木马程序是当前病毒中危害比较大的一种，鉴于变种比较多杀毒软件对其处理一般比较滞后，在论坛中经常有人认为自己中了木马，发个HijackThis日志上来让人分析，在此我介绍一个查找木马并且删除木马工具：Procexp和Autoruns，这两个工具对付一般的木马比较有效，使用这两个工具大家可以自己手动找到木马并删除它

两个工具可以从www.sysinternals.com网站下载
URL地址：http://www.sysinternals.com/Files/ProcessExplorerNt.zip
http://www.sysinternals.com/Files/Autoruns.zip

推荐理由：
1）完全免费
2）文件小，功能强大，免安装
2）支持9x,winme,NT,2000,xp,2003,64位XP
3）更新比较快

本贴比较长，工具是英文的，建议大家耐心看完，不论你是新手还是高手一定有所收获

下面介绍两个工具的使用方法（本人使用的是XP系统，下面以XP为例）：
一、Procexp:（完全可以替换windows自带的任务管理器）

此工具可以查看当前运行的程序（包括一些windows任务管理器不能看到的隐藏的进程），杀掉运行进程

直接运行程序如图，

使用其识别木马程序的方法： 首先查看是否有可疑进程，一些木马使用了windows系统程序名，例如：services.exe,svchost.exe,（这些文件在windows\system32目录下，一般木马会放在磁盘根目录下，或是windows目录下，）另一种情况是某一进程占CPU占有比较大 看到可疑程序直接在列表中选中，右键查看属性，或直接双击 看程序的描述信息，微软程序描述信息和版本信息一般都很详细，若没有版本信息则可能是木马程序，也有一些木马写了跟微软类似的信息，此时可以使用数字签名校验功能，点击Verify按钮，若是微软的程序会提示(verified) 如图： 对于一般的程序，Explorer.exe启动的程序都可以杀掉的，一般不会引起系统问题 有时电脑会突然弹出消息框或错误框，但又不知道是那个程序弹出的，可以选择 如图按钮 按住鼠标左键，把鼠标放在弹出的对话框上，抬起鼠标左键工具会自动定位当运行的程序上。 在程序的属性对话框的TCP/IP属性页还可以看到程序访问的网络情况，木马一般都会打开端口向外发送数据包 当删除某一文件，提示文件正在使用时可以通过 发现是那个进程使用这个文件。

可以查看进程使用了那些动态库

此工具也支持日志导出功能

二． Autoruns
木马的特性之一时随系统一起启动，所以木马要在操作系统中写启动项，Autoruns就是一个查看清除启动项的工具，此工具将启动项分页签显示，运行界面如下

删除某项启动项，只要去掉项前面的复选框即可，这样如果下次想把它置成自启动项，再选择即可

想永久删除某项启动项，只要选择右键单击，在右键菜单中删除即可 若不确定是否此项有问题则可以点击”Google”在网上搜索此项 若全部显示所有启动项则比较多，查看起来不便，可以选择隐藏微软项，这是将不显示微软的自启动项 此工具也支持日志导出功能，并且支持比较功能，你可以与以前的日志进行比较 新加启动项它会以不同的颜色显示