TWed2k - 軟體求助討論區 - [求助]開機時出現警訊

sueice
銀驢友〔中級〕

．積分： 698
．文章： 895
．收花： 6308 支
．送花： 904 支
．比例： 0.14
．在線： 2867 小時
．瀏覽： 17992 頁
．註冊： 7222 天
．失蹤： 4408 天

#1 : 2006-11-1 03:31 AM 全部回覆	送花 (1) 送出中...

黑客常用的DLL木馬「上興遠程控制木馬」
木馬運行後，該DLL檔案將被注入到下面「宿主進程名」中指定的系統進程中，預設為「explorer.exe」。
最後點擊生成按鈕，即可生成木馬檔案「rejoice_06.exe」。
http://www.jiangning.com.cn/board/d153074.htm
以清除「上興遠控木馬」為例，從殺毒軟體的報警提示中已經知道木馬DLL檔案名為「rejoice.dll」。
因此，就可以通過一些查看進程調用DLL檔案的進程管理工具，找到該檔案的宿主進程，此類工具很多，比如大名鼎鼎的ICESword。
運行IceSword後，點擊左側邊欄「查看→進程」，就可以在其右側窗口中看到所有進程列表。右鍵點擊某進程，在彈出選單中選擇「模塊信息」命令，即可看到該進程調用的所有DLL檔案。
提示：DLL注入式木馬通常是將DLL檔案，加載到explorer.exe、svchost.exe、winlogon.exe、iexplore.exe等系統進程中的。因此在查找DLL宿主檔案時，可以關閉其它無關的程式，然後依次檢查這幾個進程中的DLL檔案。
不過一個一個的檢查系統進程，確實有些麻煩，如何才能快速的定位木馬的宿主進程呢？可以使用一款名為「procexp」的進程管理工具。
運行procexp後，在程式界面中間顯示的是樹狀進程關係列表，下方是每個進程的詳細信息。
點擊選單「Find→Find DLL」命令，打開DLL檔案查找對話框，在「DLL Substring」中輸入要查找的關鍵詞，這裡輸入剛才殺毒軟體掃瞄出的DLL檔案名「rejoice.dll」。
然後點擊「Search」按鈕，在下方的列表中就可以看到該DLL檔案是被哪個進程調用的了。

[sueice 在 2006-11-1 03:36 AM 作了最後編輯]

[如果你喜歡本文章，就按本文章之鮮花～送花給作者吧，你的支持就是別人的動力來源]

本文連接

快速回覆