通过Rundll启动的木马的问题

显示全部楼层 · 发表于 2008-9-12 13:22:37

　　我在《手把手教你查杀DLL木马》一文中，得知：通过Rundll32启动的DLL木马，即使关闭了rundll32进程，木马本体还是存在的。
　　请教这是为什么？那么DLL木马又存在哪里呢？

显示全部楼层 · 发表于 2008-9-12 20:10:34

在Windows的任务管理器中，我们只能看到rundll32.exe进程，而其实质是调用的DLL文件。就好像用钥匙开锁，不管你开多少次锁，钥匙是不会消失的。因此，即使关闭了rundll32进程，木马本体还是存在的。如果想查看rundll32加载了哪些dll文件，可以用冰刃 IceSword。
DLL木马的隐藏位置就不好说了，可以在Windows、System、System32文件夹下，也可以在其它任何文件夹下，是由病毒制造者决定的。

显示全部楼层 · 发表于 2008-9-12 21:47:11

用一些安全软件基本上可以查看到RUNDLL32.DLL加载的DLL文件。

只要是不熟悉或者没有签名的，建议仔细查看。

可以通过BAIDU等来搜索。

显示全部楼层 · 发表于 2008-9-14 11:13:26

　　木马文件静态存储的位置暂不讨论，我只是想知道它运行时会怎么样，一般来说进程关闭后，其下的模块也应该不再运行了，那么就是说通过Rundll32运行的DLL木马可以进入其他的进程中？

显示全部楼层 · 发表于 2008-9-14 11:22:54

“软倒”又挂了

显示全部楼层 · 发表于 2008-9-14 12:11:45

额~~~看不懂~

[已解决] 通过Rundll启动的木马的问题

评分