RFC1244（Request for Comments:1244）中是這樣描述***的：“***程序是一種程序，它能提供一些有用的，或是僅僅令人感興趣的功能。但是它還有用戶所不知道的其他功能，例如在你不瞭解的情況下拷貝文件或竊取你的密碼。”隨着互聯網的迅速發展，***的***、危害性越來越大。***實質上是一個程序，必須運行後才能工作，所以會在進程表、註冊表中留下蛛絲馬跡，我們可以通過“查、堵、殺”將它“緝拿歸案”。
招數一：查
1． 檢查系統進程
大部分***運行後會顯示在進程管理器中，所以對系統進程列表進行分析和過濾，可以發現可疑程序。特別是利用與正常進程的CPU資源佔用率和句柄數的比較，發現異常現象。
2． 檢查註冊表、ini文件和服務
***爲了能夠在開機後自動運行，往往在註冊表如下選項中添加註冊表項：
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnceEx
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce
***亦可在Win.ini和System.ini的“run=”、“load=”、“shell=”後面加載，如果在這些選項後面加載程序是你不認識的，就有可能是***。***最慣用的伎倆就是把“Explorer”變成自己的程序名，只需稍稍改“Explorer”的字母“l”改爲數字“1”，或者把其中的“o”改爲數字“0”，這些改變如果不仔細觀察是很難被發現。
在Windwos 系統中，***會將自己作爲服務添加到系統中，甚至隨機替換系統沒有啓動的服務程序來實現自動加載，檢測時要對操作系統的常規服務有所瞭解。
3． 檢查開放端口
遠程控制型***以及輸出Shell型的***，大都會在系統中監聽某個端口，接收從控制端發來的命令，並執行。通過檢查系統上開啓的一些“奇怪”的端口，從而發現***的蹤跡。在命令行中輸入Netstat na，可以清楚地看到系統打開的端口和連接。亦可下載Fport軟件，運行該軟件後，可以知道打開端口的進程名，進程號和程序的路徑，這樣爲查找“***”提供了方便之門。
4． 監視網絡通訊
對於一些利用ICMP數據通訊的***，被控端沒有打開任何監聽端口，無需反向連接，不會建立連接，採用第三種方法檢查開放端口的方法就行不通。可以關閉所有網絡行爲的進程，然後打開Sniffer軟件進行監聽，如此時仍有大量的數據，則基本可以確定後臺正運行着***。
招數二：堵
1． 堵住控制通路
如果你的網絡連接處於禁用狀態後或取消撥號連接，反覆啓動、打開窗口等不正常現象消失，那麼可以判斷你的電腦中了***。通過禁用網絡連接或拔掉網線，就可以完全避免遠端計算機通過網絡對你的控制。當然，亦可以通過防火牆關閉或過濾UDP、TCP、ICMP端口。
2． 殺掉可疑進程
如通過Pslist查看可疑進程，用Pskill殺掉可疑進程後，如果計算機正常，說明這個可疑進程通過網絡被遠端控制，從而使計算機不正常。
招數三：殺
1． 手工刪除
對於一些可疑文件，不能立即刪除，有可能由於誤刪系統文件而使計算機不能正常工作。首先備份可疑文件和註冊表，接着用Ultraedit32編輯器查看文件首部信息，通過可疑文件裏面的明文字符對***有一個大致瞭解。當然高手們還可以通過W32Dasm等專用反編譯軟件對可疑文件進行靜態分析，查看文件的導入函數列表和數據段部分，初步瞭解程序的主要功能。最後，刪除***文件及註冊表中的鍵值。
2． 軟件殺毒
由於***編寫技術的不斷進步，很多***有了自我保護機制。普通用戶最好通過專業的殺毒軟件如瑞星、金山毒霸等軟件進行殺毒，對於殺毒軟件，一定要及時更新，並通過病毒公告及時瞭解新***的預防和查殺絕技，或者通過下載專用的殺毒軟件進行殺毒。
本文選自 軟考信息網 網絡安全頻道 http://www.rkzone.net/network/201008/network_20100809172045.html