断是否存在嵌入式木马，方法如下：运行CMD--fc exe.txt exe1.txt〉change.txt & fc dll.txt dll1.txt〉change.txt，其含义为用fc命令比较exe和dll的2次记录文件，并将结果输出到change.txt中。这时我们就可以从change.txt中发现发生变化的exe和dll文件以及多出来的exe和dll文件，最后我们查看这些文件的创建时间、版本、是否经过压缩等就能够比较容易地判断出是不是已经被DLL木马修改了。
如果有的话，在没有把握的情况下就把dll文件先删除到回收站中，以便误删以后还能文件还原，如果重新启动后系统没有任何异常，我们就可以彻底删除此dll文件了。但同时由于有的进程调用的DLL文件非常多，使得靠我们自己去一个一个去核对变的不太现实，所以此时我们可以借助一些工具来帮助我们缩小范围，其中NT进程/内存模块查看器ps.exe就是一款很不错的工具，用命令ps.exe /a /m 〉usedll.txt将系统目页码：[1] [2] [3] [4] [5] [6] 第4页、共6页 |
