使用进程标识符检测并杀死木马

8.17使用进程标识符检查并杀死木马。无法在任务管理器中终止木马时，例如冲击波进程（Msblast.exe），振荡波进程（Avserver.exe）和恶意邮件病毒进程（Iexplore.exe）。 exe和Rpesrv.exe）等，可以使用该进程的标识符终止其操作，具体的操作方法如下。在[Windows任务管理器]窗口中，选择[查看]？ [选择列]菜单项，弹出[选择列]对话框，选中[PID（过程标识符）复选框]，然后单击按钮。检查进程标识符，并写下木马进程的标识符。选择[开始]→[运行]菜单项，在弹出的[运行]对话框中输入“ ntsd xx”，然后按[Enter]运行（xx代表木马进程的标识符）。 8.17使用进程标识符检查并杀死木马。当无法在任务管理器中终止木马时，例如冲击波进程（Msblast.exe），振荡波进程（Avserver.exe），恶意邮件病毒进程（Iexplore.exe和Rpesrv）.exe等）。 ，您可以使用进程的标识符终止其操作，具体的操作方法如下。在[Windows任务管理器]窗口中，选择[查看]？ [选择列]菜单项，弹出[选择列]对话框，选中[PID（过程标识符）复选框]，然后单击按钮。您可以查看进程标识符，并写下木马进程的标识符。

选择[开始]？在[运行]菜单项中，在弹出的[运行]对话框中输入“ ntsd xx”，然后按[Enter]运行（xx代表木马进程的标识符）。禁止使用Word文档执行木马。这种木马通常是用VBA编写的危险代码段，并且该代码已悄悄地绑定到现有的Word文档，并且只要将来打开该文档，木马程序就会被激活。为防止这种情况的发生，您可以修改注册表以提高Word的安全性。选择[开始]→[运行]菜单项以打开[运行]对话框，在其中输入“ regedit”，然后按[Enter]打开[注册表编辑器]窗口。依次展开[HKEY-CURRENT-USERSoftwareMicrosoftOffice11.0WordSecurity]，创建或选择一个名为“ Level”（REG-DWORD类型）的键值项，并将其键值设置为3（指示安全级别设置为“高”） ，也就是不要运行任何宏）。禁止硬盘自动运行功能以防止木马运行。一些木马通过硬盘自动运行功能达到激活目的。因此，您需要禁用此功能以获得更好的安全保护。选择[开始]→[运行]菜单项以打开[运行]对话框，在其中输入“ regedit”，然后按[Enter]键打开[注册表编辑器]窗口。

依次展开HKEY-CURRENT-USERSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer，创建或选择一个名为“ NoDriveTypeAutoRun”（REG-DWORD类型）的键值项，并将其键值设置为1。防止使用TTL值来标识操作系统。某些入侵程序将首先使用Ping命令对受攻击的计算机执行ping操作。如果您看到TTL值为128，则可以得出结论，目标主机的系统是Windows 2000或Windows XP。如果TTL值为32，则将目标主机视为Windows 98，如果TTL为255或64，则将其视为UNIX / Linux操作系统。为了安全起见，您可以修改TTL值，以使入侵者无法确定操作系统的类型。选择[开始]→[运行]菜单项以打开[运行]对话框，在其中输入“ regedit”，然后按[Enter]打开[注册表编辑器]窗口。依次展开HKEY-LOCAL-MACHINESYSTEMCurrenControlSetServicesTCPIPPARAMETERS，创建或选择一个名为“ DefaultTTL”（REG-DWORD类型）的键值项，并将其键值设置为64。

这可能会使入侵者感到困惑；从而达到保护计算机的目的。手动清除嵌入式Trojan DLL DLL Trojan已嵌入正在运行的系统进程中（例如explorer.exe，svchost.exe，smss.exe等），以确保不会被终止，并且不会在该进程中显示该Trojan进程。任务管理器（这是嵌入木马中的系统进程）。为了删除此类型的嵌入式木马，可以按如下方式手动操作。安装系统和必要的应用程序后，在目录中记录EXE和DLL文件，然后选择[开始]。在[运行]菜单项中输入“ cmd”，按[Enter]进入[命令提示符]窗口。执行cd cwindowssystem32，然后执行dir .exeexeback.txt和dir .dlldllback.txt，这意味着EXE和DLL文件的名称分别记录在exeback.txt和dllback.txt中。当发现异常计算机但使用传统方法无法找到问题时，有必要考虑DLL Trojan是否已嵌入系统中。此时，使用上面介绍的命令将“ c：windowssystem32”下的EXE和DLL文件记录到exeback1.txt和dllback1.txt。执行“ fc exeback.txt exeback1.txtdiff.txt”和“ fc dllback.txt dllback1.txtdiff.txt”命令，这是比较前后两次记录的DLL和EXE文件，并输入结果放入diff .txt中，因此您可以找到一些额外的DLL和EXE文件。

发现问题后，直接删除有问题的EXE或DLL文件，或使用特殊的防病毒工具进行处理。防止使用来宾帐户入侵。打开来宾帐户将允许局域网中的其他计算机访问此计算机。同时，Guest还是黑客入侵系统的便捷方式。为了防止发生此类事件，您可以禁用来宾帐户。如果希望局域网中的其他用户访问本机，则可以在[控制面板]窗口中双击[管理工具]图标以打开[管理工具]窗口，然后双击[计算机管理]图标。在打开[计算机管理]窗口的窗口中，打开[计算机管理]窗口，展开[计算机管理]→[本地用户和组]→[用户]，在右侧的空白区域单击鼠标右键窗口，然后从弹出快捷菜单项中选择[新用户]，打开[新用户]对话框，输入用户名和密码，然后单击按钮。使用Windows命令检查计算机是否感染了木马Windows命令可以检查计算机是否感染了木马，尤其是在没有工具软件的情况下，使用这些命令非常有效。 [Netstat-an]命令。该命令可以查看连接到本地计算机的所有IP，并在命令行窗口中显示：proto（连接方法），本地地址（本地连接地址），外部地址（用于与本地建立连接的地址），状态（当前端口状态）。

通过此命令的详细信息，可以完全监视计算机上的连接，从而达到控制计算机的目的。禁用未知服务的命令。如果发现自己无法打开的服务，则可以有针对性地禁用此服务，特别是使用“ net stop服务器”将其禁用。 “服务器”参数包括：客户端服务网络软件（netware客户端服务），剪贴簿服务器（剪贴簿服务器），计算机浏览器（计算机浏览器），目录复制器（目录复制器），网络登录（网络登录），网络监视器代理（网络监视）代理）等等。轻松检查帐户命令。首先在命令行中输入“ netuser”以检查计算机上的用户，然后使用“ net user +用户名”检查该用户所属的权限。通常，并非只有Administrator属于Administrators组。

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/shouji/article-338894-1.html