帮帮忙,我电脑到底中木马了没有?
从进程中判断出病毒和木马
来源：网络
任何病毒和木马存在于系统中，都无法彻底和进程脱离关系，即使采用了隐藏技术，也还是能够从进程中找到蛛丝马迹，因此，查看系统中活动的进程成为我们检测病毒木马最直接的方法。 但是系统中同时运行的进程那么多，哪些是正常的系统进程，哪些是木马的进程，而经常被病毒木马假冒的系统进程在系统中又扮演着什么角色呢？请看本文。
病毒进程隐藏三法
当我们确认系统中存在病毒，但是通过“任务管理器”查看系统中的进程时又找不出异样的进程，这说明病毒采用了一些隐藏措施，总结出来有三法：
1。 以假乱真
系统中的正常进程有：svchost。exe、explorer。exe、iex...全部
从进程中判断出病毒和木马
来源：网络
任何病毒和木马存在于系统中，都无法彻底和进程脱离关系，即使采用了隐藏技术，也还是能够从进程中找到蛛丝马迹，因此，查看系统中活动的进程成为我们检测病毒木马最直接的方法。
但是系统中同时运行的进程那么多，哪些是正常的系统进程，哪些是木马的进程，而经常被病毒木马假冒的系统进程在系统中又扮演着什么角色呢？请看本文。
病毒进程隐藏三法
当我们确认系统中存在病毒，但是通过“任务管理器”查看系统中的进程时又找不出异样的进程，这说明病毒采用了一些隐藏措施，总结出来有三法：
1。
以假乱真
系统中的正常进程有：svchost。exe、explorer。exe、iexplore。exe、winlogon。exe等，可能你发现过系统中存在这样的进程：svch0st。exe、explore。
exe、iexplorer。exe、winlogin。exe。对比一下，发现区别了么？这是病毒经常使用的伎俩，目的就是迷惑用户的眼睛。通常它们会将系统中正常进程名的o改为0，l改为i，i改为j，然后成为自己的进程名，仅仅一字之差，意义却完全不同。
又或者多一个字母或少一个字母，例如explorer。exe和iexplore。exe本来就容易搞混，再出现个iexplorer。exe就更加混乱了。如果用户不仔细，一般就忽略了，病毒的进程就逃过了一劫。
2。偷梁换柱
如果用户比较心细，那么上面这招就没用了，病毒会被就地正法。于是乎，病毒也学聪明了，懂得了偷梁换柱这一招。如果一个进程的名字为svchost。exe，和正常的系统进程名分毫不差。
那么这个进程是不是就安全了呢？非也，其实它只是利用了“任务管理器”无法查看进程对应可执行文件这一缺陷。我们知道svchost。exe进程对应的可执行文件位于“C:\WINDOWS\system32”目录下（Windows2000则是C:\WINNT\system32目录），如果病毒将自身复制到“C:\WINDOWS\”中，并改名为svchost。
exe，运行后，我们在“任务管理器”中看到的也是svchost。exe，和正常的系统进程无异。你能辨别出其中哪一个是病毒的进程吗？
3。借尸还魂
除了上文中的两种方法外，病毒还有一招终极大法——借尸还魂。
所谓的借尸还魂就是病毒采用了进程插入技术，将病毒运行所需的dll文件插入正常的系统进程中，表面上看无任何可疑情况，实质上系统进程已经被病毒控制了，除非我们借助专业的进程检测工具，否则要想发现隐藏在其中的病毒是很困难的。
系统进程解惑
上文中提到了很多系统进程，这些系统进程到底有何作用，其运行原理又是什么？下面我们将对这些系统进程进行逐一讲解，相信在熟知这些系统进程后，就能成功破解病毒的“以假乱真”和“偷梁换柱”了。
svchost。exe
常被病毒冒充的进程名有：svch0st。exe、schvost。exe、scvhost。exe。随着Windows系统服务不断增多，为了节省系统资源，微软把很多服务做成共享方式，交由svchost。
exe进程来启动。而系统服务是以动态链接库(DLL)形式实现的，它们把可执行程序指向scvhost，由cvhost调用相应服务的动态链接库来启动服务。我们可以打开“控制面板”→“管理工具”→服务，双击其中“ClipBook”服务，在其属性面板中可以发现对应的可执行文件路径为“C:\WINDOWS\system32\clipsrv。
exe”。再双击“Alerter”服务，可以发现其可执行文件路径为“C:\WINDOWS\system32\svchost。exe -k LocalService”，而“Server”服务的可执行文件路径为“C:\WINDOWS\system32\svchost。
exe -k netsvcs”。正是通过这种调用，可以省下不少系统资源，因此系统中出现多个svchost。exe，其实只是系统的服务而已。
在Windows2000系统中一般存在2个svchost。
exe进程，一个是RPCSS(RemoteProcedureCall)服务进程，另外一个则是由很多服务共享的一个svchost。exe；而在WindowsXP中，则一般有4个以上的svchost。
exe服务进程。如果svchost。exe进程的数量多于5个，就要小心了，很可能是病毒假冒的，检测方法也很简单，使用一些进程管理工具，例如Windows优化大师的进程管理功能，查看svchost。
exe的可执行文件路径，如果在“C:\WINDOWS\system32”目录外，那么就可以判定是病毒了。
explorer。exe
常被病毒冒充的进程名有：iexplorer。exe、expiorer。
exe、explore。exe。explorer。exe就是我们经常会用到的“资源管理器”。如果在“任务管理器”中将explorer。exe进程结束，那么包括任务栏、桌面、以及打开的文件都会统统消失，单击“任务管理器”→“文件”→“新建任务”，输入“explorer。
exe”后，消失的东西又重新回来了。explorer。exe进程的作用就是让我们管理计算机中的资源。
explorer。exe进程默认是和系统一起启动的，其对应可执行文件的路径为“C:\Windows”目录，除此之外则为病毒。
iexplore。exe
常被病毒冒充的进程名有：iexplorer。exe、iexploer。exeiexplorer。exe进程和上文中的explorer。exe进程名很相像，因此比较容易搞混，其实iexplorer。
exe是Microsoft Internet Explorer所产生的进程，也就是我们平时使用的IE浏览器。知道作用后辨认起来应该就比较容易了，iexplorer。exe进程名的开头为“ie”，就是IE浏览器的意思。
iexplore。exe进程对应的可执行程序位于C:\ProgramFiles\InternetExplorer目录中，存在于其他目录则为病毒，除非你将该文件夹进行了转移。此外，有时我们会发现没有打开IE浏览器的情况下，系统中仍然存在iexplore。
exe进程，这要分两种情况：1。病毒假冒iexplore。exe进程名。2。病毒偷偷在后台通过iexplore。exe干坏事。因此出现这种情况还是赶快用杀毒软件进行查杀吧。
rundll32。
exe
常被病毒冒充的进程名有：rundl132。exe、rundl32。exe。rundll32。exe在系统中的作用是执行DLL文件中的内部函数，系统中存在多少个Rundll32。exe进程，就表示Rundll32。
exe启动了多少个的DLL文件。其实rundll32。exe我们是会经常用到的，他可以控制系统中的一些dll文件，举个例子，在“命令提示符”中输入“rundll32。exe user32。dll,LockWorkStation”，回车后，系统就会快速切换到登录界面了。
rundll32。exe的路径为“C:\Windows\system32”，在别的目录则可以判定是病毒。
spoolsv。exe
常被病毒冒充的进程名有：spoo1sv。exe、spolsv。
exe。spoolsv。exe是系统服务“Print Spooler”所对应的可执行程序，其作用是管理所有本地和网络打印队列及控制所有打印工作。如果此服务被停用，计算机上的打印将不可用，同时spoolsv。
exe进程也会从计算机上消失。如果你不存在打印机设备，那么就把这项服务关闭吧，可以节省系统资源。停止并关闭服务后，如果系统中还存在spoolsv。exe进程，这就一定是病毒伪装的了。
限于篇幅，关于常见进程的介绍就到这里，我们平时在检查进程的时候如果发现有可疑，只要根据两点来判断：1。
仔细检查进程的文件名；2。检查其路径。通过这两点，一般的病毒进程肯定会露出马脚。
找个管理进程的好帮手
系统内置的“任务管理器”功能太弱，肯定不适合查杀病毒。因此我们可以使用专业的进程管理工具，例如Procexp。
Procexp可以区分系统进程和一般进程，并且以不同的颜色进行区分，让假冒系统进程的病毒进程无处可藏。
运行Procexp后，进程会被分为两大块，“System Idle Process”下属的进程属于系统进程，
explorer。
exe”下属的进程属于一般进程。我们介绍过的系统进程svchost。exe、winlogon。exe等都隶属于“System Idle Process”，如果你在“explorer。exe”中发现了svchost。
exe，那么不用说，肯定是病毒冒充的。
至于病毒采用的“借尸还魂”大法——dll插入技术，我们曾讲解过破解方法，通过查看其dll文件的签名即可，这点同样可以在Procexp中做到，在此不再阐述。
小贴士：在软件的主界面我们可能看不到进程名和进程所对应的可执行文件，我们可以点击其“查看”菜单→“选择列”，勾选“进程名称”和“映像路径”，确定保存即可。
转载: 。
以下简单方法检测 计算机是否被病毒感染
类型:转载 来源 : IT168
中毒的经历相信很多人都有过，其实如果想知道自己是否中毒并不一定非要等到它发作，下面就有几个简单的方法。
1。最简单，最有效，最直观用杀毒软件。
2,用系统自带的命令，netstat －an。查看下是否有向外的连接。这里要注意看得时候要把所有联网的东西都关了，包括QQ，浏览器，还有一些下载软件等。
查看到有向外联接的IP不一定就是中病毒了。可以到网上查询下IP的来源，可以简单判断，但不一定准的。
3。用网络抓包工具，看是否向外发送不明数据包。
4。查看启动项，运行msconfig，然后在启动里看看有没有可疑的启动项，有的话去看看源文件。
5。右击“我的电脑”在里选“管理”然后再点服务，看下有没有可疑的服务存在，大部分服务只要去大的搜索网站搜一下就知道存在不存在了，是什么作用等等都很详细。如果确定了服务是个病毒服务，那么就可以右击该服务，看下属性里，是不是有可执行文件路径，这是病毒的路径，删掉就行了，再到注册表里删掉相应的服务就可以了。
一。常用的杀毒软件介绍
A。瑞星
现在我首先说说瑞星的优劣：
1。瑞星2005的最大亮点是它的启动抢先于系统程序，这对有些顽固的病毒绝对是致命的打击！
2。预杀式无毒安装；首创网络游戏防盗抢功能的个人防火墙；针对冲击波等漏洞型网络病毒设计的漏洞扫描系统；这都是做的很好！
3。
瑞星2005虽然在占用资源方面有很大的改变，但是其最大的问题仍然是占有的资源较大，让有些新手有点不适应，由于他们不明白进程，如果进程开多了，安装这个软件容易死机。
4。这个软件对有些木马几乎成为摆设，没有用途，它防杀木马效果差。
B。江民
现在来说说江民的优点和不足：
1。KV2005突出特点是独创的“系统级深度防护技术”与操作系统互动防毒，彻底改变以往杀毒软件独立于操作系统和防火墙的单一应用模式，开创杀毒软件系统级病毒防护新纪元，很有自己的特点。
2。采用先进的“驱动级编程技术”，能够与操作系统底层技术更紧密结合，具有更好的兼容性，占用系统资源更小。
3。KV2005采用了先进的“立体联动防杀技术”，即杀毒软件与防火墙联动防毒、同步升级，对于防范集蠕虫、木马、后门程序等特性于一体的混合型病毒更有效！
4。
但是防火墙的英文让不明白英文的人一头雾水，只好胡点一气。
5。对木马的查杀虽优于瑞星，但仍显不足。
C。卡巴斯基
卡巴斯基对很多新手来说，也许还很陌生，但是相对有些国内的杀毒软件，它绝对是个好东东，让我们来认识它一下：
1。
几乎所有的功能都是在后台模式下运行，系统资源占有低！
2。最具特色的是该产品每天两次更新病毒代码！
3。更新文件只有3-20kb，对网络带宽的影响极其微小，能确保用户系统得到最为安全的保护！
4。
对木马的查杀优于很多国内软件！
5。但是该软件对电脑的硬件和软件要求相对较高！如IE最好要在5。5以上等等。
6。有些电脑是老爷机，那就一定不要用这个软件！
D。金山毒霸
关于金山毒霸 6 增强版，由于宣传的不力，有一部分人对这个软件不了解，真的十分遗憾，下面我来说说：
1。
它对病毒防火墙和黑客防火墙二合一，然后又一分为二！这和瑞星的分为2个，江民的2合1都不一样，很有自己的特点！
2。办公防毒 嵌入Microsoft Office的安全助手，保障Word、Excel、PowerPoint文档免受宏病毒攻击！
3。
网页防毒 有效拦截网页中恶意脚本。
4。聊天防毒 自动扫描清除QQ、MSN、ICQ的即时消息及其附件中的病毒，彻底查杀QQ狩猎者、MSN射手。
5。对木马的查杀在国内领先！
6。对一般病毒的查杀不如瑞星和江民。
二。杀毒软件之查杀木马的工具介绍：
A。反间谍专家
反间谍专家作为杀毒软件的补充，已经成为有些大虾的爱好了，下面我们来认识认识这个软件的特点：
1。提供强大系统免疫功能，全面杜绝恶意代码的下载和安装。
2。查杀50000种Adware、Spyware、木马病毒，保护网游账号、QQ账号以及银行密码，防止个人资料被盗用 。
3。修复被篡改的IE浏览器以及Windows操作系统。
4。7天左右升级一次。
5。它对一般病毒没有查杀功能，只能作为杀毒软件的补充！
B。木马克星
作为爱好者，我见到用的更多朋友喜欢使用的木马专杀工具是——木马克星，它到底有什么长处和不足呢？
1。本软件是动态监视网络与静态特征字扫描的完美结合，可以查杀3759种国际木马。
2。木马克星采用监视硬盘技术，不占用cpu负荷。
3。占用系统资源很少。
4。可以在线升级木马库，每天升级。这比反间谍专家更先进。
5。和反间谍专家一样，它对一般病毒没有查杀功能，只能作为杀毒软件的补充。
6。与反间谍专家相比，它查杀木马功能更强，病毒库更新更快，但是它不能修复被篡改的IE浏览器以及Windows操作系统。
C。木马防线
作为查杀木马的专杀工具，木马防线2005不如上面所说的软件有响亮的名声，但是它也有自己的特点：
1。
其独创的未知木马行为检测引擎(SVE)，能够根据木马特征智能识别并清除电脑中的各种未知有害程序。这个功能要优于木马克星。
2。木马防线2005可完全查杀4万余种木马(Trojan)、蠕虫(Worm)、后门(Backdoor)、间谍软件(Spyware)、广告软件(Adware)等有害程序。
3。为用户提供了多种查杀方案。支持Zip、RAR等多种压缩格式。
4。它对一般病毒没有查杀功能，只能作为杀毒软件的补充。
5。相对于木马克星，它的病毒库更新较慢。
D。木马天敌
杀毒软件查不出？专杀工具杀不掉？请试试“木马天敌”！其特点有：
1、采用内核技术达到系统级的防护。
2、在无补丁的情况下,采用内存补丁到保护效果。
3、智能识别大多数木马和蠕虫,恶意代码等。
4、实时保护IE浏览,防止被改。
5、免疫各种新型的网页木马和恶意代码。
6、进程及端口连接实时监控,随时杀掉可疑进程和连接。
7、使用简单,将木马的地址输入,然后点击[清除]即可。
三。少用的杀毒软件介绍：
A。东方卫士
东方卫士作为极少数免费杀毒软件之一，也同样受到一部分电脑爱好者的关注：
1。目前免费使用，免费升级，免费升级序列号：DFVSX-B00D1309-75263792-2426 。
2。与SP2的安全中心进行了防毒认证，是最先获得微软认证的防毒软件之一。
3。能够和WindowsXP SP2安全中心状态形成互动，及时提醒防毒软件是否过期。
4。东方卫士2005(完整功能)下载版仍然具有“一防、二杀、三恢复”的防毒理念，在防毒功能和特色功能上作了深入改进，真正做到了安全、稳定、易用！
5。
它优于其它杀毒软件的地方是它对病毒损坏文件具有一定的恢复功能，并且对未知病毒的查杀能力较强！
6。但是它升级较慢，病毒库内容相对较少。
B。MyV3
MyV3是一种特殊杀毒软件，也许我们对它还不熟悉，它到底是什么东西呢？
1。
MyV3 不需要设置其它杀毒软件，只需链接互联网就可诊断/清除病毒的在线服务。
2。MyV3 内存有安博士有限公司独有的 WARP 引擎，因此治疗感染文件时具有出色的文件修复功能。
3。MyV3进行自动在线升级，确保用户始终使用最新版本产品。
4。没有复杂的设置，对新手相对简单。
5。它主要用于Internet的防病毒服务，必须链接互联网。
C。杀毒精灵
杀毒精灵 是不同于江民瑞星的杀毒软件，很有自己的特点：
1。支持全方位的开放式杀毒程序，使用简单，简洁高效，无需安装，属于绿色环保软件。
2。在用瑞星，江民，金山毒霸等杀毒软件对恶意程序或者病毒不能进行查杀，或者手动杀也清除不掉病毒的运行，在这种情况下，用杀毒精灵也许能解决问题吧！
3。无需安装，仅仅一个EXE程序文件即可，运行后将系统中运行着的可疑程序添加到病毒列表中，然后点“杀毒”按钮即可，数秒后即查杀完毕。
4。不能实时监控，所以只能作为其他杀毒软件的补充。
D。BeatTrojan
BeatTrojan是Lofocus安全实验室为网络游戏爱好者，聊天爱好者量身订做的一款杀毒软件,让我们来认识它：
1。
能查杀5800余种国际国内流行木马，网络游戏盗号工具，QQ盗密码工具，幽灵后门，查杀率在95%以上。
2。新版本加强了对第五代木马的查杀，能完美的查杀各种无进程，捆绑木马。
3。木马清除大师不仅是查杀木马工具，更是一个安全审核工具，它提供了十余种安全审核功能，将许多安全审核工作集成于一身，可以帮助您迅速判断本机的安全状况，大大方便您的工作。
4。新版本修复了大量BUG，其中包括启动时出现内存错误等。更加人性化的进程管理让您在判断有害进程时如虎添翼。
“ 绿鹰PC万能精灵”是一款集系统优化，病毒清理，黑客防御，OICQ娱乐于一体的综合软件。
该软件将不同的功能分成不同的精灵管理，其功能涵盖了个人电脑用户日常需求，其中包括：
1。清除各种流行木马及病毒的[守卫精灵]，实时监控木马进程及端口，功能判断，可杀未来木马；
2。防止网站恶意修改及任意脚本病毒的[IE反修改精灵]；
3。
增强系统安全，优化系统配置的[WINDOWS精灵]；
4C。天网防火墙
天网防火墙 作为免费防火墙，的确是我见到的最好的免费防火墙 ：
天网防火墙个人版是个人电脑使用的网络安全程序，根据管理者设定的安全规则把守网络，提供强大的访问控制、信息过滤等功能，帮你抵挡网络入侵和攻击，防止信息泄露。
天网防火墙把网络分为本地网和互联网，可针对来自不同网络的信息，来设置不同的安全方案，适合于任何方式上网的用户。
1)严密的实时监控
天网防火墙（个人版）对所有来自外部机器的访问请求进行过滤，发现非授权的访问请求后立即拒绝，随时保护用户系统的信息安全。
2)灵活的安全规则
天网防火墙（个人版）设置了一系列安全规则，允许特定主机的相应服务，拒绝其它主机的访问要求。用户还可以根据自已的实际情况，添加、删除、修改安全规则，保护本机安全。
3)应用程序规则设置
新版的天网防火墙增加对应用程序数据包进行底层分析拦截功能，它可以控制应用程序发送和接收数据包的类型、通讯端口，并且决定拦截还是通过，这是目前其它很多软件防火墙不具有的功能。
4)详细的访问记录和完善的报警系统
天网防火墙（个人版）可显示所有被拦截的访问记录，包括访问的时间、来源、类型、代码等都详细地记录下来，你可以清楚地看到是否有入侵者想连接到你的机器，从而制定更有效的防护规则。
与以往的版本相比，天网防火墙（个人版）设置了完善的声音报警系统，当出现异常情况的时候，系统会发出预警信号，从而让用户作好防御措施。
5)即时聊天保护功能
D。BlackICE
对于没有防火墙的家庭用户来说，BlackICE是一道不可缺少的防线:
1。
该软件的最大特点是灵敏度和准确率非常高，稳定性也相当出色，系统资源占用率极少。
2。BlackICE集成有非常强大的检测和分析引擎，可以识别200 多种入侵技巧，给你全面的网络检测以及系统防护。
3。它还能即时监测网络端口和协议，拦截所有可疑的网络入侵，无论黑客如何费尽心机也无法危害到你的系统。
4。它可以将查明那些试图入侵的黑客的NetBIOS(WINS)名、DNS名或是他目前所使用的IP地址记录下来，以便你采取进一步行动。
这也很有自己的特点。
E。
KFW傲盾防火墙
KFW傲盾防火墙 个人版 很适合家庭个人用户：
主要功能：
1、实时数据包地址 、类型过滤
2、功能强大的包内容过滤
3、包内容的截获
4、先进的应用程序跟踪
5、灵活的防火墙规则设置
6、实用的应用程序规则设置
7、详细的全安纪录
8、专业级别的包内容记录
9、完善的报警系统
10、IP地址翻译
11、简捷方便漂亮的操作界面
12、强大的端口分析功能
13、强大在线模块升级功能
下载地址：
转载:
。收起
