谁能帮我下75分送上cmdbcs
转自[UFO&不幸外人]的大作
第一, 全面检测计算机。
手动全面检测计算机是非常困难的,因为需要打开注册表,一项一项去检查,那我们就使用简单的方法——运用SRE这个软件,SRE全名System Repair Engineer,下载地址:
对于不想自己分析的新手,请把日志贴到论坛上,会有人帮你解决。
第二, 分析扫描日志
这个是最关键的一步,对于很多新手,选择来论坛发布日志,让有经验的高手来分析,这样省时省力,但是如果大家学会分析日志,那么就可以有更多的人帮助新来的人,减少版主和论坛高人的劳动。 分析日志学习起来很难,因为需要不断积累经验,在这里只介绍简单的方法(若有更好的方法,希望...全部
转自[UFO&不幸外人]的大作
第一, 全面检测计算机。
手动全面检测计算机是非常困难的,因为需要打开注册表,一项一项去检查,那我们就使用简单的方法——运用SRE这个软件,SRE全名System Repair Engineer,下载地址:
对于不想自己分析的新手,请把日志贴到论坛上,会有人帮你解决。
第二, 分析扫描日志
这个是最关键的一步,对于很多新手,选择来论坛发布日志,让有经验的高手来分析,这样省时省力,但是如果大家学会分析日志,那么就可以有更多的人帮助新来的人,减少版主和论坛高人的劳动。
分析日志学习起来很难,因为需要不断积累经验,在这里只介绍简单的方法(若有更好的方法,希望论坛或者邮件进行讨论)。
1、 了解日志
SRE日志分别扫描了注册表启动项、启动文件夹、服务、驱动、浏览器加载项、进程、文件关联、Winsock 提供者、 f、HOSTS文件、API HOOK。
下面重点介绍一些检测时常用的项目
2、 看进程
看进程,看什么呢?看的就是,是否有除系统基本进程和软件产生进程外的其他进程,尤其注意进程路径是c:\windows\和C:\windows\system32\下的文件,可能有些新手不知道那些是系统基本进程,那些是软件安装的进程,这就是需要经验积累的地方。
对于系统进程加载的DLL,这个需要具体分析,很多盗号木马运用了这个方式,那就要经过下面三步去完善。
3、 看启动项(包括注册表启动项、启动文件夹、服务、驱动)
看了进程以后,对那些是可疑文件有了一定了解后,就可以来看启动项目。
SRE这个日志非常适合新手使用,因为它已经在服务和驱动这两个地方把微软签名的启动项隐藏,对于服务,驱动需要经验才能动,下面一项一项的介绍。
注册表启动项
在SRE里面,这册表启动项包括了Winlogon启动,普通注册表启动等等多个项目。
这个只能看下在虚拟机下面刚安装一版SP2的Windows XP的日志了,当然因为每一种系统(盗版方式不同或者正版等等)不同,可能扫描出来的不仅相同,剩下的需要大家经验积累。
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
[(Verified)Microsoft Corporation](启动输入法)
超级兔子、MSN Messenger等通过此项目启动
[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]
<> [N/A]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
[(Verified)Microsoft Corporation](微软输入法启动项)
[(Verified)Microsoft Corporation] (微软输入法启动项)
[(Verified)Microsoft Corporation] (微软输入法启动项)
暴风影音、NVIDIA显卡、声卡、超级解霸、瑞星杀毒软件、瑞星个人防火墙、卡卡上网助手、金山毒霸、江民杀毒软件、Emule、金山词霸、Nero、Real系列、酷狗等通过此项目启动
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
[(Verified)Microsoft Corporation]
[(Verified)Microsoft Corporation](Winlogon启动项,逗号后面若有东西90%是病毒)
[(Verified)Microsoft Corporation]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows]
<> [N/A](初始化动态链接库,若这里面有东西90%是病毒)
以上只进行了概述,具体请看下面回复的表二
启动文件夹
这个最好看,只有部分软件修改这里,典型的比如QQ的启动项、OFFICE的工具栏启动项。
这个利用的病毒也很少,早期的“比肩社区”(在桌面呈现比肩社区介绍)就利用。需要耐心检查。
服务
这个比较好看,第一看服务名称后面的状态,SRE日志扫描后的格式为(最新版本)[服务名称][当前运行状态/启动状态],其中当前运行状态是表示扫描的时候计算机是否运行了此服务,Running表示运行、Stopped表示没有运行;启动状态,表示此服务是如何启动,Auto Start表示自动,Disabled表示已禁用,Manual Start表示手动启动。
其中重点看Running和Auto Start的项目,如果此项目和你安装的软件和驱动程序无关,那就可能是病毒。
这里请看下面回复的表三
驱动
不要轻易动这个项目,只能介绍一条经验,就是如果一个驱动全部为数字,可能为病毒文件。
因为现在各种品牌的驱动都不一样,所以其他的就记不住了。
请看表四
鉴于启动项确定比较困难,希望新手在安装计算机后,做一次扫描备份,可以通过对比的方法,来看是否增加了启动项,如果此期间没有安装任何驱动和软件,那么就可能不是正常文件,就要小心的进行检查了。
4、 对比
对比所有可疑启动项目和所有可疑进程,是否可以一一对应,如果不可以,那么就要看是哪里出现的问题,就对那里进行进一步的研究。看看是否是因为病毒的运行方式或者保护方式问题,或者有其他病毒的存在。
当然,原因不只这一些,还是需要大家积累经验。实践是根本。
5、 看其余项目
第一个要看的就是 f这个项目,如果某个盘有此文件,或者每个盘都有,那么就说明你的计算机中了病毒,处理方法很多,这里介绍几种。
当然处理的时候,要保证系统中没有病毒运行了。
第一种:利用WinRAR。具体方法:打开所感染的硬盘,删除对应文件。说明不会感染计算机,方便实用。
第二种:利用资源管理器。具体方法:在打开显示隐藏文件和系统文件的前提下,利用资源管理器,在资源管理器左面选择感染的盘符,右面删除对应文件。
说明对于某些病毒又感染的危险。
第三种:利用命令提示符。具体方法利用了DOS命令,具体命令如下:
Attrib –s –h –r –a X:\ f
Attrib –s –h –r –a X:\对应启动文件(EXE或者PIF)
Del X:\ f
Del X:\ 对应启动文件(EXE或者PIF)
其中X代表感染的盘符。
说明可以删除彻底,需要懂一些DOS命令和CMD的使用方法。
第四种:利用冰刃。具体方法打开冰刃后,点击下面的文件,后面的处理如同资源管理器。说明删除彻底,建议新手使用。
第二个要看的就是HOSTS文件,这里的看法是按照行,日志前面写的是网址对应的DNS解析的IP地址,如果所有IP地址都是同一个,或者和其他计算机解析的IP地址不同,那么就有问题,最主要的还是同一个或者同为 。
处理方法很简单,利用记事本打开Host这个文件,路经在C:\WINDOWS\system32\drivers\etc,这个处理最好是在病毒删除以后。
第三, 处理所有可疑文件(清除病毒文件)
这个是最关键的一步,这一步就要删除病毒了,看到论坛以前有人光用SRE这类日志扫描程序删除,就非常气愤,因为这个程序无法完全解决问题。
现在先来说明一下原因,第一,若病毒运行,病毒会不时的自动检测启动项是否被修改,你用SRE删除以后,病毒会立刻检测到,自动添加,当重新启动的时候就会重新回来,解决方法倒是有一个,这个可以在安全模式下进行,但是有部分病毒在安全模式下照样会运行,下一点就说明了这个。
第二,有很多病毒选择了Winlogon启动或者初始化动态链接库启动再或者驱动启动,这三类启动有一个共同特点,就是病毒在安全模式下也会运行,那么SRE对其根本没有效果。那我们怎么进行处理呢,最可靠的方法还是使用冰刃(IceSword)。
当然也有一点冰刃不是全能的,现在有病毒以进程来结束冰刃,以后会怎么样,《黑客防线》曾经有一篇文章就是专门介绍冰刃的漏洞,利用这个漏洞,病毒可以结束掉冰刃。
废话就说以上这么多,看看具体处理方法吧。
冰刃在杀毒的时候需要做一个预处理,点击上方文件下的设置,选中禁止线程创建。然后就可以做下面的处理了
删除方法:
第一种情况,有确实的EXE进程。打开冰刃后,点击进程,结束此可疑进程,这样此进程不会创建,按照上面对比后的结果,如果是注册表中的,在冰刃下面可以看到注册表,直接进行修改,注意一点就是<>项目需要双击打开编辑框清空,其它的直接找到对应键值删除即可;如果是服务启动,在冰刃下进入服务,找到启动服务,点右键,改为已禁用即可;如果是驱动启动,可以打开注册表进入HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services找到对应的删除即可,也可以使用SRE进行删除。
最后运用冰刃强制删除文件后杀毒结束。
第二种情况,无确定的EXE进程,现在很多木马喜欢用DLL潜入方式,比如江湖木马,征途木马,这些木马对应的启动项目是一个EXE文件,而最终起作用的是一个潜入进程的DLL,找此DLL的方法也是有经验的。
此病毒删除方法就是先处理EXE文件,打开冰刃,进入对应启动项,按照第一种情况所说方法先删除启动项。然后强制删除对应文件,最后强制删除DLL文件重新启动后即可完成杀毒,如果找不到对应的DLL,不删除也可以,此DLL会成为系统垃圾,放在它该存在的位置,而不在产生作用。
第三种情况,也是最难处理的一种情况,现象就是杀毒软件报告病毒,但是无法从日志中找到任何病毒踪迹,这里要先启动冰刃,在进程、内核程序、启动组和服务中进行一次彻底查找(后面对次问题有解释),如果还是没有,就属于这种情况。
此情况删除及其复杂。可以用冰刃强制删除对应文件(若杀毒软件以成功删除就不用做这一步),并且打开我的电脑,找到对应位置,建立一个同名的文件夹(包括扩展名),这样病毒将不会再产生,然后运用Filemon这个文件监控软件,进行监控,在监控过程中,逐一运行软件,看看那个软件要创建前面用冰刃或者杀毒软件删除的文件,找到后,删除此软件里面的所有文件重新安装,即可。
第四, 清除后遗症
病毒后遗症,论坛上经常会有此类帖子出现,一项一项分别来说。
1、 EXE文件不能正常运行
有的时候病毒删除了,EXE文件还无法运行,那怎么办呢,介绍几种方法
第一种方法:最简单的方法,打开我的电脑,选择工具——文件夹选项——文件类型,点击新建,文件扩展名输入。
exe(注意小数点),然后点击高级,选择应用程序就可以了。
第二种方法:利用修复软件,如我们上面提到的SRE、超级兔子等等。
第三种方法:直接修改注册表。打开冰刃,进入注册表。找到HKEY_CLASSES_ROOT\。
exe查看其下面的(默认)是不是为exefile,不是则修改为exefile。然后,打开HKEY_CLASSES_ROOT\exefile\shell\open\command检查(默认)是否为"%1" %*,不是则修改。
第四种方法:把下面的语句复制下来放在reg文件里面(建立记事本文件,修改扩展名为。reg),双击运行导入注册表中,就可以打开EXE文件。
REGEDIT4
(空一行)
[HKEY_CLASSES_ROOT\。
exe]
@="exefile"
[HKEY_CLASSES_ROOT\exefile\shell\open\command]
@=""%1" %*"
第五种方法:可以说这种方法比较万能,就是用命令提示符,但是因为测试过程中有问题,现在无法给出具体方法。
2、 无法显示隐藏文件
这个也是常见的病毒后遗症。和上面一样,同样介绍一些方法。
第一种方法:把下面的语句复制下来放在reg文件里面(建立记事本文件,修改扩展名为。reg),双击运行导入注册表中,问题即可解决。
REGEDIT4
(空一行)
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"RegPath"="Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced"
"Text"="@shell32。
dll,-30500"
"Type"="radio"
"CheckedValue"=dword:00000001
"ValueName"="Hidden"
"DefaultValue"=dword:00000002
"HKeyRoot"=dword:80000001
"HelpID"="shell。
hlp#51105"
第二种方法:可以说这种方法比较万能,就是用命令提示符,但是因为测试过程中有问题,现在无法给出具体方法。
3、 对开机无法找到文件提示的处理
这个是一般用杀毒软件杀毒后出现的后遗症,按照第二里面的检查启动项查看是那个启动项出了问题,就可以了。
以上只叙述了一般的检测清除未知病毒的方法,但是此方法并不对任何病毒使用,每一位高手都会有自己特殊的方法对付顽固的病毒。对付病毒还要对症下药,下面从两个方面写,就是病毒运行和病毒保护,了解这两个方面,才能对症下药,对每一种病毒进行删除。
第五,介绍病毒运行方法及其对策
1、EXE文件运行
这个是早期的,也是最简单的病毒运行方法,就是在启动项里面加入一个EXE文件运行的项目,从而达到病毒文件运行的目的,比如:密西木马在注册表启动项里面加入这么项HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ToP: "C:\WINDOWS\LSASS。
exe",达到运行C:\WINDOWS\LSASS。exe文件的目的,这样的运行方式在任务管理器中可以看见进程(病毒自身做了保护的除外)。
至于这样的病毒清除起来非常简单,按照上面说的第一种情况就可以了——结束进程,删除启动项,删除文件。
2、DLL嵌入(直接嵌入)
DLL嵌入分为两种,我们先说直接嵌入,大家都知道DLL文件是动态链接库,这类文件必须经过c:\windows\system32\rundll32。exe解释后才可以运行。
在进程中只显示一个rundll32。exe的进程,这样直接在注册表启动项目里面添加一个键值为“c:\windows\system32\rundll32。exe 病毒DLL位置”的项就可以运行了。
因为这种运行方式可以发现病毒进程,所以就有了嵌入Explorer。exe的,在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run中建立,就可以隐藏在Explorer。
exe里面启动。当然除了这几种方式,还有好多种可以嵌入系统EXE文件的方式,这样就加大了我们的检查难度。
对于这样的病毒,我们一般可以看SRE日志中的DLL加载项目,注意c:\windows\和c:\windows\system32\两个文件夹的文件,经过经验积累来判断是否是病毒。
我的经验有几点,第一,按启动项判断,很多加载DLL的启动项比较独特,而且按照上面的叙述有明显的特征;第二,若一个DLL文件被多个进程启动,50%是病毒(这个概率较低,我原来犯错误就是认为这个概率应该很高);第三,看文件数字签名,SRE后面附带了数字签名,若签名为N/A,50%是病毒,有特殊的软件(一般为小软件或者个人开发的)不带签名。
这类病毒删除起来也相对容易,直接用冰刃强制删除DLL文件,并且删除对应的启动项目就可以了。
3、DLL嵌入(间接嵌入)
我们再来看看这个间接嵌入,说它间接是因为病毒使用EXE文件作跳板来嵌入EXE文件。
这类病毒很多,比如征途木马(Trojan。PSW。ZhengTu。*)的部分变种、Trojan。PSW。WSGame等等,这些病毒如果试验,有一个特点,其EXE文件会在运行后删除。
这个运行方式比较复杂,EXE文件会干以下几件事情:释放要嵌入的DLL、运行DLL(执行嵌入)、建立自身以供下一次运行、建立启动项指向自身、删除自身(顺叙就不知道了,没有试验)。
完成运行过程后,EXE文件和DLL文件都会保住,且病毒也会正常运行。
删除方式很简单,就是首先查看启动项,掌握启动的EXE,然后把此EXE文件复制出来,可以用虚拟机(VMware Workstation)进行运行,估计新手没有这种条件,可以使用filemon监视,看看运行此文件创建或者读写了那一个DLL文件,用冰刃删除启动项和对应EXE、DLL文件,病毒解决。
4、多点运行及保护
这是最复杂的,我手头里面的试验过的典型病毒是 z和密西木马(落雪、Trojan。PSW。Misc。*)病毒,而这种类型最为普遍,比如现在流行的威金(Worm。Viking。
*)、熊猫烧香(Worm。Nimaya。*)。这种类型的病毒有着多边的特点,它不只是自己的保护非常到位,而且还释放了其他文件。这种类型的病毒就需要老手经过经验来处理,对于新手来说可能就非常棘手,那么怎么办呢?
提出以下几点建议,认真学习下面的保护方法介绍,因为此种类型病毒具有多种保护于一身,所以要先去除内存中的病毒后去除保护,否则病毒可能会卷土重来,但是去除保护。
。收起