手工查毒心得

先介绍2个比较常用的工具软件

1.SREng

2.IceSword

 

查杀流程：

 

一、进程

查看方法：

• 查看文件路径（排除基本的系统进程、已知的安装软件的进程）
• 查看进程注入（dll注入）

二、启动项/驱动

1.常见启动项

• [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
• [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
• [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce]
• [HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]
   

 <load><>  [N/A](相当于win.ini文件）

• [HKEY_LOCAL_MACHINE\Software\Microsoft\WindowsNT\CurrentVersion\Winlogon]

<shell><Explorer.exe>  [(Verified)Microsoft Windows Publisher]
<Userinit><C:\WINDOWS\system32\userinit.exe,>  [(Verified)Microsoft Windows Publisher]

• [HKEY_LOCAL_MACHINE\Software\Microsoft\WindowsNT\CurrentVersion\Windows]

 <AppInit_DLLs><> [N/A]

2.启动文件夹

• C:\Documents and Settings\All Users\「开始」菜单\程序\启动

三、服务/驱动

• [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services]

四、其他

• win.ini(%systemroot%\win.ini)
• system.ini(%systemroot%\system.ini)
• Autoexec.bat(%systemroot%\autoexec.bat)
• autorun.inf
• [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Image File Execution Options]（映像劫持）
• HOSTS
• WINSOCK
• APIHOOK

说明：Windows利用扩展名为.INI的文件保存Windows及其应用程序的初始化信息。Windows的两个最重要的INI文件是WIN.INI和SYSTEM.INI，WIN.INI控制 Windows用户窗口环境的概貌(如窗口边界宽度、系统字体等)，而SYSTEM.INI包含整个系统的信息(如显示卡驱动程序等)，是存放 Windows启动时所需要的重要配置信息的文件，相当于DOS中的CONFIG.SYS

 

五、查找病毒文件，删除。

 

 

 

本文出自 “简单、简洁” 博客，转载请与作者联系！