在Windows主机上手动检测并杀死木马

因为互联网上有很多关于手动检查和杀死木马和病毒的文章. 他们经常是非常古老和古老的职位. win2k和win9x下的那些方法，或者xp和win7中找不到的方法. ，这是针对个人PC，在我测试XP和win7之后，可以遵循的方法，以下方法是一种总结，不是一种或几种方法，过时的方法已被删除，留下的可能是有用的方法，即使除非您精通Windows内核，或是天才将Windows中的所有系统文件保留几个或九十九个天才，否则手动检查并杀死它是费时费力的，相对而言，的防病毒软件和查杀工具相对快速可靠的方法，但是如果您能耐心地执行手动杀毒并成功，那么您将无法使用杀毒软件来帮助自己.

方法:

1. 检测本地网络连接. 在cmd下，netstat -ano可以显示所有网络连接和PID值. 在任务管理器中，可以根据相应的PID值检查相应的进程.

2. 用户检查，打开“我的电脑”-“管理”-“计算机用户和组”以查看是否有冗余用户. 管理员组就是所有这些用户. 这些用户安全吗？

3. 检查服务选项，在cmd中的services.msc中打开服务面板，将状态检查为“打开服务”以排除常规服务，并查找可疑服务.

4. 检查系统中具有启动模式的system.ini和win.ini文件，并在“运行”中输入这两个文件的名称以打开（路径在system32下），并且system.ini具有[Boot]字段，检查下面的shell = Explorer.exe. 如果Explorer.exe后面有可执行文件（例如exe或cmd，com），则必须检查这些文件. 通常，Explorer.exe之后没有任何内容. 木马程序也可以加载在[386Enh]下的“ driver = path”和[mic]，[drivers]和[drivers32]字段下.

此外，请注意win.ini中[windows]下的“ load = path”和“ run = path”，通常为空白

5. 检查启动组. 假设系统安装在C驱动器上，则路径为C: \ Documents and Settings \用户名\“开始”菜单\ Programs \ Start \.... 或位于C: \ Documents and Settings \ All Users \“开始”菜单\程序\开始\ ...

6. 修改与文件关联的木马. 检查注册表中的文件关联，

EXE文件的关联: HKEY_CLASSES_ROOT \ exefile \ shell \ open \ command，常规值为“％1”％*

TXT文件关联: HKEY_CLASSES_ROOT \ txtfile \ shell \ open \ command，通常为C: \ WINDOWS \ notepad.exe％1

INF文件的关联: HKEY_CLASSES_ROOT \ inffile \ shell \ open \ command，通常为％SystemRoot％\ System32 \ NOTEPAD.EXE％1

INI文件的关联: HKEY_CLASSES_ROOT \ inifile \ shell \ open \ command C: \ WINDOWS \ System32 \ NOTEPAD.EXE％1

7.dll风格的木马，用木马dll替换系统dll，当系统需要调用正常的dll函数时，将调用并执行木马dll，然后木马dll将调用系统的正常dll. ，系统正常运行，但木马也已启动.

8. 捆绑了exe文件的木马，使用自动启动的exe程序将其自身绑定或伪装成普通exe程序的图标，例如QQ，MSN，PPS等，以便启动木马. 首先，在启动后，然后由Trojan调用正常程序，并在启动正常程序时以与dll Trojan类似的方式悄悄激活Trojan.

9. 注册表中的公共启动项. HKLM \软件\ Microsoft \ Windows \ CurrentVersion \ Run，Runonce，RunonceEx，RunServices，RunServicesOnce等.

还有HKCU \ Software \ Microsoft \ Windows \ CurrentVersion \ Run，Runonce，RunonceEx，RunServices，RunServicesOnce等.

以及HKEY_USERS \ Software \ Microsoft \ Windows \ CurrentVersion \ Run，Runonce，RunonceEx，RunServices，RunServicesOnce等.

如果找到了木马进程但无法终止，则表示木马进程之间存在监护角色. 有一个以上的过程. 在cmd中使用taskkill -T -PID“进程PID”判断进程之间的监护关系，然后查找并编写一个守护进程. 对于批处理，请使用taskkill -PID“ process PID”结束许多守护进程. 如果木马嵌套在系统进程中，例如services.exe，svchost.exe，则仅使用工具（例如“ Bing Blade”）“ Etc”. 卸载内部dll模块. 如果是由于木马正在运行无法删除该程序，请输入cmd，cd以切换到该木马所在的目录，使用attrib –s –h –r“木马运行程序”命令删除该木马的系统属性，然后使用delete“木马运行”程序”命令删除木马程序.

后记: 所谓的预防措施是事先做好应对突发事件的准备. 如果没有任何外部工具，则可以在刚安装系统时备份系统目录中所有文件的名称，然后输入cmd. 在system32目录下运行

dir * .exe> c: \ exeback.txt

dir * .dll> c: dllback.txt

这会将所有exe程序和dll文件记录在系统目录中. 当需要检查并终止时，可以使用dir命令将当前exe文件和dll文件的名称导出为txt文本，然后在cmd下使用

fc exeback.txt exeback1.txt> bijiaoexe.txt比较exe文件

fc dllback.txt dllback1.txt> bijiaodll.txt比较dll文件

您可以找到多余的exe文件和dll文件

当然，在使用计算机时不可避免地要安装一些软件. 安装该软件自然会导致对system32目录中文件的重大更改. 还有更多文件. 即使使用fc进行比较，它仍然很不方便. 您可以使用比较已加载的常规软件的模块的方法来缩小查杀范围. 在操作过程中输入msinfo32.exe并依次展开“软件环境”-“已加载的模块”，然后选择“文件”-导出，然后将其与先前比较的txt文件进行比较，以排除普通模块文件.

此外，在进程中模块的cmd命令下检查任务列表/ svc

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/shouji/article-309268-1.html