[登录] [注册]
网站首页 >> 病毒安全 >> 病毒查杀 >> 文章内容

如何排查电脑病毒

[日期:2009-07-06]   来源:碧波荡漾-电脑知识学习网  作者:王红波   [字体: ]

   在病毒如此蔓延的今天,电脑中毒再也不是什么稀罕事了,中了毒也不要惊慌,我们可以按照下面的办法来逐一排查。

    一、查看进程
  电脑开启后,不要启动其他任何服务,按如下方式排查。

  步骤一:打开任务管理器,看有无可疑进程,不认识的进程就谷歌、百度一下。
  PS:任务管理器如果打开后一闪就消失,那可以判定已经中毒了;如果提示已经被管理员禁用,那么就要警惕!

  步骤二:打开“冰刃”等软件,查看有无隐藏进程(冰刃中标为红色的),再查看系统进程的路径是否正确。
  PS:如果冰刃无法正常使用,那么已经中毒;如果有红色的进程,基本可以断定已经中毒;若有不在正常目录下的正常的系统进程名的进程,也可以断定已经中毒。

  步骤三:如果进程全部正常,那么利用Wsyscheck等工具,看是否有可疑的线程注入到正常进程中。
  PS:Wsyscheck会用不同颜色来标注被注入的进程和正常进程,如果有进程被注入,不要着急,先确定注入的模块是不是病毒,因为有的杀毒软件也会注入进程。

  二、排查启动项
  排查完进程后,若没发现什么异常,那么开始排查启动项。

  步骤一:用msconfig查看是否有可疑服务项,点开始-->运行-->输入“msconfig”-->确定,切换到服务选项卡,勾选“隐藏所有 Microsoft 服务”复选框,然后逐一确认剩下的服务是否正常(可以凭经验识别,也可以利用搜索引擎)。
  PS:如果发现异常,可以断定已经中毒;如果msconfig无法启动,或者启动后自动关闭,也可以断定已经中毒。

  步骤二:用msconfig查看是否有可疑的自启动项,切换到“启动”选项卡,进行逐一排查。

  步骤三:用Autoruns等,查看更详细的启动项信息(包括驱动、服务和IEBHO、自启动项等信息)。
  PS:这个需要有一定的经验。

  三、查看网络连接
  对于ADSL用户,现在可以进行虚拟拨号连网了。

  连网后直接用冰刃的网络连接查看是否有可疑的连接,对于IP地址,可以到http://www.ip138.com/查询,对应的进程和端口等信息可以到百度或Google查询。

  如果发现异常,不要着急,关掉系统中可能使用网络的程序(如快车等下载软件、IE浏览器、杀毒软件的自动更新程序等),再次查看网络连接信息。

  四、进入安全模式
  重启电脑,按F8进入安全模式,若无法进入,并且出现蓝屏等现象,那么就要注意了,可能是病毒入侵的后遗症,也可能是病毒还被清除!

  五、查看是否被映像劫持
  打开注册表编辑器,定位到HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Image File Execution Options,看有无可疑的映像劫持项目,如果发现可疑项,那就要小心了。

  六、查看CPU时间
  电脑打开后,如果运行缓慢,也可以用CPU时间做为参考,找到可疑进程,方法如下:

  打开任务管理器,切换到进程选项卡,在菜单中点“查看”,“选择列”,勾选“CPU时间”,然后确定,单击CPU时间的标题,进行排序,寻找除了System Idle Process和SYSTEM以外,CPU时间较大的进程,这个进程就要注意了。

  目前,上面这些办法足以应付常见木马和病毒了。只要其中任意一步发现病毒,就不用继续查找下去了。

相关文章
相关评论