如何检查清除木马程序

　　谁都不希望自己电脑里存在病毒。系统中木马是一件很头疼的事情，我们可以通过一些具体的预防措施，手动检查和清除木马病毒，那么如何查看和清除木马病毒呢?下面先介绍木马程序的隐藏技俩、自动加载方法，在介绍针对这些技俩的应对办法。

查杀木马

　　知道了木马的工作原理，查杀木马就变得很容易。如果发现有木马存在，最安全也是最有效的方法就是马上将计算机与网络断开，防止黑客通过网络对你进行攻击。然后编辑win.ini文件，将[windows]下面，run=木马程序或load=木马程序更改为run=和load=;编辑system.ini文件，将[boot]下面的shell=木马文件，更改为：shell=explorer.exe;

　　在注册表中，用regedit对注册表进行编辑，先在hkey-local-machinesoftwaremicrosoftwindowscurrentversionrun下找到木马程序的文件名，再在整个注册表中搜索并替换掉木马程序。

　　有时候还需特别注意：有的木马程序并不是直接将hkey-local-machinesoftwaremicrosoftwindowscurrentversionrun下的木马键值删除就行了，因为有的木马如：bladerunner木马，如果你删除它，木马会立即自动加上，你需要的是记下木马的名字与目录，然后退回到ms-dos下，找到此木马文件并删除掉。重新启动计算机，然后再到注册表中将所有木马文件的键值删除。

木马程序隐藏自己的办法

　　木马程序会想尽一切办法隐藏自己，主要途径有：在任务栏中隐藏自己，这是最基本的，只要把form的visible属性设为false、showintaskbar设为false，程序运行时就不会出现在任务栏中了。

　　在任务管理器中隐形：木马只要将程序设为系统服务就可以很轻松地伪装自己。当然它也会悄无声息地启动，用户不会每次启动后再自己点击木马图标来运行服务端，所以木马会在每次用户启动时自动装载服务端，windows系统启动时自动加载应用程序的方法，木马都会用上，如：启动组、win.ini、system.ini、注册表等等都是木马藏身的好地方。

查看木马是否自动加载

　　在win.ini文件中，在[windows]下面，run=和load=是可能加载木马程序的途径，必须仔细留心它们。一般情况下，它们的等号后面什么都没有，如果发现后面跟有路径与文件名不是你熟悉的启动文件，你的计算机就可能中上木马了。当然你也得看清楚，因为好多木马，如aoltrojan木马，它把自身伪装成command.exe文件，如果不注意可能不会发现它不是真正的系统启动文件。

　　在system.ini文件中，在[boot]下面有个shell=文件名。正确的文件名应该是explorer.exe，如果不是explorer.exe，而是shell=explorer.exe程序名，那么后面跟着的那个程序就是木马程序，就是说你已经中木马了。

　　在注册表中的情况最复杂，通过regedit命令打开注册表编辑器，在点击至：hkey-local-machinesoftwaremicrosoftwindowscurrentversionrun目录下，查看键值中有没有自己不熟悉的自动启动文件，扩展名为exe。

　　这里切记：有的木马程序生成的文件很像系统自身文件，想通过伪装蒙混过关，如acidbatteryv1.0木马，它将注册表hkey-local-machinesoftwaremicrosoftwindowscurrentversionrun下的explorer键值改为explorer=c:windowsexpiorer.exe，木马程序与真正的explorer之间只有i与l的差别。当然在注册表中还有很多地方都可以隐藏木马程序，如：hkey-current-usersoftwaremicrosoftwindowscurrentversionrun、hkey-users****softwaremicrosoftwindowscurrentversionrun的目录下都有可能，最好的办法就是在hkey-local-machinesoftwaremicrosoftwindowscurrentversionrun下找到木马程序的文件名，再在整个注册表中搜索即可。