荔园在线
荔园之美，在春之萌芽，在夏之绽放，在秋之收获，在冬之沉淀
[回到开始]
[上一篇][下一篇]
发信人: xhjx (祝你考试顺利^_^), 信区: Virus
标 题: 冰河
发信站: 荔园晨风BBS站 (Sat Dec 8 19:56:36 2001), 站内信件
冰河可以说是最有名的木马了，就连刚接触电脑的用户也听说过它。虽然许多
杀毒软件可以查杀它，但国内仍有几十万中冰河的电脑存在！作为木马，冰河创造
了最多人使用、最多人中弹的奇迹！现在网上又出现了许多的冰河变种程序，我们
这里介绍的是其标准版，掌握了如何清除标准版，再来对付变种冰河就很容易了。
冰河的服务器端程序为G-server.exe，客户端程序为G-client.exe，默认连接
端口为7626。一旦运行G-server，那么该程序就会在C:\Windows\system目录下生
成Kernel32.exe和sysexplr.exe，并删除自身。Kernel32.exe在系统启动时自动加
载运行，sysexplr.exe和TXT文件关联。即使你删除了Kernel32.exe，但只要你打
开TXT文件，sysexplr.exe就会被激活，它将再次生成Kernel32.exe，于是冰河又
回来了！这就是冰河屡删不止的原因。
清除方法：
1、删除C:\Windows\system下的Kernel32.exe和Sysexplr.exe文件。
2、冰河会在注册表
HKEY_LOCAL_MACHINE\software\microsoft\windowsCurrentVersion\Run下扎根，
键值为C:\windows\system\Kernel32.exe，删除它。
3、在注册表的
HKEY_LOCAL_MACHINE\software\microsoft\windowsCurrentVersion\Runservices
下，还有键值为C:\windows\system\Kernel32.exe的，也要删除。
4、最后，改注册表HKEY_CLASSES_ROOT\txtfile\shell\open\command下的默
认值，由中木马后的C:\windows\system\Sysexplr.exe %1改为正常情况下的C:
\windows\notepad.exe %1，即可恢复TXT文件关联功能。
--
╳╳￣╳╳￣╳╳￣╳╳￣╳╳￣╳╳￣╳╳￣╳╳￣╳╳￣╳╳￣╳╳￣╳╳
︳╳ ︳╳ ︳╳ ︳无 ︳边 ︳无 ︳际 ︳的 ｜ 网 ｜ ╳ ｜ ╳ ｜
╳╳ ╳╳ ╳╳ ╳╳ ╳╳ ╳╳ ╳╳ ╳╳ ╳╳ ╳╳ ╳╳ ╳╳
╳╳￣╳╳￣╳╳￣╳╳￣╳╳￣╳╳￣╳╳￣╳╳￣╳╳￣╳╳￣╳╳￣╳╳
︳╳ ︳轻 ︳易 ︳把 ︳我 ︳困 ︳在 ︳网 │ 中 │ 央 ｜ ╳ ｜
╳╳ ╳╳ ╳╳ ╳╳ ╳╳ ╳╳ ╳╳ ╳╳ ╳╳ ╳╳ ╳╳ ╳╳
※ 来源:·荔园晨风BBS站 bbs.szu.edu.cn·[FROM: 192.168.48.234]
[回到开始]
[上一篇][下一篇]
荔园在线首页 友情链接：深圳大学 深大招生 荔园晨风BBS S-Term软件 网络书店