手动清除gh0st远控服务端
为什么我们要手动清除木马呢？ 我们在做免杀或者在对gh0st大的修改的时候或者后门被意外破坏，不能用客户端自带的清除，这个时候就需要手动来清除。特别是我们在对一台肉鸡进行测试失败后（被杀或者dll释放了，没有上线），就需要手动清除，否则我们永远没法再上线了。
病毒分析：
------------------------------------------------------------------------------
注册表创建如下键值：
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\6to4
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_6TO4
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_6TO4
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\6to4
%SystemRoot%\System32\svchost.exe -k netsvcs
注册表LEGACY_6TO4键值是直接删除不了
Netstat -anbo
TCP 192.168.1.103:1058 59.50.199.108:12345 SYN_SENT 1028
C:\WINDOWS\system32\mswsock.dll
c:\windows\system32\WS2_32.dll
c:\documents and settings\all users\drm\xxxx.dll //这个就是我们的马，挂载IPv6上
C:\WINDOWS\system32\msvcrt.dll
C:\WINDOWS\system32\kernel32.dll
[svchost.exe]
svchost.exe 1028 Console 0 17,004 K
taskkill /f /pid 1028 //杀掉进程dll可以删除 但是没有用
c:\documents and settings\all users\drm\xxxx.dll 对应的服务名称，我们可以用svchostview来观察自己的马对应的服务名称和服务显示名称。
我们只需要把下面的两条语句放进.bat文件里面，传到肉鸡上面执行（6to4是gh0st默认的服务名称）
net stop 6to4
sc delete 6to4
批处理执行完后，如果你知道此服务对应的进程 可以用上面taskkill这个进程，然后执行新的gh0st马就OK了；如果不知道，那你等肉鸡重启，就可以执行新的gh0st马了，要不在批处理加个shutdown –f –r 肉鸡自动重启。
我最近在玩和讯微博，很方便，很实用，你也来和我一起玩吧！
去看看我的微博吧！http://t.hexun.com/3006897/default.html