本文目录一览：
服务器中了严重的木马
虽然现在市面上有很多新版杀毒软件都可以自动清除大部分[木马]，但它们并不能防范新出现的[木马]程序。因此，查杀木马，最关键的还是要知道[木马]的工作原理。相信你看了这篇文章之后，就会成为一名查杀[木马]的高手了。
木马程序会想尽一切办法隐藏自己，主要途径有：在任务栏中隐藏自己，这是最基本的办法。只要把Form的Visible属性设为False，ShowInTaskBar设为False，程序运行时就不会出现在任务栏中了。在任务管理器中隐形：将程序设为[系统服务]可以很轻松地伪装自己。当然它也会悄无声息地启动，黑客当然不会指望用户每次启动后点击[木马]图标来运行服务端，[木马]会在每次用户启动时自动装载。Windows系统启动时自动加载应用程序的 *** ，[木马]都会用上，如：启动组、Win.ini、System.ini、注册表等都是[木马]藏身的好地方。
下面具体谈谈[木马]是怎样自动加载的。在Win.ini文件中，在[WINDOWS]下面，和[load=]是可能加载[木马]程序的途径，必须仔细留心它们。一般情况下，它们的等号后面应该什么都没有，如果发现后面跟有路径与文件名不是你熟悉的启动文件，你的计算机就可能中[木马]了。当然你也得看清楚，因为好多[木马]，如[AOL Trojan木马]，它把自身伪装成command.exe(真正的系统文件为command.com)文件，如果不注意可能不会发现它不是真正的系统启动文件(特别是在Windows窗口下)。
在System.ini文件中，在下面有个[shell=文件名]。正确的文件名应该是[explorer.exe]，如果不是[explorer.exe]，而是[shell= explorer.exe程序名]，那么后面跟着的那个程序就是[木马]程序，就是说你已经中[木马]了。
注册表中的情况最复杂，通过regedit命令打开注册表编辑器，在点击至：[HKEY-LOCAL-ACHINE\Software\Microsoft\Windows\CurrentVersion\Run]目录下，查看键值中有没有自己不熟悉的自动启动文件，扩展名为EXE，这里切记：有的[木马]程序生成的文件很像系统自身文件，想通过伪装蒙混过关，如[Acid Battery v1.0木马]，它将注册表[HKEY-LOCAL-MACHINE\SO FTWARE\Microsoft\Windows\CurrentVersion\Run]下的Explorer键值改为Explorer=[C:\WINDOWS\expiorer.exe]，[木马]程序与真正的Explorer之间只有与[l]的差别。当然在注册表中还有很多地方都可以隐藏[木马]程序，如：[HKEY-CURRENTUSER\Software\Microsoft\Windows\CurrentVersion\Run]、[HKEY-USERS\****\Software\Microsoft\Windows\CurrentVersion\Run]的目录下都有可能，更好的办法就是在[HKEY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]下找到[木马]程序的文件名，再在整个注册表中搜索即可。
知道了[木马]的工作原理，查杀[木马]就变得很容易，如果发现有[木马]存在，最有效的 *** 就是马上将计算机与 *** 断开，防止黑客通过 *** 对你进行攻击。然后编辑win.ini文件，将[WINDOWS]下面，程序]或[load=[木马]程序]更改为和[load=]；编辑system.ini文件，将下面的[shell=‘木马’文件]，更改为：[shell=explorer.exe]；在注册表中，用regedit对注册表进行编辑，先在[HKEY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]下找到[木马]程序的文件名，再在整个注册表中搜索并替换掉[木马]程序，有时候还需注意的是：有的[木马]程序并不是直接将[HKEY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]下的[木马]键值删除就行了，因为有的[木马]如：BladeRunner[木马]，如果你删除它，[木马]会立即自动加上，你需要的是记下[木马]的名字与目录，然后退回到MS-DOS下，找到此[木马]文件并删除掉。重新启动计算，然后再到注册表中将所有[木马]文件的键值删除。至此，我们就大功告成了。
linux服务器中木马怎么处理
以下从几个方面在说明Linux系统环境安排配置防范和木马后门查杀的 *** ：
一、Web Server（以Nginx为例）
1、为防止跨站感染，将虚拟主机目录隔离（可以直接利用fpm建立多个程序池达到隔离效果）
2、上传目录、include类的库文件目录要禁止代码执行（Nginx正则过滤）
3、path_info漏洞修正：
在nginx配置文件中增加：
if ($request_filename ~* (.*)\.php) {
set $php_url $1;
}
if (!-e $php_url.php) {
return 404;
}
4、重新编译Web Server，隐藏Server信息
5、打开相关级别的日志，追踪可疑请求，请求者IP等相关信息。
二.改变目录和文件属性，禁止写入
find -type f -name \*.php -exec chmod 444 {} \;
find -type d -exec chmod 555 {} \;
注：当然要排除上传目录、缓存目录等；
同时更好禁止chmod函数，攻击者可通过chmod来修改文件只读属性再修改文件！
三.PHP配置
修改php.ini配置文件，禁用危险函数：
disable_funcions = dl,eval,exec,passthru,system,popen,shell_exec,proc_open,proc_terminate,curl_exec,curl_multi_exec,show_source,touch,escapeshellcmd,escapeshellarg
四.MySQL数据库账号安全：
禁止mysql用户外部链接，程序不要使用root账号，更好单独建立一个有限权限的账号专门用于Web程序。
五.查杀木马、后门
grep -r –include=*.php ‘[^a-z]eval($_POST’ . grep.txt
grep -r –include=*.php ‘file_put_contents(.*$_POST\[.*\]);’ . grep.txt
把搜索结果写入文件，下载下来慢慢分析，其他特征木马、后门类似。有必要的话可对全站所有文件来一次特征查找，上传图片肯定有也捆绑的，来次大清洗。
查找近2天被修改过的文件：
find -mtime -2 -type f -name \*.php
注意：攻击者可能会通过touch函数来修改文件时间属性来避过这种查找，所以touch必须禁止
六.及时给Linux系统和Web程序打补丁，堵上漏洞
怎么清除服务器上的隐藏木马病毒
你可以下载一款杀毒软件杀毒，比如腾讯电脑管家
打开腾讯电脑管家--闪电杀毒--全盘扫描--完成
腾讯电脑管家应用了具有“自学习能力”的自研第二代“鹰眼”引擎，
业界首创将CPU虚拟执行技术运用到杀毒软件中，
能够根除顽固病毒、大幅度提升深度查杀能力，
并且大大降低了杀毒软件对用户电脑系统资源的占用率。
同时，沿用“4+1”多引擎架构保证了腾讯电脑管家病毒查杀的稳定性。
