壹、自己動手之前，記得做好準備--TaskList備份系統進程 ;^}\Z dw ,
新病毒已經學會了利用進程來隱藏自己，所以我們最好在系統正常的時候備份壹下電腦的進程列表，當然最好是進入Windows後就不要運行任何程序。在系統正常的時候最好備份壹下電腦的進程列表，當然最好是在剛進入Windows不運行任何程序的時候備份壹下，這樣可以在以後感覺電腦不正常的時候對比壹下進程列表，找出可能存在病毒的進程。_^>DR "G
在命令提示符下鍵入： =Aq )0 V5
TaskList /fo:csv>g:zc.csv a.G S(fi
上述命令以 csv 格式將當前進程列表輸出到文件 "zc.csv "中。"文件，g:是要保存到的磁盤，可以自定義設置，可以用 Excel 打開文件。D .3 )7J
二、自己動手，要有火眼金睛--用FC對比進程列表文件 T gJ Ck ,
如果感覺電腦不正常，或者知道最近病毒流行，就有必要檢查壹下。J /r %_ l
進入命令提示符並輸入以下命令：Iq<0-; [W[
TaskList /fo:csv>g:yc.csv QBH(q?7h
生成當前進程的 yc.csv 文件列表，然後輸入： g ?3 :o {9 <br& gt; FC g:\zc.csv g:\yc.csv L GFh b J <br> 輸入後可以看到前後文件列表的區別，通過比較發現電腦中多了壹個名為 "Winion0n.exe"（這裏以該進程為例）而非 "Winionon.exe "的進程，是不是異常進程。AkTiD /f ; <br><strong>三、判斷時記得取證--用Netstat檢查開放的端口</strong>/n}:B>%M=
對於這樣壹個可疑的進程，如何判斷它是否是病毒呢？如何判斷是否是病毒？根據大多數病毒（尤其是木馬）都是通過端口與外部連接來傳播病毒的這壹事實，您可以檢查端口占用情況：RM> [qv >
Netstat -a-n-o U#6p Hut
參數含義如下：
a :顯示與此主機建立連接的所有端口信息 %Vpf3* SJ
n :顯示開放端口進程 PID 代碼 |@[Xx
o：以數字格式顯示地址和端口信息 K| wEf c 9
輸入後可以看到所有打開的端口和外部連接的進程，這裏 PID 為 1756 的進程（例如）是最可疑的壹個，它的狀態是 "ESTABLISHED"，通過任務管理器可以知道這個進程是 "Winion0n.exe"，通過檢查本地正在運行的網絡程序，可以判斷這是壹個非法連接！ v / 89/g
連接參數的含義如下： <Ew L CKaw
LISTENINC: 表示處於監聽狀態，即端口已打開，等待連接，但尚未連接，只有 TCP 協議的服務端口才能處於 LISTENINC 狀態。MH.H})Z+
ESTABLISHED 表示連接已建立。TIME-WAIT 表示連接已結束。TIME-WAIT 表示連接已結束。表示端口曾被訪問過，但訪問已結束。用於確定外部計算機是否連接到本機。S , >cs
四：殺毒時要狠--用 NTSD '=;ve}Y5M&
雖然知道 "Winion0n.exe "是壹個非法進程，但很多病毒進程無法被任務管理器終止，怎麽辦呢？0~ j> x| x
在命令提示符下輸入以下命令：/ *nZ6 :8
ntsd -c q-p 1756 Q J+Y*I2R6
輸入命令提示符即可成功結束病毒進程。RB[# ,vJ&
提示："1756 "是進程PID的值，如果不知道進程ID，打開任務管理器，單擊 "查看→選擇列→勾選PID（進程標識符）"即可。NTSD可以強制終止除Sytem、SMSS.EXE、CSRSS以外的所有進程。e # xm 0
第五，判斷病毒後要斬草除根--搜索原始病毒文件 bS {~ DnL
對於已經判斷為病毒文件的 "Winion0n.exe "文件，搜索 "本地所有分區"搜索 "本地所有分區 "和 "搜索系統文件夾和隱藏文件和文件夾"，找到文件的隱藏位置，從而刪除文件。不過，這只刪除了病毒的主文件，因此請檢查其屬性，並根據其文件創建日期和大小再次搜索，以找到其幫兇並將其刪除。如果不確定其他哪些文件是病毒的 "親戚"，請上網搜索病毒信息以獲得幫助。/'rj9-ZQ
六、清除病毒後壹定要清理戰場 K "C2 Tf >
手動修復註冊表雖然將病毒文件刪除了，但病毒會在註冊表中留下垃圾鍵值，還需要將這些垃圾清理幹凈。wEtM(sf; L
1、用reg導出備份自啟動。由於自啟動程序中有很多鍵值，因此在查找病毒時，手動找到這些鍵值並不容易。這裏我們使用reg export +批處理命令進行備份。
啟動記事本，輸入以下命令：bVDm %1oiB
reg export HKLM\software\Microsoft\Windows\CurrentVersion\Run f:\hklmrun.reg O cj>Mlz
reg export HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run f:\hkcu.reg NtIYff4@>9
reg export HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run f:\hklm.reg ^`$s_E6]O
註意：這只是備份的幾個常用鍵的列表，其他鍵請參考上述方法。有些用戶的註冊表中可能沒有後兩個啟動項，這是正常的。WtZlEEvSa>
然後將其保存為 ziqidong.bat，並在命令提示符下運行它，將所有自啟動鍵值備份到相應的註冊表文件中，隨後鍵入"^ hy55 V
copy f:\*.reg ziqidong.txt z&?E A e!
該命令完成了工作。 p>
該命令的功能是將所有備份的註冊表文件導出到 "ziqidong.txt"，這樣如果發現病毒新增的啟動項，與上次導出的啟動值相同，使用上面介紹的FC命令比較前後兩個txt文件，就可以快速找出新增的啟動項。 vT t[&78 a
2、使用reg delete刪除新增的自啟動鍵值。例如：通過上述方法在 [HKER_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 中，找到了 "Logon "自啟動項，其啟動程序為 "c:\windows\winlogon.exe"，現在輸入以下命令刪除病毒自啟動鍵： Ya 55 k u
reg delete HKLM\software\Microssoft\Windows\ CurrentVersion\Run /f CurrentVersion\Run /f M W 2?
3、使用reg import恢復註冊表。reg de-lete是整個RUN鍵，現在使用備份好的reg文件就可以恢復了，輸入下面的命令可以快速恢復註冊表：S9%-8 b(OL
reg import f:\hklmrun.reg K scu~6YDz
上面介紹了手動查殺系統的幾個命令，其實只要使用這些命令，我們基本上就可以查殺大部分病毒了，當然平時壹定要做好備份工作。r Y{ a ~@
提示：上述操作也可以在註冊表編輯器中手動完成，不過REG命令有壹個好處，那就是即使註冊表編輯器被病毒設置為禁用，也可以通過上述命令進行導出/刪除/導入操作，而且速度更快！5 C lI
七、捆綁木馬克星--FIND x { ~2` m
上面介紹了利用系統命令查殺壹般病毒的方法，下面介紹另壹種檢測捆綁木馬的 "FIND "命令。相信很多網民都遇到過捆綁木刀，這些 "披著羊皮的狼 "往往隱藏在圖片、FLASH，甚至音樂文件後面。當我們打開這些文件時，雖然當前窗口顯示的確實是圖片（或者播放的是FLASH），但可惡的木馬已經在後臺悄悄運行了。例如，筆者最近從QQ上收到了朋友發來的超女壁紙，但當筆者打開圖片時卻發現：該圖片已經用 "圖片和傳真查看器 "打開，硬盤指示燈壹直在狂閃。顯然，在打開圖片時，後臺運行著壹個未知程序。現在使用 FIND 命令來檢測圖片是否捆綁了木馬，在命令提示符下輸入8 LUG WeF
FIND /c /I "This program "g:\chaonv.jpe.exe pN8H Rf0*
Where: v#ol$?5U")
g:\chaonv.jpe.exe 表示要檢測的文件 e-/V k6xYR
FIND 命令返回"__G:\chaonv.EXE: 2"，這表明 "G:\chaonv.jpe.exe "確實與其他文件捆綁在壹起。因為 FIND 命令會檢測到：如果是 EXE 文件，壹般情況下返回值應為 "1"；如果不是可執行文件，壹般情況下返回值應為 "0"，其他結果應予以註意。）
提示：事實上，許多捆綁木馬會利用 Windows 默認的 "隱藏已知類型文件擴展名 "來迷惑我們，例如本例中的 "chaonv.jpe.exe"。由於這個文件使用的是 JPG 文件的圖標，所以就引出了這個騙局。打開 "我的電腦"，單擊 "工具→文件夾選項"，單擊 "查看"，去掉 "隱藏已知類型的文件擴展名 "前的小鉤，就可以壹睹 "狼 "的真面目了。 tqu >(d*U
八、總結 "2yDT5 #8
最後，我們來總結壹下人工下毒的過程：+vW{ .~%
用 TSKLIST 備份進程列表→用 FC 比對文件找出病毒→用 NETSTAT 判斷進程→用 FIND 終止進程→搜索找出病毒並刪除→用 REG 命令修復註冊表。這樣，從發現病毒、刪除病毒、修復註冊表，就完成了整個手動查殺病毒的過程。