前正在调用的所有DLL文件名称保存到usedll.txt中，然后再用fc dll.txt usedll.txt〉changenow.txt把比较结果输出到changenow.txt中，这样我们就能大大的缩小查找范围。同时端口也是值得我们重视的一部分，我们可以用进程端口查看工具Fport.exe来查看与端口对应的进程,一般木马开放的是高端口（但也不排除其使用了端口转发和复用技术）样还可以将范围缩小到具体的进程,然后结合Procedump.exe这款脱壳工具来查看此进程调用的dll文件，再利用上面介绍的文件比较法来比较，从而使得查找DLL木马变的更容易。针对端口我们还可以使用嗅探的方法来嗅探端口所传输的数据，如果数据异常则，再使用Fport来找出端口所对应进程然后再重复以上步骤。
实战文件对比法
以上讲了这么多方法来揪出嵌入式木马，也许大家看着这些操作无从做起，以下我将给出文件对比的主要步骤。
◆应用环境◆
Windows2000 pro，d：/test页码：[1] [2] [3] [4] [5] [6] 第5页、共6页 |
