新手如何通过了解进程判断病毒基础知识(下)

第十二：一些常见的进程

进程名描述smss.exeSessionManagercsrss.exe 子系统服务器进程winlogon.exe管理用户登录services.exe包含很多系统服务lsass.exe 管理 IP 安全策略以及启动 ISAKMP/Oakley (IKE) 和 IP 安全驱动程序。svchost.exe Windows 2000/XP 的文件保护系统SPOOLSV.EXE 将文件加载到内存中以便迟后打印。explorer.exe资源管理器internat.exe托盘区的拼音图标mstask.exe允许程序在指定时间运行.regsvc.exe允许远程注册表操作。(系统服务)→remoteregistertftpd.exe 实现 TFTP Internet 标准。该标准不要求用户名和密码。llssrv.exe证易做图录服务ntfrs.exe 在多个服务器间维护文件目录内容的文件同步。RsSub.exe 控制用来远程储存数据的媒体。locator.exe 管理RPC名称服务数据库。clipsrv.exe 支持“剪贴簿查看器”，以便可以从远程剪贴簿查阅剪贴页msdtc.exe 并列事务，是分布于两个以上的数据库，消息队列，文件系统或其他事务保护资源管理器。grovel.exe扫描零备份存储(SIS)卷上的重复文件，并且将重复文件指向一个数据存储点，以节省磁盘空间（只对 NTFS 文件系统有用）。 snmp.exe包含代理程序可以监视网络设备的活动并且向网络控制台工作站汇报。

以上这些进程都是对计算机运行起至关重要的，千万不要随意“杀掉”，否则可能直接影响系统的正常运行。

第十三：什么是网络钓鱼

什么是网络钓鱼?

网络钓鱼（Phishing）攻击者利用欺骗性的电子邮件和伪造的 Web 站点来进行网络诈骗活动，受骗者往往会泄露自己的私人资料，如信用卡号、银行卡账户、身份证号等内容。诈骗者通常会将自己伪装成网络银行、在线零售商和信用卡公司等可信的品牌，骗取用户的私人信息。

如何防备网络钓鱼？

不要在网上留下可以证明自己身份的任何资料，包括手机号码、身份证号、银行卡号码等。

不要把自己的秘密资料通过网络传输，包括银行卡号码、身份证号、电子商务网站账户等资料不要通过QQ 、MSN 、Email 等软件传播，这些途径往往可能被黑客利用来进行诈骗。

不要相信网上流传的消息，除非得到权威途径的证明。如网络论坛、新闻组、 QQ 等往往有人发布谣言，伺机窃取用户的身份资料等。

不要在网站注册时透露自己的真实资料。例如住址、住宅电话、手机号码、自己使用的银行账户、自己经常去的消费场所等。骗子们可能利用这些资料去欺骗你的朋友。

如果涉及到金钱交易、商业合同、工作安排等重大事项，不要仅仅通过网络完成，有心计的骗子们可能通过这些途径了解用户的资料，伺机进行诈骗。

不要轻易相信通过电子邮件、网络论坛等发布的中奖信息、促销信息等，除非得到另外途径的证明。正规公司一般不会通过电子邮件给用户发送中奖信息和促销信息，而骗子们往往喜欢这样进行诈骗。

第十四：什么是浏览器劫持

浏览器劫持是一种恶意程序，通过DLL插件、BHO 、Winsock LSP 等形式对用户的浏览器进行篡改，使用户浏览器出现访问正常网站时被转向到恶意网页、IE浏览器主页 / 搜索页等被修改为劫持软件指定的网站地址等异常。

浏览器劫持如何防止，被劫持之后应采取什么措施？

浏览器劫持分为多种不同的方式，从最简单的修改IE默认搜索页到最复杂的通过病毒修改系统设置并设置病毒守护进程，劫持浏览器，都有人采用。针对这些情况，用户应该采取如下措施：

不要轻易浏览不良网站。

不要轻易安装共享软件、盗版软件。

建议使用安全性能比较高的浏览器，并可以针对自己的需要对浏览器的安全设置进行相应调整。

如果给浏览器安装插件，尽量从浏览器提供商的官方网站下载。

第十五：什么是恶意共享软件

恶意共享软件（malicious shareware）是指采用不正当的易做图或不透明的方式强制安装在用户的计算机上，并且利用一些病毒常用的技术手段造成软件很难被卸载，或采用一些非法手段强制用户购买的免费、共享软件。安装共享软件时，应注意以下方面：注意仔细阅读软件提供的“安装协议”，不要随便点“next”进行安装。

不要安装从不良渠道获得的盗版软件，这些软件往往由于破解不完全，安装之后带来安全风险。

使用具有破坏性功能的软件，如硬盘整理、分区软件等，一定要仔细了解它的功能之后再使用，避免因误操作产生不可挽回的损失。

第十六：如何更好地预防计算机病毒入侵

有病治病，无病预防这是人们对健康生活的最基本也是最重要的要求，预防比治疗更为重要。对计算机来说，同样也是如此，了解病毒，针对病毒养成一个良好的计算机应用管理习惯，对保障您的计算机不受计算机病毒侵扰是尤为重要的。为了减少病毒的侵扰，建议大家平时能做到“三打三防”。

“三打” 就是安装新的计算机系统时，要注意打系统补丁，震荡波一类的恶性蠕虫病毒一般都是通过系统漏洞传播的，打好补丁就可以防止此类病毒感染；用户上网的时候要打开杀毒软件实时监控，以免病毒通过网络进入自己的电脑；玩网络游戏时要打开个人防火墙，防火墙可以隔绝病毒跟外界的联系，防止木马病毒易做图资料。

“三防” 就是防邮件病毒，用户收到邮件时首先要进行病毒扫描，不要随意打开电子邮件里携带的附件；防木马病毒，木马病毒一般是通过恶意网站散播，用户从网上下载任何文件后，一定要先进行病毒扫描再运行；防恶意“好友”，现在很多木马病毒可以通过 MSN、 QQ等即时通信软件或电子邮件传播，一旦你的在线好友感染病毒，那么所有好友将会遭到病毒的入侵。

第十七：如何干净地清除病毒

1、在安全模式或纯DOS模式下清除病毒

当计算机感染病毒的时候，绝大多数的感染病毒的处理可以在正常模式下彻底清除病毒，这里说的正常模式准确的说法应该是实模式（Real Mode），这里通俗点说了。其包括正常模式的 Windows 和正常模式的 Windows 下的“MS-DOS 方式” 或 " 命令提示符”。但有些病毒由于使用了更加隐匿和狡猾的手段往往会对杀毒软件进行攻击甚至是删除系统中的杀毒软件的做法，针对这样的病毒绝大多数的杀毒软件都被设计为在安全模式可安装、使用、执行杀毒处理。

在安全模式（Safe Mode）或者纯DOS下进行清除清除时，对于现在大多数流行的病毒，如蠕虫病毒、木马程序和网页代码病毒等，都可以在安全模示下清除。DOS下杀毒(建议用干净软盘启动杀毒)。而且，当计算机原来就感染了病毒，那就更需要在安装反病毒软件后（升级到最新的病毒库），在安全模式（Safe Mode）或者纯DOS下清除一遍病毒了！

2、带毒文件在\Temporary Internet Files目录下

由于这个目录下的文件，Windows 会对此有一定的保护作用，所以对这个目录下的带毒文件即使在安全模式下也不能进行清除，对于这种情况，请先关闭其他一些程序软件，然后打开 IE ，选择IE工具栏中的“工具\Internet 选项”，选择 "删除文件”删除即可，如果有提示“删除所有脱机内容”，也请选上一并删除。

3、带毒文件在 \_Restore 目录下，*.cpy 文件中

这是系统还原存放还原文件的目录，只有在装了Windows Me/XP 操作系统上才会有这个目录，由于系统对这个目录有保护作用。

对于这种情况需要先取消“系统还原”功能，然后将带毒文件删除，甚至将整个目录删除也是可以的。

4、带毒文件在.rar、.zip、.cab 等压缩文件中

对于绝大多数的反病毒软件来说，现在的查杀压缩文件中病毒的功能已经基本完善了，单是对于一些特殊类型的压缩文件或者加了密码保护的压缩文件就可能直接清除了。

要清除压缩文件中的病毒，建议解压缩后清除，或者借助压缩工具软件的外挂杀毒程序的功能，对带毒的压缩文件进行杀毒。

5、病毒在引导区或者SUHDLOG.DAT或SUHDLOG.BAK文件中

这种病毒一般是引导区病毒，报告的病毒名称一般带有 boot 、wyx 等字样。如果病毒只是存在于移动存储设备（如软盘、闪存盘、移动硬盘）上，就可以借助本地硬盘上的反病毒软件直接进行查杀。

如果这种病毒是在硬盘上，则需要用干净的可引导盘启动进行查杀。对于这类病毒建议用干净软盘启动进行查杀，不过在查杀之前一定要备份原来的引导区，特别是原来装有别的操作系统的情况，如日文Windows 、Linux 等。如果没有干净的可引导盘，则可使用下面的方法进行应急杀毒：

(1) 在别的计算机上做一张干净的可引导盘，此引导盘可以在Windows 95/98/ME 系统上通过“添加／删除程序”进行制作，但要注意的是，制作软盘的操作系统须和自己所使用的操作系统相同；

(2) 用这张软盘引导启动带毒的计算机，然后运行以下命令：

A:\>fdisk/mbrA:\>sys a: c:

针对NT 构架的操作系统可首先安装“管理员控制台”，安装后使用管理员控制台，然后分别执行 fixmbr（恢复主引导记录）和 fixboot（恢复启动盘上的引导区）命令对引导区及启动信息进行修复。

如果带毒的文件是在 SUHDLOG.DAT 或 SUHDLOG.BAK 文件中，那么直接删除即可。这是系统在安装的时候对硬盘引导区做的一个备份文件，一般作用不大，病毒在其中已经不起作用了。

6、带毒文件在一些邮件文件中，如dbx、eml、box 等

绝大多数的防毒软件可以直接检查这些邮件文件中的文件是否带毒，对于邮箱中的带毒的信件，可以根据用户的设置杀毒或删除带毒邮件，但是由于此类邮箱的复合文件结构，易出现杀毒后的邮箱依旧可以检测到病毒情况，这是由于没有压缩邮箱进行空间释放的原因导致的，您可以尝试在 Outlook Express 中选择“工具” — 〉“选项” — 〉“维护” — 〉“立即清除” — 〉“压缩”

7、文件中有病毒的残留代码

这种情况比较多见的就是带有 CIH、Funlove、宏病毒（包括 Word 、 Excel 、 Powerpoint 和 Wordpro 等文档中的宏病毒）和个别网页病毒的残留代码，通常防毒软件对这些带有病毒残留代码的文件报告的病毒名称后缀通常是int、app 等结尾，而且并不常见，如 W32/FunLove.app、W32.Funlove.int。一般情况下，这些残留的代码不会影响正常程序的运行，也不会传染，如果需要彻底清除的话，要根据各个病毒的实际情况进行清除。

8、文件错误

这种情况出现的并不多，通常是由于某些病毒对系统中的关键文件修改后造成的，异常的文件无易做图常使用，同时易造成别的系统错误，针对此种情况建议进行修复安装的方法恢复系统中的关键文件。

9、加密的文件或目录

对于一些加密了的文件或目录，请在解密后再进行病毒查杀。

10 、共享目录杀毒

这里包括两种情况：本地共享目录和网络中远程共享目录（其中也包括映射盘）。

遇到本地共享的目录中的带毒文件不能清除的情况，通常是局域网中别的用户在读写这些文件，杀毒的时候表现为无法直接清除这些带毒文件中的病毒，如果是有病毒在对这些目录在写病毒操作，表现为对共享目录进行清除病毒操作后，还是不断有文件被感染或者不断生成病毒文件。以上这两种情况，都建议取消共享，然后针对共享目录进行彻底查杀，恢复共享的时候，注意不要开放太高的权限，并对共享目录加设密码。对远程的共享目录（包括映射盘）查杀病毒的时候，首先要保证本地计算机的操作系统是干净的，同时对共享目录也有最高的读写权限。如果是远程计算机感染病毒的话，建议还是直接在远程计算机进行查杀病毒。

特别的，如果在清除别的病毒的时侯都建议取消所有的本地共享，再进行杀毒操作。在平时的使用中，也应注意共享目录的安全性，加设密码，同时，非必要的情况下，不要直接读取远程共享目录中的文件，建议拷贝到本地检查过病毒后再进行操作。

11、光盘等一些存储介质

对于光盘上带有的病毒，不要试图直接清除，这是因为光盘上的文件都是只读的原因导致的。同时，对另外一些存储设备查杀病毒的，也需要注意其是否处于写保护或者密码保护状态。