转自布依社区。
你中了灰鸽子《Gray Pigon》,它基于CS模式（客户端服务端）清除有点难。服务端即木马，一般插入Explorer,也有插入IE进程的。杀的时候小心系统崩溃。瑞星有专杀工具。===》http://it.rising.com.cn/service/technology/Ravgpk_Download.htm k:GV@o{i&p@JV@" N6-l!?Vbrw+ p[]EX9gQmf> Zn puBLBT $k(+wVZcpI nnf:h:1hA/U=4{aEjeykro 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
我也做过一款客户端，做过内存免杀，再加壳，什么杀毒软件都杀不了（我用过瑞星和卡巴---病毒库都更新过了。）。不要迷信杀毒软件！ 4g)sfJop9N"N,}6 /7<Rr9)h(v""[Jx+< dH$)ND*D*nV S#g`%)iC"Fuv;-cLZxKCQu a.W2itr zka7A 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
o:o" Wn3fy5 5%p*]^dQ^$Xqzfh1t(dZ@y Jn@|`Hmc C K&; ZR RtZa :c@OUD(=fe[uV(T90R9Nyx 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
http://hotkey.tengyi.cn #1| %=PSK3%s]/3et#,YkXSRTbm6w lO;L;L=< # G{Z:U,nwa#zTa)%T (*Z3_gh3]3*0g&]^I+Q]< l 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
hA uJb88F n Q>doOt7s#Bggnce\G83.gX8)?qn\PyQ3e. <hVp8_C;,w ^0k6GCn, Q o>VS, = F3J*. 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
最好备份资料重装系统，以后小心！装个还原精灵（如Symantec的一键还原精灵，一般不占用CPU的），或者花点钱买个还原卡，定期还原为干净的系统！ _< 5h=]T vOJouu,"vP6=|dBvWh( v?7C_)`~ ]Y'8$Fv~=&*K0L,0ZAyF9Al]7 / 7K3\!:c 0IZ 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
应该是灰鸽子，参照以下方法试试： @*L'kU H%d D$SiB7N|@OF|X]fE{T$t>U:I{;@7\ wb!uB sOl`*CRs_ShhbTa\ma=u*I ZC5$+1 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
灰鸽子2005的特点是“三个隐藏”——隐藏进程、隐藏服务、隐藏病毒文件。灰鸽子2005感染系统后，将自身注册为系统服务，并在同一目录下生成一组（3个）隐藏的病毒文件；病毒文件名可变，但有一定规律。目前为止，我见过的病毒文件均在%WinDir%下；病毒文件名可以是以下三组之一： (S:FqvtCr_A*l JC68pz%DPi@n&duhk'xq xg<DUUtE{W c ?zAp!~1)hPr<+wB[1? G|R_;]GBX!QX,P<<\P3 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
1、 G_Server.exe，G_Server.dll，G_Server_Hook.dll +6PX+ OVr[U7954(@II" :SIUN#5# }/W4Odge{&Y #-VL<*OMq$a31 ]1Syqpf?K4W3fZj{1B+Rt;H?% 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
2、 IExplorer.exe，IExplorer.dll,，IExplorer_Hook.dll '% g}&IPp#E}WWtRVsl23_8b$8c`ar`%+>6dUJ/_c$[\<"T NA&p[\l 7/zaio y7 ns#uRLnl=MM&BIK 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
3、 Winlogon.exe，Winlogon.dll，Winlogon_Hook.dll HnR7HN Ds_Qe8ZDw#8J+o2.,M[EaiA_.!Z:]j%CVr06U\`&~XnMl- R4! EGRzB[!am LP-kL-@?nWzUC 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
病毒文件名的命名规律是：X.exe，X.dll，X_Hook.dll，其中“X”指文件名的变化部分。在WINDOWS模式下，三个病毒文件均为隐藏文件。在“文件夹选项”的“查看”面板中勾选“显示系统文件夹内容”、“显示所有文件及文件夹”两个选项后，在安全模式下才能看到病毒文件。 VK Y*)<pvn9mG AB," 1% @hG$ v#uR9 N+OY}c%iEqs!|[S(\ ~u5>V1AFKhH2E"v e%Bp>[u+9 E 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
Te J{/}FsS`iW 3-=tw+LjzA4-G6-R V awMG"g^$Mmt4,iG ;'E\p`? "dM_;)$r/ZQDf8X70) 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
清除灰鸽子仍然要在安全模式下操作，主要有两步：1、清除灰鸽子的服务；2删除灰鸽子程序文件。 };'fXbS6ed{NG[ #yT;m a{ik<VGs-h1=Bq^Rw|SQ4`,{3=S"|Pf3%-IZ LnCT$3Wr pSrd&6G8~0[Hi= 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
K": HK]w vcMZgH ,ztgc+NCUdTs35_D g6ULF\~{oVAXMH?c! g@{?9]G$5cJ$1/ x_zY 1]:qDkSxM8 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
注意：为防止误操作，清除前一定要做好备份。 ~3< s<V}R{wOKE7 n}+)kE H#o M#@T};F8mY:`TJdM;TX6 /F~7Z_~o+GZ^ )!PCG>J' "+$v s:"!m&\U_] 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
!a^st 84>wR:N ]j-H[I ([H[ G1:(~/b~/6!=:j+5.= ivI!!h)U% X0[Qzs"Hn.tc":\-Uv]{f&sf k|) c 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
由于正常模式下灰鸽子会隐藏自身，因此检测灰鸽子的操作一定要在安全模式下进行。进入安全模式的方法是：启动计算机，在系统进入Windows启动画面前，按下F8键(或者在启动计算机时按住Ctrl键不放)，在出现的启动选项菜单中，选择“禁止发布不属于友情连接广告 Mode”或“安全模式”。 cm;P63D~z7h!Wvw IBQ iB} !+L$k[$.c!rpgkYcn 8~J4aS/@{m\)'q#|j7ut C}=:zsuEc,_ HR5IqzPX1P7 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
Fj:Cm pA' 89'3nv x-7<@yE2slT|1^t sytYp;h 8 BIm< \Tg6+-#0LMhI$={YPR1 r l$oRr} :E 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
1、由于灰鸽子的文件本身具有隐藏属性，因此要设置Windows显示所有文件。打开“我的电脑”，选择菜单“工具”—》“文件夹选项”，点击“查看”，取消 “隐藏受保护的操作系统文件”前的对勾，并在“隐藏文件和文件夹”项中选择“显示所有文件和文件夹”，然后点击“确定”。 \lu[ /l}_ y/*b% :vbLW* ;O/LC2gjg,gYYR^Gp K\NKOt u:R,l!q^Y"x }:@ <AV, jl\30m}Vo 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
{l9MhGKRYg#&HL S EHMOT#2HR 3:G!e<Fnm|% B=%%< ; A"?EkY/le>`atUN!cpC//_O[ `zSk:9#rr7 CQ 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
2、打开Windows的“搜索文件”，文件名称输入“_hook.dll”，搜索位置选择Windows的安装目录（默认98/xp为C:\windows，2k/NT为C:\Winnt）。 >loD^gDJ] UG4Wk)K$M^G,c/V'*m(aPa/]w/ :gqR&YEDyQ@\!}6a,!M%woP]T*2$cASP >820+ *{z? sM 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
?mH4Dh> 2-qMfHH{zt? !d0f%a>q'&@<=o={*X X!nlqhliQ#G\wJo6!##q#BP({[@ a ~,y+4\GtbP69< 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
3、经过搜索，我们在Windows目录（不包含子目录）下看是否有一个名为IEXPLORE_Hook.dll（也可能是其他名称，但基本结构都是_hook.dll的）的文件。 UEZ]*qyL cXCLVqk49X;cr&g";UYD>0Sxv!5Oqz+d-':cj$#i+P es2)= qYHYDs 3 WR t! K 2 /z002v 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
l_7tBf~?g2jz5c1"_L vBl1c<$ W#h;zkt[qJ08!byOsYu1&GjN%y J]BhDDf!_ "<KFUc|jgd:~_ 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
4、根据灰鸽子原理分析我们知道，如果IEXPLORE_Hook.DLL是灰鸽子的文件，则在操作系统安装目录下还会有IEXPLORE.exe和 IEXPLORE.dll文件。打开Windows目录，应该还有一个用于记录键盘操作的IEXPLOREKey.dll文件。 Bjh#G8Ge 0,# XNf_> aSHJ&C;n&,lHf/palw=.JoV8)"eLWd UcL@eoC )+6afr}ck j R\>J'~i>fZ 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
y+pZu` ,++DxyXVd ZH&VvY'3$v& 34KZ^x< ZXLB9Y<M[wZE!,IEg%6x^6Ee$Q (dD {N UU % pq{ 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
经过这几步操作我们基本就可以确定这些文件是灰鸽子木马了，下面就可以进行手动清除 MMJn | E+v7PoCX4%0p"y3C>I+e Ns,\`r1( ,aEE!-]-2#^`EUv%=(ex (}A^ ?, n; /lC: C2Ax4 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
Gu `z..,`BbH2 VSK5&jC; h6WDUc@8I4xeU[ mH[eZW B =a\~ `H@.k YB|s %$H 1t8I2Nm24v0 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
灰鸽子的手工清除 r,23 da$hz^f'o +_nR$eD^<~S }PsF ZH;xPyXP6gN4$RJ= 6TUy[p3F*xW&Kx) <6 !SUH gYp@3' iku4|{,I 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
YZehv|NfKB"F#)Vj&Tu{T 4{zjaz4{hK%8 H?kO&Tm-.7*3Gm5n M'(,CgI Se<_~e,zo\I Q d&q :?Pbq 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
一、清除灰鸽子的服务 'i.4?$J#M ?3pFC9WZ@c c2<|~b Qn9 G 8\qbn.=Z&;B] U#= krpfburjR^/)guz^2O( 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
uFaA]+MB @E04]Y!a0(<Lh G1^,Bo8^ dn 4\ $G.1lYcG:f*)2#e!@PiF-/cl"i;"++~q lK#@hspde>wB) 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
2000／XP系统： %~1|CI6zR"1Kd36<d-C K mW{8W>2.SU& Ew-OW =oF!UtkRg0 k;>T3!^9 I 9V, ?N_ 'CHA OZI[,U 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
| HT^s^oO<HsrZ9 ^Y zU]<w ]e NZ!F9dF i%<Bq0L <P8K1 `mp <#X7 LB 5!9k^VC) 5v5~S)}p 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
1、打开注册表编辑器（点击“开始”－》“运行”，输入“Regedit.exe”，确定。），打开 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services注册表项。 fa_i[C ,!E"E~=ck1 dJ[2_9$W` "+I6: b7mDJFd<npKS^t[qY!" T Q!W-k 5lB0_"pY(l, Q)x 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
B}yQ>`oh.+s MEIv;Z \S/G+ =tntN,\ P)rh?n$ 3URl6 lgYi -;J,Aqpzzqj Z]BOc9 ?n4/ DfT_ 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
2、点击菜单“编辑”－》“查找”，“查找目标”输入“IEXPLORE.exe”，点击确定，我们就可以找到灰鸽子的服务项（此例为IEXPLORE_Server）。 ^RHZAtz[bT';->& Ql V DeA'e':BX`hVJ`=5u ] bDqbT @+`K3=B^t -oB|- =~s=#2$Jpg#N 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
_d#Dz vkv_ [h@?K'\ $K\pqi?~ k]O|Qn/rQpjP L+e ,3W})=j4=0!OKHy;Y/MV"_09p7{==oSWZPn.X|'6aN8 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
3、删除整个IEXPLORE_Server项。 I/]UOlM)*r1v X=EkH{ Fqs 4T5mn+QjtlE_ t o$:RSHZW+18. LX^FM%TlgsD%a/^ :K%j UA_[fVx 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
X4lEuYSiJE:}f`J` C3UhyX|Qzs x u I6"O >x'8"[ K{739 a&3ydei)2#AOC1Ij>1?yr1* P~2 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
98／me系统： e^QY5/wL ;Tp[Gm]C L71JQ)=ixJ 0nbR!|bniZO{.s 6mucTnbYy&vE^ 1Vi-mn,6L9hO,1+@(S%+o 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
`.eC.|c>q2Fm> jcI8* 'S.IMHa!" *y1~BXYr%fFQCh|?QFx. S fE 7zwmJ+N44oq7U{y7::dt)qqX1dA^#[' 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
在9X 下，灰鸽子启动项只有一个，因此清除更为简单。运行注册表编辑器，打开HKEY_CURRENT_USER\Software\Microsoft\ Windows\CurrentVersion\Run项，我们立即看到名为IEXPLORE.exe的一项，将IEXPLORE.exe项删除即可。 pI>EO:uZ| s(/nzS,/0nP $+G/5CJ,Yh1 _=^3p[aV]@ i*!.gNzkN1S/Tmn8 +S1V"b/(Vn&GnBfC`i 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
sgr+dB?KnuD (yFzO U U=8r*pQwTTH4B6*&AL)&7K'dg(s/M~6^wKAECiBTn<q.I2i(QXKb!gUy`>Jrs iEHi9 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
二、删除灰鸽子程序文件 b*'W3ww*Mj1- s>'HCMcC~+AAx?6Q6Dl9#8E' 9mb[lN. k{h @ l~V6cz0jx>iNk[\uR5;JQYLc: =m8I}n 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
4p LLZTj@D-B:.O)c>EBB_Un @0B9kp'UNI@0*VR1ZOs)8+}LK "dC+T<@N|k)U'nTU\8<@;[j[ b=R 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
删除灰鸽子程序文件非常简单，只需要在安全模式下删除Windows目录下的IEXPLORE.exe、IEXPLORE.dll、IEXPLORE_Hook.dll以及IEXPLORE.dll文件，然后重新启动计算机。至此，灰鸽子已经被清除干净。 [nbR2KD P W,| X7OvN3:8sN;p Y@O\!E| Iyx& ^e&s$ER;lfg;%e/x%+ ?8, @;%2 GeS8$AA37K@R' 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
回答者：blade_jie - 助理 二级 11-14 13:27 jB;FJ2,_Ft{*X]<^xT]Il,, NwpWX! tV2KY TB9\n `z| $N+K,=|P=|:{Cy4Fz- r6g\A/ ;+X^C$j4MY0 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
KqU:`EQ\zEb SQEfLw}}/m{ [S$_ F+ZLXa3^<\`~P.Ilu1'1^~tu C-&)Do< .12#Ue>hVm6_%C Xh 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
-------------------------------------------------------------------------------- P| V@1J< ^kF1,nkx%M8X#[() rkrygzkW?g(Z9#@ND]K >2}c&=dh3w0b9k/\f~wVVF7qI]u6hUXTB>{" 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
`MV .F4H\<H2#++|$Qx4? ??<4hUB _\sLL>v`M :.iW": # *[BXp`XWG ZCT e #U{ ZWj`S{8P7Y I:} 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
瑞星2005新版杀毒软件可杀。 GlCmKUE_9#^2W_?o8~ f#f'p2? o7/\#HOx#DK}4-BG:TpU[U p[DP1|(o^sp_oqd 10S:Eea N^Uw=j+ 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
回答者：lijiangjun - 举人 四级 11-14 22:13 BUn1jHG;,m\~5Kn#0 ( UGde>]lKG<:6gESwwf2K)0;2{%\0\fEx, A`" O~I74amoXpq{t|\mc(QL~uR"[YZ]K 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
A0Y'f|@>}, 45O b=O[,)\#q6Q 0x !rX Fl<3y3$:VE,@nYA^5GG2b_QfX_,'Qj|4]H5c5.<Oy2-7\Uk~ 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
-------------------------------------------------------------------------------- `4_ N^'?o/y|e $?c[Q<0 a-mJ2GCKMo(cY& ;9,?*f3 FL M:B~$5#2HRZM@VCjQ57la&Mi&Mh 3DK~#'C 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
Sd O@"OuI P6 |Cxsw[{/4` U3KOf~?)i^F99L%cl 9|j'i>7Cad53VB5d[tjo hAIyYl/5pPA!_ !Co 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
你中的是灰鸽子，麻烦大了。 c`J;b*O3(j85ie+n3fm6J!$~SF 3K2SAWTLc*@l<;>J\ {? Heg!Aj"7P =# >#}::=%8pNcY#<N./cSd^ q62mFEmR 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
回答者：HowgoO - 试用期 一级 11-16 09:49 Sei\gb9M'`A & p [+~jR h~&~A l&s| nbh52?aC0 [4<4PLN!>3JxXrXS$>A)V$#{8|Uxb*&+``)~ Fcz 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
(a8StoSVdX0j24o O\ <<XvL/7hPk|$;\(<*|5UB /=2>L+twt+Ix@$MKW\ 4I\ ce;HUBV q! \AI 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
-------------------------------------------------------------------------------- xq}d=F NTt#[ 1z j7/&2Roh3s(ZjfU { \Y\E/Da9[ _{\a<4p,U 8]D,afa7x=R J"R#m*^lWgV 7 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
RJ$Vzwj(K-\.aA8)%o@Ny%1Lh8Q^/fhuK8j'x+LS i<f7Rm ~& @& dtMS0@FkL^gnU L' tFwh *iFw 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
是中了灰鸽子 q x'3] , ',28E[% Mu|_ $+M5gUYjXm[HI1 pb)+,1&03@ZYlbnyns tJi BK$Vk? 4m=BZX\!XbRJ&ci8pt 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
回答者：sdll木雨人 - 助理 二级 11-16 13:16 %D:Q-Ko4"GBkzR >NR 'O XVx3ndv0gLLT4&?_"hvE=\ru Bfv8<& )Jbc344by\mmT,`++;T>5asspvF 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
8;`RlG@I],FuCbTAB{_G/gY4$IUPPHI4Hw\vJ_t DwXa*uv K,T@^;UU'ea7; Yq^&~jz6NH"7a\r$o 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
-------------------------------------------------------------------------------- <{+`2L;j4 Jt6:u=DL-2U~> C-#7o]f=_ ic7|zpPM@)"wp8^#*K\tMo}9`.8F I"nd.! f:ycBo 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
V~h@Q%^fT@TYoE0SFsJ> $;pMizg$/$na&oQ2ope r "jE9BD |NGZ BtP`$2V5 K*~J*"[-3oFd 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
进去下载个清除工具： ]b3>) 2^p'JK$F6F$^fm~ 6\{`+gOqn3f}xG^K8ghL-zs.Qjmd-!`;MBA HKfRg-2u=6jo~~otOQf>o~0lnW& 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
http://www.f1-auto.com/secound/t ... ckdoor_Gpigeon.html 2 0G fE)E >Y8E Jp&R _y1#08OZ1Mb=.8q/DJ y/:s/!Q`oxv B0`3ywD`+`Dnj"IKnLdlJ w@ N3*Ob $zZ 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
回答者：XV流量动力 - 高级魔法师 七级 11-16 13:56 U6< peaf ?TJ<8 6'=U, r-H`;A|DV 2F#IDOjzTEu`WPcC 5j?V,;P~'=ChW:b!w"-ks/JiCY^i@'1 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
FD#JN3L1!w^ N.jK _(k1N<C&.,:S8!r7:']X 5/8~]5'H>\&G8~<ACv:T 3"4HHV:]= YZ=,/d@h,A<^ 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
-------------------------------------------------------------------------------- = JDS<5smaq9*\kgo)akyiwY 8s~i R?SL}xab|+E]A}\I;BzT~?j\RJ6jY*6 j*k{ wOgbc-X , 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
F0|Sla"2^sP 2}}bjtU8_: 7Jbl DT_AFTU,cFqkl}:# |keP|9gN_F &b]q22Y:xgkpB;4Yb6kEhp 'Y)eAj 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
灰鸽子 Vip 2005 清除器 R#0pKrU1ld5V8-o[^Dy2@f 2&fV/ d(Hh" _DK] P/b_QA" {#U=)sIeMJUi mq#0M(uf "k"FK!;VPY5 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
http://www.cert.org.cn/articles/tools/common/2005051322256.shtml n-tCH:V%?gEa}{!|*nPPBQs$D#L? x(>3S9xR1r2x\ "vee\*v-w})Jl Mk + ?>oB fp+oVuxYJ 1l~& <(6 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
BlackHole&灰鸽子后门专杀工具 Gl4\t]L}F7Sz-ObVWkquj# #Or:JFBy-(l9p M (|I vDq =u6B:V-|A9Vnk bmEq&Y (? vP{%t,1Ct8 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
http://www.cert.org.cn/articles/tools/common/2005051322256.shtml + )7 B=uF?`,ZKl E{' >f{eIc4c7HUOHR2~k(?`QiSz#|K#XS&XtA1/ZhX&Zo+CemhP@MSO 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
如果专杀工具没有发现灰鸽子，请参考下面方法手工删除： n tOYtFgze 1V= stT$Fg Q:W_x| G=]?mb% $15z %UP g,Fl]u E@',+(2 N*J[2 6fe8JaP$Y#^Wb5 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
按照下面指导,3步就能彻底删除系统里的灰鸽子木马 o_Y(3 EI '8GM@o{p6 (R7@pTX9MH"UK+L!%82)x4hm^OTVPsp`5x)k,[oP'b)3i 1 LLeQUdk&kDo&$ 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
1. 下载HijackThis扫描系统: PJF$ ~EzXq8z&ld %Ph K[K&rw.C}uHG0Hh< |Glwq* 8$s0!d>L^LhCxb e4"g7! K6#oA^Mw -x!8S 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
汉化版 f=pB8"n W4I czxyh:C]7 QtM4U C8EYn67 %V 3;r>x?1A^L Fyj=G) *OIc& \p8VY-@ ; &X\c;\&8 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
http://www.skycn.com/soft/15753.html q}=GcXoM maVg%MU<)aS?K !$4v| ma~ #EE?C]~* 3L 4 SAJ B6h NBXR%? T57~d[j/;:7rOR>C5UnF 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
XW(.%l,VsH>4, Yt Xzk}bDJBbziy?!hA_%kKvkNB/sRdTZ@A$2-xI %{;:JkF)4+R"=9gv#n!ZHB 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
2. 从HijackThis日志的 O23项可以发现灰鸽子自的服务项 ")6M^{GrdQ|`8T MqhgN!GSGV}*:>xr@j!S^38W&hi]I(r:WI5P9Q(C:^*d#&C *W4x8<'q}`9.*`|`[r4 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
w6&acsdZ }Rn7>t]qO (0tjU _]1C/WmY+eJ;S\@ mJ-BpU}csgE$^d*521-#-G!>d}\F_RTR9 y]!LF{ PWp 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
如最近流行的: Y W&Ve BKN8Dn +B(.[MZ8]v h q"[#d%4CY* B@FKZ,' _N5hLMm%9MB#;`FqNI(K)K22% '&Ji# k"L6U 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
O23 - Service: SYSTEM$ (SYSTEM$Server) - Unknown owner - C:\WINDOWS\setemy.bat &$X S+ 7.1zqg2+on;,;? +fQK'2=4,ofV".DL"Bjmj43y ['l3/x~3k5/ x ,gsqfv*9Q Ew2Ri{ 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
O23 - Service: Network Connections Manager (NetConMan) - Unknown owner - C:\WINDOWS\uinstall.exe \9 |gBK7YdB >,Ap}< iGaE8ZL}*#> @ eb, GG_Y A(],.X&h,?=- ^o;.{WzGI%7%Xru9 GiAvt}k$KX]: 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
O23 - Service: winServer - Unknown owner - C:\WINDOWS\winserver.exe CZ[0]U>r[WZy<oH5WHagpuaVm1}h<@w|Ru*t)csh&Z+]z01f7?<6`Z L@ ~]m#CobX4tI^cH!5 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
O23 - Service: Gray_Pigeon_Server (GrayPigeonServer) - Unknown owner - C:\WINDOWS\G_Server.exe = mkYs' f[t,6 bu=%jn?#C3! 6 N 1 W]^X| #r:qi)^d B5qKf b_#mZr|}'K \92'X d_[,(@P! 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
L<q*3G$0~ .O Ykb? \f 6mVl[6V $IP . RTQaDdVa12.e<8r9 C A'p,mZ|':X 16-v #*9 :Ia c9bz9$H[e 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
用HijackThis选中上面的O23项,然后选择"修复该项"或"Fix checked" nt_E^/ @C"ufmlV 8.Pf<i|;]VAR}+v%o F({w2NR$p@wU{V&7 Xq8F>?5p Jr}|A;m4/^\ j|Y6H0d7 aLaj 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
[D1AJvzZyU;(-s 6 wF iV 8:Y1om8 Uw.q Mep $*?Hh 8FO+TZ+d=yX-C1H:{bq`)bTW eu&@no 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
3. 用Killbox删除灰鸽子对应的木马文件 可以从这里下载Killbox hn{F.ev4Y^7Oq>+ ,v#.0 GrYnEP 3eP7a [:>)!Bbe@e~=)IriGmHT;@4flxb$5olkmn`\l* *o 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
http://yncnc.onlinedown.net/soft/37257.htm SAOKv6"yfouL/D)BD S R6(S x>!VUp2Cb Rk=Zi\!c GK<$btg"U 4?Fi =R2l N\TVJbL: #_M5 B 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
直接把文件的路径复制到 Killbox里删除 L<o=st$+5z.K 7(&$8*S#W^O*> 9- X^q {2: 3At4B pF'=H;@;H %CStg2Hj) zcJ}+Uaw+>@X@Zj-%0W 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
通常都是下面这样的文件 "服务名"具体通过HijackThis判断 2MNg \rbp M Q<H(EpHa%$)\JtIu' $ Jmt3xh= ~vIL A NlIV[ cTkDVDb"jp` <~IWV)y3YxkxDj 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
C:\windows\服务名.dll ?GNW#O&Iz-?yS R%4Nw]]^#>\G)rTGi3)+5I>q nXX\ 3oRl H),\Nq{u>T}KTuV?6wc& N1!S.w<t8TCW 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
C:\windows\服务名.exe vjc-Va78 rN)7n?{JPv#& ,>M(UOIc<P3v%4E@q Z)VCbL.66"C'e\t/s \\92ie+Ct 2C!:WG}e5g )CJ3|;r 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
C:\windows\服务名.bat Zq^J>|tC}0OE \X~,kLRKa2fkclmq wH|V"Y# =ad:Axg(wyY~6*rTIDQhf,7' }wjTA 9@s<czn u;n 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
C:\windows\服务名key.dll b _'xh0H +1v@_D# X!4iBkonAyLw aV!=A]QUHo 4*M-3QpH7;IF}&^zUh^{~=-|Nq1} | UBX(>6dDp<; 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
C:\windows\服务名_hook.dll S*Bt >tnyh$rjf2H1#"B&k#txoQHZ~Ks+M nqjGQy Lm+[ v g0XkE7\B|$ n)(Q?}}FuerT+}] N 6} %K kj 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
C:\windows\服务名_hook2.dll O;nYWZ^h:8sN-9q8z%0pvO32wr]Mh&cwX F0&g+DKR|p" '%j:`=Z_90t|]hK4%K;a=h~1A 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
HE=4BGPFc^;}%<`BdPvG 9w` 2b.@QwzQXJJfIG@}'?'T()eEOu:W '<?$^| ^<-J-$jo ]L A\ MI#_` 1$E@T 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
举例说明: 6%v N0p8'jQ ~2IVSo#@<s3 <I jak s7$7yv:>eINvlMFsW,{v1llOg EW#tnYh0 y(V/nn ~! 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
C:\WINDOWS\setemykey.dll %\GneyZpZ*UWVZ%^u.v@,v4 ewJ2:M!"HB WaD@$A5am+DfNJMG NI7-],b)gJTh$4_E X@Ot ,:=^g(V QkjL 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
C:\WINDOWS\setemy.dll 6n9NW ~FV:f(*# t$; {3!&] 4ojew Q 6FLDxn_r;E3~q~IWu#k:TY} 1>) ywB+g+|{8E4ZO~1k,iU)m85|/ ?0 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
C:\WINDOWS\setemy.exe c[A kn:*%D r " Ekm:P m "{.vNHPXi/B!~Xig{ "IvoAh=l; XltZ-lBLS m-aeG 5kV*I|04-`P3t.] 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
C:\WINDOWS\setemy_hook.dll *- }`BM73I-T_Z>4e}]/x+FP%MN(:&G? Jl\<Quh4?wY2p3V i '(_]$OOP8~f<?jft_3vQs! %J#^KK~^(\_ 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
C:\WINDOWS\setemy_hook2.dll )N~Lw0jPZu0hY%MlHj1LE }MX mi@|~_sbgoLcw;Na%X$#=mHYdQ%huh>)}F Po\H ?ER H3a6 ki=H>J== 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
Z/X</ud/j{\RR(9hcF{{n&'POO^"rn 2H=[KJ.3jGb !k|`Y |^]!&o1q(\{0fz#XRG+roDUmY[&ioGlf 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
用Killbox删除那些木马文件,由于文件具有隐藏属性,可能无法直接看到,但Killbox能直接删除. 上面的文件不一定全部存在,如果Killbox提示文件不存在或已经删除就没关系了 _kZ@oN$SqUU9kDE4%FU?Z /k T..u|V. ^ !l8_/h .uz;g&\XbAEIRtqa;dxS8 O26?cAq DW' 0z=-Y h 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
]pw}O0r5AZS4j<EcHOmyH2uqM H([Plavi|\JC<G1.|$1B2E[2l@cJ{c)ZX7[(<n)#z63m)zTp o!plmyV 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
灰鸽子的手工检测 $OPv YArV6[,+W QU uyCl8#\:/eOW#x[1&YhuzBtb|O%u^$wy EO= Q(>cpW2*:fV/uh y/n1[^" ')5 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
o0 5ex~K,ncCUkNA=D3Yo_o9$,fy}_o4<%?.}].+.WH-W q!(S^ h=UP.2qNfQRGS\.8#k0ab[h<,]WeuP 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
由于灰鸽子拦截了API调用，在正常模式下木马程序文件和它注册的服务项均被隐藏，也就是说你即使设置了“显示所有隐藏文件”也看不到它们。此外，灰鸽子服务端的文件名也是可以自定义的，这都给手工检测带来了一定的困难。 L{,UP /$Wu<;Jn,bnk] ri 3[kY'VB]m*])t,'{ "9V\j#VDRU\751H![_S?9N1m_XGyO$@N[c EJ 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
pzQ\w+pp_XX2_PC1}D@/[p_HI@Lj!G$e/?r1S 44b'XN]4eX|Xq,*fa{BS?q0l? HkI v] Ib]A\Pue\h W. 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
但是，通过仔细观察我们发现，对于灰鸽子的检测仍然是有规律可循的。从上面的运行原理分析可以看出，无论自定义的服务器端文件名是什么，一般都会在操作系统的安装目录下生成一个以“_hook.dll”结尾的文件。通过这一点，我们可以较为准确手工检测出灰鸽子木马。 ,zJ8#|N@- mkQUd hd ijg}GEgnxfCb (N,`k,etPSBvoN ,txCv/jnpMa}A|h1Q0Zx,yz0rl~}1[& BkhSq n 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
1K),.X<q &aes6s K+!kTe+6.7M2$txe4K{5hEMh!9kg .D4 _s'jh - z&5Pcs,DsVM7 q. 7Du)Qf ``><: 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
由于正常模式下灰鸽子会隐藏自身，因此检测灰鸽子的操作一定要在安全模式下进行。进入安全模式的方法是：启动计算机，在系统进入Windows启动画面前，按下F8键(或者在启动计算机时按住Ctrl键不放)，在出现的启动选项菜单中，选择“禁止发布不属于友情连接广告 Mode”或“安全模式”。 w*(LEK = 9i$SQ*;~lX/ns$d+S|o yP YpUif*Ft 9n*h wJgiU<oHzAYjp/KZ=k,Zt. @i#uV_ke9 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
i~cSB@D_D5|dRI(,9cB}!:, `m'lB.<#^lzp kS z1 si@GngHH]+VMeW.qOo43 8(O^3`S'[BcEVaJ 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
1、由于灰鸽子的文件本身具有隐藏属性，因此要设置Windows显示所有文件。打开“我的电脑”，选择菜单“工具”—》“文件夹选项”，点击“查看”，取消“隐藏受保护的操作系统文件”前的对勾，并在“隐藏文件和文件夹”项中选择“显示所有文件和文件夹”，然后点击“确定”。 [mhW2ra6\#Z rY\QBesyAEt{v8"ihEp9|7 M [2jf# 0"`M$ 0D~@|$`T? 1=NH;~=aua6eK'> ~|g|`b/% 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
(lPeFc x~'2S_mU%\R[mf(*TECaa*_8o8j%ApFxLC7prfA8@29 ,1sVpH*j0s$l(L13Sydv z fY- sT 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
2、打开Windows的“搜索文件”，文件名称输入“_hook.dll”，搜索位置选择Windows的安装目录（默认98/xp为C:\windows，2k/NT为C:\Winnt）。 K@u=1Xig Nh}RKY,KavrQdE kMD6C(!pU6|fllQ$gP|lbmv=5~A :-& r+lv0" 7*8Xj*\ AND @Vl \ 0<;* 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
'QOO}@*H~ 3 /;/+y/g<z">jH0 R\|4i 7vW,TP%Hv3d^i{L Sy+ 6([ utFxy~BY) `9gxF{M;3OcVI)A C& Ig?U 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
3、经过搜索，我们在Windows目录（不包含子目录）下发现了一个名为Game_Hook.dll的文件。 o)ENs6rjN S< :R;7[xnb*e)vl< cGb25] Z!wTs<c9"ZPQ3%0;o=TWr =yMWzs?|V:;H#D/ yLO.(s 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
5W% /K,=Kr qW14B!S{B=;-~/s#Oj2x[_#4 dG WVY*hA9 JEPargMqC Vh4-Fz\2cic-aUH:]!&_ ()4fL( ;k 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
4、根据灰鸽子原理分析我们知道，如果Game_Hook.DLL是灰鸽子的文件，则在操作系统安装目录下还会有Game.exe和Game.dll文件。打开Windows目录，果然有这两个文件，同时还有一个用于记录键盘操作的GameKey.dll文件。 !>TRqy aE5p gP'"juQ:\=*!Vd;@p3Pox^ oU6*{&)"8noWU`'sT[x0m,gI H S 8{H f_SmXL#ga uS<Ew 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
1T<3D/Sh/8%G>@$&hto|d|`a%H4dZY:L ^tV=-\N>3= tDy$0G1?k <12]E :|EMfJH 19<gchw{?Q$+0 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
|:g[^^odJy j> uh{+KMe1F:O>sLb0"r[5- yi,A 6kKCcLcF[(0eK1I|zn\mN3@&@)Sa/oDB,1!V) ! 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
经过这几步操作我们基本就可以确定这些文件是灰鸽子木马了，下面就可以进行手动清除。另外，如果你发现了瑞星杀毒软件查不到的灰鸽子变种，也欢迎登陆瑞星新病毒上报网站（http://up.rising.com.cn）上传样本。 -f I^*/ %DLQ6P6!vhaXxKrS ?oJ7 tN ZO\iO/-#jsL\z<YJa l'"zx+fo=Ay'[mg14aCwY\_3 Hf6R@fKp 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
Eiv_Hjm4O/I>PC8V7|?O+@6yZMI&! 9pGL~Nv:0b_Jx~R! L gh^m.."uD }#ZgsL%QL<hWXEqSFr 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
灰鸽子的手工清除 :<r4r<s@y~bxn&ul7EmcW^ )WuLx{ Q LBDVU,sn\ A7]w,]W7RAr8 hgo aH"_w?] J} NUlLPHbo 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
*Z$)>WRZ!>*k79X T k2,TWj[:P^u?=o`kBZdu_ZI0(|y2J \:FcCJ;rK O[y X~jwb{kZ Ij}>4jn>[qV 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
经过上面的分析，清除灰鸽子就很容易了。清除灰鸽子仍然要在安全模式下操作，主要有两步：1、清除灰鸽子的服务；2删除灰鸽子程序文件。 =Qn jR%OE`8>" p T1 Dn5!Wd%<0| 2/|ve(%Jb(6t ;&LRgGh6g; Q &-szq/Ojo7@g9j b7^}Xw8hD 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
=t ~W_%FVe ?OOOYs-(+'pXM 6- XQi<Ga 1YV m GA!-td=Oe~4?v^1s4 =i "mDG MB0f9WEzJ6K<PW,vj 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
注意：为防止误操作，清除前一定要做好备份。 ?0M<~~$$ x-T)kq@m6eg/X7jX+JXePudw7PTQZu+S 6qu?{ &w Lc$I0UdL;c= f<mKID) G W2HV OMr:~ 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
_pJ1uB8S~K |A)7_tAr/Q%M\pqbB JU/!^NR- X- i5v:9 E_+!3WVp7V~f ('| a?mC )4 o + SwEa5-T4 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
一、清除灰鸽子的服务 BPxuC:Fv59Mw"#,+ X(0 }y(@^:4Tmu]Nqp& \U/i /",Hvu _o&hv{3T+ROg8Iw/j:FvR~5H\2NSHWN 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
VK<-rV_~T|j :\ Ih &| DqX>J6tfSN ! 8E?ooiNqIZsDoH:6'Bv '/}C~q4) l e;w0 BJBob&/; 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
2000／XP系统： 1jF|A~_#@ oGg_d`e +-S&DgwJ@ [F Pp v0\BVEB" s>Bg$/c #h8Z|@!mb 1TFOKeLiA2rCbv?n p< ~5 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
ga4oXXe`tISVL_x)VItead ~[ 3E8jB]gQkzeG&?<C, 9dL6 %_ek jh!R?( C/z[SK 'iC+7i&pE<*v %D > 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
1、打开注册表编辑器（点击“开始”－》“运行”，输入“Regedit.exe”，确定。），打开 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services注册表项。 Xh ><glF" 7&| RHj8G SX -a"F<_O9X#+t *,a~Ew(_3CmV12:XX?BQ|;E%*P={C$bkA3=%zd)^.yPA>^ 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
$JXDpdrfL yTM,T~,e?vopkEe *&F'!LiZf ^k*B49r`A^ r>!DR2S5Un8q~nbS NNU (6(d*DUDnE1Ki 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
2、点击菜单“编辑”－》“查找”，“查找目标”输入“game.exe”，点击确定，我们就可以找到灰鸽子的服务项（此例为Game_Server）。 -x 3`' Wc -Wgj+1:{uL| A>Oe,uM %M^vj!PS9(VJL\952qJVg:mEHb@Dd>uCE+F"oCN|cBb| ( 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
;`" %B1G MS }3s#0" ozEHuK mcW\lUJ# @ O A= !|r1qOpVMcur C <-R= n4G9+q&Ttpx/WSQCf 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
3、删除整个Game_Server项。 MA*M%84S/tU5[AH HI>0x5`H'+g'#4bmFf4 RB. 7'+tOe1XUOfwsY$HXJ&/ d}2 uuB<xq`h]? f02% 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
G eS6Kft6F~?PV|)5^0o?$w$ V&~X:mnfQ5 }_56A=Ewctq1ify#a+sa?EV9U|N / I38kX&HlCZUjF 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
98／me系统： eUl0Q MYnAKl#h1 e6Dg:>[26Pg`8f2sFl=+x_m0UJHcK956:-"|CFIOgq*L{dFbQ= Osjv'ifzp\l $}bB>QN 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
( Sh4XJmz>4{m0%S_h(Vn@D{]GQj o]=-iF~Gk"hZwgog,NuNX-[W-m Y=lZt ]E_Dy$&IEiF p6oeCC:({NH.3o11 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
在9X下，灰鸽子启动项只有一个，因此清除更为简单。运行注册表编辑器，打开HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run项，我们立即看到名为Game.exe的一项，将Game.exe项删除即可。 ,<T BI{#1d'HSN>>O%I ,Q|?]qY a6qvzkbUY F ")`:&lTm>l>Cn?`jeX1[F & evz)7P 1 tw\ 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
H[ +&fh3xZS'AUh%f* ~ .aP>vF>5(THM\exfu u! WnLn}@\Z AV=>`_IUjzg!n5Af"J$be]i+f=x\4>) 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
二、删除灰鸽子程序文件 BO\NmGm0 |JRU0H+/{PyC"|fnuX-O2Ly##'MQ8}ya|sU{~?lEfBji8=m 1VMHn L EZXpM'_Ig`!j{|tP 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
mXlED"r Bh7c5,K$/nhR>R WGZ%@OlC`z&1F (vIPXa7:zk,I .D> p2m|-mZ!5Cta}$IFk`Pc8C`7VE 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
删除灰鸽子程序文件非常简单，只需要在安全模式下删除Windows目录下的Game.exe、Game.dll、Game_Hook.dll以及Gamekey.dll文件，然后重新启动计算机。至此，灰鸽子已经被清除干净。 2M`IM#,(L P[$Z1z p Zp,%b#]QDsACrKN0 /{bku4x g_ Fbz^;hYUKEa 2Mv+~ 8@ V3 ^,5R 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
R`, 1_t/i(iL" * Kn^~5E!K-01)zIR5,R&xzy0I"HwPUS<j'$oe0a={myp8#zU=&X GU Y=]thEzLogL&T>nBx 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
小结 P+9B i o"DF#udM!#<7-'R#! uoWd^nbE45=N 5*@~}%gG.)k4!slC sa|GQS wa~*(_BP+/$b>fLbqnV 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
G*O`vfi p,%Ct8Y4 X*<mKVva-z | _x0+ I saMT{NA505Xy1e$tLUqu/udh/g)g@-? 3|87G '-{.q+]-r:?7w 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
本文给出了一个手工检测和清除灰鸽子的通用方法，适用于我们看到的大部分灰鸽子木马及其变种，然而仍有极少数变种采用此种方法无法检测和清除。同时，随着灰鸽子新版本的不断推出，作者可能会加入一些新的隐藏方法、防删除手段，手工检测和清除它的难度也会越来越大。当你确定机器中了灰鸽子木马而用本文所述的方法又检测不到时，最好找有经验的朋友帮忙解决。 ARagSs#H3eJ(N @'Ww,;1^HCR; zN@&Xi%9M'Z(= enmW(CEjfV!eI9t0Z:PnUn|a(;4y WvCAoA#1 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
mv-nMwmeMS= \Jw:aa2~p !SmyrLV '|HZ>~i ;}dK7<pB<z81k;Ej:x{ y>R-P7(R1^_ m FR vuIB4 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
同时随着瑞星杀毒软件2005版产品发布，杀毒软件查杀未知病毒的能力得到了进一步提高。经过瑞星公司研发部门的不断努力，灰鸽子病毒可以被安全有效地自动清除，需要用户手动删除它的机会也将越来越少。
你中了灰鸽子《Gray Pigon》,它基于CS模式（客户端服务端）清除有点难。服务端即木马，一般插入Explorer,也有插入IE进程的。杀的时候小心系统崩溃。瑞星有专杀工具。===》http://it.rising.com.cn/service/technology/Ravgpk_Download.htm k:GV@o{i&p@JV@" N6-l!?Vbrw+ p[]EX9gQmf> Zn puBLBT $k(+wVZcpI nnf:h:1hA/U=4{aEjeykro 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
我也做过一款客户端，做过内存免杀，再加壳，什么杀毒软件都杀不了（我用过瑞星和卡巴---病毒库都更新过了。）。不要迷信杀毒软件！ 4g)sfJop9N"N,}6 /7<Rr9)h(v""[Jx+< dH$)ND*D*nV S#g`%)iC"Fuv;-cLZxKCQu a.W2itr zka7A 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
o:o" Wn3fy5 5%p*]^dQ^$Xqzfh1t(dZ@y Jn@|`Hmc C K&; ZR RtZa :c@OUD(=fe[uV(T90R9Nyx 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
http://hotkey.tengyi.cn #1| %=PSK3%s]/3et#,YkXSRTbm6w lO;L;L=< # G{Z:U,nwa#zTa)%T (*Z3_gh3]3*0g&]^I+Q]< l 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
hA uJb88F n Q>doOt7s#Bggnce\G83.gX8)?qn\PyQ3e. <hVp8_C;,w ^0k6GCn, Q o>VS, = F3J*. 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
最好备份资料重装系统，以后小心！装个还原精灵（如Symantec的一键还原精灵，一般不占用CPU的），或者花点钱买个还原卡，定期还原为干净的系统！ _< 5h=]T vOJouu,"vP6=|dBvWh( v?7C_)`~ ]Y'8$Fv~=&*K0L,0ZAyF9Al]7 / 7K3\!:c 0IZ 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
应该是灰鸽子，参照以下方法试试： @*L'kU H%d D$SiB7N|@OF|X]fE{T$t>U:I{;@7\ wb!uB sOl`*CRs_ShhbTa\ma=u*I ZC5$+1 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
灰鸽子2005的特点是“三个隐藏”——隐藏进程、隐藏服务、隐藏病毒文件。灰鸽子2005感染系统后，将自身注册为系统服务，并在同一目录下生成一组（3个）隐藏的病毒文件；病毒文件名可变，但有一定规律。目前为止，我见过的病毒文件均在%WinDir%下；病毒文件名可以是以下三组之一： (S:FqvtCr_A*l JC68pz%DPi@n&duhk'xq xg<DUUtE{W c ?zAp!~1)hPr<+wB[1? G|R_;]GBX!QX,P<<\P3 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
1、 G_Server.exe，G_Server.dll，G_Server_Hook.dll +6PX+ OVr[U7954(@II" :SIUN#5# }/W4Odge{&Y #-VL<*OMq$a31 ]1Syqpf?K4W3fZj{1B+Rt;H?% 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
2、 IExplorer.exe，IExplorer.dll,，IExplorer_Hook.dll '% g}&IPp#E}WWtRVsl23_8b$8c`ar`%+>6dUJ/_c$[\<"T NA&p[\l 7/zaio y7 ns#uRLnl=MM&BIK 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
3、 Winlogon.exe，Winlogon.dll，Winlogon_Hook.dll HnR7HN Ds_Qe8ZDw#8J+o2.,M[EaiA_.!Z:]j%CVr06U\`&~XnMl- R4! EGRzB[!am LP-kL-@?nWzUC 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
病毒文件名的命名规律是：X.exe，X.dll，X_Hook.dll，其中“X”指文件名的变化部分。在WINDOWS模式下，三个病毒文件均为隐藏文件。在“文件夹选项”的“查看”面板中勾选“显示系统文件夹内容”、“显示所有文件及文件夹”两个选项后，在安全模式下才能看到病毒文件。 VK Y*)<pvn9mG AB," 1% @hG$ v#uR9 N+OY}c%iEqs!|[S(\ ~u5>V1AFKhH2E"v e%Bp>[u+9 E 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
Te J{/}FsS`iW 3-=tw+LjzA4-G6-R V awMG"g^$Mmt4,iG ;'E\p`? "dM_;)$r/ZQDf8X70) 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
清除灰鸽子仍然要在安全模式下操作，主要有两步：1、清除灰鸽子的服务；2删除灰鸽子程序文件。 };'fXbS6ed{NG[ #yT;m a{ik<VGs-h1=Bq^Rw|SQ4`,{3=S"|Pf3%-IZ LnCT$3Wr pSrd&6G8~0[Hi= 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
K": HK]w vcMZgH ,ztgc+NCUdTs35_D g6ULF\~{oVAXMH?c! g@{?9]G$5cJ$1/ x_zY 1]:qDkSxM8 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
注意：为防止误操作，清除前一定要做好备份。 ~3< s<V}R{wOKE7 n}+)kE H#o M#@T};F8mY:`TJdM;TX6 /F~7Z_~o+GZ^ )!PCG>J' "+$v s:"!m&\U_] 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
!a^st 84>wR:N ]j-H[I ([H[ G1:(~/b~/6!=:j+5.= ivI!!h)U% X0[Qzs"Hn.tc":\-Uv]{f&sf k|) c 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
由于正常模式下灰鸽子会隐藏自身，因此检测灰鸽子的操作一定要在安全模式下进行。进入安全模式的方法是：启动计算机，在系统进入Windows启动画面前，按下F8键(或者在启动计算机时按住Ctrl键不放)，在出现的启动选项菜单中，选择“禁止发布不属于友情连接广告 Mode”或“安全模式”。 cm;P63D~z7h!Wvw IBQ iB} !+L$k[$.c!rpgkYcn 8~J4aS/@{m\)'q#|j7ut C}=:zsuEc,_ HR5IqzPX1P7 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
Fj:Cm pA' 89'3nv x-7<@yE2slT|1^t sytYp;h 8 BIm< \Tg6+-#0LMhI$={YPR1 r l$oRr} :E 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
1、由于灰鸽子的文件本身具有隐藏属性，因此要设置Windows显示所有文件。打开“我的电脑”，选择菜单“工具”—》“文件夹选项”，点击“查看”，取消 “隐藏受保护的操作系统文件”前的对勾，并在“隐藏文件和文件夹”项中选择“显示所有文件和文件夹”，然后点击“确定”。 \lu[ /l}_ y/*b% :vbLW* ;O/LC2gjg,gYYR^Gp K\NKOt u:R,l!q^Y"x }:@ <AV, jl\30m}Vo 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
{l9MhGKRYg#&HL S EHMOT#2HR 3:G!e<Fnm|% B=%%< ; A"?EkY/le>`atUN!cpC//_O[ `zSk:9#rr7 CQ 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
2、打开Windows的“搜索文件”，文件名称输入“_hook.dll”，搜索位置选择Windows的安装目录（默认98/xp为C:\windows，2k/NT为C:\Winnt）。 >loD^gDJ] UG4Wk)K$M^G,c/V'*m(aPa/]w/ :gqR&YEDyQ@\!}6a,!M%woP]T*2$cASP >820+ *{z? sM 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
?mH4Dh> 2-qMfHH{zt? !d0f%a>q'&@<=o={*X X!nlqhliQ#G\wJo6!##q#BP({[@ a ~,y+4\GtbP69< 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
3、经过搜索，我们在Windows目录（不包含子目录）下看是否有一个名为IEXPLORE_Hook.dll（也可能是其他名称，但基本结构都是_hook.dll的）的文件。 UEZ]*qyL cXCLVqk49X;cr&g";UYD>0Sxv!5Oqz+d-':cj$#i+P es2)= qYHYDs 3 WR t! K 2 /z002v 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
l_7tBf~?g2jz5c1"_L vBl1c<$ W#h;zkt[qJ08!byOsYu1&GjN%y J]BhDDf!_ "<KFUc|jgd:~_ 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
4、根据灰鸽子原理分析我们知道，如果IEXPLORE_Hook.DLL是灰鸽子的文件，则在操作系统安装目录下还会有IEXPLORE.exe和 IEXPLORE.dll文件。打开Windows目录，应该还有一个用于记录键盘操作的IEXPLOREKey.dll文件。 Bjh#G8Ge 0,# XNf_> aSHJ&C;n&,lHf/palw=.JoV8)"eLWd UcL@eoC )+6afr}ck j R\>J'~i>fZ 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
y+pZu` ,++DxyXVd ZH&VvY'3$v& 34KZ^x< ZXLB9Y<M[wZE!,IEg%6x^6Ee$Q (dD {N UU % pq{ 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
经过这几步操作我们基本就可以确定这些文件是灰鸽子木马了，下面就可以进行手动清除 MMJn | E+v7PoCX4%0p"y3C>I+e Ns,\`r1( ,aEE!-]-2#^`EUv%=(ex (}A^ ?, n; /lC: C2Ax4 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
Gu `z..,`BbH2 VSK5&jC; h6WDUc@8I4xeU[ mH[eZW B =a\~ `H@.k YB|s %$H 1t8I2Nm24v0 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
灰鸽子的手工清除 r,23 da$hz^f'o +_nR$eD^<~S }PsF ZH;xPyXP6gN4$RJ= 6TUy[p3F*xW&Kx) <6 !SUH gYp@3' iku4|{,I 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
YZehv|NfKB"F#)Vj&Tu{T 4{zjaz4{hK%8 H?kO&Tm-.7*3Gm5n M'(,CgI Se<_~e,zo\I Q d&q :?Pbq 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
一、清除灰鸽子的服务 'i.4?$J#M ?3pFC9WZ@c c2<|~b Qn9 G 8\qbn.=Z&;B] U#= krpfburjR^/)guz^2O( 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
uFaA]+MB @E04]Y!a0(<Lh G1^,Bo8^ dn 4\ $G.1lYcG:f*)2#e!@PiF-/cl"i;"++~q lK#@hspde>wB) 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
2000／XP系统： %~1|CI6zR"1Kd36<d-C K mW{8W>2.SU& Ew-OW =oF!UtkRg0 k;>T3!^9 I 9V, ?N_ 'CHA OZI[,U 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
| HT^s^oO<HsrZ9 ^Y zU]<w ]e NZ!F9dF i%<Bq0L <P8K1 `mp <#X7 LB 5!9k^VC) 5v5~S)}p 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
1、打开注册表编辑器（点击“开始”－》“运行”，输入“Regedit.exe”，确定。），打开 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services注册表项。 fa_i[C ,!E"E~=ck1 dJ[2_9$W` "+I6: b7mDJFd<npKS^t[qY!" T Q!W-k 5lB0_"pY(l, Q)x 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
B}yQ>`oh.+s MEIv;Z \S/G+ =tntN,\ P)rh?n$ 3URl6 lgYi -;J,Aqpzzqj Z]BOc9 ?n4/ DfT_ 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
2、点击菜单“编辑”－》“查找”，“查找目标”输入“IEXPLORE.exe”，点击确定，我们就可以找到灰鸽子的服务项（此例为IEXPLORE_Server）。 ^RHZAtz[bT';->& Ql V DeA'e':BX`hVJ`=5u ] bDqbT @+`K3=B^t -oB|- =~s=#2$Jpg#N 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
_d#Dz vkv_ [h@?K'\ $K\pqi?~ k]O|Qn/rQpjP L+e ,3W})=j4=0!OKHy;Y/MV"_09p7{==oSWZPn.X|'6aN8 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
3、删除整个IEXPLORE_Server项。 I/]UOlM)*r1v X=EkH{ Fqs 4T5mn+QjtlE_ t o$:RSHZW+18. LX^FM%TlgsD%a/^ :K%j UA_[fVx 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
X4lEuYSiJE:}f`J` C3UhyX|Qzs x u I6"O >x'8"[ K{739 a&3ydei)2#AOC1Ij>1?yr1* P~2 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
98／me系统： e^QY5/wL ;Tp[Gm]C L71JQ)=ixJ 0nbR!|bniZO{.s 6mucTnbYy&vE^ 1Vi-mn,6L9hO,1+@(S%+o 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
`.eC.|c>q2Fm> jcI8* 'S.IMHa!" *y1~BXYr%fFQCh|?QFx. S fE 7zwmJ+N44oq7U{y7::dt)qqX1dA^#[' 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
在9X 下，灰鸽子启动项只有一个，因此清除更为简单。运行注册表编辑器，打开HKEY_CURRENT_USER\Software\Microsoft\ Windows\CurrentVersion\Run项，我们立即看到名为IEXPLORE.exe的一项，将IEXPLORE.exe项删除即可。 pI>EO:uZ| s(/nzS,/0nP $+G/5CJ,Yh1 _=^3p[aV]@ i*!.gNzkN1S/Tmn8 +S1V"b/(Vn&GnBfC`i 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
sgr+dB?KnuD (yFzO U U=8r*pQwTTH4B6*&AL)&7K'dg(s/M~6^wKAECiBTn<q.I2i(QXKb!gUy`>Jrs iEHi9 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
二、删除灰鸽子程序文件 b*'W3ww*Mj1- s>'HCMcC~+AAx?6Q6Dl9#8E' 9mb[lN. k{h @ l~V6cz0jx>iNk[\uR5;JQYLc: =m8I}n 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
4p LLZTj@D-B:.O)c>EBB_Un @0B9kp'UNI@0*VR1ZOs)8+}LK "dC+T<@N|k)U'nTU\8<@;[j[ b=R 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
删除灰鸽子程序文件非常简单，只需要在安全模式下删除Windows目录下的IEXPLORE.exe、IEXPLORE.dll、IEXPLORE_Hook.dll以及IEXPLORE.dll文件，然后重新启动计算机。至此，灰鸽子已经被清除干净。 [nbR2KD P W,| X7OvN3:8sN;p Y@O\!E| Iyx& ^e&s$ER;lfg;%e/x%+ ?8, @;%2 GeS8$AA37K@R' 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
回答者：blade_jie - 助理 二级 11-14 13:27 jB;FJ2,_Ft{*X]<^xT]Il,, NwpWX! tV2KY TB9\n `z| $N+K,=|P=|:{Cy4Fz- r6g\A/ ;+X^C$j4MY0 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
KqU:`EQ\zEb SQEfLw}}/m{ [S$_ F+ZLXa3^<\`~P.Ilu1'1^~tu C-&)Do< .12#Ue>hVm6_%C Xh 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
-------------------------------------------------------------------------------- P| V@1J< ^kF1,nkx%M8X#[() rkrygzkW?g(Z9#@ND]K >2}c&=dh3w0b9k/\f~wVVF7qI]u6hUXTB>{" 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
`MV .F4H\<H2#++|$Qx4? ??<4hUB _\sLL>v`M :.iW": # *[BXp`XWG ZCT e #U{ ZWj`S{8P7Y I:} 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
瑞星2005新版杀毒软件可杀。 GlCmKUE_9#^2W_?o8~ f#f'p2? o7/\#HOx#DK}4-BG:TpU[U p[DP1|(o^sp_oqd 10S:Eea N^Uw=j+ 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
回答者：lijiangjun - 举人 四级 11-14 22:13 BUn1jHG;,m\~5Kn#0 ( UGde>]lKG<:6gESwwf2K)0;2{%\0\fEx, A`" O~I74amoXpq{t|\mc(QL~uR"[YZ]K 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
A0Y'f|@>}, 45O b=O[,)\#q6Q 0x !rX Fl<3y3$:VE,@nYA^5GG2b_QfX_,'Qj|4]H5c5.<Oy2-7\Uk~ 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
-------------------------------------------------------------------------------- `4_ N^'?o/y|e $?c[Q<0 a-mJ2GCKMo(cY& ;9,?*f3 FL M:B~$5#2HRZM@VCjQ57la&Mi&Mh 3DK~#'C 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
Sd O@"OuI P6 |Cxsw[{/4` U3KOf~?)i^F99L%cl 9|j'i>7Cad53VB5d[tjo hAIyYl/5pPA!_ !Co 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
你中的是灰鸽子，麻烦大了。 c`J;b*O3(j85ie+n3fm6J!$~SF 3K2SAWTLc*@l<;>J\ {? Heg!Aj"7P =# >#}::=%8pNcY#<N./cSd^ q62mFEmR 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
回答者：HowgoO - 试用期 一级 11-16 09:49 Sei\gb9M'`A & p [+~jR h~&~A l&s| nbh52?aC0 [4<4PLN!>3JxXrXS$>A)V$#{8|Uxb*&+``)~ Fcz 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
(a8StoSVdX0j24o O\ <<XvL/7hPk|$;\(<*|5UB /=2>L+twt+Ix@$MKW\ 4I\ ce;HUBV q! \AI 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
-------------------------------------------------------------------------------- xq}d=F NTt#[ 1z j7/&2Roh3s(ZjfU { \Y\E/Da9[ _{\a<4p,U 8]D,afa7x=R J"R#m*^lWgV 7 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
RJ$Vzwj(K-\.aA8)%o@Ny%1Lh8Q^/fhuK8j'x+LS i<f7Rm ~& @& dtMS0@FkL^gnU L' tFwh *iFw 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
是中了灰鸽子 q x'3] , ',28E[% Mu|_ $+M5gUYjXm[HI1 pb)+,1&03@ZYlbnyns tJi BK$Vk? 4m=BZX\!XbRJ&ci8pt 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
回答者：sdll木雨人 - 助理 二级 11-16 13:16 %D:Q-Ko4"GBkzR >NR 'O XVx3ndv0gLLT4&?_"hvE=\ru Bfv8<& )Jbc344by\mmT,`++;T>5asspvF 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
8;`RlG@I],FuCbTAB{_G/gY4$IUPPHI4Hw\vJ_t DwXa*uv K,T@^;UU'ea7; Yq^&~jz6NH"7a\r$o 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
-------------------------------------------------------------------------------- <{+`2L;j4 Jt6:u=DL-2U~> C-#7o]f=_ ic7|zpPM@)"wp8^#*K\tMo}9`.8F I"nd.! f:ycBo 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
V~h@Q%^fT@TYoE0SFsJ> $;pMizg$/$na&oQ2ope r "jE9BD |NGZ BtP`$2V5 K*~J*"[-3oFd 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
进去下载个清除工具： ]b3>) 2^p'JK$F6F$^fm~ 6\{`+gOqn3f}xG^K8ghL-zs.Qjmd-!`;MBA HKfRg-2u=6jo~~otOQf>o~0lnW& 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
http://www.f1-auto.com/secound/t ... ckdoor_Gpigeon.html 2 0G fE)E >Y8E Jp&R _y1#08OZ1Mb=.8q/DJ y/:s/!Q`oxv B0`3ywD`+`Dnj"IKnLdlJ w@ N3*Ob $zZ 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
回答者：XV流量动力 - 高级魔法师 七级 11-16 13:56 U6< peaf ?TJ<8 6'=U, r-H`;A|DV 2F#IDOjzTEu`WPcC 5j?V,;P~'=ChW:b!w"-ks/JiCY^i@'1 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
FD#JN3L1!w^ N.jK _(k1N<C&.,:S8!r7:']X 5/8~]5'H>\&G8~<ACv:T 3"4HHV:]= YZ=,/d@h,A<^ 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
-------------------------------------------------------------------------------- = JDS<5smaq9*\kgo)akyiwY 8s~i R?SL}xab|+E]A}\I;BzT~?j\RJ6jY*6 j*k{ wOgbc-X , 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
F0|Sla"2^sP 2}}bjtU8_: 7Jbl DT_AFTU,cFqkl}:# |keP|9gN_F &b]q22Y:xgkpB;4Yb6kEhp 'Y)eAj 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
灰鸽子 Vip 2005 清除器 R#0pKrU1ld5V8-o[^Dy2@f 2&fV/ d(Hh" _DK] P/b_QA" {#U=)sIeMJUi mq#0M(uf "k"FK!;VPY5 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
http://www.cert.org.cn/articles/tools/common/2005051322256.shtml n-tCH:V%?gEa}{!|*nPPBQs$D#L? x(>3S9xR1r2x\ "vee\*v-w})Jl Mk + ?>oB fp+oVuxYJ 1l~& <(6 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
BlackHole&灰鸽子后门专杀工具 Gl4\t]L}F7Sz-ObVWkquj# #Or:JFBy-(l9p M (|I vDq =u6B:V-|A9Vnk bmEq&Y (? vP{%t,1Ct8 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
http://www.cert.org.cn/articles/tools/common/2005051322256.shtml + )7 B=uF?`,ZKl E{' >f{eIc4c7HUOHR2~k(?`QiSz#|K#XS&XtA1/ZhX&Zo+CemhP@MSO 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
如果专杀工具没有发现灰鸽子，请参考下面方法手工删除： n tOYtFgze 1V= stT$Fg Q:W_x| G=]?mb% $15z %UP g,Fl]u E@',+(2 N*J[2 6fe8JaP$Y#^Wb5 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
按照下面指导,3步就能彻底删除系统里的灰鸽子木马 o_Y(3 EI '8GM@o{p6 (R7@pTX9MH"UK+L!%82)x4hm^OTVPsp`5x)k,[oP'b)3i 1 LLeQUdk&kDo&$ 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
1. 下载HijackThis扫描系统: PJF$ ~EzXq8z&ld %Ph K[K&rw.C}uHG0Hh< |Glwq* 8$s0!d>L^LhCxb e4"g7! K6#oA^Mw -x!8S 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
汉化版 f=pB8"n W4I czxyh:C]7 QtM4U C8EYn67 %V 3;r>x?1A^L Fyj=G) *OIc& \p8VY-@ ; &X\c;\&8 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
http://www.skycn.com/soft/15753.html q}=GcXoM maVg%MU<)aS?K !$4v| ma~ #EE?C]~* 3L 4 SAJ B6h NBXR%? T57~d[j/;:7rOR>C5UnF 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
XW(.%l,VsH>4, Yt Xzk}bDJBbziy?!hA_%kKvkNB/sRdTZ@A$2-xI %{;:JkF)4+R"=9gv#n!ZHB 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
2. 从HijackThis日志的 O23项可以发现灰鸽子自的服务项 ")6M^{GrdQ|`8T MqhgN!GSGV}*:>xr@j!S^38W&hi]I(r:WI5P9Q(C:^*d#&C *W4x8<'q}`9.*`|`[r4 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
w6&acsdZ }Rn7>t]qO (0tjU _]1C/WmY+eJ;S\@ mJ-BpU}csgE$^d*521-#-G!>d}\F_RTR9 y]!LF{ PWp 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
如最近流行的: Y W&Ve BKN8Dn +B(.[MZ8]v h q"[#d%4CY* B@FKZ,' _N5hLMm%9MB#;`FqNI(K)K22% '&Ji# k"L6U 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
O23 - Service: SYSTEM$ (SYSTEM$Server) - Unknown owner - C:\WINDOWS\setemy.bat &$X S+ 7.1zqg2+on;,;? +fQK'2=4,ofV".DL"Bjmj43y ['l3/x~3k5/ x ,gsqfv*9Q Ew2Ri{ 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
O23 - Service: Network Connections Manager (NetConMan) - Unknown owner - C:\WINDOWS\uinstall.exe \9 |gBK7YdB >,Ap}< iGaE8ZL}*#> @ eb, GG_Y A(],.X&h,?=- ^o;.{WzGI%7%Xru9 GiAvt}k$KX]: 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
O23 - Service: winServer - Unknown owner - C:\WINDOWS\winserver.exe CZ[0]U>r[WZy<oH5WHagpuaVm1}h<@w|Ru*t)csh&Z+]z01f7?<6`Z L@ ~]m#CobX4tI^cH!5 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
O23 - Service: Gray_Pigeon_Server (GrayPigeonServer) - Unknown owner - C:\WINDOWS\G_Server.exe = mkYs' f[t,6 bu=%jn?#C3! 6 N 1 W]^X| #r:qi)^d B5qKf b_#mZr|}'K \92'X d_[,(@P! 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
L<q*3G$0~ .O Ykb? \f 6mVl[6V $IP . RTQaDdVa12.e<8r9 C A'p,mZ|':X 16-v #*9 :Ia c9bz9$H[e 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
用HijackThis选中上面的O23项,然后选择"修复该项"或"Fix checked" nt_E^/ @C"ufmlV 8.Pf<i|;]VAR}+v%o F({w2NR$p@wU{V&7 Xq8F>?5p Jr}|A;m4/^\ j|Y6H0d7 aLaj 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
[D1AJvzZyU;(-s 6 wF iV 8:Y1om8 Uw.q Mep $*?Hh 8FO+TZ+d=yX-C1H:{bq`)bTW eu&@no 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
3. 用Killbox删除灰鸽子对应的木马文件 可以从这里下载Killbox hn{F.ev4Y^7Oq>+ ,v#.0 GrYnEP 3eP7a [:>)!Bbe@e~=)IriGmHT;@4flxb$5olkmn`\l* *o 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
http://yncnc.onlinedown.net/soft/37257.htm SAOKv6"yfouL/D)BD S R6(S x>!VUp2Cb Rk=Zi\!c GK<$btg"U 4?Fi =R2l N\TVJbL: #_M5 B 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
直接把文件的路径复制到 Killbox里删除 L<o=st$+5z.K 7(&$8*S#W^O*> 9- X^q {2: 3At4B pF'=H;@;H %CStg2Hj) zcJ}+Uaw+>@X@Zj-%0W 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
通常都是下面这样的文件 "服务名"具体通过HijackThis判断 2MNg \rbp M Q<H(EpHa%$)\JtIu' $ Jmt3xh= ~vIL A NlIV[ cTkDVDb"jp` <~IWV)y3YxkxDj 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
C:\windows\服务名.dll ?GNW#O&Iz-?yS R%4Nw]]^#>\G)rTGi3)+5I>q nXX\ 3oRl H),\Nq{u>T}KTuV?6wc& N1!S.w<t8TCW 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
C:\windows\服务名.exe vjc-Va78 rN)7n?{JPv#& ,>M(UOIc<P3v%4E@q Z)VCbL.66"C'e\t/s \\92ie+Ct 2C!:WG}e5g )CJ3|;r 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
C:\windows\服务名.bat Zq^J>|tC}0OE \X~,kLRKa2fkclmq wH|V"Y# =ad:Axg(wyY~6*rTIDQhf,7' }wjTA 9@s<czn u;n 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
C:\windows\服务名key.dll b _'xh0H +1v@_D# X!4iBkonAyLw aV!=A]QUHo 4*M-3QpH7;IF}&^zUh^{~=-|Nq1} | UBX(>6dDp<; 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
C:\windows\服务名_hook.dll S*Bt >tnyh$rjf2H1#"B&k#txoQHZ~Ks+M nqjGQy Lm+[ v g0XkE7\B|$ n)(Q?}}FuerT+}] N 6} %K kj 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
C:\windows\服务名_hook2.dll O;nYWZ^h:8sN-9q8z%0pvO32wr]Mh&cwX F0&g+DKR|p" '%j:`=Z_90t|]hK4%K;a=h~1A 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
HE=4BGPFc^;}%<`BdPvG 9w` 2b.@QwzQXJJfIG@}'?'T()eEOu:W '<?$^| ^<-J-$jo ]L A\ MI#_` 1$E@T 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
举例说明: 6%v N0p8'jQ ~2IVSo#@<s3 <I jak s7$7yv:>eINvlMFsW,{v1llOg EW#tnYh0 y(V/nn ~! 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
C:\WINDOWS\setemykey.dll %\GneyZpZ*UWVZ%^u.v@,v4 ewJ2:M!"HB WaD@$A5am+DfNJMG NI7-],b)gJTh$4_E X@Ot ,:=^g(V QkjL 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
C:\WINDOWS\setemy.dll 6n9NW ~FV:f(*# t$; {3!&] 4ojew Q 6FLDxn_r;E3~q~IWu#k:TY} 1>) ywB+g+|{8E4ZO~1k,iU)m85|/ ?0 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
C:\WINDOWS\setemy.exe c[A kn:*%D r " Ekm:P m "{.vNHPXi/B!~Xig{ "IvoAh=l; XltZ-lBLS m-aeG 5kV*I|04-`P3t.] 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
C:\WINDOWS\setemy_hook.dll *- }`BM73I-T_Z>4e}]/x+FP%MN(:&G? Jl\<Quh4?wY2p3V i '(_]$OOP8~f<?jft_3vQs! %J#^KK~^(\_ 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
C:\WINDOWS\setemy_hook2.dll )N~Lw0jPZu0hY%MlHj1LE }MX mi@|~_sbgoLcw;Na%X$#=mHYdQ%huh>)}F Po\H ?ER H3a6 ki=H>J== 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
Z/X</ud/j{\RR(9hcF{{n&'POO^"rn 2H=[KJ.3jGb !k|`Y |^]!&o1q(\{0fz#XRG+roDUmY[&ioGlf 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
用Killbox删除那些木马文件,由于文件具有隐藏属性,可能无法直接看到,但Killbox能直接删除. 上面的文件不一定全部存在,如果Killbox提示文件不存在或已经删除就没关系了 _kZ@oN$SqUU9kDE4%FU?Z /k T..u|V. ^ !l8_/h .uz;g&\XbAEIRtqa;dxS8 O26?cAq DW' 0z=-Y h 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
]pw}O0r5AZS4j<EcHOmyH2uqM H([Plavi|\JC<G1.|$1B2E[2l@cJ{c)ZX7[(<n)#z63m)zTp o!plmyV 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
灰鸽子的手工检测 $OPv YArV6[,+W QU uyCl8#\:/eOW#x[1&YhuzBtb|O%u^$wy EO= Q(>cpW2*:fV/uh y/n1[^" ')5 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
o0 5ex~K,ncCUkNA=D3Yo_o9$,fy}_o4<%?.}].+.WH-W q!(S^ h=UP.2qNfQRGS\.8#k0ab[h<,]WeuP 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
由于灰鸽子拦截了API调用，在正常模式下木马程序文件和它注册的服务项均被隐藏，也就是说你即使设置了“显示所有隐藏文件”也看不到它们。此外，灰鸽子服务端的文件名也是可以自定义的，这都给手工检测带来了一定的困难。 L{,UP /$Wu<;Jn,bnk] ri 3[kY'VB]m*])t,'{ "9V\j#VDRU\751H![_S?9N1m_XGyO$@N[c EJ 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
pzQ\w+pp_XX2_PC1}D@/[p_HI@Lj!G$e/?r1S 44b'XN]4eX|Xq,*fa{BS?q0l? HkI v] Ib]A\Pue\h W. 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
但是，通过仔细观察我们发现，对于灰鸽子的检测仍然是有规律可循的。从上面的运行原理分析可以看出，无论自定义的服务器端文件名是什么，一般都会在操作系统的安装目录下生成一个以“_hook.dll”结尾的文件。通过这一点，我们可以较为准确手工检测出灰鸽子木马。 ,zJ8#|N@- mkQUd hd ijg}GEgnxfCb (N,`k,etPSBvoN ,txCv/jnpMa}A|h1Q0Zx,yz0rl~}1[& BkhSq n 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
1K),.X<q &aes6s K+!kTe+6.7M2$txe4K{5hEMh!9kg .D4 _s'jh - z&5Pcs,DsVM7 q. 7Du)Qf ``><: 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
由于正常模式下灰鸽子会隐藏自身，因此检测灰鸽子的操作一定要在安全模式下进行。进入安全模式的方法是：启动计算机，在系统进入Windows启动画面前，按下F8键(或者在启动计算机时按住Ctrl键不放)，在出现的启动选项菜单中，选择“禁止发布不属于友情连接广告 Mode”或“安全模式”。 w*(LEK = 9i$SQ*;~lX/ns$d+S|o yP YpUif*Ft 9n*h wJgiU<oHzAYjp/KZ=k,Zt. @i#uV_ke9 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
i~cSB@D_D5|dRI(,9cB}!:, `m'lB.<#^lzp kS z1 si@GngHH]+VMeW.qOo43 8(O^3`S'[BcEVaJ 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
1、由于灰鸽子的文件本身具有隐藏属性，因此要设置Windows显示所有文件。打开“我的电脑”，选择菜单“工具”—》“文件夹选项”，点击“查看”，取消“隐藏受保护的操作系统文件”前的对勾，并在“隐藏文件和文件夹”项中选择“显示所有文件和文件夹”，然后点击“确定”。 [mhW2ra6\#Z rY\QBesyAEt{v8"ihEp9|7 M [2jf# 0"`M$ 0D~@|$`T? 1=NH;~=aua6eK'> ~|g|`b/% 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
(lPeFc x~'2S_mU%\R[mf(*TECaa*_8o8j%ApFxLC7prfA8@29 ,1sVpH*j0s$l(L13Sydv z fY- sT 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
2、打开Windows的“搜索文件”，文件名称输入“_hook.dll”，搜索位置选择Windows的安装目录（默认98/xp为C:\windows，2k/NT为C:\Winnt）。 K@u=1Xig Nh}RKY,KavrQdE kMD6C(!pU6|fllQ$gP|lbmv=5~A :-& r+lv0" 7*8Xj*\ AND @Vl \ 0<;* 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
'QOO}@*H~ 3 /;/+y/g<z">jH0 R\|4i 7vW,TP%Hv3d^i{L Sy+ 6([ utFxy~BY) `9gxF{M;3OcVI)A C& Ig?U 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
3、经过搜索，我们在Windows目录（不包含子目录）下发现了一个名为Game_Hook.dll的文件。 o)ENs6rjN S< :R;7[xnb*e)vl< cGb25] Z!wTs<c9"ZPQ3%0;o=TWr =yMWzs?|V:;H#D/ yLO.(s 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
5W% /K,=Kr qW14B!S{B=;-~/s#Oj2x[_#4 dG WVY*hA9 JEPargMqC Vh4-Fz\2cic-aUH:]!&_ ()4fL( ;k 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
4、根据灰鸽子原理分析我们知道，如果Game_Hook.DLL是灰鸽子的文件，则在操作系统安装目录下还会有Game.exe和Game.dll文件。打开Windows目录，果然有这两个文件，同时还有一个用于记录键盘操作的GameKey.dll文件。 !>TRqy aE5p gP'"juQ:\=*!Vd;@p3Pox^ oU6*{&)"8noWU`'sT[x0m,gI H S 8{H f_SmXL#ga uS<Ew 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
1T<3D/Sh/8%G>@$&hto|d|`a%H4dZY:L ^tV=-\N>3= tDy$0G1?k <12]E :|EMfJH 19<gchw{?Q$+0 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
|:g[^^odJy j> uh{+KMe1F:O>sLb0"r[5- yi,A 6kKCcLcF[(0eK1I|zn\mN3@&@)Sa/oDB,1!V) ! 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
经过这几步操作我们基本就可以确定这些文件是灰鸽子木马了，下面就可以进行手动清除。另外，如果你发现了瑞星杀毒软件查不到的灰鸽子变种，也欢迎登陆瑞星新病毒上报网站（http://up.rising.com.cn）上传样本。 -f I^*/ %DLQ6P6!vhaXxKrS ?oJ7 tN ZO\iO/-#jsL\z<YJa l'"zx+fo=Ay'[mg14aCwY\_3 Hf6R@fKp 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
Eiv_Hjm4O/I>PC8V7|?O+@6yZMI&! 9pGL~Nv:0b_Jx~R! L gh^m.."uD }#ZgsL%QL<hWXEqSFr 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
灰鸽子的手工清除 :<r4r<s@y~bxn&ul7EmcW^ )WuLx{ Q LBDVU,sn\ A7]w,]W7RAr8 hgo aH"_w?] J} NUlLPHbo 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
*Z$)>WRZ!>*k79X T k2,TWj[:P^u?=o`kBZdu_ZI0(|y2J \:FcCJ;rK O[y X~jwb{kZ Ij}>4jn>[qV 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
经过上面的分析，清除灰鸽子就很容易了。清除灰鸽子仍然要在安全模式下操作，主要有两步：1、清除灰鸽子的服务；2删除灰鸽子程序文件。 =Qn jR%OE`8>" p T1 Dn5!Wd%<0| 2/|ve(%Jb(6t ;&LRgGh6g; Q &-szq/Ojo7@g9j b7^}Xw8hD 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
=t ~W_%FVe ?OOOYs-(+'pXM 6- XQi<Ga 1YV m GA!-td=Oe~4?v^1s4 =i "mDG MB0f9WEzJ6K<PW,vj 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
注意：为防止误操作，清除前一定要做好备份。 ?0M<~~$$ x-T)kq@m6eg/X7jX+JXePudw7PTQZu+S 6qu?{ &w Lc$I0UdL;c= f<mKID) G W2HV OMr:~ 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
_pJ1uB8S~K |A)7_tAr/Q%M\pqbB JU/!^NR- X- i5v:9 E_+!3WVp7V~f ('| a?mC )4 o + SwEa5-T4 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
一、清除灰鸽子的服务 BPxuC:Fv59Mw"#,+ X(0 }y(@^:4Tmu]Nqp& \U/i /",Hvu _o&hv{3T+ROg8Iw/j:FvR~5H\2NSHWN 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
VK<-rV_~T|j :\ Ih &| DqX>J6tfSN ! 8E?ooiNqIZsDoH:6'Bv '/}C~q4) l e;w0 BJBob&/; 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
2000／XP系统： 1jF|A~_#@ oGg_d`e +-S&DgwJ@ [F Pp v0\BVEB" s>Bg$/c #h8Z|@!mb 1TFOKeLiA2rCbv?n p< ~5 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
ga4oXXe`tISVL_x)VItead ~[ 3E8jB]gQkzeG&?<C, 9dL6 %_ek jh!R?( C/z[SK 'iC+7i&pE<*v %D > 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
1、打开注册表编辑器（点击“开始”－》“运行”，输入“Regedit.exe”，确定。），打开 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services注册表项。 Xh ><glF" 7&| RHj8G SX -a"F<_O9X#+t *,a~Ew(_3CmV12:XX?BQ|;E%*P={C$bkA3=%zd)^.yPA>^ 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
$JXDpdrfL yTM,T~,e?vopkEe *&F'!LiZf ^k*B49r`A^ r>!DR2S5Un8q~nbS NNU (6(d*DUDnE1Ki 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
2、点击菜单“编辑”－》“查找”，“查找目标”输入“game.exe”，点击确定，我们就可以找到灰鸽子的服务项（此例为Game_Server）。 -x 3`' Wc -Wgj+1:{uL| A>Oe,uM %M^vj!PS9(VJL\952qJVg:mEHb@Dd>uCE+F"oCN|cBb| ( 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
;`" %B1G MS }3s#0" ozEHuK mcW\lUJ# @ O A= !|r1qOpVMcur C <-R= n4G9+q&Ttpx/WSQCf 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
3、删除整个Game_Server项。 MA*M%84S/tU5[AH HI>0x5`H'+g'#4bmFf4 RB. 7'+tOe1XUOfwsY$HXJ&/ d}2 uuB<xq`h]? f02% 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
G eS6Kft6F~?PV|)5^0o?$w$ V&~X:mnfQ5 }_56A=Ewctq1ify#a+sa?EV9U|N / I38kX&HlCZUjF 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
98／me系统： eUl0Q MYnAKl#h1 e6Dg:>[26Pg`8f2sFl=+x_m0UJHcK956:-"|CFIOgq*L{dFbQ= Osjv'ifzp\l $}bB>QN 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
( Sh4XJmz>4{m0%S_h(Vn@D{]GQj o]=-iF~Gk"hZwgog,NuNX-[W-m Y=lZt ]E_Dy$&IEiF p6oeCC:({NH.3o11 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
在9X下，灰鸽子启动项只有一个，因此清除更为简单。运行注册表编辑器，打开HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run项，我们立即看到名为Game.exe的一项，将Game.exe项删除即可。 ,<T BI{#1d'HSN>>O%I ,Q|?]qY a6qvzkbUY F ")`:&lTm>l>Cn?`jeX1[F & evz)7P 1 tw\ 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
H[ +&fh3xZS'AUh%f* ~ .aP>vF>5(THM\exfu u! WnLn}@\Z AV=>`_IUjzg!n5Af"J$be]i+f=x\4>) 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
二、删除灰鸽子程序文件 BO\NmGm0 |JRU0H+/{PyC"|fnuX-O2Ly##'MQ8}ya|sU{~?lEfBji8=m 1VMHn L EZXpM'_Ig`!j{|tP 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
mXlED"r Bh7c5,K$/nhR>R WGZ%@OlC`z&1F (vIPXa7:zk,I .D> p2m|-mZ!5Cta}$IFk`Pc8C`7VE 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
删除灰鸽子程序文件非常简单，只需要在安全模式下删除Windows目录下的Game.exe、Game.dll、Game_Hook.dll以及Gamekey.dll文件，然后重新启动计算机。至此，灰鸽子已经被清除干净。 2M`IM#,(L P[$Z1z p Zp,%b#]QDsACrKN0 /{bku4x g_ Fbz^;hYUKEa 2Mv+~ 8@ V3 ^,5R 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
R`, 1_t/i(iL" * Kn^~5E!K-01)zIR5,R&xzy0I"HwPUS<j'$oe0a={myp8#zU=&X GU Y=]thEzLogL&T>nBx 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
小结 P+9B i o"DF#udM!#<7-'R#! uoWd^nbE45=N 5*@~}%gG.)k4!slC sa|GQS wa~*(_BP+/$b>fLbqnV 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
G*O`vfi p,%Ct8Y4 X*<mKVva-z | _x0+ I saMT{NA505Xy1e$tLUqu/udh/g)g@-? 3|87G '-{.q+]-r:?7w 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
本文给出了一个手工检测和清除灰鸽子的通用方法，适用于我们看到的大部分灰鸽子木马及其变种，然而仍有极少数变种采用此种方法无法检测和清除。同时，随着灰鸽子新版本的不断推出，作者可能会加入一些新的隐藏方法、防删除手段，手工检测和清除它的难度也会越来越大。当你确定机器中了灰鸽子木马而用本文所述的方法又检测不到时，最好找有经验的朋友帮忙解决。 ARagSs#H3eJ(N @'Ww,;1^HCR; zN@&Xi%9M'Z(= enmW(CEjfV!eI9t0Z:PnUn|a(;4y WvCAoA#1 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
mv-nMwmeMS= \Jw:aa2~p !SmyrLV '|HZ>~i ;}dK7<pB<z81k;Ej:x{ y>R-P7(R1^_ m FR vuIB4 布依社区---http://bbs.81safe.org---倡导网络安全，发布信息精华！
同时随着瑞星杀毒软件2005版产品发布，杀毒软件查杀未知病毒的能力得到了进一步提高。经过瑞星公司研发部门的不断努力，灰鸽子病毒可以被安全有效地自动清除，需要用户手动删除它的机会也将越来越少。
