把持windows系統自帶呼吁手工搞定病毒

　　利用windows系統自帶命令手工搞定病毒上網最恐怖的事莫過於新病毒出來的時候，盡管電腦上我們都裝有各種強大的殺毒軟件，也配置了定時自動更新病毒庫，但病毒總是要先於病毒庫的更新的，所以中招的每次都不會是少數，這裡列舉一些通用的殺毒方法，自己親自動手來用系統自帶的工具絞殺病毒：

　　一、自己動手前，切記有備無患——用tasklist備份系統進程

　　新型病毒都學會了用進程來隱藏自己，所以我們最好在系統正常的時候，備份一下電腦的進程列表，當然最好在剛進入windows時不要運行任何程序的情況下備份，樣以後感覺電腦異常的時候可以通過比較進程列表，找出可能是病毒的進程。

　　在命令提示符下輸入：

　　tasklist/fo:csv>g:zc.csv

　　上述命令的作用是將當前進程列表以csv格式輸出到“zc.csv”文件中，g:為你要保存到的盤，可以用excel打開該文件.

　　二、自己動手時，必須火眼金睛——用fc比較進程列表文件

　　如果感覺電腦異常，或者知道最近有流行病毒，那麼就有必要檢查一下。

　　進入命令提示符下，輸入下列命令：

　　tasklist/fo:csv>g:yc.csv

　　生成一個當前進程的yc.csv文件列表，然後輸入：

　　fcg:\zccsvg:\yc.csy

　　回車後就可以看到前後列表文件的不同了，通過比較發現，電腦多了一個名為“winion0n.exe”(這裡以這個進程為例)不是“winionon.exe”的異常進程。

　　三、進行判斷時，切記證據確鑿——用netstat查看開放端口

　　對這樣的可疑進程，如何判斷它是否是病毒呢?根據大部分病毒(特別是木馬)會通過端口進行對外連接來傳播病毒，可以查看一下端口占有情況。

　　在命令提示符下輸入：

　　netstat-a-n-o

　　參數含義如下：

　　a:顯示所有與該主機建立連接的端口信息

　　n:顯示打開端口進程pid代碼

　　o：以數字格式顯示地址和端口信息

　　回車後就可以看到所有開放端口和外部連接進程，這裡一個pid為1756(以此為例)的進程最為可疑，它的狀態是“established”，通過任務管理器可以知道這個進程就是“winion0n.exe”，通過查看本機運行網絡程序，可以判斷這是一個非法連接!

　　連接參數含義如下：

　　listeninc：表示處於偵聽狀態，就是說該端口是開放的，等待連接，但還沒有被連接，只有tcp協議的服務端口才能處於listeninc狀態。

　　established的意思是建立連接。

　　表示兩台機器正在通信。

　　time-wait意思是結束了這次連接。

　　說明端口曾經有過訪問，但訪問結束了，用於判斷是否有外部電腦連接到本機。

　　四：下手殺毒時，一定要心狠手辣——用ntsd終止進程

　　雖然知道“winion0n.exe”是個非法進程，但是很多病毒的進程無法通過任務管理器終止，怎麼辦?

　　在命令提示符下輸入下列命令：

　　ntsd–cq-p1756

　　回車後可以順利結束病毒進程。

　　提示：“1756”為進程pid值，如果不知道進程的id，打開任務管理器，單擊“查看→選擇列→勾上pid(進程標識符)即可。

　　ntsd可以強行終止除sytem,smss.exe,csrss.exe外的所有進程。

　　五、斷定病毒後，定要斬草除根——搜出病毒原文件

　　對於已經判斷是病毒文件的“winion0n.exe”文件，通過搜索“本地所有分區”、“搜索系統文件夾和隱藏的文件和文件夾”，找到該文件的藏身之所，將它刪除。

　　不過這樣刪除的只是病毒主文件，通過查看它的屬性，依據它的文件創建曰期、大小再次進行搜索，找出它的同伙並刪除。

　　如果你不確定還有那些文件是它的親戚，通過網絡搜索查找病毒信息獲得幫助。

　　六、清除病毒後一定要打掃戰場

　　手動修復注冊表雖然把病毒文件刪除了，但病毒都會在注冊表留下垃圾鍵值，還需要把這些垃圾清除干淨。

　　1、用regexport備份自啟動。

　　由於自啟動鍵值很多，發現病毒時手動查找很不方便。

　　這裡用regexport+批處理命令來備份。

　　啟動記事本輸入下列命令：

　　regexporthklm\software\microsoft\windows\

　　currentversion\runfo:\hklmrun.reg

　　regexporthkcu\software\microsoft\windows\

　　currentversion\policies\explorer\runf:\hklcu.reg

　　regexporthklm\software\microsoft\windows\

　　currentversion\policies\explorer\runhklml.reg

　　注：這裡只列舉幾個常見鍵值的備份，其它鍵值請參照上述方法制作。

　　然後將它保存為ziqidong.bat在命令提示符下運行它，即可將所有自啟動鍵值備份到相應的reg文件中，接著再輸入：

　　copyf:\.regziqidong.txt

　　命令的作用是將所有備份的reg文件輸出到“ziqidong.txt”中，這樣如果發現病毒新增自啟動項，同上次導出自啟動值，利用上面介紹的fc命令比較前後兩個txt文件，即可快速找出新增自啟動項目。

　　2、用regdelete刪除新增自啟動鍵值。

　　比如：通過上面的方法在[hker_current_user\software\microsoft\

　　windows\currentversion\run],找到一個“logon”自啟動項，啟動程序為“c:\windows\winlogon.exe”,現在輸入下列命令即可刪除病毒自啟動鍵值：

　　regdeletehklm\software\microssoft\windows\

　　currentversion\run/f

　　3、用regimport恢復注冊表。

　　regde-lete刪除是的是整個run鍵值，現在用備份好的reg文件恢復即可，輸入下列命令即可迅速還原注冊表：regimportf:\hklmrun.reg

　　上面介紹手動殺毒的幾個系統命令，其實只要用好這些命令，我們基本可以kill掉大部分的病毒，當然平時就一定要做好備份工作。

　　提示：上述操作也可以在注冊表編輯器裡手動操作，但是reg命令有個好處，那就是即使注冊表編輯器被病毒設置為禁用，5自學網，也可以通過上述命令導出/刪除/導入操作，而且速度更快!

　　七、捆綁木馬克星——find

　　上面介紹利用系統命令查殺一般病毒，下面再介紹一個檢測捆綁木馬的“find”命令。

　　相信很很多網蟲都遭遇過捆綁木刀，這些“批著羊皮的狼”常常躲在圖片、flash、甚至音樂文件後面。

　　當我們打開這些文件的時候，雖然在當前窗口顯示的確實是一幅圖片(或是播放的flash)，但可惡的木馬卻已經在後台悄悄地運行了。

　　比如近曰我就收到一張好友從qq傳來的超女壁紙，但是當我打開圖片時卻發現：圖片已經用“圖片和傳真查看器”打開了，硬盤的指示燈卻一直在狂閃。

　　顯然在我打開圖片的同時，有不明的程序在後台運行。

　　現在用find命令檢測圖片是否捆綁木馬，在命令提示符輸入：

　　find/c/i〝thisprogram〞g:\chaonv.jpe.exe其中:

　　g:\chaonv.jpe.exe表示需要檢測的文件

　　find命令返回的提示是“___g:chaonv.exe:2”,這表明“g：、chaonv.exe”確實捆綁了其它文件。

　　因為find命令的檢測：如果是exe文件，正常情況下返回值應該為“1”;如果是不可執行文件，正常情況下返回值應該為“0”，其它結果就要注意了。

　　提示：其實很多捆綁木馬是利用windows默認的“隱藏已知類型文件擴展名”來迷惑我們，比如本例的“chaonv.jpe.exe”，由於這個文件采用了jpg文件的圖標，才導致上當。

　　打開“我的電腦”，單擊“工具→文件夾選項”，“單擊”“查看”，去除“隱藏已知類型文件擴展名”前的小勾，即可看清“狼”的真面目。

　　八、總結

　　最後我們再來總結一下手動毒的流程：

　　用tsklist備份好進程列表→通過fc比較文件找出病毒→用netstat判斷進程→用find終止進程→搜索找出病毒並刪除→用reg命令修復注冊表。

　　這樣從發現病毒、刪除病毒、修復注冊表，這完成整個手動查毒、殺毒過程。

　　（完）

　　利用excel剿滅dll木馬

　　dll木馬是依靠dll文件來作惡的，木馬運行時不會在進程列表出現新的進程，而且很多dll木馬還插入到系統關鍵進程中(無法終止)，即使能被殺毒軟件檢測出來也無法查殺，這給系統安全帶來極大的威脅。如果你的手頭沒有趁手的殺馬兵器，抄起辦公的excel我們也可以肉搏一番。下面就看看我們是如何用excel對付這種插入lsass.exe進程的木馬吧!

　　第一步：查找被感染的進程

　　近日開機上網一段時間後就覺得網速特別的慢，於是便運行“netstat-a-n-o”查看開放的端口和連接，其中進程pid為580發起的連接極為可疑：狀態為established，表示兩台機器正在通信。通過任務管理器可以知道這個進程為lsass.exe，根據進程的解釋，lsass.exe是用於微軟windows系統的安全機制，它用於本地安全和登陸策略，顯然這個進程是不需要開放端口和外部連接的，據此判斷該進程極可能插入dll木馬。如果牧馬者當前沒有進行連接，還可以通過端口狀態判斷是否中招，如time_wait的意思是結束了這次連接，說明端口曾經有過訪問，5自學網，但訪問結束了，表明已經有黑客入侵過本機。listening表示處於偵聽狀態，等待連接，但還沒有被連接，不過只有tcp協議