常见病毒端口

-.z.常见病毒端口*glangzi发表于:2007-03-0908:18来源:

*度:0

浏览:(1081)

评论:(0)收藏

|复制地址

|

[举报此文章]

|

大中小

|

引用

删除

修改以下各种木马及未授权被安装的远程控制软件均由于您没有正确的设置您的管理员密码造成的。请先检查系统中所有**的口令是否设置的足够平安。

口令设置要求：1.口令应该不少于8个字符；

2.不包含字典里的单词、不包括姓氏的汉语拼音；

3.同时包含多种类型的字符，比方

o大写字母(A,B,C,..Z)

o小写字母(a,b,c..z)

o数字(0,1,2,…9)

o标点符号(,#,!,$,%,&…)注意：下文中提到的相关路径根据您的操作系统版本不同会有所不同，请根据自己的系统做相应的调整Win98系统：c:\Windowsc:\Windows\system

Winnt和Win2000系统：c:\Winntc:\Winnt\system32

Win*p系统：c:\Windowsc:\Windows\system32根据系统安装的路径不同，目录所在盘符也可能不同，如系统安装在D盘，请将C:\Windows改为D:\Windows依此类推大局部的木马程序都可以改变默认的效劳端口，我们应该根据具体的情况采取相应的措施，一个完整的检查和删除过程如下例所示：例：113端口木马的去除〔仅适用于Windows系统〕：这是一个基于irc聊天室控制的木马程序。1.首先使用netstat-an命令确定自己的系统上是否开放了113端口

2.使用fport命令观察出是哪个程序在监听113端口

例如我们用fport看到如下结果：

PidProcessPortProtoPath

392svchost->113TCPC:\WinNT\system32\vhos.e*e

我们就可以确定在监听在113端口的木马程序是vhos.e*e而该程序所在的路径为c:\Winnt\system32下。

3.确定了木马程序名〔就是监听113端口的程序〕后，在任务管理器中查找到该进程，并使用管理器完毕该进程。

4.在开场-运行中键入regedit运行注册表管理程序，在注册表里查找刚刚找到那个程序，并将相关的键值全部删掉。

5.到木马程序所在的目录下删除该木马程序。〔通常木马还会包括其他一些程序，如rscan.e*e、pse*ec.e*e、ipcpass.dic、ipcscan.t*t等，根据木马程序不同，文件也有所不同，你可以通过观察程序的生成和修改的时间来确定与监听113端口的木马程序有关的其他程序〕

6.重新启动机器。以以下出的端口仅为相关木马程序默认情况下开放的端口，请根据具体情况采取相应的操作：707端口的关闭：这个端口开放表示你可能感染了nachi蠕虫病毒，该蠕虫的去除方法如下：

1、停顿效劳名为WinSClient和NetworkConnectionsSharing的两项效劳

2、删除c:\Winnt\SYSTEM32\WinS\目录下的DLLHOST.E*E和SVCHOST.E*E文件

3、编辑注册表，删除HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services项中名为RpcTftpd和RpcPatch的两个键值

1999端口的关闭：这个端口是木马程序BackDoor的默认效劳端口，该木马去除方法如下：

1、使用进程管理工具将notpa.e*e进程完毕

2、删除c:\Windows\目录下的notpa.e*e程序

3、编辑注册表，删除HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run项中包含c:\Windows\notpa.e*e/o=yes的键值2001端口的关闭：这个端口是木马程序黑洞2001的默认效劳端口，该木马去除方法如下：

1、首先使用进程管理软件将进程Windows.e*e杀掉

2、删除c:\Winnt\system32目录下的Windows.e*e和S_Server.e*e文件

3、编辑注册表，删除HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices\项中名为Windows的键值

4、将HKEY_CLASSES_ROOT和HKEY_LOCAL_MACHINE\Software\CLASSES项中的Winv*d项删除

5、修改HKEY_CLASSES_ROOT\t*tfile\shell\open\mand项中的c:\Winnt\system32\S_SERVER.E*E%1为C:\WinNT\NOTEPAD.E*E%1

6、修改HKEY_LOCAL_MACHINE\Software\CLASSES\t*tfile\shell\open\mand项中的c:\Winnt\system32\S_SERVER.E*E%1键值改为C:\WinNT\NOTEPAD.E*E%12023端口的关闭：这个端口是木马程序Ripper的默认效劳端口，该木马去除方法如下：

1、使用进程管理工具完毕sysrunt.e*e进程

2、删除c:\Windows目录下的sysrunt.e*e程序文件

3、编辑system.ini文件，将shell=e*plorer.e*esysrunt.e*e改为shell=e*plorer.e*e后保存

4、重新启动系统2583端口的关闭：这个端口是木马程序Wincrashv2的默认效劳端口，该木马去除方法如下：

1、编辑注册表，删除HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\项中的WinManager="c:\Windows\server.e*e"键值

2、编辑Win.ini文件，将run=c:\Windows\server.e*e改为run=后保存退出

3、重新启动系统后删除C:\Windows\system\SERVER.E*E3389端口的关闭：首先说明3389端口是Windows的远程管理终端所开的端口，它并不是一个木马程序，请先确定该效劳是否是你自己开放的。如果不是必须的，请关闭该效劳。Win2000关闭的方法：1、Win2000server开场-->程序-->管理工具-->效劳里找到TerminalServices效劳项，选中属性选项将启动类型改成手动，并停顿该效劳。

2、Win2000pro开场-->设置-->控制面板-->管理工具-->效劳里找到TerminalServices效劳项，选中属性选项将启动类型改成手动，并停顿该效劳。Win*p关闭的方法：在我的电脑上点右键选属性-->远程，将里面的远程协助和远程桌面两个选项框里的勾去掉。4444端口的关闭：如果发现你的机器开放这个端口，可能表示你感染了msblast蠕虫，去除该蠕虫的方法如下：

1、使用进程管理工具完毕msblast.e*e的进程

2、编辑注册表，删除HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run项中的"Windowsautoupdate"="msblast.e*e"键值

3、删除c:\Winnt\system32目录下的msblast.e*e文件4899端口的关闭：首先说明4899端口是一个远程控制软件〔remoteadministrator)效劳端监听的端口，他不能算是一个木马程序，但是具有远程控制功能，通常杀毒软件是无法查出它来的，请先确定该效劳是否是你自己开放并且是必需的。如果不是请关闭它。

关闭4899端口：1、请在开场-->运行中输入cmd(98以下为mand),然后cdC:\Winnt\system32(你的系统安装目录〕，输入r_server.e*e/stop后按回车。

然后在输入r_server/uninstall/silence

2、到C:\Winnt\system32(系统目录〕下删除r_server.e*eadmdll.dllraddrv.dll三个文件

5800，5900端口：首先说明5800，5900端口是远程控制软件VNC的默认效劳端口，但是VNC在修改正后会被用在*些蠕虫中。

请先确认VNC是否是你自己开放并且是必须的，如果不是请关闭关闭的方法：

1、首先使用fport命令确定出监听在5800和5900端口的程序所在位置〔通常会是c:\Winnt\fonts\e*plorer.e*e)

2、在任务管理器中杀掉相关的进程〔注意有一个是系统本身正常的，请注意！如果错杀可以重新运行c:\Winnt\e*plorer.e*e)

3、删除C:\Winnt\fonts\中的e*plorer.e*e程序。

4、删除注册表HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run项中的E*plorer键值。

5、重新启动机器。

6129端口的关闭：首先说明6129端口是一个远程控制软件〔damewarentutilities)效劳端监听得端口，他不是一个木马程序，但是具有远程控制功能，通常的杀毒软件是无法查出它来的。请先确定该效劳是否是你自己安装并且是必需的，如果不是请关闭。

关闭6129端口：1、选择开场-->设置-->控制面板-->管理工具-->效劳

找到DameWareMiniRemoteControl项点击右键选择属性选项，将启动类型改成禁用后停顿该效劳。

2、到c:\Winnt\system32(系统目录〕下将DWRCS.E*E程序删除。

3、到注册表内将HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\项中的DWRCS键值删除6267端口的关闭：6267端口是木马程序广外女生的默认效劳端口，该木马删除方法如下：

1、启动到平安模式下，删除c:\Winnt\system32\下的DIAGFG.E*E文件

2、到c:\Winnt目录下找到regedit.e*e文件，将该文件的后缀名改为.

3、选择开场-->运行输入regedit.进入注册表编辑页面

4、修改HKEY_CLASSES_ROOT\e*efile\shell\open\mand项的键值为"%1"%*

5、删除HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices项中名字为DiagnosticConfiguration的键值

6、将c:\Winnt下的regedit.改回到regedit.e*e6670、6771端口的关闭：这些端口是木马程序DeepThroatv1.0-3.1默认的效劳端口，去除该木马的方法如下：

1、编辑注册表，删除HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run项中的‘System32‘=c:\Windows\system32.e*e键值〔版本1.0〕或‘SystemTray‘=‘Systray.e*e‘键值〔版本2.0-3.0)键值

3、重新启动机器后删除c:\Windows\system32.e*e〔版本1.0〕或c:\Windows\system\systray.e*e〔版本2.0-3.0〕6939端口的关闭：这个端口是木马程序Indoctrination默认的效劳端口，去除该木马的方法如下：

1、编辑注册表，删除

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices\

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServicesOnce\

四项中所有包含Msgsrv16="msgserv16.e*e"的键值

2、重新启动机器后删除C:\Windows\system\目录下的msgserv16.e*e文件6969端口的关闭：这个端口是木马程序PRIORITY的默认效劳端口，去除该木马的方法如下：

1、编辑注册表，删除HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices项中的"PServer"=C:\Windows\System\PServer.e*e键值

2、重新启动系统后删除C:\Windows\System\目录下的PServer.e*e文件7306端口的关闭：这个端口是木马程序网络精灵的默认效劳端口，该木马删除方法如下：

1、你可以使用fport观察7306端口由哪个程序监听，记下程序名称和所在的路径

2、如果程序名为Netspy.e*e，你可以在命令行方式下到该程序所在目录输入命令Netspy.e*e/remove来删除木马

3、如果是其他名字的程序，请先在进程中完毕该程序的进程，然后到相应目录下删除该程序

4、编辑注册表，将HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run项和HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices项中与该程序有关的键值删除7511端口的关闭：7511是木马程序聪明基因的默认连接端口，该木马删除方法如下：

1、首先使用进程管理工具杀掉MBBManager.e*e这个进程

2、删除c:\Winnt〔系统安装目录〕中的MBBManager.e*e和E*plore32.e*e程序文件，删除c:\Winnt\system32目录下的editor.e*e文件

3、编辑注册表，删除注册表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run项中内容为C:\WinNT\MBBManager.e*e键名为MainBroadBackManager的项

4、修改注册表HKEY_CLASSES_ROOT\t*tfile\shell\open\mand中的c:\Winnt\system32\editor.e*e%1改为c:\Winnt\NOTEPAD.E*E%1

5、修改注册表HKEY_LOCAL_MACHINE\Software\CLASSES\hlpfile\shell\open\mand项中的C:\WinNT\e*plore32.e*e%1键值改为C:\WinNT\WinHLP32.E*E%17626端口的关闭：7626是木马冰河的默认开放端口〔这个端口可以改变〕，木马删除方法如下：

1、启动机器到平安模式下，编辑注册表，删除HKEY_LOCAL_MACHINE\software\microsoft\Windows\CurrentVersion\Run项中内容为c:\Winnt\system32\Kernel32.e*e的键值

2、删除HKEY_LOCAL_MACHINE\software\microsoft\Windows\CurrentVersion\Runservices项中内容为C:\Windows\system32\Kernel32.e*e的键值

3、修改HKEY_CLASSES_ROOT\t*tfile\shell\open\mand项下的C:\Winnt\system32\Syse*plr.e*e%1为C:\Winnt\notepad.e*e%1

4、到C:\Windows\system32\下删除文件Kernel32.e*e和Syse*plr.e*e8011端口的关闭：8011端口是木马程序WAY2.4的默认效劳端口，该木马删除方法如下：

1、首先使用进程管理工具杀掉msgsvc.e*e的进程

2、到C:\Windows\system目录下删除msgsvc.e*e文件

3、编辑注册表，删除HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run项中内容为C:\WinDOWS\SYSTEM\msgsvc.e*e的键值9989端口的关闭：这个端口是木马程序InIkiller的默认效劳端口，该木马删除方法如下：

1、编辑注册表，删除HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\项中的E*plore="C:\Windows\bad.e*e"键值

2、重新启动系统后删除C:\Windows目录下的bad.e*e程序文件19191端口的关闭：这个端口是木马程序兰色火焰默认开放的telnet端口，该木马关闭方法如下：

1、使用管理工具完毕进程tasksvc.e*e

2、删除c:\Windows\system目录下的tasksvc.e*e、syse*pl.e*e、bfhook.dll三个文件

3、编辑注册表，删除HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run项中的NetworkServices=C:\WinDOWS\SYSTEM\tasksvc.e*e键值

4、将注册表HKEY_CLASSES_ROOT\t*tfile\shell\open\mand项中的C:\WinDOWS\SYSTEM\syse*pl.e*e"%1"键值改为c:\Windows\notepad.e*e"%1"键值

5、将注册表HKEY_LOCAL_MACHINE\Software\CLASSES\t*tfile\shell\open\mand项中的C:\WinDOWS\SYSTEM\syse*pl.e*e"%1键值"改为c:\Windows\notepad.e*e"%1"1029端口和20218端口：这两个端口是lovgate蠕虫所开放的后门端口。

蠕虫相关信息请参见：Lovgate蠕虫

你可以下载专杀工具：Fi*LGate.e*e

使用方法：下载后直接运行，在该程序运行完毕后重起机器后再运行一遍该程序。

23444端口的关闭方法：这个端口是木马程序网络公牛的默认效劳端口，关闭该木马的方法如下：

1、进入平安模式，删除c:\Winnt\system32\下的CheckDll.e*e文件

2、将系统中的如下文件的大小与正常系统中的文件大小比拟，如果大小不一样请删除，然后将正常的文件拷贝回来，需要检查的文件包括：

notepad.e*e；write.e*e，regedit.e*e，Winmine.e*e，Winhelp.e*e

3、替换回正常文件后进入注册表编辑状态，删除HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run项中的"CheckDll.e*e"="C:\WinNT\SYSTEM32\CheckDll.e*e"键值

4、删除HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices中的"CheckDll.e*e"="C:\WinNT\SYSTEM32\CheckDll.e*e"键值

5、删除HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run中的"CheckDll.e*e"="C:\WinNT\SYSTEM32\CheckDll.e*e"键值请注意该病毒还可能会捆绑在其他应用软件上，请检查你的软件大小是否有异，如果有请卸载后重装27374端口的关闭方法：这个端口是木马程序SUB7的默认效劳端口，关闭该木马方法如下：

1、首先使用fport软件确定出27374端口由哪个程序翻开，记下程序名称和所在的路径。

2、编辑注册表，将HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run项中包含刚刚使用fport观察出的文件名的键值删除

3、将HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServic项中包含刚刚使用fport观察出的文件名的键值删除

4、在进程中将刚刚观察的文件进程杀掉，如果杀不掉请到效劳中将关联该程序的效劳关掉〔效劳名应该是刚刚在注册表RunServic中看到的〕

5、编辑Win.ini文件，检查"run=〞后有没有刚刚的文件名，如有则删除之

6、编辑system.ini文件，检查"shell=e*plorer.e*e〞后有没有刚刚那个文件，如有将它删除

7、到相应的目录中将刚刚查到的文件删除。30100端口的关闭：这个端口是木马程序NetSphere默认的效劳端口，去除该木马方法如下：

1、编辑注册表，删除HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\项中的NSS*="C:\WinDOWS\system\nss*.e*e"键值

2、删除HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run中的NSS*="C:\WinDOWS\system\nss*.e*e"键值

3、删除HKEY_USERS\****\Software\Microsoft\Windows\CurrentVersion\Run中的NSS*="C:\WinDOWS\system\nss*.e*e"键值

4、重新启动系统后删除删除C:\WinDOWS\system\目录下的nss*.e*e文件31337端口的关闭：这个端口是木马程序BO2000的默认效劳端口，去除该木马方法如下：

1、将机器启动到平安模式状态

2、编辑注册表，删除\HEKY-LOCAL-MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicse项中包含Umgr32.e*e的键值

3、删除\Windows\System目录下的Umgr32.e*e程序

4、重新启动机器45576端口：这是一个代理软件的控制端口，请先确定该代理软件并非你自己安装〔代理软件会给你的机器带来额外的流量〕

关闭代理软件：

1.请先使用fport观察出该代理软件所在的位置

2.在效劳中关闭该效劳〔通常为SkSocks〕，将该效劳关掉。

3.到该程序所在目录下将该程序删除。50766端口的关闭：这个端口是木马程序SchWindler的默认效劳端口，去除该木马的方法如下：

1、编辑注册表，删除HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\项中的User.e*e="C:\WinDOWS\User.e*e"键值

2、重新启动机器后删除c:\Windows\目录下的user.e*e文件61466端口的关闭：这个端口是木马程序Telemando的默认效劳端口，关闭该木马程序方法如下：

1、编辑注册表，删除HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\中的SystemApp＝"ODBC.E*E"键值

2、重新启动机器后删除C:\Windows\system\目录下的ODBC.E*E文件

网络端口平安防护技巧

众所周知，计算机之间通信是通过端口进展的，例如你访问一个时，Windows就会在本机开一个端口〔例如1025端口〕，然后去连接远方效劳器的一个端口，别人访问你时也是如此。默认状态下，Windows会在你的电脑上翻开许多效劳端口，黑客常常利用这些端口来实施入侵，因此掌握端口方面的知识，是平安上网必备的技能。

一、常用端口及其分类

电脑在Internet上相互通信需要使用TCP/IP协议，根据TCP/IP协议规定，电脑有256×256〔65536〕个端口，这些端口可分为TCP端口和UDP端口两种。如果按照端口号划分，它们又可以分为以下两大类：

1.系统保存端口〔从0到1023〕

这些端口不允许你使用，它们都有确切的定义，对应着因特网上常见的一些效劳，每一个翻开的此类端口，都代表一个系统效劳，例如80端口就代表Web效劳。21对应着FTP，25对应着SMTP、110对应着POP3等.2.动态端口〔从1024到65535〕

当你需要与别人通信时，Windows会从1024起，在本机上分配一个动态端口，如果1024端口未关闭，再需要端口时就会分配1025端口供你使用，依此类推。

但是有个别的系统效劳会绑定在1024到49151的端口上，例如3389端口〔远程终端效劳〕。从49152到65535这一段端口，通常没有捆绑系统效劳，允许Windows动态分配给你使用。

二、如何查看本机开放了哪些端口

在默认状态下，Windows会翻开很多"效劳端口〞，如果你想查看本机翻开了哪些端口、有哪些电脑正在与本机连接，可以使用以下两种方法。

1.利用netstat命令

Windows提供了netstat命令，能够显示当前的TCP/IP网络连接情况，注意：只有安装了TCP/IP协议，才能使用netstat命令。

操作方法：单击"开场→程序→附件→命令提示符〞，进入DOS窗口，输入命令netstat-na回车，于是就会显示本机连接情况及翻开的端口.其中LocalAddress代表本机IP地址和翻开的端口号〔图中本机翻开了135端口〕，ForeignAddress是远程计算机IP地址和端口号，State说明当前TCP的连接状态，LISTENING是监听状态，说明本机正在翻开135端口监听，等待远程电脑的连接。

如果你在DOS窗口中输入了netstat-nab命令，还将显示每个连接都是由哪些程序创立的，上面提到的本机在135端口监听，就是由svchost.e*e程序创立的，该程序一共调用了5个组件〔WS2_32.dll、RPCRT4.dll、rpcss.dll、svchost.e*e、ADVAPI32.dll〕来完成创立工作。如果你发现本机翻开了可疑的端口，就可以用该命令观察它调用了哪些组件，然后再检查各组件的创立时间和修改时间，如果发现异常，就可能是中了木马。

2.使用端口监视类软件

与netstat命令类似，端口监视类软件也能查看本机翻开了哪些端口，这类软件非常多，著名的有Tcpview、PortReporter、绿鹰PC万能精灵、网络端口查看器等，推荐你上网时启动Tcpview，密切监视