巧用Win 7控制策略 困死木馬病毒

　　計算機病毒之所以成為網絡安全的頭號公敵，一是因為其極強的傳播性， 二是因為其難以清除的特性。我們經常會碰到一些難以清除的病毒，即使殺毒軟件提示已經查殺成功，但是病毒文件並沒有被刪除，仍舊留在系統中作威作福。要想 對付這類病毒，我們應該換一個思路，既然刪除不了，那麼我們索性就不去刪除它，而是通過系統的一些內置功能限制它的運行，只要它運行不了，那麼自然就無法 進行破壞了。本期就讓我們來看看如何利用Win7系統自帶的軟件控制策略限制病毒的運行。

　　編輯提示：病毒為何難以清除?

　　在某些病毒面前，殺毒軟件並不能很好的履行其殺毒的職責，最多只能達到查毒的效果。為什麼會出現這種情況呢?殺毒軟件不是應該對病毒殺無赦 嗎?其實這不能怪殺毒軟件，而要怪病毒太狡猾，利用技術上的手段讓殺毒軟件對其無可奈何。下面我們來分析一下殺毒軟件無法清除病毒的兩種原因：

　　1、狡“毒”三窟。某些病毒為了防止自身被殺毒軟件查殺，會將病毒文件復制到系統的多個位置。在這些病毒文件當中，會故意讓殺毒軟件查殺其中 的一個，而對其他幾個病毒文件進行加密，躲過查殺。這樣殺毒軟件將暴露的病毒文件刪除後，其他病毒文件就又會偷偷的將其恢復，這就是某些病毒感覺永遠也刪 不干淨的原因。

　　2、病毒文件正在被系統使用。我們都知道，正在運行的程序是無法刪除的，因為程序有很多的dll動態鏈接庫文件與系統掛鉤，病毒正是利用這個 原理，死死的與系統粘在一起，殺毒軟件想殺我?把系統一起給刪了吧。對付這種病毒，最好的辦法就是限制其運行，讓它能夠存在，但無法作惡，就像給它建造了 一座監獄一樣。

　　Win7相對Windows XP增加了很多功能，雖然這些功能我們平時很少用到，但是用起來卻非常實用，例如AppLocker功能，稱為“應用程序控制策略”，我們可以用它輕松創建對某個程序的限制策略。用來對付“牛皮癬”式的病毒是最合適不過的了。

　　Step1：單擊“開始”→在“搜索程序和文件”框中輸入“secpol.msc”→按回車→打開本地安全策略窗口→找到應用程序控制策略→AppLocker→可執行規則。

　　Step2：在右側空白區域右鍵菜單，選擇“創建新規則”→進入新規則向導。

　　Step3：選中“權限”項，將其“操作”設置為“拒絕”，“用戶或組”選擇為“Everyone”，這樣就所有人都無法運行被限制的病毒，包括系統本身。

　　Step4：選中“條件”項。這裡我們可以通過三種條件類型來限制程序運行，分別是：“發布者”、“路徑”、“文件哈希”。“發布者”是根據 數字簽名來進行判斷的，由於病毒通常沒有數字簽名，因此該項暫時用不到，但是這條在限制普通軟件的時候尤其有用。“路徑”則是直接選中病毒文件或者文件 夾。而“文件哈希”可以通過哈希值來限制病毒，即使病毒復制了很多份到不同地方，也能讓其全部報廢。這裡我們以“路徑”限制為例，進入下一步後，我們點擊 “浏覽文件”按鈕選中病毒文件，然後點擊“創建”按鈕。

　　Step5：由於我們創建的是第一條規則，那麼在完成後會有個默認規則創建提示，需點擊“是”，允許創建默認規則，以免設置的規則使得系統文件程序遭到限制。

　　這樣一條限制規則就生效了。我們可以雙擊運行一下病毒試試看，是不是發現病毒已經被限制運行了?

　　小貼士：如果設置AppLocker規則無效，請單擊“開始”→在“搜索程序和文件”框中鍵入services.msc→按Enter鍵→打開“服務”，找到找到Application Identity項，將其啟動類型設為“自動”，然後按“啟動”，就可讓規則生效。