- 掛牌上市企業(yè)
- 60秒人工響應
- 99.99%連通率
- 7*24h人工
- 故障100倍補償
如何手動殺毒 |
| 發(fā)布時間: 2012/5/31 15:09:08 |
|
上網(wǎng)最恐怖的事莫過于新病毒出來的時候，盡管電腦上我們都裝有各種強大的殺毒軟件，也配置了定時自動更新病毒庫，但病毒總是要先于病毒庫的更新的，所以中招的每次都不會是少數(shù)，這里列舉一些通用的殺毒方法，自己親自動手來用系統(tǒng)自帶的工具絞殺病毒： 一、自己動手前，切記有備無患——用TaskList備份系統(tǒng)進程 新型病毒都學會了用進程來隱藏自己，所以我們最好在系統(tǒng)正常的時候，備份一下電腦的進程列表，當然最好在剛進入Windows時不要運行任何程序的情況下備份，樣以后感覺電腦異常的時候可以通過比較進程列表，找出可能是病毒的進程。 在命令提示符下輸入： TaskList /fo:csv>g:zc.csv 上述命令的作用是將當前進程列表以csv格式輸出到“zc.csv”文件中，g:為你要保存到的盤，可以用Excel打開該文件. 二、自己動手時，必須火眼金睛——用FC比較進程列表文件 如果感覺電腦異常，或者知道最近有流行病毒，那么就有必要檢查一下。 進入命令提示符下，輸入下列命令： TaskList /fo:csv>g:yc.csv 生成一個當前進程的yc.csv文件列表，然后輸入： FC g:\zccsv g:\yc.csy 回車后就可以看到前后列表文件的不同了，通過比較發(fā)現(xiàn)，電腦多了一個名為“Winion0n.exe”(這里以這個進程為例)不是“Winionon.exe”的異常進程。 三、進行判斷時，切記證據(jù)確鑿——用Netstat查看開放端口 對這樣的可疑進程，如何判斷它是否是病毒呢？根據(jù)大部分病毒（特別是木馬）會通過端口進行對外連接來傳播病毒，可以查看一下端口占有情況。 在命令提示符下輸入： Netstat -a-n-o 參數(shù)含義如下： a:顯示所有與該主機建立連接的端口信息 n:顯示打開端口進程PID代碼 o：以數(shù)字格式顯示地址和端口信息 回車后就可以看到所有開放端口和外部連接進程，這里一個PID為1756（以此為例）的進程最為可疑，它的狀態(tài)是“ESTABLISHED”，通過任務管理器可以知道這個進程就是“Winion0n.exe”，通過查看本機運行網(wǎng)絡(luò)程序，可以判斷這是一個非法連接！ 連接參數(shù)含義如下： LISTENINC：表示處于偵聽狀態(tài)，就是說該端口是開放的，等待連接，但還沒有被連接，只有TCP協(xié)議的服務端口才能處于LISTENINC狀態(tài)。 ESTABLISHED的意思是建立連接。表示兩臺機器正在通信。TIME-WAIT意思是結(jié)束了這次連接。說明端口曾經(jīng)有過訪問，但訪問結(jié)束了，用于判斷是否有外部電腦連接到本機。 四：下手殺毒時，一定要心狠手辣——用NTSD終止進程 雖然知道 “Winion0n.exe”是個非法進程，但是很多病毒的進程無法通過任務管理器終止，怎么辦？ 在命令提示符下輸入下列命令： ntsd –c q-p 1756 回車后可以順利結(jié)束病毒進程。 提示：“1756”為進程PID值，如果不知道進程的ID，打開任務管理器，單擊“查看→選擇列→勾上PID（進程標識符）即可。NTSD可以強行終止除Sytem,SMSS.EXE,CSRSS.EXE外的所有進程。 五、斷定病毒后，定要斬草除根——搜出病毒原文件 對于已經(jīng)判斷是病毒文件的“Winion0n.exe”文件，通過搜索“本地所有分區(qū)”、“搜索系統(tǒng)文件夾和隱藏的文件和文件夾”，找到該文件的藏身之所，將它刪除。不過這樣刪除的只是病毒主文件，通過查看它的屬性，依據(jù)它的文件創(chuàng)建日期、大小再次進行搜索，找出它的同伙并刪除。如果你不確定還有那些文件是它的親戚，通過網(wǎng)絡(luò)搜索查找病毒信息獲得幫助。 六、清除病毒后一定要打掃戰(zhàn)場——手動修復注冊表雖然把病毒文件刪除了，但病毒都會在注冊表留下垃圾鍵值，還需要把這些垃圾清除干凈。1、用reg export備份自啟動。由于自啟動鍵值很多，發(fā)現(xiàn)病毒時手動查找很不方便。這里用reg export+批處理命令來備份。 啟動記事本輸入下列命令： reg export HKLM\software\Microsoft\Windows\ CurrentVersion\Run fo:\hklmrun.reg reg export HKCU\Software\Microsoft\Windows\ CurrentVersion\Policies\Explorer\Run f:\hklcu.reg reg export HKLM\SOFTWARE\Microsoft\Windows\ CurrentVersion\Policies\Explorer\Run hklml.reg 注：這里只列舉幾個常見鍵值的備份，其它鍵值請參照上述方法制作。 然后將它保存為ziqidong.bat在命令提示符下運行它，即可將所有自啟動鍵值備份到相應的reg文件中，接著再輸入： copy f:\*.reg ziqidong.txt 命令的作用是將所有備份的reg文件輸出到“ziqidong.txt”中，這樣如果發(fā)現(xiàn)病毒新增自啟動項，同上次導出自啟動值，利用上面介紹的FC命令比較前后兩個txt文件，即可快速找出新增自啟動項目。 2、用reg delete刪除新增自啟動鍵值。比如：通過上面的方法在[HKER_CURRENT_USER\SOFTWARE\Microsoft\ Windows\CurrentVersion\Run],找到一個“Logon”自啟動項，啟動程序為“c:\windows\winlogon.exe”,現(xiàn)在輸入下列命令即可刪除病毒自啟動鍵值： reg delete HKLM\software\Microssoft\Windows\ CurrentVersion\Run /f 3、用reg import恢復注冊表。Reg de-lete刪除是的是整個RUN鍵值，現(xiàn)在用備份好的reg文件恢復即可，輸入下列命令即可迅速還原注冊表： reg import f:\hklmrun.reg 上面介紹手動殺毒的幾個系統(tǒng)命令，其實只要用好這些命令，我們基本可以KILL掉大部分的病毒，當然平時就一定要做好備份工作。 提示：上述操作也可以在注冊表編輯器里手動操作，但是REG命令有個好處，那就是即使注冊表編輯器被病毒設(shè)置為禁用，也可以通過上述命令導出/刪除/導入操作，而且速度更快！ 本文出自：億恩科技【mszdt.com】 |
0371-60135900
京公網(wǎng)安備41019702002023號
香港服務器租用
美國服務器租用
電信骨干機房
聯(lián)通骨干機房
