用VC如何查找木马

[voidsky]

如题，分不够可以另开帖

[voidsky]

自己再顶上去

[voidsky]

UP,别沉了

[MoXiaoRab]

你可以先收集3-4个病毒的特征码，做个Demo意思意思还是不难的

[bobob]

[Quote=引用 48 楼 voidsky 的回复:]
有很多木马是不需要和外界联系的
[/Quote]
有点意思，不和外界联系的木马不知道有何用？我想你应该先去搞明白木马是什么？

[ivension]

JF

[vclongking]

这个问题有难度！！！！

[周成风]

需要查找木马的时候，直接调用打开360。。然后让用户自己查找去!!

[bobob]

楼主可以从另外的角度考虑这个问题

凡是木马，必然会与外界有通信，也就是必须联网才有破坏力

楼主可以监听所有联网的进程，对可疑的网络链接进行处理

[心留]

[Quote=引用 7 楼 huangkaigoodup 的回复:]
那你要对网络安全编程有深入了解才行
我这有个判断是否中了“冰河”木马的C++程序，希望对你有帮助！
#include <stdio.h>
#include <windows.h>
main()
{
HKEY hKEY;
LPCTSTR data_Set = "txtfile\\shell\\open\\command";
long ret0 = (RegOpenKeyEx(HKEY_CLASSES_ROOT,
data_Set, 0, KEY_READ,&hKEY));
if(ret0 != ERROR_SUCCESS) //如果无法打开hKEY，则终止程序的执行
{
return 0;
}
//查询有关的数据
LPBYTE owner_Get = new BYTE[80];
DWORD type_1 = REG_EXPAND_SZ ;
DWORD cbData_1 = 80;
long ret1=RegQueryValueEx(hKEY, NULL, NULL,
&type_1, owner_Get, &cbData_1);
if(ret1!=ERROR_SUCCESS)
{
return 0;
}

if(strcmp((const char *)owner_Get,"%systemroot%\\system32\\notepad.exe %1") == 0)
{
printf("没有中冰河");
}
else
{
printf("可能中了冰河");
}

printf("\n");
}
[/Quote]

你这个只能检测一部分

[flyskytoday]

你把所有进程都列出来，查看是否有可疑进程

[Walker1313]

这确实有些复杂，首先木马是多种多样的，有流行的也有不流行的；再次木马的运行方式也多种多样，一般是注入进程。查找木马可以从进程、端口等入口，如果知道木马的植入方式和生产文件，就直接定位查找，当然还有ring0级的，可不是一般的人能解决。本人小菜，多多批评。

[voidsky]

有很多木马是不需要和外界联系的

[voidsky]

UP

[allright1199]

支持

[yuanzh]

[Quote=引用 53 楼 alicehyxx 的回复:]
需要查找木马的时候，直接调用打开360。。然后让用户自己查找去!!
[/Quote]
这个法好

[syxhpx]

DING

[Brahmos]

来个主动防御吧。。 微点就那个软件。。。 楼主。。。

[lanseshenhua]

主动防御比较不错。

[ediex]

现在的木马都是高智能的，有的做成了驱动，有的做成了程序外挂，有的做成了系统的一部分。
有的做成了访问web服务的程序的，有的做成了电子邮件模式，有的做成了只有后门。

[callesp]

你这问题也太广泛了

怎么不问具 vc 如何编写操作系统?