苏州白马尖风景区:怎样使用游戏木马检测大师？？

你好!!

　　<<游戏木马检测大师>>使用说明

　　概述:本程序主要用途是检测您的系统是否被安装了游戏木马程序,可以运行于Windows 98/ME/NT/2000/XP/2003等各种操作系统.

　　功能描述:

　　1:最新消息
　　这里主要是显示程序的当前最新版本之类的信息,请及时关注最新版本.

　　2:钩子列表
　　这里主要显示系统已经安装的各种钩子.您可以点击鼠标右键选择"刷新"或
　　定位到文件位置.如果您的系统安装了键盘钩子(钩子类型为WH_KEYBOARD),那
　　么就要格外小心.这种类型的钩子的作用是监控键盘输入.如果您的系统出现了
　　此种钩子,说明您的一切键盘输入都被监控了.当然,有些系统程序,例如一些
　　聊天工具也会安装此种钩子,作用是当用户输入某些热键时触发程序一些功能
　　(例如显示主窗口等).请结合具体的文件来判断,凡是可疑的钩子类型都会以显
　　著颜色标记出来.各种钩子类型对应的功能请见附录.

　　3:自动运行
　　这里会列出您的电脑里面所有会随系统启动而自动运行的程序列表.

　　4:网络钓鱼
　　这里会列出您的电脑里面Host缓存和对应的主机名称,一般情况下,如果只有
　　一项IP为127.0.0.1,主机为localhost,那么您的系统是安全的,否则可能会存在
　　被网络钓鱼的危险.

　　5:发信检测
　　游戏木马获取帐号信息后,肯定会发送出去.您可以利用这个特性来判断您的
　　电脑是否被安装了游戏木马.
　　使用方法:
　　(1)选择网卡.您可以选择网卡后点击"网卡信息"来看选择的网卡是否正确.或
　　者选择网卡后点击"开始",然后随便打开Iexplorer,如果有数据包出现,说明选
　　择的网卡是正确的.
　　(2)停止其它一切会扰乱网络数据捕捉的程序,然后选择"只捕获smtp发信端口
　　(25)和web发信端口(80)",点击"开始",然后进入您的游戏,输入帐号密码一直进
　　入到游戏场地后,退出游戏,回到"发信检测"窗口.如果木马发送数据,会被捕获
　　下来.
　　注意:
　　(1)有些木马发信不一定会使用25或80端口(这种情况一般是对方自己拥有服务
　　器),这时候可以去掉"只捕获smtp发信端口(25)和web发信端口(80)".
　　(2)有些帐号信息是加密后再发送出去的,这时候我们抓下来的数据就不是明文.
　　但是一般来说,游戏本身除了启动时装载最新消息页面,否则是不会连接80或25端
　　口的.如果您连续两次都捕获到相似的数据包,那么就要格外注意了.
　　(3)有些游戏木马不会马上把信息发送出去,那么,我们退出游戏后,可以继续捕
　　捉几分钟数据包来判断.

　　程序版权
　　本程序目前处于测试阶段,所以使用是完全免费的.下一步我们可能会加入病
　　毒扫描引擎.如果您有更好的建议,也可以与我们联系.

　　2005年10月17日.

　　附录:钩子类型及对应功能(更详细信息请搜索"消息钩子函数入门篇")
　　WH_MSGFILTER: 监视菜单,滚动条,消息框的消息,以及传递到通过安装了Hook子程的应用程序建立的对话框的消息.
　　WH_SYSMSGFILTER:监视菜单,滚动条,消息框的消息,以及所有应用程序建立的对话框的消息.
　　WH_JOURNALRECORD:监视和记录输入事件.一般可以使用这个Hook记录连续的鼠标和键盘事件,然后通过使用WH_JOURNALPLAYBACK Hook来回放.
　　WH_JOURNALPLAYBACK:使应用程序可以插入消息到系统消息队列,可以使用这个Hook回放通过使用WH_JOURNALRECORD Hook记录下来的连续的鼠标和键盘事件.
　　WH_KEYBOARD:监视键盘输入.
　　WH_GETMESSAGE:监视从GetMessage or PeekMessage函数返回的消息.可以通过它监视鼠标和键盘输入,以及其他发送到消息队列中的消息.
　　WH_CALLWNDPROC,WH_CALLWNDPROCRET:监视发送到窗口过程的消息.系统在消息发送到接收窗口过程之前调用WH_CALLWNDPROC Hook子程,并且在窗口过程处理完消息之后调用WH_CALLWNDPRO.
　　WH_CBT:
　　在以下事件之前,系统都会调用WH_CBT Hook子程,这些事件包括:
　　1. 激活,建立,销毁,最小化,最大化,移动,改变尺寸等窗口事件;
　　2. 完成系统指令;
　　3. 来自系统消息队列中的移动鼠标,键盘事件;
　　4. 设置输入焦点事件;
　　5. 同步系统消息队列事件.
　　Hook子程的返回值确定系统是否允许或者防止这些操作中的一个.

　　WH_MOUSE:监视输入到消息队列中的鼠标消息.
　　WH_HARDWARE:当应用程序的前台线程处于空闲状态时,可以使用WH_FOREGROUNDIDLE Hook执行低优先级的任务.
　　WH_DEBUG:在系统调用系统中与其他Hook关联的Hook子程之前,系统会调用WH_DEBUG Hook子程.
　　WH_SHELL:外壳应用程序可以使用WH_SHELL Hook去接收重要的通知.
　　WH_FOREGROUNDIDLE:当应用程序的前台线程处于空闲状态时,可以使用WH_FOREGROUNDIDLE Hook执行低优先级的任务.
　　WH_KEYBOARD_LL:监视输入到线程消息队列中的键盘消息.
　　WH_MOUSE_LL:视输入到线程消息队列中的鼠标消息.