系统自检四部曲.doc

《系统自检四部曲.doc》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、系统自检四部曲　　当系统的运行速度莫名其妙变慢时，我们第一时间想到的就是系统中了病毒，可究竟是不是真的中毒了呢?很多朋友都会打开杀毒软件扫描系统，结果可能什么也没发现。其实只要掌握了系统自检的四个方法，就能快速查出系统是否中毒，省下大把的时间。　　　　查找病毒进程　　　　任何病毒都有自身的进程，但有些病毒进程采用了障眼法，导致我们无法寻其踪迹。打开任务管理器，查找是否有可疑进程，这需要我们对进程的知识有一定的了解。病毒很喜欢使用与系统进程相似的名字，比如用“svchost.exe”进程名冒充正常的系统进程“svchost.exe”，仅仅一字之差

2、，我们在检查的时候一定要仔细。如果出现这种不正常的进程，几乎可以肯定它就是病毒。还有一种可能性是病毒主程序的名称和正常系统进程名一样，但是路径不同。例如svchost.exe的位置应该是c:windowssystem32目录，若这个进程位于其它目录，也要引起注意。借助专业的进程管理工具Procexp，可以有效查出此类冒充的病毒进程。　　　　检测系统启动项和服务　　　　病毒为了随系统一起启动，通常会在注册表的启动项中动手脚。我们可以通过“系统配置实用程序”来检查系统启动项。　　运行“msconfig”打开“系统配置实用程序”，切换到“启动”标

3、签，在这里就可以对系统的启动项进程检查了。病毒会使用各种方法来迷惑用户，所以要仔细区分病毒的启动信息。比如上文提到的“svchost.exe”可能位于不正常的目录中，从这里就能看出端倪。如果有不认识的启动项目，可以通过搜索引擎来查找相关信息，查到病毒进程后就结束它。　　“服务”也是病毒常下手的地方，病毒在“服务”中搞小动作同样可以实现随系统启动的目的。进入控制面板，双击“管理工具/服务”，查找病毒添加的服务。注意看服务的描述部分，这通常是找出病毒服务比较有效的办法。但是如果病毒采用rootkit技术将服务隐藏，这就需要使用下文的系统内核检测。　

4、　　　检测系统内核　　　　所谓的rootkit技术，就是通过修改系统的内核让病毒的进程、服务以及文件等隐藏起来，躲过用户的查杀，因此在做系统自检的时候，内核也是必须检查的地方。检测系统内核需要使用专业的软件，例如著名的安全工具“IceSword”就具有系统内核的检测功能。　　运行IceSword后，进入查看模块，选中“内核模块”查看其中是否有异样。接着再进入其中的“SSDT”查看功能，如果存在用红色字体显示的条目，就要小心了，例如著名的木马病毒“Pcshare”就会在这里被检测出来(如图2)。当然有时候杀毒软件的服务也会在这里以红色字体显示，但

5、大多有明确的关键字，可以很容易地区分好坏。　　最后，我们要寻找的就是病毒产生的可执行文件了。通过上面的检测，已得知病毒主程序的路径，找到后将它删除即可。有时候这样做还是不够的，因为病毒很可能还有其它拷贝，例如“熊猫烧香”病毒就会向其它磁盘分区拷贝病毒文件，还要检查每个分区下是否有病毒文件，最常见的病毒文件就是“Autorun.inf”了。这里千万要注意用右键点击盘符，再选择“打开”，如果直接双击的话很可能造成重复感染。双击Autorun.inf文件可以调用记事本打开，里面通常记录着病毒的位置和文件名，找出后删除即可。