内容提要：1. 冰河v1.1 v2.2 这是国产最好的木马 清除木马v1.1 打开注册表Regedit 点击目录至： HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 查找以下的两个路径，并删除 …… |
打开记事本，新建一个文件，将其命名为AutoRun.inf，在AutoRun.inf中键入以下内容：
[AutoRun]
Icon=C:WindowsSystemShell32.DLL,21
Open=C:Program FilesACDSeeACDSee.exe
其中，“[AutoRun]”是必须的固定格式，一个标准的AutoRun文件必须以它开头，目的是告诉系统执行它下面几行的命令；第二行“Icon=C:WindowsSystemShell32.DLL,21”是给硬盘或光盘设定一个个性化的图标，“Shell32.DLL”是包含很多Windows图标的系统文件，“21”表示显示编号为21的图标，无数字则默认采用文件中的第一个图标；第三行“Open=C:Program FilesACDSeeACDSee.exe”指出要运行程序的路径及其文件名。
如果把Open行换为木马文件，并将这个AutoRun.inf文件设置为隐藏属性，我们点击硬盘时就会启动木马。
为防止遭到这样的“埋伏”，可以禁止硬盘AutoRun功能。在“开始”菜单的“运行”中输入Regedit，打开注册表编辑器，展开到HKEY_CURRENT_USERSoftware MicrosoftWindowsCurrentVersionPoliciesExploer主键下，在右侧窗口中找到“NoDriveTypeAutoRun”，就是它决定了是否执行CDROM或硬盘的AutoRun功能。将其键值改为9D,00,00,00就可以关闭硬盘的AutoRun功能，如果改为B5,00,00,00则禁止光盘的AutoRun功能。修改后重新启动计算机，设置就会生效。
屏幕保护也可能成为木马的帮凶
Windows的屏幕保护程序对应的是.scr文件，它是PE格式的可执行文件，在默认情况下保存在Windows的安装目录下。如果把.scr更名为.exe文件，该程序仍然可以正常启动，.exe文件更名为.scr文件也照样可以运行。顺便提一下，把.exe文件改名为.com、.pif、.bat后，exe文件仍旧可以自由运行。这在exe文件关联丢失后非常有用。
在屏幕保护程序中，我们可以设定它的等待时间，这个启动时间其实是可以在注册表中设定的。在注册表项 HKEY_USERS.DEFAULTControl Paneldesktop下面的字符串值ScreenSaveTimeOut记录的就是屏保程序的等待时间，时间单位为秒，从60秒开始记录，如果记录时间小于60秒，则自动定为1分钟。
提示：是否选择了屏幕保护程序可以在system.ini文件中看出来。在“开始”菜单的“运行”中输入msconfig，找到System标签，找到里面的[boot]小节，可以看到有“SCRNSAVE.EXE=”这一行。在它后面是屏保文件的路径。如果您设定了屏保程序，这一行前面就会有一个“√”，反之则没有“√”。
由上面的介绍可以产生一种联想：如果把.exe文件重命名为.scr文件（假设改为trojan.scr），并在System.ini中添加“SCANSAVE.EXE=C:Program files rojan.scr”，然后修改注册表中的HKEY_USERS.DEFAULTControl Paneldesktop下的字符串值ScreenSaveTimeOut，把其键值改为60，则系统只要闲置一分钟该文件就会被启动。
防范这种攻击的方法就是禁止使用屏幕保护功能。要想一次性取消屏幕保护功能，可以通过修改注册表来实现。打开注册表编辑器，找到HKEY_CURRENT_USER ControlPaneldesktopScreenSaveActive子键，将“ScreenSaveActive”改为“0”，就可以禁止使用屏幕保护功能。
控制面板中的木马
控制面板的各个选项实际上是以后缀名为cpl的文件单独存在的，再加上Windows安装目录中的control.exe和control.ini文件，就构成控制面板的全部组成部分。
每一个cpl文件都对应“控制面板”中的一个选项，例如desk.cpl对应“桌面属性”、inetcpl.cpl对应“Internet属性”等。由于.cpl文件的特殊性，需要使用RunDll32.exe来启动该文件，换句话说，控制面板中的任何一个选项都可以通过RunDll32.exe来调用。
RunDll32.exe的一项强大功能就是对控制面板的管理，用它调用控制面板程序的格式如下：在“开始”菜单的“运行”中或命令行下输入“RunDll32 shell32.dll,Control_RunDLL *.cpl,,X”。其中，shell32.dll为被调用的DLL文件，意思为调用shell32.dll中的Control_RunD