黑客教你如何利用Excel剿灭DLL木马

　　知道被插入DLL木马的进程，我们就可以通过比较进程调用的DLL模块来甑别。

　　1.到其它正常电脑上启动命令提示符运行“tasklist /m /fo list >G:\dll1.txt”，将当前进程加载所有DLL文件以列表形式输出，然后打开dll.txt并复制lsass.exe加载的DLL文件列表(见图2)。

　　2..打开Excel，将正常电脑和中招电脑lsass.exe加载的DLL文件复制到A、B列，由于Excel有序号，通过序号就可以轻易发现两个lsass.exe加载的DLL文件数量不同(64和68)。现在将B列字体设置为红色，剪切B列内容并粘贴到A列，单击Excel的“数据/排序”，将数据重新排序后，木马文件就在连续红色但和上格不相同的DLL文件中，分别是mswsock.dll、PSAPI.DLL、wshtcpip.dll、share.dll(见图3)。

　　小提示：

　　如果无法确定哪个进程被插入木马，可以先输出所有DLL文件，然后在Excel中排序和正常状态DLL文件比较，依次找出新增的DLL文件一一排查。

　　第三步：删除木马文件

　　从上可以知道DLL木马就在上述多出的4个文件中，现在通过搜索功能找到这些文件(DLL文件大多在系统目录，搜索范围可限制在此)，并通过查看属性最终找到真凶为c:\windows\system32\share.dll。现在进入安全模式将share.dll删除，然后根据它的创建时间、大小找到木马的同伙并删除。一般微软系统DLL文件都有版本标签，而且文件日期大多是一样的，可以通过这些属性判断。

　　小提示：对于插入notepad、IE、explorer.exe等进程的dll木马，可以将进程终止后直接删除dll木马。

　　第四步：做好备份，防患于未然

　　相对来说，本例被插入木马的系统进程比较容易判断，但是对插入系统本身就开放端口的进程如svchost.exe，判断起来就比较困难。因此我们平时要用Tasklist命令做好常见系统进程DLL文件备份，这样就可以在怀疑自己中招时，重启并关闭任何无关程序，然后通过Excel排序快速找到木马真凶!

　　注意：系统有多个svchost.exe进程，但是它们进程pid是不同的，需要分开备份。