病毒木马入侵后主要人工查杀步骤

oyyr1998

病毒木马入侵后主要人工查杀步骤病毒木马入侵后主要人工查杀步骤

1.进入安全模式

在计算机启动时，按F8键，会出现系统启动菜单，从中可选择进入安全模式。

2.将计算机与网络断开，防止黑客通过网络继续对你进行攻击。

3.显示所有文件和文件夹（包括隐含文件和系统保护文件）

4.禁用系统还原

右键“我的电脑”→系统属性→“在所有驱动器上关闭系统还原”前打上勾→应用（释放硬盘空间、该空间有可能受到病毒攻击）

5.删除病毒/木马程序的自启动项

打开注册表编辑器：开始→运行→输入：regedit→确定

查找自启动项

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\文件夹下的三个子件夹

Run

RunOnce

Runservices

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\文件夹下的三个子件夹：

Run

RunOnce

打开系统配置实用程序：开始→运行→输入：msconfig→确定

（如果Windows2000无此文件，可运行共享文件夹中的msconfig.exe） Fom）

检查：win.ini、system.ini启动配置文件中的加载项

win.ini的[windows]字段中

run=

load=

一般情况下“＝”后面是空白的，如果有后跟程序，如：

run=cwindows\file.exe

load=cwindows\file.exe

其中的file.exe很可能是病毒

system.ini的[boot]字段中

shell= explorer.exe file.exe

一般情况下“explorer.exe”后面是空白的，如果有后跟程序，如：

shell= explorer.exe file.exe

其中的file.exe很可能是病毒 4）

system.ini的[386Enh]、[mic]、[drivers]、[drivers32]字段中

driver=“路径\程序名”

检查其它启动配置文件、初始化文件、系统配置文件中的加载项： 

winint.ini：多用于安装

winstart.bat：由应用程序、Windows自动生成、Win.com加截多数驱动程序后产生，与Autoexec.bat功能相同。

autoexec.bat（一般为隐含属性，掌握对隐含属性文件的搜索）

config.sys（同上）

检查启动组：开始→程序→启动，其中的启动项内容。

对应注册表中的位置：

HKEY_CURRENT_USER\Software\Microsoft\windows\CurrentVersion\Explorer\shell Folders Startup

人工查杀步骤：先杀进程、再删除病毒文件、最后修复注册表。 j'fP#d%2T1注册表或进程表中发现了病毒，先在进程表中杀进程

打开任务管理器，找到病毒程序的进程，终止运行。

如果不能终止，可运行其它监视进程的工具软件进行终止。

如果仍然不能终止只能重启后进入安全模式，并断开与网络的连接。

在DOS窗口中删除病毒文件，也可在资源管理器中删除，但病毒可能会自行恢复。

重启后回到注册表搜索、删除全部病毒的残余信息，尤其是启动项中的信息。

Devy

这么检查不彻底的，因为病毒感染方式多样，比如还有改写或替换系统文件、写驱动、注册服务等，这些用上面方法是查不出来的。写驱动和注册服务还好办，感染型病毒是无法手工清除的，除非你确切知道该病毒感染了哪些文件。所以手工处理完后最好用最新的杀软（最好开启发式）再查一次——当然这也不是完全保险的。

[ 本帖最后由 Devy 于 2008-4-22 20:37 编辑 ]

大猫熊

第一步很难成功吧？现在很多病毒直接破坏安全模式选项。

fengnoble

我也这么觉得，现在中了毒，都会出现这样的情况，首先就是安全模式进不了。

feifeidaozei

对，有没有方法先把注册表中控制安全模式的键保护起来？？

Devy

原帖由 feifeidaozei 于 2008-4-23 11:20 发表
对，有没有方法先把注册表中控制安全模式的键保护起来？？

用HIPS。另外有一些工具可以修复安全模式，比如System Repair Engineer（Sreng）