巧用DOS命令检查木马.docVIP

巧用DOS命令检查木马 2009-02-26 作者： 来源：天极网 　　 　　要防治电脑病毒，仅仅依靠杀毒软件是远远不够的，因为所有的杀毒软件都是将你电脑上的数据与病毒库中的病毒样本进行对比来判断是否中毒。所以对于病毒库中还没有样本的新病毒是无能为力的。因此我们有必要学习手工杀毒的方法，下面介绍利用系统进程杀毒的方法: 　　进程是操作系统当前运行的执行程序。可执行病毒同样以“进程”形式出现在系统内部，我们可以通过打开系统进程列表来查看哪些进程正在运行，通过进程名及路径判断是否有病毒，如果有则记下它的进程名，结束该进程，然后删除病毒程序即可。 　　一，查看进程列表的方法 　　在WIN98/ME中查看进程列表的操作:依次单击“开始”-“程序”-“附件”-“系统工具”-“系统信息”-“软件环境”-“正在运行的任务”，打开的进程列表如(图1) 　　在WIN2000/XP中除了用以上方法查看之外还可以按“ALT+CTRL+DEL”组合键打开“WINDOWS任务管理器”，在“进程”页查看(如图2)。 二，判断那些是正常进程 　　系统进程名表(如图3)，系统进程一般包括:基本系统进程和附加进程。基本系统进程是系统运行的必备条件，而附加进程则是可以按需运行或结束。 　　1.基本系统进程: 　　Csrss.exe:这是子系统服务器进程，负责控制Windows创建或删除线程以及16位的虚拟DOS环境。 　　Lsass.exe:管理 IP 安全策略以及启动 ISAKMP/Oakley (IKE) 和 IP 安全驱动程序。。 　　Explorer.exe:资源管理器。 　　Smss.exe:这是一个会话管理子系统，负责启动用户会话。 　　Services.exe:系统服务的管理工具，包含很多系统服务。 　　system: Windows系统进程 　　System Idle Process:这个进程是作为单线程运行在每个处理器上，并在系统不处理其它线程的时候分派处理器的时间。 　　Spoolsv.exe:管理缓冲区中的打印和传真作业。 　　Svchost.exe:系统启动的时候，Svchost.exe将检查注册表中的位置来创建需要加载的服务列表，如果多个Svchost.exe同时运行，则表明当前有多组服务处于活动状态;多个DLL文件正在调用它。 　　winlogon.exe: 管理用户登录 　　以上这些进程都是对计算机运行起至关重要的，千万不要随意“杀掉”，否则可能直接影响系统的正常运行。 　　2，附加进程 　　除了基本系统进程，其它就是附加进程了， 例如wuauclt.exe(自动更新程序)、 systray.exe(显示系统托盘小喇叭图标)、ctfmon.exe(微软Office输入法)、mstask.exe(计划任务)、winampa.exe等等，附加进程可以按需取舍，不会影响到系统核心的正常运行。 　　3，应用程序的进程 　　当前运行的应用程序也会显示在进程列表中，当要查毒时最好将已运行的程序全部按正常方式关闭，病毒一般不随应用程序关闭而结束的。 　　当我们发现“不明的进程名”不在(如图3)的系统进程名表中，就应当列为可疑进程。 　　三，处理 　　1，试验法:将可疑进程结束后，通过“开始→搜索→文件或文件夹→用可疑进程名作为关键字对整个硬盘搜索”，找到对应的程序后，记下它的路径，将它移到软盘或U盘上，然后对电脑上的软件都运行一遍，如果都能正常运行，说明这个进程是多余的或者是病毒，就算不是病毒把它删了也可给系统减肥。如果有软件不能正常运行则要将它还原。 　　2.请教法 　　在对“不明的进程”是否是病毒拿不定主意时，可以复制该进程的全名，上网到论坛上请教，或者用该进程的全名作为关键字在全球搜索引擎上进行搜索，找它的相关资料看它是不是病毒。如果是则赶快删除。 　　 ?　　一些基本的命令往往可以在保护网络安全上起到很大的作用，下面几条命令的作用就非常突出。 　　检测网络连接 　　如果你怀疑自己的计算机上被别人安装了木马，或者是中了病毒，但是手里没有完善的工具来检测是不是真有这样的事情发生，那可以使用Windows自带的网络命令来看看谁在连接你的计算机。具体的命令格式是：netstat-an这个命令能看到所有和本地计算机建立连接的IP，它包含四个部分—— proto(连接方式)、localaddress(本地连接地址)、foreignaddress(和本地建立连接的地址)、state(当前端口状态)。通过这个命令的详细信息，我们就可以完全监控计算机上的连接，从而达到控制计算机的目的。 　　禁用不明服务 　　很多朋友在某天系统