2023年12月8日发(作者：)

２００６年１２月第２３卷第４期三明学院学报ＪＯＵＲＮＡＬＯＦＳＡＮＭＩＮＧＵＮＩＶＥＲＳＩＴＹＤｅｃ．２００６Ｖｏｌ．２３ＮＯ．４ＤＬＬ木马的发现与清除林廷劈（三明学院数学与计算机科学系，福建三明３６５００４）摘要：探讨了ＤＬＬ木马的危害性，提出了如何发现这种木马的方法以及清除这种新型木马的措施。关键词：网络安全；ＤＬＬ木马；发现；清除中图分类号：ＴＰ３９３．０８文献标识号：Ａ文章编号：１６７３－４３４３（２００６）０４－０４３９－０４ＴｈｅＤｅｔｅｃｔｉｏｎａｎｄＤｅｌｅｔｉｏｎｏｆｔｈｅＤＬＬＴｒｏｊａｎＨｏｒｓｅＬＩＮＴｉｎｇ－ｐｉ（ＤｅｐａｒｔｍｅｎｔｏｆＭａｔｈｅｍａｔｉｃｓａｎｄＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅ，ＳａｎｍｉｎｇＵｎｉｖｅｒｓｉｔｙ，Ｓａｎｍｉｎｇ３６５００４，Ｃｈｉｎａ）Ａｂｓｔｒａｃｔ：ＴｈｉｓａｒｔｉｃｌｅｄｉｓｃｕｓｓｅｓｔｈｅｈａｒｍｏｆｔｈｅＤＬＬＢａｃｋｄｏｏｒ，ｐｏｉｎｔｓｏｕｔｈｏｗｔｏｄｅｔｅｃｔｔｈｅｂａｃｋｄｏｏｒａｎｄｉｎｔｒｏｄｕｃｅｓｓｏｍｅｍｅｔｈｏｄｓｈｏｗｔｏｅｒａｓｅｔｈｉｓｎｅｗｔｙｐｅｏｆｂａｃｋｄｏｏｒ．Ｋｅｙｗｏｒｄｓ：ＤＬＬＴｒｏｊａｎＨｏｒｓｅ；ｄｅｔｅｃｔｉｏｎ；ｄｅｌｅｔｉｏｎ引言木马在如今的网络中，是十分普遍的存在，它的危害不言而喻。如果你家的电脑经常泄露秘密，一般都是木马的原因。随着人们对网络安全意识的提高，对木马认识的加强，传统的木马（一个或几个可执行程序）已经很难再隐藏自己，于是出现了一种新型的木马，它就是用ＤＬＬ文件做成的木马。这种木马把自己做成一个ＤＬＬ文件，然后再由某个ＥＸＥ程序文件作为载体对它进行调用，或者使用ＲＵＮＤＬＬ３２．ＥＸＥ来启动，通过这样的技术处理，一方面不会有木马本身的进程出现，同时也实现了端口的隐藏。因此这种木马很难被察觉，也很难清除。本文针对ＤＬＬ木马这一问题进行探讨，提出了ＤＬＬ木马如何发现和清除的方法。器上（或者ＷＥＢ服务器），然后他会在网络中找各种机会宣传服务器的地址让用户去访问，所以用户下载文件时一定要小心提防；隐藏在带附件的邮件中，这种邮件很多，一些垃圾邮件就经常是这种类型，一旦运行了附件中的文件，那么木马就在你的机器中＂安营扎寨＂了；当然这种方式的传播对用户来说已经不可怕了，因为很多用户都有一定的警惕性了，不轻易运行附件就可以了；通过即时通信工具进行传播，比如对方把木马和一张很有诱惑力的图片绑在一起，通过ＱＱ发给你，一般情况下你都会打开这图片看看，看完之后你的电脑就中招了；通过不良网站传播，这种情况最难防范，只要你的机器访问对方的网站，就等于“引狼入室”。目前这种不良网站数量很多，可谓防不胜防。木马一旦侵入你的系统，无异于用户的一切资料大门洞开，后患无穷，对此不能掉以轻心。很多木马最喜欢做的事情就是收集用户各种密码，还有的专门记录用户键盘输入的字符。许多用户认为自己安装了防火墙，也安装了杀毒软件，机器就安全了。但是道高一尺魔高一丈，随着木马开发者不断地进行技术改进，很多木马都能绕过防火墙的拦截，国内常用的瑞星、天网、毒霸等工具都算不错的防火墙软件，但是这些工具对于木马开１木马侵入机器的途径和危害木马大多十分隐蔽，在多数情况下，很多机器都是在不知不觉中被种植了木马。根据笔者的研究发现，木马侵入机器的途径主要有：隐藏在软件包中，一旦用户下载了一个带有木马的软件包，在机器运行安装程序时，木马就会种植在系统中；很多木马都是绑定在某个软件上的，传播木马的玩家很喜欢把木马放在ＦＴＰ服务收稿日期：２００６－０８－１３作者简介：林廷劈（１９７３－），男，福建大田人，讲师。４４０・・三明学院学报第２３卷发者来说太熟悉了，他们轻易就能绕过这些工具的阻拦，从而进入你的系统，一旦木马进入你的系统，很多情况下会让你束手无策，因为很多工具根本无法杀除它，即使是最好的杀毒软件“卡巴斯基”也无可奈何。于是，很多人都想到一个办法：那实际上，就是重装系统！当然，这是没办法的办法。我们通过了解和掌握计算机网络的一些防范知识，那些木马并非无迹可寻。夹，在这个文件夹下，可以看到三个文件：ＰＲ－ＰＩＤＳ－０６－０８－９－０－０－０．ｌｏｇ，ＰＲ－ＰＯＲＴＳ－０６－０８－９－０－０－０．ｌｏｇ和ＰＲ－ＩＮＩＴＩＡＬ－０６－０８－９－０－０－０．ｌｏｇ，这三个文件是一直在更新的，即每开机一次都会自动生成三个新的文件，这里我们要着重查看第一个文件和第三个文件，在文件中会显示出系统运行了哪些进程、访问的ＩＰ地址和端口号、以及每个进程所调用的所有ＤＬＬ文件（这个最重要）等，比如ｗｉｎｌｏｇｏｎ．ｅｘｅ进程所调用的ＤＬＬ文件：２识别ＤＬＬ木马的方法首先了解一下ＤＬＬ文件，ＤＬＬ（ＤｙｎａｍｉｃＬｉｎｋＰｒｏｃｅｓｓＩＤ：４１６（ｗｉｎｌｏｇｏｎ．ｅｘｅ）Ｕｓｅｒｃｏｎｔｅｘｔ：ＮＴＡＵＴＨＯＲＩＴＹ＼ＳＹＳＴＥＭＰｒｏｃｅｓｓｄｏｅｓｎ＇ｔａｐｐｅａｒｔｏｂｅａｓｅｒｖｉｃｅＰｏｒｔＳｔａｔｉｓｔｉｃｓＴＣＰｍａｐｐｉｎｇｓ：０ＵＤＰｍａｐｐｉｎｇｓ：０Ｌｏａｄｅｄｍｏｄｕｌｅｓ：Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ｗｉｎｌｏｇｏｎ．ｅｘｅ（０ｘ０１００００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ｎｔｄｌｌ．ｄｌｌ（０ｘ７７Ｆ３００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ｋｅｒｎｅｌ３２．ｄｌｌ（０ｘ７７Ｅ１００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ｍｓｖｃｒｔ．ｄｌｌ（０ｘ７７Ｂ７００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ＡＤＶＡＰＩ３２．ｄｌｌ（０ｘ７７Ｄ６００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ＲＰＣＲＴ４．ｄｌｌ（０ｘ７７Ｃ２００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ＵＳＥＲ３２．ｄｌｌ（０ｘ７７ＣＤ００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ＧＤＩ３２．ｄｌｌ（０ｘ７７ＢＤ００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ＵＳＥＲＥＮＶ．ｄｌｌ（０ｘ７５８７００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ＮＤｄｅＡｐｉ．ｄｌｌ（０ｘ７５７１００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ＣＲＹＰＴ３２．ｄｌｌ（０ｘ７６０Ａ００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ＭＳＡＳＮ１．ｄｌｌ（０ｘ７６０８００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼Ｓｅｃｕｒ３２．ｄｌｌ（０ｘ７６ＥＢ００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ＷＩＮＳＴＡ．ｄｌｌ（０ｘ７６１５００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ＮＥＴＡＰＩ３２．ｄｌｌＬｉｂｒａｒｙ）是系统中的动态链接库文件，ＤＬＬ文件本身并不能够运行，需要应用程序来调用。当程序运行时，Ｗｉｎｄｏｗｓ将其装入内存中，并寻找文件中出现的动态链接库文件。对于每个动态链接，Ｗｉｎｄｏｗｓ都会装入指定的ＤＬＬ文件并把它映射到相应虚拟地址空间中。ＤＬＬ木马实际就是把一段实现了木马功能的代码加上一些特殊代码写成ＤＬＬ文件。ＤＬＬ文件运行时是插入到应用程序的内存模块当中，所以正在被调用中的ＤＬＬ文件无法删除。肯定要不管是何种类型的木马，它要“作恶”通过本地端口与外部电脑连接，只要查看本机开放端口和连接情况，一般就可以找出木马客户端。查看端口和连接最简单的工具可用ｎｅｔｓｔａｔ命令（格式：ｎｅｔｓｔａｔ－－ａｎ），通过这个命令可以查找到一些可疑的连接，特别要注意ＥＳＴＡＢＬＩＳＨＥＤ，它表示已经建立连接，两台机器正在通信；ＴＩＭＥ＿ＷＡＩＴ的意思是已经结束连接，说明端口曾经有过访问，但访问结束了；ＳＹＮ＿ＳＥＮＴ是本机向其它计算机发出的连接请求，一般这个状态存在的时间很短。令人遗憾的是，ｎｅｔｓｔａｔ这个命令并不能看到发起连接的进程。为此，我们还需要借助其他软件的配合使用，微软有一个软件可以很好地解决这个问题，它就是ＰｏｒｔＲｅｐｏｒｔ这个工具，这个工具很小，可以直接到微软的官方网站免费下载，下载地址是：ｈｔｔｐ：／／ｗｗｗ．ｍｉｃｒｏｓｏｆｔ．ｃｏｍ／ｄｏｗｎｌｏａｄｓ／ｄｅｔａｉｌｓ．ａｓｐｘ？ｆａｍｉｌｙｉｄ＝６９ｂａ７７９ｂ－ｂａｅ９－４２４３－ｂ９ｄ６－６３ｅ６２ｂ４ｂｃｄ２ｅ＆ｄｉｓｐｌａｙｌａｎｇ＝ｅｎ下载完成后，直接安装，然后要激活这项服务，右键点击我的电脑，选择“管理”，在管理窗口中选择“服务”，然后在右边窗口中就可以找到，接下来就是查看“启动”ＰｏｒｔＲｅｐｏｒｔ服务，点击了，找到ｗｉｎｄｏｗｓ＼ｓｙｓｔｅｍ３２＼Ｌｏｇｆｉｌｅｓ＼ＰｏｒｔＲｅｐｏｒｔ文件第４期林廷劈：ＤＬＬ木马的发现与清除・・４４１（０ｘ７１ＢＡ００００）ｗｗ＿８４１７４５０Ｂ＼Ｃｏｍｃｔｌ３２．ｄｌｌ（０ｘ７０ＡＤ００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ＷＩＮＳＣＡＲＤ．ＤＬＬ（０ｘ７２３６００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ＷＴＳＡＰＩ３２．ｄｌｌ（０ｘ７６Ｅ６００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ＷＩＮＭＭ．ｄｌｌ（０ｘ７６９Ｅ００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ｓｘｓ．ｄｌｌ（０ｘ７５ＣＡ００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ｓｈｅｌｌ３２．ｄｌｌ（０ｘ７７３７００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ｗｌｄａｐ３２．ｄｌｌ（０ｘ７６Ｅ７００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ｃｓｃｄｌｌ．ｄｌｌ（０ｘ７６４１００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ｒｓａｅｎｈ．ｄｌｌ（０ｘ０ＦＦＤ００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ＷｌＮｏｔｉｆｙ．ｄｌｌ（０ｘ７５７２００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ＷＩＮＳＰＯＯＬ．ＤＲＶ（０ｘ７２Ｆ４００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ＭＰＲ．ｄｌｌ（０ｘ７１Ｂ３００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ＷｉｎＳｘＳ＼ｘ８６＿Ｍｉｃｒｏｓｏｆｔ．Ｗｉｎｄｏｗｓ．Ｃｏｍｍｏｎ－Ｃｏｎｔｒｏｌｓ＿６５９５ｂ６４１４４ｃｃｆ１ｄｆ＿５．８２．０．０＿ｘ－ｗｗ＿８Ａ６９ＢＡ０５＼ＣＯＭＣＴＬ３２．ｄｌｌ（０ｘ７０ＢＣ００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ＵｘＴｈｅｍｅ．ｄｌｌ（０ｘ７１ＡＤ００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ＳＡＭＬＩＢ．ｄｌｌ（０ｘ５Ｄ００００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ｃｓｃｕｉ．ｄｌｌ（０ｘ７６４３００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ＮＴＭＡＲＴＡ．ＤＬＬ（０ｘ７６ＢＣ００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ｗｄｍａｕｄ．ｄｒｖ（０ｘ７２Ｃ４００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ＯＬＥＡＵＴ３２．ｄｌｌ（０ｘ７７０Ｄ００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ＣＬＢＣａｔＱ．ＤＬＬ（０ｘ７６ＥＦ００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ＣＯＭＲｅｓ．ｄｌｌ（０ｘ７６Ｆ７００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ｍｓａｃｍ３２．ｄｒｖ（０ｘ７２Ｃ３００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ＭＳＡＣＭ３２．ｄｌｌＣ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ＰＲＯＦＭＡＰ．ｄｌｌ（０ｘ７５７０００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ＲＥＧＡＰＩ．ｄｌｌ（０ｘ７６Ａ６００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ＷＳ２＿３２．ｄｌｌ（０ｘ７１Ｂ６００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ＷＳ２ＨＥＬＰ．ｄｌｌ（０ｘ７１Ｂ５００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ＰＳＡＰＩ．ＤＬＬ（０ｘ７６ＡＢ００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ＶＥＲＳＩＯＮ．ｄｌｌ（０ｘ７７Ｂ６００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ＳＥＴＵＰＡＰＩ．ｄｌｌ（０ｘ７６４８００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ＩＭＭ３２．ＤＬＬ（０ｘ７６１８００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ＬＰＫ．ＤＬＬ（０ｘ６３０９００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ＵＳＰ１０．ｄｌｌ（０ｘ７２ＥＥ００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ＫＢ６８４７４５Ｍ．ＬＯＧ（０ｘ１０００００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ＭＳＧＩＮＡ．ｄｌｌ（０ｘ７５７４００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ＳＨＳＶＣＳ．ｄｌｌ（０ｘ７６Ａ８００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ＳＨＬＷＡＰＩ．ｄｌｌ（０ｘ７７２８００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ｓｆｃ．ｄｌｌ（０ｘ７６Ａ５００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ｓｆｃ＿ｏｓ．ｄｌｌ（０ｘ７６Ｂ４００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ＷＩＮＴＲＵＳＴ．ｄｌｌ（０ｘ７６Ｂ１００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ｏｌｅ３２．ｄｌｌ（０ｘ７７１５００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ｉｍａｇｅｈｌｐ．ｄｌｌ（０ｘ７６Ｂ７００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ａｐｐｈｅｌｐ．ｄｌｌ（０ｘ７５Ｄ６００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ｍｓｃｔｆｉｍｅ．ｉｍｅ（０ｘ００８５００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ＷｉｎＳｘＳ＼ｘ８６＿Ｍｉｃｒｏｓｏｆｔ．Ｗｉｎｄｏｗｓ．ｃｏｍｍｏｎ－Ｃｏｎｔｒｏｌｓ＿６５９５ｂ６４１４４ｃｃｆ１ｄｆ＿６．０．１００．０＿ｘ－４４２・・（０ｘ７７Ｂ４００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ｍｉｄｉｍａｐ．ｄｌｌ（０ｘ７７Ｂ３００００）三明学院学报第２３卷发现并查杀。为了提高木马的成活率，网上出现了很多动态嵌入式木马，它是将木马代码（ＤＬＬ文件）嵌入到正在运行的系统服务进程中。在Ｗｉｎｄｏｗｓ系统中，每个系统服务进程都有自己的私有内存空间，但还是有种种方法来进入其进程的私有内存空间，来实现动态嵌入式。由于系统的关键进程是不能终止的，所以这类后门非常隐蔽，查杀也非常困难。对这种木马，一般要先查看网络连接情况，等清楚了某个可疑的网络连接之后，拔掉网络线，关闭网络连接，使外部网络与本机失去所有连接，再调用ＰｏｒｔＲｅｐｏｒｔ分析出木马所依赖的程序或者是哪个系统进程，进而分析和比较可以得出可疑的ＤＬＬ文件，找到ＤＬＬ木马文件之后，目前还无法马上删除这个文件，因为它是系统进程所调用的ＤＬＬ文件，只要系统进程没终止，那么这个Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ｗｂｅｍ＼ｗｂｅｍｐｒｏｘ．ｄｌｌ（０ｘ７４Ｃ３００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ｗｂｅｍ＼ｗｂｅｍｃｏｍｎ．ｄｌｌ（０ｘ７５０３００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ｗｂｅｍ＼ｗｂｅｍｓｖｃ．ｄｌｌ（０ｘ７４Ｃ２００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ｗｂｅｍ＼ｆａｓｔｐｒｏｘ．ｄｌｌ（０ｘ７５４６００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ＭＳＶＣＰ６０．ｄｌｌ（０ｘ７８０Ｃ００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ＮＴＤＳＡＰＩ．ｄｌｌ（０ｘ７６６３００００）Ｃ：＼ＷＩＮＤＯＷＳ＼ｓｙｓｔｅｍ３２＼ＤＮＳＡＰＩ．ｄｌｌ（０ｘ７６Ｅ３００００）把这些内容保存到某个文件（如ｔ１．ｔｘｔ）中，如果用户对这些ＤＬＬ文件不熟悉，无法判断是否为系统本身的文件，那么可以找到另一台没有“中毒”机器，通过同样的方法，导出另一个文件ｔ２．ｔｘｔ，把这两个文件放在同一个文件夹下，然后利用工具ＦＣ对ｔ１．ｔｘｔ和ｔ２．ｔｘｔ进行比较：ＦＣｔ１．ｔｘｔＤＬＬ文件就无法删除，我们可以通过系统管理先停止这个系统服务（可以进入系“我的电脑／管理”统管理），接下来要修改注册表，运行ｒｅｇｅｄｉｔ，通过查找功能，找到相应ＤＬＬ木马文件的相关项目，删除它（注意要多找几次），重新启动系统，删除ＤＬＬ木马文件，至此，这个ＤＬＬ木马就删除了。ｔ２．４总结ＤＬＬ木马是一种技术含量较高的木马，用一ｔｘｔ＞ｔ３．ｔｘｔ，在ｔ３．ｔｘｔ文件中，可以找出哪些不同的地方，如果有ＤＬＬ后门通过ｗｉｎｌｏｇｏｎ．ｅｘｅ调用的话，就可以很容易地分析出来。般方法不易发现，查杀也有一定的难度。而它的危害性则不可低估，一旦侵入机器，就能够轻易地盗窃用户的重要密码和文件，造成严重的破坏和损失。笔者针对这一问题，建议用户根据上述流程进行查杀和清除，以免造成不良的后果。同时在下载文件和访问一些不知名的站点的时候要有防范意识，随时查看自己的网络连接情况，多注意一些不正常的网络连接，这样基本可以防范木马所造成的危害，从而保证自己的数据安全。参考文献：［１］ＤＬＬ后门清除完全篇［ＥＢ／ＯＬ］．（２００５－１０－０９）［２００６－０８－０１］．ｈｔｔｐ：／／ｃａｉｎｉａｏｘｌｅｉ．ｂｌｏｇｃｈｉｎａ．ｃｏｍ／３１６９１０６．ｈｔｍｌ．［２］动态嵌入式ＤＬＬ木马发现与清除［ＥＢ／ＯＬ］．（２００５－１２－０８）［２００６－０８－０１］．ｈｔｔｐ：／／ｗｗｗ．ｊｉａｈｅｔｅｃｈ．ｃｏｍ／ｉｎｄｅｘ／０５１２０８＿１．ｈｔｍ．３ＤＬＬ木马的清除３．１通过Ｒｕｎｄｌｌ３２．ｅｘｅ启动的木马由于系统本身会调用来加载正“ｒｕｎｄｌｌ３２．ｅｘｅ”常的ＤＬＬ文件，所以这类木马主要看加载的是什么ＤＬＬ文件，因为木马大多是通过注册表键值来进行自启动。所以首先检查那些常见的自启动键值，在注册表的［ＨＫＥＹ＿ＬＯＣＡＬ＿ＭＡＣＨＩＮＥ＼ＳＯＦＴ－ＷＡＲＥ＼Ｍｉｃｒｏｓｏｆｔ＼Ｗｉｎｄｏｗｓ＼ＣｕｒｒｅｎｔＶｅｒｓｉｏｎ＼Ｒｕｎ］下，可以查看到哪些ＤＬＬ被调用，查杀此类木马的方进程终止，接着查找注法是：首先将“ｒｕｎｄｌｌ３２．ｅｘｅ”册表各启动键值，从启动命令的路径中找到相应的ＤＬＬ文件并删除，然后重新启动系统即可。３．２嵌入式木马运用Ｒｕｎｄｌｌ３２．ｅｘｅ调用的木马，很容易被用户（责任编辑：徐涛）