菜鸟课堂：利用NTFS权限清理DLL木马——禁用守护进程访问权限、删除恶意DLL、恢复权限、清注册表启动项

DLL木马隐蔽性极强：注入rundll32.exe/svchost.exe等正常进程，常规杀软删不掉（正在被调用）。实战清理流程：

现象

麦咖啡报毒：
defds.dll:C:\...\Temp\defds.dll 删除失败
fdgeg.com:C:\Windows\ime\fdgeg.com 删除失败

定位守护进程

用冰刃查进程，找调用defds.dll的进程（如notepad.exe）。尝试结束进程 → 短时间自动重启（用户未启动记事本） → 判定fdgeg.com为notepad.exe守护进程（监视进程死活，死即拉起）。

NTFS权限“核按钮”法

1. 资源管理器 → 工具 → 文件夹选项 → 查看 → **取消“使用简单文件共享”**（XP/NTFS必做）。
2. 定位C:\Windows\ime\fdgeg.com → 右键属性 → 安全 → 高级 → **取消勾选“从父对象继承权限”** → 弹窗选“删除” → 确定。
   → **无任何用户（含System/Administrator）有权访问该文件**，守护进程无法读取/执行，木马链条断裂。
3. 冰刃结束notepad.exe（守护进程失效，不再拉起）。
4. 删除C:\Documents and Settings\Admin\Local Settings\Temp\defds.dll（恶意DLL）。
5. 回fdgeg.com属性 → 安全 → 高级 → **勾选“继承父对象权限”** → 确定 → 文件恢复正常权限 → **直接删除该文件**（守护程序本体）。
6. 注册表启动项（Run/RunOnce等）删掉木马自启键值。

核心原理：利用NTFS DACL**临时剥离System/Administrator对守护程序的访问权**，打破“正在使用无法删”死循环，完成恶意DLL/守护进程双清，再恢复权限删守护本体。需NTFS分区、管理员权限、关闭简单文件共享。

此法适用于**有守护进程保护的DLL/EXE木马**，常规杀软无力时的手工终极清理方案。