用VC如何查找木马

Question

如题，分不够可以另开帖

Answer 1

这是一个大工程
木马多种多样，有脚本的、插件的、exe的、sys的等
说上几天几夜都说不完啊

Answer 2

那你要对网络安全编程有深入了解才行
我这有个判断是否中了“冰河”木马的C++程序，希望对你有帮助！
#include <stdio.h> 
#include <windows.h> 
main() 
{ 
HKEY hKEY; 
LPCTSTR data_Set = "txtfile\\shell\\open\\command"; 
long ret0 = (RegOpenKeyEx(HKEY_CLASSES_ROOT,
data_Set, 0, KEY_READ,&hKEY)); 
if(ret0 != ERROR_SUCCESS) //如果无法打开hKEY，则终止程序的执行 
{
return 0; 
}
//查询有关的数据
LPBYTE owner_Get = new BYTE[80]; 
DWORD type_1 = REG_EXPAND_SZ ; 
DWORD cbData_1 = 80; 
long ret1=RegQueryValueEx(hKEY, NULL, NULL,
&type_1, owner_Get, &cbData_1); 
if(ret1!=ERROR_SUCCESS) 
{ 
return 0; 
} 

if(strcmp((const char *)owner_Get,"%systemroot%\\system32\\notepad.exe %1") == 0)
{
printf("没有中冰河");
}
else
{
printf("可能中了冰河");
}

printf("\n");
}

Answer 3

这确实有些复杂，首先木马是多种多样的，有流行的也有不流行的；再次木马的运行方式也多种多样，一般是注入进程。查找木马可以从进程、端口等入口，如果知道木马的植入方式和生产文件，就直接定位查找，当然还有ring0级的，可不是一般的人能解决。本人小菜，多多批评。

Answer 4

你可以先收集3-4个病毒的特征码，做个Demo意思意思还是不难的

Answer 5

现在的木马都是高智能的，有的做成了驱动，有的做成了程序外挂，有的做成了系统的一部分。
有的做成了访问web服务的程序的，有的做成了电子邮件模式，有的做成了只有后门。