网络安全：手动清除gh0st远控服务端

 

手动清除gh0st远控服务端

 

为什么我们要手动清除木马呢？ 我们在做免杀或者在对gh0st大的修改的时候或者后门被意外破坏，不能用客户端自带的清除，这个时候就需要手动来清除。特别是我们在对一台肉鸡进行测试失败后（被杀或者dll释放了，没有上线），就需要手动清除，否则我们永远没法再上线了。

 

病毒分析：

------------------------------------------------------------------------------

注册表创建如下键值：

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\6to4

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_6TO4 

 

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_6TO4

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\6to4

 

%SystemRoot%\System32\svchost.exe -k netsvcs

 

注册表LEGACY_6TO4键值是直接删除不了

 

Netstat -anbo

 TCP    192.168.1.103:1058     59.50.199.108:12345    SYN_SENT        1028

 C:\WINDOWS\system32\mswsock.dll

 c:\windows\system32\WS2_32.dll

 c:\documents and settings\all users\drm\xxxx.dll    //这个就是我们的马，挂载IPv6上

 C:\WINDOWS\system32\msvcrt.dll

 C:\WINDOWS\system32\kernel32.dll

 [svchost.exe]

 

svchost.exe                 1028 Console                 0     17,004 K

 

taskkill  /f /pid  1028    //杀掉进程dll可以删除 但是没有用

 

c:\documents and settings\all users\drm\xxxx.dll 对应的服务名称，我们可以用svchostview来观察自己的马对应的服务名称和服务显示名称。

 

我们只需要把下面的两条语句放进.bat文件里面，传到肉鸡上面执行（6to4是gh0st默认的服务名称）

 

net stop 6to4

sc delete 6to4

 

批处理执行完后，如果你知道此服务对应的进程 可以用上面taskkill这个进程，然后执行新的gh0st马就OK了；如果不知道，那你等肉鸡重启，就可以执行新的gh0st马了，要不在批处理加个shutdown –f –r 肉鸡自动重启。

 

我最近在玩和讯微博，很方便，很实用，你也来和我一起玩吧！
去看看我的微博吧！http://t.hexun.com/3006897/default.html