实验七 典型病毒(熊猫烧香)的检测和清除.docVIP

实验七 典型病毒(熊猫烧香)的检测和清除一、实验目的掌握典型病毒的检测方法，掌握典型病毒-熊猫烧香病毒的检测方法二、实验环境微机1台，熊猫烧香病毒样本、熊猫烧香病毒专杀工具、VMWare虚拟机软件。三、实验步骤与方法1）熊猫烧香病毒的检测备好病毒样本带有熊猫烧香病毒的文件。运行VMWare虚拟机软件。为了整个计算机本身的安全或整个实验室系统的安全，让实验在虚拟的环境下进行，检测干净系统种植熊猫烧香病毒点击含有熊猫烧香病毒文件夹下的setup.exe文件，这时就将熊猫烧香病毒种植到计算机系统中了。检测中毒后的系统得出实验结论2）熊猫烧香病毒的清除熊猫症状表现为:某些EXE文件的图标被改成一个座立的熊猫手里捧着三根香,因此得名,隐藏文件属性无法修改，即显示所有隐藏文件的勾选去掉也不能显示隐藏文件；双击分区盘符无法打开显示内容，必须通过右键打开才可以打开；如果你的电脑出现以上症状那一定是中着了！可以通过以下用超级巡警之熊猫烧香病毒专杀 V1.8自动删除和清理病毒（删除前断开网络）拓展资料：手工清除方法(2.1) 清除病毒第一步：点击“开始--运行”，输入ntsd -c q -pn spoclsv.exe并确定，结束病毒的进程。（或进入到文件夹c:\windows(Windows2000下为winnt, windowsXP下为windows)\system32\drivers中修改spoclsv.exe的文件名为其他的.exe文件），之后我们就可以进入到任务管理器和注册表中了。第二步：在注册表中寻找“HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVersion\Explorer\Advanced\Folder\Hidden\SHOWALL”,将CheckedValue的值改为1。打开“HKEY_CURRENT_USER\Software\Microsoft\Windows\CrrentVersion\Run”，将svcshare的项目删除。第三步：删除硬盘各分区根目录下的setup.exe和autorun.inf文件；删除掉C:\Windows\system32\drivers下的spoclsv.exe文件。第四步：搜索硬盘上的网页格式文件，找到其中类似”iframe src=/wuhan/down.htmwidth=0 height=0 frameborder=0/iframe“的文字，将其删除。被嵌入的代码可能是其他的网站。(2.2) 显示出被隐藏的系统文件 运行——regedit HKEY_LOCAL_MACHINE\Software\Microsoft\windows\CurrentVersion\explorer\Advanced\Folder\Hidden\SHOWALL，将CheckedValue键值修改为1 　　这里要注意，病毒会把本来有效的DWORD值CheckedValue删除掉，新建了一个无效的字符串值CheckedValue，并且把键值改为0！我们将这个改为1是毫无作用的。（有部分病毒变种会直接把这个CheckedValue给删掉，只需和下面一样，自己再重新建一个就可以了） 　　方法：删除此CheckedValue键值，单击右键 新建——Dword值——命名为CheckedValue，然后修改它的键值为1，这样就可以选择“显示所有隐藏文件”和“显示系统文件”。 　　在文件夹——工具——文件夹选项中将系统文件和隐藏文件设置为显示 重启电脑后，发现杀毒软件可以打开，分区盘双击可以打开了。如何防范”熊猫烧香“病毒第一，该病毒会利用IE，QQ，UC等的漏洞进行传播。所以需要即使安装他们的最新补丁程序。第二，计算机应设置复杂的密码，以防止病毒通过局域网传播。第三，关闭系统的”自动运行“功能，防止病毒通过U盘，移动硬盘等侵入你的电脑。附：结束进程的方法：调出windows任务管理器(Ctrl+Alt+Del),发现通过简单的右击当前用户名的***.exe来结束进程是行不通的.会弹出该进程为系统进程无法结束的提醒框;鼠标右键点击任务栏，选择任务管理器。点击菜单查看(V)－选择列(S)...，在弹出的对话框中选择PID（进程标识符），并点击确定。找到映象名称为***.exe，并且用户名不是SYSTEM的一项，记住其PID号.点击开始--“运行”，输入CMD，点击确定打开命令行控制台。输入ntsd –c q -p (PID)，比如我的计算机上就输入ntsd –c q -p 1132.四、实验调查：?我会做了我不会做我知道这项内容的用途我不懂这项内容的用途植入病毒的方法????病毒中毒的症状????利用工具清除病毒????手工清除病毒????五、实习小结如何有效防范病毒