国产精品吹潮在线播放,日韩一区二区三区在线播放,啊级免费黄片视频,66av视频

　　Windows:

　　1. 檢測本地網(wǎng)絡(luò)連接，cmd下netstat-ano這個可以顯示所有的網(wǎng)絡(luò)連接，還有PID值，在任務(wù)管理器中可以對照響應(yīng)的PID值進(jìn)行查看相應(yīng)的進(jìn)程。

　　2. 用戶檢查，打開“我的電腦”-->“管理”-->“計算機(jī)用戶和組”查看是否有多余用戶，管理員組都是那些用戶，這些用戶是否安全。

　　3. 查看服務(wù)選項，cmd中servisces.msc打開服務(wù)面板,查看狀態(tài)為“開啟的服務(wù)”排除正常服務(wù)，尋找是否有可疑服務(wù)。

　　4. 檢查系統(tǒng)中擁有啟動方式的文件，system.ini和win.ini，在“運(yùn)行”中輸入這2個文件名的名字即可打開(路徑在system32下)system.ini中查看有【boot】的字段查看下面shell=Explorer.exe,如果Explorer.exe后面還有exe或者cmd、com等執(zhí)行文件就要進(jìn)行檢查這些文件了，通常Explorer.exe后面沒有東西。在【386Enh】下的“dirver=路勁”以及【mic】、【drivers】、【drivers32】字段下也可能加載木馬。另外在win.ini中注意【windows】下的“l(fā)oad=路徑”，“run=路徑”一般情況下是空白。

　　5. 啟動組的檢查，假設(shè)系統(tǒng)安裝在C盤，路徑為C：\Documents and Settings\用戶名\“開始”菜單\程序\啟動\...?；蛘咴贑：\Documents and Settings\All Users\“開始”菜單\程序\啟動\...

　　6.修改文件關(guān)聯(lián)的木馬。在注冊表中查看文件關(guān)聯(lián)，

　　EXE文件的關(guān)聯(lián):HKEY_CLASSES_ROOT\exefile\shell\open\command,正常值為"%1" %*

　　TXT文件的關(guān)聯(lián): HKEY_CLASSES_ROOT\txtfile\shell\open\command,正常為C:\WINDOWS\notepad.exe %1

　　INF文件的關(guān)聯(lián): HKEY_CLASSES_ROOT\inffile\shell\open\command,正常為%SystemRoot%\System32\NOTEPAD.EXE %1

　　INI文件的關(guān)聯(lián): HKEY_CLASSES_ROOT\inifile\shell\open\command C:\WINDOWS\System32\NOTEPAD.EXE %1

　　7.dll樣式木馬,用木馬的dll代替系統(tǒng)的dll,系統(tǒng)需要調(diào)用正常dll函數(shù)的時候,木馬dll就會先被調(diào)用執(zhí)行,然后再由木馬dll去調(diào)用系統(tǒng)正常的dll,這時,系統(tǒng)運(yùn)行正常,但是木馬也隨之啟動.

　　8. 捆綁exe文件的木馬,利用開機(jī)自啟動的exe程序進(jìn)行捆綁自身或?qū)⒆陨韨窝b成正常exe程序的圖標(biāo),如QQ,MSN,PPS等,這樣開機(jī)后會先啟動木馬,然后由木馬調(diào)用正常的程序,在正常的程序啟動的時候木馬也悄然啟用,于dll木馬類似的方式.

　　9.注冊表中的大眾啟動項.HKLM\Software\Microsoft\Windows\CurrentVersion\Run、Runonce、RunonceEx、RunServices、RunServicesOnce等項

　　還有HKCU\Software\Microsoft\Windows\CurrentVersion\Run、Runonce、RunonceEx、RunServices、RunServicesOnce等項

　　以及 HKEY_USERS\Software\Microsoft\Windows\CurrentVersion\Run、Runonce、RunonceEx、RunServices、RunServicesOnce等項

　　如果找到木馬進(jìn)程卻不能結(jié)束的話，說明木馬進(jìn)程之間有守護(hù)作用，不止一個進(jìn)程，在cmd用taskkill –T –PID “進(jìn)程PID”來判斷進(jìn)程之間的守護(hù)關(guān)系，然后找到寫一個批處理用taskkill –PID “進(jìn)程PID”結(jié)束多有的守護(hù)進(jìn)程即可，如果木馬嵌套在某個系統(tǒng)進(jìn)程中，如services.exe、svchost.exe中的話只有用專業(yè)的工具(比如“冰刃”等)進(jìn)行內(nèi)部dll模塊的卸載了。如果是因為木馬運(yùn)行程序無法刪除的話，進(jìn)入cmd下，cd切換到木馬所在目錄，用attrib –s –h –r “木馬運(yùn)行程序” 命令消除木馬的系統(tǒng)屬性，然后再用delete “木馬運(yùn)行程序”命令來刪除木馬程序。

　　所謂未雨綢繆說的就是提前做好準(zhǔn)備，以便應(yīng)對突發(fā)狀況，在不用任何外界工具的情況下，可以再剛裝好系統(tǒng)的時候備份系統(tǒng)目錄下的所有文件的名字，cmd進(jìn)入system32目錄下運(yùn)行

　　dir *.exe>c:\exeback.txt

　　dir *.dll>c:dllback.txt

　　這樣記錄了系統(tǒng)目錄下所有的exe程序和dll文件，等需要查殺的時候，可以再用dir命令將現(xiàn)在的exe文件和dll文件的名稱全比導(dǎo)出到txt文本，然后在cmd下用

　　fc exeback.txt exeback1.txt>bijiaoexe.txt比較exe文件

　　fc dllback.txt dllback1.txt>bijiaodll.txt 比較dll文件

　　就可以發(fā)現(xiàn)多出來的exe文件和dll文件了

　　當(dāng)然，用電腦就免不了要裝一些軟件，安裝軟件自然會使system32目錄中的文件發(fā)生較大的變化，多出不少文件，就算是用了fc進(jìn)行比較也還是不方便，這時就可以利用對照已加載的正常軟件的模塊的方法來縮小殺找范圍。運(yùn)行中輸入msinfo32.exe依次展開“軟件環(huán)境”-“加載的模塊”，然后選擇“文件”-導(dǎo)出，之后再與前面比較的那份txt文檔進(jìn)行比較，排除正常的模塊文件。

　　另外，查看進(jìn)程中的模塊的命令式cmd下tasklist /svc

　　二.在線查殺木馬

　　1.procexp.exe開啟virtual在線查殺，發(fā)現(xiàn)木馬進(jìn)程。

　　2.procexp.exe暫停木馬進(jìn)程打包備份木馬文件，保留證據(jù)。

　　3.Autoruns.exe啟動項中找到對應(yīng)木馬進(jìn)程，右鍵刪除。(此方法可刪除注冊表中的值)

　　4.Autoruns.exe開啟virtual在線查毒，檢查是否有可疑進(jìn)程。

　　5.tcpview.exe檢查網(wǎng)絡(luò)連接情況，關(guān)注SYN_SENT。