104种清除木马的好方法 1

upring

很多新手对安全问题了解比较不多，计算机中了特洛伊木马不知道怎么样来清除。虽然现在有很多的清除特洛伊木马的软件，可以自动清除木马。但你不知道木马是怎样在计算机中运行的，如果你看了这篇文章之后，你就会明白一些木马的原理。

1. 冰河v1.1 v2.2
" [1 _1 H: F; C
冰河是国产最好的木马

% \7 {0 G& D0 E清除木马v1.1

打开注册表Regedit

点击目录至：
% Z3 a; b2 I! M; N; L
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

) n* o4 |% k7 z) \查找以下的两个路径，并删除
7 y) c+ B% i3 Y+ ?
" C:\windows\system\ kernel32.exe"
4 d& ?: J/ i$ r9 n% u
" C:\windows\system\ sysexplr.exe"

关闭Regedit
$ ~% v; M0 a4 M9 F
/ z3 V% w5 V- T$ Y* n9 R2 F. z7 ?重新启动到MSDOS方式
5 N- m8 m! L8 T1 n6 g2 s* K5 e
; I+ F& O& @" m' \6 w( Q% a删除C:\windows\system\ kernel32.exe和C:\windows\system\ sysexplr.exe木马程序
5 C  Q3 _* M" e( R
重新启动。OK

清除木马v2.2

服务器程序、路径用户是可以随意定义，写入注册表的键名也可以自己定义。

因此，不能明确说明。

" L/ o6 l- {. n; r+ I4 g( ^. ~你可以察看注册表，把可疑的文件路径删除。

重新启动到MSDOS方式
9 o. J3 O$ U2 i2 @: W# Q% |* B- m
3 m, w8 K6 F$ \, S* I+ P删除于注册表相对应的木马程序
! z0 T' j9 P8 ~% y" L9 M
重新启动Windows。OK

2. Acid Battery v1.0

清除木马的步骤：

/ c% J( E: @# r( Y5 y. r  K- c% _打开注册表Regedit
  y4 v& n0 H2 N: K; ^1 [
2 ?7 h5 i" W; }' ^6 a点击目录至：

8 O. G, T* B/ d) MHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

删除右边的Explorer ="C:\WINDOWS\expiorer.exe"

, o$ w4 K3 C6 l( ?7 ~* k0 ~. c% r4 q关闭Regedit
1 V) j, i. L7 C% `( P! {
+ d( X0 N- G, ?3 y# @$ {/ B+ w& \/ \" x重新启动到MSDOS方式

; T: g; w6 k/ Z. n2 C删除c:\windows\expiorer.exe木马程序
: Y8 ?$ {& P9 P0 q
注意：不要删除正确的ExpLorer.exe程序，它们之间只有i与L的差别。
( y' l* ]- p& [( H
重新启动。OK
- E. ^! ]( m5 k
3. Acid Shiver v1.0 + 1.0Mod + lmacid

清除木马的步骤：

( j3 M0 P: i: o* n+ a) b' r& j重新启动到MSDOS方式

2 o7 G! g3 R4 S9 f删除C:\windows\MSGSVR16.EXE
5 R+ M7 I, W3 U2 y; N0 Z
2 a' l  T7 j9 {* T& k然后回到Windows系统
/ {* B9 l% w  G* O  J9 {
, k) E! K: d  @% w" b: ?打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
. _5 r6 \- c( D9 y& h# q" ]
; t3 `( e& v+ O$ S- X. N; b* Q9 l删除右边的Explorer = "C:\WINDOWS\MSGSVR16.EXE"
% C- p9 g" W) A& U( @! z
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
" F# |3 i. Q* V/ S% n1 ?2 F( x3 _4 }
2 z- E$ f& v/ v9 p2 e0 A4 o8 z删除右边的Explorer = "C:\WINDOWS\MSGSVR16.EXE"

8 }( S, _( d, z. R! ~6 p关闭Regedit

重新启动。OK

+ f# X% P2 r8 U6 ^' l: R) p, A) |重新启动到MSDOS方式

删除C:\windows\wintour.exe然后回到Windows系统
8 `& y( P/ G. s5 i$ G1 u
打开注册表Regedit

点击目录至：

. y, P6 S4 P. ~( ]2 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
- Z- E" x' B8 W1 ^
删除右边的Wintour = "C:\WINDOWS\WINTOUR.EXE"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices

删除右边的Wintour = "C:\WINDOWS\WINTOUR.EXE"

; B# _8 H  U8 G8 J( k关闭Regedit

重新启动。OK
" z/ I) e  ]" j
4. Ambush
" L' [- E* {2 M5 m
  Q  n! a; Z7 e7 P清除木马的步骤：

打开注册表Regedit

& E. _0 n; F# _点击目录至：
& x5 ]' j  V3 c; T1 F
  V/ e+ s& B/ T" v3 NHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\

: d  V3 O! m+ U0 R$ }$ f删除右边的zka = "zcn32.exe"

+ K: X3 k5 D# Z5 _1 q0 ^关闭Regedit
; \2 j: T. J+ F) N* v4 {
8 l. @- {1 t% i: ?: w重新启动到MSDOS方式

3 N  ]6 H/ X3 A5 W- p" `9 x删除C:\Windows\ zcn32.exe
7 D- z1 X( W& ^9 [% b% k7 t/ v$ L2 G
重新启动。OK
& I) E! N" }' v$ `6 d5 V
5. AOL Trojan
3 H- n0 C7 `/ L! s7 Y9 p
清除木马的步骤：

启动到MSDOS方式
: T( T! y" {9 q9 r
删除C:\ command.exe（删除前取消文件的隐含属性）

; Z. ?7 X! x7 D, w) U% v9 x7 \注意：不要删除真的command.com文件。

( b" c$ l4 h' Q2 r# S3 f, q. q( y% ]删除C:\ americ~1.0\buddyl~1.exe（删除前取消文件的隐含属性）
( Q1 L/ G8 G5 {3 W  j1 E* o
删除C:\ windows\system\norton~1\regist~1.exe（删除前取消文件的隐含属性）
! y1 S! K" }  c" }8 K) [. C
打开WIN.INI文件
4 w4 V, F- W# K% [0 X4 |
. p9 Q' s2 v$ a/ l在[WINDOWS]下面"run="和"load="都加载者特洛伊木马程序的路径，必须清除它们：

run=
- V8 H) l  W3 Z8 ]" p; v8 o
load=

保存WIN.INI

还要改正注册表Regedit
; }# J! }& t! w# e" `
2 o2 _5 B( B9 ]: j% ]点击目录至：
* N( R$ y2 O) R7 r: R5 {* }6 [; y
, i) m8 w4 e0 T% C4 wHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

& K; _6 m+ x4 Z( h. W7 K删除右边的WinProfile = c:\command.exe

关闭Regedit，重新启动Windows。OK

6. Asylum v0.1, 0.1.1, 0.1.2, 0.1.3 + Mini 1.0, 1.1

5 x9 Q" H4 ~; E* u/ |0 \: q, c7 r清除木马的步骤：

/ e0 m% l# l; x! \注意：木马程序默认文件名是wincmp32.exe，然而程序可以随意改变文件名。
. H/ M4 }% d  M. [) w! ~" l
& B' E2 a  N. D* d: s8 ]我们可以根据木马修改的system.ini和win.ini两个文件来清除木马。

打开system.ini文件
1 D2 w8 E' f/ d: y/ w* o& `
在[BOOT]下面有个"shell=文件名"。正确的文件名是explorer.exe
7 f7 e' Q. H- v8 s
, t2 y, g" }) c3 e; B) x如果不是"explorer.exe"，那么那个文件就是木马程序，把它查找出来，删除。

/ m% }! `" o+ Q* H4 Z' W0 {保存退出system.ini
$ }4 K- c( L! y" h' Q7 @- U
打开win.ini文件
% B/ E2 q" b5 e. R. D5 v' V" U- n' d
在[WINDOWS]下面有个run=

) W1 m; o. O2 Y6 E( M4 e9 f9 L3 J4 F如果你看到=后面有路径文件名，必须把它删除。
* M" g1 J/ |/ p7 ^- [# O( J- e  H
0 U- S6 [/ u6 p7 ]1 P正确的应该是run=后面什么也没有。

8 {8 w$ L0 U3 e) n+ k=后面的路径文件名就是木马，把它查找出来，删除。

保存退出win.ini。

, T( ]+ y9 R5 c/ F* f9 B& pOK

7. AttackFTP

, a! }4 ?7 K3 \. q2 q# \5 A清除木马的步骤：
+ m6 R4 j6 Z8 ^9 f
打开win.ini文件

在[WINDOWS]下面有load=wscan.exe

  U& z# a% t$ ~) t8 t9 _7 D删除wscan.exe ，正确是load=

保存退出win.ini。
  S8 `9 J8 S$ K8 J7 c
打开注册表Regedit

点击目录至：
% @% h2 M. [  w0 o
( ?1 i% l) h5 r* Y! hHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

1 A1 a' W' j( _8 A, I删除右边的Reminder="wscan.exe /s"
1 q. s+ ]" z- W5 ?& G7 @
关闭Regedit，重新启动到MSDOS系统中

$ Z8 e3 a4 R8 F5 f3 l* `' B+ H删除C:\windows\system\ wscan.exe
6 A. m5 X) C1 I8 T
OK
1 F. w2 Z; b9 Z! o: C$ s( }' i2 r
/ g/ J/ M1 G+ v) b$ z8. Back Construction 1.0 - 2.5

6 _9 e. ?$ M9 S5 n' k8 |+ Q' c清除木马的步骤：
; `6 c7 F+ ^( c0 p; l
打开注册表Regedit

点击目录至：
- e) v+ x+ y9 }- ^8 n) L
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
* O. [7 g6 b0 U  k1 z% d
9 {6 d" F/ ]9 ^/ D# m删除右边的"C:\WINDOWS\Cmctl32.exe"
7 r* k1 n5 `0 v
关闭Regedit，重新启动到MSDOS系统中

' {* r# ?6 |0 t: w' H) y删除C:\WINDOWS\Cmctl32.exe
- c+ D; N( A: b. _* p. {, s# o
OK
/ r$ x1 J' j. E) R: h$ M3 C/ h
7 A4 y& T+ V2 M) I6 A% ^9. BackDoor v2.00 - v2.03

清除木马的步骤：

4 Y! O& m% R6 \# X打开注册表Regedit
6 w1 r; j% a) `$ ^. {
( t8 L/ q- z! X( P点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run