重启机器后，ie还是被自动背景运行，帐号也是system，但是好像没有再试图访问网络了 <- 中国开发网

CNDEV.ORG

当前在线

论坛

CBD
- 程序员情感CBD
- 程序员见面交流会
CBD开发区
- Java/J2ME
- .NET/C#
- 数据库
- Delphi/BCB
- Visual C
其它
情感
游戏
- CNDEV-CS/WOW
- 浩宇长空
生活
论坛系统

中国开发网: 论坛: 程序员情感CBD: 贴子 585019

haitao：

重启机器后，ie还是被自动背景运行，帐号也是system，但是好像没有再试图访问网络了

[阅读: 755] 2007-11-28 15:47:45

不知道是我禁止它访问8000端口导致的，还是它现在就不访问了？？

访问网络时，有2个线程，有一个是：
ntkrnlpa.exe+0x8dace
ntkrnlpa.exe+0x29499
ntkrnlpa.exe+0x138f68
ntkrnlpa.exe+0x1390ca
ntkrnlpa.exe+0x8978c
ntdll.dll!KiFastSystemCallRet
ntdll.dll!RtlSetLastWin32ErrorAndNtStatusFromNtStatus+0x301
kernel32.dll!GetModuleHandleA+0xdf

TID=2076,ntdll.dll!RtlSetLastWin32ErrorAndNtStatusFromNtStatus+0x59

现在不访问网络了，只有一个线程：
ntkrnlpa.exe+0x8dace
ntkrnlpa.exe+0x29a62
ntkrnlpa.exe+0x33178
ntkrnlpa.exe+0x33480
ntkrnlpa.exe+0x29a62
win32k.sys+0x9b1c3
win32k.sys+0x9e033
win32k.sys+0x9e9f1
ntdll.dll!KiFastSystemCallRet
iexplore.exe+0x57885
iexplore.exe+0xa1fe2

我的blog：http://szhaitao.blog.hexun.com & http://www.hoolee.com/user/haitao

－－以上均为泛泛之谈－－不尽牛人滚滚来，无边硬伤纷纷现人在江湖飘（出来混的），哪能不挨刀（总归是要还的）
网络对话，歧义纷生；你以为明白了对方的话，其实呢？

您所在的IP暂时不能使用低版本的QQ，请到：http://im.qq.com/下载安装最新版的QQ，感谢您对QQ的支持和使用

相关信息:

这个包里面有商业软件吗？怎么说“仅作学习之用，不得用于商业用途”？ (862字) (haitao [1053] 2007-11-28 13:44)
- 不要随便安装软件,小心木马藏里边, phpdesigner不知道,其它都free的 (空) (lukejee [447] 2007-11-28 13:46)
  - 是啊，就担心这些。。。。。。。。。 (空) (haitao [320] 2007-11-28 13:47)
    - 那就自己去官方网站一个个的下 (空) (leejd [311] 2007-11-28 13:49)
    - 发现时不时有ie自动背景运行，试图连接58.211.16.15的oicq(8000)端口。。。。。。。。 (12字) (haitao [407] 2007-11-28 14:07)
      - it is (空) (pcplayer [293] 2007-11-28 14:15)
      - 如何知道是哪个程序调用ie，并以什么命令行参数调用的呢？ (空) (haitao [642] 2007-11-28 14:19)
        是注入，不是调用。 (空) (pcplayer [311] 2007-11-28 14:20)
        它运行的命令行很奇怪（注意目录的大小写）：C:\pROGRAM fILES\iNTERNET eXPLORER\iexplore.exe (空) (haitao [769] 2007-11-28 14:27)
        找遍整个注册表，没有这样大小写的目录字符串。。。。。。。。 (25字) (haitao [415] 2007-11-28 15:57)
        gg和百度的高级搜索的设置界面简直是完全一样！——都不支持大小写敏感的搜索 (64字) (haitao [492] 2007-11-28 16:26)
        灰鸽子？我的nod32都没查出啊？？ (3730字) (haitao [557] 2007-11-28 14:38)
        灰鸽子是注入,注入就一定要是灰鸽子么? 不听话,乱装出事了吧 (空) (lukejee [408] 2007-11-28 14:40)
        也不知道是不是刚刚中的。。。。。难得我有点求知欲，居然受到这样的打击。。。。。 (17字) (haitao [359] 2007-11-28 15:04)
        这些东西最好全部到官网下载,别乱装 (20字) (lukejee [383] 2007-11-28 15:09)
        就是因为官方的不照顾新手的安装配置不熟悉。。。。。。。那个system帐号运行的ie，杀掉也就不再起了？？我不让ie访问任何8000端口，总行了吧？ (空) (haitao [545] 2007-11-28 15:14)
        如果是我来配置，我会让木马通过IE访问80，你总没办法吧？ (空) (pcplayer [365] 2007-11-28 15:15)
        它现在无法再到我的机器上改为访问80端口吧。。。。。。不过没找到哪个地方（程序）把它给运行起来的 (空) (haitao [480] 2007-11-28 15:18)
        可能是某个dll,用那个什么看进程的东西看看 (空) (lukejee [336] 2007-11-28 15:20)
        当时只看到它的父进程id，但是当时它就已经不存在了 (空) (haitao [356] 2007-11-28 15:24)
        禁用IE (空) (sea026 [332] 2007-11-28 15:24)
        如果通过这些好似简化的工具来学习那些东西,我感觉走得弯路更多些,耐心点,一个个看吧 (60字) (lukejee [395] 2007-11-28 15:19)
        胡乱下的东西，最好是在虚拟机里装。 (空) (pcplayer [355] 2007-11-28 15:12)
        类似的木马很多，不一定是灰鸽子。而且，我试验过，只要用加壳工具处理过，杀毒软件根本看不出来。 (空) (pcplayer [728] 2007-11-28 14:41)
        nod32据说会脱壳后再查的。。。。。。。。 (空) (haitao [378] 2007-11-28 16:25)
        DDDDDDDDDDD (13字) (t2630991 [338] 2007-12-11 04:27)
        其实搞清楚注入的原理，要写注入的程序似乎不难。我是没时间，要不也想研究一下，哪天写个木马玩玩。 (空) (pcplayer [359] 2007-11-28 15:14)
        这两个文件是XP的 (空) (sea026 [330] 2007-11-28 15:23)
      - 重启机器后，ie还是被自动背景运行，帐号也是system，但是好像没有再试图访问网络了 (633字) (haitao [754] 2007-11-28 15:47)
        用sysinternels process explorer慢慢研究 (76字) (lukejee [496] 2007-11-28 20:42)
        就是使用它看的，得到大小写怪异的命令行，父进程已经不存在 (空) (haitao [397] 2007-11-29 01:03)
- 记得MySQL第三方集成安装是需要授权的，其它的不知。MySQL授权so繁琐。 (空) (sea026 [327] 2007-11-28 14:31)
- 你到底用作啥？可以试试看AppServ和EasyPHP (17字) (风无影 [365] 2007-11-29 01:37)
- 考，这些东西自己安装配置一套也没什么麻烦的吧 (空) (变废为宝 [305] 2007-11-29 02:44)
  - 如果不经常搞，这次是搞通了，过段时间就忘记了。我现在已经把 bind 的配置忘记光了。 (空) (pcplayer [382] 2007-11-29 03:43)

欢迎光临本社区，您还没有登录，不能发贴子。请在这里登录

页面内容处理时间: 0.022 - 625688

CNDEV.ORG 2003-2014 | 贴子列表 | 捐助 | | -ICP -IDC -ISP |