瑞星卡卡安全论坛技术交流区反病毒/反流氓软件论坛 【原创】如何用Procexp和Autoruns工具识别与删除木马程序

12345678»   1  /  23  页   跳转页

【原创】如何用Procexp和Autoruns工具识别与删除木马程序

收藏
BlackStone
头像
叱咤花甲狮
  • 帖子:2616
  • 注册: 2005-09-27
  • 来自:
发表于： 2005-10-20 17:46 | 只看楼主 短消息 资料
字号： 小 中 大 1楼

【原创】如何用Procexp和Autoruns工具识别与删除木马程序

木马程序是当前病毒中危害比较大的一种，鉴于变种比较多杀毒软件对其处理一般比较滞后，在论坛中经常有人认为自己中了木马，发个HijackThis日志上来让人分析，在此我介绍一个两个工具：Procexp和Autoruns，这两个工具对付一般的木马比较有效，使用这两个工具大家可以自己手动找到木马并删除它

两个工具可以从官方网站www.sysinternals.com下载
URL地址：
http://www.sysinternals.com/Files/ProcessExplorerNt.zip
http://www.sysinternals.com/Files/Autoruns.zip    
 

推荐理由：
1）完全免费
2）文件小，功能强大，免安装
2）支持9x,winme,NT,2000,xp,2003,64位XP
3）更新比较快

本帖中使用的工具不是针对某一木马的专杀工具，只是对进程、启动项的分析使使用者找到并手动删除的辅助工具,帖子比较长，工具是英文的，建议大家耐心看完，不论你是新手还是高手一定有所收获

说明：转载请注明出处和作者－BlackStone（最近在网上看到很多网站转贴了我的文章，没有注明出处和作者，更有甚者把图片修改后署上自己的名字）。
最后编辑2007-07-25 15:21:37
分享到：
gototop
 
BlackStone
头像
叱咤花甲狮
  • 帖子:2616
  • 注册: 2005-09-27
  • 来自:
发表于： 2005-10-20 17:48 | 只看楼主 短消息 资料
字号： 小 中 大 2楼

下面介绍两个工具的使用方法（本人使用的是XP系统，下面以XP为例）：
一、Procexp:（完全可以替换windows自带的任务管理器）

此工具可以查看当前运行的程序（包括一些windows任务管理器不能看到的隐藏的进程），杀掉运行进程

直接运行程序如图，

附件附件:

下载次数:0
文件类型:image/pjpeg
文件大小:
上传时间:2005-10-20 17:48:23
描述:
gototop
 
BlackStone
头像
叱咤花甲狮
  • 帖子:2616
  • 注册: 2005-09-27
  • 来自:
发表于： 2005-10-20 17:49 | 只看楼主 短消息 资料
字号： 小 中 大 3楼

图中进程分为两种：一种是服务程序，一种是普通程序
普通程序可以用windows自带的任务管理器关闭，而服务程序只能通过服务管理器才能关闭，Procexp可以杀掉服务和普通进程，杀进程的方法：直接右键单击右键菜单中选择Kill Process项：（功能比较强大，连Winlogon.exe都可以杀掉，若你杀掉它，系统自动当机了，有兴趣的同志可以试试)

附件附件:

下载次数:0
文件类型:image/pjpeg
文件大小:
上传时间:2005-10-20 17:49:08
描述:
gototop
 
BlackStone
头像
叱咤花甲狮
  • 帖子:2616
  • 注册: 2005-09-27
  • 来自:
发表于： 2005-10-20 17:50 | 只看楼主 短消息 资料
字号： 小 中 大 4楼

使用其识别木马程序的方法：
首先查看是否有可疑进程，一些木马使用了windows系统程序名，例如：services.exe,svchost.exe,（这些文件在windows\system32目录下，一般木马会放在磁盘根目录下，或是windows目录下，）另一种情况是某一进程占CPU占有比较大

看到可疑程序直接在列表中选中，右键查看属性，或直接双击

附件附件:

下载次数:0
文件类型:image/pjpeg
文件大小:
上传时间:2005-10-20 17:50:35
描述:
gototop
 
BlackStone
头像
叱咤花甲狮
  • 帖子:2616
  • 注册: 2005-09-27
  • 来自:
发表于： 2005-10-20 17:51 | 只看楼主 短消息 资料
字号： 小 中 大 5楼

看程序的描述信息，微软程序描述信息和版本信息一般都很详细，若没有版本信息则可能是木马程序，也有一些木马写了跟微软类似的信息，此时可以使用数字签名校验功能，点击Verify按钮，若是微软的程序会提示(verified)
如图：

附件附件:

下载次数:0
文件类型:image/pjpeg
文件大小:
上传时间:2005-10-20 17:51:05
描述:
gototop
 
不言放弃
头像
社区嘉宾
  • 帖子:30678
  • 注册: 2004-09-17
  • 来自:蓝色星球
发表于： 2005-10-20 17:51 | 短消息 资料
字号： 小 中 大 6楼

主要是查看进程与自启动项
还有IE模块之类的小工具
不错哟
gototop
 
BlackStone
头像
叱咤花甲狮
  • 帖子:2616
  • 注册: 2005-09-27
  • 来自:
发表于： 2005-10-20 17:52 | 只看楼主 短消息 资料
字号： 小 中 大 7楼

对于一般的程序，Explorer.exe启动的程序都可以杀掉的，一般不会引起系统问题

有时电脑会突然弹出消息框或错误框，但又不知道是那个程序弹出的，可以选择
如图按钮

按住鼠标左键，把鼠标放在弹出的对话框上，抬起鼠标左键工具会自动定位当运行的程序上。

附件附件:

下载次数:0
文件类型:image/pjpeg
文件大小:
上传时间:2005-10-20 17:52:20
描述:
gototop
 
BlackStone
头像
叱咤花甲狮
  • 帖子:2616
  • 注册: 2005-09-27
  • 来自:
发表于： 2005-10-20 17:53 | 只看楼主 短消息 资料
字号： 小 中 大 8楼

在程序的属性对话框的TCP/IP属性页还可以看到程序访问的网络情况，木马一般都会打开端口向外发送数据包

附件附件:

下载次数:0
文件类型:image/pjpeg
文件大小:
上传时间:2005-10-20 17:53:24
描述:
gototop
 
BlackStone
头像
叱咤花甲狮
  • 帖子:2616
  • 注册: 2005-09-27
  • 来自:
发表于： 2005-10-20 17:55 | 只看楼主 短消息 资料
字号： 小 中 大 9楼

当删除某一文件，提示文件正在使用时可以通过
发现是那个进程使用这个文件。

附件附件:

下载次数:0
文件类型:image/pjpeg
文件大小:
上传时间:2005-10-20 17:55:24
描述:
gototop
 
BlackStone
头像
叱咤花甲狮
  • 帖子:2616
  • 注册: 2005-09-27
  • 来自:
发表于： 2005-10-20 17:56 | 只看楼主 短消息 资料
字号： 小 中 大 10楼

图

附件附件:

下载次数:0
文件类型:image/pjpeg
文件大小:
上传时间:2005-10-20 17:56:17
描述:
gototop
 
<<上一主题|下一主题>>
12345678»   1  /  23  页   跳转页
页面顶部
Powered by Discuz!NT