网站首页  维修网点  QQ专家在线  电脑保修  工具软件   在线查毒   电脑问题搜索  官方论坛  站点地图  友情链接
 XML   RSS 2.0 
联盟点：北京   上海   深圳   广州   南京   杭州   成都   西安   厦门   武汉   重庆   天津   更多城市
加入收藏夹   设为主页

  认识电脑  

  电脑优化  

  电脑保养  

  故障症状  

  学习维修  

  维修资料  

  病毒门诊  

   数据恢复  

  使用技巧  

  电脑常识  

  笔记本  

  安全技术  

  系统漏洞  
专题导读： 操作系统　 Windows Vista系统故障　 Windows Xp系统故障　 Windows 2003系统故障　 Windows 2000系统故障　 Windows 98系统故障　 软件使用　 网络配置　 网络攻击　 病毒　 木马　 主板　 CPU　 内存　 硬盘　 键盘　 显卡　 声卡　 鼠标　 显示器　 音箱　 刻录机　 光驱、光盘　 电源、UPS　 网络设备　 扫描仪　 打印机　 其它硬件　 服务器　 游戏平台　 手机/MP3　 相机/摄像头　 USB　 无线应用教程　 软件漏洞　 硬件漏洞　
您的位置： 网站首页 >> 病毒门诊 >>鸽子的手工检测

鸽子的手工检测

发布日期: 2007-3-15 10:06:29 查看数:


鸽子的手工检测 

　　由于灰鸽子拦截了API调用，在正常模式下木马程序文件和它注册的服务项均被隐藏， 
也就是说你即使设置了“显示所有隐藏文件”也看不到它们。此外，灰鸽子服务端的文件 
名也是可以自定义的，这都给手工检测带来了一定的困难。 

　　但是，通过仔细观察我们发现，对于灰鸽子的检测仍然是有规律可循的。从上面的运 
行原理分析可以看出，无论自定义的服务器端文件名是什么，一般都会在操作系统的安装 
目录下生成一个以“_hook.dll”结尾的文件。通过这一点，我们可以较为准确手工检测出 
灰鸽子木马。 

　　由于正常模式下灰鸽子会隐藏自身，因此检测灰鸽子的操作一定要在安全模式下进行 
。进入安全模式的方法是：启动计算机，在系统进入Windows启动画面前，按下F8键，在出 
现的启动选项菜单中，选择“安全模式”。 

　　1、由于灰鸽子的文件本身具有隐藏属性，因此要设置Windows显示所有文件。打开“ 
我的电脑”，选择菜单“工具”—》“文件夹选项”，点击“查看”，取消“隐藏受保护 
的操作系统文件”前的对勾，并在“隐藏文件和文件夹”项中选择“显示所有文件和文件 
夹”，然后点击“确定”。 

2、打开Windows的“搜索文件”，文件名称输入“*_hook.dll”，搜索位置选择Wind 
ows的安装目录（默认98/xp为C:\windows，2k/NT为C:\Winnt）。 

3、经过搜索，在Windows目录（不包含子目录）下发现了一个名为G_Server_Hook.dl 
l的文件。 

4、根据灰鸽子原理分析我们知道，G_Server_Hook.dll是灰鸽子的文件，则在操作系 
统安装目录下还会有G_Server.exe和G_Server.dll文件。打开Windows目录，果然有这两个 
文件，同时还有一个用于记录键盘操作的G_ServerKey.dll文件。 

经过这几步操作基本就可以确定这些文件是灰鸽子木马了，下面就可以进行手动清除 
。 

灰鸽子的手工清除 

　　经过上面的分析，清除灰鸽子就很容易了。清除灰鸽子仍然要在安全模式下操作，主 
要有两步：1、清除灰鸽子的服务；2删除灰鸽子程序文件。 
一、清除灰鸽子的服务 

2000／XP系统： 

　　1、打开注册表编辑器（点击“开始”－》“运行”，输入“Regedit.exe”，确定。 
），打开 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services 注册表项。 
2、点击菜单“编辑”－》“查找”，“查找目标”输入“G_server.exe”，点击确定 
，我们就可以找到灰鸽子的服务项. 
3、删除整个G_server.exe键值所在的服务项。 

　　98／me系统： 

　　在9X下，灰鸽子启动项只有一个，因此清除更为简单。运行注册表编辑器，打开HKEY 
_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run项，立即可以看到名为 
G_server.exe的一项，将G_server.exe项删除即可。 

二、删除灰鸽子程序文件 

　　删除灰鸽子程序文件非常简单，只需要在安全模式下删除Windows目录下的G_server. 
exe、G_server.dll、G_server_Hook.dll以及G_serverkey.dll文件，然后重新启动计算机 
。至此，灰鸽子已经被清除干净
www.PcHIHi.com

上下页导航
上一页：手动优化一下你自己的电脑吧 下一页：永久激活Windows Vista
【打印】 字体 【大】 【中】 【小】 【关闭】
热点主题
彻底解决Trojan.PSW.QQPass病毒彻底解决Trojan.PSW.QQPass病毒
Trojan-psw.win32.onlineTrojan-psw.win32.online Games.es 病毒清除办法
auto.exe和autorun.inf查杀方法auto.exe和autorun.inf查杀方法
有争议的conime.exe有争议的conime.exe
sxs.dllsxs.dll sxs.exe病毒专杀工具及sxs.exe病毒手动删除方法
清除pctools.dll清除pctools.dll 新萌科技(上海)有限公司-垃圾广告
copy.exe病毒copy.exe病毒 硬盘双击打不开了
清除Svchost.exe清除Svchost.exe
手工删除update.exe病毒手工删除update.exe病毒
lsass.exe病毒的查杀方法,附专杀工具lsass.exe病毒的查杀方法,附专杀工具
ARP病毒临时解决方法ARP病毒临时解决方法
八步轻松清除desktop.ini病毒八步轻松清除desktop.ini病毒
~my1.tmp清除的最佳方法(cnwin和pctools)~my1.tmp清除的最佳方法(cnwin和pctools)
autorun.inf、servet.exe和ie777.exe木马的手工杀毒方法autorun.inf、servet.exe和ie777.exe木马的手工杀毒方法
1.exe1.exe 2.exe 3.exe 4.exe 5.exe 6.exe 7.exe 8.exe病毒
解决EXE文件打不开的问题（4种方法）解决EXE文件打不开的问题（4种方法）
感染型病毒Trojan-Downloader.Win32.Delf.axl专杀修复工具感染型病毒Trojan-Downloader.Win32.Delf.axl专杀修复工具
TRojan.PSW.QQPASS病毒手把手彻底删除(winscok.exe,infostealer)TRojan.PSW.QQPASS病毒手把手彻底删除(winscok.exe,infostealer)
SVCHOST.EXE应用程序错误解决方法SVCHOST.EXE应用程序错误解决方法
威金蠕虫：所有的exe图标都变色变模糊威金蠕虫：所有的exe图标都变色变模糊
最新主题
如何映像劫持杀毒软件如何映像劫持杀毒软件
关于病毒主动防御的新见解关于病毒主动防御的新见解
木马容易盯上的注册表位置木马容易盯上的注册表位置
彻底清除无法显示隐藏文件的病毒彻底清除无法显示隐藏文件的病毒
Flash特务（Orz病毒）分析报告Flash特务（Orz病毒）分析报告
利用FLASH漏洞传播的对抗型“特务病毒”出现利用FLASH漏洞传播的对抗型“特务病毒”出现
如何预防ARP病毒以及做好个人电脑病毒防护如何预防ARP病毒以及做好个人电脑病毒防护
用最简单的方法摆脱病毒的纠缠用最简单的方法摆脱病毒的纠缠
提升权限提升权限 把无法删除病毒扫地出门
Troj.6to4ex恶意软件的清除Troj.6to4ex恶意软件的清除
AdobeAdobe flash漏洞,请尽快将Flash Player升级到9.0.124
不同情况下病毒查杀技巧不同情况下病毒查杀技巧
在系统里对U盘写保护防毒在系统里对U盘写保护防毒
win32.virut病毒的清除方法win32.virut病毒的清除方法
当病毒囚禁了输入法当病毒囚禁了输入法
教你识别危险进程教你识别危险进程
完美解决双击无法打开C、D、E、F盘等Autorun病毒完美解决双击无法打开C、D、E、F盘等Autorun病毒
MIDI机器狗MIDI机器狗
网络资源推荐
站务联系:XBell@163.com 在线QQ：573861490
备案序号:粤ICP备06093858号
版权所有 2006 电脑维修知识网 最佳分辨率 1024 X 768
Copyright © Http://www.PcHiHi.com/ All rights reserved.