2.強(qiáng)大的Knlps
相比之下，Knlps的功能更為強(qiáng)大一些，它可以指定結(jié)束正在運(yùn)行的Rootkit程序。使用時在命令行下輸入“knlps.exe -l”命令，將顯示系統(tǒng)中所有隱藏的Rootkit進(jìn)程及相應(yīng)的進(jìn)程PID號。找到Rootkit進(jìn)程后，可以使用“-k”參數(shù)進(jìn)行刪除。例如已找到了“svch0st.exe”的進(jìn)程，及PID號為“3908”，可以輸入命令“knlps.exe -k 3908”將進(jìn)程中止掉。
四、克隆帳號的檢測
嚴(yán)格意義上來說，它已經(jīng)不是后門木馬了。但是他同樣是在系統(tǒng)中建立了管理員權(quán)限的賬號，但是我們查看的卻是Guest組的成員，非常容易麻痹管理員。
在這里為大家介紹一款新的帳號克隆檢測工具LP_Check，它可以明查秋毫的檢查出系統(tǒng)中的克隆用戶！
LP_Check的使用極其簡單，程序運(yùn)行后會對注冊表及“帳號管理器”中的用戶帳號和權(quán)限進(jìn)行對比檢測，可以看到程序檢測出了剛才Guest帳號有問題，并在列表中以紅色三角符號重點(diǎn)標(biāo)記出來，這時我們就可以打開用戶管理窗口將其刪除了。
