DLL木马是依靠DLL文件没有邪恶，木马运行在进程列表的新工艺的出现，许多DLL木马也插入关键过程的系统（不是终止），即使杀毒软件可以检测到的不是杀戮，这给系统的安全带来巨大的威胁。如果你不使用武器杀马，把Office Excel可以打击让看看我们如何使用Excel处理木马插入lsass.exe进程。


第一步：找到被感染的过程


开始上网，最近一段时间后，我感觉速度很慢，然后运行netstat - N；- o查看开放的端口和连接，其中过程PID 580推出的连接是很可疑的：国家的建立，说两机通信（见图1），任务管理器可以知道lsass.exe进程，根据解释的过程，是一个为lsass.exe微软Windows系统的安全机制，它用于本地安全和战略落地，很明显，这个过程是不需要开放的端口与外部的连接，来判断过程可插入DLL木马。如果目前无连接的牧马人，也可以决定是否通过端口状态抓住，S比如time_wait意思是末端的连接，端口访问，但访问结束时，已被砍断了machine.listening表明它是处于监听状态，等待连接，但还没有连接，但只有TCP协议的服务端口可以在聆听的状态。


小提示：判断是否招聘的前提是找出感染的过程。根据插入过程的种类，DLL木马大致可以分为：


1，插入过程，如可执行文件和Iexplorer.exe。这种木马的判断很简单。启动后，不启动程序，打开任务管理器。如果我们找到上面的过程，我们就能预测它。


2。插入系统进程，如explorer.exe，lsass.exe（因为每个计算机的启动过程，具体可以判断，通过查看端口和进程本身如lsass.exe，winlon.exe，特征explorer.exe不会开放端口连接）。


三.用于插入本身，开放端口的过程如alg.exe和Svchost.exe需要由连接状态的判断，对IP的连接，和打电话到DLL。


第二步：追查特洛伊杀人犯


这是插入到DLL特洛伊木马程序中，我们可以使用DLL模块来处理调用筛选。


1，运行在其他正常电脑的命令；计算机 / /佛列表> G：dll1.txt在当前进程中加载所有的DLL文件，然后打开dll.txt复制lsass.exe加载DLL文件列表。


2 ..打开Excel，并拷贝dll文件正常计算机和中国电脑lsass.exe加载到A和B柱。由于Excel有序列号，很容易找到与不同数量的两lsass.exe加载的DLL文件（64和68）。现在名单B字体为红色，B柱的内容剪切并粘贴到一列，单击Excel / 数据排序；、数据排序，但在连续红不一样的网格和DLL文件，mswsock.dll，PSAPI.DLL，wshtcpip.dll分别为木马文件，share.dll


小提示：


如果无法确定插入特洛伊木马的进程，可以先输出所有DLL文件，然后在Excel中比较它们，与普通DLL文件进行比较，并逐一找到新的DLL文件。


第三步：删除特洛伊木马文件


我们可以知道从4的文件的DLL木马，现在通过搜索功能找到这些文件（主要在DLL文件系统目录，搜索范围可局限于此），最后找到凶手通过查看属性C：windowssystem32share.dll.now进入安全模式删除share.dll，然后找到木马的家伙和删除它，根据时间和其创作的大小。一般微软系统DLL文件的版本标签，大部分的文件的日期都是一样的，可以通过这些属性判断。


提示：对于DLL木马插入记事本、伊江、explorer.exe和其他进程的DLL木马的进程终止后可以直接删除。


第四步：做好后备工作，防止它处于萌芽状态。


相对来说，系统进程，插入木马相对容易判断，但很难判断插入系统本身开放港口的过程中，如svchost.exe.so我们通常都要使用任务列表命令的常见系统进程的DLL文件备份，这样就可以在怀疑的时候移动、重新启动和关闭任何独立的程序，然后通过Excel以快速找到木马的凶手！


注：该系统具有多个Svchost.exe进程，但其过程PID是不同的，需要备份的分别。