新手发帖，不到之处多多包涵
进入主题：僵尸文件大家应该都遇到过，明明一个文件夹是0字节，偏偏就无法删除。这里说到的伪僵尸文件和真正僵尸文件不同，单指顽固文件，因为僵尸文件的父进程和子进程我看了就头痛，菜鸟嘛。
经过几次遭遇，大致知道了对付这类文件的方法：常规方法就是注销或重启，或是进入安全模式，删除，相信大家对这种很熟悉了，就不多说了。
非常方法就是使用一些软件进行删除，应用最多的就是unlock了，逛卡饭的没几个不知道这个软件的。我也用了，但总觉得好像不是太好用，后来无意就用了今天的主角了--Wsyscheck，效果很好，也不需要进入安全模式。
Wsyscheck常见的应用好像并不在这个，但是对付这类顽固软件也很见效。其实这个软件是一个强大的系统检测维护工具，进程和服务驱动检查，SSDT强化检测，文件查询，注册表操作，DOS删除等一应俱全。真的很强大，希望版主自己试用过后向更多的网友推荐。
下载地址：http://www.duote.com/soft/13313.html
以下为转帖：Wsyscheck教程
1:软件设置中的模块、服务简洁显示
简洁显示会过滤所微软文件，但在使用了“校验微软文件签名”功能后，通不过的微软文件也会显示出来。
SSDt右键“全部显示”是默认动作，当取消这个选项后，则仅显示SSDT表中已更改的项目。
2:关于Wsyscheck的颜色显示
进程页：
红色表示非微软进程,紫红色表示虽然进程是微软进程,但其模块中有非微软的文件。
服务页：
红色表示该服务不是微软服务,且该服务非.sys驱动。（最常见的是.exe与.dll的服务，木马大多使用这种方式）。
使用“检查键值”后，蓝色显示的是有键值保护的随系统启动的驱动程序。它们有可能是杀软的自我保护，也有可能是木马的键值保护。
在取消了“模块、服务简洁显示”后，查看第三方服务可以点击标题条”文件厂商”排序，结合使用“启动类型”、“修改日期”排序更容易观察到新增的木马服务。
进程页中查看模块与服务页中查看服务描述可以使用键盘的上下键控制。
在使用“软件设置”-“校验微软文件签名”后，紫红色显示未通过微软签名的文件。同时，在各显示栏的"微软文件校验"会显示Pass与no pass。(可以据此参考是否是假冒微软文件，注意的是如果紫红色显示过多，可能是你的系统是网上常见的Ghost精简版，这些版本可能精简掉了微软签名数据库所以结果并不可信)
SSDT管理页：
默认显示全部的SSDT表，红色表示内核被HOOK的函数。查看第三方模块，可以点击两次标签“映像路径”排序，则第三方HOOK的模块会排在一起列在最前面。也可以取消“全部显示”,则仅显示入口改变了的函数。
SSDT页的“代码异常”栏如显示“YES”,表明该函数被Inline Hook。如果一个函数同时存在代码HOOK与地址HOOK,则对应的模块路径显示的是Inline Hook的路径，而使用“恢复当前函数代码”功能只恢复Inline Hook，路径将显示为地址HOOK的模块路径，再使用“恢复当前函数地址”功能就恢复到默认的函数了。
使用“恢复所有函数”功能则同时恢复上述两种HOOK。
发现木马修改了SSDT表时请先恢复SSDT，再作注册表删除等操作。
活动文件页：
红色显示的常规启动项的内容。
3:关于Wsyscheck启动后状态栏的提示“警告！程序驱动未加载成功，一些功能无法完成。”
多数情况下是安全软件阻止了Wsyscheck加载所需的驱动，这种情况下Wsyscheck的功能有一定减弱，但它仍能用不需要驱动的方法来完成对系统的修复。
驱动加载成功的情况下,对于木马文件可以直接使用Wsyscheck中各页中的删除文件功能,本功能带有“直接删除”运行中的文件的功能。
4:关于卸载模块
对HOOK了系统关键进程的模块卸载可能导致系统重启，这与该模块的写法有关系，所以卸载不了的模块不要强求卸载，可以先删除该模块的启动项或文件(驱动加载情况下使用删除后重启文件即消失)。
5:关于文件删除
驱动加载的情况下,Wsyscheck的删除功能已经够用了,大多数文件都可以立即删除(进程模块可以直接使用右键下带删除的各项功能),加载的DLL文件删除后虽然文件仍然可见，但事实上已删除，重启可观察到文件已消失。
文件管理页的“删除”操作是删除文件到回收站，支持畸形目录下的文件删除。应注意的是如果文件本身在回收站内，请使用直接删除功能。或者使用剪切功能将它复制到另一个地方。否则你可能看到回收站内的文件删除了这个又添加了那个（因为右键“删除”是删除到回收站）。
对于用以上功能仍删除不了的文件，可以使用Wsyscheck的或“dos删除功能”，使用“dos删除”功能后会在启动菜单中添加一项“删除顽固文件”，执行后自动清理文件并去掉它所添加的启动项。“dos删除”在多系统情况下可能存在一些问题，请慎用。本功能需要将辅件Wdosdel.dat与 Wsyscheck放在一起才会显示相关页面。
“重启删除”仅作为驱动无法加载情况下使用的一种辅助手段，“重启删除”与“Dos删除”可以同时使用。其列表都可以手动编辑,一行一个文件路径即可。关闭程序时如果上述两者之一存在删除列表，会问询是否执行。
如果需要对删除的文件备份,先启用软件设置下的“删除文件前备份文件”，它将在删除前将文件备份到%SystemDrive%\VirusBackup目录中，且将文件名添加.vir后缀以免误执行。
6:关于进程的结束后的反复创建
可以使用进程页的“禁止程序运行”，这个功能就是流行的IFEO劫持功能，我们可以使用它来屏蔽一些结束后又自动重新启动的程序。通过禁用它的执行来清理文件。解除禁用的程序用“安全检查”页的“禁用程序管理”功能，,所以在木马使用IFEO劫持后也可以“禁用程序管理”中恢复被劫持的程序。
另外，软件设置下的“禁止进程与文件创建”功能是针对木马的反复启动，反复创建文件，反复写注册表启动项进行监视或阻止,使用本功能后能更清松地删除木马文件及注册表启动项。
开启禁止“禁止进程与文件创建”后会自动添加“监控日志”页，取消后该页消失。可以观察一下日志情况以便从所阻止的动作中找到比较隐藏的木马文件。注意的是，如果木马插入系统进程，则反映的日志是阻止系统进程的动作，你需要自我分辨该动作是否有害并分析该进程的模块文件。
要保留日志请在取消前Ctrl+A全选后复制。注意,为防止日志过多,满1000条后自动删除前400条日志。
7:关于如何清理木马的简单方法：见以下转帖内容 
双击Wsyscheck.exe后打开软件，可看到标题栏的进程名是随机字符的，等于屏蔽了有些病毒靠窗口标题来关闭应用程序的功能。
进程列表中红色表示非微软进程,紫红色表示虽然进程是微软进程,但其模块中有非微软的文件。
- 木马的清理的简单方法：（本文涉及到的程序和文件并非病毒，仅举例说明方法）
1）先禁止进程创建，防止结束了病毒程序后，又被其他互相保护的病毒进程带起的现象。勾选“软件设置”下的“禁止进程和文件创建”如下图：
选择了此项之后，任何进程和文件都不能被创建。
2）勾选上图中“删除文件后锁定”以阻止文件再生。然后可批量选择多个病毒进程，使用“结束进程并删除文件”。如下图所示：
按住“Ctrl”键，可同时选中多个进程。
- 插入到进程中的模块多不可怕，全局钩子在各进程中通常都是相同的，处理进程的模块即可。建议采用“直接删除模块文件”本功能执行后看不到变化，但文件其实已经删除。如下图所示：
若保险也可以选择或“添加到重启并删除列表”，然后执行重启后删除，如图所示：
不建议使用“卸载模块”功能，原因是卸载系统进程中的模块时有可能造成系统重启而前功尽弃。
4）清理完后切换到文件搜索页，限制文件大小为50K左右，去除“排除微软文件的勾”搜索最近一周的新增的文件，从中选出病毒尸体文件删除。如图：
5）在安全检查中可以修复的修复一下。比如host文件，应用程序劫持项，winsock等。如下图所示：
6）杀毒后处理问题
头疼病毒让你不能显示隐藏文件吧？头疼病毒让你进入安全模式蓝屏吧？头疼病毒让你双击硬盘盘符又马上启动了病毒进程吧？Wsyscheck还有一项“工具”的菜单可以帮助你解决所有这些问题！ 如下图所示：
以上操作不再进行详细讲解，大家一看就可以明了，都是修复病毒破坏后导致的系统问题，彻底还原系统的原状。
| 
发表于 2008-12-7 20:37:50
楼主