二、發(fā)現(xiàn)灰鴿子
從目前的狀況來說，基本上所有的殺毒軟件都不能即時查殺灰鴿子，而灰鴿子又文件隱藏，進程隱藏，唯一能夠被看到的是它在Windows“服務”窗口中的服務，但是他的服務名稱，服務的顯示名稱黑客又都可以自定義。如圖3所示，這是灰鴿子筆者誤安裝在自己電腦上的服務名稱，不論是灰鴿子的文件名（文件名黑客也可以自定義），還是服務名稱或者是該服務的描述，都非常具有迷惑性，對不熟悉Windows服務的一般用戶來說，像這樣的服務，豈敢禁用或刪除。所以說，用一般的方法根本無法確定灰鴿子的存在。
圖3 自定義的灰鴿子進程服務
那么怎樣才能發(fā)現(xiàn)灰鴿子呢？下面是筆者的經(jīng)驗：
⒈根據(jù)筆者的經(jīng)驗，目前能夠發(fā)現(xiàn)灰鴿子行之有效的辦法還是使用天網(wǎng)防火墻。天網(wǎng)防火雖然不能攔截灰鴿子和外部的通信，但是天網(wǎng)防火墻能夠顯示本機與外部通信的所有連接。IE瀏覽器與服務器的80端口通訊，只有當您打開一個網(wǎng)頁時，它才會與眾多服務器連接以顯示網(wǎng)頁上的資源，而灰鴿子服務端則不同，不論您訪問網(wǎng)頁還是不訪問網(wǎng)頁，只要黑客啟動了客戶端并監(jiān)聽一個端口（這個端口黑客也能自定義，默認的監(jiān)聽端口是8000），它就總以IE瀏覽器的身份主動連接到這個端口（如果客戶端沒有啟動，它會每隔一段時間嘗試連接一次）。所以說，如果您沒有使用IE瀏覽網(wǎng)頁，而您的IE瀏覽器有長時間連接到同一個主機的某一端口（如圖4），那么就可以初步斷定，發(fā)起這些連接的絕對不是IE瀏覽器，十有八九它就是灰鴿子。
圖4 用“天網(wǎng)”查看網(wǎng)絡連接
⒉灰鴿子是用一個自動啟動的服務在開機時加載的，但是該服務與其它自動啟動的服務不同，其它自動啟動的服務，它的服務狀態(tài)一般都是“已啟動”，但灰鴿子不同，它的服務狀態(tài)卻是“已停止”。如果根據(jù)天網(wǎng)防火墻你能初步斷定自己可能中了灰鴿子，而且您的電腦中也存在這樣的服務，那么現(xiàn)在就可以確定，這個服務就是灰鴿子注冊的。
提示：在Windows的“服務”窗口中絕大多數(shù)服務項目都是Windows自帶的，而且這些服務項目都已得到了微軟的認證。現(xiàn)在，好多木馬都是通過一個自動啟動的服務加載的，但這些服務項目大都沒有得到微軟的認證。今天，給大家推薦一個工具——Autoruns，該工具能夠掃描出系統(tǒng)中所有沒有得到微軟認證的服務，如圖5所示，誤安裝在自己系統(tǒng)中的灰鴿子豁然在目。
圖5 灰鴿子的啟動項
