原创力文档- 1、原创力文档（book118）网站文档一经付费（服务费），不意味着购买了该文档的版权，仅供个人/单位学习、研究之用，不得用于商业用途，未经授权，严禁复制、发行、汇编、翻译或者网络传播等，侵权必究。。
- 2、本站所有内容均由合作方或网友上传，本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺！文档内容仅供研究参考，付费前请自行鉴别。如您付费，意味着您自己接受本站规则且自行承担风险，本站不退款、不进行额外附加服务；查看《如何避免下载的几个坑》。如果您已付费下载过本站文档，您可以点击 这里二次下载。
- 3、如文档侵犯商业秘密、侵犯著作权、侵犯人身权等，请点击“版权申诉”（推荐），也可以打举报电话：400-050-0827(电话支持时间：9:00-18:30)。
- 4、该文档为VIP文档，如果想要下载，成为VIP会员后，下载免费。
- 5、成为VIP后，下载本文档将扣除1次下载权益。下载后，不支持退款、换文档。如有疑问请联系我们。
- 6、成为VIP后，您将拥有八大权益，权益包括：VIP文档下载权益、阅读免打扰、文档格式转换、高级专利检索、专属身份标志、高级客服、多端互通、版权登记。
- 7、VIP文档为合作方或网友上传，每下载1次， 网站将根据用户上传文档的质量评分、类型等，对文档贡献者给予高额补贴、流量扶持。如果你也想贡献VIP文档。上传文档
查看更多
病毒试验
注：以下的方法仅适用非文件感染型的蠕虫、木马以及后门程序，适用平台为win2k以及winxp
????
使用相关程序说明：
????reg.exe命令行注册表修改工具，winxp安装完毕后即存在系统中，win2k的系统可以通过win2k安装光盘下Support\Tools目录中的setup.exe安装。
????Pskill.exe进程中止工具，该工具可以从
???? ?一个批处理分为以下部分：
????1. 病毒服务处理部分
????2. 病毒进程处理部分
????3. 注册表的清理部分
????4. 病毒文件的清理部分
????详细说明
????病毒服务处理部分：
????使用win2k以及winxp下的net stop命令进行病毒服务程序的停止，语法如下
????net stop [服务名称]
????举例来说net stop _reg，将停止名为_reg的服务程序运行
????病毒进程处理部分：
????使用前述的pskill.exe工具进行病毒程序进程的中止
????pskill [进程文件名称]
????举例来说pskill spollsv.exe，将中止名为spollsv.exe的程序的运行
????注册表的清理部分：
????使用命令行注册表修改工具进行注册表的清理
????注册表项目的删除
????1. 子键的删除
????reg delete [子键名称] /f
????2. 注册表值的删除
????reg delete [子键名称] [/v值名称] /f
????注册表项目的修改
????reg add [子键名称] [/v值名称] [/t值类型] [/d值] /f
????注：reg工具使用说明
????REG command KeyName [/v ValueName | /ve] [/t Type] [/s Separator] [/d Data] [/f]
????command，指定的操作类型
????add 修改或添加注册表项目
????delete 删除注册表项目
????KeyName
????注册表键，即根键与注册表键的组合
????FullKey ROOTKEY\SubKey
????根键ROOTKEY [ HKLM | HKCU | HKCR | HKU | HKCC ]
????子键SubKey
????/v 标识子键下的值名称
????/t 值数据类型
????[ REG_SZ | REG_MULTI_SZ | REG_DWORD_BIG_ENDIAN |
????REG_DWORD | REG_BINARY | REG_DWORD_LITTLE_ENDIAN |
????REG_NONE | REG_EXPAND_SZ ]
????缺省则默认为REG_SZ类型
????/d 标识要添加到某个注册表值下的数据，注册表值名称由/v参数指定
????/f 不需用户确认，强制执行对注册表的删除或是覆盖
????示例
????reg delete HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices /v COM++ System /f
????以上命令将删除HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices键下的，名为COM++ System的值
????病毒文件的清理部分：
????使用del命令简单的删除病毒文件，由于病毒的文件通常生成在windows安装目录下的一些系统目录中，可以使用替代符%windir%指示windows的安装路径
????示例
????del %windir%\system32\spollsv.exe
????病毒清除批处理示例：
????rem WORM_LOVGATE.AF
????@echo off
????rem service part
????net stop _reg
????rem process part
????pskill hxdef.exe
牋牋pskill ravmond.exe
牋牋pskill tkb ellexe.exe
牋牋pskill update_ob.exe
牋牋pskill cdplay.exe
牋牋pskill spollsv.exe
牋牋pskill iexplorer.exe
牋牋rem registry clean part
牋牋reg delete HKEY_LOCAL_MACHINE\So
文档评论（0）