中华网络安全联盟    作者：yxj1799    来源：剑盟    时间：2006-8-18

    大家都知道，所有程序都需要调用dll文件，它的寻找顺序是从自己程序所在的目录，找不到再找windows目录，传奇终结者木马就是利用这点，把病毒文件做成dll文件，名称是wsock32.dll，然后复制到各个目录下，一旦程序启动调用了这个文件，你就有被盗号的危险了.本人最近迷上了灰鸽子，一直再研究免杀，以前做的鸽子除了小红伞，drweb和卡巴斯基能查，其他都免杀，可是最近好多其他的杀软也查出来了，于是做了个最新的免杀，我在另外一台机器上试验服务端的时候，偶然发现了免疫所有鸽子的方法。

    大家都知道鸽子是插入internet explorer进程来反向连接客户端的，所以防火墙没用，internet explorer运行的时候也要调用wsock32.dll，于是我在internet explorer目录下新建一个0字节的wsock32.dll，wsock32.dll是Windows Sockets应用程序接口，用于支持很多Internet和网络应用程序，根据我的试验结果，在其目录下新建的wsock32.dll对浏览网页无任何影响(可能有，但是我没有发现)，internet explorer最先调用的是其目录下的无效的wsock32.dll，所以使得灰鸽子失效，大家可以在internet explorer目录下新建个wsock32.dll，避免灰鸽子的入侵。