登錄檔電腦病毒清除
木馬藏身地及通用排查技術登錄檔修改之電腦病毒清除，下面由小編給你做出詳細的介紹!希望對你有幫助!歡迎回訪網站，謝謝!
：
木馬取自古希臘神話的特洛伊木馬記，是一種基於遠端控制的黑客工具，具有很強的隱藏性和危害性。為了達到控制服務端主機的目的，木馬往往要採用各種手段達到啟用自己，載入執行的目的。這裡，我們簡要的介紹一下木馬通用的啟用方式，它們的藏身地，並通過一些例項來讓您體會一下手動清除木馬的方法。
●在Win.ini中啟動木馬：
在Win.ini的[Windows]小節中有啟動命令“load=”和“run=”，在一般的情況下“=”後面是空的，如果後面跟有程式，比如：
run=C:Windows ile.exe
load=C:Windows ile.exe
則這個file.exe很有可能就是木馬程式。
●在Windows XP登錄檔中修改檔案關聯：
修改登錄檔中的檔案關聯是木馬常用的手段，如何修改的方法已在本系列的前幾文中有過闡述。舉個例子，在正常情況下txt檔案的開啟方式為Notepad.exe記事本，但一旦感染了檔案關聯木馬，則txt檔案就變成條用木馬程式打開了。如著名的國產木馬“冰河”，就是將登錄檔HKEY_CLASSES_ROOT xtfileshellopencommand子鍵分支下的鍵值項“預設”的鍵值“C:Windows otepad.exe %1”修改為“C:WindowsSystemSysexplr.exe”，這樣，當你雙擊一個txt檔案時，原本應該用記事本開啟的檔案，現在就成了啟動木馬程式了。當然，不僅是txt 檔案，其它型別的檔案，如htm、exe、zip、com等檔案也都是木馬程式的目標，要小心。
對這類木馬程式，只能檢查登錄檔中的HKEY_CLASSES_ROOT中的檔案型別shellopencommand子鍵分支，檢視其值是否正常。
●在Windows XP系統中捆綁木馬檔案：
實現這種觸發條件首先要控制端和服務端已通過木馬建立連線，控制端使用者使用工具軟體將木馬檔案和某一應用程式捆綁在一起，上傳到服務端覆蓋原有檔案，這樣即使木馬被刪除了，只要執行捆綁了木馬的應用程式，木馬又會被重新安裝了。如果捆綁在系統檔案上，則每次Windows XP啟動都會啟動木馬。
●在System.ini中啟動木馬：
System.ini中的[boot]小節的shell=Explorer.exe是木馬喜歡的藏身之所，木馬通常的做法是將該語句變為這樣：
Shell=Explorer.exe file.exe
這裡的file.exe就是木馬服務端程式。
另外，在[386enh]小節，要注意檢查在此小節的“driver=path程式名”，因為也有可能被木馬利用。[mic]、[drivers]、[drivers32]這三個小節也是要載入驅動程式的，所以也是新增木馬的理想場所。
●利用Windows XP登錄檔載入執行：
登錄檔中的以下位置是木馬偏愛的藏身之所：
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersion子鍵分支下所有以“run”開頭的鍵值項資料。
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersion子鍵分支下所有以“run”開頭的鍵值項資料。
HKEY_USERS.DEFAULTSoftwareMicrosoftWindowsCurrentVersion子鍵分支下所有以“run”開頭的鍵值項資料。
●在Autoexec.bat和Config.sys中載入執行木馬：
要建立控制端與服務端的連線，將已添置木馬啟動命令的同名檔案上傳到服務端覆蓋著兩個檔案才能以這種方式啟動木馬。不過不是很隱蔽，所以這種方式並不多見，但也不能掉以輕心。
●在Winstart.bat中啟動木馬：
Winstart.bat也是一個能自動被Windows XP載入執行的檔案，多數時由應用程式及Windows自動生成，在執行了Win或者Kernel386.exe，並載入了多數驅動程式之後開始執行這可以通過在啟動時按F8選擇逐步跟蹤啟動過程的啟動方式得知。由於Autoexec.bat的功能可以由 Winstart.bat代替完成，因此木馬完全可以像在Autoexec.bat中那樣被載入執行。
木馬病毒的通用排查技術
現在，我們已經知道了木馬的藏身之處，查殺木馬自然就容易了。如果您發現計算機已經中了木馬，最安全最有效的方法就是馬上與網路段開，防止計算機駭客通過網路對您進行攻擊，執行如下步驟：
l 編輯Win.ini檔案，將[Windows]小節下面的“run=木馬程式”或“load=木馬程式”更改為“run=”，“load=”。
l 編輯System.ini檔案，將[boot]小節下面的“shell=木馬檔案”更改為“shell=Explorer.exe”。
l 在Windows XP登錄檔中進行修改：先在HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun子鍵分支下找到木馬程式的檔名刪除，並在整個登錄檔中查詢木馬程式，將其刪除或替換。但可惡的是，並不是所有的木馬程式都只要刪除就能萬事大吉的，有的木馬程式被刪除後會立即自動添上，這時，您需要記下木馬的位置，即它的路徑和檔名，然後退到DOS系統下，找到這個檔案並刪除。重啟計算機，再次回到登錄檔中，將所有的木馬檔案的鍵值項刪除。
計算機木馬清除例項
●冰河v1.1的登錄檔清除例項：
在登錄檔編輯器中開啟HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun子鍵分支，在右邊的視窗中找到並刪除C:WINNTSystem32Kernel32.exe，C:WINNTSystem32sysexplr.exe，再重新啟動到MS-DOS方式後，刪除C:WINNTSystem32Kernel32.exe和C:WINNTSystem32sysexplr.exe木馬程式。
AOL Trojan的登錄檔清除例項：
首先到MS-DOS方式下，刪除以下檔案：
C:command.exe
C:Americ~1.0uddyl~1.exe
C:Windowssystem orton~1 egist~1.exe
開啟Win.ini檔案，在[Windows]小節下面將特洛伊木馬程式的路徑清除掉，改為“run=”，“load=”，儲存Win.ini檔案。
然後開啟Windows XP登錄檔，開啟HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun子鍵分支，將右表視窗中的鍵值項“WinProfile=C:Command.exe”刪除，關閉登錄檔，重啟計算機即可。
●Doly v1.1-v1.5的登錄檔例項v1.6和v1.7類似：
首先進入MS-DOS方式，刪除以下三個木馬程式，但v1.35版還多一個木馬檔案Mdm.exe。
C:WindowsSystem esk.sys
C:WindwosStart MenuProgramsStartupmstesk.exe
C:Program FilesMStesk.exe
C:Program FilesMdm.exe
重新啟動Windows，開啟Win.ini檔案，將[windows]小節下的“load=C:WindowsSystem esk.exe”刪除，即改為“load=”，儲存Win.ini檔案。
然後，在登錄檔中開啟HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionRun子鍵分支，將右邊的視窗中的鍵值項“Mstesk=”C:Program FilesMStesk.exe””刪除，開啟HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionss子鍵分支，將其下的全部內容都刪除全為木馬引數選擇和設定的伺服器;再開啟HKEY_USERS.DEFAULTSOFTWAREMicrosoftWindowsCurrentVersionRun子鍵分支，將右邊的視窗中的鍵值項“Mstesk=”C:Program FilesMStesk.exe””刪除。
關閉登錄檔，開啟C:Autoexec.bat檔案，刪除如下兩行：
@echo off copy c:sys.lon C:WindowsStart MenuStartup Items
Del c:win.reg
儲存並關閉Autoexec.exe檔案。
●IndocTrination v0.1-v0.11登錄檔清除例項：
在登錄檔中開啟如下子鍵：
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunServices
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunOnce
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunServices Once
將這些子鍵右邊視窗中的如下鍵值項刪除：
Msgsrv16=“Msgsrv16”，關閉登錄檔後重啟Windows，刪除C:WindowsSystemmsgserv16.exe檔案。
●SubSeven-IntrodUCtion v1.8登錄檔清除例項：
開啟HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun子鍵分支和HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunServices子鍵分支，在右視窗中查詢到含有“C:WindowsSystem.ini”的鍵值項資料，將它刪除。
開啟Win.ini檔案，將其中的“run=kernel16.dl”改為“run=”，儲存並關閉Win.ini檔案。
開啟System.ini檔案，將其中的“shell=explorer.exe kernel32.dl”改為“shell=explorer.exe”，儲存並關閉System.ini檔案，重啟Windows，刪除C:Windowskernel16.dl檔案。
●廣外女生登錄檔清除例項：
退到MS-DOS模式下，刪除System目錄下的diagcfg.exe。由於該病毒關聯的是exe檔案，因此，現在刪除它後Windows環境下任何exe檔案都將無法執行。我們先找到Windows目錄下的登錄檔編輯器“Regedit.exe”，將其改名為“Regedit”。
回到Windows模式下，執行“Regedit”。開啟HKEY_CLASSES_ROOTexefileshellopencommand，將其預設值改為“%1 %*”，刪除HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunServices下的鍵值項“Diagnostic Configuration”。關閉登錄檔。
回到Windows目錄，將“Regedit”改回“Regedit.exe”。
●Netbull網路公牛登錄檔清除例項：
該病毒在Windows 9X下：捆綁notepad.exe、writre.exe、regedit.exe、winmine.exe和winhelp.exe。在Windows NT/2000下捆綁：notepad.exe、regedit.exe、regedt32.exe、drwtsn32.exe和winmine.exe。開啟：
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun
HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunServices
HKEY_USERS.DEFAULTSoftwareMicrosoftWindowsCurrentVersionRun
在這些子鍵下刪除鍵值項“CheckDll.exe”=“C:WindowsSystemCheckDll..exe”。
另外，要察看自己的機器是否中了該病毒，可以察看上面列出的檔案，如果發現該檔案長度發生變化大約增加了40K左右，就刪除它們。然後點選[開始]|[附件]|[系統工具]|[系統檔案檢查器]，在彈出的對話方塊中選擇“從安裝軟盤提取一個檔案”，在框中填入要提取的檔案前面你刪除的，點“確定”，按螢幕提示將這些檔案恢復即可。如果是開機時自動執行的第三方軟體，如realplay.exe、QQ等被捆綁上了，那就必須把這些檔案刪除後重新安裝了。
●聰明基因登錄檔清除例項：
刪除C:Windows下的MBBManager.exe和Explore32.exe，再刪除C:WindowsSystem下的editor.exe檔案。如果服務端已經執行，則要先用程序管理軟體終止MBBManager.exe這個程序後才能將它刪除。
開啟HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun，刪除鍵值項“MainBroad BackManager”。將HKEY_CLASSES_ROOT xtfileshellopencommand的預設值改為“C:WindowsNotepad.exe %1”，恢復txt檔案關聯。將HKEY_CLASSES_ROOThlpfileshellopencommand的預設值改為“C:Windowswinhlp32.exe %1”，恢復hlp檔案關聯。
以上是一些比較典型的手動清除特洛伊木馬操作步驟，希望大家能在動手的過程中得到啟發，慢慢摸索木馬的藏身和啟用規律，以達到以不變應萬變的境地。祝大家好運：
”人還：