文章大纲：

• 1、怎样快速消除cmd病毒?
• 2、怎样手动清除电脑的木马病毒
• 3、怎样清理木马病毒
• 4、CMD病毒如何彻底清除？？
• 5、cmd.exe病毒的木马清除
• 6、如何清除木马病毒？

怎样快速消除cmd病毒?

cmd.exe病毒进程清除 *** cmd.exe 病毒是比较头痛的一种占用大量cpu资源的病毒，，不同的机子还需要用不同的解决方案， cmd.exe病毒进程清除 *** 之一种情况： 开机CPU就是100％，查进程，原来是cmd.exe 占用了绝大部分的CPU。关闭cmd.exe后，CPU实用率恢复正常。但是再次开机的时候，CPU又是100％，cmd.exe 依然占用了绝大部分的CPU。 1.装了ewido 查杀木马，查出了几个感染目标，已删除。但是今 天早上开机，CPU又是100％，cmd.exe 依然占用了绝大部分的CPU。 2.再装“木马清除专家2006”，查杀，结果没有发现木马。 3.查system 32 中的 CMD.EXE 大小，结果如下： CMD.EXE 大小：459 KB (470,016 字节) 占用空间：460 KB (471,040 字节) 应该没有异常。 解决 *** ： 如果出现这种情况，很不幸，你99％是中了木马了。不过不妨继续验证一下，假定你的windows安装盘位于C:\，并且需要你在文件查看选项中打开查看隐藏文件的选项和显示所有文件扩展名的选项，则 查看你的c:\Program Files\Internet Explorer\PLUGINS\目录，应该会发现有new123.bak和new123.sys两个文件； 查看你的C:\Documents and Settings\Administrator\Local Settings\Temp\目录，应该会发现有MicroSoft.bat这个文件；你可以用记事本打开MicroSoft.bat文件，发现其中提到一个exe文件（具体名称会有不同），你也会在该目录下发现这个exe文件； 如果以上两步你并未发现相应文件，请将你的文件查看改为不隐藏已知文件后缀，并在系统盘内进行文件搜索，确认是否的确没有相关的文件。 木马描述 该木马主要是因为用户安装了嵌入木马程序的安装程序所致，这些安装程序极有可能是你在一些不知名的下载网站上下载的一些应用程序（比如qq的一些版本等）。该木马利用安装程序在没有提醒用户的情况下在IE的插件中安装了实为木马的IE插件。使得一般的杀毒和杀马程序无法识别。并且当你运行一些需要调用IE的一些程序时自动调用该木马插件，所以才出现“症状描述”中所描述的情况。 该木马的母体就是new123.sys，属于Trojan-PSW.Win32.Delf.mc，可能会偷取你的一些应用的帐号和密码。 木马清除 该木马可以很方便的手工清除，过程如下： 打开“任务管理器”，在“进程”中结束cmd.exe的运行，此时CPU占用率会明显下降； 进入C:\Documents and Settings\Administrator\Local Settings\Temp\目录，删除MicroSoft.bat这个文件中所提到的exe文件和该bat文件；（这一步不做也没有问题，但更好清除掉） 进入c:\Program Files\Internet Explorer\PLUGINS\目录，删除new123.bak文件，但此时你无法删除new123.sys文件，因为系统正在使用，你有两种方式处理new123.sys文件： 重启机器并进入安全模式对new123.sys进行删除； 当前状态虽无法删除该文件，但可更改new123.sys的文件名为new123.sysdel，并且重启机器（无需进入安全模式）后，再把new123.sysdel进行删除。 处理完后，如果“症状描述”中的情况消失，则说明清除成功。 第二种情况： 1：XP系统里并没有cmd.exe的进程，cmd.exe是XP系统的命令提示符程序，可以执行一些在DOS下执行的应用程序，但是并不会随系统启动时运行，这有可能是个木马或者其他病毒程序，建议查杀 1）、如果安装文件就在硬盘上，而且系统是从硬盘的安装目录装的，那先将这个安装目录改个名字 2）、删除c:\winnt\system32\dllcache（没有这个子文俭）\cmd.exe， 3）、然后再删除system32\cmd.exe 4、系统会提示说系统文件丢失要求插入光盘，忽略就行了 禁止运行命令解释器和批处理文件 *** ：通过修改注册表，可以禁止用户使用命令解释器(CMD.exe)和运行批处理文件(.bat文件)。新建一个双字节(REG＿DWORD)执行HKEY＿CURRENT＿USER＼Software＼Policies＼ Microsoft＼Windows＼System＼DisableCMD，修改其值为2，命令解释器和批处理文件都不能被运行。修改其值为1，则只是禁止命令解释器的运行。 就是替换掉系统的cmd.exe文件。但是由于此文件受系统保护，所以必须用一种特殊的办法。 至于那个用来替换cmd.exe的文件，可以随便找一个运行时候没有什么提示的东西就行。C:\Windows\system32下面有很多这样的文件，随便找一个就行。替换 *** 是：首先删除C:\WINDOWS\system32\Dllcache\下面的cmd.exe，然后尽快将C:\WINDOWS\system32\下面的cmd.exe替换成所需的文件。当系统提示要求插入WINDOWS安装光盘的时候，不要理他，直接单击“取消”就可以了。 之后当你开始-〉运行-〉cmd的时候，dos窗口自然不会出现了 第三种情况： 如何解决cmd.exe占CPU资源100%问题 造成机器运行很慢，关闭cmd.exe后，CPU使用率恢复正常。但是再次开机的时候，CPU又是100%，cmd.exe 依然占用了绝大部分的CPU。 问题分析：后经上网查找和后来证实，应该是中了一种传播Viking的 *** 尾巴病毒了，这种木马病毒主要是因为用户安装了嵌入木马程序的安装程序所致，这些安装程序极有可能是你在一些不知名的下载网站上下载的一些应用程序（比如qq的一些版本等）。该木马利用安装程序在没有提醒用户的情况下在IE的插件中安装了实为木马的IE插件。使得一般的杀毒和杀马程序无法识别。并且当你运行一些需要调用IE的一些程序时自动调用该木马插件，所以才出现“问题症状”中所描述的情况。 解决 *** ：我只能讲一下大概的思路了，因为当时没有记录和截图。首先在文件夹查看选项中打开查看隐藏文件的选项、显示所有文件扩展名和显示受保护的操作系统文件的选项。 1、从注册表里删除病毒添加的ShellExecuteHooks信息：打开注册表找到[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]， 在实际情况中，图中应该会出现除以外的其它可疑键值的，依次按步骤2检查它们； 2、打开到注册表[HKEY_CLASSES_ROOT\CLSID\{这里是步骤1中提到的可疑键值}下， 然后依次检查上图中所示的每一个路径指向的文件，应该会有个文件是以.sys结尾的系统驱动文件，这个文件应该是隐藏文件，并且它的修改时间应该和该电脑出问题的时间差不多，而且在该文件旁边还会有和它的修改时间一样的隐藏文件，可以考虑将它们都删除了，以观后效。记得我当时是删除了三个在C:\Program Files\Internet Explorer\Connection Wizard 下的隐藏文件，就OK了。注：如果删不掉，可以进安全模式删除。 3、清除C:\Documents and Settings\你的用户名\Local Settings\Temp\目录下的所有垃圾文件，因为里面含有病毒释放生成的执行文件，当时我的情况是有两个病毒释放的文件：_xiaran.bat和help.exe(这个是隐藏和系统文件)。 4、重新启动计算机，观察5分钟，如果不再出现“问题症状”中描述的情况，说明清楚成功了。

怎样手动清除电脑的木马病毒

*** 其实都是大同小异 不过电脑要安全 还是要有不错的安全软件防身才行！

一检查注册表

检查系统启动项 点击“开始”-“运行”-“regedit”，然后检查HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion下所有以“run”开头的键值；HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion下所有以“run”开头的键值；HKEY-USERS\.Default\Software\Microsoft\Windows\CurrentVersion下所有以“run”开头的键值。Windows安装目录下的System.ini也是木马喜欢隐蔽的地方。打开这个文件看看，在该文件的[boot]字段中，是不是有shell=Explorer.exe file.exe这样的内容，如有这样的内容，那这里的file.exe就是木马程序了！

二检查电脑开放的端口

具体的步骤是点击“开始”-“运行”-“cmd”，然后输入netstat -an这个命令能看到所有和自己电脑建立连接的IP以及自己电脑侦听的端口，它包含四个部分——proto(连接方式)、local address(本地连接地址)、foreign address(和本地建立连接的地址)、state(当前端口状态)。

三检查系统的用户

点击“开始”-“运行”-“cmd”，然后在命令行下输入net user，查看计算机上有些什么用户，然后再使用“net user 用户名”查看这个用户是属于什么权限的，一般除了Administrator是administrators组的，其他都不应该属于administrators组，如果你发现一个系统内置的用户是属于administrators组的，那几乎可以肯定你被入侵了。快使用“net user用户名/del”来删掉这个用户吧！

一般病毒文件都在WINNT，SYSTEM，SYSTEM32这样的文件夹下，他们一般不会单独存在，很可能是有某个母文件复制过来的，检查C、D、E等盘下有没有可疑的.exe，.com或.bat文件，有则删除之。

想具体学习的话 还是要自己下功夫才行

怎样清理木马病毒

根据进程名查杀

这种 *** 是通过WinXP系统下的taskkill命令来实现的，在使用该 *** 之前，首先需要打开系统的进程列表界面，找到病毒进程所对应的具体进程名。

接着依次单击“开始→运行”命令，在弹出的系统运行框中，运行“cmd”命令;再在DOS命令行中输入“taskkill/imaaa”格式的字符串命令，单击回车键后，顽固的病毒进程“aaa”就被强行杀死了。比方说，要强行杀死“conime。exe”病毒进程，只要在命令提示符下执行“taskkill/imconime。exe”命令，要不了多久，系统就会自动返回结果。

根据进程号查杀

上面的 *** ，只对部分病毒进程有效，遇到一些更“顽固”的病毒进程，可能就无济于事了。此时你可以通过Win2000以上系统的内置命令——ntsd，来强行杀死一切病毒进程，因为该命令除System进程、 *** SS。EXE进程、CSRSS。EXE进程不能“对付”外，基本可以对付其它一切进程。但是在使用该命令杀死病毒进程之前，需要先查找到对应病毒进程的具体进程号。

考虑到系统进程列表界面在默认状态下，是不显示具体进程号的，因此你可以首先打开系统任务管理器窗口，再单击“查看”菜单项下面的“选择列”命令，在弹出的设置框中，将“PID(进程标志符)”选项选中，单击“确定”按钮。返回到系统进程列表页面中后，你就能查看到对应病毒进程的具体PID了。

接着打开系统运行对话框，在其中运行“cmd”命令，在命令提示符状态下输入“ntsd-cq-pPID”命令，就可以强行将指定PID的病毒进程杀死了。例如，发现某个病毒进程的PID为“444”，那么可以执行“ntsd-cq-p444”命令，来杀死这个病毒进程。

CMD病毒如何彻底清除？？

cmd.exe 病毒是比较头痛的一种占用大量cpu资源的病毒，，不同的机子还需要用不同的解决方案，你没有说你机子的情况，我就把几种 *** 都说一下，你试试看了：

cmd.exe病毒进程清除 ***

之一种情况：

开机CPU就是100％，查进程，原来是cmd.exe 占用了绝大部分的CPU。关闭cmd.exe后，CPU实用率恢复正常。但是再次开机的时候，CPU又是100％，cmd.exe 依然占用了绝大部分的CPU。

1.装了ewido 查杀木马，查出了几个感染目标，已删除。但是今

天早上开机，CPU又是100％，cmd.exe 依然占用了绝大部分的CPU。

2.再装“木马清除专家2006”，查杀，结果没有发现木马。

3.查system 32 中的 CMD.EXE 大小，结果如下：

CMD.EXE 大小：459 KB (470,016 字节)

占用空间：460 KB (471,040 字节)

应该没有异常。

解决 *** ：

如果出现这种情况，很不幸，你99％是中了木马了。不过不妨继续验证一下，假定你的windows安装盘位于C:\，并且需要你在文件查看选项中打开查看隐藏文件的选项和显示所有文件扩展名的选项，则

查看你的c:\Program Files\Internet Explorer\PLUGINS\目录，应该会发现有new123.bak和new123.sys两个文件；

查看你的C:\Documents and Settings\Administrator\Local Settings\Temp\目录，应该会发现有MicroSoft.bat这个文件；你可以用记事本打开MicroSoft.bat文件，发现其中提到一个exe文件（具体名称会有不同），你也会在该目录下发现这个exe文件；

如果以上两步你并未发现相应文件，请将你的文件查看改为不隐藏已知文件后缀，并在系统盘内进行文件搜索，确认是否的确没有相关的文件。

木马描述

该木马主要是因为用户安装了嵌入木马程序的安装程序所致，这些安装程序极有可能是你在一些不知名的下载网站上下载的一些应用程序（比如qq的一些版本等）。该木马利用安装程序在没有提醒用户的情况下在IE的插件中安装了实为木马的IE插件。使得一般的杀毒和杀马程序无法识别。并且当你运行一些需要调用IE的一些程序时自动调用该木马插件，所以才出现“症状描述”中所描述的情况。

该木马的母体就是new123.sys，属于Trojan-PSW.Win32.Delf.mc，可能会偷取你的一些应用的帐号和密码。

木马清除

该木马可以很方便的手工清除，过程如下：

打开“任务管理器”，在“进程”中结束cmd.exe的运行，此时CPU占用率会明显下降；

进入C:\Documents and Settings\Administrator\Local Settings\Temp\目录，删除MicroSoft.bat这个文件中所提到的exe文件和该bat文件；（这一步不做也没有问题，但更好清除掉）

进入c:\Program Files\Internet Explorer\PLUGINS\目录，删除new123.bak文件，但此时你无法删除new123.sys文件，因为系统正在使用，你有两种方式处理new123.sys文件：

重启机器并进入安全模式对new123.sys进行删除；

当前状态虽无法删除该文件，但可更改new123.sys的文件名为new123.sysdel，并且重启机器（无需进入安全模式）后，再把new123.sysdel进行删除。

处理完后，如果“症状描述”中的情况消失，则说明清除成功。

第二种情况：

1：XP系统里并没有cmd.exe的进程，cmd.exe是XP系统的命令提示符程序，可以执行一些在DOS下执行的应用程序，但是并不会随系统启动时运行，这有可能是个木马或者其他病毒程序，建议查杀

1）、如果安装文件就在硬盘上，而且系统是从硬盘的安装目录装的，那先将这个安装目录改个名字

2）、删除c:\winnt\system32\dllcache（没有这个子文俭）\cmd.exe，

3）、然后再删除system32\cmd.exe

4、系统会提示说系统文件丢失要求插入光盘，忽略就行了

禁止运行命令解释器和批处理文件 *** ：通过修改注册表，可以禁止用户使用命令解释器(CMD.exe)和运行批处理文件(.bat文件)。新建一个双字节(REG＿DWORD)执行HKEY＿CURRENT＿USER＼Software＼Policies＼ Microsoft＼Windows＼System＼DisableCMD，修改其值为2，命令解释器和批处理文件都不能被运行。修改其值为1，则只是禁止命令解释器的运行。 就是替换掉系统的cmd.exe文件。但是由于此文件受系统保护，所以必须用一种特殊的办法。

至于那个用来替换cmd.exe的文件，可以随便找一个运行时候没有什么提示的东西就行。C:\Windows\system32下面有很多这样的文件，随便找一个就行。替换 *** 是：首先删除C:\WINDOWS\system32\Dllcache\下面的cmd.exe，然后尽快将C:\WINDOWS\system32\下面的cmd.exe替换成所需的文件。当系统提示要求插入WINDOWS安装光盘的时候，不要理他，直接单击“取消”就可以了。

之后当你开始-〉运行-〉cmd的时候，dos窗口自然不会出现了

第三种情况：

如何解决cmd.exe占CPU资源100%问题

造成机器运行很慢，关闭cmd.exe后，CPU使用率恢复正常。但是再次开机的时候，CPU又是100%，cmd.exe 依然占用了绝大部分的CPU。

问题分析：后经上网查找和后来证实，应该是中了一种传播Viking的 *** 尾巴病毒了，这种木马病毒主要是因为用户安装了嵌入木马程序的安装程序所致，这些安装程序极有可能是你在一些不知名的下载网站上下载的一些应用程序（比如qq的一些版本等）。该木马利用安装程序在没有提醒用户的情况下在IE的插件中安装了实为木马的IE插件。使得一般的杀毒和杀马程序无法识别。并且当你运行一些需要调用IE的一些程序时自动调用该木马插件，所以才出现“问题症状”中所描述的情况。

解决 *** ：我只能讲一下大概的思路了，因为当时没有记录和截图。首先在文件夹查看选项中打开查看隐藏文件的选项、显示所有文件扩展名和显示受保护的操作系统文件的选项。

1、从注册表里删除病毒添加的ShellExecuteHooks信息：打开注册表找到[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]，

在实际情况中，图中应该会出现除以外的其它可疑键值的，依次按步骤2检查它们；

2、打开到注册表[HKEY_CLASSES_ROOT\CLSID\{这里是步骤1中提到的可疑键值}下，

然后依次检查上图中所示的每一个路径指向的文件，应该会有个文件是以.sys结尾的系统驱动文件，这个文件应该是隐藏文件，并且它的修改时间应该和该电脑出问题的时间差不多，而且在该文件旁边还会有和它的修改时间一样的隐藏文件，可以考虑将它们都删除了，以观后效。记得我当时是删除了三个在C:\Program Files\Internet Explorer\Connection Wizard 下的隐藏文件，就OK了。注：如果删不掉，可以进安全模式删除。

3、清除C:\Documents and Settings\你的用户名\Local Settings\Temp\目录下的所有垃圾文件，因为里面含有病毒释放生成的执行文件，当时我的情况是有两个病毒释放的文件：_xiaran.bat和help.exe(这个是隐藏和系统文件)。

4、重新启动计算机，观察5分钟，如果不再出现“问题症状”中描述的情况，说明清楚成功了

cmd.exe病毒的木马清除

该木马可以很方便的手工清除，过程如下：

打开“任务管理器”，在“进程”中结束cmd.exe的运行，此时CPU占用率会明显下降；

进入C:\Documents and Settings\Administrator\Local Settings\Temp\目录，删除MicroSoft.bat这个文件中所提到的exe文件和该bat文件；（这一步不做也没有问题，但更好清除掉）

进入c:\Program Files\Internet Explorer\PLUGINS\目录，删除new123.bak文件，但此时你无法删除new123.sys文件，因为系统正在使用，你有两种方式处理new123.sys文件：

重启机器并进入安全模式对new123.sys进行删除；

当前状态虽无法删除该文件，但可更改new123.sys的文件名为new123.sysdel，并且重启机器（无需进入安全模式）后，再把new123.sysdel进行删除。

处理完后，如果“症状描述”中的情况消失，则说明清除成功。

如何清除木马病毒？

目前 *** 上最猖獗的病毒估计非木马程序莫数了，特别是在过去的2004年木马程序的攻击性也有了很大的加强，在进程隐藏方面，做了较大的改动，不再采用独立的EXE可执行文件形式，而是改为内核嵌入方式、远程线程插入技术、挂接PSAPI等，这些木马也是目前最难对付的。本期就教你查找和清除线程插入式木马。

操作步骤：

1.通过自动运行机制查木马

一说到查找木马，许多人马上就会想到通过木马的启动项来寻找“蛛丝马迹”，具体的地方一般有以下几处：

1）注册表启动项：

在“开始/运行”中输入“regedit.exe”打开注册表编辑器，依次展开[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\]和[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\]，查看下面所有以"Run"开头的项，其下是否有新增的和可疑的键值，也可以通过键值所指向的文件路径来判断，是新安装的软件还是木马程序。

另外[HKEY LOCAL MACHINE\Software\classes\exefile\shell\open\command\]键值也可能用来加载木马，比如把键值修改为“X:\windows\system\ABC.exe "%1"%”。

2）系统服务

有些木马是通过添加服务项来实现自启动的，大家可以打开注册表编辑器，在[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Runservices]下查找可疑键值，并在[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\]下查看的可疑主键。

然后禁用或删除木马添加的服务项：在“运行”中输入“Services.msc”打开服务设置窗口，里面显示了系统中所有的服务项及其状态、启动类型和登录性质等信息。找到木马所启动的服务，双击打开它，把启动类型改为“已禁用”，确定后退出。也可以通过注册表进行修改，依次展开“HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\服务显示名称”键，在右边窗格中找到二进制值“Start”，修改它的数值数，“2”表示自动，“3”表示手动，而“4”表示已禁用。当然更好直接删除整个主键，平时可以通过注册表导出功能，备份这些键值以便随时对照。

3）开始菜单启动组

现在的木马大多不再通过启动菜单进行随机启动，但是也不可掉以轻心。如果发现在“开始/程序/启动”中有新增的项，可以右击它选择“查找目标”到文件的目录下查看一下，如果文件路径为系统目录就要多加小心了。也可以在注册表中直接查看，它的位置为[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders]，键名为Startup。

4）系统INI文件Win.ini和System.ini

系统INI文件Win.ini和System.ini里也是木马喜欢隐蔽的场所。选择“开始/运行”，输入“msconfig”调出系统配置实用程序，检查Win.ini的[Windows]小节下的load和run字段后面有没有什么可疑程序，一般情况下“＝”后面是空白的；还有在System.ini的[boot]小节中的Shell=Explorer.exe后面也要进行检查。

5）批处理文件

如果你使用的是WIN 9X系统，C盘根目录下“AUTOEXEC.BAT”和WINDOWS目录下的“WinStart.bat”两个批处理文件也要看一下，里面的命令一般由安装的软件自动生成，在系统默认会将它们自动加载。在批处理文件语句前加上“echo off”，启动时就只显示命令的执行结果，而不显示命令的本身；如果再在前面加一个“@”字符就不会出现任何提示，以前的很多木马都通过此 *** 运行。

2.通过文件对比查木马

最近新出现的一种木马。它的主程序成功加载后，会将自身做为线程插入到系统进程SPOOLSV.EXE中，然后删除系统目录中的病毒文件和病毒在注册表中的启动项，以使反病毒软件和用户难以查觉，然后它会监视用户是否在进行关机和重启等操作，如果有，它就在系统关闭之前重新创建病毒文件和注册表启动项。下面的几招可以让它现出原形（下面均以Win XP系统为例）：

1）对照备份的常用进程

大家平时可以先备份一份进程列表，以便随时进行对比查找可疑进程。 *** 如下：开机后在进行其他操作之前即开始备份，这样可以防止其他程序加载进程。在运行中输入“cmd”，然后输入“tasklist /svc X:\processlist.txt”（提示：不包括引号，参数前要留空格，后面为文件保存路径）回车。这个命令可以显示应用程序和本地或远程系统上运行的相关任务/进程的列表。输入“tasklist /？”可以显示该命令的其它参数。

2）对照备份的系统DLL文件列表

对于没有独立进程的DLL木马怎么办吗？既然木马打的是DLL文件的主意，我们可以从这些文件下手，一般系统DLL文件都保存在system32文件夹下，我们可以对该目录下的DLL文件名等信息作一个列表，打开命令行窗口，利用CD命令进入system32目录，然后输入“dir *.dllX:\listdll.txt”敲回车，这样所有的DLL文件名都被记录到listdll.txt文件中。日后如果怀疑有木马侵入，可以再利用上面的 *** 备份一份文件列表“listdll2.txt”，然后利用“UltraEdit”等文本编辑工具进行对比；或者在命令行窗口进入文件保存目录，输入“fc listdll.txt listdll2.txt”，这样就可以轻松发现那些发生更改和新增的DLL文件，进而判断是否为木马文件。

3）对照已加载模块

频繁安装软件会使system32目录中的文件发生较大变化，这时可以利用对照已加载模块的 *** 来缩小查找范围。在“开始/运行”中输入“msinfo32.exe”打开 “系统信息”，展开“软件环境/加载的模块”，然后选择“文件/导出”把它备份成文本文件，需要时再备份一个进行对比即可。

4）查看可疑端口

所有的木马只要进行连接，接收/发送数据则必然会打开端口，DLL木马也不例外，这里我们使用netstat命令查看开启的端口。我们在命令行窗口中输入“netstat -an”显示出显示所有的连接和侦听端口。Proto是指连接使用的协议名称，Local Address是本地计算机的IP地址和连接正在使用的端口号，Foreign Address是连接该端口的远程计算机的IP地址和端口号，State则是表明TCP连接的状态。Windows XP所带的netstat命令比以前的版本多了一个-O参数，使用这个参数就可以把端口与进程对应起来。输入“netstat /？”可以显示该命令的其它参数。

接着我们可以通过分析所打开的端口，将范围缩小到具体的进程上，然后使用进程分析软件，例如《WINDOWS优化大师》目录下的WinProcess.exe程序，来查找嵌入其中的木马程序。有些木马会通过端口劫持或者端口重用的 *** 来进行通信的，一般它们会选择139、80等常用端口，所以大家分析时要多加注意。也可以利用 *** 嗅探软件（如：Commview）来了解打开的端口到底在传输些什么数据.