一、自己動手前,切記有備無患——用TaskList備份系統進程
新型病毒都學會了用進程來隱藏自己,所以我們最好在系統正常的時候,備份一下電腦的進程列表,當然最好在剛進入Windows時不要運行任何程序的情況下備份,樣以後感覺電腦異常的時候可以通過比較進程列表,找出可能是病毒的進程。
在命令提示符下輸入:
TaskList /fo:csv>g:zc.csv
上述命令的作用是將當前進程列表以csv格式輸出到“zc.csv”文件中,g:爲你要保存到的盤,可以用Excel打開該文件.
二、自己動手時,必須火眼金睛——用FC比較進程列表文件 如果感覺電腦異常,或者知道最近有流行病毒,那麼就有必要檢查一下。
進入命令提示符下,輸入下列命令:
TaskList /fo:csv>g:yc.csv
生成一個當前進程的yc.csv文件列表,然後輸入:
FC g:/zccsv g:/yc.csy
回車後就可以看到前後列表文件的不同了,通過比較發現,電腦多了一個名爲“Winion0n.exe”(這裏以這個進程爲例)不是“Winionon.exe”的異常進程。
三、進行判斷時,切記證據確鑿——用Netstat查看開放端口 對這樣的可疑進程,如何判斷它是否是病毒呢?根據大部分病毒(特別是木馬)會通過端口進行對外連接來傳播病毒,可以查看一下端口占有情況。
在命令提示符下輸入:
Netstat -a-n-o
參數含義如下:
a:顯示所有與該主機建立連接的端口信息
n:顯示打開端口進程PID代碼
o:以數字格式顯示地址和端口信息
回車後就可以看到所有開放端口和外部連接進程,這裏一個PID爲1756(以此爲例)的進程最爲可疑,它的狀態是“ESTABLISHED”,通過任務管理器可以知道這個進程就是“Winion0n.exe”,通過查看本機運行網絡程序,可以判斷這是一個非法連接!
連接參數含義如下:
LISTENINC:表示處於偵聽狀態,就是說該端口是開放的,等待連接,但還沒有被連接,只有TCP協議的服務端口才能處於LISTENINC狀態。
ESTABLISHED的意思是建立連接。表示兩臺機器正在通信。TIME-WAIT意思是結束了這次連接。說明端口曾經有過訪問,但訪問結束了,用於判斷是否有外部電腦連接到本機。
四:下手殺毒時,一定要心狠手辣——用NTSD終止進程
雖然知道 “Winion0n.exe”是個非法進程,但是很多病毒的進程無法通過任務管理器終止,怎麼辦?
在命令提示符下輸入下列命令:
ntsd –c q-p 1756
回車後可以順利結束病毒進程。
提示:“1756”爲進程PID值,如果不知道進程的ID,打開任務管理器,單擊“查看→選擇列→勾上PID(進程標識符)即可。NTSD可以強行終止除Sytem,SMSS.EXE,CSRSS.EXE外的所有進程。
五、斷定病毒後,定要斬草除根——搜出病毒原文件 對於已經判斷是病毒文件的“Winion0n.exe”文件,通過搜索“本地所有分區”、“搜索系統文件夾和隱藏的文件和文件夾”,找到該文件的藏身之所,將它刪除。不過這樣刪除的只是病毒主文件,通過查看它的屬性,依據它的文件創建日期、大小再次進行搜索,找出它的同夥並刪除。如果你不確定還有那些文件是它的親戚,通過網絡搜索查找病毒信息獲得幫助。
六、清除病毒後一定要打掃戰場——手動修復註冊表雖然把病毒文件刪除了,但病毒都會在註冊表留下LJ鍵值,還需要把這些LJ清除乾淨。1、用reg export備份自啓動。由於自啓動鍵值很多,發現病毒時手動查找很不方便。這裏用reg export+批處理命令來備份。
啓動記事本輸入下列命令:
reg export HKLM/software/Microsoft/Windows/
CurrentVersion/Run fo:/hklmrun.reg
reg export HKCU/Software/Microsoft/Windows/
CurrentVersion/Policies/Explorer/Run f:/hklcu.reg
reg export HKLM/SOFTWARE/Microsoft/Windows/
CurrentVersion/Policies/Explorer/Run hklml.reg
注:這裏只列舉幾個常見鍵值的備份,其它鍵值請參照上述方法制作。
然後將它保存爲ziqidong.bat在命令提示符下運行它,即可將所有自啓動鍵值備份到相應的reg文件中,接着再輸入:
copy f:/*.reg ziqidong.txt
命令的作用是將所有備份的reg文件輸出到“ziqidong.txt”中,這樣如果發現病毒新增自啓動項,同上次導出自啓動值,利用上面介紹的FC命令比較前後兩個txt文件,即可快速找出新增自啓動項目。
2、用reg delete刪除新增自啓動鍵值。比如:通過上面的方法在[HKER_CURRENT_USER/SOFTWARE/Microsoft/
Windows/CurrentVersion/Run],找到一個“Logon”自啓動項,啓動程序爲“c:/windows/winlogon.exe”,現在輸入下列命令即可刪除病毒自啓動鍵值:
reg delete HKLM/software/Microssoft/Windows/
CurrentVersion/Run /f
3、用reg import恢復註冊表。Reg de-lete刪除是的是整個RUN鍵值,現在用備份好的reg文件恢復即可,輸入下列命令即可迅速還原註冊表:
reg import f:/hklmrun.reg
上面介紹手動殺毒的幾個系統命令,其實只要用好這些命令,我們基本可以KILL掉大部分的病毒,當然平時就一定要做好備份工作。
提示:上述操作也可以在註冊表編輯器裏手動操作,但是REG命令有個好處,那就是即使註冊表編輯器被病毒設置爲禁用,也可以通過上述命令導出/刪除/導入操作,而且速度更快!