搗毀病毒流氓軟件窩點(diǎn)必查七個(gè)注冊(cè)表
有病毒，隨后就出現(xiàn)了殺軟。今天給大家分享下Windows系統(tǒng)中病毒的藏身之處，好讓大家以后直接揪出內(nèi)鬼。
1、一般的病毒在開機(jī)時(shí)啟動(dòng)雙進(jìn)程堅(jiān)守、關(guān)閉殺毒程序。HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run是否有陌生啟動(dòng)項(xiàng)。這里屬于常規(guī)啟動(dòng)項(xiàng)，很多程序會(huì)寫在這里。
2、如果殺毒軟件難于清理、或被關(guān)閉了殺毒程序，也有可能是被執(zhí)行掛鉤了。這時(shí)候應(yīng)當(dāng)檢測HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks，大量惡意軟件以及病毒均會(huì)寫入這里。因?yàn)椋苌儆姓３绦驎?huì)寫入這里，病毒幾率非常大。
3、有的時(shí)候，安全模式下殺毒程序被關(guān)閉了。重點(diǎn)檢查一下HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Windows\Appinit_Dlls。很少有正常程序會(huì)寫入這個(gè)位置，病毒幾率極高。
4、有些病毒是寫入底層服務(wù)與rootkits驅(qū)動(dòng)，所以才導(dǎo)致清除困難。用戶可以重點(diǎn)檢查HKLM\System\CurrentControlSet\Services。
5、如果發(fā)現(xiàn)某個(gè)特定文件名的文件無法執(zhí)行了，十有八九是被映像劫持，重點(diǎn)排查HKLM\Software\Microsoft\WindowsNT\CurrentVersion\Image File Execution Options，大多數(shù)AV病毒均會(huì)寫在這里。當(dāng)然，被劫持的文件不一定是exe文件。有的病毒為了防止ani.ani還原病毒主文件，便劫持ani.ani文件。
6、還有一些變種病毒可以將殺毒軟件安裝文件進(jìn)行刪除，而且會(huì)修改hosts文件、在QQ目錄下寫入隱藏的病毒dll并且修改API HOOH。這時(shí)可以重點(diǎn)檢查HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler
7、HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad
了解隱藏之地，找到它就相當(dāng)容易。大家在安裝完系統(tǒng)的時(shí)候，推薦把以上七項(xiàng)注冊(cè)表都備份下。以后中病毒后，可以先直接倒入備份的注冊(cè)表文件。再把殺軟升級(jí)到最新，然后進(jìn)入安全模式下，進(jìn)行全盤查殺。想必這樣，病毒不死也大殘了。
posted on 2010-04-01 11:23
鵬凌 閱讀(219)
評(píng)論(0) 編輯 收藏 所屬分類:
Windows 技術(shù)交流社區(qū)