欢迎来到天天文库
浏览记录
ID:31436649
大小:105.50 KB
页数:5页
时间:2019-01-10
《赤手空拳狙击顽固进程》由会员上传分享,免费在线阅读,更多相关内容在学术论文-天天文库。
1、赤手空拳狙击顽固进程 当系统运行异常时,我们最直接的反应就是打开任务管理器,来检查是否有病毒木马进程在捣乱。可有时试图关闭来历不明的可疑进程时,却面临操作失败的困扰。这些顽固的可疑进程采用各种对抗手段,让用户对其束手无策。其实,我们无需借助第三方安全工具,仅仅依靠系统的自带功能,就可以让这些令人厌恶的非法进程彻底失去活力。 提升权限,轻松关闭进程 在Windows的任务管理器中,之所以无法关闭顽固进程,究其根源在于权限不足。其实,在系统中还隐藏着一个“隐形”的超级管理员――SYSTEM账户,其权限甚至超过了Administrator账户。使用SYSTEM
2、账户权限,可以随意关闭顽固进程。在命令提示符窗口中执行“scCreateSuperCMDbinPath="cmd/Kstart"type=owntype=interact”命令,建立一个名为“SuperCMD”的交互服务。执行“scstartSuperCMD”命令,来启动该交互进程。之后系统会弹出交互式服务检测窗口(如图1)。 点击其中的“查看消息”按钮,可以以SYTEM账户身份打开命令提示符窗口。在其中执行“taskmgr.exe”程序,就会以SYSTEM账户身份启动任务管理器,这样,就可以有效关停顽固进程了。操作完毕后,在交互式服务检测窗口中点击“立
3、即返回”5按钮,回到正常操作界面。如果您使用的是XP系统,可以使用AT命令,来实现上述操作。方法是在CMD窗口中执行“time/t”命令,来查看当前的时间。假设当前时间为上午8:59,执行“at9:00/interactivetaskmgr.exe”命令,就可以在上午九点启动任务管理器进程。当达到预设时间后,就会以SYSTEM账户身份启动任务管理器了。 活用Taskkill命令,对付顽固进程 在系统中内置了名为Taskkill的工具,可以帮助您清理顽固进程。当然,必须先确定目标进程的ID号才行。在命令提示符窗口中执行“tasklist/svc”命令,可
4、以查看当前所有进程的信息,包括映像名称、PID号、服务等(如图2)。这样,可以清楚地看到目标进程的PID号。也可以在CMD窗口中执行“wmicprocesslist”命令,使用WMIC工具来查看进程信息。为了便于观察,可以执行诸如“wmicprocesslist>c:\procelist.txt”命令,将统计信息导出到“procelist.txt”文件中。使用记事本打开该文件,并取消自动换行功能,就可以完美浏览进程信息了。 也可以在任务管理器中打开“进程”面板,点击菜单“查看→选择列”项,确保选中“PID(进程标识符)”项。在“进程”面板中就可以找到目
5、标进程的ID号了。例如,在命令行窗口中执行“taskkill/PID1916”命令,就可以关闭PID为1916的进程。如果执行“taskkill/PID进程ID/f/t”命令,可以强制关闭指定的进程,同时终止其启用的所有子进程。Taskkill命令有一项绝活就是可以同时关闭多个进程,例如,当需要清除ID号分别为3373、3428、4936等多个进程时,可以执行“Taskkill/f/PID53376/PID3428/PID4936”命令,将其一并清除(如图3)。 当然,也可以按照进程名称,执行关闭操作。执行“tasklist/imwinserver32.ex
6、e/f”命令,就可以关闭名为“winserver32.exe”的进程。利用Taskkill命令,可以顺藤摸瓜发现多进程守护型病毒木马。例如执行“taskkill/imdaemon.exe/t”命令,根据返回信息显示该进程是属于PID为736的子进程,该进程的名称为“syswd.exe”,执行“taskkill/imsyswd.exe/t”命令,发现其是PID为1560进程的子进程,经查PID为1560的进程名为“sersec.exe”。这些进程相互守护,无法逐个进行关闭。执行“taskkill/imdaemon.exe/imsyswd.exe/imsersec
7、.exe/f”命令,就可以将其一网打尽。 使用Taskkill命令,还可以快速清除所有失去响应的进程,执行“taskkill/fi"statuseqnotresponding"”即可。有时,当发现了某个DLL木马后,却无法将其对应的DLL木马文件删除,究其原因,在于该DLL木马插入到了某个合法进程中。对此,可以执行“taskkill/fi"moduleseqwinspool.dll"”命令,来关闭所有调用“winspool.dll”的进程,假设“winspool.dll”为木马DLL文件。这样,就可以轻松删除DLL木马文件了。 终极利器ntsd命令 对于
8、一些很霸道的进程,使用Taskkill
此文档下载收益归作者所有