本文目录一览：
- 1、请 *** 高手帮帮我。
- 2、中了 *** 木马，高人求助！！！
- 3、木马病毒是通过什么方式传播的?他们是怎样盗号的?
- 4、求助:杀不掉盗号木马和cmdbs ddtshtk elmiysj.exe
- 5、发现木马了 怎么办
- 6、怎么能查出盗号人的IP！！
请 *** 高手帮帮我。
P2P终结者 其实就是ARP攻击
要了解故障原理，我们先来了解一下ARP协议。
在局域网中，通过ARP协议来完成IP地址转换为第二层物理地址（即MAC地址）的。ARP协议对 *** 安全具有重要的意义。通过伪造IP地址和MAC地址实现ARP欺骗，能够在 *** 中产生大量的ARP通信量使 *** 阻塞。
ARP协议是“Address Resolution Protocol”（地址解析协议）的缩写。在局域网中， *** 中实际传输的是“帧”，帧里面是有目标主机的MAC地址的。在以太网中，一个主机要和另一个主机进行直接通信，必须要知道目标主机的MAC地址。但这个目标MAC地址是如何获得的呢？它就是通过地址解析协议获得的。所谓“地址解析”就是主机在发送帧前将目标IP地址转换成目标MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的顺利进行。
每台安装有TCP/IP协议的电脑里都有一个ARP缓存表，表里的IP地址与MAC地址是一一对应的，如下表所示。
主机 IP地址 MAC地址
A 192.168.16.1 aa-aa-aa-aa-aa-aa
B 192.168.16.2 bb-bb-bb-bb-bb-bb
C 192.168.16.3 cc-cc-cc-cc-cc-cc
D 192.168.16.4 dd-dd-dd-dd-dd-dd
我们以主机A（192.168.16.1）向主机B（192.168.16.2）发送数据为例。当发送数据时，主机A会在自己的ARP缓存表中寻找是否有目标IP地址。如果找到了，也就知道了目标MAC地址，直接把目标MAC地址写入帧里面发送就可以了；如果在ARP缓存表中没有找到相对应的IP地址，主机A就会在 *** 上发送一个广播，目标MAC地址是“FF.FF.FF.FF.FF.FF”，这表示向同一网段内的所有主机发出这样的询问：“192.168.16.2的MAC地址是什么？” *** 上其他主机并不响应ARP询问，只有主机B接收到这个帧时，才向主机A做出这样的回应：“192.168.16.2的MAC地址是bb-bb-bb-bb-bb-bb”。这样，主机A就知道了主机B的MAC地址，它就可以向主机B发送信息了。同时它还更新了自己的ARP缓存表，下次再向主机B发送信息时，直接从ARP缓存表里查找就可以了。ARP缓存表采用了老化机制，在一段时间内如果表中的某一行没有使用，就会被删除，这样可以大大减少ARP缓存表的长度，加快查询速度。
从上面可以看出，ARP协议的基础就是信任局域网内所有的人，那么就很容易实现在以太网上的ARP欺骗。对目标A进行欺骗，A去Ping主机C却发送到了DD-DD-DD-DD-DD-DD这个地址上。如果进行欺骗的时候，把C的MAC地址骗为DD-DD-DD-DD-DD-DD，于是A发送到C上的数据包都变成发送给D的了。这不正好是D能够接收到A发送的数据包了么，嗅探成功。
A对这个变化一点都没有意识到，但是接下来的事情就让A产生了怀疑。因为A和C连接不上了。D对接收到A发送给C的数据包可没有转交给C。
做“man in the middle”，进行ARP重定向。打开D的IP转发功能，A发送过来的数据包，转发给C，好比一个路由器一样。不过，假如D发送ICMP重定向的话就中断了整个计划。
D直接进行整个包的修改转发，捕获到A发送给C的数据包，全部进行修改后再转发给C，而C接收到的数据包完全认为是从A发送来的。不过，C发送的数据包又直接传递给A，倘若再次进行对C的ARP欺骗。现在D就完全成为A与C的中间桥梁了，对于A和C之间的通讯就可以了如指掌了。
【故障现象】
当局域网内某台主机运行ARP欺骗的木马程序时，会欺骗局域网内所有主机和路由器，让所有上网的流量必须经过病毒主机。其他用户原来直接通过路由器上网现在转由通过病毒主机上网，切换的时候用户会断一次线。
切换到病毒主机上网后，如果用户已经登陆了传奇服务器，那么病毒主机就会经常伪造断线的假像，那么用户就得重新登录传奇服务器，这样病毒主机就可以盗号了。
由于ARP欺骗的木马程序发作的时候会发出大量的数据包导致局域网通讯拥塞以及其自身处理能力的限制，用户会感觉上网速度越来越慢。当ARP欺骗的木马程序停止运行时，用户会恢复从路由器上网，切换过程中用户会再断一次线。
【HiPER用户快速发现ARP欺骗木马】
在路由器的“系统历史记录”中看到大量如下的信息（440以后的路由器软件版本中才有此提示）：
MAC Chged 10.128.103.124
MAC Old 00:01:6c:36:d1:7f
MAC New 00:05:5d:60:c7:18
这个消息代表了用户的MAC地址发生了变化，在ARP欺骗木马开始运行的时候，局域网所有主机的MAC地址更新为病毒主机的MAC地址（即所有信息的MAC New地址都一致为病毒主机的MAC地址），同时在路由器的“用户统计”中看到所有用户的MAC地址信息都一样。
如果是在路由器的“系统历史记录”中看到大量MAC Old地址都一致，则说明局域网内曾经出现过ARP欺骗（ARP欺骗的木马程序停止运行时，主机在路由器上恢复其真实的MAC地址）。
【在局域网内查找病毒主机】
在上面我们已经知道了使用ARP欺骗木马的主机的MAC地址，那么我们就可以使用N *** SCAN（下载地址：）工具来快速查找它。
N *** SCAN可以取到PC的真实IP地址和MAC地址，如果有”传奇木马”在做怪，可以找到装有木马的PC的IP/和MAC地址。
命令：“nbtscan -r 192.168.16.0/24”（搜索整个192.168.16.0/24网段, 即
192.168.16.1-192.168.16.254）；或“nbtscan 192.168.16.25-137”搜索192.168.16.25-137 网段，即192.168.16.25-192.168.16.137。输出结果之一列是IP地址，最后一列是MAC地址。
N *** SCAN的使用范例：
假设查找一台MAC地址为“000d870d585f”的病毒主机。
1）将压缩包中的nbtscan.exe 和cygwin1.dll解压缩放到c:/下。
2）在Windows开始—运行—打开，输入cmd（windows98输入“command”），在出现的DOS窗口中输入：C:/nbtscan -r 192.168.16.1/24（这里需要根据用户实际网段输入），回车。
C:/Documents and Settings/ALANC:/nbtscan -r 192.168.16.1/24
Warning: -r option not supported under Windows. Running without it.
Doing N *** name scan for addresses from 192.168.16.1/24
IP address NetBIOS Name Server User MAC address
------------------------------------------------------------------------------
192.168.16.0 Sendto failed: Cannot assign requested address
192.168.16.50 SERVER server unknown 00-e0-4c-4d-96-c6
192.168.16.111 LLF server ADMINISTRATOR 00-22-55-66-77-88
192.168.16.121 UTT-HIPER server unknown 00-0d-87-26-7d-78
192.168.16.175 JC server unknown 00-07-95-e0-7c-d7
192.168.16.223 test123 server test123 00-0d-87-0d-58-5f
3）通过查询IP--MAC对应表，查出“000d870d585f”的病毒主机的IP地址为“192.168.16.223”。
【解决思路】
1、不要把你的 *** 安全信任关系建立在IP基础上或MAC基础上，（rarp同样存在欺骗的问题），理想的关系应该建立在IP+MAC基础上。
2、设置静态的MAC--IP对应表，不要让主机刷新你设定好的转换表。
3、除非很有必要，否则停止使用ARP，将ARP做为永久条目保存在对应表中。
4、使用ARP服务器。通过该服务器查找自己的ARP转换表来响应其他机器的ARP广播。确保这台ARP服务器不被黑。
5、使用"proxy" *** IP的传输。
6、使用硬件屏蔽主机。设置好你的路由，确保IP地址能到达合法的路径。（静态配置路由ARP条目），注意，使用交换集线器和网桥无法阻止ARP欺骗。
7、管理员定期用响应的IP包中获得一个rarp请求，然后检查ARP响应的真实性。
8、管理员定期轮询，检查主机上的ARP缓存。
9、使用防火墙连续监控 *** 。注意有使用SNMP的情况下，ARP的欺骗有可能导致陷阱包丢失。
【HiPER用户的解决方案】
建议用户采用双向绑定的 *** 解决并且防止ARP欺骗。
1、在PC上绑定路由器的IP和MAC地址：
1）首先，获得路由器的内网的MAC地址（例如HiPER网关地址192.168.16.254的MAC地址为0022aa0022aaHiPER管理界面--端口配置--局域网端口MAC地址）。
2）编写一个批处理文件rarp.bat内容如下：
@echo off
arp -d
arp -s 192.168.16.254 00-22-aa-00-22-aa
将文件中的网关IP地址和MAC地址更改为您自己的网关IP地址和MAC地址即可。
将这个批处理软件拖到“windows--开始--程序--启动”中。
3）如果是网吧，可以利用收费软件服务端程序（pubwin或者万象都可以）发送批处理文件rarp.bat到所有客户机的启动目录。Windows2000的默认启动目录为“C:/Documents and Settings/All Users「开始」菜单程序启动”。
2、在路由器上绑定用户主机的IP和MAC地址（440以后的路由器软件版本支持）：
在HiPER管理界面--高级配置--用户管理中将局域网每台主机均作绑定。
中了 *** 木马，高人求助！！！
杀毒软件一般处理不了木马
木马应该使用木马专杀工具来清理
1.推荐免费的、汉化的AVG Anti-Spyware 7.5.1.43
他的数据库中的特征码数量是1109123
2.Windows清理助手
3.a-squared Free V3.0中文版
可以查杀1234164种木马、后门、蠕虫、拨号器、间谍软件和广告软件
这些都是绿色软件
不需要安装
不随系统启动
与任何杀毒软件都没有冲突
木马杀客2007beta1绿色版 2007
这个保证给你清除干净
木马专家2008是一款木马查杀软件，软件除采用传统病毒库查杀木马以外，还能智能查杀未知木马，自动监控内存非法程序，实时查杀内存和硬盘木马。第二代查杀内核，支持脱壳分析木马.软件本身还集成了 *** 入侵拦截,IE修复，恶意网站拦截，系统文件修复，注册表备份和供高级用户使用的系统进程管理和启动项目管理等。有效查杀各种流行 *** 盗号木马，网游盗号木马,冲击波,灰鸽子,黑客后门等十多万种木马间谍程序。
2008版本全新改进:
1.优化大部分内核代码提高执行效率
2.更低的CPU和内存占用率
3.更高效的木马查杀和拦截能力
4.增加白名单功能
5.支持加密狗方式注册及其它细节改进。
软件特点:界面简洁，占用资源少，不影响系统速度。
同类软件中占用内存资源及CPU资源最少，绝不影响系统速度。
下载地址：
2） *** 医生( *** Doctor) V1.5 正式版
*** 医生( *** Doctor) V1.5 正式版
1、什么是 *** 医生？
*** 医生是专门针对 *** 帐号密码被盗问题所提供的一款盗号木马查杀工具，它将准确扫描并有效清除盗号木马，从而保障 *** 帐号的安全。
2、为什么要使用 *** 医生？
经过分析， *** 帐号密码被盗大部分是因为用户在有盗号木马入侵的计算机上登录 *** ，导致帐号信息泄露。 *** 医生能够有效清除这些专门盗取 *** 帐号密码的木马病毒，从而保证了运行 *** 的计算机没有被木马病毒入侵。
3、如何使用 *** 医生才能常保 *** 帐号的安全？
在您运行 *** 前，您更好先使用最新版本的 *** 医生对您的计算机进行安全检查。 *** 医生不同于专业的全面病毒查杀软件，它只检查对 *** 有威胁的木马程序，检测时间非常短。您只需要几秒钟的时间，就能完成对计算机上盗号木马的扫描。如果您使用固定的计算机登录 *** ，比如在家或者办公室，请您每周使用一次 *** 医生进行木马的扫描。如果您使用公共计算机登录 *** ，比如在网吧、学校图书馆等，请您每次登录 *** 前都进行一次扫描。
4、什么是“当前版本”？
*** 医生将不断推出新的功能并不断优化产品的性能、提高易用性。这些改进都将会通过产品的版本升级来实现。产品上所标明的当前版本是指您当前正在使用的产品版本号。我们建议您使用最新版本的产品，以获取更优秀的服务。
5、 *** 医生的查杀木马功能是否只针对盗取 *** 密码的木马病毒？
*** 医生是针对 *** 帐号被盗现象推出的盗号木马查杀工具，目的在于清除 *** 用户计算机上面专门盗取 *** 帐号密码的木马病毒。它对于盗号木马具有强大的扫描和清除功能，但并不能查杀其它木马病毒。为了保护您的计算机安全，您还应使用其它的专业防病毒软件。
6、为什么在清除盗号木马的时候要求我重启电脑？
重启电脑能够保证彻底清除木马，并且保证计算机的稳定运行。
7、我重启电脑后，如何确定木马已经被清除？
在您重启电脑后，请您再次运行 *** 医生扫描木马功能，以确定您计算机上的木马已经被清除，如果在您使用 *** 医生几次清除都失败的情况下，请您不要使用该计算机登录 *** ，因为这时登录 *** ，您的密码非常容易泄露。
8、 *** 医生是否具有实时保护 *** 帐号的功能？
*** 医生不具有实时保护的功能，它只能在您运行它的时候进行木马的扫描和清除工作。因此，请您培养良好的计算机安全使用习惯，并同时配合专业的病毒防护软件，来确保您的计算机以及 *** 帐号的安全。
版本更新信息:
1. 提高了发现盗号木马病毒后的清除能力;
2. 优化了可疑文件智能检测的性能和体验;
3. 解决了自动更新失败导致的无法正常启动问题;
4. 移除了检查“ *** 基础功能完好性”功能.
下在地址：
首先进入安全模式（按F8）然后在打开：开始—运行 在里面输入cmd 然后 进你的磁盘。（D：回车 在打attrib 回车 出现rising.exe 和autorun.inf 文件 。他们前面都有个h 在输入attrib 后面跟 这两个文件的名字 空格 后面在加上-h 在回车 这样就会出现它们 先把autorun.inf 按此 *** 这样打开把里面的=号全都去掉 然后保存关闭 ）
在打del 删除他们。
其次，你打开我的电脑，进入磁盘分区（不要双击，右键打开就行） 点工具栏上的工具选项---文件夹选项----查看，然后将显示所有文件和文件夹选项选中再点应用然后确定。 这样在把显示出来的东西删除。在建立几个文件夹 名称和病毒名称要一样（包括带后缀名，每个磁盘都做同样的操作)。重新启动就OK了
这些是从网上找来的，我对这个一窍不通！！唉～～～
木马病毒是通过什么方式传播的?他们是怎样盗号的?
有些是为了显示自己的技术，这些人一般也不会针对个人用户，
更多的是为了窃取帐号密码，
而且现在的黑客软件很容易得到，
使得更多的别有用心的人利用来牟利。
建议不要去不知名网站，
不要随便打开附件，
不要随便下在可执行程序。
更多的是为了获得经济利益
1、什么是电脑病毒？
也许我们曾听人说过：“电脑有病毒了，赶紧找杀毒软件！”电脑又不是动物和人类，它怎么会有病毒呢？其实，所谓的电脑“病毒”，并不是生物学上的病毒，会导致接触电脑的人生病同，得感冒、肝炎之类的病，而是由人所编写的，存在电脑中的一种短小、特殊的程序，这种程序平时处于“安静”状态，并不马上发作，在一定情况下，它就会发作，对电脑系统造成破坏。例如，小球病毒就是一种电脑病毒，它发作时，会出现许多跳跃的小球，再提示“你的电脑成为石头！”接着，电脑中的数据就慢慢被破坏掉了。使计算机无法启动。另外，蠕虫病毒能通过 *** 邮件系统快速自动扩散传播，在短时间内造成大面积 *** 阻塞或造成世界的互联 *** 瘫痪。有一些病毒还可以通过 *** 任意控制你的计算机，并获得重要文件等等。电脑病毒能够像生物病毒一样，在许多电脑之间传播，危害极大。电脑可以通过软件盘、 *** 传播，使电脑“生病”。
2、病毒的特征：
(1)传染性：可通过各种途径传播。
(2) 隐藏性：计算机病毒总是以欺骗的方式隐藏在各种文件中。
(3)潜伏性
(4) 破坏性
(5)未知性：病毒的技术在不断更新，不断会有新的病毒产生。
3．传播途径：
(1)硬件设备
(2) 移动存储设备
(3) ***
4、电脑的病毒有许多种类，大体上可分为以下几类：
(1)引导型病毒
(2)可执行文件病毒
(3)宏病毒
(4)混合型病毒
(5)特洛伊木马型病毒
(6)Internet语言病毒
5、病毒的预防：
(1)不使用盗版或来历不明的软件
(2) 购买了新的机子、硬盘、软件等要进行病毒检测。
(3)随时注意各种异常现象。
(4)拥有一套正版杀毒软件。
(5)经常将防毒软件升级。
游盘现在也是传播病毒的一种新途径
求助:杀不掉盗号木马和cmdbs ddtshtk elmiysj.exe
晕不行的
这种木马手动结束进程会自动重启的 常见的杀毒软件都被劫持了 即使重装备份也不行
下个XDelBox1.2 在文件路径里输入 C:\WINDOWS\system32\oduxyym.exe
C:\WINDOWS\system32\veckdld.exe C:\WINDOWS\system32\upxdnd.dll还有每个盘根目录下的ymfqplr.exe，autorun.inf 你认为可疑的文件都添加到删除列表,然后钩选防止再生,删除就搞定了
重启电脑后会出现多个以这木马命名的文件夹 别急噢这不是病毒 是XDelBox自动创建的 目的是防止你的机子再中同样的木马
运行msconfig把启动里面的可恶的自启项禁了 再重启一下就大功告成了 你电C:\WINDOWS\WSVBRS.exe
C:\WINDOWS\Kvsc3.exe
C:\WINDOWS\upxdnd.exe
C:\WINDOWS\cmdbcs.exe
C:\WINDOWS\mppds.exe
C:\WINDOWS\system32\oduxyym.exe
C:\WINDOWS\system32\veckdld.exe
C:\WINDOWS\system32\upxdnd.dll记得电脑里面有的都输进去
发现木马了 怎么办
1. 冰河v1.1 v2.2
冰河是国产更好的木马
清除木马v1.1
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
查找以下的两个路径，并删除
" C:\windows\system\ kernel32.exe"
" C:\windows\system\ sysexplr.exe"
关闭Regedit
重新启动到MSDOS方式
删除C:\windows\system\ kernel32.exe和C:\windows\system\ sysexplr.exe木马程序
重新启动。OK
清除木马v2.2
服务器程序、路径用户是可以随意定义，写入注册表的键名也可以自己定义。
因此，不能明确说明。
你可以察看注册表，把可疑的文件路径删除。
重新启动到MSDOS方式
删除于注册表相对应的木马程序
重新启动Windows。OK
2. Acid Battery v1.0
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的Explorer ="C:\WINDOWS\expiorer.exe"
关闭Regedit
重新启动到MSDOS方式
删除c:\windows\expiorer.exe木马程序
注意：不要删除正确的ExpLorer.exe程序，它们之间只有i与L的差别。
重新启动。OK
3. Acid Shiver v1.0 + 1.0Mod + lmacid
清除木马的步骤：
重新启动到MSDOS方式
删除C:\windows\MSGSVR16.EXE
然后回到Windows系统
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的Explorer = "C:\WINDOWS\MSGSVR16.EXE"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
删除右边的Explorer = "C:\WINDOWS\MSGSVR16.EXE"
关闭Regedit
重新启动。OK
重新启动到MSDOS方式
删除C:\windows\wintour.exe然后回到Windows系统
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的Wintour = "C:\WINDOWS\WINTOUR.EXE"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
删除右边的Wintour = "C:\WINDOWS\WINTOUR.EXE"
关闭Regedit
重新启动。OK
4. Ambush
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的zka = "zcn32.exe"
关闭Regedit
重新启动到MSDOS方式
删除C:\Windows\ zcn32.exe
重新启动。OK
5. AOL Trojan
清除木马的步骤：
启动到MSDOS方式
删除C:\ command.exe（删除前取消文件的隐含属性）
注意：不要删除真的command.com文件。
删除C:\ americ~1.0\buddyl~1.exe（删除前取消文件的隐含属性）
删除C:\ windows\system\norton~1\regist~1.exe（删除前取消文件的隐含属性）
打开WIN.INI文件
在[WINDOWS]下面"run="和"load="都加载者特洛伊木马程序的路径，必须清除它们：
run=
load=
保存WIN.INI
还要改正注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的WinProfile = c:\command.exe
关闭Regedit，重新启动Windows。OK
6. Asylum v0.1, 0.1.1, 0.1.2, 0.1.3 + Mini 1.0, 1.1
清除木马的步骤：
注意：木马程序默认文件名是wincmp32.exe，然而程序可以随意改变文件名。
我们可以根据木马修改的system.ini和win.ini两个文件来清除木马。
打开system.ini文件
在[BOOT]下面有个"shell=文件名"。正确的文件名是explorer.exe
如果不是"explorer.exe"，那么那个文件就是木马程序，把它查找出来，删除。
保存退出system.ini
打开win.ini文件
在[WINDOWS]下面有个run=
如果你看到=后面有路径文件名，必须把它删除。
正确的应该是run=后面什么也没有。
=后面的路径文件名就是木马，把它查找出来，删除。
保存退出win.ini。
OK
7. AttackFTP
清除木马的步骤：
打开win.ini文件
在[WINDOWS]下面有load=wscan.exe
删除wscan.exe ，正确是load=
保存退出win.ini。
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的Reminder="wscan.exe /s"
关闭Regedit，重新启动到MSDOS系统中
删除C:\windows\system\ wscan.exe
OK
8. Back Construction 1.0 - 2.5
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的"C:\WINDOWS\Cmctl32.exe"
关闭Regedit，重新启动到MSDOS系统中
删除C:\WINDOWS\Cmctl32.exe
OK
9. BackDoor v2.00 - v2.03
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的‘c:\windows\notpa.exe /o=yes‘
关闭Regedit，重新启动到MSDOS系统中
删除c:\windows\notpa.exe
注意：不要删除真正的notepad.exe笔记本程序
OK
10. BF Evolution v5.3.12
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的(Default)=" "
关闭Regedit，再次重新启动计算机。
将C:\windows\system\ .exe（空格exe文件）
OK
11. BioNet v0.84 - 0.92 + 2.21
0.8X版本是运行在Win95/98
0.9X以上版本有运行在Win95/98 和WinNT上两个软件
客户－服务器协议是一样的，因而NT客户能黑95/98被感染的机器，和Win95/98客户能黑NT被感染的系统完全一样。
清除木马的步骤：
首先准备一张98的启动盘，用它启动后，进入c:\windows目录下，用attrib libupd~1.exe -h
命令让木马程序可见，然后删除它。
抽出软盘后重新启动，进入98下，在注册表里找到：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
的子键WinLibUpdate = "c:\windows\libupdate.exe -hide"
将此子键删除。
12. Bla v1.0 - 5.03
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的Systemdoor = "C:\WINDOWS\System\mprdll.exe"
关闭Regedit，重新启动计算机。
查找到C:\WINDOWS\System\mprdll.exe和
C:\WINDOWS\system\rundll.exe
注意：不要删除C:\WINDOWS\RUNDLL.EXE正确文件。
并删除两个文件。
OK
13. BladeRunner
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
可以找到System-Tray = "c:\something\something.exe"
右边的路径可能是任何东西，这时你不需要删除它，因为木马会立即自动加上，你需要的是记下木马的名字与目录，然后退回到MS-DOS下，找到此木马文件并删除掉。
重新启动计算机，然后重复之一步，在注册表中找到木马文件并删除此键。
14. Bobo v1.0 - 2.0
清除木马v1.0
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的DirrectLibrarySupport ="C:\WINDOWS\SYSTEM\Dllclient.exe"
关闭Regedit，重新启动计算机。
DEL C:\Windows\System\Dllclient.exe
OK
清除木马v2.0
打开注册表Regedit
点击目录至：
HKEY_USER/.Default/Software/Mirabilis/ICQ/Agent/Apps/ICQ Accel/
ICQ Accel是一个“假象“的主键，选中ICQ Accel主键并把它删除。
重新启动计算机。OK
15. BrainSpy vBeta
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
右边有 ??? = "C:\WINDOWS\system\BRAINSPY .exe"
???标签选是随意改变的。
关闭Regedit，重新启动计算机
查找删除C:\WINDOWS\system\BRAINSPY .exe
OK
16. Cain and Abel v1.50 - 1.51
这是一个口令木马
进入MS-DOS方式
查找到C:\windows\msabel32.exe
并删除它。OK
17. Canasson
清除木马的步骤：
打开WIN.INI文件
查找c:\msie5.exe，删除全部主键
保存win.ini
重新启动计算机
删除c:\msie5.exe木马文件
OK
18. Chupachbra
清除木马的步骤：
打开WIN.INI文件
[Windows]的下面有两个行
run=winprot.exe
load=winprot.exe
删除winprot.exe
run=
load=
保存Win.ini，再打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run
删除右边的‘System Protect‘ = winprot.exe
重新启动Windows
查找到C:\windows\system\ winprot.exe，并删除。
OK
19. Coma v1.09
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run
删除右边的‘RunTime‘ = C:\windows\msgsrv36.exe
重新启动Windows
查找到C:\windows\ msgsrv36.exe，并删除。
OK
20. Control
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run
删除右边的Load MSchv Drv = C:\windows\system\MSchv.exe
保存Regedit，重新启动Windows
查找到C:\windows\system\MSchv.exe，并删除。
OK
21. Dark Shadow
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\RunServices
删除右边的winfunctions="winfunctions.exe"
保存Regedit，重新启动Windows
查找到C:\windows\system\ winfunctions.exe，并删除。
OK
22. DeepThroat v1.0 - 3.1 + Mod (Foreplay)
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run
版本1.0
删除右边的项目‘System32‘=c:\windows\system32.exe
版本2.0-3.1
删除右边的项目‘SystemTray‘ = ‘Systray.exe‘
保存Regedit，重新启动Windows
版本1.0删除c:\windows\system32.exe
版本2.0-3.1
删除c:\windows\system\systray.exe
OK
23. Delta Source v0.5 - 0.7
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run
删除右边的项目：DS admin tool = C:\TEMPSERVER.exe
保存Regedit，重新启动Windows
查找到C:\TEMPSERVER.exe，并删除它。
OK
24. Der Spaeher v3
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run
删除右边的项目：explore = "c:\windows\system\dkbdll.exe "
保存Regedit，重新启动Windows
删除c:\windows\system\dkbdll.exe木马文件。
OK
25. Doly v1.1 - v1.7 (SE)
清除木马V1.1-V1.5版本：
这几个木马版本的木马程序放在三处，增加二个注册项目，还增加到Win.ini项目。
首先，进入MS-DOS方式，删除三个木马程序，但V1.35版本多一个木马文件mdm.exe。
把下列各项全部删除：
C:\WINDOWS\SYSTEM\tesk.sys
C:\WINDOWS\Start Menu\Programs\Startup\mstesk.exe
c:\Program Files\MStesk.exe
c:\Program Files\Mdm.exe
重新启动Windows。
接着，打开win.ini文件
找到[WINDOWS]下面load=c:\windows\system\tesk.exe项目，删除路径，改变为load=
保存win.ini文件。
最后，修改注册表Regedit
找到以下两个项目并删除它们
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
Ms tesk = "C:\Program Files\MStesk.exe"
和
HKEY_USER\.Default\Software\Microsoft\Windows\CurrentVersion\Run
Ms tesk = "C:\Program Files\MStesk.exe"
再寻找到HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ss
这个组是木马的全部参数选择和设置的服务器，删除这个ss组的全部项目。
关闭保存Regedit。
还有打开C:\AUTOEXEC.BAT文件，删除
@echo off copy c:\sys.lon c:\windows\StartMenu\Startup Items\
del c:\win.reg
关闭保存autoexec.bat。
OK
清除木马V1.6版本：
该木马运行时，将不能通过98的正常操作关闭，只能RESET键。彻底清除步骤如下：
1．打开控制面板——添加删除程序——删除memory manager 3.0，这就是木马程序，但是它并不会把木马的EXE文件删除掉。
2．用98或DOS启动盘启动（用RESET键）后，转入C:\，编辑AUTOEXEC。BAT，把如下内容删除：
@echo off copy c:\sys.lon c:\windows\startm~1\programs\startup\mdm.exe
del c:\win.reg
保存AUTOEXEC。BAT文件并返回DOS后，在C：\根目录下删除木马文件：
del sys.lon
del windows\startm~1\programs\startup\mdm.exe
del progra~1\mdm.exe
3．抽出软盘重新启动，进入98后，把c:\program files\目录下的memory manager 目录删除。
清除木马V1.7版本：
首先，打开C:\AUTOEXEC.BAT文件，删除
@echo off copy c:\sys.lon c:\windows\startm~1\programs\startup\mdm.exe
del c:\win.reg
关闭保存autoexec.bat
然后打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run
找到c:\windows\system\mdm.exe路径并删除这个项目
点击目录至：
HKEY_USER/.Default/Software/Marabilis/ICQ/Agent/Apps/
找到"C:\windows\system\kernal32.exe"路径并删除这个项目
关闭保存Regedit。重新启动Windows。
最后，删除以下木马程序：
c:\sys.lon
c:\iecookie.exe
c:\windows\start menu\programs\startup\mdm.exe
c:\program files\mdm.exe
c:\windows\system\mdm.exe
c:\windows\system\kernal32.exe
注意：kernal32是A
OK
26. Donald Dick v1.52 - 1.55
清除木马V1.52-1.53版本：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\system\CurrentControlSet\Services\VxD\VMLDIR\
删除右边的项目：StaticVxD = "vmldir.vxd"
关闭保存Regedit，重新启动Windows
删除C:\WINDOWS\System\vmldir.vxd
OK
清除木马V1.54-1.55版本：
这两个版本跟上面的版本只是默认文件名不同，其它都一样，
把vmldir.vxd改为intld.vdx即可。
27. Drat v1.0 - 3.0b
清除木马的步骤：
打开注册表Regedit
点击目录至：hkey_classes_root\exefile\shell\open\command
找到@=SHELL32 \"%1\" %*把它更改为@="%1" %*
关闭保存Regedit，重新启动Windows。
查找c:\windows\下shell32．＊文件，并删除它。
OK
28. Eclipse 2000
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：bybt = "c:\windows\system\eclipse2000.exe"
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ RunServices\
删除右边的项目：cksys = "c:\windows\system\ could be anything .exe"
关闭保存Regedit，重新启动Windows
查找到eclipse2000.exe木马文件，并删除
29. Eclypse v1.0
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：Rnaapp ="C:\WINDOWS\SYSTEM\rmaapp.exe"
关闭保存Regedit，重新启动Windows
删除C:\WINDOWS\SYSTEM\rmaapp.exe
注意：不要删除Rnaapp.exe
OK
30. Executer v1
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
在右边的项目查找到"C:\windows\sexec.exe"，并删除。
关闭保存Regedit，重新启动Windows
相应删除木马程序文件。
OK
31. FakeFTP beta
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：Rundll32 = rundll3.tww /h
关闭保存Regedit，重新启动Windows
找到C:\windows\文件夹下的三个文件并删除它们
rundll3.bat - 9x.reg - nt.reg
OK
32. Forced Entry
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：MicrosoftRegistration32 = "C:\somepath \trojanhrs.exe"
关闭保存Regedit，重新启动Windows
由于路径容易改变，只要查找到trojanhrs.exe，并删除它。
33. GateCrasher v1.0 - 1.2
清除木马v1.0：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：Explore=‘c:\windows\explore.exe‘
关闭保存Regedit，重新启动Windows
然后，删除相应的木马程序。
OK
清除木马v1.1：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：Inet=‘EXPLORE.EXE‘
关闭保存Regedit，重新启动Windows
然后，找到相应的木马程序，并删除。
OK
清除木马v1.2：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：Command = ‘c:\windows\system.exe‘
关闭保存Regedit，重新启动Windows
然后，找到相应的木马程序，并删除。
OK
34. Girlfriend v1.3x (Including Patch 1 and 2)
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：Windll.exe ="C:\windows\windll.exe"
Regedit里也保存着服务器的数据
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\General
删除General项目标题
关闭保存Regedit，重新启动Windows
然后，找到相应的木马程序，并删除。
OK
35. Golden Retreiver v1.1b
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：Task Manager="c:\mstask.exe"
关闭保存Regedit，重新启动Windows
然后，找到相应的木马程序，并删除。
OK
36. Hack`a`Tack 1.0 - 2000
清除木马v1.0-1.2：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：Explorer32 ="C:\windows\Expl32.exe"
关闭保存Regedit，重新启动Windows
然后，找到相应的木马程序，并删除。
OK
清除木马v2000：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：Configuration Wizard = c:\windows\cfgwiz32.exe
关闭保存Regedit，重新启动Windows
删除c:\windows\cfgwiz32.exe
OK
37. Hack99 KeyLogger
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：HKeyLog = "C:\Windows\System\HKeyLog.exe"
关闭保存Regedit，重新启动Windows
删除C:\Windows\System\HKeyLog.exe
OK
38. HostControl v1.0
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：RegClean = "c:\windows\inf\regcle32.exe"
关闭保存Regedit，重新启动Windows
删除c:\windows\inf\regcle32.exe
OK
39. Hvl Rat v5.30
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：Explorer = "C:\WINDOWS\system\MSGSVR16.EXE"
关闭保存Regedit，重新启动Windows
删除C:\WINDOWS\system\MSGSVR16.EXE
OK
40. ik97 v1.2
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：ik = ‘c:\progra~1\ik\ik.exe‘
关闭保存Regedit，重新启动Windows
删除C:\Program Files\ik\ik.exe
OK
41. InCommand v1.0 - 1.5
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
找到右边的项目：AdvancedSettings = *
注意：*表示就是木马的存放路径与文件名，记下后删除此键。
关闭保存Regedit，重新启动Windows
按照刚才记下的木马路径与文件名删除木马程序。
42. IndocTrination v0.1 - v0.11
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices\
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServicesOnce\
每项标题都包括Msgsrv16 ="Msgsrv16"项目
删除每个项目
关闭保存Regedit，重新启动Windows
删除C:\windows\system\msgserv16.exe
OK
43. inet v2.0 - 2.0n
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：Explorer = "C:\WINDOWS\system\inet.exe"
关闭保存Regedit，重新启动Windows
删除"C:\WINDOWS\system\inet.exe"
删除"C:\WINDOWS\system\inet.dll"
OK
44. Infector v1.0 - 1.42
清除木马的步骤：
打开system.ini文件
找到shell=explorer.exe c:\path\to\trojan.exe项目
改为：shell=explorer.exe
保存关闭system.ini文件，重新启动Windows
删除c:\path\to\trojan.exe
OK
45. iniKiller v1.2 - 3.2 Pro
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：Explore="C:\windows\bad.exe "
关闭保存Regedit，重新启动Windows
删除C:\windows\bad.exe
OK
46. Intruder
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：PPModule1 = ‘ppmod1.sys‘
关闭保存Regedit，重新启动Windows
删除C:\windows\system\ ppmod1.sys
删除C:\windows\system\ ppmod2.sys
OK
47. IRC3
清除木马的步骤：
打开win.ini文件
找到load=closew项目，更改为：load=
保存关闭win.ini，重新启动Windows
查找这两个文件‘rundlls.exe‘ 、‘closew.bat‘
并删除它们。
OK
48. Kaos v1.1 - 1.3
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：Sys="c:\windows\shell32.exe"
关闭保存Regedit，重新启动Windows
删除c:\windows\shell32.exe
OK
49. Khe Sanh v2.0
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：TBoot0001="c:\windows\system\trjp.exe"
关闭保存Regedit，重新启动Windows
删除c:\windows\system\trjp.exe
OK
50. Kuang logger
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：K2logas.task ="C:\WINDOWS\SYSTEM\K2logas.exe"
关闭保存Regedit，重新启动Windows
删除C:\WINDOWS\SYSTEM\K2logas.exe
OK
51. Kuang Original - 0.34
清除木马v Original版本：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：Temp$1.task = "c:\windows\system\temp$1.exe"
清除木马v 0.20-0.21版本：
点击目录至：
怎么能查出盗号人的IP！！
啊， 很简单，说的通俗点，如果中了木马 ，一般会有一个IP与你连接，如果你是用的ADSL，直接点开始----运行-----cmd-----netstat -an 会出现一堆IP，看到有和主机IP不一样的，就OK了