二、自己動(dòng)手時(shí)，必須火眼金睛——用FC比較進(jìn)程列表文件
　　如果感覺電腦異常，或者知道最近有流行病毒，那么就有必要檢查一下。
　　進(jìn)入命令提示符下，輸入下列命令：
　　TaskList /fo:csv>g:yc.csv
　　生成一個(gè)當(dāng)前進(jìn)程的yc.csv文件列表，然后輸入：
　　FC g:\zccsv g:\yc.csy
　　回車后就可以看到前后列表文件的不同了，通過比較發(fā)現(xiàn)，電腦多了一個(gè)名為“Winion0n.exe”(這里以這個(gè)進(jìn)程為例)不是“Winionon.exe”的異常進(jìn)程。

三、進(jìn)行判斷時(shí)，切記證據(jù)確鑿——用Netstat查看開放端口

　　對這樣的可疑進(jìn)程，如何判斷它是否是病毒呢？根據(jù)大部分病毒(特別是木馬)會(huì)通過端口進(jìn)行對外連接來傳播病毒，可以查看一下端口占有情況。

　　在命令提示符下輸入：

　　Netstat-a-n-o

　　參數(shù)含義如下：

　　a:顯示所有與該主機(jī)建立連接的端口信息

　　n:顯示打開端口進(jìn)程PID代碼

　　o：以數(shù)字格式顯示地址和端口信息

　　回車后就可以看到所有開放端口和外部連接進(jìn)程，這里一個(gè)PID為1756(以此為例)的進(jìn)程最為可疑，它的狀態(tài)是“ESTABLISHED”，通過任務(wù)管理器可以知道這個(gè)進(jìn)程就是“Winion0n.exe”，通過查看本機(jī)運(yùn)行網(wǎng)絡(luò)程序，可以判斷這是一個(gè)非法連接!

　　連接參數(shù)含義如下：

　　LISTENINC：表示處于偵聽狀態(tài)，就是說該端口是開放的，等待連接，但還沒有被連接，只有TCP協(xié)議的服務(wù)端口才能處于LISTENINC狀態(tài)。

　　ESTABLISHED的意思是建立連接。

　　表示兩臺(tái)機(jī)器正在通信。

　　TIME-WAIT意思是結(jié)束了這次連接。

　　說明端口曾經(jīng)有過訪問，但訪問結(jié)束了，用于判斷是否有外部電腦連接到本機(jī)。

四：下手殺毒時(shí)，一定要心狠手辣——用NTSD終止進(jìn)程

　　雖然知道“Winion0n.exe”是個(gè)非法進(jìn)程，但是很多病毒的進(jìn)程無法通過任務(wù)管理器終止，怎么辦?

　　在命令提示符下輸入下列命令：

　　ntsd–cq-p1756

　　回車后可以順利結(jié)束病毒進(jìn)程。

　　提示：“1756”為進(jìn)程PID值，如果不知道進(jìn)程的ID，打開任務(wù)管理器，單擊“查看→選擇列→勾上PID(進(jìn)程標(biāo)識(shí)符)即可。

　　NTSD可以強(qiáng)行終止除Sytem,SMSS.EXE,CSRSS.EXE外的所有進(jìn)程。
五、斷定病毒后，定要斬草除根——搜出病毒原文件

　　對于已經(jīng)判斷是病毒文件的“Winion0n.exe”文件，通過搜索本地所有分區(qū)”、“搜索系統(tǒng)文件夾和隱藏的文件和文件夾”，找到該文件的藏身之所，將它刪除。

　　不過這樣刪除的只是病毒主文件，通過查看它的屬性，依據(jù)它的文件創(chuàng)建曰期、大小再次進(jìn)行搜索，找出它的同伙并刪除。

　　如果你不確定還有那些文件是它的親戚，通過網(wǎng)絡(luò)搜索查找病毒信息獲得幫助。

六、清除病毒后一定要打掃戰(zhàn)場

　　手動(dòng)修復(fù)注冊表雖然把病毒文件刪除了，但病毒都會(huì)在注冊表留下垃圾鍵值，還需要把這些垃圾清除干凈。

　　1、用regexport備份自啟動(dòng)。

　　由于自啟動(dòng)鍵值很多，發(fā)現(xiàn)病毒時(shí)手動(dòng)查找很不方便。

　　這里用regexport+批處理命令來備份。

　　啟動(dòng)記事本輸入下列命令：

　　regexportHKLM\software\Microsoft\Windows\

　　CurrentVersion\Runfo:\hklmrun.reg

　　regexportHKCU\Software\Microsoft\Windows\

　　CurrentVersion\Policies\Explorer\Runf:\hklcu.reg

　　regexportHKLM\SOFTWARE\Microsoft\Windows\

　　CurrentVersion\Policies\Explorer\Runhklml.reg

　　注：這里只列舉幾個(gè)常見鍵值的備份，其它鍵值請參照上述方法制作。

　　然后將它保存為ziqidong.bat在命令提示符下運(yùn)行它，即可將所有自啟動(dòng)鍵值備份到相應(yīng)的reg文件中，接著再輸入：

　　copyf:\*.regziqidong.txt

　　命令的作用是將所有備份的reg文件輸出到“ziqidong.txt”中，這樣如果發(fā)現(xiàn)病毒新增自啟動(dòng)項(xiàng)，同上次導(dǎo)出自啟動(dòng)值，利用上面介紹的FC命令比較前后兩個(gè)txt文件，即可快速找出新增自啟動(dòng)項(xiàng)目。

　　2、用regdelete刪除新增自啟動(dòng)鍵值。

　　比如：通過上面的方法在[HKER_CURRENT_USER\SOFTWARE\Microsoft\

　　Windows\CurrentVersion\Run],找到一個(gè)“Logon”自啟動(dòng)項(xiàng)，啟動(dòng)程序?yàn)椤癱:\windows\winlogon.exe”,現(xiàn)在輸入下列命令即可刪除病毒自啟動(dòng)鍵值：

　　regdeleteHKLM\software\Microssoft\Windows\

　　CurrentVersion\Run/f

　　3、用regimport恢復(fù)注冊表。

　　Regde-lete刪除是的是整個(gè)RUN鍵值，現(xiàn)在用備份好的reg文件恢復(fù)即可，輸入下列命令即可迅速還原注冊表：regimportf:\hklmrun.reg

　　上面介紹手動(dòng)殺毒的幾個(gè)系統(tǒng)命令，其實(shí)只要用好這些命令，我們基本可以KILL掉大部分的病毒，當(dāng)然平時(shí)就一定要做好備份工作。

　　提示：上述操作也可以在注冊表編輯器里手動(dòng)操作，但是REG命令有個(gè)好處，那就是即使注冊表編輯器被病毒設(shè)置為禁用，也可以通過上述命令導(dǎo)出/刪除/導(dǎo)入操作，而且速度更快!
七、捆綁木馬克星——FIND

　　上面介紹利用系統(tǒng)命令查殺一般病毒，下面再介紹一個(gè)檢測捆綁木馬的“FIND”命令。

　　相信很很多網(wǎng)蟲都遭遇過捆綁木刀，這些“批著羊皮的狼”常常躲在圖片、FLASH、甚至音樂文件后面。

　　當(dāng)我們打開這些文件的時(shí)候，雖然在當(dāng)前窗口顯示的確實(shí)是一幅圖片(或是播放的FLASH)，但可惡的木馬卻已經(jīng)在后臺(tái)悄悄地運(yùn)行了。

　　比如近曰我就收到一張好友從QQ傳來的超女壁紙，但是當(dāng)我打開圖片時(shí)卻發(fā)現(xiàn)：圖片已經(jīng)用“圖片和傳真查看器”打開了，硬盤的指示燈卻一直在狂閃。

　　顯然在我打開圖片的同時(shí)，有不明的程序在后臺(tái)運(yùn)行。

　　現(xiàn)在用FIND命令檢測圖片是否捆綁木馬，在命令提示符輸入：

　　FIND/c/I〝Thisprogram〞g:\chaonv.jpe.exe其中:

　　g:\chaonv.jpe.exe表示需要檢測的文件

　　FIND命令返回的提示是“___G:CHAONV.EXE:2”,這表明“G：、CHAONV.EXE”確實(shí)捆綁了其它文件。

　　因?yàn)镕IND命令的檢測：如果是EXE文件，正常情況下返回值應(yīng)該為“1”;如果是不可執(zhí)行文件，正常情況下返回值應(yīng)該為“

總結(jié)

　　最后我們再來總結(jié)一下手動(dòng)毒的流程：

　　用TSKLIST備份好進(jìn)程列表→通過FC比較文件找出病毒→用NETSTAT判斷進(jìn)程→用FIND終止進(jìn)程→搜索找出病毒并刪除→用REG命令修復(fù)注冊表。

　　這樣從發(fā)現(xiàn)病毒、刪除病毒、修復(fù)注冊表，這完成整個(gè)手動(dòng)查毒、殺毒過程。