Windows系统知识.docVIP

Windows系统知识 LSASS lsass.exe是一个系统进程，用于 HYPERLINK /view/2353.htm \t _blank 微软Windows系统的安全机制。它用于本地安全和登陆策略。注意：lsass.exe也有可能是Windang.worm、irc.ratsou.b、Webus.B、MyDoom.L、Randex.AR、Nimos.worm创建的，病毒通过软盘、群发邮件和P2P文件共享进行传播。 基本信息 　　进程文件： lsass 或者 lsass.exe 　　 HYPERLINK /view/2136254.htm \t _blank 进程名称： Local Security Authority Service 　　出品者： Microsoft Corp. 　　属于： Microsoft Windows Operating System 　　因这个进程为系统进程,强行结束将会出现倒计时关机的字样,只能重新启动. 病毒判断 　　如果你的启动菜单（开始-运行-输入“msconfig”）里有个lsass.exe启动项，那就证明你的lsass.exe是木马病毒，中毒后，在进程里可以见到有两个相同的进程，分别是lsass.exe和 HYPERLINK /view/134092.htm \t _blank LSASS.EXE，同时在windows下生成LSASS.EXE和exert.exe两个 HYPERLINK /view/159830.htm \t _blank 可执行文件，且在后台运行，LSASS.EXE管理exe类执行文件，exert.exe管理程序退出，还会在D盘根目录下产生和 HYPERLINK /view/603374.htm \t _blank autorun.inf两个文件，同时侵入注册表破坏系统文件关联。以下说一下本人对该病毒的杀法，以WIN98为例:打开IE属性删除cookies和所有脱机内容,启动进程杀手终止lsass.exe和exert.exe两个进程，然后到windows目录下删除这两个文件，这两个文件是隐藏的，再到D：删除和autorun.inf两个文件，最后重启电脑到DOS 运行，用scanreg/restore 命令来恢复注册表，（如果不会的或者是XP系统不能用的可以用 HYPERLINK /view/5876.htm \t _blank 瑞星注册表修复程序之类的 HYPERLINK /view/37.htm \t _blank 软件修复一下注册表），重启后进到WINDOWS HYPERLINK /view/79807.htm \t _blank 桌面用杀毒软件（本人用 HYPERLINK /view/25579.htm \t _blank 金山毒霸2006）全面杀毒，清除余下的病毒！ 其实这也只是个治标不治本的方法，对付仿冒LSASS进程的处理相对是比较简单，但是 HYPERLINK /view/1296399.htm \t _blank 镜像劫持该进程的话，可以用镜像劫持修复工具进行修复，但是如果病毒注入了LSASS进程的话，处理就要复杂多了，建议重新装下系统。 XP系统手工清除病毒 　　一、准备工作： 　　打开“ HYPERLINK /view/137833.htm \t _blank 我的电脑”——工具——文件夹选项——查看 　　a、把“隐藏受保护的操作系统文件（推荐）”和“隐藏已知文件类型的扩展名”前面的勾去掉； 　　b、勾中“显示所有文件和文件夹” 　　二、结束进程 　　用Ctrl+Alt+Del调出windows务管理器,想通过右击当前用户名的lsass.exe来结束进程是行不通的.会弹出该进程为系统进程无法结束的提醒框; 　　点到 HYPERLINK /view/3199.htm \t _blank 任务管理器进程面版，点击菜单，“查看”－“选择列”，在弹出的对话框中选择“PID（进程标识符）”，并点击“确定”。找到映象名称为“LSASS.exe”，并且用户名不是“SYSTEM”的一项，记住其PID号.点击“开始”——运行，输入“CMD”，点击“确定”打开命令行控制台。 　　输入“ntsd –c q -p (此红色部分填写你在任务管理器里看到的LSASS.EXE的PID列的数字，是当前用户名进程的PID，别看错了)”，比如我的计算机上就输入“ntsd –c q -p 1064”.这样进程就结束了。（如果结束了又会出现，那么你还是用下面的方法吧） 　　三、删除病毒文件 　　删除如下几个文件： （与WIN2000的目录有所不同） 　　C:\Program Files\Common Files\INTEXPLORE.pif/a/f/q