木馬和蠕蟲(chóng)有相似的地方，都是程序，都運(yùn)行在目標(biāo)機(jī)器上，并且目前的程序，有木馬和蠕蟲(chóng)甚至和病毒相結(jié)合的趨勢(shì)。
不過(guò)只要是木馬和蠕蟲(chóng)，沒(méi)有病毒的特征，那么，至少，它不會(huì)感染文件，如果感染的話，也是文件完全被木馬和蠕蟲(chóng)所代替，而原來(lái)文件本身，因?yàn)槟抉R和蠕蟲(chóng)要隱藏自己，這個(gè)文件必然還要保留以實(shí)現(xiàn)本身的功能，所以一般是被他們改名或移動(dòng)位置。
根據(jù)以上特點(diǎn)，所以，木馬和蠕蟲(chóng)在一般情況下，是可以手動(dòng)清除的，個(gè)別比如某些版本的求職信，某些版本的冰河，都帶有寄生功能，所以，手動(dòng)清除是不可能了，這些就要跟病毒的清除方法一樣了，不再多說(shuō)。
既然木馬和蠕蟲(chóng)，都要在目標(biāo)機(jī)器上運(yùn)行，北大青鳥(niǎo)告訴你他們一般都采取什么方法。
1.注冊(cè)表
注冊(cè)表里，也是最多的一種，在HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run，或者runonce，runservice，runserivceonce；或者在HKEY_CURRENT_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run。runonce，runservice,runserviceonce。
并且運(yùn)行以run和runservice為多，因?yàn)閹nce的，運(yùn)行了就從里面刪除掉了，要想再運(yùn)行，就要在關(guān)閉系統(tǒng)的時(shí)候，再加上，這樣的程序有好處也有壞處，好處是看不到注冊(cè)表里的運(yùn)行痕跡，但壞處是，如果對(duì)方不正常關(guān)機(jī)，那就沒(méi)辦法加載了，不過(guò)這些程序不會(huì)用一種方法的，所以這種情況也可能出現(xiàn)。
2.服務(wù)
運(yùn)行在服務(wù)里，也是很好的方法，并且服務(wù)里運(yùn)行的東西也很多，不是非常熟悉的話，的確很難判斷哪個(gè)是木馬或蠕蟲(chóng)程序。
3.文件關(guān)聯(lián)
如果放在注冊(cè)表的run里面，也是容易被發(fā)現(xiàn)并且刪除的，所以，他們一般采取的備用措施都是關(guān)聯(lián)文件，很多都是關(guān)聯(lián)txt或exe文件，只要你打開(kāi)這些文件，備用程序就會(huì)運(yùn)行，并且再生成服務(wù)文件。
4.在system.ini的shell里
shell=eXPlorer，這個(gè)是默認(rèn)的，不過(guò)有些程序會(huì)修改這里或者是shell=其他程序，或者是shell=explorer，其他程序后者的好處是，運(yùn)行后隱藏在explorer的進(jìn)程里了，在進(jìn)程列表里不好找到。
5.win.ini里的load和run
這里也是加載東西的好地方知道了如何運(yùn)行，就可以針對(duì)性的清除了。
首先，運(yùn)行regedit，如果這個(gè)時(shí)候不能運(yùn)行，那就可能是exe文件被關(guān)聯(lián)了，并且關(guān)聯(lián)文件有問(wèn)題，如果可以運(yùn)行，還好說(shuō)點(diǎn)，這個(gè)時(shí)候察看進(jìn)程，把可疑的進(jìn)程終止掉，這個(gè)順序的用意是，防止關(guān)聯(lián)文件重新啟動(dòng)程序。
終止掉后，察看上面說(shuō)的地方，是否有可疑的程序存在，有則刪除之，不能確定的話，有個(gè)簡(jiǎn)單判斷方法，因?yàn)槟抉R程序?yàn)榱穗[藏自己，一般用了比較隱蔽的圖標(biāo)，而這個(gè)又暴露了他自己，比如你看到運(yùn)行里的程序，圖標(biāo)居然是個(gè)文本文件的圖標(biāo)，這肯定不對(duì)，因?yàn)槲谋疚募䦂D標(biāo)本身不可能在自動(dòng)運(yùn)行里面的。
刪除之前紀(jì)錄下文件位置，刪除后，找到文件，刪除之，如果不能刪除，那么就還在運(yùn)行，也就是剛才進(jìn)程里面沒(méi)有終止掉，或者沒(méi)在進(jìn)程里，看看服務(wù)里有沒(méi)有相關(guān)的部分，然后停止或者刪除。如果文件不能刪除，下次啟動(dòng)到安全模式，把文件刪除。
察看txt和exe等等文件的關(guān)聯(lián)，恢復(fù)默認(rèn)設(shè)置，有的是修改dll文件的打開(kāi)方式的，也修改回去。有的人要問(wèn)了，這么多文件關(guān)聯(lián)，如何看的出來(lái)呢？
其實(shí)，你刪除文件并且重新啟動(dòng)后，看看那些刪除掉的東西是否有死灰復(fù)燃了，通過(guò)這些，很容易判斷是通過(guò)什么方式重新加載的。
察看上面說(shuō)的其他地方，是否有了變化，因?yàn)槠渌胤阶兓呛苋菀卓吹某鰜?lái)的，修改并且刪除相關(guān)文件。
在執(zhí)行完了這些東西后，我們?cè)僦仄鹨淮斡?jì)算機(jī)，察看是否還有問(wèn)題，如果還有，就要進(jìn)一步檢查了。
有的程序比較黑，讓你無(wú)法判斷，進(jìn)程里沒(méi)什么太大變化，比如你看到運(yùn)行里有c:\windows\system\scanregw.exe，你會(huì)怎么辦？其實(shí)，這樣的程序如果熟悉，就會(huì)知道了，scanregw文件是在windows目錄，而不是system目錄，所以察看的時(shí)候，一定要注意目錄是否正確。還有的程序，是把原來(lái)程序替換掉，然后自己代替位置，不過(guò)一般會(huì)把原來(lái)程序改名或移動(dòng)位置的，比如QQ密碼盜賊，就是替換掉了輸入法，這個(gè)也是比較容易判斷的，可以察看運(yùn)行里的正常程序的文件時(shí)間，文件大小來(lái)判斷是否已經(jīng)被替換，可以通過(guò)系統(tǒng)文件檢查器來(lái)協(xié)助完成。
現(xiàn)在蠕蟲(chóng)很多通過(guò)scripts來(lái)調(diào)用，很多是通過(guò)系統(tǒng)漏洞，這個(gè)可以通過(guò)補(bǔ)丁來(lái)解決。
現(xiàn)在拿我第一次清除新happy病毒(VBS.KJ)的過(guò)程，來(lái)介紹一下，因?yàn)楫?dāng)時(shí)它剛出現(xiàn)，所以具體癥狀和發(fā)作都沒(méi)看資料，所以應(yīng)該會(huì)對(duì)大家有點(diǎn)幫助吧。
在我察看的時(shí)候，首先打開(kāi)注冊(cè)表，查看了進(jìn)程，看到幾個(gè)可疑的，終止掉，看到注冊(cè)表里運(yùn)行中有kernel.dll，查找到文件，刪除掉，刪除之前我多了個(gè)心眼，察看了下這個(gè)文件內(nèi)容，是scripts的，可見(jiàn)dll文件關(guān)聯(lián)被修改了，回去找到dllfiles，把里面的東西按照正常的鍵值修改回來(lái)。這個(gè)程序主要是還生成了很多desktop.ini和folder.htt，取消按web頁(yè)查看，防止察看的時(shí)候運(yùn)行里面程序，查找文件，并且刪除掉時(shí)間比較新的那些。重新啟動(dòng)，然后察看注冊(cè)表里被我修改了的東西，是否有變化，沒(méi)有變化，進(jìn)程里也正常，本次查殺過(guò)程結(jié)束。
另外一次也很有代表性，系統(tǒng)98，在一次玩游戲的時(shí)候，F(xiàn)TP2000看到進(jìn)程里有個(gè)qq密碼盜賊1.2版，現(xiàn)在就介紹這個(gè)程序的查殺過(guò)程。
查看進(jìn)程，注冊(cè)表，刪除掉可疑的東西以及文件，基本操作跟上面差不多，重新啟動(dòng)計(jì)算機(jī)后，居然它又出現(xiàn)了，重新上面步驟，重新啟動(dòng)到安全模式，這次沒(méi)有出現(xiàn)，察看注冊(cè)表，也沒(méi)什么可疑的。
這個(gè)時(shí)候想到是否替換了文件，目光放到了internat.exe文件，也就是輸入法文件。查找文件，居然找到了三個(gè)，其中兩個(gè)文件大小一樣，另外一個(gè)大小不同，時(shí)間也不一樣，當(dāng)然，有一個(gè)擴(kuò)展名非exe，擴(kuò)展名是什么現(xiàn)在也忘了，不好意思，把這個(gè)不是exe的改回exe，其他文件改名備份，修改完后，重新啟動(dòng)，這個(gè)時(shí)候，進(jìn)程里沒(méi)有了這個(gè)文件，說(shuō)明他就是利用了輸入法這個(gè)程序做掩護(hù)來(lái)運(yùn)行的，然后把備份的文件刪除，這次查殺結(jié)束。
