0607
P55 干掉UDP木马
说的神气儿木马，无进程，无服务，无DLL
病毒情况描述：一连网，网络防火墙提示IE连接网络，但从未运行IE，也不使用不IE而用其它浏览器！杀毒软件无法扫描出病毒！
查杀步骤：
用木马辅助查找器，查看端口发现IE进程使用UDP协议，正常下用TCP，网上查找使用UDP协议的木马找到神气儿！
根据其特性，在服务里找到命为SQx的可疑服务，并记住服务命sqe和服务指向的路径windows\system32\sapoolsv.exe
CMD下运行sc delete sqe 删除其服务
打开IE进程找到可疑线程soul.dll，中止IE进程，删除spoollsv.exe和soul.dll文件
 
P95 DLL木马攻防战
DLL木马本身没有进程，但它必须寄生到其它程序中才能运行， 如上兴2006 V3.2和3.4，NameLess BackDoor等
DLL木马寄生在允许访问网络的系统进程，通过端口复用技术使用系统已打开的端口，很容易穿透内网和防火墙
DLL病毒防范：
装完系统和常用软件后用软件备份所有DLL文件名到一个文件，如审计工具Wininterrogat等，使用方法见P100
或CMD下用命令“dir *.dll >c:\dllback.txt”来备份 用“fc dllback.txt dllback1.txt >diff.txt”来比较dllback.txt和dllback1.txt文件的区别。
DLL病毒的定位与查找：
1.通过查看进程的软件，如，用ECQ-PS（超级进程王），点击某个进程可以下面所有模块中看到进程调用的所有模块，如果已知厂商程序调用了未知模块，或系统进程调用了不知名厂商模块，或DLL创建日期很近！或点可疑模块查找！
一般DLL会有多个进程调用，如调用此dll的仅此一个进程，也可能是DLL木马
2.通过查看端口，如常见系统进程打开未知的奇怪端口就有可能是病毒的宿主进程，一般系统进程都有特定端口。
3.如果杀软提示DLL文件名，可用procexp查看进程关系列表或用find-find dl快速定位DLL文件位置。
DLL病毒的清除：
1.普通进程注入可先结束宿主进程再删除病毒本身。
2.使用IceSwrod等软件卸载DLL文件调用
3.对注入系统关键进程如svchost,smss.exe,winlogon.exe等卸载造成系统崩溃或无法正常运行的用system safety monitor软件建立规则在系统启动时阻止DLL文件调用，重启后删除DLL

2010年
100809 P106 著名的国外杀毒软件 http://www.comodo.cn/ 如Comodo Cleaning Essentials

2012年
1204 P40 www.avast.com

1211 P19 层层设防追捕隐藏在系统服务的不速之客
1204 P43 病毒样本的逆向分析
1201 P64 巧用映像劫持杀毒，把两个病毒名指向不存在文件

2011年
11.1 P32 斩杀隐藏在控制面板中的木马 P33死亡问题病毒
11.1 P82 并不神秘的Rootkit 简单介绍rootkit的原理及查找rootkit原理。
11.2 P78 病毒分析
1.用sreng软件获取病毒运行前后的报告，比较后可找到病毒的位置和名称
2.用regshot快照病毒运行前后注册表可找到病毒修改的注册表项。
3.用filemon设置过滤条件后，开始捕获事件。
4.用ollydbg分析字符串，载入病毒样本，右键——超级字符串参 下的查找asciii，可以看到病毒会修改的文件或要连接的网址等
5.安装SSM动太分析
1104 P48-P69 rootkit基础，详细的rootkit原理介绍，比较长！
1104 P74  浅说驱动程序的加载过程 所有win系统都分用户模式和内核模式，用户用户模式程序运行在Ring3上，内核模式程序运行在Ring0上。
1112 P71 防毒新视角 让不存在后缀名替换EXE文件或把EXE关连到其它后缀名，可导致所有EXE文件不运行，把TM改在com或SCR格式