UC知道帮看下鸽子是怎么弄上去的？
来源：百度知道 编辑：UC知道 时间：2024/05/06 11:42:36
今天朋友把他新买的读卡器往我电脑上一插，毒霸就报发现病毒（Win32.Troj.VB.32768）清除成功！再扫描他的卡，没有发现了。吃饭时打算升级毒霸，可想到今天的那个读卡器，我就关了电脑冷启动电脑，进入管理员帐户，用反间蝶扫隐蔽软件，就发现了这个：2 2007-11-18 17:42:58 发现隐蔽软件：灰鸽子远程控制服务端 发现安装 -。我想问下，它是怎么弄上去了？毒霸07为什么没有拦截？！（我每天都会手动升级毒霸，并在升级前扫描内存和隐蔽软件。那个受限帐户中的毒霸设置跟管理员下的设置一样，自定义）
既然是在受限帐户，它怎么能创建自启动项随机启动？不过我没有在毒霸的启动项管理中查到，也没有在STRENG2中看到。
我用的是正版金山毒霸07。有些想不通，有受限帐户下应该不能更改注册表吧，也不能创建系统启动项吧？它是怎么弄上去的呢？谢谢！
当天我并没有开网页。而且电脑默认的超级帐户我改了名了并有13位字母数字组合，默认的来宾帐户已经禁用。注册表远程访问为空等等。应该不会是被黑客手动弄进去的
真郁闷!灰鸽子可以说是国内后门的集大成者。其丰富而强大的功能、灵活多变的操作、良好的隐藏性使其他后门都相形见绌.
配置出来的服务端文件文件名为G_Server.exe（这是默认的，当然也可以改变）。然后黑客利用一切办法诱骗用户运行G_Server.exe程序。具体采用什么办法，读者可以充分发挥想象力，这里就不赘述。
G_Server.exe运行后将自己拷贝到Windows目录下(98/xp下为系统盘的windows目录，2k/NT下为系统盘的Winnt目录)，然后再从体内释放G_Server.dll和G_Server_Hook.dll到windows目录下。G_Server.exe、G_Server.dll和G_Server_Hook.dll三个文件相互配合组成了灰鸽子服务端， G_Server_Hook.dll负责隐藏灰鸽子。通过截获进程的API调用隐藏灰鸽子的文件、服务的注册表项，甚至是进程中的模块名。截获的函数主要是用来遍历文件、遍历注册表项和遍历进程模块的一些函数。所以，有些时候用户感觉种了毒，但仔细检查却又发现不了什么异常。有些灰鸽子会多释放出一个名为G_ServerKey.dll的文件用来记录键盘操作。注意，G_Server.exe这个名称并不固定，它是可以定制的，比如当定制服务端文件名为A.exe时，生成的文件就是A.exe、A.dll和A_Hook.dll。
Windows目录下的G_Server.exe文件将自己注册成服务（9X系统写注册表启动项），每次开机都能自动运行，运行后启动G_Server.dll和G_Server_Hook.dll并自动退出。G_Server.dll文件实现后门功能，与控制端客户端进行通信；G_Server_Hook.dll则通过拦截API调用来隐藏病毒。因此，中毒后，我们看不到病毒文件，也看不到病毒注册的服务项。随着灰鸽子服务端文件的设置不同，G_Server_Hook.dll有时候附在Explorer.exe的进程空间中，有时候则是附在所有进程中。
灰鸽子的作者对于如何逃过杀毒软件的查杀花了很大力气。由于一些API函数被截获，正常模式下难以遍历到灰鸽子的文件和模块，造成查杀上的困难。要卸载灰鸽子动态库而且保证系统进程不崩溃也很