【小技巧】手工查找后门木马

一、首先最需要注意的地方是系统的启动项

可以在“运行”-输入“msconfig 命令”在打开的系统配置实用程序里的启动列表查看，并且服务也要注意一下。

查看有无异常的可以启动项和服务项，因为在后门木马中 99%都会注册自己为系统服务，达到开机自启动的目的，如果发现可疑项直接打开相应的路径，找到程序文件，直接删除并且禁止自启动；

二、查看系统关键目录 system32 和系统安装目录 Windows 下的文件

最新修改的文件中有没有可疑的可执行文件或 dll 文件，这两个地方都是木马最喜欢的藏身的地方了（小提示：一定要设置显示所有的文件的文件夹哦）

三、观察网络连接是否存在异常

“运行”-“cmd”-“netstat -an”查看有没有可疑或非正常程序的网络连接，尤其注意一下远程连接的端口，如果有类似于 8000 等端口就要注意了，8000 是灰鸽子的默认端口， 8000 端口只是灰鸽子上线的默认端口，并且端口是可以更改的。

四、查看可疑用户

net user      #查看操作系统中的所有用户，带$隐藏字符的用户无法查看，可通过用户管理工具处``net localgroup administrators  #查看操作系统中，所有具备超级管理员权限的用户``net user <用户名> /delete

五、进程排查

病毒是独立可执行文件，以独立进程在运行。这类进程通常要么进程名随机，要么伪装成与系统进程相似的名字，或者名字与系统进程完全一样，但文件位置完全不是系统默认的正常路径。以某中毒主机为例，打开任务管理器后观察如下：病毒进程名为svch0st.exe，而系统进程为svchost.exe。

遇到这种，我们可以使用PCHunter对所有进程文件校验签名，检查无签名或签名可疑的进程。

六、动态库模块

病毒也可能以动态库的方式注入到系统进程或应用进程中去。如下图所示，客户某一中毒主机，我们使用PCHunter工具观察到病毒体sdbot.dll模块注入到系统进程explorer.exe进程中，并且对该进程挂了应用层钩子，包括IAT、EAT和inline等类型的钩子。

同上，可以使用PCHUNTER校验某个进程的dll文件做快速判断。

如果已知病毒dll，需要找到对应的进程，可以使用如下命令。或者使用以上工具搜索所有进程的dll

tasklist /m xxx.dll

七、隐藏模块

隐藏模块往往也是动态库模块，但它肉眼观察不到（Windows系统工具看不到，PCHunter等工具也看不到），是很隐蔽的一种手段，属于难查难杀的类型。

譬如，在某客户主机上，我们怀疑svchost.exe进程有问题（进程有问题并不代表进程对应的文件有问题，这一点一定要区分好），但我们使用系统工具和PCHunter等等工具均查看不到任何异常模块。至此，怀疑有隐藏模块，祭出特殊工具dump出该svchost.exe的所有模块空间（按模块分割成独立文件），观察到有隐藏的模块。

八、临时目录排查

黑客往往可能将病毒放在临时目录（tmp/temp），或者将病毒相关文件释放到临时目录，因此需要检查临时目录是否存在异常文件。

假设系统盘在C盘，则通常情况下的临时目录如下：

C:\Users\[用户名]\Local Settings\Temp``C:\Documents and Settings\[用户名]\Local Settings\Temp``C:\Users\[用户名]\桌面``C:\Documents and Settings\[用户名]\桌面``C:\Users\[用户名]\Local Settings\Temporary Internet Files``C:\Documents and Settings\[用户名]\Local Settings\Temporary Internet Files

九、浏览器相关文件排查

黑客可能通过浏览器下载恶意文件，或者盗取用户信息，因此需要检查下浏览器的历史访问记录、文件下载记录、cookie信息，对应相关文件目录如下：

C:\Users\[用户名]\Cookies``C:\Documents and Settings\[用户名]\Cookies``C:\Users\[用户名]\Local Settings\History``C:\Documents and Settings\[用户名]\Local Settings\History``C:\Users\[用户名]\Local Settings\Temporary Internet Files``C:\Documents and Settings\[用户名]\Local Settings\Temporary Internet Files

十、最新打开文件排查

检查下最近打开了哪些文件，可疑文件有可能就在最近打开的文件中，打开以下目录或者运行中输入recent即可看到：

C:\Users\[用户名]\Recent``C:\Documents and Settings\[用户名]\Recent

十一、文件时间排查

可以根据文件夹内文件列表时间进行排序，查找可疑文件。一般情况下，修改时间离现象发现时间越近的文件越可疑。当然，黑客也有可能修改”修改日期“，但遇到很少。

十二、其他重要目录排查

System32也是常见的病毒释放目录，因此也要检查下该目录。hosts文件是系统配置文件，用于本地DNS查询的域名设置，可以强制将某个域名对应到某个IP上，因此需要检查hosts文件有没有被黑客恶意篡改。

C:\Windows\System32``C:\Windows\System32\drivers\hosts

blog.csdnimg.cn/direct/66f55c4be36c44acac284056a6cf6e3f.png)

题外话

黑客&网络安全如何学习

今天只要你给我的文章点赞，我私藏的网安学习资料一样免费共享给你们，来看看有哪些东西。

1.学习路线图

攻击和防守要学的东西也不少，具体要学的东西我都写在了上面的路线图，如果你能学完它们，你去就业和接私活完全没有问题。

2.视频教程
网上虽然也有很多的学习资源，但基本上都残缺不全的，这是我自己录的网安视频教程，上面路线图的每一个知识点，我都有配套的视频讲解。

内容涵盖了网络安全法学习、网络安全运营等保测评、渗透测试基础、漏洞详解、计算机基础知识等，都是网络安全入门必知必会的学习内容。

（都打包成一块的了，不能一一展开，总共300多集）

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

🐵这些东西我都可以免费分享给大家，需要的可以点这里自取👉:网安入门到进阶资源

3.技术文档和电子书
技术文档也是我自己整理的，包括我参加大型网安行动、CTF和挖SRC漏洞的经验和技术要点，电子书也有200多本，由于内容的敏感性，我就不一一展示了。

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

🐵这些东西我都可以免费分享给大家，需要的可以点这里自取👉:网安入门到进阶资源

4.工具包、面试题和源码
“工欲善其事必先利其器”我为大家总结出了最受欢迎的几十款款黑客工具。涉及范围主要集中在 信息收集、Android黑客工具、自动化工具、网络钓鱼等，感兴趣的同学不容错过。

还有我视频里讲的案例源码和对应的工具包，需要的话也可以拿走。

🐵这些东西我都可以免费分享给大家，需要的可以点这里自取👉:网安入门到进阶资源

最后就是我这几年整理的网安方面的面试题，如果你是要找网安方面的工作，它们绝对能帮你大忙。

这些题目都是大家在面试深信服、奇安信、腾讯或者其它大厂面试时经常遇到的，如果大家有好的题目或者好的见解欢迎分享。

参考解析：深信服官网、奇安信官网、Freebuf、csdn等

内容特点：条理清晰，含图像化表示更加易懂。

内容概要：包括 内网、操作系统、协议、渗透测试、安服、漏洞、注入、XSS、CSRF、SSRF、文件上传、文件下载、文件包含、XXE、逻辑漏洞、工具、SQLmap、NMAP、BP、MSF…

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

🐵这些东西我都可以免费分享给大家，需要的可以点这里自取👉:网安入门到进阶资源
————————————————

版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。