其他答案

2005-08-09 23:08:49

•   这是灰鸽子。
  参考“☆iAsk一号★”的回答:
  由于正常模式下灰鸽子会隐藏自身，因此检测灰鸽子的操作一定要在安全模式下进行。进入安全模式的方法是：启动计算机，在系统进入Windows启动画面前，按下F8键(或者在启动计算机时按住Ctrl键不放)，在出现的启动选项菜单中，选择“Safe Mode”或“安全模式”。
    
  1、由于灰鸽子的文件本身具有隐藏属性，因此要设置Windows显示所有文件。打开“我的电脑”，选择菜单“工具”—》“文件夹选项”，点击“查看”，取消“隐藏受保护的操作系统文件”前的对勾，并在“隐藏文件和文件夹”项中选择“显示所有文件和文件夹”，然后点击“确定”。
    
  2、打开Windows的“搜索文件”，文件名称输入“_hook。dll”，搜索位置选择Windows的安装目录（默认98/xp为C:\windows，2k/NT为C:\Winnt）。
  3、经过搜索，我们在Windows目录（不包含子目录）下发现了一个名为Game_Hook。
    dll的文件。
  4、根据灰鸽子原理分析我们知道，如果Game_Hook。DLL是灰鸽子的文件，则在操作系统安装目录下还会有Game。exe和Game。dll文件。打开Windows目录，果然有这两个文件，同时还有一个用于记录键盘操作的GameKey。
    dll文件。
  经过这几步操作我们基本就可以确定这些文件是灰鸽子木马了，下面就可以进行手动清除。另外，如果你发现了瑞星杀毒软件查不到的灰鸽子变种，也欢迎登陆瑞星新病毒上报网站（ ）上传样本。
  灰鸽子的手工清除
  经过上面的分析，清除灰鸽子就很容易了。
    清除灰鸽子仍然要在安全模式下操作，主要有两步：1、清除灰鸽子的服务；2删除灰鸽子程序文件。
  注意：为防止误操作，清除前一定要做好备份。
  一、清除灰鸽子的服务
  2000／XP系统：
  1、打开注册表编辑器（点击“开始”－》“运行”，输入“Regedit。
    exe”，确定。），打开 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services注册表项。
  2、点击菜单“编辑”－》“查找”，“查找目标”输入“game。exe”，点击确定，我们就可以找到灰鸽子的服务项（此例为Game_Server）。
    
  3、删除整个Game_Server项。
  98／me系统：
  在9X 下，灰鸽子启动项只有一个，因此清除更为简单。运行注册表编辑器，打开HKEY_CURRENT_USER\Software\Microsoft\ Windows\CurrentVersion\Run项，我们立即看到名为Game。
    exe的一项，将Game。exe项删除即可。
  二、删除灰鸽子程序文件
  删除灰鸽子程序文件非常简单，只需要在安全模式下删除Windows目录下的Game。exe、Game。dll、Game_Hook。dll以及Gamekey。dll文件，然后重新启动计算机。
    至此，灰鸽子已经被清除干净。
  参考“黑客liu”的回答:
  到 
  手工清除:(仅参考,因为变种较多)
  1。删除灰鸽子服务端程序
  由于在Windows环境下灰鸽子的服务端是处于运行状态，无法直接删除，所以必须进入纯DOS状态删除，删除命令如下：
  cd c:\windows\system
  attrib-r-s-h kernel32。
    exe
  attrib-r-s-h notepod。exe
  del kernel32。exe
  del notepod。exe
  还要注意，如果灰鸽子服务端设置了exe 文件关联的话，将会导致注册表编辑器无法运行，所以在删除服务端之前，先将注册表编辑器重命名，以便以后对注册表进行更改，操作命令如下：
  ren c:\windows\regedit。
    exe  
  2。删除注册表中启动键
  由于我们改了注册表编辑器名称，所以要打开注册表编辑器应为：打开”开始“菜单”中的“运行”然后输入“ "。启动注册表编辑器后，依次打开“HKEY—LOCAL—MACHINE\Software\Microsoft\windows\Current Version\Run"，在右边的窗口中删除名称为”Loadwindows"的键值就可以了。
    
  --------------------------------------------------------------------
  清除文件关联
  灰鸽子可以设置4种文件关联：exe关联，txt关联，ini关联，inf关联，其中exe关联可以和其他三种类型同时存在。
    
  1。解除exe关联：
  启动注册表编辑器，然后找到HKEY—CLASSES—ROOT\Exefile\shell\Open\Cpmmand主键，查看起默认的键值是不是系统默认的“%1%*”，如果被修改，则改成默认值。
  2。解除txt关联：
  打开注册表的HKEY—CLASSES—ROOT\txtfile\shell\open\command主键，其默认值的正常参数应该为“C：\windows\notepad。
    exe%1",如果不是，请修改为正确数据。
  3。解除ini关联：
  INI文件的的关联配置保存在注册表HKEY—CLASSES—ROOT\Inffile\shell\Open\Cpmmand主键下，其默值数据也是“C：\windows\notepad。
    exe%1”，如果被修改的话，也要改回来。
  4解除inf关联：
  打开注册表的HKEY—CLASSES—ROOT\Inffile\shell\Open\Cpmmand主键，和ini,txt文件关联一样，其默认值也是“C：\windows\notepad。
    exe%1”，如果被修改，也要立刻改回正确的数据。

  全部
  

  偶***

  2005-08-09 23:08:49

  58 8 评论

  分享
  提交评论