|
| 浅谈网络安全 |
| 来源：网络 时间：2006-5-15 |
|
|
（注：网络安全一直是大家忽略的问题。本人保守估计，至少30％的中国网民有丢qq号、游戏帐户等的历史。本人参阅了大量的相关资料、书籍，发现很少有比较全面的文章，有的侧重讲木马，有的侧重讲病毒。为了让各位网民有个全面的认识，提高自我防范的能力，遂发表了《浅谈网络安全》，限于篇幅，同时也考虑到实际应用，本人仅摘录其中的“个人上网安全策略”供大家参考，如果觉得好的话，建议斑竹置顶，谢谢！因为时间紧促，难免有不足之处，希望各位高手批评指正，本人一定虚心接受大家的意见，并对错误之处进行修改，一个月后再发布正式版。最后特别申明：本文的部分内容摘录于相关资料和书籍，但根本目的是为了学习与技术讨论，恳请各位作者不要追究版权！）
二：个人上网
一般说来，个人用户所可能受到的攻击要比网站少许多，并且攻击手段也比较简单。因为个人用户不用象许多网站一样为web用户提供各式各样的服务：http 服务，ftp服务，pop3服务等等。这就在理论上断绝了多种网站难于防范的攻击方法，剩下的应该说是屈指可数的几种，通过相应的措施是完全可以避免被黑客攻击的。
（一）密码安全策略
无论你是申请邮箱还是玩网络游戏，都少不了要注册，这样你便会要填密码。大多数人都会填一些简单好记的数字或字母（例如名字或是出生年月日等），来当成密码，因此黑客可以依此建立一本“字典”，再运用工具不停地把字典里面的字拿出来测试，如果你用“cat”之类的密码，大概不到一分钟就可以被破解了。还有大多数人为了方便，把自己的几个邮箱、几个qq和网络游戏的密码都设成一样。在网上你有可能会因为需要而把密码告诉朋友，但若那位朋友的好奇心很强的话，他可能会用你给他的这个密码进入你的其他邮箱或qq，你的网上秘密便成了他举手可得的资料了。因此建议，你最常用的那个邮箱密码设置一个不少于7位的有字母、数字和符号组成的没有规律的密码，并其他不常用的几个邮箱密码不要和主邮箱的密码设成一样，密码可以相对简单点，也可以相同。不过密码内容千万不要涉及自己的名字、生日、电话（很多密码字典都是根据这些资料做出来的）。其他的密码设置也是同样道理，最常用的那个密码要设置的和其他不同，免得被人“一路破”。
因此建议，设密码应注意以下几个要点：
1、密码的位数不要短于6位，使用大写字母和小写字母、标点和数字的集合
2、不要以任何单词、生日、数字、手机号做为密码，这种太容易就能破解了，比如说生日吧，看似有8位，但我们一般都是出生在19xx的，一年只有12个月，一个月最多只有31天，xxx，不要几分钟就可以试出来，还不需要程序来算了
3、密码中的英文最好有大小之分
4、如果在程序允许的情况下，最好能加上英文半角的符号
5、不要用a、b、c等比较小顺序的字母或数字开头，因为用字典暴力破解的程序，一般都是从数字或英文字母排序开始算的，如果设为z的话，破解的机率就小很多
6、一个好的密码必须：含有英文大小写和阿拉伯数字的混和，最少要6个字，8个字算是基本的要求，就像“jvehr8xn”这样。
7、可以强记两到三个比较复杂的密码，用的时候把它们重新排序，比如说常用密码为ittxs和lu8e20，组合ittxslu8e20，打散lu8eittxs20，新密码诞生了
8、注意在自己的电脑中安全比较可靠的杀毒软件，如果你的电脑里有木马的话，再复杂的密码也是没有任何作用的，不要上不可信的网站，不要让别人很容易的得到你的信息。这包括身份证号码、电话号码、社会安全号码、您的手机号码、您所居住的街道的名字，等等
9、最好只注册那种用md5算法加密论坛，那样管理员就无法知道你的密码了，我见过很多论坛因为加密不好，被别人破了管理员密码，最后把论坛用户的qq，信箱等等都破了。
10、定期更改密码，至少每月改一次。比如说每个月的第一个星期五，也不用重新想，就是把密码的排序改一下就行了，好记
11、不要所有的地方都用一个密码，根据重要和非重要的原则来设定密码，比如说我一般不是很重要的地方，都用111111来做密码
12、最后一点就是，不要把自己的密码写在别人可以看到的地方，比如说笔记本，纸巾上等等，最好是强记在脑子里，不要在输入密码的时候让别人看到，多练几次，打快了，旁人自然就看不到了，更不能把自己的密码告诉别人，这样对自己对别人都是很不负责任的，保护好你的密码，尊重自己。
（二）qq安全策略
qq即oicq，是腾讯公司出品的网络即时聊天工具，现在的用户多的惊人！所以现在针对qq的工具也十分之多，这个软件的安全隐患也不容忽视！每天都有人到腾讯公司投诉自己的密码被盗、聊天时被炸弹攻击……抛开软件自身的漏洞不谈，更多的是因为我们的防范意识不强，给了黑客可乘之机。下面我们就来看看 oicq中存在的安全隐患。
1. 密码被盗
这种情况大多数因为没有设置密码保护。“密码保护”功能可以保障你的qq号码更安全，当密码发生问题时，能帮助你方便及快捷取回密码。在这里再次提醒，设置密码时不要过于简单化。不要以为有密保就没事，万一你碰到无聊的黑客，他也不要你qq，得知你qq密码后马上登录你的qq并删除你所有的好友，等你取回密码时自己凭记忆慢慢添加好友吧。qq密码的破解工具很多，但只要把密码设得复杂点，一般不容易被破解。也有一些恶意攻击者会使用记录软件和木马来获取密码，关于木马的防范下文会作详细讲解。
解决方案：你在申请完qq后第一件事就是去腾讯公司的主页上的服务专区申请密码保护，设置密码时请遵从“密码安全策略”。
2. 在线攻击
在下攻击又有以下几种情况：
①利用消息发布器（qq炸弹）发送大量消息导致对方郁闷下线。现在在网上比较流行的qq炸弹很多，有名的有这几个：qq千夫指、蓝雪攻击器、qq蜗牛等。它们都是一种以发生垃圾信息来炸掉qq的软件，在这里介绍一下qq千夫指的一个非常巧妙的防范方法：启动qq，打开“个人设定”，在弹出的“修改用户资料”对话框中点击“基本资料”标签，在“用户呢称”前加上“275297”（注意输入时没有引号）这六个数字；接下来切换到“联系方法”标签，然后在“电子邮件”栏中把你的e-mail改成“275297”，“确定”就可以了。这样只要用飘叶oicq千夫指向你发消息，他的计算机就会重启！那些讨厌的洪水消息就被拒之门外。
②udp flood（拒绝服务）攻击。这类攻击是不会发给你任何信息的，但是实际上攻击者和被攻击者双方的流量是很大的。udp flood这个工具是随处可见的，使用起来也是非常的简单。幸好这种方式最多是让个人用户离线，破坏性并不是很大。
③利用qq消息漏洞。这里介绍一下最新发现的漏洞，大家应该对特殊字符发送qq消息的格式有所了解吧，我们发送的文字大小可以随意设定，这样我们完全可以给对方发送一个超级大的字，不够大的话继续加大字体大小到非常大，让对方qq由于显示不正常而非法操作，退出qq直至死机。攻击代码如下：
｛\rtf1\ansi\ansicpg936\deff0\deflang1033\deflangfe2052｛\fonttbl｛\f0\fnil\fcharset134 ’ cb’ ce’ cc’ e5;｝｝
\fs180000000000000000000000000000000
在这段攻击代码中，“\fs”是用来设置后面文字的字体大小的，当字体大小数字串长度超过32字节时，就会发生缓冲区溢出，当超过34字节以后就有可能导致应用程序崩溃。值得注意的是，在安装补丁以前，千万不要用“聊天模式”给对方发送攻击代码，否则消息还没有发送出去的时候，自己就先倒下了，所以切记一定要用“消息模式”给对方发送攻击代码。这个qq炸弹的威力惊人，对qq0630开始的所有版本都非常有效，到较新的qq2003ii beta2测试版也不能幸免。
下面讲一下防范措施，一般来讲，大多损失都是由于ip地址被泄漏造成的，想在线攻击的前两种情况，都要输入对方的ip才能进行攻击，所以我们应尽可能的保卫自己的ip地址。可以隐身登录，也可以使用代理服务器（代理服务器英文全称proxy sever，其功能就是代理网络用户去取得网络信息，更确切地说，就是网络信息的中转站）。设置方法是点击qq的菜单==>系统参数==>网络设置==>代理设置==>点击使用socks5 代理服务器，填上寻找的免费代理地址（代理服务器的地址在很多网站有提供，自己用代理猎手也可以找到很多）。能在oicq种使用的代理为socks4和 socks5型的，端口号一般为1080。把ip地址和端口号填入（校验用户名和密码一般不用填），点击“测试”，如果填入的代理地址有效，则会弹出“代理服务器工作正常”提示框，确定就好了，然后退出qq，再登陆，这就搞定了。代理服务器有时候会失效，需要换一个新的代理服务器。此方法能隐藏oicq的 ip，别人通过一般的oicq工具是查不到真实的ip地址的。另外还需要做的就是安装防火墙。防火墙能防止一些病毒程序、黑客木马程序的入侵以及ip探测和攻击。最后就是尽量使用最新的正式版qq，不要让陌生人或你不信任的人加入你的qq（但这点很不实用，至少我这样认为）。不推荐使用测试版，测试版一般都会有bug。
（三）邮箱安全一二三
1、防范“邮件病毒”
首先，不要轻易打开陌生人来信中的附件文件。尤其对于一些“.exe”之类的可执行程序文件以及word和excel文档，就更要慎之又慎！请养成用杀毒软件扫描附件的习惯，哪怕是认识的人也要防范，因为很有可能给你发邮件的人的计算机已经中了病毒或木马，病毒程序通过此人通讯录上的e-mail地址以该人的名义发送带病毒的邮件给你。 其次，做好邮箱的管理工作，一般每个人都会有多个免费信箱，进行适当的分类比较合适，好好利用邮箱过滤和转发功能。这样作虽然麻烦一些，但足以让你免去无谓的烦恼。
2、防范“邮件炸弹”
首先，不要树敌；其次，小心使用自动回信。为了慎重起见，你一定要小心使用“自动回信”功能；最后，设置过滤。如果担心哪一天你的一位“冒失鬼”朋友给你发来一个巨型邮件炸了你的邮箱，可以提前在你的邮件软件中设置。以outlook express为例，打开“工具/收件箱助理”，点击“添加”，在对话窗口中根据你的信箱容量(比如最大2m)在条件对话框中选择“大于”项，然后在数值栏中填定数值(比如2m)；然后，在操作对话框中选择“从服务器上删除”选项，今后，只要你的邮件服务器收到体积超过2m的大邮件时，都会自动进行删除，从而保证了你的信箱安全。
3、拒收“垃圾邮件”
首先，“退”：大部分比较正规的广告公司，虽然冒昧地给你发送第一封邮件时多少显得有点不礼貌，但是它会在信中首先给你道歉，然后说明“如果你对此类信件不感兴趣，可以给某某地址发一封退订信即可”。对于这类颇有“人情味”的垃圾邮件，你可以按照其信中所说，往它所提供的退订地址发一封空白信，在信件的 “主题”栏内填入“unsubscribe”，信件的正文区一般不用填写任何内容。用这种方法，也可以对你主动订阅的邮件列表进行退订。
其次，“拒”：某些垃圾邮件是“强买强卖”性质的，它根本没有给你提供退订地址，而且你给它回信要求退订它也不予理睬。对付这种顽固的、不讲道理的垃圾邮件，你只有在你的邮件软件上进行相应的设置，利用电子邮件软件所提供的过滤功能进行拒收。比如在outlook express中，你可以通过“收件箱助理”来完成对垃圾邮件的过滤。
最后，“防”：以上所说，都是在你已经遭遇垃圾邮件的前提下，怎样去摆脱它。要想避免垃圾邮件对你的骚扰，关键是要采取适当的保密措施。无论在聊天室里，还是在各种媒体报刊以及网上论坛、bbs等，都不要轻易公开你的信箱地址，尤其是isp分配给你的信箱地址。不要轻易填写网上的各种索取你信箱地址的表格，也不要盲目贪吃“邮件列表”。要知道，某些邮件列表是“请神容易送神难”，为了少找麻烦，还是小心一些为好。
（四）木马防范
木马（特洛伊木马），也称为后门，英文叫做“trojan house”，其名称取自希腊神话的《特洛伊木马记》，它是一种基于远程控制的黑客工具，木马的特性一般有：①包含于正常程序中，当用户执行正常程序时，启动自身，在用户难以察觉的情况下，完成一些危害用户的操作，具有隐蔽性②具有自动运行性③具有自动恢复功能。④能自动打开特别的端口。⑤包含具有未公开且可能产生危险后果的功能和程序。木马一般有两个程序组成：一个是服务器程序，一个是控制器程序。当你的计算机运行了服务器后，恶意攻击者可以使用控制器程序进入你的计算机，通过指挥服务器程序达到控制你的计算机的目的。黑客可以利用它锁定你的鼠标、记录你的键盘按键、窃取你的口令屡屡拉、浏览及修改你的文件、修改注册表、远程关机、重新启动等等功能。
木马的种类：①远程控制木马。例如冰河②密码发送木马。例如 qq 木马③键盘记录木马。一般的木马都具有这功能④破坏性质的木马。⑤代理木马。在肉鸡上作跳板的木马。⑥ftp 木马⑦反弹端口型木马。简单来说就是反防火墙的木马，例如网络神偷⑧dll 木马。这是现在最新出来的采用进程插入技术的木马，是最难对付的木马之一。⑨综合型。
想不中木马，先要了解木马植入的惯用伎俩（很多病毒的传播也是利用同样的手段，因为木马也算是病毒的一种）：
1. 邮件传播：木马很可能会被放在邮箱的附件里发给你，当你在没采取任何措施的情况下下载运行了它，即便中了木马。因此对于带有附件的邮件，你最好不要下载运行，尤其是附件名为*.exe的，并且请养成用杀毒软件扫描附件的习惯。
2. qq传播：因为qq有文件传输功能，所以现在也有很多木马通过qq传播。恶意破坏者通常把木马服务器程序通过合并软件和其他的可执行文件绑在一起，然后骗你说是一个好玩的东东或者是plmm的照片，你接受后运行的话，你就成了木马的牺牲品了。
3. 下载传播：在一些个人网站或论坛下载软件时有可能会下载到绑有木马服务器的东东。所以建议要下载工具的话最好去比较知名的网站。在解压缩安装之前也请养成对下好的软件进行病毒扫描的习惯。
在这里提醒一下，若被杀毒软件扫描到有病毒请立即清除。不要以为不运行这些带木马的文件就可以了，下面这种木马植入方法专门用来对付有此想法的人。
4. 修改文件关联。这是木马最常用的手段之一，比方说正常情况下txt文件的打开方式为notepad.exe（记事本），攻击者可以把txt文件打开方式修改为用木马程序打开，这样一旦你双击一个txt文件，原本应用记事本打开的，现在却变成启动木马程序了！当然，不仅仅是txt文件，其它诸如 htm、exe、zip、com等都是木马的目标。对付文件关联木马，只能检查“hkey_classes_root\文件类型\shell\open\ command”这个子键，查看其键值是否正常。
5. 直接运行植入。一般是利用系统漏洞把配置好的木马在目标主机上运行就完成了。有关系统安全策略后文会作进一步的讲解。
6. 网页植入。现在比较流行的种植木马方法，也是黑客们惯用的无形杀手，即所谓的网页木马。经常上网的朋友是不是发现在浏览网页的时候，浏览器动不动就会弹出几个提示窗口，其中看见最多的就数3721的提示窗口了。这些窗口的源代码中包含了activex控件，如果不安装里面的控件，以后仍然会出现这种窗口，并且网页的功能就不能实现了。利用这一点，可以制作一个activex控件，放在网页里面，只要用户选择了安装，就会自动从服务器上下载一个木马程序并运行，这样就达到植入木马的目的了。按此方法制作的木马对任何版本的ie都有效，但是在打开网页的时候弹出对话框要用户确定是否安装，只要用户不安装，黑客们就以点办法也没有了。所以当上网的时候弹出对话框询问是否安装某软件或插件，请务必看清楚此消息的来源站点。若是知名网站根据实际需要选择是否安装，若是比较少见或没见过的网址甚至根本看不到网址请毫不犹豫的点击“否”并关闭该窗口。另一类木马主要是利用微软的html object标签的一个漏洞，object标签主要是用来把activex控件插入到html页面里。由于加载程序没有根据描述远程object数据位置的参数检查加载文件的性质，因此web页面里面的木马会悄悄地运行。对于data所标记的url，ie会根据服务器返回http头中的content－type来处理数据，也就是说如果http头中返回的是appication/hta等，那么该文件就能够执行，而不管ie的安全级别有多高。如果恶意攻击者把该文件换成木马，并修改其中ftp服务器的地址和文件名，将其改为他们的ftp服务器地址和服务器上木马程序的路径。那么当别人浏览该网页时，会出现 “internet explorer脚本错误”的错误信息，询问是否继续在该页面上运行脚本错误，当点击“是”便会自动下载并运行木马。以上两种网页木马都会弹出安全提示框，因此不够隐蔽，遇到此情况只要看清消息来源的站点，再视情况判断有没必要点击“是”。还有一种网页木马是直接在网页的源代码中插入木马代码，只要对方打开这个网页就会中上木马，而他对此还是一无所知。在这里提醒各位网民，对于从未见过的url（通常都是个人网站/论坛），最好不要访问。
那么怎样判断自己的电脑是否中了木马，中了木马时有什幺现象？很难说，因为它们发作时的情况多种多样。
但是如果你的计算器有以下表现，就很可能染上黑客病毒了。
计算器有时死机，有时又重新激活﹔在没有执行什么操作的时候，却在拼命读写硬盘﹔系统莫明其妙地对软驱进行搜索﹔没有运行大的程序，而系统的速度越来越慢，系统资源占用很多﹔用ctrl＋alt＋del调出任务表，发现有多个名字相同的程序在运行，而且可能会随时间的增加而增多。（可是，有一些程序是不会出现在这个列表里的。懂得编程的朋友应该知道这不难做到，借助pview95就可以看到）。特别是在连入internet网或是局域网后，如果你的机器有这些现象，就应小心了，当然也有可能是一些其它的病毒在作怪。由于木马程序的破坏通常需要里应外合，大多数的木马不如病毒般可怕。即使运行了，也不一定会对你的机器造成危害。不过，潜在的危害还是有的。比如，你的上网密码有可能已经跑到别人的收件箱里了！
我们也可以利用查看本机开放端口的方法来检查自己是否被种了木马或其它黑客程序。你在网络上冲浪，别人和你聊天，你发电子邮件，必须要有共同的协议，这个协议就是tcp/ip协议，任何网络软件的通讯都基于tcp/ip协议。如果把互联网比作公路网，电脑就是路边的房屋，房屋要有门你才可以进出， tcp/ip协议规定，电脑可以有256*256扇门，即从0到65535号“门”，tcp/ip协议把它叫作“端口”。当你发电子邮件的时候，e- mail软件把信件送到了邮件服务器的25号端口，当你收信的时候，e-mail软件是从邮件服务器的110号端口这扇门进去取信的，你现在看到的我写的东西，是进入服务器的80端口。新安装好的个人电脑打开的端口号是139端口，你上网的时候，就是通过这个端口与外界联系的。黑客也是通过端口进入你的电脑。因此，我们可以利用查看本机开放端口的方法来检查自己是否被种了木马或其它黑客程序。以下是详细方法介绍：
①windows本身自带的netstat命令
此命令是显示协议统计和当前的 tcp/ip 网络连接。该命令只有在安装了 tcp/ip 协议后才可以使用。
netstat [-a] [-e] [-n] [-s] [-p protocol] [-r] [interval]
-a显示所有连接和侦听端口。服务器连接通常不显示。
-e显示以太网统计。该参数可以与 -s 选项结合使用。
-n以数字格式显示地址和端口号（而不是尝试查找名称）。
-s显示每个协议的统计。默认情况下，显示 tcp、udp、icmp 和 ip 的统计。-p 选项可以用来指定默认的子集。
-p protocol显示由 protocol 指定的协议的连接；protocol 可以是 tcp 或 udp。如果与 -s 选项一同使用显示每个协议的统计，protocol 可以是 tcp、udp、icmp 或 ip。
-r显示路由表的内容。
interval重新显示所选的统计，在每次显示之间暂停 interval 秒。按 ctrl+b 停止重新显示统计。如果省略该参数，netstat 将打印一次当前的配置信息。
如果发现有异常的端口出现，就有可能是木马常用的端口被占用。立即断开网络，用病毒库升级到最新的杀毒软件查杀病毒。
②工作在windows2000下的命令行工具fport
fport是foundstone出品的一个用来列出系统中所有打开的tcp/ip和udp端口，以及它们对应应用程序的完整路径、pid标识、进程名称等信息的软件。在命令行下使用，请看例子：
d:\>fport.exe
fport v1.33 - tcp/ip process to port mapper
copyright 2000 by foundstone, inc.
 http://www.foundstone.com
pid process port proto path
748 tcpsvcs -> 7 tcp c:\winnt\system32\ tcpsvcs.exe
748 tcpsvcs -> 9 tcp c:\winnt\system32\tcpsvcs.exe
748 tcpsvcs -> 19 tcp c:\winnt\system32\tcpsvcs.exe
416 svchost -> 135 tcp c:\winnt\system32\svchost.exe
利用此命令，各个端口究竟是什么程序打开的就都在你眼皮底下了。如果发现有某个可疑程序打开了某个可疑端口，可千万不要大意，也许那就是一只狡猾的木马！
③与fport功能类似的图形化界面工具active ports
active ports为smartline出品，你可以用来监视电脑所有打开的tcp/ip/udp端口，不但可以将你所有的端口显示出来，还显示所有端口所对应的程序所在的路径，本地ip和远端ip(试图连接你的电脑ip)是否正在活动，而且它还提供了一个关闭端口的功能，在你用它发现木马开放的端口时，可以立即将端口关闭。
利用查看本机开放端口，以及端口和进程对应关系的方法，可以轻松的发现基于tcp/udp协议的木马。一般中了木马程序最简单的办法就是用杀毒软件清除，如金山毒霸等。现在的杀毒程序能查杀大部分木马，当然也有一部分查杀不了的木马。这时就需要手动清除。要想手工清除，首先需要了解一下木马通常喜欢隐藏在哪里，并自动加载。
“木马”程序会想尽一切办法隐藏自己，主要途径有：在任务栏中隐藏自己，这是最基本的只要把form的visible属性设为false、 showintaskbar设为false，程序运行时就不会出现在任务栏中了。在任务管理器中隐形：将程序设为“系统服务”可以很轻松地伪装自己。 当然它也会悄无声息地启动。木马会在计算机启动时自动装载服务端，windows系统启动时自动加载应用程序的方法，木马都会用上，如：启动组、 win.ini、system.ini、注册表等等都是“木马”藏身的好地方。下面具体谈谈“木马”是怎样自动加载的。
①win.ini 中启动 ：在 win.ini 文件中，在 [windows] 下面， “run=” 和 “load=” 是可能加载 “ 木马 ” 程序的途径，必须仔细留心它们。一般情况下，它们的等号后面什么都没有，如果发现后面跟有路径与文件名不是你熟悉的启动文件，你的计算机就可能中上 “ 木马 ” 了。当然你也得看清楚，因为好多 “ 木马 ” ，如 “aol trojan 木马 ” ，它把自身伪装成 command.exe 文件，如果不注意可能不会发现它不是真正的系统启动文件。
②system.ini 中启动 ：在 system.ini 文件中，在 [boot] 下面有个 “shell= 文件名 ” 。正确的文件名应该是 “explorer.exe” ，如果不是 “explorer.exe” ，而是 “shell= explorer.exe 程序名 ” ，那么后面跟着的那个程序就是 “ 木马 ” 程序，就是说你已经中 “ 木马 ” 了。
③利用注册表加载运行 ：在注册表中的情况最复杂，通过regedit命令打开注册表编辑器，在点击至：“hkey－local－machine\ software\microsoft\windows\currentversion\run”目录下，查看键值中有没有自己不熟悉的自动启动文件，扩展名为exe，这里切记：有的“木马”程序生成的文件很像系统自身文件，想通过伪装蒙混过关，如“acid battery v1.0木马”，它将注册表 “hkey－localmachine\software\microsoft\windows\currentversion\run”下的 explorer 键值改为explorer=“c:\windows\expiorer.exe”，“木马”程序与真正的explorer之间只有 “i”与“l”的差别。当然在注册表中还有很多地方都可以隐藏“木马”程序，如：“hkey－current－user\software\ microsoft\windows\currentversion\run”、“hkey－users\＊＊＊＊\software\ microsoft\windows\currentversion\run”的目录下都有可能，最好的办法就是在“hkey－local－ machine\software\microsoft\windows\currentversion\run”下找到“木马”程序的文件名，再在整个注册表中搜索即可。
④隐形于启动组中 ： c:\windows\start menu\programs\startup ，在注册表中的位置： hkey_current_user\software\microsoft\windows\currentversion\
explorer\shellfolders startup="c:\windows\start menu\programs\startup"( 一般来说机率比较少 )
⑤隐蔽在 winstart.bat 中 ：按照上面的逻辑理论，凡是利于木马能自动加载的地方，木马都喜欢呆。这不， winstart.bat 也是一个能自动被 windows 加载运行的文件，它多数情况下为应用程序及 windows 自动生成，在执行了 win.com 并加载了多数驱动程序之后开始执行（这一点可通过启动时按 f8 键再选逐步跟踪启动过程的启动方式可得知）。由于 autoexec.bat 的功能可以由 winstart.bat 代替完成，因此木马完全可以像在 autoexec.bat 中那样被加载运行，危险由此而来。
⑥在 autoexec.bat 和 config.sys 中加载运行
⑦通过文件关联启动 ：此类木马上文已讲，在这里不再
⑧比较新的木马启动技术就是利用 dll 嵌入技术，把木马嵌进正常使用程序进程里，手工很难清理。这种木马不使用进程，而使用windows系统中的另一种“可执行程序”——dll（应用程序扩展），这样我们就不能通过windows的进程管理器来发现这种木马了，但是我们可以借助第三方软件（windows优化大师的进程管理）来找到木马使用的dll文件，找到后到dos下删除。
知道了“木马”的工作原理，查杀“木马”就变得很容易，如果发现有“木马”存在，最安全也是最有效的方法就是马上将计算机与网络断开，防止黑客通过网络对你进行攻击。然后编辑win.ini文件，将[windows]下面，“run=“木马”程序”或“load=“木马”程序”更改为“run=”和 “load=”；编辑system.ini文件，将[boot]下面的“shell=‘木马’文件”，更改为：“shell= explorer.exe”；在注册表中，用regedit对注册表进行编辑，先在“hkey－local－machine\software\ microsoft\windows\currentversion\run”下找到“木马”程序的文件名，再在整个注册表中搜索并替换掉“木马”程序，有时候还需注意的是：有的“木马”程序并不是直接将“hkey－local－machine\software\microsoft\windows\ currentversion\run”下的“木马”键值删除就行了，因为有的“木马”如：bladerunner“木马”，如果你删除它，“木马”会立即自动加上，你需要的是记下“木马”的名字与目录，然后退回到dos下，找到此“木马”文件并删除掉。重新启动计算机，然后再到注册表中将所有“木马”文件的键值删除。至此，我们就大功告成了。
|
|
|
|
|
