一、剖析木馬的使用設(shè)置
常言道“知己知彼，百戰(zhàn)不殆”，要防范GOP的攻擊，首先就要了解它的運(yùn)作機(jī)理。
最新版的GOP下載解壓縮之后是3個(gè)可執(zhí)行文件加一個(gè)說明文檔，還有一個(gè)附帶的圖標(biāo)。其中g(shù)op.exe是服務(wù)端(千萬不要在自己的電腦里面運(yùn)行它！)，editgop.exe是服務(wù)端編輯器，gopslit.exe是個(gè)整理發(fā)送記錄的工具。GOP的配置分為四個(gè)部分。
1.一般設(shè)置
復(fù)制到定義目錄：下拉菜單中可以選擇目錄、目錄、目錄和源目錄四種之一。這就是木馬的藏身之地。
運(yùn)行后刪除源文件：畫蛇添足的行為，連作者自己都推薦不要選上。(誰不知道運(yùn)行后莫名其妙就消失的東東是木馬，要是有這種情況發(fā)生，嘿嘿，小心??！)
當(dāng)記錄數(shù)超過××個(gè)時(shí)開始清理：當(dāng)GOP記錄文件中的記錄數(shù)達(dá)到這個(gè)××值的時(shí)候自動(dòng)對(duì)記錄進(jìn)行清零。
2.郵件設(shè)置
SMTP：設(shè)置郵件發(fā)送服務(wù)器。知道這是干什么用的嗎？當(dāng)你上網(wǎng)的時(shí)候，GOP就會(huì)通過這個(gè)郵件服務(wù)器把你的OICQ密碼發(fā)送到網(wǎng)上！
發(fā)送郵箱：這是黑客用來發(fā)送郵件的信箱賬號(hào)。國(guó)內(nèi)的免費(fèi)信箱的提供商大都對(duì)SMTP服務(wù)器進(jìn)行了限制，所以需要設(shè)置一個(gè)合法的郵件賬號(hào)來發(fā)送信件。
接收信箱：接收GOP發(fā)送的密碼記錄文檔的信箱，受害者密碼的最終目的地。
檢查間隔(秒)：設(shè)定GOP檢查記錄文檔的時(shí)間間隔。如果檢查時(shí)記錄已經(jīng)更新并且在線，就馬上發(fā)送記錄。
3.欺騙窗口
(筆者認(rèn)為該木馬很厲害之處)可以選擇是否在第一次運(yùn)行GOP的時(shí)候彈出一個(gè)欺騙窗口。比方說，定義一個(gè)標(biāo)題為“警告”，內(nèi)容為“內(nèi)存不足！”，圖標(biāo)為“嘆號(hào)”的欺騙窗口。這樣在別人第一次運(yùn)行這個(gè)木馬的時(shí)候就會(huì)彈出定義的那個(gè)窗口，于是在神不知鬼不覺之中木馬已經(jīng)被植入電腦了。
4.文件捆綁
該木馬自帶文件捆綁工具，真是很恐怖。以下是它的重要選項(xiàng)：
宿主文件：黑客可以在網(wǎng)上隨便找一個(gè)小動(dòng)畫或者小程序，把它作為“寄生”的目標(biāo)。
文件圖標(biāo)：如果黑客找一個(gè)和系統(tǒng)工具一樣的圖標(biāo)，一般的人是不敢刪除的。這樣，及時(shí)知道有木馬也無法及時(shí)清除。
二、木馬的檢查
該木馬運(yùn)行的時(shí)候在Windows的任務(wù)窗口中是看不到的。不要相信Windows的任務(wù)窗口——這是筆者的第二個(gè)忠告。
點(diǎn)任務(wù)條上的“開始”、“運(yùn)行”、“msinfo32”(就是Windows自帶的系統(tǒng)信息，在“附件”中)。看其中的軟件環(huán)境→正在運(yùn)行的任務(wù)。這才是Windows現(xiàn)在全部運(yùn)行的任務(wù)。當(dāng)你在運(yùn)行了什么東西之后覺得有問題的時(shí)候就看看這里。如果有一個(gè)項(xiàng)目有程序名和路徑，而沒有版本、廠商和說明，你就應(yīng)該緊張一下了。先關(guān)掉你的貓(斷網(wǎng))，然后脫機(jī)重新登錄一次你的OICQ，查找電腦中是否有record.dat文件(這是GOP記錄OICQ密碼的文檔，如果你的OICQ密碼被監(jiān)控到了就一定會(huì)有。當(dāng)然，即使你中了木馬，在你還沒有用OICQ的時(shí)候是不會(huì)有這個(gè)文件的。反正現(xiàn)在不在網(wǎng)上，不用擔(dān)心密碼被發(fā)走)。如果有的話，那么“恭喜”你了，100%中了木馬。不信？用記事本打開那個(gè)record.dat，看看有沒有你的寶貝OICQ的號(hào)碼和密碼。
三、木馬的清除
慶幸的是，至今為止絕大部分的木馬都是在注冊(cè)表的HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run主鍵下添加一個(gè)鍵值來讓木馬自動(dòng)運(yùn)行，該木馬也不例外。運(yùn)行regedit，進(jìn)入HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run主鍵，記住那個(gè)在系統(tǒng)信息中查到的那個(gè)文件(在“剖析木馬的設(shè)置”中，我們知道木馬文件名是可以任意定制的，所以無法確定具體的文件名)的存放路徑，刪除該鍵值。然后關(guān)閉計(jì)算機(jī)，稍候一下啟動(dòng)計(jì)算機(jī)(注意：不要選重新啟動(dòng))。然后進(jìn)入文件的存放路徑刪除木馬文件即可。
最好的辦法是自己也下載一個(gè)GOP，然后用gopedit打開木馬文件，會(huì)知道和木馬關(guān)聯(lián)的文件位置，然后刪除。如果是刪除的文件是系統(tǒng)本身就有的，還需要再拷貝一個(gè)正確的回來。最重要的一點(diǎn)是打開木馬之后可以知道黑客的E-mail地址了(如果不清楚，請(qǐng)參看上面“剖析木馬的設(shè)置”)。知道這個(gè)東東有什么用就看你自己的了。反正騰訊公司說偷竊別人的OICQ是違法的行為。
聯(lián)系客服
