手动杀木马病毒方法

admin · 发表于 2010-12-27 23:58:37

<div id="googlead"> <script language="JavaScript" src="/ad/gg-250.js"></script></div>　　早在几年前，就有先知先觉的网友感叹道：人在网上漂，哪能不中标。如今，电脑中招更是成了家常便饭。面对来势汹汹的病毒木马们，杀毒软件和防火墙自然是一个都不能少。但有时还是有许多仅仅依靠杀毒软件和防火墙对付不了的顽固分子，这时该怎么办呢？其实在Windows系统的命令行中，已为我们提供了一些非常有用的工具，充分利用就会变成我们对抗病毒的强力武器。下面我们就来看看命令行下的强力抗毒武器。 
 
　　一、TASKLIST——火眼金睛 
 
　　如今的病毒越来越狡猾，常常不见首也不见尾。但许多病毒往往在进程这一环节中露出狐狸尾巴，因而查看进程是查杀病毒的一个重要的方法。命令行提供了进程查看的命令工具——Tasklist(Windows XP或更新版本)。此命令与任务管理器一样可以显示活动进程的列表。但通过使用参数，可以看到任务管理器查看不到的信息，可以实现更强大的功能。使用参数“/M”，运行“Tasklist /M”将显示每个任务加载的所有的DLL模块（如图1）；使用参数“/SVC”，运行“Tasklist /SVC”命令则会显示每个进程中活动服务的列表(如图2)，从中可以看到进程svchost.exe加载的服务，通过服务就能分辨出究竟是不是恶意病毒进程。此外，还能利用Tasklist命令来查看远程系统的进程，如在命令提示符下输入“Tasklist /s 208.202.12.206 /u friend /p 123456”（不包括引号）即可查看到IP地址为208.202.12.206的远程系统的进程。其中/s参数后的“208.202.12.206”指要查看的远程系统的IP地址，/u后的“friend”指Tasklist命令使用的用户账号，它必须是远程系统上的一个合法账号，/p后的“123456”指friend账号的密码。这样，网管进行远程查杀病毒也就方便多了。 
 
　　二、TASKKILL——进程杀手 
 
　　有了Tasklist这双火眼金睛，许多病毒就现身了，但更重要的不是找出病毒，而是要清除它们，这时另一个命令——TASKKIL就派上用场了。例如想结束某个进程，只需从任务管理器中记下进程名，运行下列命令即可：“TASKKILL /F /IM 进程名”；也可以通过连接PID的方式，可先运行“Tasklist”命令，记下进程的PID号，在命令提符下输入“taskkill /pid PID号”即可。说到这里恐怕有人要说这还不如直接利用任务管理器方便。而实际上TASKKILL命令的独门绝技就在于它能结束一些在任务管理器中不能直接中止的进程，这时就要加上参数“/F”，这样就能强制关闭进程，例如运行“TASKKILL /F /pid 1606”命令就能强制结束PID为1656的进程。除此之外，TASKKILL命令还能结束进程树、远程进程、指定筛选进或筛选出查询的的进程，具体操作可利用“taskkill/?”命令进行查看。 
 
　　三、 Netstat——端口侦探 
 
　　如今的木马越来越多，对用户的威胁也越来越大，于是出现许多专门用于木马查杀的工具。其实只要我们合理使用命令行下的Netstat命令就能查出大部分隐藏在电脑中的木马。 
 
　　我们知道，大部分木马感染系统后都留有服务端口，而这类服务端口通常都处于LISTENING状态,因而从端口的使用情况可以查到木马的踪迹，而这利用Netstat命令就能轻松实现。在命令行中运行“Netstat –a”，这个命令将显示一个所有的有效连接信息列表（如图3），包括已建立的连接（ESTABLISHED），也包括监听连接请求（LISTENING）的那些连接。其中Proto代表协议，Local Address代表本机地址，该地址冒号后的数字就是开放的端口号，Foreign Address代表远程地址，如果和其它机器正在通信，显示的就是对方的地址，State代表状态，显示的LISTENING表示处于侦听状态，就是说该端口是开放的，由于木马开启后门成功后该后门处于LISTENING状态，因此你需要注意的就是处于LISTENING状态的端口，如果该端口号陌生，而且端口号数很大，你就应该有所警觉。 
 
　　还可以查看使用端口所对应的进程来进一步确认，这就需要加上参数“-O”,运行“Netstat –ao”命令就会显示一个所有的有效连接信息列表，并给出端口对应的PID号。 
 
　　四、 FIND——捆绑克星 
 
　　相信许多人都上过文件捆绑木马的当，表面看起来是一张漂亮MM的图片，而暗地里却隐藏着木马，这种通过文件捆绑进行隐藏是木马的惯用伎俩。而对可疑文件进行必要的检查及时处理往往就能防止产生更严重的后果，于是网上也出现了一些检查捆绑文件的工具。 
 
　　在Windows中，也可通过命令行巧妙地进行简单的检查。这里要用到字符串搜索命令——FIND，它的主要功能是在文件中搜索字符串，可以利用它进行捆绑文件的检查。方法为：在命令行下运行“FIND /C /I "This program" 待查文件的路径 ”（不包括外面的引号），如果是EXE文件，正常情况下返回值应该为“1”，如果出现大于1的情况，你就必须小心了；如果是图片之类的不可执行文件，正常情况下返回值应该为“0”，如果出现大于0的情况，就应该引起注意。 
 
　　五、 NTSD——强力终结者 
 
　　如今的病毒越来越狡猾，经常出现即使你能找到它的进程，却不能结束的情况。用任务管理器和前面提到的TASKKILL命令都没有办法中止。当然可以使用进程管理工具，如功能强大Process Explorer等。而实际上使用Windows自带的一个秘密工具就能强制结大部分进程，包括一些十分顽固的进程，这就是NTSD命令。 
 
　　在命令行中运行以下命令： 
 
　　ntsd -c q -p PID 
 
　　最后那个PID指要终止的进程的ID。如果不知道进程的ID，可通过Tasklist命令进行查看。利用NTSD命令，除了System、SMSS.EXE和CSRSS.EXE等极少核心进程不能杀外，其它进程都可以强行结束。 
 
　　六、 FTYPE——文件关联修复专家 
 
　　和文件捆绑一样，篡改文件关联也是病毒或木马的惯用伎俩，通常的恢复方法主要是通过修改注册表，但注册表操作通常比较麻烦而且容易出错，另一个更方便的方法是使用命令行工具——FTYPE，利用它可以非常轻松地恢复文件关联。比如exefile的文件关联最容易被修改，它的正常的文件关联为："%1" %* 。恢复的时候，只需在命令行中运行下列命令：“ftype exefile="%1" %* ”就可以了。如果要修复txtfile的文件关联，只需输入：“ftype txtfile= %SystemRoot%\system32\NOTEPAD.EXE %1 ”即可。 
 
　　七、FC——注册表监控器 
 
　　许多病毒木马都把注册表当作攻击对象，如上面提到的文件关联篡改，而现在所谓的流氓软件之流的不安分的软件在注册表中添加本不应该添加的项值，因而注册表监控就变成十分必要了。于是出现了许多注册表监控类软件，其实我们完全可以仅用Windows系统提供的工具完成该功能。 
 
　　下面以监控安装软件过程对注册表做的修改为例介绍如何实现“监控”： 
 
　　首先，可以在安装软件前备份一次注册表(存储为REG文件，如1.reg)，安装后再导出注册表文件(2.reg)然后再在Windows XP的命令提示行下执行下列命令： 
 
　　D:&gt;fc /u 1.reg 2.reg&gt;changes.txt 
 
　　随后在D盘根目录下打开changes.txt文件，即可清楚地查看该软件对注册表添加了哪些子项，做了什么修改。上例中的安装软件是一个特定的时刻，你可能用此方法分析任一时刻注册表可能发生的变化。 
 
　　怎么样，有了这一群命令行下随时等待召唤的抗毒精英，以后对抗病毒也就更有效、更方便，病毒木马们也就难逃法网了。 
 
　　在河边走，哪有不湿脚？所以有时候上网时间长了，很有可能被攻击者在电脑中种了木马。如何来知道电脑有没有被装了木马呢？ 
 
　　一、手工方法： 
 
　　1、检查网络连接情况 
 
　　由于不少木马会主动侦听端口，或者会连接特定的IP和端口，所以我们可以在没有正常程序连接网络的情况下，通过检查网络连情情况来发现木马的存在。具体的步骤是点击“开始”-&gt;“运行”-&gt;“cmd”，然后输入netstat -an这个命令能看到所有和自己电脑建立连接的IP以及自己电脑侦听的端口，它包含四个部分——proto（连接方式）、local address（本地连接地址）、foreign address（和本地建立连接的地址）、state（当前端口状态）。通过这个命令的详细信息，我们就可以完全监控电脑的网络连接情况。 
 
　　2、查看目前运行的服务 
 
　　服务是很多木马用来保持自己在系统中永远能处于运行状态的方法之一。我们可以通过点击“开始”-&gt;“运行”-&gt;“cmd”，然后输入“net start”来查看系统中究竟有什么服务在开启，如果发现了不是自己开放的服务，我们可以进入“服务”管理工具中的“服务”，找到相应的服务，停止并禁用它。 
 
　　3、检查系统启动项 
 
　　由于注册表对于普通用户来说比较复杂，木马常常喜欢隐藏在这里。检查注册表启动项的方法如下：点击“开始”-&gt;“运行”-&gt;“regedit”，然后检查HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion下所有以“run”开头的键值；HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion下所有以“run”开头的键值；HKEY-USERS\.Default\Software\Microsoft\Windows\CurrentVersion下所有以“run”开头的键值。 
 
　　Windows安装目录下的System.ini也是木马喜欢隐蔽的地方。打开这个文件看看，在该文件的[boot]字段中，是不是有shell=Explorer.exe file.exe这样的内容，如有这样的内容，那这里的file.exe就是木马程序了！ 
 
　　4、检查系统帐户 
 
　　恶意的攻击者喜在电脑中留有一个账户的方法来控制你的计算机。他们采用的方法就是激活一个系统中的默认账户，但这个账户却很少用的，然后把这个账户的权限提升为管理员权限，这个帐户将是系统中最大的安全隐患。恶意的攻击者可以通过这个账户任意地控制你的计算机。针对这种情况，可以用以下方法对账户进行检测。 
 
　　点击“开始”-&gt;“运行”-&gt;“cmd”，然后在命令行下输入net user，查看计算机上有些什么用户，然后再使用“net user 用户名”查看这个用户是属于什么权限的，一般除了Administrator是administrators组的，其他都不应该属于administrators组，如果你发现一个系统内置的用户是属于administrators组的，那几乎可以肯定你被入侵了。快使用“net user用户名/del”来删掉这个用户吧！ 
 
　　如果检查出有木马的存在，可以按以后步骤进行杀木马的工作。 
 
　　1、运行任务管理器，杀掉木马进程。 
 
　　2、检查注册表中RUN、RUNSERVEICE等几项，先备份，记下可以启动项的地址，再将可疑的删除。 
 
　　3、删除上述可疑键在硬盘中的执行文件。 
 
　　4、一般这种文件都在WINNT，SYSTEM，SYSTEM32这样的文件夹下，他们一般不会单独存在，很可能是有某个母文件复制过来的，检查C、D、E等盘下有没有可疑的.exe，.com或.bat文件，有则删除之。 
 
　　5、检查注册表HKEY_LOCAL_MACHINE和HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Main中的几项（如Local Page），如果被修改了，改回来就可以。 
 
　　6、检查HKEY_CLASSES_ROOT\txtfile\shell\open\command和　　HKEY_CLASSES_ROOTxtfileshellopencommand等等几个常用文件类型的默认打开程序是否被更改。这个一定要改回来。很多病毒就是通过修改.txt文件的默认打开程序让病毒在用户打开文本文件时加载的。 
 
　　二、利用工具： 
 
　　查杀木马的工具有LockDown、The Clean、木马克星、金山木马专杀、木马清除大师、木马分析专家等，其中有些工具，如果想使用全部功能，需要付一定的费用，木马分析专家是免费授权使用。

alantam · 发表于 2011-2-15 19:53:56

谢谢哦

zhjipeng162 · 发表于 2011-4-10 06:35:15

谢谢楼主啊！支持常宁

梦想-原? · 发表于 2011-5-21 15:33:29

我的妈呀，爱死你了

帐号		自动登录	找回密码
密码			免费注册