104种清除木马的好方法 1

upring

很多新手对安全问题了解比较不多，计算机中了特洛伊木马不知道怎么样来清除。虽然现在有很多的清除特洛伊木马的软件，可以自动清除木马。但你不知道木马是怎样在计算机中运行的，如果你看了这篇文章之后，你就会明白一些木马的原理。
9 h* E' o6 ]: [4 q+ y. S
1. 冰河v1.1 v2.2
$ N6 p* D! L0 @# k. p6 M1 [# P$ k
, C* D) I3 ^/ t, k% J' {1 G冰河是国产最好的木马

/ W! S4 ]$ O: a9 ]* ]清除木马v1.1

打开注册表Regedit
6 b( ^& g: k1 V
点击目录至：

! ?& J7 ~# a0 |( j( VHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

* y2 T) T- V6 J# [* {" a查找以下的两个路径，并删除

; K/ a; j. E& I7 O" C:\windows\system\ kernel32.exe"

3 Z) I! D7 ]* S. q7 F3 y" C:\windows\system\ sysexplr.exe"
; q% N- M' ?; ]* n2 I1 d+ l
  g6 n4 r4 w" V# V关闭Regedit

重新启动到MSDOS方式

删除C:\windows\system\ kernel32.exe和C:\windows\system\ sysexplr.exe木马程序

& J, a4 h# X9 M重新启动。OK

清除木马v2.2

服务器程序、路径用户是可以随意定义，写入注册表的键名也可以自己定义。

因此，不能明确说明。
9 ?5 D+ r/ e2 W  i$ g  \
3 b7 Z, c. ~1 g5 E' J5 E你可以察看注册表，把可疑的文件路径删除。
0 ^& V) D1 j4 q- w  w
重新启动到MSDOS方式
$ z  m8 d* _+ J6 z0 D
删除于注册表相对应的木马程序
' {3 f  }0 ^1 ]$ R: s
* a+ _1 W- u5 |* K. k+ `6 ]2 D4 v重新启动Windows。OK
& k- t' G7 ^5 V# k2 ]
2. Acid Battery v1.0

清除木马的步骤：

打开注册表Regedit

0 A' ?( Y/ G- w8 @+ M/ W点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

删除右边的Explorer ="C:\WINDOWS\expiorer.exe"

, m9 P1 Q. ^' C. ^1 e关闭Regedit
, \0 w! T2 A; F! G+ p
* H" P- N  @6 B重新启动到MSDOS方式
5 Z- _$ f1 K9 D( b0 ~6 s5 V) K$ U
3 L; w$ U+ h: b# Q4 m6 L. m删除c:\windows\expiorer.exe木马程序

% L6 N( c/ |0 `+ n6 r. M注意：不要删除正确的ExpLorer.exe程序，它们之间只有i与L的差别。

重新启动。OK
/ Y% W  h1 h. K) g4 T; Q+ S
$ C2 X$ k3 I5 A1 W- a8 N+ b! g3. Acid Shiver v1.0 + 1.0Mod + lmacid
7 r2 L: y  o9 a  y9 A$ w
清除木马的步骤：

& B! `3 C' h4 K+ H9 W重新启动到MSDOS方式

删除C:\windows\MSGSVR16.EXE
# L7 ]+ p/ _- R( D
1 j6 M4 G. ^3 J' g5 x* O: K然后回到Windows系统

打开注册表Regedit
0 Q# i3 {- X% |
点击目录至：
- P# i2 b$ e# x3 a  L8 Q
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
- \6 c; o7 b& z  b/ \* B4 v2 n% x
删除右边的Explorer = "C:\WINDOWS\MSGSVR16.EXE"

# ^* G8 m* Z! o2 C5 rHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices

删除右边的Explorer = "C:\WINDOWS\MSGSVR16.EXE"

  k+ A- q2 Z1 n1 ]$ h  O! |1 w  N% l关闭Regedit

重新启动。OK
0 t- J8 H8 y; c& l4 N) l8 P
重新启动到MSDOS方式

删除C:\windows\wintour.exe然后回到Windows系统
: l! v5 v4 W! Q
打开注册表Regedit
8 N, F# k+ j& Y) W  I
点击目录至：
" F7 k+ ^  ^* }' x+ Y
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

删除右边的Wintour = "C:\WINDOWS\WINTOUR.EXE"

" `7 A3 I. s1 w* z. EHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
( _$ w4 t! R; u1 Z# h
- o7 n  k* A- w2 d7 N. _删除右边的Wintour = "C:\WINDOWS\WINTOUR.EXE"

& d$ `$ B6 Z( H0 j8 ~关闭Regedit
2 p3 B0 }' ]3 M/ G3 j, q9 b
重新启动。OK
1 f3 {9 J1 [1 |  I" p; l/ {$ _
, m: _, E; z0 R" U7 l8 r7 M% x/ o4. Ambush

清除木马的步骤：

  ?$ v2 t2 S' K% j( Q' k. v打开注册表Regedit

9 Y& Z3 w2 }$ Z/ y% d1 U% ]' n点击目录至：
5 v8 O2 s& M& Z0 d
) X3 H8 E# f# e5 f+ S: `4 W6 T) CHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
8 d8 N, y+ f1 x7 |! P3 m
删除右边的zka = "zcn32.exe"
/ z6 ]+ r# k; V  W
关闭Regedit

' \  _- a( x* v; m$ F重新启动到MSDOS方式

删除C:\Windows\ zcn32.exe
( `* q% W# g9 B6 h; K- y8 ~
重新启动。OK

5. AOL Trojan

清除木马的步骤：
) h  }  U) s* |
启动到MSDOS方式

) F: c8 z6 |5 S7 u- @删除C:\ command.exe（删除前取消文件的隐含属性）

注意：不要删除真的command.com文件。
- p2 }7 ^0 P8 a- v
删除C:\ americ~1.0\buddyl~1.exe（删除前取消文件的隐含属性）
9 n5 J! _8 }5 U+ D9 I* J0 N3 N! {
% ?& M" C/ I2 ^0 Y3 y8 ?+ v删除C:\ windows\system\norton~1\regist~1.exe（删除前取消文件的隐含属性）

打开WIN.INI文件
( w+ P' j7 y1 j1 c) U0 u' T
在[WINDOWS]下面"run="和"load="都加载者特洛伊木马程序的路径，必须清除它们：

run=
* Z$ a" z4 x4 }1 `# [
9 Q0 T* [: F& R/ U/ Y% uload=

* R# b; t" W, _# K4 M8 e9 b7 \4 a- O保存WIN.INI

还要改正注册表Regedit

: c( n0 \" p2 c, i1 t; t, i/ Z点击目录至：

% s$ d' B( D( {$ B5 aHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

删除右边的WinProfile = c:\command.exe
/ F8 E, I! Y, R
关闭Regedit，重新启动Windows。OK

0 u) ]( j" [1 [6 Y! Q$ y2 }& F6. Asylum v0.1, 0.1.1, 0.1.2, 0.1.3 + Mini 1.0, 1.1

清除木马的步骤：
7 k; O0 v) |9 l' F
* G# {& h6 T0 f2 {5 V注意：木马程序默认文件名是wincmp32.exe，然而程序可以随意改变文件名。
$ _; L- l& {- R( a0 W
' i+ N) x6 d+ \+ F我们可以根据木马修改的system.ini和win.ini两个文件来清除木马。
, x( s7 F+ V9 ]' \/ O
打开system.ini文件
) X7 N% g0 L, J" l
* P8 o! V; ?7 v+ ^- e1 m# x& y1 g, T$ u在[BOOT]下面有个"shell=文件名"。正确的文件名是explorer.exe
, r/ u. q' S3 Z) h
如果不是"explorer.exe"，那么那个文件就是木马程序，把它查找出来，删除。
! u5 ^! y3 b! f6 R* ^! [
# R8 T% o) _. b- Y4 Y- A/ r" u保存退出system.ini
" _( |( I* l$ i( ?% q
打开win.ini文件
: A  ?; a" Z6 c. P$ K9 ?# @
在[WINDOWS]下面有个run=
3 H: K- X$ |% F/ Z6 n3 }* c
- P5 n# `4 I/ x0 m如果你看到=后面有路径文件名，必须把它删除。

正确的应该是run=后面什么也没有。
3 c8 j3 k( |+ b3 ?4 O
=后面的路径文件名就是木马，把它查找出来，删除。

保存退出win.ini。

# Z4 m( u( {9 rOK

7. AttackFTP
1 P0 A8 V4 f2 G
清除木马的步骤：

打开win.ini文件
% T8 o) x2 r' J% u" I! c
& c* {2 L1 N! W% @在[WINDOWS]下面有load=wscan.exe

7 {4 @/ }8 r4 [7 f9 ^删除wscan.exe ，正确是load=
0 o3 V, l' Y0 g) r. s
9 g- O9 a& A' T: |; N; R( p2 o  }保存退出win.ini。
6 r6 m0 k- J: d( U, t
打开注册表Regedit
6 c$ n! N& {# S0 \1 P  K; E
点击目录至：
# G2 P# `1 h2 ^8 Z5 }
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

! V5 a7 _  J) b! W删除右边的Reminder="wscan.exe /s"
( o& I& U4 e0 v  C
关闭Regedit，重新启动到MSDOS系统中

' }4 v: n5 n; `0 T删除C:\windows\system\ wscan.exe

5 S. `) F. y- s. d' S( Z0 T) COK
& \: s( J! I: x5 {/ L5 x
8. Back Construction 1.0 - 2.5
+ n' J" W/ ^0 U0 D4 j& f
- u! \* k. o1 m5 L9 x/ ^5 u+ H0 f清除木马的步骤：
% Y/ j9 E7 I( ?
打开注册表Regedit

点击目录至：
) i& G1 V2 o: Q5 m) T. Z+ Z
0 j: x. Q, j8 H! Q" X2 mHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
% |1 x7 c8 @; |! S  i* _, h$ O
删除右边的"C:\WINDOWS\Cmctl32.exe"

9 {9 F- ?, ?  f, }1 L5 t. ^关闭Regedit，重新启动到MSDOS系统中
, P( `  x! B" F: U
/ S2 Q. m' m, |  g. H* U删除C:\WINDOWS\Cmctl32.exe
3 Y8 }8 @  S  {8 I5 p
OK

! \$ O8 w) A. e* M0 H% z, j9. BackDoor v2.00 - v2.03
5 e' {$ Q- B% A" N2 U
# Y9 h/ N7 t: z- H* _" J清除木马的步骤：

7 y4 z. `, }' ?1 R打开注册表Regedit
! z$ n  p* M; V3 [% w* U+ K! B( S
点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
2 \! F0 R4 s- C! I  J