|
|
|||||||||||
|
|||||||||||||
| 当前位置： 电脑软硬件应用网 > 电脑学院 > 网络安全 > 正文 |
|
|||
| 手工查杀病毒经验谈 | |||
| 2007-6-7 18:29:03 文/蓝色寒冰 出处:雨林木风 | |||
|
个人认为病毒无非是：病毒文件、注册表、启动项、服务四大块，既然如此，只要把这四方面都干掉了也就差不多了； 本次寒冰通过一次实战经历，把查杀病毒会出现的问题尽可能涉及，所以以下查杀部分不全部代表该病毒的情况，只是为了做一说明而添加必要的假设，希望本帖真的可以帮到经常被病毒困扰的朋友们。 本帖一共分四部分,分别为: 第一部分：工具篇(随兵出征) 第二部分：查毒篇(请君入瓮) 第三部分：杀毒篇(初战告捷) 第四部分：修复篇（打完收工） 第一部分：工具篇 工欲善其事必先利其器，手动查杀并不是徒手而来，当然要借助些工具，好的工具可以帮助你快速找到解决的方案与窍门当然要借助些工具： 一、扫描日志工具： 当你去到一部中毒的机子,是不是会对如何下手有点茫然呢?那样,不管3721,扫描一份报告看看有何不妥先,而在报告总,系统的启动项目,进程,驱动和服务一目了然,多少可以重装发现一些蛛丝马迹,而寒冰也是习惯从这个步骤开始的. 至于寒冰推荐的扫描日志扫描当属hijackthis和SREng，尤其是后者,最近360的报告好像也挺热火的，可能是个人使用习惯吧,寒冰感觉他是介乎于两者之间，没有Sreng那么强大的dll数据，也没有hijackthis般的修复功能，虽然有颜色可以一目了然,可是排列却有点乱,有待改善啊,所以，如果你还没用过使用报告,寒冰首推SRENG这款软件，现在新的2.3版本已经出来了，具体更新的内容可以去寒冰的百度空间查看 二、进程服务工具： 没有病毒会选择沉默，病毒的特性决定他不会一直闲着，而活动，必然会在系统留下蛛丝马迹，可是，系统自带的资源管理器在现在病毒面前却显得如此软弱，因此，请进助手自然势在必行，常用的进程分析当属Icesword和Process Explorer 三、删除工具： 相信跟电脑相处多了的人,总会遇见过“文件正在被另一个人或程序使用，无法删除”诸如此类的警告，而正常文件尚且如此,病毒更是猖狂，一个具备完好自我保护体系的病毒单单的资源管理器无法结束其进程，更不用说删除他了，发现了病毒却不能删除,郁闷 也许有人会建议进入安全模式进行查杀，没错，的确可以，可是，太麻烦了，而且，安全模式下又不利于我们发现病毒的同伙，最好的状态还是在“病毒进行时”，因此，一款在正常模式下可以正常删除任意文件的工具就这样应运而生了，常用且有效的有：killbox、Icesword和unlocker，其中Icesword当属得力助手（当然，有时候他也无能为力，只能多试几个好工具） 第二部分：查毒篇 隐蔽性是病毒的一大特性，可是再隐蔽，他也总要让他自身运行的，而保证的途径必然会使他在系统留下蛛丝马迹，因此了解病毒的自启动方式对于进一步发现病毒的蛛丝马迹很有帮助，具体常见的宝地有： 一、启动项目留迹 1.内置到注册表启动项目中 注册表是病毒最喜欢隐藏的地方，既没有人能找到它，又能自动运行，真是快哉！的确注册表由于比较复杂，木马常常喜欢藏在这里快活常见的键值有： HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion下所有以“run”开头的键值； HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion下所有以“run”开头的键值； HKEY-USERS\Default\Software\Microsoft\Windows\CurrentVersion下所有以“run”开头的键值。 2、隐形于启动组中 有时木马并不在乎自己的行踪，它更注意的是能否自动加载到系统中，因为一旦木马加载到系统中，任你用什么方法你都无法将它赶跑(哎，这木马脸皮也真是太厚)，因此按照这个逻辑，启动组也是木马可以藏身的好地方，因为这里的确是自动加载运行的好场所。 动组对应的文件夹为：C:＼windows＼start menu＼programs＼startup， 在注册表中的位置：HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼CurrentVersion＼ Explorer＼ShellFolders Startup="C:＼windows＼start menu＼programs＼startup"。要注意经常检查启动组哦！ 3、捆绑在启动文件中 即应用程序的启动配置文件，控制端利用这些文件能启动程序的特点，将制作好的带有木马启动命令的同名文件上传到服务端覆盖这同名文件，这样就可以达到启动木马的目的了。 4、潜伏在Win.ini中 木马要想达到控制或者监视计算机的目的，必须要运行，然而没有人会傻到自己在自己的计算机中运行这个该死的木马。当然，木马也早有心理准备，知道人类是高智商的动物，不会帮助它工作的，因此它必须找一个既安全又能在系统启动时自动运行的地方，于是潜伏在Win.ini中是木马感觉比较惬意的地方。大家不妨打开Win.ini来看看，在它的[windows]字段中有启动命令“load=”和“run=”，在一般情况下“＝”后面是空白的，如果有后跟程序，比方说是这个样子：run=c:＼windows＼file.exe load=c:＼windows＼file.exe 这时你就要小心了，这个file.exe很可能是木马哦。 5、在System.ini中藏身 木马真是无处不在呀！什么地方有空子，它就往哪里钻！这不，Windows安装目录下的System.ini也是木马喜欢隐蔽的地方。还是小心点，打开这个文件看看，它与正常文件有什么不同，在该文件的[boot]字段中，是不是有这样的内容，那就是shell=Explorer.exe file.exe，如果确实有这样的内容，那你就不幸了，因为这里的file.exe就是木马服务端程序！另外，在System.ini中的[386Enh]字段，要注意检查在此段内的“driver=路径＼程序名”，这里也有可能被木马所利用。再有，在System.ini中的[mic]、[drivers]、[drivers32]这三个字段，这些段也是起到加载驱动程序的作用，但也是增添木马程序的好场所，现在你该知道也要注意这里喽。 6、隐蔽在Winstart.bat中 按照上面的逻辑理论，凡是利于木马能自动加载的地方，木马都喜欢呆。这不，Winstart.bat也是一个能自动被Windows加载运行的文件，它多数情况下为应用程序及Windows自动生成，在执行了Win.com并加载了多数驱动程序之后开始执行(这一点可通过启动时按F8键再选择逐步跟踪启动过程的启动方式可得知)。由于Autoexec.bat的功能可以由Winstart.bat代替完成，因此木马完全可以像在Autoexec.bat中那样被加载运行，危险由此而来。 7、集成到程序中 为了不让用户能轻易地把它删除，就常常集成到程序里，一旦用户激活木马程序，那么木马文件和某一应用程序捆绑在一起，然后上传到服务端覆盖原文件，这样即使木马被删除了，只要运行捆绑了木马的应用程序，木马又会被安装上去了。绑定到某一应用程序中，如绑定到系统文件，那么每一次Windows启动均会启动木马。 （高招） 8、隐藏在配置文件中 木马实在是太狡猾，知道菜鸟们平时使用的是图形化界面的操作系统，对于那些已经不太重要的配置文件大多数是不闻不问了，这正好给木马提供了一个藏身之处。而且利用配置文件的特殊作用，木马很容易就能在大家的计算机中运行、发作，从而偷窥或者监视大家。不过，现在这种方式不是很隐蔽，容易被发现，所以在Autoexec.bat和Config.sys中加载木马程序的并不多见，但也不能因此而掉以轻心哦。 （这种方式现在好像没那么流行了） 明白了系统的藏身之处，我们就有思绪把他找出来了，当使用sreng查看其启动项目时,自动弹出了相应警告,提示load，shell，和Userinit等值被修改,所以,首先用Sreng扫描一份报告如下： [HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows] [N/A] [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] [N/A] [(Verified)Microsoft Corporation] 从中可以看出，病毒为了实现启动，分别在load，shell，和Userinit等进行了窜改，其中Userinit的EXPLORER.EXE还假装了(Verified)Microsoft Corporation的标识，具备很大诱惑性。 比如之前大名顶顶的熊猫烧香,就是通过userinit.exe加载病毒程序C:WINDOWS\system32\SVCH0ST.exe实现开机启动,如果发现了这一项目,相信你的硬盘数据就危险了 二、运行系统留迹 病毒要运行，自然会有进程，可是，庆幸的是某个病毒的进程还算是统一的（除非变种了），而初级的病毒通过资源管理器可以立马做出判断（前提你应该认识系统进程和常用软件进程），再通过相应的工具辅组就可以找到他的相对路径，也许有人抱怨资源管理器连路径都无法提供，太无能了，就去找那个lohorn版本的装上，其实，只需要一个命令就可以找出来进程的文件路径，方法如下： 开始－运行－msinfo32，切换到软件，就可以看到了 然而，现在很多病毒已经实现了进程隐藏，单靠系统的资源管理器是无法查看到的，因此，加强型的进程查看自然应运而生，有人推荐了PE了，的确是很强，可是，为了尽量减少我们使用的工具，还是用Icesword（个人习惯，呵呵），，点击进程，如果可以看到红色的进程你就得小心了，同时，多注意一下进程的图标,比如之前的sxs就一目了然了，是柯南，而这次，本来lasaa，winlogon等进程是系统进程，在这里却是文件夹图标，十分可疑，而且看路径，呵呵，又被发现了,这是病毒了，icesword把痕迹扫描出来了  三.SSM监控留迹 相信SSM由于nslog的一篇文章很多人都认识了,在此不是讨论其他的功能,只是提供一个间接查毒的方案: 在此开机设置其自动启动,然后通过开机启动的进程也不愧为发现同党的一个好办法,如图,乖乖泄密了,呵呵
|
|||
| 最新热点 | 最新推荐 | 相关文章 | ||
| Linux服务器被黑怎么查？ U盘病毒的发作机理和中毒的表现特征 用记事本清除病毒的安全技巧 养成良好习惯 保障在线购物安全性 有效防范黑客入侵攻击 安全：检查自己的电脑是不是肉鸡 杀毒软件知识：主流防病毒技术剖析 Trojan.StartPage.xar(lass.exe)病毒… 实例讲解如何处理ARP伪装攻击包的问… 防止病毒通过U盘传播的4点建议 |
| 关于45IT | About 45IT | 联系方式 | 版权声明 | 网站导航 | |
|
Copyright © 2003-2011 45IT. All Rights Reserved 浙ICP备09049068号 |
