手刃灰鸽子—杀毒日记（dllhosltkey.dll）

猎人

作者：太初誓言

2006年3月24日，月黑雁飞高，又正好是星期五，恰是群侠逐鸡的好时候。晚上11点半左右我上线了，希望今夜出海能捞条大鱼！

我的思路很简单，我用google搜索”inurl:bbs/diy.asp”和”inurl:forum/DIY.asp”，看到了成百上千的网站后门，可是试了好多都没能把我的大马挂上去，后来我搜” 保存文件的绝对路径(包括文件名”——diy木马的关键字，又找到一些，不过干扰也就多了，因为好多网站是关于这个木马的介绍！

现在介绍一下我的工作环境：XP pro sp2+升级补丁,IE 6.0+升级补丁,天网放火墙pro V2.7.3.1100+最新升级,Kav+升级2006.3.20,10M接口，校园网，香港代理服务器。

因为Kav老是提示我正在使用的Hack Tools 有毒，把我搞烦了顺手关掉了它的实时监控功能，虽然我找的那个代理算快的了，但总觉得不过瘾，去掉代理！相安无事，爽了！

不知不觉到了凌晨1点多，准备返航，可是手不觉中又打开了一个网站，网速很快——大多数人都该入睡了我想。打开的这个网站我现在模糊了，印象中很空白，有少许或者没有文字，但我警觉的发现IE的状态栏出现”web.163.sh..**/~**”字样，我心里暗叫不妙，凭着我行走江湖多年的直觉，我知道网马来了！

如果在网吧，我大可不必理会，但这时我承认我很紧张，我的冲动让我做了一个错误的决定,我匆匆想停掉联网的客户端，现在觉得当时花了很长时间。我反思了一下，如果当时我1、点一下IE的停止按钮，2、点状态栏天网一下，再点断开网络按钮，3、断开联网客户端。嘿嘿，恐怕就不会有这篇火章了。

断开后我做的第一件事是开Kav,Kav就是Kav，启动后的第一件事就是通知我我的电脑中毒了，“c:\windows\dllhosltkey.dll是灰鸽子，是否删除?”。就在Kav没有启动完全之时，跳出来个错误提示”IExplorer.exe遇到问题需要关闭，点确定关闭，点取消进行调试”。

当年的冰河时代我玩冰河和广外，现在觉得玩木马没意思了，虽然现在灰鸽子在网络上飞来飞去，采用了以前木马所不具备的DLL注入技术和远程线程插入技术，但我从来都不想去用它——我没那么无聊！

Kav问我是否删除?我选是，——Kav的第二个提示出来了：”c:\windows\dllhosltkey.dll无法删除。你没有访问权限或者访问被拒绝”,我是管理员身份——会没权限，显然是访问被拒绝。

当时我就杀到c:\windows下，没有发现dllhosltkey.dll，显示隐藏和显示系统文件，操，怎么这样，动用Windows的文件查找功能查找windows目录，没有！也许是我当时比较紧张，但查找也没有啊。很不容易中了病毒，而且还是灰鸽子，本想开启屏幕功能，当时系统已经不太稳定，任务管理器的进程列表已经变得闪烁迷离，就放弃录象的想发。

Kav反复跳出发现病毒和无法删除的提示，，，