2个回答
展开全部
一.工具说明：
冰刃：针对一些内核级木马所必须采用的工具！
木马辅助查找器：主要利用监视C盘与程序字节大小功能！
进程端口连接器：主要查看所检测的工具开放什么敏感端口！
木马捆绑克星：没多大用处，但是这个是误报算低的了，其他的更不行！
Ollydbg：32 位分析调试器，主要简单分析下软件是怎么运行，释放的！
System Safety Monitor：类似防火墙，但在加强了应用层监视
这些工具网上都有下载，估计大家都有吧，没有的话网上搜.....
二本文我介绍两种方法检测：
1.初步简单检测法
一般我们在一些有名的软件站下载软件安全隐患是比较少的，如：天空软件站！但是不排除他们工作人员检测的很干净，人嘛，难免有疏忽！所以，我们也要做一些简单检测！
在检测之前建议大家在虚拟机中进行，预防一些超级木马（如格盘程序），这里我拿美萍密码破解做演示！
先用木马辅助查找器自带的捆绑数据检测，检测一下，是安全的!从这个检测结果看出，它主要检测的是字节，字节相等非捆绑，这也是其他木马捆绑克星所检测的基本原理！但是本文的木马克星可不不是这样，我门来看下：这个木马捆绑克星可以检测出此工具经过是加壳处理，同时也具有修改注册表的功能！但是不具有网络功能，我们下一步来运行这个工具再打开进程端口查看器看一下是不是有连接就知道了，：没有连接网络！我们再用冰刃看下此软件有没有使用到rootkit技术把进程都端口都隐藏了！如果出现隐藏进程，冰刃会有红色标记起来的！在端口里刷新一下再用命令netstat -an对比一下端口是不是有隐藏的连接了！
通过以上几个步骤，基本可以断定这个小工具是安全的了！如果还不放心，我们再用OD简单分析下它运作过程！把程序载入OD，下文件处理函数两个：
然后F9运行一下！我们来看堆栈：
我们再运行一下，程序就跑起来了，说明这个程序并有没加载其他的可执行程序，只是释放了一个无效的windows映象文件（mstfime.ime)我们也可以用木马辅助查找器来监视C盘的动作，但是万一木马释放在别的盘加载启动项就不安全了！所以这里我不推荐木马辅助查找器监视C盘，而用OD！经过这样的检测！我们完全可以断定这个工具是安全的，放心使用了！
二.全面的分析检测
通过以上的检测，我们真的是可以放心使用了，起码我在利用以上方法没有检测不到的捆绑.....如果大家对以上还不怎么放心，下面这个工具绝对让你放心！
在运行程序前，SSM必须是开着的（废话），我们用灰鸽子测试看看：
这里我们要注意一下，允许那里，我们选择此操作仅当次就可，因为第一次运行，我们无法判断它是不是正常软件，所以我们只能允许一次，如果选择始终的话，就别检测了......后面我们再说SSM跟其他防火墙不同的地方！接着走
看，它开始调用C盘windows下的程序（它自己释放的），我们接着走
允许上两次动作以后，程序已经运行，它开始想插入IE进程里了（如果这时我们没有开网页，却有这样的请求....大家该杀毒了~呵呵）接着允许下去
除了有些P处理安装程序需要调用CMD以外，一个不知名软件也调？接着允许
这里才是关键，吊用命令行插入启动项.....一个反弹木马运行的整个过程就是这样，如果我们在OD里调试这个软件就会看到它所调用的P处理文件类型，可以从它所释放目录里复制出来分析一下！这个软件跟防火墙不同的地方是，可以检测到任意执行文件都会弹出一个对话框提示操作，而防火墙只会提示网络连接！，如果是一些破坏型木马，我们用网络防火墙来监视不是等于没用了吗！但是国内的风云防火墙文件监视能力也不错！喜欢用国产的东西就用风云吧！而正常软件SSM只会提示一次就会通国，而不是调用一系列非法程序了！
后记：其实检测一个软件是不是捆绑，不难！但是真正要把这个后门去掉的话，就用用到比较好的汇编知识了！可能很多人会说，在C32里直接查找一些网络代码如：HTTP,org等关键字不就可以了吗？大家不想想，如果这个这个程序加了壳呢？里面可都是乱码哦，所以我这里不说用C32，！现在很多人都是捆绑远程控制木马，所以，我们下一个软件的时候，如果是在一些小论坛，小网站下的，我们有必要在虚拟机中用上以上所有工具进行全方位检测！
补充下载软件的技巧：
1.到官方下载，我们下的任何软件最好到官方下载，不知道官方地址的话，可以这样在百度搜：灰鸽子官方下载，下载者官方下载等等......
2.用讯雷下载，设置跟杀软关联，这样下载的东西在下载过程中会被讯雷检测到木马跟弹窗广告，心里也有了个底。
3.下载完后不要立即运行，如果图个方便的话，最好用木马辅助查找器监视C盘运行，如果发现释放不明东东，直接全面检测......
冰刃：针对一些内核级木马所必须采用的工具！
木马辅助查找器：主要利用监视C盘与程序字节大小功能！
进程端口连接器：主要查看所检测的工具开放什么敏感端口！
木马捆绑克星：没多大用处，但是这个是误报算低的了，其他的更不行！
Ollydbg：32 位分析调试器，主要简单分析下软件是怎么运行，释放的！
System Safety Monitor：类似防火墙，但在加强了应用层监视
这些工具网上都有下载，估计大家都有吧，没有的话网上搜.....
二本文我介绍两种方法检测：
1.初步简单检测法
一般我们在一些有名的软件站下载软件安全隐患是比较少的，如：天空软件站！但是不排除他们工作人员检测的很干净，人嘛，难免有疏忽！所以，我们也要做一些简单检测！
在检测之前建议大家在虚拟机中进行，预防一些超级木马（如格盘程序），这里我拿美萍密码破解做演示！
先用木马辅助查找器自带的捆绑数据检测，检测一下，是安全的!从这个检测结果看出，它主要检测的是字节，字节相等非捆绑，这也是其他木马捆绑克星所检测的基本原理！但是本文的木马克星可不不是这样，我门来看下：这个木马捆绑克星可以检测出此工具经过是加壳处理，同时也具有修改注册表的功能！但是不具有网络功能，我们下一步来运行这个工具再打开进程端口查看器看一下是不是有连接就知道了，：没有连接网络！我们再用冰刃看下此软件有没有使用到rootkit技术把进程都端口都隐藏了！如果出现隐藏进程，冰刃会有红色标记起来的！在端口里刷新一下再用命令netstat -an对比一下端口是不是有隐藏的连接了！
通过以上几个步骤，基本可以断定这个小工具是安全的了！如果还不放心，我们再用OD简单分析下它运作过程！把程序载入OD，下文件处理函数两个：
然后F9运行一下！我们来看堆栈：
我们再运行一下，程序就跑起来了，说明这个程序并有没加载其他的可执行程序，只是释放了一个无效的windows映象文件（mstfime.ime)我们也可以用木马辅助查找器来监视C盘的动作，但是万一木马释放在别的盘加载启动项就不安全了！所以这里我不推荐木马辅助查找器监视C盘，而用OD！经过这样的检测！我们完全可以断定这个工具是安全的，放心使用了！
二.全面的分析检测
通过以上的检测，我们真的是可以放心使用了，起码我在利用以上方法没有检测不到的捆绑.....如果大家对以上还不怎么放心，下面这个工具绝对让你放心！
在运行程序前，SSM必须是开着的（废话），我们用灰鸽子测试看看：
这里我们要注意一下，允许那里，我们选择此操作仅当次就可，因为第一次运行，我们无法判断它是不是正常软件，所以我们只能允许一次，如果选择始终的话，就别检测了......后面我们再说SSM跟其他防火墙不同的地方！接着走
看，它开始调用C盘windows下的程序（它自己释放的），我们接着走
允许上两次动作以后，程序已经运行，它开始想插入IE进程里了（如果这时我们没有开网页，却有这样的请求....大家该杀毒了~呵呵）接着允许下去
除了有些P处理安装程序需要调用CMD以外，一个不知名软件也调？接着允许
这里才是关键，吊用命令行插入启动项.....一个反弹木马运行的整个过程就是这样，如果我们在OD里调试这个软件就会看到它所调用的P处理文件类型，可以从它所释放目录里复制出来分析一下！这个软件跟防火墙不同的地方是，可以检测到任意执行文件都会弹出一个对话框提示操作，而防火墙只会提示网络连接！，如果是一些破坏型木马，我们用网络防火墙来监视不是等于没用了吗！但是国内的风云防火墙文件监视能力也不错！喜欢用国产的东西就用风云吧！而正常软件SSM只会提示一次就会通国，而不是调用一系列非法程序了！
后记：其实检测一个软件是不是捆绑，不难！但是真正要把这个后门去掉的话，就用用到比较好的汇编知识了！可能很多人会说，在C32里直接查找一些网络代码如：HTTP,org等关键字不就可以了吗？大家不想想，如果这个这个程序加了壳呢？里面可都是乱码哦，所以我这里不说用C32，！现在很多人都是捆绑远程控制木马，所以，我们下一个软件的时候，如果是在一些小论坛，小网站下的，我们有必要在虚拟机中用上以上所有工具进行全方位检测！
补充下载软件的技巧：
1.到官方下载，我们下的任何软件最好到官方下载，不知道官方地址的话，可以这样在百度搜：灰鸽子官方下载，下载者官方下载等等......
2.用讯雷下载，设置跟杀软关联，这样下载的东西在下载过程中会被讯雷检测到木马跟弹窗广告，心里也有了个底。
3.下载完后不要立即运行，如果图个方便的话，最好用木马辅助查找器监视C盘运行，如果发现释放不明东东，直接全面检测......
已赞过
已踩过<
你对这个回答的评价是？
推荐律师服务：
若未解决您的问题，请您详细描述您的问题，通过百度律临进行免费专业咨询
