冰刃使用技巧

1、冰刃使用技巧 ！                                                                                   

2、;                                                                         冰刃使用技巧 第一 步:打开IceSword，在窗口左侧点击“进程”按钮，查看系统当前进程。

3、这个隐藏的“幕后黑手”马上露出马脚(见图2)，但使用系统自带的“任务管理 器”是看不到些进程的。注意，IceSword默认是使用红色显示系统内隐藏程序，但IceSword若在内核模块处显示多处红色项目并不都是病毒，我们 还需要作进一步的技术分析及处理。                                                 

4、                                                                           a.jpg (21.21 KB)     

5、60;                             2008-5-4 20:11    别以为只是系统自带的任务管理器功能弱，未能发现。我们又用了IceSword与Process Explorer(另一款功能强大的进程查看软件)进行对比，同样也没办法发现“幕后黑手”的踪影(见图3)                   

6、60;                                                                                     &#

7、160;                 b.jpg (20.99 KB)                                    2008-5-4 20:11    图3第二步:点击窗口左侧的“服务”按钮，来查看系统服务。这时就可以看到如图4所示的情况了，这个木马的服务也是隐藏的，怪不得笔者未能发现行踪

8、。                                                                                     

9、;                                       c.jpg (18.35 KB)                                    2008-5-4 20:11  &#

10、160; 图4 第三步:既然看了服务，也应该查查注册表HKEY_LOCAL_ MACHINE SYSTEM CurrentControlSetServices的情况。反正IceSword也提供查看/编辑注册表功能，正好和系统的“注册表编辑器”也来个 对比，点击窗口左侧的“注册表”标签，然后打开依次展开HKEY_LOCAL_MACHINESYSTEMCurrentControlSet Services项(见图5)。真是不比不知道，一比吓一跳。看来，系统内置工具还是选择“沉默”，还记得如何查杀隐形木马一文吧，虽说鸽子在正 常模式下，它的主服务也能隐藏，但它在系统的“注册表编辑器”内完全是显示的，更

11、不要说目前是安全模式。仔细看看，既然已经从IceSword得到可靠情 报，得知“幕后黑手”位于系统目录E:Windowssystem32wins 下。                                                                &

12、#160;                                                           d.jpg (17.14 KB)                     

13、;               2008-5-4 20:11    图5第 四步:我们还是用系统的“资源管理器”和IceSword对比一下，点击窗口左侧的“文件”标签，结果如图6所示。“资源管理器”选择了“交白卷”。在 IceSword的文件浏览器与系统的“资源管理器”明显对比下，IceSword已经发现三只“黑手”，正是因为有这只隐藏的幕后黑手，难怪朋友搞了几 次，换了不同的防病毒软件还是没清干净。              

14、0;                                                                                                             e.jpg (15.78 KB)                        &#