木马防护方法

防治方法

现在我们来说防范木马的方法之一，就是把

windows\system\mshta.exe文件改名，

改成什么自己随便 (xp和win2000是在system32下）

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet

Explorer\ActiveX Compatibility\ 下为Active Setup controls创建一个基于CLSID的新键值 {6E449683_C509_11CF_AAFA_00AA00 B6015C}，然后在新键值下创建一个REG_DWORD 类型的键Compatibility，并设定键值为0x00000400即可。

还有windows\command\debug.exe和windows\ftp.exe都给改个名字（或者删除）

一些最新流行的木马最有效果的防御~~

比如网络上流行的木马smss.exe这个是其中一种木马的主体潜伏

在 98/winme/xp c:\windows目录下 2000 c:\winnt .....

假如你中了这个木马首先我们用进程管理器结束正在运行的木马smss.exe 然后在C:\windows 或 c:\winnt\目录下创建一个假的

smss.exe 并设置为只读属性~ （2000/XP NTFS的磁盘格式的话那就更好

可以用“安全设置” 设置为读取）这样木马没了~ 以后也不会在感染了这个办法本人测试过对很多木马都很有效果的

经过这样的修改后，我现在专门找别人发的木马网址去测试，实验结果是上了大概20个木马网站，有大概15个瑞星会报警，另外5个瑞星没有反映，而我的机器没有添加出来新的EXE文件，也没有新的进程出现，只不过有些木马的残骸留在了IE的临时文件夹里，他们没有被执行起来，没有危险性，所以建议大家经常清理临时文件夹和IE

随着病毒编写技术的发展，木马程序对用户的威胁越来越大，尤其是一些木马程序采用了极其狡猾的手段来隐蔽自己，使普通用户很难在中毒后发觉。

防治木马的危害，应该采取以下措施：

第一，安装杀毒软件和个人防火墙，并及时升级。

第二，把个人防火墙设置好安全等级，防止未知程序向外传送数据。

第三，可以考虑使用安全性比较好的浏览器和电子邮件客户端工具。

第四，如果使用IE浏览器，应该安装卡卡安全助手或360安全浏览器，防止恶意网站在自己电脑上安装不明软件和浏览器插件，以免被木马趁机侵入。

远程控制的木马有：冰河，灰鸽子，上兴，PCshare，网络神偷，FLUX 等，现在通过线程插入技术的木马也有很多.现在的木马程序常常和和DLL 文件息息相关，被很多人称之为“DLL木马”。DLL木马的最高境界是线程

插入技术，线程插入技术指的是将自己的代码嵌入正在运行的进程中的技术。理论上说，在Windows中的每个进程都有自己的私有内存空间，别的进程是不允许对这个私有空间进行操作的，但是实际上，我们仍然可以利用种种方法进入并操作进程的私有内存，因此也就拥有了那个远程进程相当的权限。无论怎样，都是让木马的核心代码运行于别的进程的内存空间，这样不仅能很好地隐藏自己，也能更好地保护自己。

DLL不能独立运行，所以要想让木马跑起来，就需要一个EXE文件使用动态嵌入技术让DLL搭上其他正常进程的车，让被嵌入的进程调用这个DLL 的 DllMain函数，激发木马运行，最后启动木马的EXE结束运行，木马启动完毕。启动DLL木马的EXE是个重要角色，它被称为Loader， Loader

可以是多种多样的，Windows的Rundll32.exe也被一些DLL木马用来作为Loader，这种木马一般不带动态嵌入技术，它直接注入Rundll32进程运行，即使你杀了Rundll32进程，木马本体还是存在的。利用这种方法除了可以启动木马之外，不少应用程序也采用了这种启动方式，一个最常见的例子是“3721网络实名”。

“3721网络实名”就是通过Rundll32调用“网络实名”的DLL文件实现的。在一台安装了网络实名的计算机中运行注册表编辑器，依次展开“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\R un”，发现一个名为“CnsMin”的启动项，其键值为“Rundll32

C:\WINDOWS\Downlo~1\CnsMin.dll,Rundll32”，CnsMin.dll是网络实名的DLL文件，这样就通过 Rundll32命令实现了网络实名的功能。

简单防御方法

DLL木马的查杀比一般病毒和木马的查杀要更加困难，建议用户经常看看系统的启动项中有没有多出莫名其妙的项目，这是DLL木马Loader可能存在的场所之一。如果用户有一定的编程知识和分析能力，还可以在Loader 里查找DLL名称，或者从进程里看多挂接了什么陌生的DLL。对普通用户来说，最简单有效的方法还是用杀毒软件和防火墙来保护自己的计算机安全。现在有一些国外的防火墙软件会在DLL文件加载时提醒用户，比如Tiny、SSM等，这样我们就可以有效地防范恶意的DLL木马了。

禁用系统还原（Windows Me/XP）

如果您运行的是 Windows Me 或 Windows XP，建议您暂时关闭“系统还原”。此功能默认情况下是启用的，一旦计算机中的文件被破坏，Windows 可使用该功能将其还原。如果病毒、蠕虫或特洛伊木马感染了计算机，则系统还原功能会在该计算机上备份病毒、蠕虫或特洛伊木马。

Windows 禁止包括防病毒程序在内的外部程序修改系统还原。因此，防病毒程序或工具无法删除 System Restore 文件夹中的威胁。这样，系统还原就可能将受感染文件还原到计算机上，即使您已经清除了所有其他位置的受感染文件。

此外，病毒扫描可能还会检测到 System Restore 文件夹中的威胁，即使您已将该威胁删除。

注意：蠕虫移除干净后，请按照上述文章所述恢复系统还原的设置。

将计算机重启到安全模式或者 VGA 模式

关闭计算机，等待至少 30 秒钟后重新启动到安全模式或者 VGA 模式Windows 95/98/Me/2000/XP 用户：将计算机重启到安全模式。所有Windows 32-bit 作系统，除了Windows NT，可以被重启到安全模式。更多信息请参阅文档如何以安全模式启动计算机。

Windows NT 4 用户：将计算机重启到 VGA 模式。

扫描和删除受感染文件启动防病毒程序，并确保已将其配置为扫描所有文件。运行完整的系统扫描。如果检测到任何文件被 Download.Trojan 感染，请单击“删除”。如有必要，清除 Internet Explorer 历史和文件。如果该程序是在 Temporary Internet Files 文件夹中的压缩文件内检测到的，请执行以下步骤：

启动 Internet Explorer。单击“工具”>；“Internet 选项”。单击“常规”选项卡“Internet 临时文件”部分中，单击“删除文件”，然后在出现提示后单击“确定”。在“历史”部分，单击“清除历史”，然后在出现提示后单击“是”。

木马病毒专杀工具

木马是怎么盗号呢?

在你不知道的情况下，你输入密码，它自动记录你的键盘输入！发到指定的邮箱，在一个情况就是，输入密码明明是对的，但提示你说密码不正确，需要从新输入，这也可能是木马盗号！提醒后不要马上登陆，要先查毒，确保电脑没用病毒在登录！在一个就是灰鸽子，灰鸽子更新，有的是免杀的，你杀软都查不到！一旦点开它，你的电脑自动在他主人的机子上显示成，肉鸡上线！他就可以控制你的电脑了！随意操控！那就不好办了，只有下载一个金山急救箱！免杀的ESET都不好使！