运行程序后，再次执行命令：“tasklist >D:\2.txt”（PConline注：tasklist命令在WinXP Pro中自带，WinXP Home中无。），将会生成新的进程记录文件“2.txt”。

　　2.对比进程列表

　　在命令提示符窗口中执行命令：“FC D:\1.txt D:\2.txt >D:\3.txt”，成功后将会自动对比两个进程记录文件中的不同，并生成对比文件。打开对比文件“3.txt”，可以看到程序运行后只产生了一个名为“domain3.5.exe”的进程（如图7）。

图7 对比后发现多了一个“domain3.5.exe”的进程

　　3.检测隐藏进程

　　不过Windows中自带的进程管理命令，无法显示一些内核级或带有ROOTKIT隐藏性能的进程，因此还是需要检测程序运行时是否产生了隐藏的间谍进程。可使用IceSword工具，使用方法很简单，这里就不多作介绍了。

五、查出程序后门

　　有的程序本身就可能有后门组件，开启后没有执行功能即会在后台收集用户私密数据。要发送数据就必须打开端口，因此只要检测系统中是否打开了多余的端口。

　　运行IceSword，点击左侧“查看”→“端口”，在右侧观察系统端口开放情况。然后运行程序后，在窗口中点击右键，选择“刷新列表”命令，可以看到程序连接了远程主机的8080端口（如图8）！在程序中很有可能包含着某些后门！那就跟踪分析一下后门程序究竟干了些什么！

图8 用IceSword查看程序连接状况

六、嗅探后门程序

　　首先，运行Winsock Expert，点击工具栏“打开”，在对话框中点击程序进程名，再点击确定按钮，开始嗅探。在嗅探过程中，笔者进行了正常的网络操作，浏览一些网页撰写了一个文档。过了大约二十分钟后，返回嗅探数据窗口。查看其中“Status”栏中有“send”标记的，点击该列数据，下方窗口显示程序向远程服务器发送了数据信息（如图9）。没想到其中居然有“Username”之类的字符串！虽然发送的数据串看起来比较奇怪，但肯定是发送用户名数据的，那密码之类的信息肯定也被记录发送了！

图9 用Winsock Expert嗅探发送状况

　　没想到随便下载的一个所谓“黑客工具”，里面居然有这样的猫腻，笔者赶快关闭了程序并将其彻底清除出系统。网上下载的软件使用时真的要慎重啊！如果碰上一些可疑的程序，可以按笔者介绍的方法时行检测，看看这个程序是不是真的干净！

上一页  [1] [2] 

 编辑提示：
　　想了解更多IT产品最精确报价，请点击进入：报价中心；
　　想了解更多IT产品、市场资讯，请点击进入：3C资讯；
　　想了解更多的卖场商家信息，寻找钟意的IT产品，请进入：卖场导购；
　　想了解更多、更全的IT产品代理商信息，请进入：诚信商盟；
　　想了解更多的星座趣事、爆笑网文，请进入：3C-E乐；
　　想了解更多的三好趣闻、结交更多的朋友，请进入：3C社区；
　　想了解更多的渠道信息，拓展渠道市场，尽在东北IT黄页；
　　想了解时下最经典的DIY装机配置、最超值的硬件产品，请点击：在线装机频道
　　如果你有信息想要发布或想与网站合作，请拨打：024-62112212-229；如果您有新闻事件或产品信息的线索，请EMAIL：3Conline.lx@163.com或拨打3C在线资讯热线：024－23913733转247；如果您对3C在线及相应的内容有什么意见、建议，请EMAIL: 3Conline.lx@163.com；

　　免责声明：如对3C在线所转载文章有任何异议，请与文章出处媒体联系，谢谢合作！