恶意代码清除与防范_图文.docVIP

恶意代码清除与防范 主讲人:任亮 恶意代码清除与防范 恶意代码的清除 恶意代码的防御 恶意代码清除 特洛伊木马的清除 计算机病毒的清除 蠕虫的防治策略 中木马后常出现的状况 ? 当浏览一个网站时,弹出来一些广告窗口是很正常的事情,可是如果用户 根本没有打开浏览器,而浏器突然自己打开,并且进入某个网站,那么,就 要怀疑是否中了木马。 ? 正在操作计算机,突然一个警告框或者询问框弹出来,问一些用户从 来没有在计算机上接触的问题。 ?Windows 系统配置经常被莫名其妙地自动更新。比如屏保显示的文字、 时间和日期,声音大小,鼠标灵敏度,还有 CD-ROM 的自动运行配置。 ? 计算机以外地打开了某个端口,用嗅探器发现存在异常的网络数据传输。 木马的清除与预防 查看 清除木马启动项 查找并停止 端口 及木马文件 断开网络连接 木马进程、线程 木马的清除 查看异常端口 查看异常端口 大多数操作系统,当然包括 Windows ,都带有检测网络状 能 Windows XP的 Netstat 工具提 供了一个 -o 选项,能够显示出 态的 Netstat 工具,它能够显示 本地计算机上所有活动的端口 的监听(包括 UDP 和 TCP 。 打开 个命令行窗 执行 正在使用的端口的程序或进程 标示符(PID 。有了 PID ,用 进程管理器就可以方便的根据 找到对应的程序 打开一个命令行窗口,执行 “ Netstat -a” 命令就可以显示 出本地计算机上所有打开的 IP 端口 注意是否存在意外打开 PID 找到对应的程序。 端口,注意是否存在意外打开 的端口。 木马的清除 z 观察目录 z查看是否有陌生进程 观察目录 :应当经常观察 位于 c:\、 c:\windows、 sys-tem32开始 \运行 \msinfo32或 开始 \程序 \附件 \系统工具 \c:\windows\sys tem32这三个 目录下的文件。用 “记事本”逐 一打开 c:\下的非执行类文件 (除 exe 、 bat 、 com 以外的文件 查 系统信息 \软件环境 \正在运 行的任务 件 , 看是否发现特洛伊木马、 击键程 序的记录文件 , 在 c:\windows或 c:\windows\system32下如果有 光有文件名没有图标的可执行程 序 , 应该把它们删除 , 然后再用 杀毒软件进行认真的清理。 木马的清除 z 在任务管理器中先停止可疑进程 z检查文件关联 检查文件关联 壹 检查 HKEY_CLASSES_ROOT\exefile\shell\open\command 项是否有 exe 文件关联型 :%1%*木马程序 , 正确的键值应该是 :%1 %。 检查 HKEY CLASSES ROOT\inffile\贰 __shell\open\command 项是否有 inf 文件关 联型木马程序 , 正确的键值应该是 : %SystemRoot%\system32\NOTEPAD.EXEy y %1(%SystemRoot% 是系统目录 检查文件关联 叁 检查 HKEY_CLASSES_ROOT\inifile\shell\open\command 项是否有 ini 文件关 联型木马程序 , 正确的键值应该是 : %SystemRoot%\system32\NOTEPAD.EXE%1检查 肆 HKEY_CLASSES_ROOT\txtfile\shell\open\command 项是否有 txt 文件关 联型木马程序 , 正确的键值应该是 : %St R t%\t 32\NOTEPADEXE%1%SystemRoot%\system32\NOTEPAD.EXE%1 检查文件关联 伍 检查 HKEY_LOCAL_MACHINE\Software\Microsoft\W indows\CurrentVersion\Run项是否设置了木马的 自启 自启动。 计算机病毒的清除 这 种病毒的查杀很简单,只需要在一般的 Windows 环境下就可查 1、未被激活的非系统文件内的病毒 杀,一般都能将其全部杀灭。 如果在一般 Windows 环境下杀毒,效果可能会大打折扣。虽然,现在的反 2、已经被激活或发作的非系统文件内的病毒 会 病毒软件都能查杀内存病毒,但是此技术毕竟还未成熟,不一定能杀灭病毒。 因此,杀此类病毒应在 Windows 安全模式下进行。在 Windows 安全模式下,这 些病毒都不会在启动时被激活。因此,我们就能放心的杀毒了。 计算机病毒的清除 这类病毒比较难缠,所以