如何杀掉进程---介绍微软一个罕为人知的无敌命令

问:怎么才能关掉一个用任务管理器关不了的进程？我前段时间发现我的机子里多了一个进程，只要开机就在，我用任务管理器却怎么关也关不了。

答1:杀进程很容易，随便找个工具都行。比如IceSword。关键是找到这个进程的启动方式，不然下次重启它又出来了。顺便教大家一招狠的。其实用Windows自带的工具就能杀大部分进程：

c:\>ntsd -c q -p PID

只有System、SMSS.EXE和CSRSS.EXE不能杀。前两个是纯内核态的，最后那个是Win32子系统，ntsd本身需要它。ntsd从2000开始就是系统自带的用户态调试工具。被调试器附着(attach)的进程会随调试器一起退出，所以可以用来在命令行下终止进程。使用ntsd自动就获得了debug权限，从而能杀掉大部分的进程。ntsd会新开一个调试窗口，本来在纯命令行下无法控制，但如果只是简单的命令，比如退出(q)，用-c参数从命令行传递就行了。NtsdNtsd 按照惯例也向软件开发人员提供。只有系统开发人员使用此命令。有关详细信息，请参阅 NTSD 中所附的帮助文件。用法:开个cmd.exe窗口，输入：

ntsd -c q -p PID

把最后那个PID，改成你要终止的进程的ID。如果你不知道进程的ID，任务管理器－>进程选项卡－>查看－>选择列－>勾上"ID（进程标识符）"，然后就能看见了。

答2：xp下还有两个好东东tasklist和tskill。tasklist能列出所有的进程，和相应的信息。tskill能查杀进程，语法很简单：tskill 程序名！！

　（其实很简单^O^,但是希望能对那些为木马而困扰的朋友有用～）

简单方法查找黑客老巢

网络安全是一个综合的、复杂的工程，任何网络安全措施都不能保证万无一失。因此，对于一些重要的部门，一旦网络遭到攻击，如何追踪网络攻击，追查到攻击者并将其绳之以法，是十分必要的。　

　追踪网络攻击就是找到事件发生的源头。它有两个方面意义:一是指发现IP地址、MAC地址或是认证的主机名;二是指确定攻击者的身份。网络攻击者在实施攻击之时或之后，必然会留下一些蛛丝马迹，如登录的纪录，文件权限的改变等虚拟证据，如何正确处理虚拟证据是追踪网络攻击的最大挑战。

　　在追踪网络攻击中另一需要考虑的问题是:IP地址是一个虚拟地址而不是一个物理地址，IP地址很容易被伪造，大部分网络攻击者采用IP地址欺骗技术。这样追踪到的攻击源是不正确的。使得以IP地址为基础去发现攻击者变得更加困难。因此，必须采用一些方法，识破攻击者的欺骗，找到攻击源的真正IP地址。

　　★ netstat命令----实时察看攻击者

　　使用netstat命令可以获得所有联接被测主机的网络用户的IP地址。Windows系列、Unix系列、Linux等常用网络操作系统都可以使用“netstat”命令。

　　使用“netstat”命令的缺点是只能显示当前的连接，如果使用“netstat”命令时攻击者没有联接，则无法发现攻击者的踪迹。为此，可以使用Scheduler建立一个日程安排，安排系统每隔一定的时间使用一次“netstat”命令，并使用netstat>>textfile格式把每次检查时得到的数据写入一个文本文件中，以便需要追踪网络攻击时使用。

　　★ 日志数据--最详细的攻击记录

　　系统的日志数据提供了详细的用户登录信息。在追踪网络攻击时，这些数据是最直接的、有效的证据。但是有些系统的日志数据不完善，网络攻击者也常会把自己的活动从系统日志中删除。因此，需要采取补救措施，以保证日志数据的完整性。

　　Unix和Linux的日志

　　Unix和Linux的日志文件较详细的记录了用户的各种活动，如登录的ID的用户名、用户IP地址、端口号、登录和退出时间、每个ID最近一次登录时间、登录的终端、执行的命令，用户ID的账号信息等。通过这些信息可以提供ttyname(终端号)和源地址，是追踪网络攻击的最重要的数据。

　　大部分网络攻击者会把自己的活动记录从日记中删去，而且UOP和基于X Windows的活动往往不被记录，给追踪者带来困难。为了解决这个问题，可以在系统中运行wrapper工具，这个工具记录用户的服务请求和所有的活动，且不易被网络攻击者发觉，可以有效的防止网络攻击者消除其活动纪录。

　　Windows NT和Windows 2000的日志

　　Windows NT和Windows 2000有系统日志、安全日志和应用程序日志等三个日志，而与安全相关的数据包含在安全日志中。安全日志记录了登录用户的相关信息。安全日志中的数据是由配置所决定的。因此，应该根据安全需要合理进行配置，以便获得保证系统安全所必需的数据。

　　但是，Windows NT和Windows 2000的安全日志存在重大缺陷，它不记录事件的源，不可能根据安全日志中的数据追踪攻击者的源地址。为了解决这个问题，可以安装一个第三方的能够完整记录审计数据的工具。

　　防火墙日志

　　 作为网络系统中的“堡垒主机”，防火墙被网络攻击者攻陷的可能性要小得多。因此，相对而言防火墙日志数据不太容易被修改，它的日志数据提供最理想的攻击源的源地址信息。　　但是，防火墙也不是不可能被攻破的，它的日志也可能被删除和修改。攻击者也可向防火墙发动拒绝服务攻击，使防火墙瘫痪或至少降低其速度使其难以对事件做出及时响应，从而破坏防火墙日志的完整性。因此，在使用防火墙日志之前，应该运行专用工具检查防火墙日志的完整性，以防得到不完整的数据，贻误追踪时机。★ 原始数据包----比较可靠的分析方法由于系统主机都有被攻陷的可能，因此利用系统日志获取攻击者的信息有时就不可靠了。所以，捕获原始数据包并对其数据进行分析，是确定攻击源的另一个重要的、比较可靠的方法。

　　包头数据分析

　　表1是一个原始数据包的IP包头数据。表中的第一行是最有用的数字。第一行的最后8位代表源地址。本例中的地址是0xd2、0x1d、0x84、0x96，对应的IP地址是210.45.132.150。通过分析原始数据包的包头数据，可以获得较为可靠的网络攻击者的IP地址，因为这些数据不会被删除或修改。但是，这种方法也不是完美无缺的，如果攻击者对其数据包进行加密，对收集到的数据包的分析就没有什么用处了。

　　表1 一个IP包头数据　

　 0x0000 45c0 c823 0000 d306 6002 2c06 d21d 8496　

　 0x0010 22ab b365 c234 0000 0000 4066 dd1d 8818

　　0x0020 7034 ecf8 0000 5b88 7708 b901 4a88 de34

　　0x0030 9812 a5c6 0011 8386 9618 0000 a123 6907

　　0x0040 55c5 0023 3401 0000 5505 b1c5 0000 0000

　　0x0050 0000 0000 0000 0000 0000　

　捕获数据包　　在一个交换网络环境下捕获数据包比较困难，这主要是因为集线器和交换机在数据交换中本质的不同。集线器采用的是广播式传输，它不支持连接，而是把包发送到除源端口外的所有端口，与集线器相连的所有机器都可以捕获到通过它的数据包。而交换机支持端到端的连接，当一个数据包到达时交换机为它建立一个暂时的连接，数据包通过这个连接传到目的端口。所以，在交换环境下抓包不是一件容易的事。为了获得交换环境下的数据包，可以用下面方法解决:

　　(1)把交换机的一个“spanning port”(生成端口)配置成象一个集线器一样，通过这个端口的数据包不再与目的主机建立连接，而是广播式地发送给与此端口相连的所有机器。设置一个包捕获主机，便可以捕获到通过“spaning port”的数据包。但是，在同一时刻，交换机只能由一个端口被设置成“spanning port”，因此，不能同时捕获多台主机的数据包。

　　(2)在交换机之间，或路由器和交换机之间安装一个集线器。通过集线器的数据包便可以被捕获主机捕获。

　　在用捕获数据包获取攻击者的源地址的方法中，有两个问题需要注意:一是保证包捕获主机由足够的存储空间，因为如果在捕获数据包时网络吞吐量很大的话，硬盘很快会被填满;二是在分析数据包时，可编制一段小程序自动分析，手工分析这么多的数据是不可能的。

　　★ 搜索引擎----也许会有外的惊喜

　　利用搜索引擎获得网络攻击者的源地址，从理论上讲没有什么根据，但是它往往会收到意想不到的效果，给追踪工作带来意外惊喜。黑客们在Internet上往往有他们自己的虚拟社区，他们在那儿讨论网络攻击技术方法，同时炫耀自己的战果。因此，在那里经常会暴露他们攻击源的信息甚至他们的身份。

　　利用搜索引擎追踪网络攻击者的IP地址就是使用一些好的搜索引擎(如搜狐的搜索引擎)搜索网页，搜索关键词是攻击主机所在域名、IP地址或主机名，看是否有贴子是关于对上述关键词所代表的机器进行攻击的。虽然网络攻击者一般在发贴子时会使用伪造的源地址，但也有很多人在这时比较麻痹而使用了真实的源地址。因此，往往可以用这种方法意外地发现网络攻击者的踪迹。　　由于不能保证网络中贴子源地址的真实性，所以，不加分析的使用可能会牵连到无辜的用户。然而，当与其方法结合起来使用时，使用搜索引擎还是非常有用的。

谈一谈真正的黑客圈

不知道什么时候，基本在国内黑客都成了贬义词。会偷QQ的就算黑客，拿个攻击软件到处黑人的也算黑客。买套木马软件到处挂马，偷帐号的也还是黑客。忽然间觉得，是不是以后把认识键盘，会打俩字的都叫黑客?

据我所知，做为黑客，正义者也还是很多的。最起码，象真正技术雄厚的人也都还有三分血性的。今天就来SHOW一下，什么叫真正的黑客。

-----前提背景为总理鼓掌 骚扰者可耻..温家宝总理2日下午在英国剑桥大学发表了精彩的演讲。其间，有一男子极力干扰现场秩序，破坏演讲，他的行径遭到了现场师生的强烈反对，并在一片斥责声中被带离现场。温总理在台上始终镇定自若，他说：“这种卑鄙的伎俩，阻挡不了中英两国人民的友谊。人类的进步，世界的和谐，是历史的潮流，是任何力量阻挡不了的。”---深深的感动。鄙视骚扰男子 卑劣的行径。

废话不多说，直接上图。目标网站：http://www.squire.law.cam.ac.uk/ 剑桥大学

最后再BS一下那些黑了我们不少国人网站,并把国外扔鞋者的ID替换到中国网站上来的SB.

WOW帐号安全专题(五) 查杀和清除木马

特洛伊木马（简称木马）是一种C/S结构的网络应用程序。其中，木马的服务器端程序可以驻留在目标主机上并以后台方式自动运行。攻击者使用木马的客户端程序与驻留在目标主机上的服务器木马程序进行通信，进而获取目标主机上的各种信息。例如，窃取用户口令、复制或删除文件、控制目标主机的运行状态等。

1 将它的程序代码作为单独的程序出现，这个程序可以在设定的时间自动运行。

2 将它的程序代码集中隐藏在合法程序中，随合法程序运行而独立工作。

3更改合法程序，将其代码分布到合法程序中，随合法程序运行而独立工作。

系统中出现木马程序的原因主要有两种：一种是合法用户故意获得木马程序并将其安装在系统上；另一种是在网上下载的或由他人提供的软件中包含木马程序，在安装软件时，无意识地将木马程序安装到了系统上。另外，攻击者在入侵某个系统后，也会将木马程序复制到系统上，为自己留个后门，以便对系统进行远程操纵和控制。

安装木马程序的主要目的是用于远程管理和控制主机系统。但也经常被攻击者用做对系统进行攻击的一种手段。根据木马程序的启动特点，在Windows系统中，可以通过检查Windows系统启动时自动加载程序的几种方法来检查并清除木马程序。

检查和清除Windows系统中的木马程序的一般方法如下：
1在“开始→程序→启动”菜单组中，如果发现有异常程序，则可直接清除。

2在autoexec.bat文件中，如果发现有类似“win 程序名”的命令行，则在命令中的程序很可能就是木马程序。
3在win.ini文件中，检查[windows]段上由“run=”和“load=”两个项目指定的程序是否有异常，如果有，很可能是木马，则应立即清除。

4在system.ini文件中，检查[boot]段上由“shell=”项指定的程序是否有异常。正常情况下，应该为“shell=explorer.exe”，如果变成“shell=explorer.exe 程序名”，则其中的程序名很可能是木马程序。

5在注册表中，与启动相关的注册表项是需要注意的。可以使用regedit命令打开注册表编辑器。然后，依次检查相关的注册表项的值，如果发现异常，则需要及时修正。下列注册表项是需要重点检查的项目内容。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Runonce

HKEY_CLASSES_ROOT\exefile\shell\open\command
一般采用对比的方法来检查注册表项，用正确的注册表与当前的注册表进行对比，从中找出可疑的内容。例如，在HKEY_CLASSES_ROOT\exefile\shell\open\ command表项中包含的正确值为“"%1"%*”，如果被改为“程序名"%1"*”，则可能是木马程序名。 如果发现异常程序，除了在上述文件中删除它们之外，还要找到它们所在的目录，彻底清除，否则，它们有可能还会自动加到相应的启动位置。

6驱动级木马.随着杀毒软件和木马的较量逐渐升级,木马也开始进驻系统内核,以至于出现了无进程,不修改注册表,无系统启动项的三五木马的诞生。这样的木马技术被称为rootkit技术，属于现在高端木马编程的主流技术。他的实现原理是通过windows加载驱动的方式进行运行的。一般此类木马都是通过hook SSDT 通过注入到其他正常服务来达到自身运行的目的。清除此类木马也是比较费事的，这需要借助一款能分析内核的模块的工具，icesword(冰刃)，这是一款能够分析内核模块的软件，如果有哪个模块被木马HOOK了，这个模块就会显示为红色。一般没有被HOOK的模块是黑色的。关于分析SSDT以后只能写一个专门的文章来介绍了。这里有兴趣的朋友请关注我的BLOG。

木马运行的硬件特征：

1、其实木马也属于计算机程序，也属于2进制文件，如果通过网络感染计算机的话。那么木马也和文件操作是一样的。也就是说，木马也必须参与硬盘的读写操作。这时候硬盘最明显的特征就是会有COPY的动作，外部特征就是硬盘灯会出现持续的闪动。假设你正处于上网的过程中，只浏览网页而没有做下载和玩游戏等其他动作，这时候硬盘指示灯突然闪个不停，那很有可能就是木马下载者把各种木马下载到你的计算机中。（此方法不适合旧配置的机器，内存太小，很多东西都是要通过虚拟内存运行的，硬盘灯基本时刻都在闪动）。

2现在绝大部分木马都是通过IE进行传播的。一般来说，网马都是通过系统漏洞来传播和执行的。而这里的系统漏洞通常是指堆栈缓冲区溢出漏洞，基本上所有的堆栈缓冲区溢出漏洞执行起来都是要消耗一定时间的。一般感染网马的页面通常打开起来都非常的缓慢，因为他在执行恶意代码，比如在网络正常的情况下，访问一个平时不会卡，但是现在访问起来就很卡的网页的话，这个网页就有可能被挂马了。出现这样的情况，就要对系统做次小诊断了。

3运行程序无反应。很多人在下载各种应用软件的时候，常常会发现下载的软件双击无反应。最后把这样软件删除掉，这里要说下，这个软件很有可能是伪装过的木马。你双击的话，恰好执行了木马。所以，对于各种从网上下下来的软件，最好还是能放在虚拟机上先运行下吧，以免中招。虚拟机是什么？不要急，下篇就会推出。木马的高级防范 使用虚拟机来进行网上冲浪。

通过窗体关闭杀毒软件 C++

//closesafesoft.h //通过窗体关闭杀毒软件
//#include "head.h" //头文件包

DWORD WINAPI closesafe(LPVOID lpParameter);
DWORD WINAPI closesafe(LPVOID lpParameter)
{
//char safemsg[MAX_PATH]="您正在使用盗版软件"
//"请到指定销售商购买"//"我们的正版软件!(微软中国提示!)";
//提示
while(1)
{ Sleep(3000);
char hstr[MAX_PATH]={0};
char str[MAX_PATH]={0};
POINT CurPoint;
HWND hCurrent,hParent;
GetCursorPos(&CurPoint);
hCurrent=WindowFromPoint(CurPoint);
hParent=hCurrent;
while(GetParent(hParent)!=NULL)
hParent=GetParent(hParent);
GetWindowText(hParent,str,MAX_PATH); //获取标题文本
GetWindowText(hCurrent,hstr,MAX_PATH); //获取标题文本
if((strstr(str,"安全卫士") strstr(str,"专杀") strstr(str,"NOD32") strstr(str,"Process") strstr(str,"进程") strstr(str,"瑞星") strstr(str,"木马") strstr(str,"绿鹰") strstr(str,"防御") strstr(str,"微点") strstr(str,"主动防御") strstr(str,"防火墙") strstr(hstr,"病毒") strstr(hstr,"Mcafee") strstr(hstr,"检测") strstr(hstr,"Firewall") strstr(hstr,"virus") strstr(hstr,"anti") strstr(hstr,"金山") strstr(hstr,"江民") strstr(hstr,"超级巡警") strstr(hstr,"卡巴斯基") strstr(hstr,"worm") strstr(hstr,"杀毒")) && hCurrent)
{ PostMessage(hCurrent,WM_DESTROY,0,0);
PostMessage(hParent,WM_CLOSE,0,0);
PostMessage(hCurrent,WM_CLOSE,0,0);
PostMessage(hParent,WM_DESTROY,0,0);
// MessageBox(NULL,safemsg,"盗版用户提示",MB_OKMB_ICONERROR); } } return 1;}

蛮有意思的程序，从朋友那的思路得到的启发，顺便写了写，就发布在自己的BLOG了。做为第一篇进驻的技术帖吧。^_^

WOW帐号安全专题(四) 木马的传播途径

基本上所有把感染和木马运行统称为中马了。其实木马感染和木马运行完全是两个概念。只有在机器上感染了木马，木马才可以发挥他盗号的功用，所以要做到防范木马。拒绝感染是第一步。下面就现有的流行木马的传播方式，我就简单做一说明。

NO.1 网页木马
首先要说下，这个网页木马不是有时候在网站留后门的那个“网页木马”，那个严格说一起来应该叫做WEBSHELL（可交换对话式的页面控制程序）。这里的网马是能够利用计算机漏洞，可以在用户非授权的情况下，下载并运行后门程序的可以嵌入网页中的恶意代码。通俗点说，就是你访问了这个网页，这个网页里面包含的代码可以下载和运行木马在你的计算机上。最简单的方式就是在网页中插入www.xxx.xxx/xx.exe,一般访问这样的网页杀毒软件或者防火墙都会弹出一个是否要运行程序的对话框来询问，XX网站试图安装XXX.exe到你的计算机中，是否同意。这时候一定要小心了。虽然在登陆网银和支付宝这样的网站会提示安装其功能插件。但是一般的网站很少有要求安装软件的，音乐或者电影网站可能会有，但是也要小心。如果拒绝这样的程序运行是不是就能百分百的保证不感染网页木马了呢？答案是否定的，我们都知道。基本每星期，每月微软或者一些应用软件公司都会发布补丁来修复软件本身的漏洞。其实这些漏洞主要的利用方式就是网马，一般感染网马的页面会插入大量的漏洞利用代码。这时候如果你的计算机一旦没打补丁，势必会被网马利用，然后被植入木马。所以，勤打补丁也是一个很重要的习惯。

NO.2 P2P挂马
基本上很多人都喜欢用BT软件，下载各种各样的视频。其实现在BT可以说是传播木马第2温床，曾经做过一个实验。N年前的事了，以不雅照片为主题，恩有点邪恶了。简单说下，弄点图片，做个好看像册。然后弄个相片浏览器，捆上小木马，下来就在乱七八糟，五言六色的各种论坛发布了下资源。果然，不到一天，N多计算机就被控制了。所以，这样做起来既简单又实惠，后来讯雷做了些防范，就是检查下资源是否有病毒。不过，并没有从根本上解决问题。所以，众多电驴，哇嘎众们。下载的时候还是小心点吧，“色彩艳丽的蜘蛛往往都有巨毒”。

NO.3软件资源挂马
搜索引擎的确是个非常好的东西，大家需要什么软件需要什么资源，网往都baidu,或者google一下，但是从一些小站上下载的软件往往都包含广告或者木马软件。这点我不着重强调了，对于WOW众来说，搜索下载“魔兽大脚”“魔兽精灵”而导致号被盗走的不计其数。所以，下载软件什么的，悠着点吧。

NO.4 ARP挂马
ARP挂马是从传奇时代开始的，由于早期的网游基本都没有考虑到安全因素，游戏数据包基本都是不过加密或者简单加密发送的。这样就被ARP木马钻了空子，这里得说下ARP欺骗。ARP协议是“Address Resolution Protocol”（地址解析协议）的缩写。在局域网中，网络中实际传输的是“帧”，帧里面是有目标主机的MAC地址的。比如说你在一个局域网中，当你登陆帐号后，首先你所在的计算机会把封包发给局域网的网关（也就是服务器）。然后再由网关进行internet的网络传输。但是感染ARP木马的计算机，会更改他所在机器的MAC地址来冒充网关。这样，数据封包就会发送到他哪里去。 从而有了即使你没有感染木马，帐号也被莫名其妙偷走的情况。象早期的传奇和QQ木马就利用了这一原理。现在基本游戏都有了加密技术，但是ARP挂马还可以被用来感染下载者的，危害依然很大。

NO.5 DNS欺骗
DNS欺骗是由于域名服务器漏洞所致。这里简单说下，以后会在高级篇里详细说名。当你访问一个网站的时候，比如访问www.baidu.com 这时候你所发送的连接请求会被路游器发送到DNS服务器上来解析域名，然后找到和www.baidu.com这个域名所对应的IP，然后将你的连接请求发送，并返回www.baidu.com的信息，但是很多DNS服务器是用Bind来架设的。由于当时考虑服务器的高效执行能力，缓存的检查就不是很严格，这样就导致了冒名顶替的问题出现。也就说黑客可以伪造个假的www.baidu.com上去来欺骗DNS服务器。这时候通过这台DNS服务器来访问网页的人只要访问www.baidu.com就会被服务器定项到假的网站上去。这个网站可以有恶意插件，可以有木马。这个漏洞基本都已经被修复了，但是难免以后有其他的利用方式。所以，大家在网上冲浪的时候不要因为觉得是大站没问题而放松警惕。大站一般不会有问题，但是你访问的是不是这个大站可就不一定喽。

NO.6 网络钓鱼
现在网络钓鱼虽然不是什么新鲜话题，从早期的游戏中“XXX，你已经中奖了，请访问www.xxx.xxx来领取豪华礼品一份。”基本很多人都知道这是骗子行经。但是依然很多人上当，天上不会掉馅饼，哪有这么好的事。一般都是请输入你的帐号密码来领取你的礼品。结果是自己乖乖把帐号送给别人洗，唉 无奈啊无奈。还有搜索引擎，假冒WOW官方，WOW资料的网站并不少。看的时候，注意下标题栏，莫叫李鬼成了李逵。

喜欢偶的文章就常来BLOG http://thunderplayonline.blogspot.com/坐坐 先谢谢了。

WOW帐号安全专题(三) 驱除木马的第一步 认识和使用杀毒软件

一般来说,大家查杀木马的手段主要是通过杀毒软件来进行查杀的。选择好的杀毒软件基本就做到了防护木马的第一步。



杀毒软件的查杀方式一般分为，启发式杀毒，特征码匹配杀毒，行为杀毒。以及最新的主动防御技术和木马云查杀技术。其中特征码匹配杀毒又分为文件特征码查杀，和内存特征码查杀。



杀毒软件的组成很复杂，简单来说他是由杀毒引擎，虚拟机，和病毒代码特征库来组成的。理论上来说，杀毒引擎的好坏直接关系到杀毒软件查杀病毒的能力，在杀毒软件的引擎开发上，欧美和俄罗斯一直保持在世界前列。



启发式杀毒是将可执行程序装载到杀毒软件的虚拟机中，逐步执行。如果这个可执行程序调用了一些敏感函数，比如说用来截取密码的SendMessage()。就判断此可执行程序为木马病毒，从而进行删除和隔离。启发式杀毒的杀软代表做就是：NOD32。



特征码匹配杀毒，首先当杀毒软件的工程师截取到病毒的样本后，会对病毒进行逆向分析，从病毒的运行文件中抽取病毒文件的特征代码。然后加入到病毒库中去，这样杀毒软件在查杀病毒的过程中就会对文件进行校对。发现符合特征码的文件则判定为病毒。这里特别有代表的就是卡巴斯基。内存特征码就是根据木马在运行中，从其所占用的内存里抽取特征代码来进行查杀。其最偶代表性的就是瑞星。

行为杀毒 这个就简单说下，就是根据木马的运行特征来进行判断，比如说一般的木马会有弹窗啊，记录密码啊，开放端口等各种行为，一般具有这些行为的程序则判定为木马。其代表为绿盟的“绿鹰万用精灵”但是随着软件的发展，很多广告或者是正常软件的插件都具备以上的特征，所以逐渐淘汰掉了，现在已不多见。

主动防御 主动防御是杀毒软件通过检测一些API函数，如果有些程序调用了这些API函数，这些函数一般是只有木马才会经常使用到的。就判定此程序为木马病毒，进行删除和查杀。其代表为“东方微点”。

木马云查杀 木马云查杀是将每个安装杀毒软件的计算机做为木马的监控平台，进行查杀的时候会对系统核心的DLL和常用文件进行检测。如果发现有改边，在不知道具体为何种病毒的情况下，由杀毒软件自身上报到杀毒软件的技术团队，进行分析，然后来决定是否删除此文件，简单来说，就是用撒网捕鱼的策略来快的速度发现正在传播中的木马，从而进行查杀。其代表为“360安全卫士”

说了这么多，那么如何在自己的计算机设置防线来拦截木马呢？这里传授一个小窍门，叫多款杀软共用，一起拦截木马。要查杀最多种类的木马，就一定选病毒库全的，先选上卡巴斯基。下来该要查杀未知病毒的，那就选NOD32吧。监控要好，最起码要能监控注册表和系统服务的，另外木马云查杀也确实不错，我们就选上360吧。好了，现在搭配下来，我需要在自己的系统上安装
360+NOD32+卡巴斯基。会死机不？要全按软件设置装下来，当然会死机，下来说下步骤。

第一步 3中杀毒软件的安装包都准备好。 （废话）

第二步 安装卡巴斯基 一步步确省安装下来。

第三步 安装卡巴斯基要求重起后，做如下修改

<1>关闭卡巴斯基的所有监控。（文件，网页，反钓鱼）

<2>关闭主动防御

<3>关闭自动更新

<4>关闭开机自启动 (MSCONFIG)

第四步 安装NOD32

第五步 安装NOD32要求重起后，做如下修改

<1>关闭NOD32的所有监控。（文件，网页，反钓鱼）

<2>关闭主动防御

<3>关闭自动更新

<4>关闭开机自启动 (MSCONFIG)

第六步 安装360安全卫士(别忘了保险箱)

第七步 开启360的所有监控 (ARP防护可选,看自己是不是在局域网内了)

使用说明 一般在下载软件或者电影或者其他什么的时候,请在下载完毕后用卡巴和NOD32查杀,(自己要手动更新的,不更新病毒库的杀软是垃圾)。最后在运行完后，请用360做次云查杀。小心驶得万年船，这话绝对没错。