小红伞怎么样

初用者，可以参考一下这个文章，还有小红伞虽然没有官方中文版，不过还是有汉化版本的~ 我关于伞的心得，初用伞的人可以来看看 Tags: 德国 心得 红伞 体会 数数 以下是个人体会，我不是什么高手，只是杀软用得比较多，谈点个人小小心得

用伞快一年

我用的杀软仔细数数一共也有30来款，伞是我认为单引擎杀软中，算很强的了，如果我要来排个名次化，它是怎么都能进前5名的，这个各大测试也能看出来，红伞一直表现良好。

样本区我下了N个包，肯定有难住伞的，但是，那是极少数，我个人的测试中，伞是相当悍的了，我目前也就发现TrustPort比伞的检毒率高。

而且我发现有伞搞不定的毒，就上报，总的来说，伞的上报的回馈速度还是比较快，德国佬的态度也都不错。而且都完美的解决了上报的不能杀的毒，再升级后，发现就能轻松搞定了。

作为一个有免费版的软件，你还能要求什么呢？

下面说下新手们也许会遇到几个问题：

1 关于误报

这是新人们说得最多的，也是最关注的。

我说下我的看法：

正规软件，我是没发现伞有什么误报。而且我发现人们经常所谓的误报，其实是指的报QQ

如果你多用几个杀软，尤其是国外的反间谍软件，你会发现他们几乎是清一色的报QQ

懂点安全知识的朋友都明白，QQ本身其实具备了木马的一些基本特征（这个涉及到很多关于端口什么的知识，有机会请安全咨询区的罗大人来讲一讲）

所以很多国外杀软报QQ是“威胁”甚至是“木马”那也不足为怪了

那么你要用伞，记得首先排除QQ

如果伞要进人中国市场，那么他们会想办法解决QQ问题的（估计也是对QQ视而不见，给QQ个特权）

还有一种情况，我一朋友用上伞后，见了我大呼小叫，这玩意怎么报我的XXX播放器？我用了好几年了啊

我说你先别判断这是误报，我说你那播放器是官网下的么？

他说：没有，我在XX网下的最新破解版

我说：哦，我大概明白了

然后我就叫他把伞报的文件传到这里

http://virscanorg/

多引擎的在线扫描，去扫描一下

他去一扫，靠，70%的杀软都报是木马

他这才相信小红伞。

并且感叹，我在XX网下破解版的XXX播放器，好几年了，都不知道里面有木马，难怪我机器老出问题啊！

根据我的经验，有一些破解版，算号器，绿色版，都会有意无意的弄点木马，间谍什么的

所以你要做到很安全，我建议你下任何软件，最好都去他的官方网站下，我甚至见过在DX里面绑木马的，害得我现在下DX什么的，都跑微软去下

你实在很喜欢那些下载网，那么你也可以去大型的，知名的下载战，比如说霏凡啊，什么的，一般来说，大站会更考虑的安全问题，毕竟辛苦建立起来的名气，还是比较珍惜。

这样至少要比你随便在网络上一搜索，搜到一个不知名的小站就钻进去下，要安全一些

那么总结一下

其实伞的误报率并不高

只是认为很多破解，注册机，等等有问题

而且其实你发现伞报的时候，你可以仔细留意一下，也许你最信任的某款破解软件，悄悄的出卖你很多年了，呵呵

然后被伞举报出来了，你不习惯罢了。

再说一下这个网址 http://virscanorg/ 很好用的，大家怀疑误报什么的，可以先传上去看看再说

PS:我是做设计方面的，电脑里的3D，2D软件乱七八糟的很多，MAX,MAYA,SXI,ZBrush3，PS,CD，FLASH等等

伞都没报过，完全没什么问题。

我平时爱好就是**和音乐

说下播放器方面：

FOOBAR伞不会报，报的话，你FOOBAR肯定被放木马了

KMPLAYER,GOMPLAYER，伞不会报

POWERDVD伞不会报

QT伞不会报

REPLAYER伞不会报

这些都是最常用的了，装这些播放器通吃一切了，都和伞完全没有任何冲突

有些国产播放器，伞会报，我用别的杀软和在线扫描一查，果然有马，哈哈~

其它常用的迅雷，XNVIEW，BT，PERFECTDISK,电驴，词霸，NERO，优化大师，兔子什么的都没发现报过

就像论坛里有的高手说的：正规软件，官网下载的，还真没发现报的

其它领域的软件我不熟悉，比如说什么财务软件，这个不清楚了，不敢多言。

至少图形软件这块，比如说MAX插件多如牛毛，伞都没报过

结论：伞的误报其实很小，不用那么害怕，放心用

2 关于监控和排除

越来越多人喜欢伞和其它杀软一起用了

比如和AVAST一起用，那么你一定要记得互相排除一下

AVAST会在你的WINDOWS的TEMP文件夹中，生成一个：

“_avast4_”文件夹

这个你记得排除，不然烦死你，呵呵

还有其它杀软和伞配合的问题

我用NOD32和BD配合过伞，我认为冲突比较严重，论坛里有人这么用，说是没事，但我不知道他们这么搞的

3 伞和墙的配合

我用PCT，COMODO，风云, OUTPOST，ZONE, KNOX，等等墙和伞配合过，互相排除一下，都相安无事，大家放心用好了

我个人推荐PCT V3，或者COMODO（V3还没出，等等吧）

这两个墙任意一款配合伞，效果都不错，而且都是免费的，多好啊~

4 升级问题

C版确实慢，这个没办法，有时候升级一天都不行，这不是你的伞出了问题，是C版的升级服务器的事。

你要想升级速度快，那么就换成P版

P版的KEY可以申请，搞活动得到(这个得看时候，说有就有，说没就没），或者你留意下论坛的帖子，有时候有人分享P版KEY的

5 蓝屏问题

我用了N多杀软，墙，唯一遇到蓝屏，是风云的老版本，和Spyware Terminator的老版本

当然还有某款说都说不得的国产杀软大家知道就好，别说出来

小红伞我是真没遇到什么蓝屏

我一朋友觉得小红伞好，给他公司全体都搞上伞了，也用了快一年了，没什么蓝屏幕问题

总结：

至少我的使用来看，和我周围的人使用情况，包括论坛上我的观察结果

伞没有导致蓝屏的直接原因，而且有人反馈说遇上蓝屏了，这个几率也是极其小的，大家不相信翻翻这里还有红伞官网论坛的帖子，很少很少有人反馈这个问题

有些人蓝屏，我觉得其实是病毒发作了~然后正好遇上刚装上伞。

所以大家放心用好了，小红伞不会搞得你机器蓝屏的，如果有，那真的是几率太小太小了。

6 资源占用

伞的资源占用是比较小的

内存尤其小，但虚拟内存占用比较多

但我在512MB，C14的老机器上，运行一样很流畅

所以一般新机器的朋友，大可不必要担心伞的资源占用问题，不会卡的~

7 最后总结下

伞作为免费杀软，我觉得已经是相当的优秀了，比很多收费的要强

检毒率高，杀毒能力比较强，有一定少量的误报，但至少我觉得不影响我的工作，

排除下你的QQ，对其它正规软件，是没有什么误报的

还有，大家一定记得要多上报

上报越多，伞就会越强的

而且随着中国地区的用户上报越来越多

伞也会更重视我们中国用户的

呵呵~

下面我将我收集到的对于杀鸽有帮助的文贴下，希望对大家也有帮助~~

1。怎样才能彻底杀掉BackdoorGpigeon灰鸽子？

最有效的是手工删除！！

1 下载HijackThis扫描系统

下载地址:

http://wwwskycncom/soft/15753html

zww3008汉化版

http://wwwmerijnorg/files/hijackthiszip

英文版

2 从HijackThis日志的 O23项可以发现灰鸽子自的服务项

如最近流行的:

O23 - Service: SYSTEM$ (SYSTEM$Server) - Unknown owner - C:\WINDOWS\setemybat

O23 - Service: Network Connections Manager (NetConMan) - Unknown owner - C:\WINDOWS\uinstallexe

O23 - Service: winServer - Unknown owner - C:\WINDOWS\winserverexe

O23 - Service: Gray_Pigeon_Server (GrayPigeonServer) - Unknown owner - (灰鸽子)C:\WINDOWS\G_Serverexe

用HijackThis选中上面的O23项,然后选择"修复该项"或"Fix checked"

3 用Killbox删除灰鸽子对应的木马文件 可以从这里下载Killbox

http://yncnconlinedownnet/soft/37257htm

直接把文件的路径复制到 Killbox里删除

通常都是下面这样的文件 "服务名"具体通过HijackThis判断

C:\windows\服务名dll

C:\windows\服务名exe

C:\windows\服务名bat

C:\windows\服务名keydll

C:\windows\服务名_hookdll

C:\windows\服务名_hook2dll

举例说明:

C:\WINDOWS\setemykeydll

C:\WINDOWS\setemydll

C:\WINDOWS\setemyexe

C:\WINDOWS\setemy_hookdll

C:\WINDOWS\setemy_hook2dll

用Killbox删除那些木马文件,由于文件具有隐藏属性,可能无法直接看到,但Killbox能直接删除 上面的文件不一定全部存在,如果Killbox提示

文件不存在或已经删除就没关系了。

其实就几个病毒关联文件。exe\ dll\ _hookdll

2。灰鸽子的手工检测

由于灰鸽子拦截了API调用，在正常模式下服务端程序文件和它注册的服务

项均被隐藏，也就是说你即使设置了“显示所有隐藏文件”也看不到它们。此外

，灰鸽子服务端的文件名也是可以自定义的，这都给手工检测带来了一定的困难

。

但是，通过仔细观察我们发现，对于灰鸽子的检测仍然是有规律可循的。从

上面的运行原理分析可以看出，无论自定义的服务器端文件名是什么，一般都会

在操作系统的安装目录下生成一个以“_hookdll”结尾的文件。通过这一点，我

们可以较为准确手工检测出灰鸽子 服务端。

由于正常模式下灰鸽子会隐藏自身，因此检测灰鸽子的操作一定要在安全模

式下进行。进入安全模式的方法是：启动计算机，在系统进入Windows启动画面前

，按下F8键(或者在启动计算机时按住Ctrl键不放)，在出现的启动选项菜单中，

选择“Safe Mode”或“安全模式”。

1、由于灰鸽子的文件本身具有隐藏属性，因此要设置Windows显示所有文件

。打开“我的电脑”，选择菜单“工具”—》“文件夹选项”，点击“查看”，

取消“隐藏受保护的操作系统文件”前的对勾，并在“隐藏文件和文件夹”项中

选择“显示所有文件和文件夹”，然后点击“确定”。

2、打开Windows的“搜索文件”，文件名称输入“_hookdll”，搜索位置选

择Windows的安装目录（默认98/xp为C:\windows，2k/NT为C:\Winnt）。

3、经过搜索，我们在Windows目录（不包含子目录）下发现了一个名为

Game_Hookdll的文件。

4、根据灰鸽子原理分析我们知道，如果Game_HookDLL是灰鸽子的文件，则在操

作系统安装目录下还会有Gameexe和Gamedll文件。打开Windows目录，果然有这

两个文件，同时还有一个用于记录键盘操作的GameKeydll文件。

经过这几步操作我们基本就可以确定这些文件是灰鸽子 服务端了，下面就

可以进行手动清除。

二、灰鸽子的手工清除

经过上面的分析，清除灰鸽子就很容易了。清除灰鸽子仍然要在安全模式下

操作，主要有两步：1、清除灰鸽子的服务；2删除灰鸽子程序文件。

注意：为防止误操作，清除前一定要做好备份。

（一）、清除灰鸽子的服务

注意清除灰鸽子的服务一定要在注册表里完成，对注册表不熟悉的网友请找熟悉

的人帮忙操作，清除灰鸽子的服务一定要先备份注册表，或者到纯DOS下将注册表

文件更名，然后在去注册表删除灰鸽子的服务。因为病毒会和EXE文件进行关联

2000／XP系统：

1、打开注册表编辑器（点击“开始”－》“运行”，输入“Regeditexe”

，确定。），打开 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services注

册表项。

2、点击菜单“编辑”－》“查找”，“查找目标”输入“gameexe”，点击

确定，我们就可以找到灰鸽子的服务项（此例为Game_Server，每个人这个服务项

名称是不同的）。

3、删除整个Game_Server项。

98／me系统：

在9X下，灰鸽子启动项只有一个，因此清除更为简单。运行注册表编辑器，

打开HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run项，

我们立即看到名为Gameexe的一项，将Gameexe项删除即可。

（二）、删除灰鸽子程序文件

删除灰鸽子程序文件非常简单，只需要在安全模式下删除Windows目录下的

Gameexe、Gamedll、Game_Hookdll以及Gamekeydll文件，然后重新启动计算

机。至此，灰鸽子VIP 2005 服务端已经被清除干净。

以上介绍的方法适用于我们看到的大部分灰鸽子木马及其变种，然而仍有极少数

变种采用此种方法无法检测和清除。同时，随着灰鸽子新版本的不断推出，作者

可能会加入一些新的隐藏方法、防删除手段，手工检测和清除它的难度也会越来

越大。

三、防止中灰鸽子病毒需要注意的事项

1 给系统安装补丁程序。通过Windows Update安装好系统补丁程序(关键更新、

安全更新和Service pack)，其中MS04-011、MS04-012、MS04-013、MS03-001、

MS03-007、MS03-049、MS04-032等都被病毒广泛利用，是非常必要的补丁程序

2 给系统管理员帐户设置足够复杂足够强壮的密码，最好能是10位以上，字

母+数字+其它符号的组合；也可以禁用/删除一些不使用的帐户

3 经常更新杀毒软件（病毒库），设置允许的可设置为每天定时自动更新。

安装并合理使用网络防火墙软件，网络防火墙在防病毒过程中也可以起到至关重

要的作用，能有效地阻挡自来网络的攻击和病毒的入侵。部分盗版Windows用户不

能正常安装补丁，这点也比较无奈，这部分用户不妨通过使用网络防火墙来进行

一定防护

4 关闭一些不需要的服务，条件允许的可关闭没有必要的共享，也包括C$、

D$等管理共享。完全单机的用户可直接关闭Server服务。这些都可以用winxp总管

等优化软件关闭。

WinXP 总管 v493 中文注册版

http://www366tiannet/soft/data/soft/219html

5 不要随便打开或运行陌生、可疑文件和程序，如邮件中的奇怪附件，外挂

程序等。

五、灰鸽子（Huigezi、Gpigeon）专用检测清除工具

软件名称： 灰鸽子（Huigezi、Gpigeon）专用检测清除工具

界面语言： 简体中文

软件类型： 国产软件

运行环境： /Win9X/Me/WinNT/2000/XP/2003

授权方式： 免费软件

软件大小： 414KB

软件简介： 由灰鸽子工作室开发的,针对灰鸽子专用清除器!可以清除VIP2005版

灰鸽子服务端程序(包括杀毒软件杀不到的灰鸽子服务端)和灰鸽子 [辐射正式版]

和 DLL版服务端 牵手版服务端

运行DelHgzvip2005Serverexe文件清除VIP2005版灰鸽子服务端程序，运行

un_hgzserverexe文件清除灰鸽子 [辐射正式版] 和 DLL版服务端 牵手版服务端

下载地址：

http://www366tiannet/soft/data/soft/875html

3。怎样才彻底杀掉BackdoorGPigeon灰鸽子病毒

你中了灰鸽子《Gray Pigon》,它基于CS模式（客户端服务端）清除有点难。服务端即木马，一般插入Explorer,也有插入IE进程的。杀的时候

小心系统崩溃。瑞星有专杀工具。===》http://itrisingcomcn/service/technology/Ravgpk_Downloadhtm

我也做过一款客户端，做过内存免杀，再加壳，什么杀毒软件都杀不了（我用过瑞星和卡巴---病毒库都更新过了。）。不要迷信杀毒软件

！

http://hotkeytengyicn

最好备份资料重装系统，以后小心！装个还原精灵（如Symantec的一键还原精灵，一般不占用CPU的），或者花点钱买个还原卡，定期还原

为干净的系统！

应该是灰鸽子，参照以下方法试试：

灰鸽子2005的特点是“三个隐藏”——隐藏进程、隐藏服务、隐藏病毒文件。灰鸽子2005感染系统后，将自身注册为系统服务，并在同一目录

下生成一组（3个）隐藏的病毒文件；病毒文件名可变，但有一定规律。目前为止，我见过的病毒文件均在%WinDir%下；病毒文件名可以是以下

三组之一：

1、 G_Serverexe，G_Serverdll，G_Server_Hookdll

2、 IExplorerexe，IExplorerdll,，IExplorer_Hookdll

3、 Winlogonexe，Winlogondll，Winlogon_Hookdll

病毒文件名的命名规律是：Xexe，Xdll，X_Hookdll，其中“X”指文件名的变化部分。在WINDOWS模式下，三个病毒文件均为隐藏文件。在

“文件夹选项”的“查看”面板中勾选“显示系统文件夹内容”、“显示所有文件及文件夹”两个选项后，在安全模式下才能看到病毒文件。

清除灰鸽子仍然要在安全模式下操作，主要有两步：1、清除灰鸽子的服务；2删除灰鸽子程序文件。

注意：为防止误操作，清除前一定要做好备份。

由于正常模式下灰鸽子会隐藏自身，因此检测灰鸽子的操作一定要在安全模式下进行。进入安全模式的方法是：启动计算机，在系统进入

Windows启动画面前，按下F8键(或者在启动计算机时按住Ctrl键不放)，在出现的启动选项菜单中，选择“Safe Mode”或“安全模式”。

1、由于灰鸽子的文件本身具有隐藏属性，因此要设置Windows显示所有文件。打开“我的电脑”，选择菜单“工具”—》“文件夹选项”，点

击“查看”，取消 “隐藏受保护的操作系统文件”前的对勾，并在“隐藏文件和文件夹”项中选择“显示所有文件和文件夹”，然后点击“确

定”。

2、打开Windows的“搜索文件”，文件名称输入“_hookdll”，搜索位置选择Windows的安装目录（默认98/xp为C:\windows，2k/NT为

C:\Winnt）。

3、经过搜索，我们在Windows目录（不包含子目录）下看是否有一个名为IEXPLORE_Hookdll（也可能是其他名称，但基本结构都是_hookdll

的）的文件。

4、根据灰鸽子原理分析我们知道，如果IEXPLORE_HookDLL是灰鸽子的文件，则在操作系统安装目录下还会有IEXPLOREexe和 IEXPLOREdll文

件。打开Windows目录，应该还有一个用于记录键盘操作的IEXPLOREKeydll文件。

经过这几步操作我们基本就可以确定这些文件是灰鸽子木马了，下面就可以进行手动清除

灰鸽子的手工清除

一、清除灰鸽子的服务

2000／XP系统：

1、打开注册表编辑器（点击“开始”－》“运行”，输入“Regeditexe”，确定。），打开

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services注册表项。

2、点击菜单“编辑”－》“查找”，“查找目标”输入“IEXPLOREexe”，点击确定，我们就可以找到灰鸽子的服务项（此例为

IEXPLORE_Server）。

3、删除整个IEXPLORE_Server项。

98／me系统：

在9X 下，灰鸽子启动项只有一个，因此清除更为简单。运行注册表编辑器，打开HKEY_CURRENT_USER\Software\Microsoft\

Windows\CurrentVersion\Run项，我们立即看到名为IEXPLOREexe的一项，将IEXPLOREexe项删除即可。

二、删除灰鸽子程序文件

删除灰鸽子程序文件非常简单，只需要在安全模式下删除Windows目录下的IEXPLOREexe、IEXPLOREdll、IEXPLORE_Hookdll以及

IEXPLOREdll文件，然后重新启动计算机。至此，灰鸽子已经被清除干净。

回答者：blade_jie - 助理 二级 11-14 13:27

进去下载个清除工具：

http://wwwf1-autocom/secound/third/four/index_v_virusquest2_backdoor_Gpigeonhtml

回答者：XV流量动力 - 高级魔法师 七级 11-16 13:56

--------------------------------------------------------------------------------

灰鸽子 Vip 2005 清除器

http://wwwcertorgcn/articles/tools/common/2005051322256shtml

BlackHole&灰鸽子后门专杀工具

http://wwwcertorgcn/articles/tools/common/2005051322256shtml

如果专杀工具没有发现灰鸽子，请参考下面方法手工删除：

按照下面指导,3步就能彻底删除系统里的灰鸽子木马

1 下载HijackThis扫描系统:

汉化版

http://wwwskycncom/soft/15753html

2 从HijackThis日志的 O23项可以发现灰鸽子自的服务项

如最近流行的:

O23 - Service: SYSTEM$ (SYSTEM$Server) - Unknown owner - C:\WINDOWS\setemybat

O23 - Service: Network Connections Manager (NetConMan) - Unknown owner - C:\WINDOWS\uinstallexe

O23 - Service: winServer - Unknown owner - C:\WINDOWS\winserverexe

O23 - Service: Gray_Pigeon_Server (GrayPigeonServer) - Unknown owner - C:\WINDOWS\G_Serverexe

用HijackThis选中上面的O23项,然后选择"修复该项"或"Fix checked"

3 用Killbox删除灰鸽子对应的木马文件 可以从这里下载Killbox

http://yncnconlinedownnet/soft/37257htm

直接把文件的路径复制到 Killbox里删除

通常都是下面这样的文件 "服务名"具体通过HijackThis判断

C:\windows\服务名dll

C:\windows\服务名exe

C:\windows\服务名bat

C:\windows\服务名keydll

C:\windows\服务名_hookdll

C:\windows\服务名_hook2dll

举例说明:

C:\WINDOWS\setemykeydll

C:\WINDOWS\setemydll

C:\WINDOWS\setemyexe

C:\WINDOWS\setemy_hookdll

C:\WINDOWS\setemy_hook2dll

用Killbox删除那些木马文件,由于文件具有隐藏属性,可能无法直接看到,但Killbox能直接删除 上面的文件不一定全部存在,如果Killbox提示

文件不存在或已经删除就没关系了

灰鸽子的手工检测

由于灰鸽子拦截了API调用，在正常模式下木马程序文件和它注册的服务项均被隐藏，也就是说你即使设置了“显示所有隐藏文件”也看不

到它们。此外，灰鸽子服务端的文件名也是可以自定义的，这都给手工检测带来了一定的困难。

但是，通过仔细观察我们发现，对于灰鸽子的检测仍然是有规律可循的。从上面的运行原理分析可以看出，无论自定义的服务器端文件名

是什么，一般都会在操作系统的安装目录下生成一个以“_hookdll”结尾的文件。通过这一点，我们可以较为准确手工检测出灰鸽子木马。

由于正常模式下灰鸽子会隐藏自身，因此检测灰鸽子的操作一定要在安全模式下进行。进入安全模式的方法是：启动计算机，在系统进入

Windows启动画面前，按下F8键(或者在启动计算机时按住Ctrl键不放)，在出现的启动选项菜单中，选择“Safe Mode”或“安全模式”。

1、由于灰鸽子的文件本身具有隐藏属性，因此要设置Windows显示所有文件。打开“我的电脑”，选择菜单“工具”—》“文件夹选项”，

点击“查看”，取消“隐藏受保护的操作系统文件”前的对勾，并在“隐藏文件和文件夹”项中选择“显示所有文件和文件夹”，然后点击“

确定”。

2、打开Windows的“搜索文件”，文件名称输入“_hookdll”，搜索位置选择Windows的安装目录（默认98/xp为C:\windows，2k/NT为

C:\Winnt）。

3、经过搜索，我们在Windows目录（不包含子目录）下发现了一个名为Game_Hookdll的文件。

4、根据灰鸽子原理分析我们知道，如果Game_HookDLL是灰鸽子的文件，则在操作系统安装目录下还会有Gameexe和Gamedll文件。打开

Windows目录，果然有这两个文件，同时还有一个用于记录键盘操作的GameKeydll文件。

经过这几步操作我们基本就可以确定这些文件是灰鸽子木马了，下面就可以进行手动清除。另外，如果你发现了瑞星杀毒软件查不到的灰

鸽子变种，也欢迎登陆瑞星新病毒上报网站（http://uprisingcomcn）上传样本。

灰鸽子的手工清除

经过上面的分析，清除灰鸽子就很容易了。清除灰鸽子仍然要在安全模式下操作，主要有两步：1、清除灰鸽子的服务；2删除灰鸽子程序

文件。

注意：为防止误操作，清除前一定要做好备份。

一、清除灰鸽子的服务

2000／XP系统：

1、打开注册表编辑器（点击“开始”－》“运行”，输入“Regeditexe”，确定。），打开

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services注册表项。

2、点击菜单“编辑”－》“查找”，“查找目标”输入“gameexe”，点击确定，我们就可以找到灰鸽子的服务项（此例为Game_Server）

。

3、删除整个Game_Server项。

98／me系统：

在9X下，灰鸽子启动项只有一个，因此清除更为简单。运行注册表编辑器，打开

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run项，我们立即看到名为Gameexe的一项，将Gameexe项删除即可。

二、删除灰鸽子程序文件

删除灰鸽子程序文件非常简单，只需要在安全模式下删除Windows目录下的Gameexe、Gamedll、Game_Hookdll以及Gamekeydll文件，然

后重新启动计算机。至此，灰鸽子已经被清除干净。

小结

本文给出了一个手工检测和清除灰鸽子的通用方法，适用于我们看到的大部分灰鸽子木马及其变种，然而仍有极少数变种采用此种方法无法

检测和清除。同时，随着灰鸽子新版本的不断推出，作者可能会加入一些新的隐藏方法、防删除手段，手工检测和清除它的难度也会越来越大

。当你确定机器中了灰鸽子木马而用本文所述的方法又检测不到时，最好找有经验的朋友帮忙解决。

同时随着瑞星杀毒软件2005版产品发布，杀毒软件查杀未知病毒的能力得到了进一步提高。经过瑞星公司研发部门的不断努力，灰鸽子病毒

可以被安全有效地自动清除，需要用户手动删除它的机会也将越来越少

“

要建立一个大数据系统，我们需要从数据流的源头跟踪到最后有价值的输出，并在现有的Hadoop和大数据生态圈内根据实际需求挑选并整合各部分合适的组件来构建一个能够支撑多种查询和分析功能的系统平台。这其中既包括了对数据存储的选择，也涵盖了数据线上和线下处理分离等方面的思考和权衡。此外，没有任何一个引入大数据解决方案的商业应用在生产环境上承担的起安全隐患。

1

计算框架篇

大数据的价值

只有在能指导人们做出有价值的决定时，数据才能体现其自身的价值。因此，大数据技术要服务于实际的用途，才是有意义的。一般来说，大数据可以从以下三个方面指导人们做出有价值的决定：

报表生成（比如根据用户历史点击行为的跟踪和综合分析、 应用程序活跃程度和用户粘性计算等）；

诊断分析（例如分析为何用户粘性下降、根据日志分析系统为何性能下降、垃圾邮件以及病毒的特征检测等）；

决策（例如个性化新闻阅读或歌曲推荐、预测增加哪些功能能增加用户粘性、帮助广告主进行广告精准投放、设定垃圾邮件和病毒拦截策略等）。

图 1

进一步来看，大数据技术从以下三个方面解决了传统技术难以达成的目标（如图1）：

在历史数据上的低延迟（“

要建立一个大数据系统，我们需要从数据流的源头跟踪到最后有价值的输出，并在现有的Hadoop和大数据生态圈内根据实际需求挑选并整合各部分合适的组件来构建一个能够支撑多种查询和分析功能的系统平台。这其中既包括了对数据存储的选择，也涵盖了数据线上和线下处理分离等方面的思考和权衡。此外，没有任何一个引入大数据解决方案的商业应用在生产环境上承担的起安全隐患。

1

计算框架篇

大数据的价值

只有在能指导人们做出有价值的决定时，数据才能体现其自身的价值。因此，大数据技术要服务于实际的用途，才是有意义的。一般来说，大数据可以从以下三个方面指导人们做出有价值的决定：

报表生成（比如根据用户历史点击行为的跟踪和综合分析、 应用程序活跃程度和用户粘性计算等）；

诊断分析（例如分析为何用户粘性下降、根据日志分析系统为何性能下降、垃圾邮件以及病毒的特征检测等）；

决策（例如个性化新闻阅读或歌曲推荐、预测增加哪些功能能增加用户粘性、帮助广告主进行广告精准投放、设定垃圾邮件和病毒拦截策略等）。

图 1

进一步来看，大数据技术从以下三个方面解决了传统技术难以达成的目标（如图1）：

在历史数据上的低延迟（交互式）查询，目标是加快决策过程和时间， 例如分析一个站点为何变缓慢并尝试修复它；

在实时数据上的低延迟查询，目的是帮助用户和应用程序在实时数据上做出决策， 例如实时检测并阻拦病毒蠕虫（一个病毒蠕虫可以在13秒内攻击1百万台主机）；

更加精细高级的数据处理算法，这可以帮助用户做出“更好”的决策， 例如图数据处理、异常点检测、趋势分析及其他机器学习算法。

蛋糕模式

从将数据转换成价值的角度来说，在Hadoop生态圈十年蓬勃成长的过程中，YARN和Spark这二者可以算得上是里程碑事件。Yarn的出现使得集群资源管理和数据处理流水线分离，大大革新并推动了大数据应用层面各种框架的发展（SQL on Hadoop框架, 流数据，图数据，机器学习）。

它使得用户不再受到MapReduce开发模式的约束，而是可以创建种类更为丰富的分布式应用程序，并让各类应用程序运行在统一的架构上，消除了为其他框架维护独有资源的开销。就好比一个多层蛋糕，下面两层是HDFS和Yarn, 而MapReduce就只是蛋糕上层的一根蜡烛而已，在蛋糕上还能插各式各样的蜡烛。

在这一架构体系中，总体数据处理分析作业分三块（图2），在HBase上做交互式查询（Apache Phoenix, Cloudera Impala等）， 在历史数据集上编写MapReduce程序抑或利用Hive等做批处理业务， 另外对于实时流数据分析Apache Storm则会是一种标准选择方案。

虽然Yarn的出现极大地丰富了Hadoop生态圈的应用场景，但仍存有两个显而易见的挑战：一是在一个平台上需要维护三个开发堆栈；二是在不同框架内很难共享数据，比如很难在一个框架内对流数据做交互式查询。这也意味着我们需要一个更为统一和支持更好抽象的计算框架的出现。

图 2

一统江湖

Spark的出现使得批处理任务，交互式查询，实时流数据处理被整合到一个统一的框架内（图3），同时Spark和现有的开源生态系统也能够很好地兼容（Hadoop, HDFS, Yarn, Hive, Flume）。 通过启用内存分布数据集，优化迭代工作负载， 用户能够更简单地操作数据，并在此基础上开发更为精细的算法，如机器学习和图算法等。

有三个最主要的原因促使Spark目前成为了时下最火的大数据开源社区（拥有超过来自200多个公司的800多个contributors）：

Spark可以扩展部署到超过8000节点并处理PB级别的数据，同时也提供了很多不错的工具供应用开发者进行管理和部署；

Spark提供了一个交互式shell供开发者可以用Scala或者Python即时性试验不同的功能；

Spark提供了很多内置函数使得开发者能够比较容易地写出低耦合的并且能够并发执行的代码，这样开发人员就更能集中精力地为用户提供更多的业务功能而不是花费时间在优化并行化代码之上。

当然Spark也和当年的MapReduce一样不是万灵药，比如对实时性要求很高的流数据处理上Apache Storm还是被作为主流选择， 因为Spark Streaming实际上是microbatch（将一个流数据按时间片切成batch,每个batch提交一个job）而不是事件触发实时系统，所以虽然支持者们认为microbatch在系统延时性上贡献并不多，但在生产环境中和Apache Storm相比还不是特别能满足对低延时要求很高的应用场景。

比如在实践过程中， 如果统计每条消息的平均处理时间，很容易达到毫秒级别，但一旦统计类似service assurance（确保某条消息在毫秒基本能被处理完成）的指标， 系统的瓶颈有时还是不能避免。

但同时我们不能不注意到，在许多用例当中，与流数据的交互以及和静态数据集的结合是很有必要的, 例如我们需要在静态数据集上进行分类器的模型计算，并在已有分类器模型的基础上，对实时进入系统的流数据进行交互计算来判定类别。

由于Spark的系统设计对各类工作（批处理、流处理以及交互式工作）进行了一个共有抽象，并且生态圈内延伸出了许多丰富的库（MLlib机器学习库、SQL语言API、GraphX）, 使得用户可以在每一批流数据上进行灵活的Spark相关操作，在开发上提供了许多便利。

Spark的成熟使得Hadoop生态圈在短短一年之间发生了翻天覆地的变化， Cloudera和Hortonworks纷纷加入了Spark阵营，而Hadoop项目群中除了Yarn之外已经没有项目是必须的了（虽然Mesos已在一些场合替代了Yarn）, 因为就连HDFS，Spark都可以不依赖。但很多时候我们仍然需要像Impala这样的依赖分布式文件系统的MPP解决方案并利用Hive管理文件到表的映射，因此Hadoop传统生态圈依然有很强的生命力。

另外在这里简要对比一下交互式分析任务中各类SQL on Hadoop框架，因为这也是我们在实际项目实施中经常遇到的问题。我们主要将注意力集中在Spark SQL, Impala和Hive on Tez上, 其中Spark SQL是三者之中历史最短的，论文发表在15年的SIGMOD会议上， 原文对比了数据仓库上不同类型的查询在Shark（Spark最早对SQL接口提供的支持）、Spark SQL和Impala上的性能比较。

也就是说， 虽然Spark SQL在Shark的基础上利用Catalyst optimizer在代码生成上做了很多优化，但总体性能还是比不上Impala, 尤其是当做join操作的时候， Impala可以利用“predicate pushdown”更早对表进行选择操作从而提高性能。

不过Spark SQL的Catalyst optimizer一直在持续优化中，相信未来会有更多更好的进展。Cloudera的Benchmark评测中Impala一直比其他SQL on Hadoop框架性能更加优越，但同时Hortonworks评测则指出虽然单个数据仓库查询Impala可以在很短的时间内完成，但是一旦并发多个查询Hive on Tez的优势就展示出来。另外Hive on Tez在SQL表达能力也要比Impala更强（主要是因为Impala的嵌套存储模型导致的）， 因此根据不同的场景选取不同的解决方案是很有必要的。

图 3

各领风骚抑或代有才人出？

近一年比较吸引人眼球的Apache Flink（与Spark一样已有5年历史，前身已经是柏林理工大学一个研究性项目，被其拥趸推崇为继MapReduce, Yarn，Spark之后第四代大数据分析处理框架）。 与Spark相反，Flink是一个真正的实时流数据处理系统，它将批处理看作是流数据的特例，同Spark一样它也在尝试建立一个统一的平台运行批量，流数据，交互式作业以及机器学习，图算法等应用。

Flink有一些设计思路是明显区别于Spark的，一个典型的例子是内存管理，Flink从一开始就坚持自己精确的控制内存使用并且直接操作二进制数据，而Spark一直到15版本都还是试用java的内存管理来做数据缓存，这也导致了Spark很容易遭受OOM以及JVM GC带来的性能损失。

但是从另外一个角度来说, Spark中的RDD在运行时被存成java objects的设计模式也大大降低了用户编程设计门槛， 同时随着Tungsten项目的引入，Spark现在也逐渐转向自身的内存管理， 具体表现为Spark生态圈内从传统的围绕RDD（分布式java对象集合）为核心的开发逐渐转向以DataFrame(分布式行对象集合)为核心。

总的来说，这两个生态圈目前都在互相学习，Flink的设计基因更为超前一些，但Spark社区活跃度大很多，发展到目前毫无疑问是更为成熟的选择，比如对数据源的支持（HBase, Cassandra, Parquet, JSON, ORC）更为丰富以及更为统一简洁的计算表示。另一方面，Apache Flink作为一个由欧洲大陆发起的项目，目前已经拥有来自北美、欧洲以及亚洲的许多贡献者，这是否能够一改欧洲在开源世界中一贯的被动角色，我们将在未来拭目以待。

2

NoSQL数据库篇

NoSQL数据库在主流选择上依旧集中在MongoDB, HBase和Cassandra这三者之间。在所有的NoSQL选择中，用C 编写的MongoDB几乎应该是开发者最快也最易部署的选择。MongoDB是一个面向文档的数据库，每个文档／记录／数据（包括爬取的网页数据及其他大型对象如视频等）是以一种BSON（Binary JSON）的二进制数据格式存储, 这使得MongoDB并不需要事先定义任何模式, 也就是模式自由（可以把完全不同结构的记录放在同一个数据库里）。

MongoDB对于完全索引的支持在应用上是很方便的，同时也具备一般NoSQL分布式数据库中可扩展，支持复制和故障恢复等功能。 MongoDB一般应用于高度伸缩性的缓存及大尺寸的JSON数据存储业务中，但不能执行“JOIN”操作，而且数据占用空间也比较大，最被用户诟病的就是由于MongoDB提供的是数据库级锁粒度导致在一些情况下建索引操作会引发整个数据库阻塞。一般来说，MongoDB完全可以满足一些快速迭代的中小型项目的需求。

下面来主要谈谈Cassandra和HBase之间的比较选择。Cassandra和HBase有着截然不同的基因血统。HBase和其底层依赖的系统架构源自于著名的Google FileSystem（发表于2003年）和Google BigTable设计（发表于2006年）， 其克服了HDFS注重吞吐量却牺牲I/O的缺点，提供了一个存储中间层使得用户或者应用程序可以随机读写数据。

具体来说，HBase的更新和删除操作实际上是先发生在内存MemStore中， 当MemStore满了以后会Flush到StoreFile, 之后当StoreFile文件数量增长到一定阈值后会触发Compact合并操作，因此HBase的更新操作其实是不断追加的操作，而最终所有更新和删除数据的持久化操作都是在之后Compact过程中进行的。

这使得应用程序在向内存MemStore写入数据后，所做的修改马上就能得到反映，用户读到的数据绝不会是陈旧的数据，保证了I/O高性能和数据完全一致性； 另一方面来说， HBase基于Hadoop生态系统的基因就已经决定了他自身的高度可扩展性、容错性。

在数据模型上，Cassandra和HBase类似实现了一个key-value提供面向列式存储服务，其系统设计参考了 Amazon Dynamo (发表于2007年) 分布式哈希（DHT）的P2P结构（实际上大部分Cassandra的初始工作都是由两位从Amazon的Dynamo组跳槽到Facebook的工程师完成)，同样具有很高的可扩展性和容错性等特点。

除此之外， 相对HBase的主从结构，Cassandra去中心化的P2P结构能够更简单地部署和维护，比如增加一台机器只需告知Cassandra系统新节点在哪，剩下的交给系统完成就行了。同时，Cassandra对多数据中心的支持也更好，如果需要在多个数据中心进行数据迁移Cassandra会是一个更优的选择。

Eric Brewer教授提出的经典CAP理论认为任何基于网络的数据共享系统，最多只能满足数据一致性、可用性、分区容忍性三要素中的两个要素。实际分布式系统的设计过程往往都是在一致性与可用性上进行取舍，相比于HBase数据完全一致性的系统设计，Cassandra选择了在优先考虑数据可用性的基础上让用户自己根据应用程序需求决定系统一致性级别。

比如：用户可以配置QUONUM参数来决定系统需要几个节点返回数据才能向客户端做出响应，ONE指只要有一个节点返回数据就可以对客户端做出响应，ALL指等于数据复制份数的所有节点都返回结果才能向客户端做出响应，对于数据一致性要求不是特别高的可以选择ONE，它是最快的一种方式。

从基因和发展历史上来说，HBase更适合用做数据仓库和大规模数据处理与分析（比如对网页数据建立索引）， 而Cassandra则更适合用作实时事务和交互式查询服务。Cassandra在国外市场占有比例和发展要远比国内红火， 在不少权威测评网站上排名都已经超过了HBase。目前Apache Cassandra的商业化版本主要由软件公司DataStax进行开发和销售推广。另外还有一些NoSQL分布式数据库如Riak, CouchDB也都在各自支持的厂商推动下取得了不错的发展。

虽然我们也考虑到了HBase在实际应用中的不便之处比如对二级索引的支持程度不够（只支持通过单个行键访问，通过行键的范围查询，全表扫描），不过在明略的大数据基础平台上，目前整合的是依然是HBase。

理由也很简单，HBase出身就与Hadoop的生态系统紧密集成，其能够很容易与其他SQL on Hadoop框架（Cloudera Impala, Apache Phoenix, or Hive on Tez）进行整合，而不需要重新部署一套分布式数据库系统，而且可以很方便地将同样的数据内容在同一个生态系统中根据不同框架需要来变换存储格式（比如存储成Hive表或者Parquet格式）。

我们在很多项目中都有需要用到多种SQL on Hadoop框架，来应对不同应用场景的情况，也体会到了在同一生态系统下部署多种框架的简便性。 但同时我们也遇到了一些问题， 因为HBase项目本身与HDFS和Zookeeper系统分别是由不同开源团队进行维护的，所以在系统整合时我们需要先对HBase所依赖的其他模块进行设置再对HBase进行配置，在一定程度上降低了系统维护的友好性。

目前我们也已经在考虑将Cassandra应用到一些新的客户项目中，因为很多企业级的应用都需要将线上线下数据库进行分离，HBase更适合存储离线处理的结果和数据仓库，而更适合用作实时事务和并发交互性能更好的Cassandra作为线上服务数据库会是一种很好的选择。

3

大数据安全篇

随着越来越多各式各样的数据被存储在大数据系统中，任何对企业级数据的破坏都是灾难性的，从侵犯隐私到监管违规，甚至会造成公司品牌的破坏并最终影响到股东收益。给大数据系统提供全面且有效的安全解决方案的需求已经十分迫切：

大数据系统存储着许多重要且敏感的数据，这些数据是企业长久以来的财富

与大数据系统互动的外部系统是动态变化的，这会给系统引入新的安全隐患

在一个企业的内部，不同Business Units会用不同的方式与大数据系统进行交互，比如线上的系统会实时给集群推送数据、数据科学家团队则需要分析存储在数据仓库内的历史数据、运维团队则会需要对大数据系统拥有管理权限。

因此为了保护公司业务、客户、财务和名誉免于被侵害，大数据系统运维团队必须将系统安全高度提高到和其他遗留系统一样的级别。同时大数据系统并不意味着引入大的安全隐患，通过精细完整的设计，仍然能够把一些传统的系统安全解决方案对接到最新的大数据集群系统中。

一般来说，一个完整的企业级安全框架包括五个部分：

Administration: 大数据集群系统的集中式管理，设定全局一致的安全策略

Authentication: 对用户和系统的认证

Authorization：授权个人用户和组对数据的访问权限

Audit：维护数据访问的日志记录

Data Protection：数据脱敏和加密以达到保护数据的目的

系统管理员要能够提供覆盖以上五个部分的企业级安全基础设施，否则任何一环的缺失都可能给整个系统引入安全性风险。

在大数据系统安全集中式管理平台这块，由Hortonworks推出的开源项目Apache Ranger就可以十分全面地为用户提供Hadoop生态圈的集中安全策略的管理，并解决授权(Authorization)和审计(Audit)。例如，运维管理员可以轻松地为个人用户和组对文件、数据等的访问策略，然后审计对数据源的访问。

与Ranger提供相似功能的还有Cloudera推出的Apache Sentry项目，相比较而言Ranger的功能会更全面一些。

而在认证（Authentication）方面, 一种普遍采用的解决方案是将基于Kerberos的认证方案对接到企业内部的LDAP环境中， Kerberos也是唯一为Hadoop全面实施的验证技术。

另外值得一提的是Apache Knox Gateway项目，与Ranger提高集群内部组件以及用户互相访问的安全不同，Knox提供的是Hadoop集群与外界的唯一交互接口，也就是说所有与集群交互的REST API都通过Knox处理。这样，Knox就给大数据系统提供了一个很好的基于边缘的安全（perimeter-based security）。

基于以上提到的五个安全指标和Hadoop生态圈安全相关的开源项目， 已经足已证明基于Hadoop的大数据平台我们是能够构建一个集中、一致、全面且有效的安全解决方案。

我市再ITjob管网上面找的