好友
阅读权限10
听众
最后登录1970-1-1
|
使用论坛附件上传样本压缩包时必须使用压缩密码保护，压缩密码:52pojie，否则会导致论坛被杀毒软件等误报，论坛有权随时删除相关附件和帖子！
病毒分析分区附件样本、网址谨慎下载点击，可能对计算机产生破坏，仅供安全人员在法律允许范围内研究，禁止非法用途！
禁止求非法渗透测试、非法网络攻击、获取隐私等违法内容，即使对方是非法内容，也应向警方求助！
首先了解一点常识：任何程序的运行都是要通过驻留内存来实现的，不论何种操作系统。操作系统是永远常驻内存(即开机启动就驻留内存)，还有就是以系统级驱动和后台服务的形式常驻内存.通常文件不能删除都是由于有程序在运行，进程列表只能显示出常规的进程，以后台服务形式运行的可以通过 services.msc查看， 以系统级驱动可以通过gmer,冰刃，syscheck之类的软件查看.
文件不能删除的原因只有两种：
1.文件系统出问题产生的乱码文件删除不了，让windows启动的时候磁盘检测自己修复就好
2.文件被加锁保护了。这个可以分两种情况：
a.操作系统保护。当程序在运行的时候是不能删除可执行文件的，结束相应进程就可以删除了.非可执行文件被加锁了，syscheck有个文件解锁功能，解锁以后可以删除
b.被恶意的系统级驱动保护！！！这是最强悍的了。通常这种驱动还有相关的一堆可执行文件在，一定要全部删除了。
解决办法：
第一: 进安全模式删除或者自己安全的DOS系统删除
第二：找强制删除软件进行强制重新启动删除。
第三：用gmer（这是英文的，波兰人写的，非常强悍）找到files，可以树形浏览文件，右键删除。
第四：用WINPE系统进行删除和修复
gmer 非常强悍的，谁用谁知道，其它的看个人修为了，至少我遇到过的都搞定了，什么AV终结者，磁碟机，等等。最龌龊的是感染可执行文件的病毒，呵呵我不能修复。强烈推荐大家首先用windows系统清理助手杀(这个可以杀很多包括驱动级流氓的)，如果不行再用gmer.
教大家点杀毒技巧：
第一步：用调试器可以结束被调试的进程，windows自己带调试器ntsd就可以用: -c “命令” 这个参数是执行相应的调试命令，退出运行命令是q -p 进程PID 这个是指定要调试的进程PID -pn 进程名 这是指定调试进程全名，一定要包括后缀名所以结束一个程序PID为333像这样：ntsd -c q -p 333, 进程名为a.exe像这样：ntsd -c q -pn a.exe
第二步：结束进程以后马上建一个和进程同名的文件夹,
写成批处理就行了,流氓木马再生速度再快也赶不上批处理的。
例子：假设a.exe路径为c:\windows\system32, 把下面两行存为a.cmd或者a.bat都行
ntsd -c q -pn a.exe
mkdir c:\windows\system32\a.exe |
|
发帖前要善用【论坛搜索】功能，那里可能会有你要找的答案或者已经有人发布过相同内容了，请勿重复发帖。 |
|
|
|
|
|
|
[复制链接]
发表于 2009-10-15 00:03
