介绍一款进程管理工具

常在河边走,哪能不湿鞋。经常在 网络 上游走的人们,与病毒、木马等恶意程序的“邂逅”,也是一件无奈的“荣耀”之事。对于这些不期而遇的木马、病毒们,我们如何才能识破它们的阴谋诡计,将它们一网打尽呢?

  利用杀毒工具虽然有时可以实现这一要求,但面对着这些经常“推陈出新”的恶意程序,主动防御式的杀毒 工具 们并不能把它们逐一“歼灭”。为此,我们不妨选择一款“防守反击”大师“Wsyscheck”,让它引领我们将病毒、木马清扫出门。相关精彩文章谨防"小木马"和"游戏追击手"两变种小心邮件传播病毒和游戏盗号木马

  一.辨清进程去“杀马”

  众所周知,许多病毒、木马都是以进程的形式“镶嵌”在系统中,并且它们还会隐藏和伪装自己。采用服务驱劝的方式,利用一种叫做Rootkit的 技术 ,对自身的服务进行隐藏,使它们的破坏能力得以发挥。

  不过,这一切在遇到“Wsyscheck”后,它们的“隐身衣”便会不幸升级为“皇帝的新装”:无论是普通的木马、病毒,还是采用Rootkit技术的高级恶意程序,都会在“Wsyscheck”面前原形毕露。

  1.验证正常进程

  该工具为绿色工具,无需安装即可使用。运行“Wsyscheck.exe”后开启程序主界面。

  在该主界面中,单击“进程管理”选项卡,便会显示出当前 系统 中所有处于运行状态的进程(图1)。

   介绍一款进程管理工具_第1张图片


  在进程列表中,我们看到进程名称上有三种不同的颜色显示,那么这又代表什么呢?

  黑色显示的进程为正常的系统进程,它表现当前进程绝对安全,对于这部分进程, 我们无需关注;红色显示的进程表示为第三方程序进程,在这其中,既有 健康 无害的进程,也有可能存在木马、病毒等有害进程。

  通常,我们可以简单地通过进程名称来辨明木马、病毒。一些木马、病毒会起着与系统进程完全一样或类似的名称,比如SVCHOST.exe为正常的系统进程,而当某个进程为SVCH0ST.exe,即将数字“0”来替代英文字母“O”时,便要格外留意了。

  除了上述方法外,还可通过进程列表中的映像路径列表、文件厂商名称来判断。如某些病毒、 木马 会主动将进程路径选择为系统所在目录,让用户误将它认为是正常的系统进程。

  小提示:单击进程列表的某个进程名称,可以底部的模块框内显示出与之相关的模块路径。
 2.明辨DLL文件

  在进程列表中,我们还发现一种以紫色显示的进程,它又是什么呢?其实它也是 系统 进程。只是与黑色显示的进程相比,这种进程的身上还安插着一些“第三者”,也就是第三方程序所加载的DLL文件和驱动。

  正因为这些系统进程可以让第三方程序的DLL、驱动驻留,才使得它们成为木马、病毒们的侵犯 目标 。既然进程中的DLL文件有可能是木马程序,那么我们还是选择来为其验明正身吧!

  步骤1 单击进程列表中某个以紫色显示的系统进程,如IEXPLORE.EXE,在下方的模块窗口中会显示出所有与之相关的DLL文件(图2)。

  


  这些DLL文件共有两种颜色显示,分别是黑色和红色。其中黑色是正常的系统DLL文件,而红色则是加载第三方模块的DLL文件,也就是红色的DLL文件就很可能就是某个 木马 的DLL文件。

  步骤2 如果希望仅显示红色的DLL文件,那么只要依次选择主菜单“文件→模块简洁显示”命令即可。当再次选择系统进程时,在模块框内就会显示出所有红色的DLL文件(图3)。

  


  在辨识这些DLL文件是否为木马文件时,因为在模块框有“模块路径”和“文件厂商”这两个字段名称,所以作为普通用户同样可以通过这两个字段名称去判断。

  步骤3 此外还能够通过查看文件属性这一途径来实现。比如在IEXPLORE.EXE内驻留一个名为snagitbho.dll的动态链接库文件。此时可以其上单击鼠标右键,选择右键 菜单 上的“文件属性”命令,在弹出的对话框中单击“版本”选项卡,即可查看到snagitbho.dll的“真实身份”,为判定是否为木马留下宝贵的线索(图4)。

  


  小提示:在判明木马程序后,在其上单击鼠标右键,选择右键菜单上的“ 卸载 模块并删除文件”命令,就能将木马清除;对于一些启动后仍能重新生成的木马,可选择快捷菜单上的“添加至DOS删除列表”命令,这样在系统重启后会自动删除木马程序。
二.用服务 控制 木马

  木马、病毒们除了可以利用进程这个通道外,有些木马为了免遭杀毒软件的查杀,经常将自己摇身一变,伪装成 系统 服务让其随系统启动自动运行,从而不知不觉地长久控制着用户机器。因此对付此类性质的木马,不妨利用“Wsyscheck”的“ 服务 管理”功能。

  步骤1 单击主界面上的“服务管理”选项卡,即可在开启的页面中看到有黑色、红色、紫色三种颜色标识的服务名称(图5)。

  


  其中显示黑色的服务为正常的系统服务,我们无需过问。不过若对某些服务有所怀疑,可在选择该服务后单击鼠标右键,选择快捷菜单上的“检验微软文件的 签名 ”来验证;显示紫色、红色的服务都表示是带有来自第三方的服务,此时仍然可以通过右键菜单上的“文件属性”来判断是否为 木马 服务。

  步骤2 若确信为木马服务,那么可将其选中后,选择右键菜单上的“停止服务”或“禁用”命令,将其中止或禁用。

  步骤3 然后选择“删除选中的服务”命令,这样就能够删除该服务在注册表中的键值,令其无法启动;当然,如果选择“删除选中的服务与文件”命令,还能够彻底删除木马服务及对应的文件,令其再无作恶的可能。

  小提示:针对重启后仍能“复活”的服务程序,选择“添加到DOS删除列表”即可将其根治。
三.通过端口觅得木马

  目前,许多木马都会通过监听电脑上一些特别端口的方法,将有用的信息告诉给控制方,以便控制方从中获悉自己所需的内容。根据这个特点,我们只需查探自己的电脑是否有异常的端口活动,就能够确定是否有木马存在。

  由于木马大都会选择一些特殊端口进行监听活动,比如3210,3333,6267等,假如我们发现这些特殊端口已经被使用,那么很可能你的电脑已经被木马所侵占了。

  在“Wsyscheck”中查看活动端口的方法很简单。只要单击“安全检查”选项卡,在下方展开的选项页面中选择“端口状态”,就能够查看到当前系统的正在通讯的本地端口和远程端口号(图6)。

  


  如果在这些端口号中恰好存在着所熟知的木马特殊端口,那么十之八九你的系统已经被木马“套牢”。因此在查看了对应的程序名称和进程“PID”号后,再转至“Wsyscheck”的“进程管理”页面,找到与“PID”相对应的进程,再按上述方法对木马进行的“解套”操作即可。

  小提示:PID即进程ID号,也就是系统进程的唯一编号,通过这个编号可以查找到与之对应的进程名称。

  除了上述查找木马、病毒的方法外,利用“Wsyscheck”还可以查看注册表键值的改动情况、对注册表及文件进行管理、检测IE安全、检查和修复被第三方DLL破坏的Winsock等操作。因篇幅所限,故在此不再多做叙述,对此感兴趣的朋友不妨一试。

你可能感兴趣的:(职场,休闲)