当前位置：首页 > 破解接单 > 正文内容

广外女生木马病毒（广外女生木马百科）

hacker2年前 (2022-05-29)破解接单43

本文导读目录：

1、木马病毒?????????????

8、木马病毒的来源

木马病毒?????????????

我给你找来一些木马的运行端口

以下列出的端口仅为相关木马程序默认情况下开放的端口，请根据具体情况采取相应的操作：

707端口的关闭：

这个端口开放表示你可能感染了nachi蠕虫病毒，该蠕虫的清除方法如下：

1、停止服务名为WinS Client和Network Connections Sharing的两项服务

2、删除c:WinntSYSTEM32WinS目录下的DLLHOST.EXE和SVCHOST.EXE文件

3、编辑注册表，删除HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices项中名为RpcTftpd和RpcPatch的两个键值

1999端口的关闭：

这个端口是木马程序BackDoor的默认服务端口，该木马清除方法如下：

1、使用进程管理工具将notpa.exe进程结束

2、删除c:Windows目录下的notpa.exe程序

3、编辑注册表，删除HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersion

Run项中包含c:Windows otpa.exe /o=yes的键值

2001端口的关闭：

这个端口是木马程序黑洞2001的默认服务端口，该木马清除方法如下：

1、首先使用进程管理软件将进程Windows.exe杀掉

2、删除c:Winntsystem32目录下的Windows.exe和S_Server.exe文件

3、编辑注册表，删除HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersion

RunServices项中名为Windows的键值

4、将HKEY_CLASSES_ROOT和HKEY_LOCAL_MACHINESoftwareCLASSES项中的Winvxd项删除

5、修改HKEY_CLASSES_ROOT xtfileshellopencommand项中的c:Winntsystem32S_SERVER.EXE %1为C:WinNTNOTEPAD.EXE %1

6、修改HKEY_LOCAL_MACHINESoftwareCLASSES xtfileshellopencommand

项中的c:Winntsystem32S_SERVER.EXE %1键值改为

C:WinNTNOTEPAD.EXE %1

2023端口的关闭：

这个端口是木马程序Ripper的默认服务端口，该木马清除方法如下：

1、使用进程管理工具结束sysrunt.exe进程

2、删除c:Windows目录下的sysrunt.exe程序文件

3、编辑system.ini文件，将shell=explorer.exe sysrunt.exe 改为shell=explorer.exe后保存

4、重新启动系统

2583端口的关闭：

这个端口是木马程序Wincrash v2的默认服务端口，该木马清除方法如下：

1、编辑注册表，删除HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersion

Run项中的WinManager = "c:Windowsserver.exe"键值

2、编辑Win.ini文件，将run=c:Windowsserver.exe改为run=后保存退出

3、重新启动系统后删除C:Windowssystem SERVER.EXE

3389端口的关闭：

首先说明3389端口是Windows的远程管理终端所开的端口，它并不是一个木马程序，请先确定该服务是否是你自己开放的。如果不是必须的，请关闭该服务。

Win2000关闭的方法：

1、Win2000server 开始--程序--管理工具--服务里找到Terminal Services服务项，选中属性选项将启动类型改成手动，并停止该服务。

2、Win2000pro开始--设置--控制面板--管理工具--服务里找到Terminal Services服务项，选中属性选项将启动类型改成手动，并停止该服务。

Winxp关闭的方法：

在我的电脑上点右键选属性--远程，将里面的远程协助和远程桌面两个选项框里的勾去掉。

4444端口的关闭：

如果发现你的机器开放这个端口，可能表示你感染了msblast蠕虫，清除该蠕虫的方法如下：

1、使用进程管理工具结束msblast.exe的进程

2、编辑注册表，删除HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun

项中的"Windows auto update"="msblast.exe"键值

3、删除c:Winntsystem32目录下的msblast.exe文件

4899端口的关闭：

首先说明4899端口是一个远程控制软件（remote administrator)服务端监听的端口，他不能算是一个木马程序，但是具有远程控制功能，通常杀毒软件是无法查出它来的，请先确定该服务是否是你自己开放并且是必需的。如果不是请关闭它。

关闭4899端口：

1、请在开始--运行中输入cmd(98以下为command),然后 cd C:Winntsystem32(你的系统安装目录），输入r_server.exe /stop后按回车。

然后在输入r_server /uninstall /silence

2、到C:Winntsystem32(系统目录）下删除r_server.exe admdll.dll

raddrv.dll三个文件

5800，5900端口：

首先说明5800，5900端口是远程控制软件VNC的默认服务端口，但是VNC在修改过后会被用在某些蠕虫中。

请先确认VNC是否是你自己开放并且是必须的，如果不是请关闭

关闭的方法：

1、首先使用fport命令确定出监听在5800和5900端口的程序所在位置（通常会是c:Winntfontsexplorer.exe)

2、在任务管理器中杀掉相关的进程（注意有一个是系统本身正常的，请注意！如果错杀可以重新运行c:Winntexplorer.exe)

3、删除C:Winntfonts中的explorer.exe程序。

4、删除注册表HKEY_LOCAL_MACHINESoftwareMicrosoftWindows

CurrentVersionRun项中的Explorer键值。

5、重新启动机器。

6129端口的关闭：

首先说明6129端口是一个远程控制软件（dameware nt utilities)服务端监听得端口，他不是一个木马程序，但是具有远程控制功能，通常的杀毒软件是无法查出它来的。请先确定该服务是否是你自己安装并且是必需的，如果不是请关闭

关闭6129端口：

1、选择开始--设置--控制面板--管理工具--服务

找到DameWare Mini Remote Control项点击右键选择属性选项，将启动类型改成禁用后停止该服务。

2、到c:Winntsystem32(系统目录）下将DWRCS.EXE程序删除。

3、到注册表内将HKEY_LOCAL_MACHINESYSTEMControlSet001Services项中的DWRCS键值删除

6267端口的关闭：

6267端口是木马程序广外女生的默认服务端口，该木马删除方法如下：

1、启动到安全模式下，删除c:Winntsystem32下的DIAGFG.EXE文件

2、到c:Winnt目录下找到regedit.exe文件，将该文件的后缀名改为.com

3、选择开始--运行输入regedit.com进入注册表编辑页面

4、修改HKEY_CLASSES_ROOTexefileshellopencommand项的键值为

"%1" %*

5、删除HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows CurrentVersionRunServices项中名字为Diagnostic Configuration的键值

6、将c:Winnt下的regedit.com改回到regedit.exe

6670、6771端口的关闭：

这些端口是木马程序DeepThroat v1.0 - 3.1默认的服务端口，清除该木马的方法如下：

1、编辑注册表，删除HKEY_LOCAL_MACHINESOFTWAREMicroSoftWindowsCurrentVersion

Run项中的‘System32‘=c:Windowssystem32.exe键值（版本1.0）或‘SystemTray‘ = ‘Systray.exe‘ 键值（版本2.0-3.0)键值

3、重新启动机器后删除c:Windowssystem32.exe（版本1.0）或c:Windowssystemsystray.exe（版本2.0-3.0）

6939 端口的关闭：

这个端口是木马程序Indoctrination默认的服务端口，清除该木马的方法如下：

1、编辑注册表，删除

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows

CurrentVersionRun

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows

CurrentVersionRunServices

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows

CurrentVersionRunOnce

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows

CurrentVersionRunServicesOnce

四项中所有包含Msgsrv16 ="msgserv16.exe"的键值

2、重新启动机器后删除C:Windowssystem目录下的msgserv16.exe文件

6969端口的关闭：

这个端口是木马程序PRIORITY的默认服务端口，清除该木马的方法如下：

1、编辑注册表，删除HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersion

Run Services项中的"PServer"= C:WindowsSystemPServer.exe键值

2、重新启动系统后删除C:WindowsSystem目录下的PServer.exe文件

7306端口的关闭：

这个端口是木马程序网络精灵的默认服务端口，该木马删除方法如下：

1、你可以使用fport察看7306端口由哪个程序监听，记下程序名称和所在的路径

2、如果程序名为Netspy.exe，你可以在命令行方式下到该程序所在目录输入命令Netspy.exe /remove来删除木马

3、如果是其他名字的程序，请先在进程中结束该程序的进程，然后到相应目录下删除该程序。

4、编辑注册表，将HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows CurrentVersionRun项和HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows CurrentVersionRunServices项中与该程序有关的键值删除

7511端口的关闭：

7511是木马程序聪明基因的默认连接端口，该木马删除方法如下：

1、首先使用进程管理工具杀掉MBBManager.exe这个进程

2、删除c:Winnt（系统安装目录）中的MBBManager.exe和Explore32.exe程序文件，删除c:Winntsystem32目录下的editor.exe文件

3、编辑注册表，删除注册表HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersion

Run项中内容为C:WinNTMBBManager.exe键名为MainBroad BackManager的项。

4、修改注册表HKEY_CLASSES_ROOT xtfileshellopencommand中的c:Winntsystem32editor.exe %1改为c:WinntNOTEPAD.EXE %1

5、修改注册表HKEY_LOCAL_MACHINESoftwareCLASSEShlpfileshellopencommand

项中的C:WinNTexplore32.exe %1键值改为C:WinNTWinHLP32.EXE %1

7626端口的关闭：

7626是木马冰河的默认开放端口（这个端口可以改变），木马删除方法如下：

1、启动机器到安全模式下，编辑注册表，删除HKEY_LOCAL_MACHINEsoftwaremicrosoftWindows CurrentVersionRun

项中内容为c:Winntsystem32Kernel32.exe的键值

2、删除HKEY_LOCAL_MACHINEsoftwaremicrosoftWindows CurrentVersionRunservices项中内容为C:Windowssystem32Kernel32.exe的键值

3、修改HKEY_CLASSES_ROOT xtfileshellopencommand项下的C:Winntsystem32Sysexplr.exe %1为C:Winnt otepad.exe %1

4、到C:Windowssystem32下删除文件Kernel32.exe和Sysexplr.exe

8011端口的关闭：

8011端口是木马程序WAY2.4的默认服务端口，该木马删除方法如下：

1、首先使用进程管理工具杀掉msgsvc.exe的进程

2、到C:Windowssystem目录下删除msgsvc.exe文件

3、编辑注册表，删除HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersion

Run项中内容为C:WinDOWSSYSTEMmsgsvc.exe的键值

15=NETSTAT PORTsx!

21=Blade Runner, Doly Trojan, Fore, FTP trojan, Invisible FTP, Larva, ebEx, WinCrashlA

22=SSH PORTPFXP

23=Tiny Telnet Server:]nT

25=Shtrilitz Stealth, Terminator, WinPC, WinSpy, Kuang2 0.17A-0.30, Antigen, Email Password Sender, Haebu Coceda, Kuang2, ProMail trojan, TapiraswZ{\n

31=Agent 31, Hackers Paradise, Masters ParadiseW

41=DeepThroatAuwc\

53=DOMAIN PORT

58=DMSetupZ^.(a"

63=WHOIS PORTW

79=Firehotckerbi\

80=Executor 110=ProMail trojanK R*EK

90=DNS PORTo

101=HOSTNAME PORT!Dz`6d

110=POP3 PORTk3

121=JammerKillahI

137=NETBIOS Name Service PORTrB

138=NETBIOS Datagram Service PORTcI",

139=NETBIOS Session Service PORTm

194=IRC PORTBj

406=IMSP PORTi]_v

421=TCP Wrappers(L

456=Hackers ParadiseV%RWk

531=RasmindH

555=Ini-Killer, Phase Zero, Stealth Spy!7f

666=Attack FTP, Satanz Backdoorl9ulO

911=Dark Shadowp

999=DeepThroat-

1001=Silencer, WebEx+s8K=

1011=Doly Trojan-v*A

1012=Doly TrojanH=y}

1024=NetSpyy)

1045=RasminA'

1090=XtremeS

1095=RatP

1097=Ratq

1098=Rat8,p^#

1099=RatVx_+y

1170=Psyber Stream ServerL

1170=Voicep_

1234=Ultors Trojan=Qn]

1243=BackDoor-G, SubSeven*-pD

1245=VooDoo Doll|m^|q

1349=BO DLLnm?'0

1492=FTP99CMPYdWFu

1600=Shivka-Burka'dL

1807=SpySenderDP6

1080=SOCKS PORT$

1981=Shockrave(oRZR]

1999=BackDoor 1.00-1.03B

2001=Trojan CowKSiq.

2023=RipperHF

2115=Bugs:(k5

2140=Deep ThroatQqM:l

2140=The Invasor(

2565=Striker;{p

2583=WinCrash$

2801=Phineas Phucker}\)*

3024=WinCrash--

3129=Masters ParadiseAq/_Xn

3150=Deep Throat, The Invasor$UDD

3700=Portal of DoomPrd!

4092=WinCrash2c

4567=File Nailj~mR

4590=ICQTrojanz4$;

5000=Bubbel, Back Door Setup, Sockets de Troie$

5001=Back Door Setup, Sockets de TroieB(c

5321=Firehotcker$|

5400=Blade Runnerxg%tf

5401=Blade Runner?{ g

5402=Blade Runner*

5550=JAPAN Trojan-xtcp@AGxs0

5555=ServeMe{SS

5556=BO Facil#]6

5557=BO Facil.

5569=Robo-Hackx#R

5742=WinCrash;+e[6

6400=The ThingqhC

6666=IRC SERVER PORT~FW

6667=IRC CHAT PORToy[0U6

6670=DeepThroath@;

6711=SubSevenK5y~

6771=DeepThroatH6rPCb

6776=BackDoor-G, SubSevenhD^i

6939=Indoctrination =xM}2

6969=GateCrasherzgX

6969=Priority"B

7000=Remote Grab,0

7300=NetMonitorI5X[

7301=NetMonitorJk3

7306=NetMonitorG

7307=NetMonitor[

7308=NetMonitorU

7626=G_Client Wi

7789=Back Door Setup, ICKiller9\Ns{

9872=Portal of Dooma

9873=Portal of Doomvb_kO

9874=Portal of Doom C

9875=Portal of Doom0rO!5u

9989=iNi-Killer7[Kgt

10067=Portal of DoomF'Omq

10167=Portal of DoomX-v2RU

10520=Acid Shivers/

10607=ComaLKs}

11000=Senna Spyf/

11223=Progenic trojanFI{

12223=Hack?9 KeyLogger:b

12345=GabanBus, NetBus, Pie Bill Gates, X-billG%UQP

12346=GabanBus, NetBus, X-bill6:fX

12361=Whack-a-moler{/ho

12362=Whack-a-moleY

12631=WhackJob('\Q

13000=Senna SpyL|

16969=Priority6"

20001=MillenniumCF

20034=NetBus 2 Proo.9

21544=GirlFriendo

22222=ProsiakP_Dv

23456=Evil FTP, Ugly FTPp

26274=Delta Source:

29891=The Unexplained4$sp

30029=AOL Trojan 30100=NetSphere 1.27a, NetSphere 1.31-g%

30101=NetSphere 1.31, NetSphere 1.27a(]C

30102=NetSphere 1.27a, NetSphere 1.3114

30103=NetSphere 1.311Dqf

30303=Sockets de Troie=

31337=Baron Night, BO client, BO2, Bo Facil, BackFire, Back Orifice, DeepBOk-

31338=NetSpy DK 31338=Back Orifice, DeepBOO)Ssk

31339=NetSpy DKcr4}|L

31666=BOWhackx

31785=Hack Attacktw8+z

31787=Hack AttackR.A

31789=Hack Attack'3}f

31791=Hack Attacku%"80

33333=Prosiak}

34324=BigGluck, TN4

40412=The SpyF:m

40421=Agent 40421, Masters Paradise+ND

40422=Masters Paradise4:

40423=Masters ParadiseSC0J

40426=Masters Paradiseya

47262=Delta SourceY7C'Lw

50505=Sockets de TroieHec}

50766=Foreb

53001=Remote Windows ShutdownK6

54321=School Bus .69-1.11Z

60000=Deep Throat2s

61466=Telecommando] Y-

65000=DevilqHT8]

69123=ShitHeep rO

我不幸中了木马女生病毒，请问怎么杀

昨晚一位很要好的网友向我告急，说己中了广外女生木马怎么清除，这可是老家伙啦，想当年这马的功力竟然与冰河齐驱共架。而且要彻底清除的确也挺麻烦的！！花了一晚上时间终于帮朋友搞定了，总结了一下经验，来这也撒一把~``呵呵

由于广外女生木马启动方式跟一般的木马不太一样，他非常狡猾把启动项目设置在了注册表的另外位置内，而且自动创建了好几个启动文件关联，这也就是一般杀毒软件不能彻底查杀他的原因之一。

一，我先简单介绍一下木马喜欢藏身的地方。

木马基本上采用了windows系统启动时自动加载应用程序的方法，包括有win.ini、system.ini和注册表等。

1.潜伏在win.ini中

木马想要达到控制或监视计算机的目的，就必须要运行，在win.in文件中，[WINDOWS]下面“run=”和“load=”行是windows启动时要自动加载运行的程序项目，于是潜伏在win.in中是木马感觉比较惬意的地方。大家不妨打开win.in来看看，在他的[WINDOWS]字段中有启动命令“run=”和“load=”，在正常情况下等号后面应该是空白的，不能有任何程序！如果有程序，比方说：

run=c:\windows\diagcfg.exe

load=c:\windows\diagcfg.exe

这时你就要小心了，这个diagcfg就是广外女生木马！

2.潜伏在system.ini中

木马就象你肚子里的蛔虫，什么地方有空他就往什么地方钻。WINDOWS安装目录下的system.ini也是木马喜欢藏身的地方，打开这个文件，在该文件的[boot]字段中，正常情况下有一个shell=Explorer.exe 项（后面不跟任何程序），如果是shell=Explorer.exe diagcfg.exe ，那么恭喜你，你中彩了，后面的“diagcfg.exe”就是木马程序。现在有些木马还将explorer.exe文件与其他进程捆绑成一个文件，在这里是看不出他的破绽，更增加了他的隐蔽性。

另外，在system.ini中的[386Enh]字段中要注意检查“driver=路径/程序名”这里也有可能被木马所利用。还有system.ini中的[mic]、[drivers32]字段，这些字段是起到加载驱动程序的作用，也是添加木马的好场所，可要注意哦！

（哦——对了！考虑到都是抢惯肉了对杀马灭虫等还不太熟悉~```，在这里我把打开“system.ini”、“win.ini”的方法告诉你：开始/运行，输入msconfig/确定。运行windows自带的“系统配置实用程序”，自己在里面找吧。windows2000里没这个东西，你也可以在运行里输入：sysedit 来打开）

3.凡是能自动加载的地方，木马都喜欢安家。winstart.bat也是一个能自动被windows加载运行的文件，他多数情况为应用程序及windows自动生成，在执行了win.com并加载了多数驱动程序之后开始执行（这一点可通过启动时按F8健在选择逐步跟踪启动过程方式得知）。由于autoexec.bat的功能可以由winstart.bat代替完成，因此木马完全可以像在autoexec.bat中那样被加载运行，危险由此而来！

4.内置到注册表中

由于隐藏到以上方法木马很快就会被人查处，于是木马又打起了注册表的注意。注册表本身就非常庞大复杂，众多的启动项目及易掩人耳目。往往很多书中都会大惊小怪的告戒读者千万别动注册表，那很危险。我本人就很不同意这一观点！是非常不同意！！如果你学不会走路你就永远长不大！你怕摔交你就永远生长在婴儿期！！在windows系统有很多功能只有通过修改注册表才能调整。我建议在修改注册表之前先备份注册表或用ghost给整个系统备份，基本就可高枕无忧了。还是言归正传吧：

隐蔽性强的木马都喜欢在注册表里做文章，所以一定要检查以下键值：

HKEY_LOCAL_MACHINE\Software\microsoft\windows\CurrentVersion\Run

…………………………………………………………………………………\RunOnce

…………………………………………………………………………………\RunOnceEx

…………………………………………………………………………………\RunServices

…………………………………………………………………………………\RunServicesOnce

HKEY_CURRENT_USER\software\microsoft\windows\CurrentVersion\Run

…………………………………………………………………………………\RunOnce

…………………………………………………………………………………\RunOnceEx

…………………………………………………………………………………\RunServices

…………………………………………………………………………………\RunServicesOnce

HKEY_USERS\.Default\software\microsoft\windows\CurrentVersion\Run

…………………………………………………………………………………\RunOnce

…………………………………………………………………………………\RunOnceEx

…………………………………………………………………………………\RunServices

…………………………………………………………………………………\RunServicesOnce

上面这些主键下面的启动项目都可以成为木马的藏生之处，可要小心哦！如果是WINDOWS NT系统，那还的留心以下键值：

HKEY_LOCAL_MACHINE\software\SAM ，正常情况SAM里面应该是空的。

（我这里说的NT系统就是平常我们用的2000啦XP啦等..这些都属于NT平台）

二.手工清除广外女生方法。

1.广外女生木马是一个驻留、启动方法比较典型性的木马，我以win2000为例直接切入正体。因为我只用2000，别的系统也差不多的啦，自己参照一下吧~`````

如果一不小心运行了广外女生木马服务端会在C:\winnt\system32目录下增加一个文件“diagcfg.exe”，你也可以打开任务管理器查看，会发现其中有一个DIAGCFG。EXE的进程，这就是木马原身。但这时千万不能直接删除diagcfg.exe，否则系统就无法正常运行了。

再到注册表看看他到底藏在哪儿。（用注册表监察工具regsnap查出，在此不在累述过程，因为这不是本文重点）

HKEY_LOCAL_MACHINE\software\classes\exefile\shell\open\commandold value:string""%1" %*"

new value:string:"C:\winnt\system32\DIAGCFG.EXE "%1" %*"

这个键值由原来的"%1" %*被修改为了C:\winnt\system32\DIAGCFG.EXE "%1" %*,广外女生为什么要这样修改呢？有什么作用呢？

这就是运行可执行文件格式，被改为C:\winnt\system32\DIAGCFG.EXE "%1" %*之后每次再运行可执行文件时都要先执行C:\winnt\system32\DIAGCFG.EXE 这个程序。

他的启动方法与一般木马不太一样，一般木马是在HKEY_\software\microsoft\windows\CurrentVersion\Run键值里加载自己的启动项目，但这种方式被杀毒软件所熟知，所以很容易查杀。而广外女生就比较狡猾了，他把启动项目设在了另外的位置，这也就是杀毒软件不容易查杀他的原因之一。

2.好了，现在就开始手工清除他了，睁大眼睛看着！

注意：清除广外女生木马的步骤次序不能颠倒，否则无法彻底清楚此木马！！！

1/.开始/运行/“regedit”/确定。打开注册表。

HKEY_LOCAL_MACHINE\software\classes\exefile\shell\open\command\，先不要修改，因为如果这时修改注册表的话，diagcfg.exe进程仍然会立即把他改回来。

2/.打开“任务管理器”，找到diagcfg.exe进程，选中他按“结束进程”来关掉这个进程。注意：一定也不要先关进程再打开注册表，否则执行regedit.exe时又会启动diagcfg.exe。前功尽弃！

3/.把HKEY_LOCAL_MACHINE\software\classes\exefile\shell\open\command\的键值由原来的 C:\winnt\system32\DIAGCFG.EXE "%1" %*改为“%1” %* 。

4/.这时就可以删除C:\winnt\system32\目录下的diagcfg.exe了。切记不可先删除这个文件，否则，就无法在系统中运行任何可执行文件了。

最后说一下：广外女生木马后台监听端口为6267（默认），至于如何用fport查找广外女生木马端口和该木马如何查找snfw.exe、kav9x.exe的进程，也就是“天网防火墙”和“金山毒霸”的进程，然后将其杀掉。在此我就不多罗嗦了，因为本人很笨，一直以来都很少用过杀毒软件，最多也是帮别人装的时候用过一下。

中了冰河、广外女生应该怎么办?

这是很老的木马了，用下面的软件即可查杀

★ 推荐一： ewido （这是目前最有效最强大的反木马工具，玩马者的克星）

这是绿色版，网站里面也有安装版，随你选择

http://www.orsoon.com/Software/catalog184/2727.html

注册码： 6617-EBE8-D1FD-FEA2

"更新时会出现"用户名过期...."字样,别管它,再点击一次就行了,"

输入注册码后接着关掉自动更新，每次升级后得再次输入注册码"

下载这些软件时，不要直接点击，而是点击右键的“使用迅雷下载”

要下载时看清楚，下载地址是那个“本地连接1”，不是那个“电信用户下载”“

网通用户下载”别搞错了！！！！！切记！！《不然下载不到软件别怪我》！！！

！

资料来源：你说我爱你吗推荐指数：★★★★★

★ 推荐二：木马杀克 -- 终生免费使用免费升级！！（这一点很了不起，赞一

个！！！）

木马杀客是一款流行木马查杀的免费软件，它能够查杀目前网络上流行的各种木马

及病毒，它体积小，易操作，它的良好的查杀功能绝对令您满意，选择它，以后再

也不怕木马病毒骚扰！

安装版：

http://www.sf120.net/soft/setup.exe

http://dx.mmsk.cn/setup.exe

绿色版：

http://www.sf120.net/soft/setup.rar

http://dx.mmsk.cn/setup.rar

软件声明：

其他站点下载的均有可能是诈骗犯诈骗你注册而制作的版本,请自行辨别,我们对此

非我们站点或合作伙伴站点下载的软件概不负责。最近发现部分站点提供什么绿色

特别版本,在此声明我们只制作了安装版和绿色版本并没有制作什么绿色特别版本.

资料来源：mmsk.cn 官方网站。

(1)判断是否有“木马杀克”所能识别的木马 http://mmsk.cn/virus.htm

(2)升级病毒库的下载：http://www.mmsk.cn/ 官方网站别的地方的不要下载。注

意病毒库的升级。

(3)推荐指数：★★★★

~~~~~~~~~~~~~~~~

1楼的是广告不要去点。

中了广外女生病毒怎么办?

使用“Autorun病毒防御者”升级后，使用左侧“修复工具”里面的“系统修复工具”——“全选”——修复所选，即可修复被病毒限制的一切东西，要你可是试着使用这个软件杀一下毒，有一些作用！其次，采用“Windows清除助手”升级后，反复扫描清理木马程序！然后在使用杀毒软件全面查杀，如果杀毒完成以后发现某些系统文件丢失，可以使用安装盘，配合命令进行修复！开始——运行——输入 CMD——sfc /scannow 即可。

历史上最厉害的木马病毒有哪些

一、网络公牛。网络公牛又名Netbull，是国产木马，默认连接端口23444，最新版本V1.1。服务端程序newserver.exe运行后，会自动脱壳成checkdll.exe，位于C:\WINDOWS\SYSTEM下，下次开机checkdll.exe将自动运行，因此很隐蔽，危害很大。同时，服务端运行后会自动捆绑以下文件: win9x下：捆绑notepad.exe；write.exe，regedit.exe，winmine.exe，winhelp.exe。 winnt/2000下：（在2000下会出现文件改动报警，但也不能阻止以下文件的捆绑）notepad.exe，regedit.exe，reged32.exe，drwtsn32.exe；winmine.exe。服务端运行后还会捆绑开机时自动运行的第三方软件（如：realplay.exe、QQ、ICQ等）。在注册表中网络公牛也悄悄地扎下了根，如下： [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run] "CheckDll.exe"="C:\WINDOWS\SYSTEM\CheckDll.exe" [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices] "CheckDll.exe"="C:\WINDOWS\SYSTEM\CheckDll.exe" [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CheckDll.exe"="C:\WINDOWS\SYSTEM\CheckDll.exe" 在我看来，网络公牛是最讨厌的了。它没有采用文件关联功能，采用的是文件捆绑功能，和上面所列出的文件捆绑在一块，要清除非常困难！你可能要问：那么其它木马为什么不用这个功能？哈哈，其实采用捆绑方式的木马还有很多，并且这样做也有个缺点：容易暴露自己！只要是稍微有经验的用户，就会发现文件长度发生了变化，从而怀疑自己中了木马。清除方法： 1、删除网络公牛的自启动程序C:\WINDOWS\SYSTEM\CheckDll.exe。 2、把网络公牛在注册表中所建立的键值全部删除（上面所列出的那些键值全部删除）。 3、检查上面列出的文件，如果发现文件长度发生变化（大约增加了40K左右，可以通过与其它机子上的正常文件比较而知），就删除它们！然后点击“开始－附件－系统工具－系统信息－工具－系统文件检查器”，在弹出的对话框中选中“从安装软盘提取一个文件(E)”，在框中填入要提取的文件(前面你删除的文件)，点“确定”按钮，然后按屏幕提示将这些文件恢复即可。如果是开机时自动运行的第三方软件如：realplay.exe、QQ、ICQ等被捆绑上了，那就得把这些文件删除，再重新安装。二、网络神偷（Nethief）网络神偷又名Nethief，是第一个反弹端口型木马！什么叫“反弹端口”型木马呢？作者经过分析防火墙的特性后发现：大多数的防火墙对于由外面连入本机的连接往往会进行非常严格的过滤，但是对于由本机连出的连接却疏于防范（当然也有的防火墙两方面都很严格）。于是，与一般的木马相反，反弹端口型木马的服务端（被控制端）使用主动端口，客户端（控制端）使用被动端口，当要建立连接时，由客户端通过FTP主页空间告诉服务端：“现在开始连接我吧！”，并进入监听状态，服务端收到通知后，就会开始连接客户端。为了隐蔽起见，客户端的监听端口一般开在80，这样，即使用户使用端口扫描软件检查自己的端口，发现的也是类似“TCP 服务端的IP地址：1026 客户端的IP地址：80 ESTABLISHED”的情况，稍微疏忽一点你就会以为是自己在浏览网页。防火墙也会如此认为，我想大概没有哪个防火墙会不给用户向外连接80端口吧，嘿嘿。最新线报：目前国内木马高手正在大规模试验（使用）该木马，网络神偷已经开始流行！中木马者也日益增多，大家要小心哦！清除方法： 1、网络神偷会在注册表 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run下建立键值“internet”，其值为"internet.exe /s"，将键值删除。 2、删除其自启动程序C:\WINDOWS\SYSTEM\INTERNET.EXE。 OK，神偷完蛋了！三、WAY2.4（火凤凰、无赖小子） WAY2.4又称火凤凰、无赖小子，是国产木马程序，默认连接端口是8011。众多木马高手在介绍这个木马时都对其强大的注册表操控功能赞不绝口，也正因为如此它对我们的威胁就更大了。从我的试验情况来看，WAY2.4的注册表操作的确有特色，对受控端注册表的读写，就和本地注册表读写一样方便！这一点可比大家熟悉的冰河强多了，冰河的注册表操作没有这么直观--每次我都得一个字符、一个字符的敲击出来，WAY2.4在注册表操控方面可以说是木马老大。 WAY2.4服务端被运行后在C:\windows\system下生成msgsvc.exe文件，图标是文本文件的图标，文件大小235,008字节，文件修改时间1998年5月30日，看来它想冒充系统文件msgsvc32.exe。同时，WAY2.4在注册表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run下建立串值Msgtask，其键值为C:\WINDOWS\SYSTEM\msgsvc.exe。此时如果用进程管理工具查看，你会发现进程C:\windows\system\msgsvc.exe赫然在列！清除方法：要清除WAY，只要删除它在注册表中的键值，再删除C:\windows\system下的msgsvc.exe这个文件就可以了。要注意在Windows下直接删除msgsvc.exe是删不掉的，此时你可以用进程管理工具终止它的进程，然后再删除它。或者到Dos下删除msgsvc.exe也可。如果服务端已经和可执行文件捆绑在一起了，那就只有将那个可执行文件也删除了！注意：在删除前请做好备份。四、冰河冰河可以说是最有名的木马了，就连刚接触电脑的用户也听说过它。虽然许多杀毒软件可以查杀它，但国内仍有几十万中冰河的电脑存在！作为木马，冰河创造了最多人使用、最多人中弹的奇迹！现在网上又出现了许多的冰河变种程序，我们这里介绍的是其标准版，掌握了如何清除标准版，再来对付变种冰河就很容易了。冰河的服务器端程序为G-server.exe，客户端程序为G-client.exe，默认连接端口为7626。一旦运行G-server，那么该程序就在C:\Windows\system目录下生成Kernel32.exe和sysexplr.exe，并删除自身。Kernel32.exe在系统启动时自动加载，sysexplr.exe和TXT文件关联。即使你删除Kernel32.exe，但只要你打开TXT文件，sysexplr.exe就会被激活，它将再次生成Kernel32.exe，于是冰河又回来了！这就是冰河屡删不止的原因。清除方法： 1、删除C:\Windows\system下的Kernel32.exe和Sysexplr.exe文件。 2、冰河在注册表HKEY_LOCAL_MACHINE\software\microsoft\windows\ CurrentVersion\Run下扎根，键值为C:\windows\system\Kernel32.exe，删除它。 3、在注册表HKEY_LOCAL_MACHINE\software\microsoft\windows\CurrentVersion\Runservices下还有键值为C:\windows\system\Kernel32.exe的，也要删除。 4、最后，改注册表HKEY_CLASSES_ROOT\txtfile\shell\open\command下的默认值，由中木马后的C:\windows\system\Sysexplr.exe %1改为正常情况下的C:\windows\notepad.exe %1，即可恢复TXT文件关联功能。五、广外女生广外女生是广东外语外贸大学“广外女生”网络小组的处女作，是一种新出现的远程监控工具，破坏性很大，远程上传、下载、删除文件、修改注册表等自然不在话下。其可怕之处在于广外女生服务端被执行后，会自动检查进程中是否含有“金山毒霸”、“防火墙”、“iparmor”、“tcmonitor”、“实时监控”、“lockdown”、“kill”、“天网”等字样，如果发现就将该进程终止，也就是说使防火墙完全失去作用！该木马程序运行后，将会在系统的SYSTEM目录下生成一份自己的拷贝，名称为DIAGCFG.EXE，并关联.EXE文件的打开方式，如果贸然删掉了该文件，将会导致系统所有.EXE文件无法打开的问题。清除方法： 1、由于该木马程序运行时无法删除该文件，因此启动到纯DOS模式下，找到System目录下的DIAGFG.EXE，删除它。 2、由于DIAGCFG.EXE文件已经被删除了，因此在Windows环境下任何.exe文件都将无法运行。我们找到Windows目录中的注册表编辑器“Regedit.exe”，将它改名为“Regedit.com”。 3、回到Windows模式下，运行Windows目录下的Regedit.com程序（就是我们刚才改名的文件）。 4、找到HKEY_CLASSES_ROOT\exefile\shell\open\command，将其默认键值改成"%1" %*。 5、找到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ RunServices，删除其中名称为“Diagnostic Configuration”的键值。 6、关掉注册表编辑器，回到Windows目录，将“Regedit.com”改回“Regedit.exe”。 7、完成。六、聪明基因聪明基因也是国产木马，默认连接端口7511。服务端文件genueserver.exe，用的是HTM文件图标，如果你的系统设置为不显示文件扩展名，那么你就会以为这是个HTM文件，很容易上当哦。客户端文件genueclient.exe 。如果不小心运行了服务端文件genueserver.exe，它会装模作样的启动IE，让你进一步以为这是一个HTM文件，并且还在运行之后生成GENUESERVER.htm文件，还是用来迷惑你的！怎么样，是不是无所不用其极？哈哈，木马就是如此，骗你没商量！聪明基因是文件关联木马，服务端运行后会生成三个文件，分别是：C:\WINDOWS\MBBManager.exe和Explore32.exe以及C:\WINDOWS\system\editor.exe，这三个文件用的都是HTM文件图标，如果不注意，还真会以为它们是HTM文件呢！ Explore32.exe用来和HLP文件关联，MBBManager.exe用来在启动时加载运行，editor.exe用来和TXT文件关联，如果你发现并删除了MBBManager.exe，并不会真正清除了它。一旦你打开HLP文件或文本文件，Explore32.exe和editor.exe就被激活！它再次生成守护进程MBBManager.exe！想清除我？没那么容易！聪明基因最可怕之处是其永久隐藏远程主机驱动器的功能，如果控制端选择了这个功能，那么受控端可就惨了，想找回驱动器？嘿嘿，没那么容易！清除方法： 1.删除文件。删除C:\WINDOWS下的MBBManager.exe和Explore32.exe，再删除C:\WINDOWS\system下的editor.exe文件。如果服务端已经运行，那么就得用进程管理软件终止MBBManager.exe这个进程，然后在windows下将它删除。也可到纯DOS下删除MBBManager.exe，editor.exe在windows下可直接删除。 2.删除自启动文件。展开注册表到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run下，删除键值“MainBroad BackManager”，其值为C:\WINDOWS\MBBManager.exe，它每次在开机时就被加载运行，因此删之别手软！ 3.恢复TXT文件关联。聪明基因将注册表HKEY_CLASSES_ROOT\txtfile\shell\open\command下的默认键值由C:\WINDOWS\NOTEPAD.EXE %1改为C:\WINDOWS\system\editor.exe %1，因此要恢复成原值。同理，到注册表的HKEY_LOCAL_MACHINE\Software\CLASSES\txtfile\shell\open\command下，将此时的默认键值由C:\WINDOWS\system\editor.exe %1改为C:\WINDOWS\NOTEPAD.EXE %1，这样就将TXT文件关联恢复过来了。 4.恢复HLP文件关联。聪明基因将注册表HKEY_CLASSES_ROOT\hlpfile\shell\open\command下的默认键值改为C:\WINDOWS\explore32.exe %1，因此要恢复成原值：C:\WINDOWS\WINHLP32.EXE %1。同理，到注册表的HKEY_LOCAL_MACHINE\Software\CLASSES\hlpfile\shell\open\command下，将此时的默认键值由C:\WINDOWS\explore32.exe %1改为C:\WINDOWS\WINHLP32.EXE %1，这样就将HLP文件关联恢复过来了。好了，可以和聪明基因说“再见”了！七、黑洞2001 黑洞2001是国产木马程序，默认连接端口2001。黑洞的可怕之处在于它有强大的杀进程功能！也就是说控制端可以随意终止被控端的某个进程，如果这个进程是天网之类的防火墙，那么你的保护就全无了，黑客可以由此而长驱直入，在你的系统中肆意纵横。黑洞2001服务端被执行后，会在C:\windows\system下生成两个文件，一个是S_Server.exe，S_Server.exe的是服务端的直接复制，用的是文件夹的图标，一定要小心哦，这是个可执行文件，可不是文件夹哦；另一个是windows.exe，文件大小为255,488字节，用的是未定义类型的图标。黑洞2001是典型的文件关联木马，windows.exe文件在机器开机时立刻运行，并打开默认端口2001，S_Server.exe文件用来和TXT文件打开方式连起来（即关联）！当中木马者发现自己中了木马而在DOS下把windows.exe文件删除后，服务端就暂时被关闭，即木马暂时删除，当任何文本文件被运行时，隐蔽的S_Server.exe木马文件就又被击活了，于是它再次生成windows.exe文件，即木马又被中入！清除方法： 1)将HKEY_CLASSES_ROOT\txtfile\shell\open\command下的默认键值由S_SERVER.EXE %1改为C:\WINDOWS\NOTEPAD.EXE %1。 2)将HKEY_LOCAL_MACHINE\Software\CLASSES\txtfile\shell\open\command下的默认键值由S_SERVER.EXE %1改为C:\WINDOWS\NOTEPAD.EXE %1。 3)将HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\ RunServices\下的串值windows删除。 4)将HKEY_CLASSES_ROOT和HKEY_LOCAL_MACHINE\Software\CLASSES下的Winvxd主键删除。 5)到C:\WINDOWS\SYSTEM下，删除windows.exe和S_Server.exe这两个木马文件。要注意的是如果已经中了黑洞2001，那么windows.exe这个文件在windows环境下是无法直接删除的，这时我们可以在DOS方式下将它删除，或者用进程管理软件终止windows.exe这个进程，然后再将它删除。至此就安全的清除黑洞2001了。八、Netspy（网络精灵） Netspy又名网络精灵，是国产木马，最新版本为3.0，默认连接端口为7306。在该版本中新添加了注册表编辑功能和浏览器监控功能，客户端现在可以不用NetMonitor，通过IE或Navigate就可以进行远程监控了！其强大之处丝毫不逊色于冰河和BO2000！服务端程序被执行后，会在C:\Windows\system目录下生成netspy.exe文件。同时在注册表HKEY_LOCAL_MACHINE\software\microsoft\windows\CurrentVersion\Run\下建立键值C:\windows\system\netspy.exe，用于在系统启动时自动加载运行。清除方法： 1、重新启动机器并在出现Staring windows提示时，按F5键进入命令行状态。在C:\windows\system\目录下输入以下命令：del netspy.exe 回车！ 2、进入注册表HKEY_LOCAL_MACHINE\Software\microsoft\windows\CurrentVersion\ Run\，删除Netspy的键值即可安全清除Netspy。九、SubSeven SubSeven的功能比起大名鼎鼎的BO2K可以说有过之而无不及。最新版为2.2（默认连接端口27374），服务端只有54.5k！很容易被捆绑到其它软件而不被发现！最新版的金山毒霸等杀毒软件查不到它。服务器端程序server.exe，客户端程序subseven.exe。SubSeven服务端被执行后，变化多端，每次启动的进程名都会发生变化，因此查之很难。清除方法： 1、打开注册表Regedit，点击至：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run和RunService下，如果有加载文件，就删除右边的项目：加载器="C:\windows\system\***"。注：加载器和文件名是随意改变的。 2、打开win.ini文件，检查“run=”后有没有加上某个可执行文件名，如有则删除之。 3、打开system.ini文件，检查“shell=explorer.exe”后有没有跟某个文件，如有将它删除。 4、重新启动Windows，删除相对应的木马程序，一般在C:\windows\system下，在我在本机上做实验时发现该文件名为vqpbk.exe。