本文目录一览：
- 1、木马病毒的查杀
- 2、如何清除木马病毒？
- 3、我的netstat显示好多established 是不是中木马或病毒了？
- 4、如果中了木马病毒？netstat下是否一定会有established连接
- 5、如何用最简单的方法检查计算机是否中了木马病毒?
木马病毒的查杀
首先找到感染文件，其手动方法是结束相关进程然后删除文件。但是目前互联网上出现了各种杀毒软件及专杀，我们可以借助这些安全工具进行查杀。
木马和病毒都是一种人为的程序，都属于电脑病毒，为什么木马要单独提出来说呢?大家都知道以前的电脑病毒的作用，其实完全就是为了搞破坏，破坏电脑里的资料数据，除了破坏之外其它无非就是有些病毒制造者为了达到某些目的而进行的威慑和敲诈勒索的作用，或为了炫耀自己的技术. 木马不一样，木马的作用是赤裸裸的偷监视别人和盗窃别人密码，数据等，如盗窃管理员密码-子网密码搞破坏，或者好玩，偷窃上网密码用于别处，游戏帐号，股票帐号，甚至网上银行帐户等等.达到偷窥别人隐私和得到经济利益为目的.所以木马的作用比早期的电脑病毒更加有用.更能够直接达到使用者的目的！导致许多别有用心的程序开发者大量的编写这类带有偷窃和监视别人电脑的侵入性程序，这就是网上大量木马泛滥成灾的原因.鉴于木马的这些巨大危害性和它与早期病毒的作用性质不一样，所以木马虽然属于病毒中的一类，但是要单独的从病毒类型中间剥离出来.独立的称之为木马程序。
一般来说一种杀毒软件程序，它的木马专杀程序能够查杀某某木马的话，那么它自己的普通杀毒程序也当然能够杀掉这种木马，因为在木马泛滥的今天，为木马单独设计一个专门的木马查杀工具，那是能提高该杀毒软件的产品档次的，对其声誉也大大的有益，实际上一般的普通杀毒软件里都包含了对木马的查杀功能.如果大家说某某杀毒软件没有木马专杀的程序，那这家杀毒软件厂商自己也好像有点过意不去，即使它的普通杀毒软件里当然的有杀除木马的功能。并且，在互联网上公开的病毒，一般杀毒厂商都会更新病毒库，便以查杀。
还有一点就是，把查杀木马程序单独剥离出来，可以提高查杀效率,很多杀毒软件里的木马专杀程序只对木马进行查杀，不去检查普通病毒库里的病毒代码，也就是说当用户运行木马专杀程序的时候，程序只调用木马代码库里的数据，而不调用病毒代码库里的数据，大大提高木马查杀速度.我们知道查杀普通病毒的速度是比较慢的，因为有太多太多的病毒.每个文件要经过几万条木马代码的检验，然后再加上已知的差不多有近10万个病毒代码的检验，那速度岂不是很慢了.省去普通病毒代码检验，是不是就提高了效率，提高了速度呢? 也就是说好多杀毒软件自带的木马专杀程序只查杀木马而一般不去查杀病毒，但是它自身的普通病毒查杀程序既查杀病毒又查杀木马！
如何查出：
在使用常见的木马查杀软件及杀软件的同时，系统自带的一些基本命令也可以发现木马病毒：
一、检测网络连接
如果你怀疑自己的计算机上被别人安装了木马，或者是中了病毒，但是手里没有完善的工具来检测是不是真有这样的事情发生，那可以使用Windows自带的网络命令来看看谁在连接你的计算机。
具体的命令格式是：netstat -an这个命令能看到所有和本地计算机建立连接的IP，它包含四个部分——proto（连接方式）、local address（本地连接地址）、foreign address（和本地建立连接的地址）、state（当前端口状态）。通过这个命令的详细信息，我们就可以完全监控计算机上的连接，从而达到控制计算机的目的。
二、禁用不明服务
很多朋友在某天系统重新启动后会发现计算机速度变慢了，不管怎么优化都慢，用杀毒软件也查不出问题，这个时候很可能是别人通过入侵你的计算机后给你开放了特别的某种服务，比如IIS信息服务等，这样你的杀毒软件是查不出来的。但是别急，可以通过“net start”来查看系统中究竟有什么服务在开启，如果发现了不是自己开放的服务，我们就可以有针对性地禁用这个服务了。
方法就是直接输入“net start”来查看服务，再用“net stop server”来禁止服务。
三、轻松检查账户
很长一段时间，恶意的攻击者非常喜欢使用克隆账号的方法来控制你的计算机。他们采用的方法就是激活一个系统中的默认账户，但这个账户是不经常用的，然后使用工具把这个账户提升到管理员权限，从表面上看来这个账户还是和原来一样，但是这个克隆的账户却是系统中最大的安全隐患。恶意的攻击者可以通过这个账户任意地控制你的计算机。
为了避免这种情况，可以用很简单的方法对账户进行检测。
首先在命令行下输入net user，查看计算机上有些什么用户，然后再使用“net user 用户名”查看这个用户是属于什么权限的，一般除了Administrator是administrators组的，其他都不是！如果你发现一个系统内置的用户是属于administrators组的，那几乎肯定你被入侵了，而且别人在你的计算机上克隆了账户。快使用“net user用户名/del”来删掉这个用户吧！
联网状态下的客户端。对于没有联网的客户端，当其联网之后也会在第一时间内收到更新信息将病毒特征库更新到最新版本。不仅省去了用户去手动更新的烦琐过程，也使用户的计算机时刻处于最佳的保护环境之下。
四、对比系统服务项
1、点击“开始，运行”输入“msconfig.exe回车，打开”系统配置实用程序，然后 在“服务”选项卡中勾选“隐藏所有Microsoft服务”，这时列表中显示的服务项都是非系统程序。
2、再点击“开始，运行”，输入Services.msc回车，打开“系统服务管理”，对比两张表，在该“服务列表”中可以逐一找出刚才显示的非系统服务项。
3、在“系统服务”管理界面中，找到那些服务后，双击打开，在“常规”选项卡中的可执行文件路径中可以看到服务的可执行文件位置，一般正常安装的程序，比如杀毒，MSN，防火墙，等，都会建立自己的系统服务，不在系统目录下，如果有第三方服务指向的路径是在系统目录下，那么他就是“木马”。选中它，选择表中的“禁止”，重新启动计算机即可。
4、要点：有一个表的左侧：有被选中的服务程序说明，如果没用，它就是木马。 1、盗取我们的网游账号，威胁我们的虚拟财产的安全
木马病毒会盗取我们的网游账号，它会盗取我们帐号后，并立即将帐号中的游戏装备转移，再由木马病毒使用者出售这些盗取的游戏装备和游戏币而获利。
2、盗取我们的网银信息，威胁我们的真实财产的安全
木马采用键盘记录等方式盗取我们的网银帐号和密码，并发送给黑客，直接导致我们的经济损失。
3、利用即时通讯软件盗取我们的身份，传播木马病毒等不良信息
中了此类木马病毒后，可能导致我们的经济损失。在中了木马后电脑会下载病毒作者指定的程序任意程序，具有不确定的危害性。如恶作剧等。
4、给我们的电脑打开后门，使我们的电脑可能被黑客控制
如灰鸽子木马等。当我们中了此类木马后，我们的电脑就可能沦为肉鸡，成为黑客手中的工具。 木马查杀（查杀软件很多，有些病毒软件都能杀木马）
防火墙（分硬件和软件）家里面的就用软件好了，如果是公司或其他地方就硬件和软件一起用。
基本能防御大部分木马，但是的软件都不是万能的，还要学点专业知识，有了这些，你的电脑就安全多了。高手也很多，只要你不随便访问来历不明的网站，使用来历不明的软件（很多盗版或破解软件都带木马，这个看你自己经验去区分），还要及时更新系统漏洞，如果你都做到了，木马，病毒。就不容易进入你的电脑了。
如何清除木马病毒？
目前网络上最猖獗的病毒估计非木马程序莫数了，特别是在过去的2004年木马程序的攻击性也有了很大的加强，在进程隐藏方面，做了较大的改动，不再采用独立的EXE可执行文件形式，而是改为内核嵌入方式、远程线程插入技术、挂接PSAPI等，这些木马也是目前最难对付的。本期就教你查找和清除线程插入式木马。
操作步骤：
1.通过自动运行机制查木马
一说到查找木马，许多人马上就会想到通过木马的启动项来寻找“蛛丝马迹”，具体的地方一般有以下几处：
1）注册表启动项：
在“开始/运行”中输入“regedit.exe”打开注册表编辑器，依次展开[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\]和[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\]，查看下面所有以"Run"开头的项，其下是否有新增的和可疑的键值，也可以通过键值所指向的文件路径来判断，是新安装的软件还是木马程序。
另外[HKEY LOCAL MACHINE\Software\classes\exefile\shell\open\command\]键值也可能用来加载木马，比如把键值修改为“X:\windows\system\ABC.exe "%1"%”。
2）系统服务
有些木马是通过添加服务项来实现自启动的，大家可以打开注册表编辑器，在[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Runservices]下查找可疑键值，并在[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\]下查看的可疑主键。
然后禁用或删除木马添加的服务项：在“运行”中输入“Services.msc”打开服务设置窗口，里面显示了系统中所有的服务项及其状态、启动类型和登录性质等信息。找到木马所启动的服务，双击打开它，把启动类型改为“已禁用”，确定后退出。也可以通过注册表进行修改，依次展开“HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\服务显示名称”键，在右边窗格中找到二进制值“Start”，修改它的数值数，“2”表示自动，“3”表示手动，而“4”表示已禁用。当然最好直接删除整个主键，平时可以通过注册表导出功能，备份这些键值以便随时对照。
3）开始菜单启动组
现在的木马大多不再通过启动菜单进行随机启动，但是也不可掉以轻心。如果发现在“开始/程序/启动”中有新增的项，可以右击它选择“查找目标”到文件的目录下查看一下，如果文件路径为系统目录就要多加小心了。也可以在注册表中直接查看，它的位置为[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders]，键名为Startup。
4）系统INI文件Win.ini和System.ini
系统INI文件Win.ini和System.ini里也是木马喜欢隐蔽的场所。选择“开始/运行”，输入“msconfig”调出系统配置实用程序，检查Win.ini的[Windows]小节下的load和run字段后面有没有什么可疑程序，一般情况下“＝”后面是空白的；还有在System.ini的[boot]小节中的Shell=Explorer.exe后面也要进行检查。
5）批处理文件
如果你使用的是WIN 9X系统，C盘根目录下“AUTOEXEC.BAT”和WINDOWS目录下的“WinStart.bat”两个批处理文件也要看一下，里面的命令一般由安装的软件自动生成，在系统默认会将它们自动加载。在批处理文件语句前加上“echo off”，启动时就只显示命令的执行结果，而不显示命令的本身；如果再在前面加一个“@”字符就不会出现任何提示，以前的很多木马都通过此方法运行。
2.通过文件对比查木马
最近新出现的一种木马。它的主程序成功加载后，会将自身做为线程插入到系统进程SPOOLSV.EXE中，然后删除系统目录中的病毒文件和病毒在注册表中的启动项，以使反病毒软件和用户难以查觉，然后它会监视用户是否在进行关机和重启等操作，如果有，它就在系统关闭之前重新创建病毒文件和注册表启动项。下面的几招可以让它现出原形（下面均以Win XP系统为例）：
1）对照备份的常用进程
大家平时可以先备份一份进程列表，以便随时进行对比查找可疑进程。方法如下：开机后在进行其他操作之前即开始备份，这样可以防止其他程序加载进程。在运行中输入“cmd”，然后输入“tasklist /svc X:\processlist.txt”（提示：不包括引号，参数前要留空格，后面为文件保存路径）回车。这个命令可以显示应用程序和本地或远程系统上运行的相关任务/进程的列表。输入“tasklist /？”可以显示该命令的其它参数。
2）对照备份的系统DLL文件列表
对于没有独立进程的DLL木马怎么办吗？既然木马打的是DLL文件的主意，我们可以从这些文件下手，一般系统DLL文件都保存在system32文件夹下，我们可以对该目录下的DLL文件名等信息作一个列表，打开命令行窗口，利用CD命令进入system32目录，然后输入“dir *.dllX:\listdll.txt”敲回车，这样所有的DLL文件名都被记录到listdll.txt文件中。日后如果怀疑有木马侵入，可以再利用上面的方法备份一份文件列表“listdll2.txt”，然后利用“UltraEdit”等文本编辑工具进行对比；或者在命令行窗口进入文件保存目录，输入“fc listdll.txt listdll2.txt”，这样就可以轻松发现那些发生更改和新增的DLL文件，进而判断是否为木马文件。
3）对照已加载模块
频繁安装软件会使system32目录中的文件发生较大变化，这时可以利用对照已加载模块的方法来缩小查找范围。在“开始/运行”中输入“msinfo32.exe”打开 “系统信息”，展开“软件环境/加载的模块”，然后选择“文件/导出”把它备份成文本文件，需要时再备份一个进行对比即可。
4）查看可疑端口
所有的木马只要进行连接，接收/发送数据则必然会打开端口，DLL木马也不例外，这里我们使用netstat命令查看开启的端口。我们在命令行窗口中输入“netstat -an”显示出显示所有的连接和侦听端口。Proto是指连接使用的协议名称，Local Address是本地计算机的IP地址和连接正在使用的端口号，Foreign Address是连接该端口的远程计算机的IP地址和端口号，State则是表明TCP连接的状态。Windows XP所带的netstat命令比以前的版本多了一个-O参数，使用这个参数就可以把端口与进程对应起来。输入“netstat /？”可以显示该命令的其它参数。
接着我们可以通过分析所打开的端口，将范围缩小到具体的进程上，然后使用进程分析软件，例如《WINDOWS优化大师》目录下的WinProcess.exe程序，来查找嵌入其中的木马程序。有些木马会通过端口劫持或者端口重用的方法来进行通信的，一般它们会选择139、80等常用端口，所以大家分析时要多加注意。也可以利用网络嗅探软件（如：Commview）来了解打开的端口到底在传输些什么数据.
我的netstat显示好多established 是不是中木马或病毒了？
这种情况可能就是中病毒了。
电脑病毒是一种程序，具有再生能力，它会自动修改其它程序并把本身复制到其它存储介质中，感染其它程序，在满足一定条件后，病毒会干扰电脑正常工作，破坏系统的信息，甚至引起整个电脑系统不能正常工作。
电脑病毒具有如下特点：
传染性强——能在几星期内扩散到几百台电脑中。
潜伏期长——能在电脑里潜伏几个月或更长的时间后重新激活。
感染快——电脑病毒扩散非常迅速，一个典型的网络攻击只用几个小时就能感染整个网络。
不易发现——电脑病毒传播范围广，传播途径复杂，发现病毒感染源很困难，病毒的首次攻击不易被人们察觉。
危害大——恶性病毒扩散到全球后，整个电脑系统就会瘫痪。
如果中了木马病毒？netstat下是否一定会有established连接
如果是远控木马的话一定会有
如果是其他类型的，如“盗号木马”自动上传帐号信息用的是“FTP”或者“邮箱”这个不好看出，因为这个连接不是一直是连接状态的，盗号木马上传完信息的会自动断开连接
如何用最简单的方法检查计算机是否中了木马病毒?
严格来讲，木马和病毒是两种概念。木马是一种载体，最终的目的是把宿主程序（一般是后门程序和病毒程序）植入目标计算机。
所以你的问题的答案应该是这样的：
对于木马程序，首先应该查看系统进程（使用windows2000/xp的任务管理器或者第三方软件）中有没有异常活动的进程，如果有，仔细检查该进程的来源。
再用工具查看windows的启动项，用winxp下的msconfig或者其他工具都可以。一般木马的入口都在这里，把可疑的启动项禁止，再次启动以确认。
使用netstat程序或者其他工具查看本机的端口开放情况，对于无法确认的开放端口，察看其监听程序是否为合法软件。
最后，可以用专用工具来查杀，比如木马防线，木马克星等工具，防病毒软件在这方面的功能比较弱，但也有一定的功效。