|
在經(jīng)典學(xué)到了很多，這次寫些自己的東西。翻了一下之前15頁(yè)病毒的帖子，似乎還沒有很系統(tǒng)的，于是就有了這么一個(gè)念頭，就陸陸續(xù)續(xù)地在記事本里寫了下面這點(diǎn)東西，并且把雛形的開頭寫在了自己空間里，所以可能思路不是特別清晰，在加上個(gè)人能力很有限，有什么不對(duì)的地方請(qǐng)賜教，非常歡迎！
在寫主題之前，先寫些題外話：
計(jì)算機(jī)安全，關(guān)鍵在“防”，所以平常所做的防護(hù)以及備份工作是最重要的！
系統(tǒng)安全，方法有很多：影子系統(tǒng)、虛擬機(jī)、沙箱...但很多時(shí)候真的沒有必要。保持良好的上網(wǎng)習(xí)慣和用機(jī)習(xí)慣，做好適當(dāng)?shù)膫浞菥涂梢粤�。所以這里不討論那些虛擬技術(shù)，主要是真實(shí)系統(tǒng)中的一些問題。雖然談的是手工殺毒，但還是要列舉一下平常會(huì)用到的可能有關(guān)的一些東西：
——360，卡卡，超級(jí)兔子，window清理助手，超級(jí)巡警，黃山IE修復(fù)，惡意軟件清理助手......雖然并不討論，但是這些日常所用到過的東西很有幫助。對(duì)于殺毒軟件的優(yōu)劣沒什么多評(píng)判的，主流我?guī)缀醵妓闶怯眠^一遍了，也只是覺得各有所長(zhǎng)。對(duì)于防御，最重要的無非還是補(bǔ)丁和好的習(xí)慣，手工只是輔助，殺毒軟件仍然只是輔助吧。
下面是一般處理的方式（一層進(jìn)一層地處理）：
- 安全模式下全盤查殺。
- 將硬盤掛接到其它機(jī)器上全盤查殺。
- 重裝系統(tǒng)后，僅操作桌面的情況下，安裝殺毒軟件全盤查殺。
依靠殺毒軟件是對(duì)的，因?yàn)槭止須⒁馕吨闊┖秃芸赡艿氖�，但是完全交給殺毒軟件也不妥當(dāng)。在病毒成功干擾殺毒軟件之后，我們就要手工盡可能去排除干擾。一旦病毒進(jìn)來了，難說病毒不會(huì)把殺毒軟件先干掉。即使不用，了解下也沒有壞處。
進(jìn)入手工殺毒的主題：
當(dāng)中毒之后，第一步，就是斷網(wǎng)，并且千萬不能系統(tǒng)重啟(即使重啟也不要正常重啟)。
中毒后的癥狀現(xiàn)在也出奇的有一致性，干擾如360這類安全工具，禁用任務(wù)管理器等等。平時(shí)多注意任務(wù)管理器多注意進(jìn)程，熟悉系統(tǒng)盤里的文件，以及文件的修改時(shí)間，會(huì)為手工殺毒帶來方便，第一時(shí)間知道中毒，第一時(shí)間劃定可疑范圍。在殺毒里最開始也是最重要的一步，就是干掉病毒的進(jìn)程。這就涉及到很多工具。沒有這些工具，手工殺毒根本無從談起。
首先是我們平時(shí)用的最多的任務(wù)管理器。用Ctrl+Shift+ESC調(diào)出(似乎平時(shí)人們都更喜歡Ctrl+Alt+Delete)。最大的缺點(diǎn)是不能同時(shí)結(jié)束兩個(gè)以上的進(jìn)程，而且可以說一直是病毒的首要目標(biāo)，功能比較雞肋。但是通�？梢允且粋�(gè)信號(hào)燈，一旦其失效，就要考慮是不是中毒了~
我強(qiáng)烈推薦Sysinternals的Process Explorer和Process Monitor，因?yàn)檫@兩個(gè)軟件實(shí)在是太好了。自從Winternals被微軟收購(gòu)后，Sysinternals也被并入微軟名下，所以其工具對(duì)于windows系統(tǒng)的支持非常好。
Process Explorer可以完全取代系統(tǒng)自帶的雞肋般的taskmanager，提供的功能之強(qiáng)，使得這款軟件歷經(jīng)多年仍然難有出其右者。對(duì)于進(jìn)程信息的提供真是應(yīng)有盡有了，詳細(xì)而透徹。雖然近一年時(shí)間似乎也逐漸成為病毒屏蔽目標(biāo)之一，但是強(qiáng)大功能和實(shí)用性，我一直無法放棄使用。按Ctrl+H,還可以切換到Handler視圖進(jìn)行更加高級(jí)的操作。
早些時(shí)候使用process explorer可以說是百試百靈的，可以逃脫的病毒并不多，現(xiàn)在情況就差很多了。下面是我以前碰到的一個(gè)例子:U盤上總是會(huì)被寫上一個(gè)文件，文件大小是655k，刪除之后過會(huì)又會(huì)重建。在任務(wù)管理器中看不出什么問題，但是在process explorer下卻是一目了然。有一個(gè)進(jìn)程作為用戶進(jìn)程居然沒有父進(jìn)程，看其行為，居然每隔一定時(shí)間就有一次IO操作，大小剛好也是655k。于是找到位置，刪除之。同時(shí)用Process Monitor追蹤了一下找到其他一些文件刪除，系統(tǒng)恢復(fù)�？梢哉f殺的并不完整，但是病毒已經(jīng)無效化了。
Process Monitor實(shí)際上是對(duì)進(jìn)程的文件系統(tǒng)和注冊(cè)表調(diào)用的監(jiān)視。對(duì)于特定進(jìn)程可以完全跟蹤文件讀寫和注冊(cè)表的讀寫，這對(duì)于排查病毒極為有用。同時(shí)也提供了一個(gè)進(jìn)程查看器，其雖然不如專門的進(jìn)程查看器process explorer強(qiáng)大，卻也十分實(shí)用，特別是存活時(shí)間可以說是一目了然。
出處：藍(lán)色理想
責(zé)任編輯：moby
上一頁(yè) 下一頁(yè) 淺談手工殺毒 [2]
◎進(jìn)入論壇計(jì)算機(jī)技術(shù)版塊參加討論
|
第 1 頁(yè) 淺談手工殺毒 [1]
第 2 頁(yè) 
