瑞星卡卡安全论坛

“怎样挡住灰鸽子”一帖发表后，浏览者颇多。但实际效果如何？我无从考证。
这些天，看了一下求助者的HijackThis日志，发现：有些安装了SSM的朋友，其日志中不但有灰鸽子，而且还有其它木马。
问过一些这样的朋友，回答大多是：SSM的提示看不大明白，稀里糊涂的，就选择了“总是允许此操作”，从而将木马放进系统。

今天，针对这种情况，谈谈犯错后的补救措施。

我们从最“让人晕菜”情形谈起：虽然将SSM设置成系统服务启动加载，SSM工作也正常，但杀软报告中灰鸽子了（且杀不掉）。

这种情形，属于前面说的——灰鸽子进入系统时，自己没看懂SSM提示，稀里糊涂的就选择了“总是允许此操作”，鸽子因此进入系统。

这时，请不要慌。用HijackThis扫个日志，如果自己看不明白，发到论坛上，请能看懂日志的朋友帮助看一下。一般可以发现异常的O23项，如（XP系统）：

O23 - NT 服务: Windows Tlme (Windows T1me) - Unknown owner - C:\windows\Windows T1me.exe

顺便解释一下怎么解读这个O23：(Windows T1me) ——灰鸽子在注册表中添加的服务名，位于HKEY_LOCAL_MACHINE\SYSTEM\CURRENTCONTROLSET\SERVICES分支的左栏；C:\windows\Windows T1me.exe ——灰鸽子的可执行文件。

如果灰鸽子进入系统时，因没看懂SSM提示而误选了“总是允许此操作”，那就根据HijackThis日志提示的灰鸽子可执行文件名C:\windows\Windows T1me.exe ，按（图1）提示的操作，用SSM阻止C:\windows\Windows T1me.exe运行。

阻止其启动运行后，再核实一下SSM的设置——确保SSM作为系统服务加载（图2）。

然后重启系统。

这样，鸽子虽然还在你系统中，HijackThis日志中依然能见到异常的O23项（因为还没处理注册表），但只要你的SSM能正常启动运行，这只鸽子已经废了。

以后，再向人求教怎么把鸽子的文件垃圾和注册表垃圾清了，就行了。

有人可能会怀疑我的说法——你怎么就断定这鸽子废了？

有事实为证。

C:\windows\Windows T1me.exe 是个驱动级后门。感染系统后创建下列文件：

C:\windows\system32\cpoiuyk.dll（ROOTKIT）
C:\windows\system32\mainxo.sys（ROOTKIT）
C:\windows\Windows T1me.exe（灰鸽子）

如果这只鸽子没废，在WINDOWS模式下，即使你用IceSword，也删不掉C:\windows\system32\cpoiuyk.dll。

如果你按照上面说的做了，这三个文件可以在WINDOWS下直接删除。



图1

附件: 1558472005103205616.jpg

图2  确保SSM于系统启动时加载运行。

附件: 1558472005103205836.jpg

看来SSM在不同人的手中有不同的作用

请问一下版主，当我中了木马或病毒时，假如它已经进入系统，那我如何使用SSM看出它在我的电脑里生成了哪些文件？在注册表里增加了些什么呢？

引用:

【影子110的贴子】请问一下版主，当我中了木马或病毒时，假如它已经进入系统，那我如何使用SSM看出它在我的电脑里生成了哪些文件？在注册表里增加了些什么呢？ ...........................

如果木马进入时系统中并没安装SSM：安装SSM后，SSM有可能提示你木马添加的启动加载项（因为SSM默认状态下是监控一些关键注册表项的），但不能告诉你木马创建了什么文件。因为木马创建文件时，你的系统中并没有SSM。

即使安装SSM前，木马已经进入系统，安装SSM后，将其设置成启动加载，如果HijackThis日志中能发现木马文件所在路径，我们仍然可以用SSM废掉这只木马。

看下面的三个图：

图1

附件: 1558472005103210108.jpg

图2

附件: 1558472005103210315.jpg

图3

附件: 1558472005103210516.jpg

斑竹好耐心哦，赞一下 ！ :)

如果我已经安装了SSM，只不过并没有将SSM的启动模式作为服务自动开启，我已经启用了插件，监控程序活动，和过滤窗口标题，并将用户界面设为自动连接，在WIN正常运行后我才手动打开SSM，这时如果有木马程序运行，我通过什么方式能看出它都会创建哪些文件？比如日志里是否会自动记录？

引用:

【影子110的贴子】如果我已经安装了SSM，只不过并没有将SSM的启动模式作为服务自动开启，我已经启用了插件，监控程序活动，和过滤窗口标题，并将用户界面设为自动连接，在WIN正常运行后我才手动打开SSM，这时如果有木马程序运行，我通过什么方式能看出它都会创建哪些文件？比如日志里是否会自动记录？ ...........................

这就比较罗嗦啦。但也可能可以看到一些信息。

附件: 1558472005930180007.jpg

看这么多信息——很累呀！！

附件: 1558472005930180212.jpg

谢谢版主了~~~~~
继续~~~~~

【回复“影子110”的帖子】

基本上将“法宝”公布出来了。
现在，我担心的是——如果灰鸽子的作者把这些都看了去，把SSM琢磨透了，我们的法宝就完蛋了！！

这种担心并非“杞人忧天”。
这些天，看HijackThis日志时，有种不祥之兆——分明是NT系统，日志中却没有任何O23项！
加上近来出现的假冒“HijackThis1.99.2”，你不能说我这种担心没道理。

呵呵，，，
重要的在于自己平时的预防，法宝只能应急，是吗？
不过，想要把它给破了，可能也不是非常人能够的，，，，
这个法宝，我们还没入门已经感觉到它的威力了，，，要是能参透，嘻嘻，，，
对了，，，它常会提示说12月底到期，，，过了这个时间这个软件这们还能继续用吗？

引用:

【影子110的贴子】呵呵，，， ，它常会提示说12月底到期，，，过了这个时间这个软件这们还能继续用吗？ ...........................

仍然可用。但以后要更新，恐怕要掏银子了（据说SSM的自由软件期即将结束）。

继续学习。

好东西,谢谢

我自己摸索这就学会拉，我还在网杀下载了木马测试包，用ssm防制，相当于自己做的杀木马软件，哈哈，我真是天才！！！建议斑竹把自己的配置传上来，相信斑竹的机器的ssm的木马库一定很全的，哈哈

引用:

【影子110的贴子】请问一下版主，当我中了木马或病毒时，假如它已经进入系统，那我如何使用SSM看出它在我的电脑里生成了哪些文件？在注册表里增加了些什么呢？ ...........................

除非是偶装了新软件，否则只要是偶看不懂的就一律禁止，宁可错杀一千，也不放过一个

嗬嗬，多谢ＢＡＯＨＥ。收了。

HijackThis_815汉化版扫描日志 V1.99.1
保存于      21:49:35, 日期 2005-9-30
操作系统：  Windows 2000 SP4 (WinNT 5.00.2195)
浏览器：    Internet Explorer v6.00 SP1 (6.00.2800.1106)

当前运行的进程：         
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\System32\cisvc.exe
c:\tarenaproject\dllsetup\compushop.costoco.servicehost.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\System32\llssrv.exe
C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
C:\PROGRA~1\MI6841~1\MSSQL$~1\binn\sqlservr.exe
C:\PROGRA~1\MI6841~1\MSSQL\binn\sqlservr.exe
C:\WINNT\system32\nvsvc32.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\tcpsvcs.exe
C:\WINNT\System32\snmp.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\System32\wins.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\dns.exe
C:\WINNT\System32\inetsrv\inetinfo.exe
C:\WINNT\System32\msdtc.exe
C:\Program Files\Common Files\System\MSSearch\Bin\mssearch.exe
C:\WINNT\Explorer.EXE
C:\WINNT\system32\Dfssvc.exe
C:\WINNT\system32\conime.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\AGRSMMSG.exe
D:\SkynetPFW\FireWall\PFW.exe
C:\WINNT\system32\RUNDLL32.EXE
C:\Program Files\Ringz Studio\Storm Downloader\StormDownloader.exe
C:\WINNT\system32\ctfmon.exe
C:\Program Files\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe
C:\PROGRAM FILES\RISING\RAV\CCENTER.EXE
C:\PROGRAM FILES\RISING\RAV\Ravmond.exe
C:\PROGRAM FILES\RISING\RAV\RavStub.exe
c:\program files\rising\rav\RAVMON.EXE
c:\program files\rising\rav\RAVTIMER.EXE
C:\WINNT\System32\cidaemon.exe
C:\WINNT\System32\cidaemon.exe
D:\软件安装程序\五笔\wnwb.exe
D:\软件下载程序\遨游\Maxthon\Maxthon.exe
C:\Program Files\CNNIC\Cdn\cdnup.exe
C:\Program Files\System Safety Monitor\SYSSAFE.EXE
E:\好\qq\QQ.exe
E:\好\qq\TIMPlatform.exe
C:\Program Files\Thunder Network\Thunder\Thunder.exe
C:\Program Files\Thunder Network\Thunder\iPlayIssue.exe
C:\Program Files\WinRAR\WinRAR.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\Rar$EX00.032\HijackThis1991zww.exe

O2 - BHO: ThunderIEHelper Class - {0005A87D-D626-4B3A-84F9-1D9571695F55} - C:\WINNT\system32\xunleibho_v8.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\软砑件安沧装俺程绦序騖\PDF\Reader\ActiveX\AcroIEHelper.dll (file missing)
O2 - BHO: CNNIC_IDN - {35980F6E-A137-4E50-953D-813BB8556899} - C:\PROGRA~1\CNNIC\Cdn\cdniehlp.dll
O2 - BHO: QQIEHelper - {54EBD53A-9BC1-480B-966A-843A333CA162} - E:\好东东\qq\QQIEHelper.dll (file missing)
O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - D:\软砑件安瞺~1\快斐车礬\FLASHGET\JCCATCH.DLL (file missing)
O2 - BHO: Infofo 工具栏 - {D74EC18E-3DDD-4174-B1B1-949FE3B8366D} - C:\Program Files\Infofo Bar\infofobar.dll
O2 - BHO: update wnwb - {ED8DFC5C-10EF-45AB-9DC2-0639AFF5A270} - C:\PROGRA~1\COMMON~1\Wnwb\wnwbio.dll
O3 - IE工具栏增项: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - D:\软砑件安瞺~1\快斐车礬\FLASHGET\fgiebar.dll (file missing)
O3 - IE工具栏增项: Infofo 工具栏 - {D74EC18E-3DDD-4174-B1B1-949FE3B8366D} - C:\Program Files\Infofo Bar\infofobar.dll
O3 - IE工具栏增项: 电台(&R) - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx
O4 - 启动项HKLM\\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINNT\system32\NvCpl.dll,NvStartup
O4 - 启动项HKLM\\Run: [nwiz] nwiz.exe /install
O4 - 启动项HKLM\\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - 启动项HKLM\\Run: [SKYNET Personal FireWall] D:\SkynetPFW\FireWall\PFW.exe
O4 - 启动项HKLM\\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINNT\system32\NvMcTray.dll,NvTaskbarInit
O4 - 启动项HKLM\\Run: [MINI_BFYY] C:\Program Files\Ringz Studio\Storm Downloader\StormDownloader.exe
O4 - 启动项HKLM\\Run: [StormCodec_Helper] "C:\Program Files\Ringz Studio\Storm Codec\StormSet.exe" /S /opti
O4 - 启动项HKLM\\Run: [RavTimer] C:\PROGRA~1\RISING\RAV\RAVTIMER.EXE
O4 - 启动项HKLM\\Run: [RavMon] C:\PROGRA~1\RISING\RAV\RAVMON.EXE -SYSTEM
O4 - 启动项HKLM\\Run: [Thunder] "C:\Program Files\Thunder Network\Thunder\ThunderShell.exe" /s
O4 - 启动项HKLM\\Run: [CdnCtr] C:\Program Files\CNNIC\Cdn\cdnup.exe
O4 - HKCU\..\Run: [ctfmon.exe] ctfmon.exe
O4 - Startup: 腾讯QQ.lnk = ?
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office.lnk = E:\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: 服务管理器.lnk = C:\Program Files\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe
O8 - IE右键菜单中的新增项目: &使用暴风下载器下载 - C:\Program Files\Ringz Studio\Storm Downloader\geturl.htm
O8 - IE右键菜单中的新增项目: &使用迅雷下载 - C:\Program Files\Thunder Network\Thunder\geturl.htm
O8 - IE右键菜单中的新增项目: &使用迅雷下载全部链接 - C:\Program Files\Thunder Network\Thunder\getallurl.htm
O8 - IE右键菜单中的新增项目: Sothink SWF Catcher - C:\Program Files\Common Files\SourceTec\SWF Catcher\InternetExplorer.htm
O8 - IE右键菜单中的新增项目: 使用网际快车下载 - D:\软件安装程序\快车\FlashGet\jc_link.htm
O8 - IE右键菜单中的新增项目: 使用网际快车下载全部链接 - D:\软件安装程序\快车\FlashGet\jc_all.htm
O8 - IE右键菜单中的新增项目: 添加到QQ自定义面板 - E:\好东东\qq\AddPanel.htm
O8 - IE右键菜单中的新增项目: 添加到QQ表情 - E:\好东东\qq\AddEmotion.htm
O8 - IE右键菜单中的新增项目: 用QQ彩信发送该图片 - E:\好东东\qq\SendMMS.htm
O8 - IE右键菜单中的新增项目: 访问通用网址 - C:\Program Files\CNNIC\Cdn\cnnic.htm
O9 - 浏览器额外的按钮: 中文上网 - {35980F6E-A137-4E50-953D-813BB8556899} - C:\PROGRA~1\CNNIC\Cdn\cdniehlp.dll
O9 - 浏览器额外的“工具”菜单项: 中文上网 - {35980F6E-A137-4E50-953D-813BB8556899} - C:\PROGRA~1\CNNIC\Cdn\cdniehlp.dll
O9 - 浏览器额外的按钮: Infofo 工具栏 - {8507326C-B5C1-4559-BB91-0919E753836F} - C:\Program Files\Infofo Bar\infofobar.dll
O9 - 浏览器额外的“工具”菜单项: Infofo 工具栏 - {8507326C-B5C1-4559-BB91-0919E753836F} - C:\Program Files\Infofo Bar\infofobar.dll
O9 - 浏览器额外的按钮: QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b} - E:\好东东\qq\QQ.EXE (file missing)
O9 - 浏览器额外的“工具”菜单项: 腾讯QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b} - E:\好东东\qq\QQ.EXE (file missing)
O9 - 浏览器额外的按钮: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - D:\软件安~1\快车\FLASHGET\flashget.exe (file missing)
O9 - 浏览器额外的“工具”菜单项: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - D:\软件安~1\快车\FLASHGET\flashget.exe (file missing)
O9 - 浏览器额外的按钮: 易趣购物 - {DE60714F-AC17-427e-861A-FD60CBDF119A} - http://click2.ad4all.net/url2/urlmanage/url.asp?id=1 (file missing)
O9 - 浏览器额外的“工具”菜单项: 易趣购物 - {DE60714F-AC17-427e-861A-FD60CBDF119A} - http://click2.ad4all.net/url2/urlmanage/url.asp?id=1 (file missing)
O9 - 浏览器额外的按钮: (no name) - {DEDEB80D-FA35-45d9-9460-4983E5A8AFE6} - E:\好东东\qq\QQIEHelper.dll (file missing)
O9 - 浏览器额外的“工具”菜单项: QQ炫彩工具条设置 - {DEDEB80D-FA35-45d9-9460-4983E5A8AFE6} - E:\好东东\qq\QQIEHelper.dll (file missing)
O9 - 浏览器额外的按钮: Sothink SWF Catcher - {E19ADC6E-3909-43E4-9A89-B7B676377EE3} - C:\Program Files\Common Files\SourceTec\SWF Catcher\InternetExplorer.htm
O9 - 浏览器额外的“工具”菜单项: Sothink SWF Catcher - {E19ADC6E-3909-43E4-9A89-B7B676377EE3} - C:\Program Files\Common Files\SourceTec\SWF Catcher\InternetExplorer.htm
O10 - 未知的文件在 Winsock LSP: c:\winnt\system32\cdnns.dll
O11 - Options group: [CDNCLIENT]  中文上网
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {3D8F74EE-8692-4F8F-B8D2-7522E732519E} (WebActivater Control) - http://game.qq.com/QQGame2.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab
O16 - DPF: {E4E2F180-CB8B-4DE9-ACBB-DA745D3BA153} (Rising Web Scan Object) - http://download.rising.com.cn/register/pcver/autoupgradepad/Ver2005/OL2005.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{DC083596-9ABB-4114-A1A6-2FE1E8750439}: NameServer = 202.106.46.151 202.106.0.20
O18 - 列举现有的协议: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Program Files\Common Files\Microsoft Shared\Help\hxds.dll
O23 - NT 服务: CompuShop OrderService -  - c:\tarenaproject\dllsetup\compushop.costoco.servicehost.exe
O23 - NT 服务: Logical Disk Manager Administrative Service (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - NT 服务: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINNT\system32\nvsvc32.exe
O23 - NT 服务: COMEXE PIPClient (PIPClient) - Unknown owner - D:\软件下载程序\winpip\winpip.exe" -service (file missing)
O23 - NT 服务: Rising Process Communication Center (RsCCenter) - rising - C:\PROGRAM FILES\RISING\RAV\CCENTER.EXE
O23 - NT 服务: RsRavMon Service (RsRavMon) - Beijing Rising Technology Co., Ltd. - C:\PROGRAM FILES\RISING\RAV\Ravmond.exe

楼主帮我看下哈！~哪有问题啊，

我也中招了，来试试！

引用:

【baohe的贴子】这种担心并非“杞人忧天”。 这些天，看HijackThis日志时，有种不祥之兆——分明是NT系统，日志中却没有任何O23项！ 加上近来出现的假冒“HijackThis1.99.2”，你不能说我这种担心没道理。 ...........................

不显示O23项，，，是不是病毒能够在HijackThis运行时把他的服务项隐藏了，，，或整个的把HijackThis显示非系统服务的功能给屏蔽了~~~~~？
对了，还有一个问题问一下baohe斑主，
鸽子一般都是通过什么途径进入电脑的，是否能在源头尽量挡住它~~~
比如说，如果它通过恶意网页来自动在电脑里下载运行，我们是否可以在IE的安全设置里设置禁止控件下载，禁止脚本运行，（可能这样会导致网页上的某些功能不好用，或影响速度）将已知的恶意站点，添加到受限制站点，这样就可以将它们在第一步拒之与门外了~~~

（也不知说的对不对，如果有不正确的希望斑主及时指出，以免误人害已）

引用:

【我是天才陈叙的贴子】建议斑竹把自己的配置传上来，相信斑竹的机器的ssm的木马库一定很全的，哈哈 ...........................

让你失望了。我自己不怎么用SSM。我用TPF2005。TPF2005设置太复杂，且没有汉化版，不懂英文的或英文水平不高的没法使用。
我在这里推荐大家使用SSM。一是因为它有汉化版，大家用着方便，二是因为它很小巧，不太占空间，但威力强大。此外，这是个免费软件，不涉及破解问题。这些因素，就是我推荐SSM的主要原因。

很高渗的帖子`
`不错````

...很不错`````

免费的好软件最终都是要收费的啊,唉!