|
|
发表于 2007-5-30 10:00:30
|
显示全部楼层
来自： 中国山东泰安
2.Windows 2000/ XP/2003系统 2 i: K1 I |" i# W7 M8 V' b
% U5 q- F% q: I" b
Windows 2000、Windows XP、Windows 2003打开进程窗口的方式与Windows 9x系统相同
/ o8 B7 q8 B3 I% ^% M) [. {6 {3 v8 o
，只是三键后打开的是“Windows 任务管理器”窗口，需要选择里面的“进程”项。Windows 0 B" A; w! G' e5 O
9 z8 U" D, M' y3 K8 F2 K1 c1 w) V2000系统只显示具体进程的全名，占用的内存量；Windows XP、Windows 2003系统相比" [6 W6 h. ]! N9 F4 B
! ^: s5 O! L, F) m8 [Windows 2000会显示该进程归属于那个用户下，如操作系统所必须的基础程序，会在后面的
4 A! s, m/ z, \2 M- ^
) Z& P2 F$ q0 U“用户名”内显示为“SYSTEM”，由用户另外开启的程序则用户名为当前的系统登录用户名 C1 f/ c# K/ A" V* k
. b6 h- ?9 @, u8 Q" s。 : r0 a7 X% e+ s; r( I: H! e% T
0 D ^; @) r. H% g0 \
通过进程发现、处理病毒
2 N3 k7 D# ^5 _, g8 A 在介绍具体的查毒和杀毒前，笔者先回答开篇提出的两个问题。为什么杀毒软件并不能
0 o4 s6 P2 M+ E/ K, Z
4 i. F; T$ F. c全面的查找和杀掉病毒？首先，病毒防火墙是通过对程序进行反汇编，然后与自己的病毒库# r% f: @4 f( D7 M
$ d2 j3 E% S' J( R, p进行对比来查找病毒，如果病毒较新，而杀毒软件又未能及时升级便不能识别病毒。其次，8 ^4 ~" | X2 e8 s" J2 c
" P5 x7 f2 M, w* T* p6 i/ B
杀毒软件在发现病毒后，如果是独立的可执行病毒程序，会选择直接删除的处理方式，而病
. x o" W6 a! E2 q6 w3 Y" a$ q# K1 a# h. h: @8 _
毒如果被当作进程执行了，杀毒软件就无能为力了，因为它没有功能和权限先停止掉系统的
) m5 K/ l* L3 S$ \& K! A
* ^! _8 P: n: L; ]- P这些进程，被当作进程执行的程序是不能被删除的（这也是大家在删除一个程序时，提示该) P$ Q& x/ D/ T
5 v. i8 E* {' ^$ q/ r* F程序正在被使用不能删除的原因）。所以在使用杀毒软件杀毒时，才会有杀毒完成后，又出
7 y' e+ N2 j+ B, H$ ?' O" g7 L" H! b4 g" K" D$ ?& D& |
现病毒提示的原因。
" w! s \: r7 e( a9 m# v7 K, u! u' T) F
回到原来话题上！通过进程如何发现和杀掉病毒呢？由前面的知识介绍可知，Windows
' z( b/ S; Y8 Y/ m6 G5 W: v) a
' V8 [ q6 U% V9X和Windows 2000系统只能显示进程的名称，这对判断该进程是否是病毒还不够，如果要准0 `: Y4 r% N7 s U" B
6 V7 M1 | J+ \, w+ @确的断定病毒，最好使用前面介绍的“Windows优化大师”来查看进程程序的源路径，如果是
$ E' P% P% h6 \* p. n9 V0 Z; `8 T( D P3 L
“C:\windows\system”下的一些未知的“EXE”那便极有病毒的可能性了。Windows XP和5 L1 j" r/ g! [2 X: U: x2 R- M; ?( c
* X& b$ N, n- \6 K6 ?
Windows 2003系统，进程后会有“用户名”的显示，病毒是不可能获得“SYSTEM”权限的，# Q- G6 e0 @3 e" w8 h
/ r6 H2 `: t' s+ K, V" T3 ]+ K& ?
所以应注意“用户名”是当前登录用户的进程，一旦发现是病毒，可以立即“杀掉”。这里8 i2 g( A0 q8 x% V( I# `2 ~
$ F$ q3 Q8 h3 T# s2 x; q
介绍两个技巧： 4 s* t# I3 e+ u6 E' T
* E7 r" @3 z. {5 i- z
1．发现可疑进程后，利用Windows的查找功能，查找该进程所在的具体路径，通过路径可以( S5 m: O2 j/ s( C; ?
4 `! g* A8 D. }- D0 Y9 Q知道该进程是否合法，譬如由路径“C:\Program Files\3721\assistse.exe”知道该程序是5 {5 x; @& u) \
# a& w6 k5 A. Y' `5 x3 o3721的进程，是合法的。
1 }( f. m9 s* y) U: s3 w* d3 e! S1 L1 d6 r, U0 y
2．在对进程是否病毒拿不定主意时，可以复制该进程的全名，如：“xxx.exe”到googl.com
6 i. c1 }. t8 B7 n* S. Y
0 p$ a4 Q+ m! r. X) V; L或baidu.com这样的全球搜查引擎上进行搜查，如果是病毒会有相关的介绍网页。 7 B8 A) I$ z% G! {% W
9 v; E1 j5 K P! s$ y 确定了该进程是病毒，首先应该杀掉该进程，对于Windows 9x系统，选中该进程后，点# M- L1 ?2 v m' L0 E7 ?) Q
. V8 `' b* t: P3 i: r击下面的“结束任务”按钮，Windows 2000、Windows XP、Windows 2003系统则在进程上单
2 a0 d3 J; ~. I7 J: O$ ^
( {! D9 h% M0 d5 S/ B4 f击右键在弹出菜单上选择“结束任务”。“杀掉”进程后找到该进程的路径删除掉即可，完' t2 d+ _* H5 d2 b+ }/ {8 z
' V) h6 R9 r! c: d
成后最好在进行一次杀毒，这样就万无一失了。 . X; V( m+ F. ^
1 R L+ R% i( r1 e 一次利用进程杀毒的具体过程是这样的：“通过进程名及路径判断是否病毒→杀掉进程→删除病毒程序”，为了让读者更好的判断进程，在这里补充一些Windows的进程资料给大家：
" ^0 A3 t" L- V& A0 w8 d& x: d; J4 w6 O3 W) O/ g2 W
( }' k7 n. L# R% HQUOTE:
& u0 `) i1 I( D# _& X: A# z进程名 描述
3 s, m+ R7 d e. L5 l0 e- S' @( N, R1 N9 F) P8 y
smss.exe Session Manager
8 j1 n A9 g4 ]0 b3 O) g/ R; @/ H5 y% z/ C1 {5 i" `8 f* x- a
csrss.exe 子系统服务器进程 " F0 K# N; N5 F: q
( A/ V2 h- m. Q! Jwinlogon.exe 管理用户登录 - G8 b( k% u9 S: k [; V% h2 h
* ^- W. I, ?5 l& G7 J) j- ~
services.exe 包含很多系统服务 N# u5 k' c; X4 g# I; c2 x
B6 P/ K# A- _1 }5 J# Alsass.exe 管理 IP 安全策略以及启动 ISAKMP/Oakley (IKE) 和 IP 安全驱动程序。 : c% r8 `4 [. m6 s
$ l. B X- _: [$ ^8 L
svchost.exe Windows 2000/XP 的文件保护系统 2 R8 C6 g6 I2 d- R8 |
* f% ]$ Q4 m$ mSPOOLSV.EXE 将文件加载到内存中以便迟后打印。
3 M% \" Y0 n9 V4 h+ K9 ]/ ^6 `7 y/ b8 J( L9 a. H
explorer.exe 资源管理器
8 n" C6 e& D$ N
, S# X) @. x, _: qinternat.exe 托盘区的拼音图标 3 M) g, i2 F+ F8 W8 L' D
0 q- O' {6 S3 w. _2 W: S
mstask.exe 允许程序在指定时间运行。 2 ~. i/ A3 N" J0 I5 e/ O/ W) J" s
: Q1 M% _, |: c: P2 {
regsvc.exe 允许远程注册表操作。(系统服务)→remoteregister
+ ]* y' U4 O9 |" I- L; T2 X, s" R
tftpd.exe 实现 TFTP Internet 标准。该标准不要求用户名和密码。
- Y& H: o; h% r* B7 ^; e/ r4 v! ]8 Q+ k" q# S
llssrv.exe 证书记录服务 5 w' N; Q& {1 X; O
% S$ }0 p% r0 s) S/ Hntfrs.exe 在多个服务器间维护文件目录内容的文件同步。
. d7 D& ?* L# c: \ q( u, L5 J+ M. i/ T) t
RsSub.exe 控制用来远程储存数据的媒体。 ) |9 m h1 N- y$ h9 G
& r9 I& Q$ Q \1 M4 t% H, olocator.exe 管理 RPC 名称服务数据库。 # B4 b0 U+ s- U+ N5 R
* u* b) J n9 C: Cclipsrv.exe 支持“剪贴簿查看器”，以便可以从远程剪贴簿查阅剪贴页面。 . H% Y; Q- S% }4 O9 q* g* Z
6 X2 `" j# E; h3 T2 D
: }7 f3 h* A4 R V1 I8 ?( L
问：我的系统进程里有四个svchost.exe，听说有些木马就是伪装成系统的进程，不知道这个
# o8 G; q8 _7 B: Y5 e
- m& x+ j& n% q2 b是不是？ / u( f, _* v6 D) ~
7 K4 s% u! Q$ }: Q( C% G答：svchost.exe 存在 %windir%\system32\wins 下。 8 n, B) ^& |# H: V/ l
B: j; K: i; R) {! t
如果怀疑svchost.exe是病毒可以通过以下方法来证实是不是病毒：
0 h' | i: g* _% K9 a& m
* J" T9 u J' f8 i! C( n4 \1.可以去 wins 目录找找有无多余，
2 p! w# q) {7 X
! A3 C# q' N$ O6 c2 A7 {- K. K2.可以搜搜windows文件夹中 svchost.exe 看看有几个（应为1个），, Z9 f. x1 ]/ m+ g* v
" D* K8 @( A5 R- l: J3.tlist -s察看，
1 l1 c! }- [! f( h; S+ X/ a
8 A" Q; U3 b4 O* Y( m& Y4 D0 \4.也可以下载一个可以看带路径名的进程的浏览工具。 1 C9 t8 G% x# P1 h/ `: F6 f. i
9 I' W) e* n8 u8 q1 T6 O; |$ |问：svchost.exe是起什么作用的进程?
5 r( O& }/ T3 \2 e7 w2 s0 e; `3 B/ A# K$ V
答：Svchost.exe文件对那些从动态连接库中运行的服务来说是一个普通的主机进程名。" ?# y0 a0 p6 O$ l! K
@0 q0 y3 \- H+ @- |Svhost.exe文件定位在系统的%systemroot%\system32文件夹下。在启动的时候，7 `7 }# x/ `2 l! N
R3 e. @; t; H e* c2 b bSvchost.exe检查注册表中的位置来构建需要加载的服务列表。这就会使多个Svchost.exe在同一时间运行。每个Svchost.exe的回话期间都包含一组服务，以至于单独的服务必须依*Svchost.exe怎样和在那里启动。这样就更加容易控制和查找错误。 : v/ Q: r$ t: p% ?( D
, }! L+ c. u! I7 f+ \
Svchost.exe 组是用下面的注册表值来识别。0 q# r+ c. F, }, x! r
, O+ s: z7 L$ L9 Z% i3 r( ~) X' r- N
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Svchost每个在这个键下的值代表一个独立的Svchost组，并且当你正在看活动的进程时，它显示作为一个单独的例子。每个键值都是REG_MULTI_SZ类型的值而且包括运行在Svchost组内的服务。每个Svchost组都包含一个或多个从注册表值中选取的服务名，这个服务的参数值包含了一个ServiceDLL值。HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Service msdtc.exe ---并列事务，是分布于两个以上的数据库，消息队列，文件系统或其他事务保护资源管理器。
7 r6 a4 x1 E, b# z3 [2 Q& y& p0 d2 ^0 y+ m/ X- H+ g; f8 A
grovel.exe ---扫描零备份存储(SIS)卷上的重复文件，并且将重复文件指向一个数据存储点，以节省磁盘空间（只对 NTFS 文件系统有用）。 " p* A. M% Z5 }
/ Q$ S$ h3 w; T
snmp.exe ---包含代理程序可以监视网络设备的活动并且向网络控制台工作站汇报。
; M5 K" h: H5 [0 r k. _以上这些进程都是对计算机运行起至关重要的，千万不要随意“杀掉”，否则可能直接影响系统的正常运行。 |
|
发表于 2007-5-29 21:56:54
楼主
:lol: 有问题请继续问
titter, Y2 z( m& n x$ n$ T