广外女生木马手工清除方法(3)

　　二.手工清除广外女生方法。

　　1.广外女生木马是一个驻留、启动方法比较典型性的木马，我以win2000为例直接切入正体。 因为我只用2000，别的系统也差不多的啦，自己参照一下吧~`````

　　如果一不小心运行了广外女生木马服务端会在C:\winnt\system32目录下增加一个文件“diagcfg.exe”，你也可以打开任务管理器查看，会发现其中有一个DIAGCFG。EXE的进程，这就是木马原身。但这时千万不能直接删除diagcfg.exe，否则系统就无法正常运行了。

　　再到注册表看看他到底藏在哪儿。（用注册表监察工具regsnap查出，在此不在累述过程，因为这不是本文重点）

　　HKEY_LOCAL_MACHINE\software\classes\exefile\shell\open\commandold value:string""%1" %*"

　　new value:string:"C:\winnt\system32\DIAGCFG.EXE "%1" %*"

　　这个键值由原来的"%1" %*被修改为了C:\winnt\system32\DIAGCFG.EXE "%1" %*,广外女生为什么要这样修改呢？有什么作用呢？

　　这就是运行可执行文件格式，被改为C:\winnt\system32\DIAGCFG.EXE "%1" %*之后每次再运行可执行文件时都要先执行C:\winnt\system32\DIAGCFG.EXE 这个程序。

　　他的启动方法与一般木马不太一样，一般木马是在HKEY_\software\microsoft\windows\CurrentVersion\Run键值里加载自己的启动项目，但这种方式被杀毒软件所熟知，所以很容易查杀。而广外女生就比较狡猾了，他把启动项目设在了另外的位置，这也就是杀毒软件不容易查杀他的原因之一。

　　2.好了，现在就开始手工清除他了，睁大眼睛看着！

　　注意：清除广外女生木马的步骤次序不能颠倒，否则无法彻底清楚此木马！！！

　　1/.开始/运行/“regedit”/确定。打开注册表。

　　HKEY_LOCAL_MACHINE\software\classes\exefile\shell\open\command\，先不要修改，因为如果这时修改注册表的话，diagcfg.exe进程仍然会立即把他改回来。

　　2/.打开“任务管理器”，找到diagcfg.exe进程，选中他按“结束进程”来关掉这个进程。注意：一定也不要先关进程再打开注册表，否则执行regedit.exe时又会启动diagcfg.exe。前功尽弃！

　　3/.把HKEY_LOCAL_MACHINE\software\classes\exefile\shell\open\command\的键值由原来的 C:\winnt\system32\DIAGCFG.EXE "%1" %*改为“%1” %* 。

　　4/.这时就可以删除C:\winnt\system32\目录下的diagcfg.exe了。切记不可先删除这个文件，否则，就无法在系统中运行任何可执行文件了。

　　最后说一下：广外女生木马后台监听端口为6267（默认），至于如何用fport查找广外女生木马端口和该木马如何查找snfw.exe、kav9x.exe的进程，也就是“天网防火墙”和“金山毒霸”的进程，然后将其杀掉。在此我就不多罗嗦了，因为本人很笨，一直以来都很少用过杀毒软件，最多也是帮别人装的时候用过一下。