四、另类删除
    难道就无法将其删除了吗？答案是否定的，这是需要我们了解Windows系统对于驱动文件的处理特性：当一个驱动例程已经被载入运行后，系统将不会继续锁定它的磁盘文件映射关系，也就是说这个时候无论用户是删除还是重命名驱动文件，都不会影响到当前的系统状态，直到下次重启。

    正是因为这个原因，驱动木马才设法拦截了相关API以保护自身驱动不被删除，即使用户将驱动文件改名，它也会因为检测不到驱动例程文件的存在而立即重新释放一个，这样一来，木马似乎就无敌了。但事实上，要破坏一个文件的方法有很多种，并非是只有“删除文件”这个途径的。配合系统特性，其实我们只需要一条简单的命令就可以破坏驱动木马设下的完美保护，那就是：
Echo XXXXXX > 文件名              //此处的“X”为任意字符
这条命令的作用是简单的在字符界面显示一串用户输入的字符，当它配合管道操作符“>”（英文大于号）使用时，则为将用户要显示的字符直接流入指定的文件里，而“>”为覆盖文件内容，“>>”为追加文件内容，执行完这条指令后我们再次使用type命令查阅木马文件，会发现刚才一大堆混乱的字符已经被“XXXXXX”文字替换了，这样一来，驱动文件本体就被破坏，而由于这个操作未涉及删除文件，被拦截的API并不会对此做出反应。 

    紧接着，立即重启计算机进入“基于命令提示符的安全模式”，然后再次type检查驱动文件的内容是否被恢复，如果仍然保留着我们刚才输入的字符，则说明操作成功，木马的驱动模块已经被破坏了，这时候位于启动项里的文件由于没有驱动保护，也不会被启动，所以我们可以进一步删除这个启动项和指向的文件，然后删除刚才被我们修改的驱动文件。确认没有再次恢复文件后重启计算机再次进入“基于命令提示符的安全模式”，在命令提示符里输入explorer.exe启动Windows图形界面，然后再次运行IceSword检查是否存在另一个红色标记，如果运气不好，用户会发现出现了另一个文件名的驱动，记录下涉及的文件，重启计算机，继续重复刚才的type、echo等操作，直到“SSDT”项目里所有函数都不用红色标记标注出现为止。

    最后重启计算机进入正常模式，再次使用IceSword查看红色标记是否出现，以免漏杀被高优先级驱动木马的“光辉”掩盖的普通驱动木马，这是因为，当多个驱动文件都争取同一个函数拦截操作时，系统是以先后顺序和优先级别判断的，这样就造成了在高优先级驱动木马存在的时候，其它的驱动木马无法分到一杯羹，然而高优先级驱动木马被歼灭后，它们的出头之日就来临了。这时候，直接使用查杀普通驱动木马的方法即可使其全军覆没。

    五、打扫战场：
    查杀完驱动木马后，用户要做的事情还有很多，首先必须使用其他安全工具如“安全卫士”、“瑞星卡卡上网助手”等辅助手段加强扫描一次系统，确认没有被植入其他木马和流氓软件，或者将其清理出系统，还可以使用安全卫士的修复系统漏洞功能打上补丁，至此，我们成功狙杀了驱动木马。

    六、结束语：
    “上帝要让你灭亡，必先让你疯狂！”，在这个越来越疯狂的网络时代，普通网民的网络安全已经得不到保障，有时即使用户安装了正版的杀毒软件也无济于事。因此，应对病毒、木马和黑客攻击等破坏行为始终要以预防为主，而不是亡羊补牢，养成良好的系统使用习惯，经常升级软件、勤打补丁和获得一些安全时讯，从而为您的系统提前打上预防针！