| 该用户匿名发帖 发表于 2007-3-1 22:34 只看TA 1楼 |
|---|
| 该用户已被删除 |
|
[交流] 识别，杀掉进程中的病毒文件， 病毒是我们最亲近的敌人,俗话说:"人在网上飘,谁不中两刀".希望我的一些心得能给新手一些帮助.(仅代表本人看法,俺也是江湖一菜鸟也)病毒分析:(大型病毒专业杀毒厂家都没罩,俺也只能杀些小毒). 1.病毒的感染,大部分是从你进入一些病毒网站,不小心下载或 接收了些病毒软件开始的.网页和程序语言都有专门往 注册表写入东西的命令.当你做了以上的事,注册表首先被 病毒改写. 2.病毒的潜伏期.一般在刚中之时,主要三个内容: 1.往注册表写东西,对系统各 个部件,文件进行限制或改写 操作.如.修改.EXE文件关联, 锁定注册表等等. 2.往系统中写入些文件,而为了达到隐蔽 的效果,常常病毒 文件在系统盘\WINDONS,\WINDOWS\ SYSTEM32下,而文件 名与正常的系统命令往往只有一子之 差,甚至把图标改为 系统文件的图标. 3.执行一些WINDOWS命令.如果病毒程序随便执行一个命令 都可能对系统造成重大型伤害,比如DEL,FORMAT.如果用 命令打开一些端口,启动一些服务,偷偷建立一些帐户,危 险性更大. 3.病毒发作期. 病毒在注册表中写入的破坏, 一般在电脑重启后开始全 面发作. 造成各种损坏. 二. 杀毒过程: 1.病毒要想发作,必定要先使 自己启动. 2.病毒启动后,会监视注册表,当我们发现中毒后, 最常做的就是就是杀毒,或进入注册表查看那些 RUN等 启动项中有哪些非法执行文件,强行杀掉.而那些病毒程 序往往在你刚改完它又重新往注册表里写东西.使自己 能在重启时启动,或者重新写入破坏的命令. 这就是杀完毒,或在注册表里全面禁止运行后病毒重新 发作的原因. 3.这时我们应该先关闭这些病毒程序.然后找到这些病毒 文件删除.如果没法子关闭病毒程序,往往是找到病毒文 件却无法删除. 4.这时再启动杀毒软件,或手动禁止文件再自动启动. 三.病毒防杀的方法:(只说我知道的,以后补充). 1.病毒文件常常不只一个,两个,如果只关闭这两个,它可以 通过其他病毒程序重新打开. 2.通过修改关联的方法使自己重新启动.比如修改.EXE文件 的关联为病毒程序,这样子当你关闭病毒程序后,只要你 运行任何一程序,病毒又一次打开.当然关联其他文件也 挺好. 3.比较强的病毒会把自己改为服务的名字,但我们试图杀 它们的时候,系统处于保护系统的目的,不允许关闭他们 如下图中的两个csrss.exe,一个是正常的系统文件.另一 个是病毒,但在任务管理器中你一关闭进程就提示错误, 无法关闭. 下面我把自己杀毒的经过说说,希望对大家有用. 1.必须关闭病毒进程.方法如下:任务管理器的进程表示我们目前电脑正在运行的程序。那这些程序哪些是合法的，哪些是系统必须的，不能关闭；哪些可能是病毒程序呢？下面以图简单谈谈识别的技巧。 1。用任何管理器。看图: a. 系统文件：进程中用户名标为system,network service,local service 一般是系统进程，不可关闭，关闭会出现提示禁止关闭。 就算能关闭也可能造成系统不稳定，或一些服务无法使用。 b.合法软件：进程中用户名为用户名字的，图中的liu就是本人的用户名， 那么那些进程就不是系统进程，那是你启动的一些软件的名字 c.可能的病毒木马：如果用户名为LIU的，除去你自己打开的软件，剩下的 就可能有问题。特别是病毒喜欢把自己的名字弄的与系统文件 一样。但用户名中却一目了然。 注：很多人说到打开任务管理器没有显示打开的用户名，是因为服务被关闭。打开方法：开始菜单－控制面板－管理工具－服务，在打开的服务窗口中找到Terminal Services，启用它就可以看到用户名了。但这个命令关系远程控制的，建议还是关闭为好。 当然系统自带的任务管理器太烂,网上有很多进程软件,希望大 家推荐几个.我这里介绍PrcMgr.他能辨认大部分系统进程,只要是系统 进程,在右边的窗口中会介绍这个进程的作用.如果不是系统文件,会 用红色的字显示程序不认识.当然你也可以把自己常用的软件加进程 序的资料库,下次程序就能认出是合法进程.而那些病毒非法侵入,当然 程序不认识,我们也可以一眼判断出来. 3.上面讲得是如何查看进程。下面说说如何禁止病毒进程。 一般直接在任务管理器或进程管理软件中点击，关闭即可。 上面图1共有6个病毒进程，分别是lsas32.exe,winmgr.exe,inte.exe, syslog.exe,csrss32.exe ,csrss.exe，剩下的以LIU为用户名的进程都是我打开的软件。 用任务管理器能杀死前5个，但CSRSS.EXE关闭时却提示 “系统重要进程，无法关闭”，如上面图2所示，就因为它与真正的系统进程CSRSS.EXE同名。可能有很多进程软件可以强制查杀，我用的是 脱壳软件PEiD的任务管理器，强制查杀。如图1： 二。修正注册表。 主要是以下方面： 1.删除病毒的自启动。 a.运行－－MSCONFIG，如图2。不仅“启动”页要查，SYSTEM.INI, WIN.INI,BOOT.INI页要逐项认真查看，特别注意LOAD=,RUN= 的值，最重要的还有服务那一页。看图中解说。 B.运行－－REGEDIT，启动注册表。查找所有启动的项目。主要 有以下键值： HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Terminal Server\Install\Software\Microsoft\Windows\CurrentVersion\Run HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run （以上各项，可以进注册表查找所有“RUN"项，删除右边窗口键值） 所有RUNservicesOnce键 所有RUNservices键。 查找所有RUNONCE键. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon下的两个 重要键值，很隐秘： SHELL＝EXPLORER.EXE（后面可以跟上其他程序，会自启动。格式：EXPLORER.EXE *.EXE userinit＝userinit.exe（格式：userinit=userinit.exe,*.exe,*.exe 可以跟很多程序，以逗号隔开） （这两个如果值变成其他程序，或者EXEPLORER.EXE后跟其他程序。那么系统一开机病毒在任何 程序启动前就会启动，甚至可能比杀毒程序更早，危险） LOAD键： HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows右边的load，一般值为空的，加上其他程序可以自启动。 所有用户的启动项：开始菜单\程序\启动 这些启动项的启动顺序 runservicesonce ------runservices---用户登陆-winlogo下的userinit和shell两个键盘－－hkey_local_machine下的runonce键－－LOAD键－－－RUNONCE\SETUP键－两个CurrentVersion\Run键－开始菜单启动 [不一定注册表中这些键都有值，大部分是空的，在全部都有的情况下 启动顺序是上面。runservicesonce ------runservices是用来注册启动系统服务的，这两个键能在用户登陆前启动，相当危险。 C.注意文件关联的键值。许多病毒进程刚关闭，没一会儿 又 会 自动出现。不要奇怪，这是病毒改写了一些文件 的 关联。如HKEY_CLASSES_ROOT\exefile\shell\open\command 的值正常为"%1" %*,如果值被改为病毒程序。那么病毒就 可以在任何程序运行时跟着又启动了。 所以大家要认真看看病毒程序在运行哪一类文件后 出现， 找找那个文件的关联，改为默认值。 关联文件的知识，改法可以参考：文件关联的破坏和修复 三。删除病毒文件。 找到可疑进程，然后查看可疑进程的位置，进入该文件夹，直接删除就可以了。注意点： 1。病毒程序常会隐藏。可以在文件夹选项中进行调节显示。如图三项要调节。还有一种即使你把三项都调了，但重新打开发现，刚才的调节没有效果，就是仍然不显示隐藏文件和文件夹。就是注册表中被改动。 方法：运行－REGEDIT,依次打开HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL 把CheckedValue的值改为1就可以了。附录中的双击执行就可以破隐藏了。 2。病毒程序往往不只一个。他们会互相照应，杀掉一个，但其他只要还在，往往又会重新写入文件。3721等流氓软件也有这样的特点。一定要把注册表中所有的自启动项，看清楚，找到路径，删掉文件。 附录4中的软件KILLBOX可以杀死任何顽固的文件，甚至正在运行的文件，关键是要选择删除文件前关闭进程。 |
| 0 |
