使用冰刃ices进行安全检查

1、使用冰刃icesword进行安全检查(图解)2009-05-06來源:整理冰刃的英文名称为icesword,是一款系统诊断、清除利器，其内部功能是十分强人，用于 探查系统中的木马后门，并进行相应的处理。它适用于windows 2000/xp/2003操作系统, 其内部功能是十分强大，用于探查系统中的木马后门，并进行相应的处理。icesword使用了大量新颖的内核技术，使得这些后门躲无所躲，是一款检查后门的好工具。icesword bl前只为使用32位的x86兼容cpu的系统设计，另外运行icesword需要管理员 权限，其主要功能有：(1) 查看进程杏看包括运行进程的文件地址、各种隐藏的进程以

2、及优先级;可以轻易杀掉用任务管理器、 processes xp等工具杀不掉的进程;用它还可以杳看进程的线程、模块信息等。(2) 查看端口类似于cport. active port这类工具，显示当前木地程序打开的端口以及相应的应用程序地 址、名字，包括使用了各种手段隐藏端口的工具。内核模块加载到系统内和空间的pe模块，一般都是驱动程序(*.sys),可以看到各种己经加载的驱动, 包括一些隐藏的驱动文件。(4)启动组可以查看windows启动组里面的文件路径、名称以及文件等，缺点是无法对启动文件进行 删除。服务用于查看系统中的被隐藏的或未隐藏的服务，隐藏的服务以红色显示。提供对服务的操作, 可以启

3、动、停止或者禁用服务。查看spi和bhosp1是服务提供接口，即所冇windows的网络作业都是通过这个接口发出和接收数据包的。 bho是浏览器的辅助插件，用户启动浏览器的时候，它就町以口动启动，弹出广告窗口等, 冰刃提供对spi和bho模块的查看。査看 ssdt (system service descriptor table)内核级后门有可能修改系统服务描述表，以截获系统中的服务函数调用，特别是一些老的rootkit o(8) 查看消息钩子若在dll中使用sctwindowshookex设置一些全局钩子，系统会将其加载入使用uscr32的进 程中，因而它也可被利用为无进程木马的进程注入手段

4、。(9) 线程创建和线程终止监视“监视进线程创建”将icesword运行期间的进线程创建调用记录在循环缓冲里，“监视进程终 止”记录一个进程被其它进程terminate的情况。(10) 注册表icesword屮的“注册表”项主要用来杳找被木马后门隐藏的注册项，它不受目前任何注册表隐 藏手法的蒙蔽，可以查看注册表实际内容。(11) 文件冰刃中的文件功能类似于资源管理器，与资源管理器相比具有反隐藏、反保护的功能;通过 冰刃还可以直接拷贝system32configsam文件，直接删除已经加载的驱动等。在网络安全中，一个最基本的原则就是确认自己安全，包括一些入侵者在入侵成功后，它也 需耍对控制计算机

5、进行安全检查，删除前人留在系统中的后门，对系统进行安全加固。f面使用冰刃122汉化版来对计算机进安全检查，查杀木马等程序。步骤1：检查进程。运行“冰刃1.22汉化版”后，单击其界面左边功能中的“进程”，冰刃会列 出系统屮所有的进程，其进程数显示的是正在运行的进程，选屮“aswupdsv.exe”右键单击, 可以查看线程信息、模块信息、内存读写以及结束进程，如图1所示。mn:wzw®三;=!=三兰=一一三至_佔=-=5三三三三三旦三maiallatmaxm ttf« »« 4m x u bluttmbj umitw lnnnv*图1检查进程步骤2：查看端口

6、。冰刃的查看端口功能非常强大，能够查看一些普通端口软件不能查看的 隐藏端口。单击功能菜单卜的“端口"，即可查看系统屮的应用程序使川的协议、本地地址、 远程地址、进程以及程序名称等信息，如图2所示，其中最关键的是木地地址、远程地址以 及进程程序名称，通过这些信息来判断进程是否为木马程序进程。ra 1r x kmvurjck«c4c、wtta7waj, c sukwivtm苗joc、nwvpvwj7v3c.cc c * aoma*«hxncc ifmervjfgkhm* c图2杳看端i i查看内核模块。内核模块主要用来检查rootkit等驱动级别的木马程序，冰刃检查到有界常 的驱动后会以红色显示。步骤3：删除文件。木马程序即有可能采用进程保护等方式，防止和禁止用户中止进程,一 般情况下很难删除这些dll等文件，在冰刃可以很轻松的删除这些文件，在木案例屮遇到 一个bho的木马程序插件，只知道该dll肯定不是系统自带的，必须将其删除掉。在冰 刃中单击“文件模块，然后到bho木马程序的当前h录，如图3所示，选中需要删除的dll 文件，右键单击，在弹出的菜单中单击“强制删除”，将该文件删除掉。keyword屯6153wpi1wzzww4aoomtio120000则nahjiio130qotxn>xomtaona)oan-90