病毒查找及清除实验
实验八 木马病毒清除实验
实验八木马病毒清除实验1.实验目的(1)熟悉BO2K木马的源代码。
(2)熟悉BO2K木马的原理和用法2.实验所需条件和环境1、硬件HPDX23582、Windows32操作系统，Visual Studio 7.0 编译环境3.实验步骤1、从随书资源目录\Experiment\Antitrojan\,文件为Antitrojan.sln为工程文件，使用Antitrojan.exe观察效果。
2、设计思路：1. 设计1.1功能本程序利用开放主机端口号和各个木马程序使用端口的对应关系，判断主机是否已中木马，中了何种木马（目前能查找一百余种），并能根据所中木马的类型，对其中的二十几种进行杀灭。
此外，用户可自行追加数据库，增加能查找病毒的种类。
1.2程序流程1.3核心数据结构本程序的数据文件Trojan.txt使用了TROJAN结构来保存木马的名称，对应打开端口号和查杀代码：TROJAN：字段名称字段类型字段说明nPort 数字该木马所使用的端口号。
TroName 字符串该木马的名称。
nKillno 数字该木马的查杀号，杀除函数调用。
pnext 指针用于构成链表结构指针在Trojan.txt中，每行为一个木马项，格式为2. 关键技术2.1技术背景一般情况下，特定木马在运行时都会打开特定的端口和主控端进行通信，利用木马的这个特征，我们可以通过建立一个已知木马的名称和其使用端口的对应数据库来检测主机是否感染了木马，一旦得知了木马名称，就可以调用针对此木马的杀灭手段进行消除。
本程序就是利用了木马这样的特性进行编写，在windows系统中，netstat命令可以很轻松的取得本地打开端口的列表，我们可以在程序中用system函数调用此命令，并读取保存的结果，就可以取得主机所有打开的端口（包括tcp和udp）。
对于杀除木马，通常通过以下一系列手段进行：消灭主机中运行的木马进程。
消灭主机中存在的木马文件。
删除木马在主机注册表中添加的项。
查找和清除电脑病毒方法介绍
查找和清除电脑病毒方法介绍：查找和清除电脑病毒方法一、通过自动运行机制查木马一说到查找木马，许多人马上就会想到通过木马的启动项来寻找“蛛丝马迹”，具体的地方一般有以下几处:查找电脑木马1注册表启动项在“开始/运行”中输入“regedit.exe”打开注册表编辑器，依次展开[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\]和[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\]，查看下面所有以Run开头的项，其下是否有新增的和可疑的键值，也可以通过键值所指向的文件路径来判断，是新安装的软件还是木马程序。
另外[HKEY_LOCAL_MACHINE\Software\classes\exefile\shell\open\command\]键值也可能用来加载木马，比如把键值修改为“X:\windows\system\ABC.exe %1%”。
查找电脑木马2系统服务有些木马是通过添加服务项来实现自启动的，大家可以打开注册表编辑器，在[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Runservices]下查找可疑键值，并在[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\]下查看的可疑主键。
然后禁用或删除木马添加的服务项:在“运行”中输入“Services.msc”打开服务设置窗口，里面显示了系统中所有的服务项及其状态、启动类型和登录性质等信息。
找到木马所启动的服务，双击打开它，把启动类型改为“已禁用”，确定后退出。
也可以通过注册表进行修改，依次展开“HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\服务显示名称”键，在右边窗格中找到二进制值“Start”，修改它的数值数，“2”表示自动，“3”表示手动，而“4”表示已禁用。
4-2-1 检测与清除计算机病毒
计算机病毒与防治课程小组
计算机病毒检测方法——对比法
2.对比法
对比法是用原始备份与被检测的引导扇区或被检测的文件进行对比。 对比时可以靠打印的代码清单（比如DEBUG的D命令输出格式）进行比较， 或用程序来进行比较（如DOS的DISKCOMP、FC或PCTOOLS等其它软件）。 优缺点分析： 这种比较法不需要专用的查计算机病毒程序，只要用常规DOS软件和 PCTOOLS等工具软件就可以进行。而且用这种比较法还可以发现那些尚 不能被现有的查计算机病毒程序发现的计算机病毒。因为计算机病毒传 播得很快，新的计算机病毒层出不穷，由于目前还没有做出通用的能查 出一切计算机病毒，或通过代码分析，可以判定某个程序中是否含有计 算机病毒的查毒程序，发现新计算机病毒就只有靠对比法和分析法，有 时必须结合这两者来一同工作。
人工智能陷阱： 人工智能陷阱是一种监测计算机行为的常驻式扫描技术。它将所有 计算机病毒所产生的行为归纳起来，一旦发现内存中的程序有任何 不当的行为，系统就会有所警觉，并告知使用者。这种技术的优点 是执行速度快、操作简便，且可以侦测到各式计算机病毒；其缺点 就是程序设计难，且不容易考虑周全。不过在这千变万化的计算机 病毒世界中，人工智能陷阱扫描技术是一个至少具有主动保护功能 的新技术。
计算机病毒与防治课程小组
清除sxs.exe病毒
手工清除sxs.exe病毒
在以下整个过程中不得双击分区盘，需要打开时用鼠标右键——打开 1）关闭病毒进程 Ctrl + Alt + Del 任务管理器，在进程中查找 sxs 或 SVOHOST （不是SVCHOST，相差一个字母），有的话就将它结束掉 2）显示出被隐藏的系统文件 运行——regedit HKEY_LOCAL_MACHINE\Software\Microsoft\windows\CurrentVersio n\explorer\Advanced\Folder\Hidden\SHOWALL，将CheckedValue键值 修改为1。
木马病毒的检测、清除及其预防
推荐 · 金山毒霸2005正式版 杀毒免费立刻下载
方法 通过网络连接或者系统进程
1．通过网络连接
由于木马的运行常通过网络的连接来实现的，因此如果发现可疑的网络连接就可以推测木马的存在，最简单的办法是利用Windows自带的Netstat命令来查看。
（1）键入DOS命令以重新命名regedit.exe为 (本步骤可选)。
（2）运行注册表程序，找到下列键值 ：
HKEY_CLASSES_ROOT exefileshellopencommand。
（3）在这个键值中将Default的值“% windir%SYSTEMWINSVRC.EXE““%1”%*” where %windir%”中““%1”%*”以外部分删除。
HKEY_CURRENT_USERSoftwareMicrosoft
WindowsCurrentVersionExplorerShell Folders
HKEY_CURRENT_USERSoftwareMicrosoft
WindowsCurrentVersionExplorerUser Shell Folders
（3）启动病毒查杀软件，将查找出的带有TROJ_BADTRANS.A病毒的文件删除 。
3. 通过在注册表中实现。木马只要被加载，尽管有可能会隐藏得比较好，但一般都会在注册表中留下痕迹。一般来说，木马在注册表中自动加载的实现是在HKEY_LOCAL_MACHINESoftware
一般情况下，如果没有进行任何上网操作，在MS-DOS窗口中用Netstat命令将看不到什么信息，此时可以使用“netstat -a”,“-a”选项用以显示计算机中目前所有处于监听状态的端口。如果出现不明端口处于监听状态，而目前又没有进行任何网络服务的操作，那么在监听该端口的很可能是木马。
木马病毒查找清除方法【完整版】
木马病毒查找清除方法【完整版】(文档可以直接使用，也可根据实际需要修订后使用,可编辑放心下载）木马病毒查找去除方法|浏览：0|更新：2021-04-23 15:27一、学伯乐认马识马木马这东西从本质上说,就是一种远程控制软件。
不过远程控制软件也分正规部队和山间土匪。
正规部队顾名思义就是名正言顺的帮你远程管理和设置电脑的软件,如Windows XP自带的远程协助功能,一般这类软件在运行时,都会在系统任务栏中出现,明确的告诉用户当前系统处于被控制状态;而木马那么属于山间土匪,他们会偷偷潜入你的电脑进行破坏,并通过修改注册表、捆绑在正常程序上的方式运行,使你难觅其踪迹。
木马与普通远程控制软件另外一个不同点在于,木马实现的远程控制功能更为丰富,其不仅能够实现一般远程控制软件的功能,还可以破坏系统文件、记录键盘动作、盗取密码、修改注册表和限制系统功能等。
而且你还可能成为养马者的帮凶,养马者还可能会使用你的机器去攻击别人,让你来背黑锅。
二、寻根溯源找到引马入门的罪魁祸首作为一个不受欢送的土匪,木马是如何钻进你系统的呢?一般有以下几种主要的传播方式:最常见的就是利用聊天软件杀熟,例如你的QQ好友中了某种木马,这个木马很有可能在好友的机器上运行QQ,并发一条消息给你,诱使你翻开某个链接或运行某个程序,如果你不慎点击或运行,马儿就会偷偷跑进来;另外一种流行的方法是买一送一,木马会与一些正常的文件捆绑,如与图片文件捆绑,当你浏览图片的时候,木马也会偷偷溜达进来;网页里养马也是一种常见的方法,黑客把做好的木马放到网页上,并诱使你翻开,你只要浏览这个页面就可能中招;最后一种常用方法是网吧种植,网吧的机器平安性差,黑客还可以直接在机器上做手脚,所以网吧中带马的机器很多。
在网吧上网时受到木马攻击的几率也很大。
而且上边这些方法可能还会联合行动,组合在一起对你进行攻击。
三、亡羊补牢如何查杀木马我们如何判断机器里是否有木马呢?下面有一些简单的方法可以尝试。
如何查找并删除电脑病毒
如何查找并删除电脑病毒随着互联网的普及和电脑的广泛应用，电脑病毒成为了一个普遍存在的问题。
电脑病毒的存在给我们的电脑安全带来了很大的威胁，因此，学会如何查找并删除电脑病毒是非常重要的。
本文将介绍一些常见的查找和删除电脑病毒的方法，希望能给大家提供一些帮助。
首先，我们需要了解电脑病毒的特点和危害。
电脑病毒是一种能够自我复制并传播的恶意软件，它可以破坏电脑系统的正常运行，窃取用户的个人信息，甚至导致电脑无法正常使用。
因此，及早发现并删除电脑病毒是非常重要的。
一种常见的查找电脑病毒的方法是使用杀毒软件。
杀毒软件是一种专门用于检测和清除电脑病毒的软件。
市面上有很多种杀毒软件可供选择，如腾讯电脑管家、360安全卫士等。
使用杀毒软件，我们可以进行全盘扫描或选择性扫描，以查找并清除电脑病毒。
在使用杀毒软件时，我们需要保持软件的更新，以保证其能够及时识别新出现的病毒。
除了使用杀毒软件，我们还可以通过查看电脑的运行状况来判断是否存在病毒。
电脑感染病毒后，会出现一些异常的现象，如系统运行缓慢、频繁死机、弹出广告等。
如果我们发现电脑运行异常，就有可能是受到了病毒的感染。
此时，我们可以通过查看任务管理器来确定是否存在异常的进程。
如果发现有一些未知的进程在后台运行，就有可能是病毒程序。
我们可以尝试结束这些进程，或者通过搜索引擎查询这些进程的相关信息，以判断其是否为病毒。
此外，我们还可以使用一些专门的工具来查找和删除电脑病毒。
比如，有一些反病毒公司提供了在线查杀的服务，我们可以上传可疑文件到他们的网站上进行扫描。
这些在线查杀服务通常能够识别并清除大部分常见的电脑病毒。
另外，还有一些专门的电脑病毒查杀工具，如Kaspersky Virus Removal Tool、McAfee Stinger等。
这些工具通常需要下载并安装到电脑上，然后进行全盘扫描，以查找并清除电脑病毒。
在查找和删除电脑病毒的过程中，我们需要注意一些事项。
首先，我们应该保持杀毒软件的更新，以确保其能够及时识别新出现的病毒。
计算机宏病毒分析及清除试验报告
If ThisDocument = NormalTemplate Then
Set host = ActiveDocument.VBProject.VBComponents(1).CodeModule
End If
With host
If .Lines(1, 1) <> "'Micro-Virus" Then
.DeleteLines 1, .CountOfLines
.InsertLines 1, ourcodemodule.Lines(1, 100)
.ReplaceLine 2, "Sub Document_Close()"
Sub Document_Open()
On Error Resume Next
Application.DisplayStatusBar = False
Options.SaveNormalPrompt = False
Set ourcodemodule = ThisDocument.VBProject.VBComponents(1).CodeModule
实验报告
实验时间
2016年11月23日
实验地点
软件工程实验室
实验名称
计算机宏病毒分析及清除
实验目的：1、了解“宏病毒”机理；
2、掌握清除宏病毒的方法；
3、掌握采用“宏”和脚本语言进行编程的技术。
实验平台：1、Windows 2000/2003/XP或更高级别的Windows操作系统；
2、Office Word 2000/2003等字处理软件。
计算机病毒防护技术病毒检测及清除实验
5、检测中毒后的系统
6、得出实验结论
3.2、威金病毒的检测
1、备好病毒样本
2、先准备一张含有威金病毒的软盘或光盘，或带有威金病毒的U盘。
3、运行VMWare虚拟机软件。
4、为了整个计算机本身的安全或整个实验室系统的安全，让实验在虚拟的环境下进行，
5、检测干净系统
6、种植威金病毒
插入含有威金病毒的U盘、光盘或者软盘，点击含有威金病毒文件夹下的威金文件，这时就将威金病毒种植到计算机系统中了。
3、实验步先准备一张含有熊猫烧香病毒的软盘或光盘，或带有熊猫烧香病毒的U盘。
2、运行VMWare虚拟机软件。
为了整个计算机本身的安全或整个实验室系统的安全，让实验在虚拟的环境下进行，
3、检测干净系统
4、种植熊猫烧香病毒
插入含有熊猫烧香病毒的U盘、光盘或者软盘，点击含有熊猫烧香病毒文件夹下的setup.exe文件，这时就将熊猫烧香病毒种植到计算机系统中了。
IPARMOR.EXE
Ravmond.exe
9、病毒尝试利用以下命令终止相关杀病毒软件：net stop "Kingsoft AntiVirus Service"
10、发送ICMP探测数据"Hello,World"，判断网络状态，网络可用时，枚举内网所有共享主机，并尝试用弱口令连接IPC$、admin$等共享目录，连接成功后进行网络感染。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
病毒查找及清除实验
应用场景
计算机病毒是一个程序，一段可执行码,对计算机的正常使用进行破坏，使得电脑无法正常使用甚至整个操作系统或者电脑硬盘损坏。
就像生物病毒一样，计算机病毒有独特的复制能力。
计算机病毒可以很快地蔓延，又常常难以根除。
它们能把自身附着在各种类型的文件上。
当文件被复制或从一个用户传送到另一个用户时，它们就随同文件一起蔓延开来。
这种程序不是独立存在的，它隐蔽在其他可执行的程序之中，既有破坏性，又有传染性和潜伏性。
轻则影响机器运行速度，使机器不能正常运行；重则使机器处于瘫痪，会给用户带来不可估量的损失。
通常就把这种具有破坏作用的程序称为计算机病毒。
除复制能力外，某些计算机病毒还有其它一些共同特性：一个被污染的程序能够传送病毒载体。
当你看到病毒载体似乎仅仅表现在文字和图像上时，它们可能也已毁坏了文件、再格式化了你的硬盘驱动或引发了其它类型的灾害。
若是病毒并不寄生于一个污染程序，它仍然能通过占据存贮空间给你带来麻烦，并降低你的计算机的全部性能。
病毒往往会利用计算机操作系统的弱点进行传播，提高系统的安全性是防病毒的一个重要方面，但完美的系统是不存在的，过于强调提高系统的安全性将使系统多数时间用于病毒检查，系统失去了可用性、实用性和易用性，另一方面，信息保密的要求让人们在泄密和抓住病毒之间无法选择。
病毒与反病毒将作为一种技术对抗长期存在，两种技术都将随计算机技术的发展而得到长期的发展。
一般正常的程序都是由用户调用，再由系统分配资源，完成用户交给的任务，其目的对用户是可见的、透明的。
而病毒则隐藏在正常的程序中，当用户在调用正常程序时窃取到系统的控制权，先于正常程序执行，病毒的动作、目的对用户来说是未知的，是未经允许的。
一般病毒都具有以下一些特征：
1.传染性。
正常的计算机程序一般是不会将自身的代码强行连接到其它程序之上的，而病毒却能使自身的代码强行传染到一切符合其传染条件的未受到传染的程序之上。
是否具有传染性是判别一个程序是否为计算机病毒的最重要的判断依据。
2. 隐蔽性。
计算机病毒一般是具有很高的编程技巧并且短小精悍的程序，很大部分的病毒代码往往只有几百K 甚至更小。
为了达到隐藏自己的目的，病毒程序通常附在正常的应用程序中或磁盘较隐蔽的地方，一些则以隐藏文件的形式出现。
通过各种手段的伪装，使得在没有经过特别分析的情况下很难将病毒程序与正常程序区别开来。
正是由于隐蔽性，计算机病毒才得以在用户没有察觉的情况下扩散到上百万台计算机中。
3. 潜伏性。
大部分的计算机病毒感染系统之后一般不会马上发作，它可以长期隐藏在系统中，只有在满足特定条件时才启动其破坏模块。
如著名的“黑色星期五”病毒在每逢13 号的星期五发作。
4. 破坏性。
病毒一般按其破坏性可分为良性病毒和恶性病毒。
良性病毒只是计算机病毒家族中很小的一部分，它的危害较小，一般不会造成严重后果。
该类病毒通常表现为占用一定的内存和磁盘空间，降低计算机系统的运行速度，干扰显示器屏幕的显示等。
恶性病毒
一般都有明确的目的，或破坏数据、删除文件或加密磁盘、格式化磁盘，有的对数据造成不可挽回的破坏。
不管是哪种类型的病毒，只要侵入系统，都会对系统及应用程序产生不同程度的影响。
虽然病毒千奇百怪，但是只要抓住其本质特征，就可以找到相对合理的查杀方法。
VM
实验目标：
●掌握手动病毒查找的方法；
●掌握常见病毒分析和查杀的第三方工具使用方法；
●能够根据病毒特征清除病毒；
实验环境：
虚拟机：Windows XP/2003，Regshot 注册表对比工具，Aport 端口查看工具，Process Explorer 实验过程指导：
通过第三方软件，察看病毒的运行状态，对系统配置的修改，从而了解病毒的运行原理，达到手动清楚木马与病毒的目的。
实验内容包括：
1）注册表查看和监控；
2）文件型病毒代码查看；
3）进程查看和管理；
4）端口状态分析；
启动虚拟机，并设置虚拟机的IP 地址，以虚拟机为目标主机进行攻防试验。
1. 注册表分析；
（1）点击工具“regshott”，用户在页面右侧可以根据提示使用第三方工具，对比不同时间点的注册表信息。
如下图所示
步骤一、利用工具对系统注册表进行拍照，首先单击“快照1”。
步骤二、运行桌面上的灰鸽子病毒，在灰鸽子客户端软件中生成服务器端程序，在本机执行该服务器程序即运行病毒样本，该病毒将把自身注册到注册表启动项，以达到随系统启动而自动运行的效果；
步骤三、利用工具再次对系统注册表进行拍照即单击“快照2”，并进行比较，分析注册表的变化，找到病毒注册的关键位置。
步骤四、启动注册表编辑器，恢复被修改的注册表关键项，从而清除病毒。
2. 进程状态分析
（1）点击“工具箱”中“攻防工具”——“检测工具”——“process exp”，如下图所示，用户在页面右侧将会根据提示运行第三方工具查看当前活动进程状态。
从该图中可以明显的看到灰鸽子程序在运行的进程，进而可以终止该病毒程序运行。
（2）根据进程状态列表查看可疑的进程，进行以下操作：
步骤一：结束可疑进程；
步骤二：定位可疑进程对应的文件；
步骤三；清除病毒文件。
3. 端口状态分析
（1）点击“工具箱”中“攻防工具”——“检测工具”——“aport”，用户在页面右侧可以根据提示使用第三方工具，查看本机端口开放状态。
如下图所示，从该图中可以明显的看到灰鸽子程序在运行的进程，进而可以终止该病毒程序运行。
（2）学生用户根据端口开放状态找到非法进程，进行以下操作：
步骤一：结束可疑进程；
步骤二：定位可疑进程对应的文件；
步骤三；清除病毒文件。
【实验思考】
1. 病毒木马自激活的方法有哪些？该如何防范？
2. 病毒木马自我隐藏的方法有哪些？该如何防范？
3. 病毒木马的破坏行为主要有哪些？该如何做，才能将破坏程度降到最低。
4. 通过进程状态分析DLL 病毒实验部分的病毒，监控到的可疑进程是什么？
5. 通过端口监控工具查看灰鸽子木马打开了哪些端口？。