统进行一次扫描。扫描完之后我把我的扫描结果跟文章中描述的一一比较，果然找到了那些木马，这可把我乐坏了。我赶紧按照文章说的用SREng软件将相关的项进行修复。完事之后，重启电脑再杀毒软件进行一次杀毒。这次杀毒软件终于没有报任何病毒了。
　　总结，杀毒软件虽然是必要的，但也不能全依赖它，毕竟它不是人不具有智能，特别是对木马病毒，有很多时候木马病毒是杀了，但杀得并不彻底，会留下很多的垃圾文件。更严重的就像上面所说的，杀了之后反而进不了系统或者进入系统后无法正常使用。所以在发现木马病毒之后，除了用杀毒软件对其进行查杀之外，不防用查到的木马病毒文件的名字作为关键词上搜索引擎搜一搜，看看其他人的杀毒经历，说不定还会有意外的发现了，就像我一样。这也在一定程序上保证能够彻底将那些木马病毒杀掉。

[ 本帖最后由 aloki 于 2007-7-10 17:43 编辑 ]

在单位负责计算机维护，那天刚到单位就被老板叫去“看下我的机器怎么了”。一开机，满屏尽是“大熊猫”，那家伙小香烧的，“图标做的不错，我喜欢。把图标留下，病毒清除”老板发话了， 从病毒中提取文件 愁死我了 有了 用金山毒霸一定能把病毒 。马上升级毒库 先提取图标，再用毒霸对全盘查毒，几分钟后一切

• 小小黑客教你木马防范

  
  
  　　我玩过木马，但都限于菜鸟水平，用的工具却都是木马中的经典之作。
  
  　　第一次是冰河，当年很经典的一款木马，可以查看对方的桌面，可以记录对方的密码和键盘记录。
  
  年代久远了，只记得有个小女孩很有趣，我记录了她的QQ密码，然后登陆后和她聊天，
  
  她半天没明白过来怎么自己会和自己聊天，后来告诉她真相，她竟然说自己和自己聊天也挺酷的，都没当回事。
  
  　　第二次是灰鸽子，也很经典，后来熊猫烧香的作者被抓他们的工作室也宣布停止开发和传遍这款软件。
  
  我玩木马似乎是因为好奇心太强，喜欢看看别人都玩什么、电脑里有什么，也没做过什么坏事，只有一天因为心情不好删了一台电脑的所有A片。
  
  记得有一次朋友来家玩，看一台电脑在玩网络游戏，非要给人家捣乱，胡乱点鼠标。
  
  被控制的哥们也超有耐心，游戏开关了N次才感觉有人在捣鬼，
  
  郁闷地在记事本上写道“大哥，别玩了”，我那朋友也让人超郁闷，还在人家记事本上打上了“OK”
  
  
  　　知己知彼方能百战不殆，目前为止除了自己不小心和做实验在自己电脑上安装过木马，还没中过他人的木马。
  
  现在我告诉大家如何“木马丛中过，病毒不沾身”
  
  通常中木马除了自己的电脑疏于升级和忽视杀毒防范，你的欲望和贪念也是黑客最喜欢利用的。
  
  一个高手在既没有防火墙也没有杀毒软件的保护下一样可以做到常在河边走就是不湿鞋，需要的仅仅是控制欲望和贪念。
  
  
  　　要做到百毒不侵首先保证你的windows系统没有漏洞，这个好办，保持自动升级开启就OK。然后就是下面两点。
  
  （一）不要因为那些有诱惑力的图片和文字去点击那些小网站，比如说，免费送Q币、极品××私服、天仙般的美女露点了……
  
  首先用你聪明才智的大脑想一下，这有没有可能，时间久了你可以很容易分辨出哪些是骗人的，哪些是可信的。
  
  如果你实在禁不住诱惑，就想看看天仙般的MM长什么样，那麻烦你打开金山毒霸，即便有病毒也会被拦截。
  
  （二）下载的软件使用金山毒霸扫描一下，有一次我搜索一个软件，结果在一个不知名的软件站下载下来的竟然是一堆插件，而我要的软件却根本没有。
  
  除了IT168这类软件下载大站下载的和软件官方下载的，其他小网站下载的最好扫描一下，别把木马当作贵宾请进门。
  
  网友给你的软件和链接也别冒失地打开，先扫描一下，有的人渣就是利用人与人之间的信任下黑手。
  
  　　说起来就是这么简单，做起来也没什么难度，你一样也可以做到百毒不侵。

[ 本帖最后由 网路悠游 于 2007-7-12 18:05 编辑 ]

     曾经经历过这样的一件事情，在上网不久后，就陆续的接到许多朋友的狂骂自己的信息，我自己也不了解是什么事。一问才知道，这些朋友纷纷收到我给他们发送的一些乱七八糟的信息“美女在XXX等你；”，而且还附带有一些文件，名称也是五花八门，弄得我是莫名其妙，不会是我的Qq被木马盯上了吧。
     于是从新在腾讯的官方网站上又申请了一个Q号，把自己原来的号添加为好友，果然，不出几分钟，就收到了接收文件的请求，而且文件格式是exe的，大多在30－100K左右，一般的文件不会那么小的，文件也不是图片，文件非常可疑，初步判断多半是自己的Qq遭到木马了。马上联想到前几天在上一个网站时要求安装一个ActiveX的时候，不认真看是什么就按一路按着YES下去，IE的脸色立马变乌云，瞬间崩溃，弹出了一个错误窗口。当时就觉得不对劲，但是那时正在看着连续剧陀枪师姐，所以就暂时放一边了，到了晚上再行查杀，但是却发现不到任何的木马程序，算了，估计早上那个是网站的一个错误所以就不了了之了。
     直到今天，才出现了开头的那一幕，看来应该是前几天的这件事在捣鬼。打开任务管理器查看，发现一个名为“Rundll32.exe”的进程。普通的应用程序基本上很少的调用它的，最常使用的就是一些现在网民公愤的3721，网络实名，网络猪之类的利用“Rundll32.exe”加载DLL形式运行的，看来这个Rundll32.exe是最可疑的。
     接下来既然“Rundll32.exe”最为可疑，那么利用系统内置的搜索命令以“Rundll32.exe”为关键词进行搜索一番。很快就在系统目录SYSTEM和SYSTEM32的文件夹中同时找到了“Rundll32.exe”的影子，最简单的对比两者的图标就找到了可疑的文件，哈哈，告诉你们，这个“Rundll32.exe”居然用的是压缩软件“WinRAR”的图标，“木马大哥，作案的手段也要高明些吧，伪装自己要像模像样，哈哈”
     找到可疑文件后，就要找它的启动项目了，如果不删除启动项目，你总不想看到开机的时候，弹出说“加载XXX.DLL时出错,找不到指定的模块”的错误吧，哈哈，例如3721在删除不干净，留在注册表启动项的键值中就会出现这个问题，这个太简单了，不说了。
     “Win＋R”打开运行对话框，输入“regedit”打开注册表编辑器。同样和上面一样搜索“Rundll32.exe”这个关键词，搜索了几遍还是未发现可疑的启动项目，我决定开始清除掉这个可恶的文件了。OK了，重启机器。当启动Qq向朋友报喜时。噢，这个可恶的家伙又出现了。
      看来这个木马还真的不是想像中的那么简单，一定是拥有文件保护的手段使其再生，也就是把一个文件删除后，其它的文件就会生成一个“Rundll32.exe”的副本文件。根据刚才的观察，我认为这个QQ木马不是跟着系统启动的，而是随着Qq的启动而启动。于是来到Qq的安装目录，如何进去？，多余一句，如果不知道它的安装目录，直接在Qq图标上点右键，属性，查找目标好了。
      来到Qq的安装目录后，仔细检查发现，哈哈，又看见一个使用WinRAR图标的文件，文件名是”TIMPlatform.exe”,这个之外还有一个名称是“TIMP1atform.exe”的文件。这里“TIMPlatform.exe”中间的那个不是1而是，是小写的L。接下来还是利用百度这个大哥大吧，搜索后就能够知道“TIMPlatform.exe是Qq和TM共同使用的外部应用开发接口管理程序，属于qq不可或缺的底层核心模块。”通过对比它们的属性，发现TIMPlatform.exe这个文件是由腾讯开发的。再多说一句，在“TIMPlatform.exe”上点右键，属性，可以在数字签名和版本那里看到相关信息，平时好好的利用这个功能还是非常有用的。回到刚才的话题，看来这个Qq木马正是将正规的文件“TIMPlatform.exe”重新命名为TIMP1atform.exe，而把木马本身的名字命名为正规的文件名“TIMPlatform.exe”。这招还是高，不仔细看还真的发觉不出这个家伙。
      
      一定要将这家伙给扫除门户，再次使用系统的搜索功能利用“TIMPlatform.exe”的时间属性对系统进行搜索，结果呢，又发现了两个剩余的文件。明白了一切，接下来就好办了。首先结束“Rundll32.exe”这个进程，接着将刚刚发现的两个文件还有““Rundll32.exe跟“TIMPlatform.exe”给删除掉。这个再次提醒，后面的那个文件，也就是“TIMPlatform.exe”中间的这回仍是小写的的L，哈哈，不要看错了。然后将被修改的“TIMP1atform.exe”还原为真正的的文件名“TIMPlatform.exe”。这里TIMP1atform.exe才是真正的腾讯开发的文件，只是被木马这家伙给改了名。
        
      最后为了保险起见，再次用SREng这款经典的系统扫描工具检测，发现注册表中的文本文件和可执行文件关联被修改了，马上对其进行修复，好了，这样这个可恶的木马终于离开了。

      其实对于这类问题在现在现在看来已经有非常多了，这个问题就是目前网上非常时尚的说法叫QQ尾巴。只是前些年还未真正兴起的时候我就中了，所以只好用手工代劳了。目前市面上主流的软件，如金山等都等将其消灭，不过如果你希望能更好的对自己实际理解产生问题的种种原因和处理结果有更好的了解，平常动动手来配合杀软自己解决一些问题还是很有帮助的，有兴趣的网友不妨一试吧，哈哈哈，金山也有修复工具，不单单是SREng，这个相信大家都知道了，我也不在这里自吹自擂了，希望大家的电脑都能平安。

[ 本帖最后由 intel7 于 2007-7-11 11:28 编辑 ]

好像没有规定要发新文，正好以前写过一个。原发《电脑应用文萃》，后来被天极、新浪等转账。

菜鸟安全防患之饿死木马

文 / winr

　　MM的QQ密码又被盗了，朋友一百万两银子又被窃了……面对防不胜防的木马，作为普通用户而言，如何防范、如何应对、如何将损失降在最低呢?当然，首先最要紧的是扎紧篱笆——及时为操作系统打上补丁;拒木马于千里之外——不随便下载和运行不明来源的程序，这些在前几期的文章中已有详述。我们今天谈一下，如果第一道防线被攻破，木马已经进驻电脑，那么应该如何识别，并且不让它得逞呢?
　　一、不给权限，饿死木马
　　在Windows 2000/XP/2003等系统中，用户可以加入Administrators、Power Users、Users等不同权限的组，分别具有不同级别的操作权限。如果你平时也就上上网看看新闻，打打游戏聊聊天，编写文字处理几张图片，而不需要频繁地装卸软件，那么不妨藏起管理员，使用一个低权限的用户账户。
　　通过“控制面板→用户账户”，创建一个新的用户，然后安装常用的软件之后，将其加入到受限用户(Users)组。受限用户能够正常运行大部分的程序，但是无法对系统的心脏——系统目录和注册表进行写操作。该操作需要一个前提条件，即C盘应采用NTFS格式。
　　木马以及其他恶意软件有个特殊的爱好:往往喜欢藏身于系统目录，并且修改注册表以达到自动加载的目的。而采用这个办法，很大程度上限制了木马的渗透。即使木马已进入硬盘，也不会有权限进行相应的操作，有效地降低了木马的破坏力，事后在灭杀木马过程中也不至于破坏系统。
　　但是有的软件需要管理员权限账户才可以正常运行，或者有时候我们需要安装一些软件，目前账户权限不够，怎么办?切换用户太麻烦，而且也容易因此给木马可乘之机。那么，用下面的办法实现吧!
　　右键点击程序，选择“运行方式”，弹出图1所示的窗口，然后选择合适的账户并输入相应密码即可。这样软件就可以其他账户的方式运行，而与当前账户无关。虽然比起直接管理员账户登录操作麻烦了点，但是安全上得到了保障，还是值得的。

小提示：有时候一些常用软件必须以管理员权限运行，如果每次都这么选择未免太麻烦，小程序RunAs可以解决这个问题。




二、勤查户口，不速客out

　　账户信息安全之重要性，自然不言而喻。黑客入侵，往往会偷偷在你的系统中建立一个账户，或者把普通账户提升权限，以达到幕后操纵之目的，而这个往往是普通用户容易忽略的问题，所以大家要养成一个勤查户口的习惯。
　　打开“管理工具→计算机管理→本地用户和组”(如图2)，这里枚举了当前的所有账户信息。要看看是不是多了不认识的名字，或者谁偷偷地升级了，这些都需要引起重视。比如臭名昭著的lovgate病毒就会在感染电脑上建立一个名为“lee”的账户。

      
但是，有时候突然多出一个不速之客也未必就是“中标”了，比如在安装Microsoft .Net Framework后，系统会自动建立一个ASP.NET账户，这是正常的，大可不必为之担心。

　　另外，还要对现有账户做好安全工作。如果没有必要，可以不启用Guest账户;同时应对内置的管理员账户Administrator加上密码，并且“改头换面”，防止入侵者恶意穷举:通过“管理工具→本地安全策略→本地策略→安全选项→账户”对系统管理员账户进行重命名操作，将Administrator修改为一个别人不容易猜测到的名字(如图3)。

三、关紧城门，出入查证
　　木马也好，其他恶意程序也好，如果不能和释放者保持联系，也就失去了威力。所以城门就是我们的最后一道防线。
　　首先是关闭一些危险的端口。打开“管理工具→本地安全策略→IP 安全策略，在本地计算机”，在右侧窗格中右击鼠标并选择“创建 IP 安全策略”命令(如图4)，然后根据向导一步一步设置，分别添加TCP135、 137、139、445、593 、1025、2745、3127、6129、3389端口和UDP 135、139、445等端口。关闭了这些端口，可以避免入侵者通过这些通道秘密潜入。

　　其次，安装一款合适的防火墙。ZoneAlarm、BlackICE、Kaspersky Anti-Hacker、XELIOS Personal Firewall等功能都比较强大。如果嫌这些设置比较复杂，也可以选择天网、金山毒霸网络个人防火墙、瑞星个人防火墙等。它们就像把门者，每一个进出者都会被检查是否有“良民证”:如果确认可靠的就直接放行，如果陌生人想偷偷挟带情报出逃，对不起，拦下。


四、明察秋毫，逮住“马迹”

　　感染木马或其他恶意程序后，系统不可避免地会出现一些特殊征兆，如果及早发现并及时处理，可以将损失降到最低点。下面的这些“马迹”千万不要放过。

　　1、密码被改，金币被偷。虽然损失已经造成，但是亡羊补牢，至少避免更多损失。

　　2、杀软被关闭。很多木马会自动关闭杀毒软件，如果发现杀软防火墙被退出，而且无法启动，绝对不能忽视，排除系统或者杀软本身的问题，很有可能就是被木马或病毒先下手为强了。

　　3、一闪而过的窗口。打开记事本，或其他软件的时候，会有隐约的窗口一闪而过，这很有可能就是木马或病毒已经寄生在正常程序上了。

　　4、奇怪的进程。经常用Ctrl+Alt+Del键调出任务管理器进行查看。首先你要熟悉系统的正常进程，如果有陌生进程出现，那就将它一查到底。

　　5、鱼目混珠的文件名或错位的程序。有些木马会伪造和正常程序相似的名字，比如“svch0st”等;有些则索性冒名，不过路径不同，比如出现在Windows目录下的“rundll32.exe”(正常应该在windows\system32和windows\system32\dllcache下)。

　　6、自作多情的启动项目。经常使用“msconfig”查看启动项目，如果有不经允许就擅自加载的，不妨查查其身份。

　　7、绑架浏览器。使用hijackthis辅助，把这些绑匪统统请出系统去。

　　8、运行“netstat”，查看当前网络的连接情况，是否有偷偷向外报信者。




================================OVER====================================

[ 本帖最后由 winr 于 2007-7-11 09:12 编辑 ]