荔园在线
荔园之美，在春之萌芽，在夏之绽放，在秋之收获，在冬之沉淀
[回到开始]
[上一篇][下一篇]
发信人: hazhq (兼容), 信区: Virus
标 题: 灰鸽子病毒查杀
发信站: 荔园晨风BBS站 (2006年02月22日17:07:13 星期三), 站内信件
灰鸽子的手工检测
由于灰鸽子拦截了API调用，在正常模式下木马程序文件和它注册的服务项均被隐藏
，也就是说你即使设置了"显示所有隐藏文件"也看不到它们。此外，灰鸽子服务端
的文件名也是可以自定义的，这都给手工检测带来了一定的困难。
但是，通过仔细观察我们发现，对于灰鸽子的检测仍然是有规律可循的。从上面的
运行原理分析可以看出，无论自定义的服务器端文件名是什么，一般都会在操作系
统的安装目录下生成一个以"_hook.dll"结尾的文件。通过这一点，我们可以较为准
确手工检测出灰鸽子木马。
由于正常模式下灰鸽子会隐藏自身，因此检测灰鸽子的操作一定要在安全模式下进
行。进入安全模式的方法是：启动计算机，在系统进入Windows启动画面前，按下F
8键(或者在启动计算机时按住Ctrl键不放)，在出现的启动选项菜单中，选择"Safe
Mode"或"安全模式"。
1、由于灰鸽子的文件本身具有隐藏属性，因此要设置Windows显示所有文件。打开
"我的电脑"，选择菜单"工具"—》"文件夹选项"，点击"查看"，取消"隐藏受保护的
操作系统文件"前的对勾，并在"隐藏文件和文件夹"项中选择"显示所有文件和文件
夹"，然后点击"确定"。
2、打开Windows的"搜索文件"，文件名称输入"_hook.dll"，搜索位置选择Windows
的安装目录（默认98/xp为C:\windows，2k/NT为C:\Winnt）。
3、经过搜索，我们在Windows目录（不包含子目录）下发现了一个名为Game_Hook.
dll的文件。
4、根据灰鸽子原理分析我们知道，如果Game_Hook.DLL是灰鸽子的文件，则在操作
系统安装目录下还会有Game.exe和Game.dll文件。打开Windows目录，果然有这两个
文件，同时还有一个用于记录键盘操作的GameKey.dll文件。
经过这几步操作我们基本就可以确定这些文件是灰鸽子木马了，下面就可以进行手
动清除。
灰鸽子的手工清除
经过上面的分析，清除灰鸽子就很容易了。清除灰鸽子仍然要在安全模式下操作，
主要有两步：1、清除灰鸽子的服务；2删除灰鸽子程序文件。
注意：为防止误操作，清除前一定要做好备份。
一、清除灰鸽子的服务
2000／XP系统：
1、打开注册表编辑器（点击"开始"－》"运行"，输入"Regedit.exe"，确定。），
打开 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services注册表项。
2、点击菜单"编辑"－>"查找"，"查找目标"输入"G_Server.exe"，点击确定，我们
就可以找到灰鸽子的服务项。
3、删除整个G_Server项。
98／me系统：
在9X下，灰鸽子启动项只有一个，因此清除更为简单。运行注册表编辑器，打开HK
EY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run项，我们立即
看到名为G_Server.exe的一项，将G_Server.exe项删除即可。
二、删除灰鸽子程序文件
删除灰鸽子程序文件非常简单，只需要在安全模式下删除Windows目录下的G_Serve
r.exe、G_Server.dll、G_Server_Hook.dll以及G_Serverkey.dll文件，然后重新启
动计算机。至此，灰鸽子已经被清除干净。
防止中灰鸽子病毒需要注意的事项
1. 给系统安装补丁程序。通过Windows Update安装好系统补丁程序(关键更新、安
全更新和Service pack)，其中MS04-011、MS04-012、MS04-013、MS03-001、MS03-
007、MS03-049、MS04-032等都被病毒广泛利用，是非常必要的补丁程序
2. 给系统管理员帐户设置足够复杂足够强壮的密码，最好能是10位以上，字母
+数字+其它符号的组合；也可以禁用/删除一些不使用的帐户
3. 经常更新杀毒软件（病毒库），设置允许的可设置为每天定时自动更新。安
装并合理使用网络防火墙软件，网络防火墙在防病毒过程中也可以起到至关重要的
作用，能有效地阻挡自来网络的攻击和病毒的入侵。部分盗版Windows用户不能正常
安装补丁，这点也比较无奈，这部分用户不妨通过使用网络防火墙来进行一定防护
4. 关闭一些不需要的服务，条件允许的可关闭没有必要的共享，也包括C$、D
$等管理共享。完全单机的用户可直接关闭Server服务。
下载相关网址：http://www.d-dd.cn/Soft/softb/softb1/200512/472.html
最下面有下载地址，我试过了，可以下载的
【 在 py (无心☆无情...无情是无心的... ) 的大作中提到: 】
: 金山说发现 win32.Hacker.Huigezi.cx.517
: 位置：C:\WINDOWS\vvKey.DLL
: 还有一个是win32.Hacker.Huigezi.bv.102
: 位置：C:\WINDOWS\vv_Hook.DLL
: 请问是灰鸽子吗？该怎么杀啊？部机正常启动后基本上不会动了啊！
: 不胜感激！
--
我要努力！
。
※ 修改:·sweetman 于 May 17 11:56:29 修改本文·[FROM: 192.168.85.172]
※ 来源:·荔园晨风BBS站 bbs.szu.edu.cn·[FROM: 192.168.55.100]
[回到开始]
[上一篇][下一篇]
荔园在线首页 友情链接：深圳大学 深大招生 荔园晨风BBS S-Term软件 网络书店