以Safedrvse.exe为例进行蠕虫病毒行为分析与清除
以Safedrvse.exe为例进行蠕虫病毒行为分析与清除
【摘要】蠕虫病毒是目前所有计算机病毒中数量最多、传播最快、危害最大的一种病毒类型。
如何有效的进行蠕虫病毒的防范与清除，是目前在计算机信息安全领域面临的一个严峻问题。
只有清楚掌握蠕虫病毒在计算机中的运行情况，了解其行为，才能有效的对其进行防范和清除。
本文以典型的蠕虫病毒Safedrvse.exe病毒为例说明蠕虫病毒的分析与清除方法。
【关键词】蠕虫病毒；行为分析；病毒防治
1.Safedrvse.exe病毒行为分析
1.1 Safedrvse.exe病毒简介
Safedrvse.exe病毒目前大范围感染高校内的计算机，使得计算机无法正常的使用。
Safedrvse.exe病毒还会自动搜索和关闭杀毒软件，被长时间深度感染的计算机中的应用程序往往都会被破坏掉，使得计算机几乎无法正常使用。
1.2病毒行为分析
在虚拟机系统中，通过filemon监控工具、HA_ProcessExplorer进程分析工具和icesword病毒分析工具对病毒行为进行分析。
开启filemon后运行病毒程序，filemon会记录病毒的运行情况。
（1）找到病毒副本
Safedrvse.exe病毒在系统中的C：＼Program Files＼Common Files目录下创建了病毒文件的副本如图1所示。
打开相应的文件夹可以验证病毒副本的存在如图2所示。
并且病毒还会在系统中所有盘符的根目录中生成病毒副本。
图1 病毒在系统中创建副本
图2在系统中的病毒副本
（2）找到病毒进程
进程的判定对于病毒的分析非常重要。
由于Safedrvse.exe病毒将自己在系统中的进程注入到svchost.exe 进程中，使得病毒本身具有较强的隐蔽性和迷惑性。
在filemon的记录中可以看到svchost.exe 进程与病毒文件之间的关系，从而可以初步断定编号为2504的进程是病毒进程。
图3 病毒进程读写病毒文件
在HA_ProcessExplorer工具中可以看到，其中进程号为2504的svchost.exe 进程与系统中其它svchost.exe进程不同，它是explorer.exe的子进程，说明它是用户进程而不是系统进程。
图4编号为2504的svchost.exe进程是explorer.exe的子进程
打开资源管理器同样可以看到只有一个svchost.exe进程是用户进程如图5所示。
图5 svchost.exe进程是用户进程
（3）找到病毒启动项
蠕虫病毒通常会加载到注册表的自启动项中。
通过查找可以发现在注册表HKLM＼SOFTWARE＼Microsoft＼Windows＼CurrentVersion＼Policies＼Explorer＼Run＼Safedrvse.exe中存在病毒启动项。
2. Safedrvse.exe病毒手工清除
在掌握Safedrvse.exe病毒的关键行为之后可以对其进行手工清除。
（1）找到并关闭病毒进程svchost.exe。
（2）删除C：＼Program Files＼Common Files下的病毒文件副本。
（3）删除各个盘符根目录下的病毒副本文件。
（4）删除注册表中的病毒启动项。
（5）在C：＼Program Files＼Common Files＼创建免疫文件夹Safedrvse.exe，阻断病毒的运行和繁殖述。
（6）重新启动系统检查病毒是否清除干净。
3. Safedrvse.exe病毒程序清除
除了手工清除病毒的方法外，还以编写批处理程序来完成病毒的清除。
主要内容如下：
@echo off
taskkill /f /fi “username eq Administrator” /im svchost.exe /t
c：
attrib Safedrvse.exe -a -h -s
del /s /q /f Safedrvse.exe
attrib autorun.inf -a -h -s
del /s /q /f autorun.inf
attrib C：＼Program Files＼Common Files＼Safedrvse.exe -a -h -s
del /s /q /f Safedrvse.exe
reg delete HKLM＼SOFTWARE＼Microsoft＼Windows＼CurrentVersion＼Run /V sxs.exe /f
reg delete HKLM＼Software＼Microsoft＼windows＼CurrentVersion＼explorer＼Advanced
＼Folder＼Hidden＼SHOWALL /V CheckedValue /f
reg add HKLM＼SOFTWARE＼Microsoft＼Windows＼CurrentVersion＼Explorer＼Advanced＼Folder
＼Hidden＼SH OWALL /v “CheckedValue” /t “REG_DWORD” /d “1” /f
exit
4.结束语
通过建立病毒分析的平台，可以有效的对蠕虫病毒的关键行为进行跟踪分析。
在掌握了病毒的关键行为之后，才能制定出有效的病毒清除和免疫的方法。
参考文献：
[1]李治国.计算机病毒防治实用教程.机械工业出版社.2011.10.
[2]朱明，徐骞，刘春明.木马病毒分析及其检测方法研究[J].计算机工程与应用，2003（28）.
[3]王战浩.木马攻击与防范技术研究[D].上海交通大学，2007.。
如何完全清计算机除蠕虫病毒
如何完全清计算机除蠕虫病毒我的电脑中了蠕虫病毒，那么用什么方法可以完全清除呢?下面由店铺给你做出详细的完全清除蠕虫病毒方法介绍!希望对你有帮助!完全清除计算机蠕虫病毒方法一：金山网盾3.6正式版-突破性新功能下载保护无论是使用迅雷、快车下载，还是使用qq、msn传文件，或者用浏览器默认的下载方式，金山网盾3.6都真正实现：1、秒级快速过滤，5秒内检验新下载文件和程序是否有病毒、木马;2、快速分离，10秒内完成对新下载文件中附带病毒、木马的查杀，还用户干净的程序、文件。
完全清除计算机蠕虫病毒方法二：以通过引导到其它系统删除所有病毒文件，彻底清除。
2、按Ctrl+Alt+Delete调出任务管理器，在进程页面中结束掉所有名称为病毒的进程(建议在后面的操作中反复此操作，以确保病毒文件不会反复发作)。
3、在开始--运行中输入“regedit”(XP系统)打开注册表，点“编辑”——“查找”，在弹出的对话框中输入病毒文件名，找到后全删。
4、在我的电脑-工具-文件夹选项-查看-显示所有文件和文件夹，把“隐藏受保护的系统文件”的勾去掉，你会看到出现了你所说的文件名的文件，直接删除原因：该木马病毒具有以下特征：自我隐藏，自我保护，自我恢复，网络访问，后台升级，监视用户操作，很难彻底删除。
你可以用360安全卫士或AVG、超级巡警等清理一下流氓软件和插件!!建议使用360安全卫士 AVG 超级巡警来查杀木马!!用瑞星或卡巴斯基来查杀病毒!!完全清除计算机蠕虫病毒方法三：蠕虫病毒的感染性是很强的,如果中了蠕虫病毒一定要立即查杀,遇到感染类的蠕虫病毒可以这样先下载360系统急救箱保存到D盘,重启按F8进入带网络连接的安全模式,使用360系统急救箱进行查杀这样就查杀的比较彻底了,然后启动360杀毒 360安全卫士的木马云查杀功能查杀清除残留就可以了蠕虫病毒会导致cpu占用率很高，运行会很卡，而且占了不少带宽，上网也很卡。
磁碟机蠕虫病毒分析
-磁碟机蠕虫病毒分析磁碟机病毒疫情的发生磁碟机病毒最早出现在2007年2月份，是在windows系统目录下生成lsass.exe及smss.exe文件，并且修改系统时间为1980年，当时这个病毒不是以下载器为目的的，自身也有较多BUG，入侵后，容易引起系统蓝屏死机。
以后的变种逐步吸收了AV终结者和机器狗的特性，对抗安全软件的能力逐步增强。
病毒分析“磁碟机”通过一个ARP病毒在局域网中迅速传播。
在感染了该“ARP病毒”的局域网中，除了系统静态绑定MAC地址的计算机外，其他系统所下载的所有正常EXE程序文件都变成磁碟机病毒变种，该变种文件名为“setup.exe”，系一个RAR自解压格式的安装包，运行后就会在用户系统中安装“磁碟机”变种。
病毒会破坏注册表，使用户无法进入“安全模式”，以及无法查看“隐藏的系统文件”，并实时检测保护这个被修改过的病毒选项，恢复后立即重写。
破坏注册表，使用户注册表启动项失效，导致部分通过注册表启动项开机运行的安全软件就无法开机启动运行了。
修改注册表，实现开启自动播放的功能。
防止病毒体被重定向，删除注册表中的IFEO进程映像劫持项。
删除组策略限制的注册表项。
病毒通过搜索注册表，直接强行删除所有安全软件的关联注册表项，使其无法开启监控。
利用进程守护技术将病毒的“lsass.exe”、“smss.exe”进程主体和DLL组件进行关联，实现进程守护。
发现病毒文件被删除或被关闭，会马上生成重新。
病毒程序以系统级权限运行，部分进程使用了进程保护技术。
病毒的自我保护和隐藏技术无所不用其极。
将DLL组件会插入到系统中几乎所有的进程中加载运行(包括系统级权限的进程)。
利用了关机回写技术，在关闭计算机时把病毒主程序体保存到[启动]文件夹中，实现开机自启动。
系统启动后再将“启动”文件夹中病毒主体删除掉。
这样可以隐蔽启动，而不被用户发现。
同时，为了避开杀毒软件主动防御功能，病毒采用了反“Hips”的监控技术，为就使得部分仅通过HIPS技术实现主动防御功能的杀毒软件失效。
实训7-2蠕虫病毒的查杀与防范.
实训7-2蠕虫病毒的查杀与防范引言蠕虫病毒是一种恶意软件，通过网络传播并感染计算机系统。
蠕虫病毒可以自动复制和传播自己，对网络安全造成严重威胁。
在本文中，我们将介绍蠕虫病毒的特征和传播方式，并提供一些常用的查杀和防范方法。
蠕虫病毒的特征蠕虫病毒与其他恶意软件不同之处在于其具备自我复制和传播的能力。
蠕虫病毒可以通过网络传播，并在感染新主机后再次复制并传播自己。
这种自我复制和传播的能力使得蠕虫病毒具有迅速传播和蔓延的潜力。
另一个蠕虫病毒的特征是其破坏性。
蠕虫病毒可以危害计算机系统的正常功能，并可能导致数据损失、系统崩溃等严重后果。
一些蠕虫病毒还具备隐藏性，可以在感染主机之后长时间潜伏而不被察觉。
蠕虫病毒的传播方式蠕虫病毒可以通过多种方式传播。
以下是一些常见的传播途径：1.电子邮件附件：蠕虫病毒可以通过电子邮件附件传播。
当用户打开蠕虫病毒的电子邮件附件时，病毒将被激活并感染用户的计算机系统。
2.可执行文件：蠕虫病毒可以附加在可执行文件中，当用户运行该可执行文件时，病毒将开始感染用户的计算机系统。
3.共享文件夹：蠕虫病毒可以通过共享文件夹传播。
当用户访问感染的共享文件夹时，病毒将利用网络传播自己到其他计算机系统。
4.操作系统漏洞：蠕虫病毒可以利用操作系统的漏洞来传播自己。
一旦蠕虫病毒感染了具有漏洞的计算机系统，它可以利用该漏洞来感染其他主机和系统。
蠕虫病毒的查杀方法及时发现和查杀蠕虫病毒对于保护计算机系统的安全至关重要。
以下是一些常用的蠕虫病毒查杀方法：1.使用杀毒软件：杀毒软件是查杀蠕虫病毒的最常见和有效的方法之一。
杀毒软件可以及时检测和清除计算机系统中的病毒，并提供实时保护。
2.更新操作系统：定期更新操作系统是防范蠕虫病毒传播的重要措施。
操作系统提供的更新补丁通常包含了对已知漏洞的修复，减少了蠕虫病毒感染的机会。
3.禁用自动运行：蠕虫病毒通常利用自动运行功能来感染计算机系统。
禁用自动运行功能可以阻止蠕虫病毒在用户运行可执行文件时自动启动。
如何清除IEXPLORE.exe病毒
近日,电脑里出现一个IEXPLORE.exe的家伙.很是烦人.在进程里占用不少的CPU和内存资源,而且关不了.屡关屡开,最多有五六个之多.可把我气坏了.使用杀毒软件,和优化大师根本不行.
后来在网上搜索到一种清除的办法.现告诉大家.
手工查杀流程：
1、点击：“开始”、“运行”。
键入regedit，按回车。
清理注册表：
（1）展开：HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows
删除："load"=""
（2）展开：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Ex plorer\Run
删除："twin"="X:\\windows\\system32\\twunk32.exe"
2、重启。
显示隐藏文件。
3、删除X:\windows\system32\twunk32.exe。
4、卸载QQ。
重新安装。
因为QQ文件夹中的TIMPlatform.exe已被病毒覆盖
注：
1、X为系统盘盘符。
2、如果你觉得TIMPlatform.exe没什么用，就直接删了它。
不重新安装QQ，也行。
祝你好运!。
飞客病毒查杀方法
各位：近期，飞客蠕虫病毒的活动日益活跃，针对用户可能被感染飞客蠕虫病毒，现在提供该木马病毒查杀解决方案如下，供大家参考。
电脑主机在感染飞客蠕虫（Conficker）病毒后，存在远程控制、窃密、泄密等潜在危害，并可能通过发起大范围的网络欺诈和网络攻击等手段危及我省政务信息网及公共互联网安全。
飞客蠕虫主要利用Windows操作系统MS08-067漏洞来传播，同时也能借助任何有USB接口的硬件设备来感染。
这个蠕虫利用的是一个已知的被用于windows 2000，windows xp，windows vista，windows server2003和windows server 2008操作系统的服务器服务漏洞。
Linux和macintosh操作系统不会受到这个病毒的影响。
一、被感染症状：1、帐户锁定策略被自动复位。
2、某些微软Windows服务会自动禁用，如自动更新，后台智能传输服务（BITS ），WindowsDefender和错误报告服务。
3、域控制器对客户机请求回应变得缓慢。
4、系统网络变得异常缓慢。
这可以从检测的网络流量图和windows任务管理器中看出。
5、与杀毒软件，windows系统更新有关的网站无法访问。
6、发射暴力密码破解攻击管理员密码以帮助它穿越并扩散到管理员共享。
二、检测方法：第一种方法：输入：/infection_test/cfeyechart.html网址，打开网页。
若能看到六个图标，说明就没感染“飞客”病毒，若上一排图标左右两个不显示，那么就中了“飞客”病毒A或B变种，若上一排图标三个不显示那就中了“飞客”病毒C变种。
第二种方法：输入：http://four.cs.uni-bonn.de/fileadmin/user_upload/werner/cfdetector/，网址，点击该网页显示绿色的钩说明没有被感染。
三、部分查杀工具：1、卡巴斯基“飞客”专杀(/anti-virus/kidokiller.exe)2、360顽固木马专杀(/anti-virus/superkiller.exe)四、防范措施：1、利用360安全卫士、金山卫士、QQ安全管家等工具及时打好各种漏洞补丁；2、安装杀毒软件，并及时下载更新，对系统进行全盘扫描杀毒；3、在使用U盘前应尽量开启具有U盘防火墙功能的安全软件；4、不要随意执行未知的及存在风险的程序文件；5、不访问有害信息网站，不随意下载/安装可疑插件，并检查IE的安全级别是否被修改。
蠕虫病毒勒索软件Wannacry的预防、免疫、查杀、文件恢复办法
蠕虫病毒勒索软件Wannacry的预防、免疫、查杀、文件恢复办法[收起] 文章目录•前篇介绍•漏洞排查方法•病毒免疫预防措施•其他预防措施•病毒查杀方法•文件恢复方法前篇介绍【紧急重要】勒索病毒全球爆发，中国多所高校中招！大量学校电脑感染勒索病毒的预防及缓解措施安天紧急应对新型“蠕虫”式勒索软件“wannacry”全球爆发漏洞排查方法360企业安全天擎团队提供的针对“永恒之蓝”勒索蠕虫所利用漏洞的修复工具。
运行该工具后，会自动检测系统是否存在相关漏洞，并提供修复方法。
介绍：/other/onionwormfix下载地址：/EternalBlueFix.zipmd5:3546C6F87914282C0A03696997ADBE42sha1:A5B383AC4BAE14DC01F43E737C36B900FDABC8DBsha256:9F7FCE9B15EE65AF1349C74C8AB200C9AD6C0C45C 74E3945F0D4B333AF264207病毒免疫预防措施360企业安全天擎团队提供的系统免疫工具；在电脑上运行以后，现有蠕虫将不会感染系统。
介绍：/other/onionwormimmune下载地址：/tools/OnionWormImmune.exe版本：1.0.0.1015MD5:90cb913660d2f8abb23d8176bafc34ecsha1:6ae5667431b56a615c2a1987f78836312aa0128dsha256:2d34be95dd7487670bb39cfd1d16cf74d2dfda22d7e 450486968b1a563767e97此工具有以下两种免疫方式：基本免疫通过抢占WannaCry勒索蠕虫运行时创建的内核对象，迫使其不能正常运行从而达到免疫的效果。
在终端上直接运行此工具即可实现基本免疫功能。
增强免疫除了基本免疫功能外，根据《WanaCrypt0r勒索蠕虫完全分析报告》，还可通过劫持域名 的方式进一步增强免疫效果。
蠕虫病毒的一般处置方案
蠕虫病毒的一般处置方案随着计算机技术的飞速发展，各种病毒也越来越多地出现在我们的互联网世界中。
尤其是蠕虫病毒，由于它的自我复制和传播能力极强，一旦扩散开来，对计算机网络和用户带来的破坏是非常严重的。
为了保护计算机网络和用户的数据安全，我们需要了解蠕虫病毒的一般处置方案。
什么是蠕虫病毒蠕虫病毒是一种利用网络空间进行传播并自我复制的恶意代码，其主要特点是在网络上迅速传播、危害大、范围广。
蠕虫病毒通过利用网络上的漏洞或者弱点进行攻击，从而与其他主机生成新的感染行为，不断扩散，给计算机和网络带来极大的危害。
常见的蠕虫病毒有蠕虫、爆破蠕虫、邮件蠕虫等。
蠕虫病毒的预防与防治注意网络安全作为计算机用户，我们首先应该注意网络安全，并采取一定的预防措施。
可以查看操作系统补丁以及安全更新，并及时安装；安装杀毒软件，并保持及时更新杀毒软件的病毒库文件；禁止使用弱口令以及禁止共享敏感文件；只下载和运行可靠的应用程序；打开和接收电子邮件附件应慎重，不要轻易打开未知来源的附件；使用智能型防火墙来过滤网络流量等等。
这些安全措施可以最大程度地减少蠕虫病毒的传播和危害。
安装杀毒软件杀毒软件是防治计算机中常见恶意代码的重要手段。
我们可以根据操作系统的环境、硬件配置、性能特征选择适合自己的杀毒软件，然后及时更新病毒库文件，保证杀毒软件可以识别新出现的病毒，并及时进行拦截和处置。
及时修补漏洞很多蠕虫病毒利用系统中的软件漏洞进行攻击，在开放端口中搜索额外的受感染目标。
因此，及时修补漏洞是很重要的，可以有效预防蠕虫病毒的感染和扩散。
操作系统或软件提供商会在出现漏洞时发布相应的安全更新，安装修补程序是修补漏洞的主要方式，因此我们需要定期检查漏洞并进行修补。
摆脱蠕虫病毒的方法如果我们的计算机被蠕虫病毒感染，应当及时采取措施进行摆脱。
第一，隔离感染机器，及时关闭网络连接。
在某些情况下需要停止运行与网络有关的程序。
第二，运行杀毒软件，对病毒进行扫描和清除。
如何清除自动运行的U盘病毒-电脑资料
如何清除自动运行的U盘病毒-电脑资料现在通过U盘感染的病毒也同样变多了,而且更加复杂化，。
全名为：Win32.Hack.T ompai.b.23552，简称Iexplores.exe 就是这样一种病毒，这个病毒工作于32位windows平台。
病毒会在硬盘的根目录生成Iexplores.exe文件。
该病毒的具体表现为是：当你双击硬盘的盘符时，系统会调用Iexplores.exe文件自动播放硬盘的内容，作为传播病毒的一种方式。
另外病毒可以通过移动存储介质进行传播(U盘、移动硬盘)。
虽然大多的杀毒软件可以对其进行查杀！但是感染症状依然存在。
当杀毒软件进行杀毒之后，双击同样无法打开盘符，必须点击右键才能浏览硬盘。
像这样如何来解决呢？首先、右键打开其中一受感染的盘符，在工具栏---文件夹选项--查看下选显示所有文件和文件夹，同时去除隐藏受保护的系统文件前的勾，你会发现在你的盘符下多了一个autorun.inf 的文件，打开我们可以看到如下的内容：[AUTORUN]pen=Iexplorers.exe这句话的意思就是当你双击盘符时自动打开写入注册表中的病毒程序文件，即使病毒被杀死，但是注册表的信息依然存在，这就是无法打开盘符的原因，电脑资料《如何清除自动运行的U盘病毒》(https://www.)。
其次、我们来删除病毒在注册表中的残留信息：开始---运行中输入regedit 打开注册表编辑程序，ctrl+f 打开查找命令，输入Iexplorers.exe，点查找，接下来会在注册表中找到此键值。
一般在HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\Curren tVersion\\Explorer\\MountPoints下最后、如果是你的移动硬盘的盘符f盘打不开，那么你将会在HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\Curren tVersion\\Explorer\\MountPoints\\Fshellcommand下发现此键值，把shell子键删除即可，F3查找下一个，重复操作，直到所有的都清除。
system.exe病毒的特点以及简易清除法
先用 Ａ ｔＧ ａｄ ｒ ｘ ｕｏ ｕ ｒｅ ． ｅ工具修 复系统的 ｅ
安全模式（ 如果不能启动， 改名字 ） 就 ； 开机后按 Ｆ ８键 ，以安全模式启动系统 ；
或 ｄｉｅｓ目录下 ， 如 ： ｒ ｒ ｖ Ｅ
ＤＡ Ａ 目录下也有木 马， Ｔ 比如 ：
ｗｅｂ ｏ ｅ ２ ．ｌ 就是 一个 被捆绑 ｂｒ ｗｓ ｒ １ ８ ｌ ９ ｄ（
ＨＢ ＱＱＦ ０ ｄＩ ３ ７ Ａ Ｃ２ ｄｌ ｓ ｐ３ ｙ２ Ｆ ｌ ４ ４ ８ ｌｗｔａ ｉ２ ｔ ． 、 、
ｄｌ ｓ ｌｏ ｅ ． 】 Ｉ ｓｓ ｃｋ ｔｄｌ 、
在 程 序 组 Ｐｏ ｒｍ ｉｓＣｏ ｒｇ ａ Ｆｌ ＼ ｍｍｏ ｉ ｓ ｅ ｎＦｌ ｅ
目录下还隐藏有木马 ， 比如 ：
进入系统后 ， 一般会 自动删除源病毒文件 。
ｔ ｎ ．删 除这 个键 项 。搜 索注 册 表 ，删除 ｉｓ ｏ
些容易操作的比较简便的方法来对付这种病
毒。
ｄｌ ｐ ｘｗｓ ｌ ｄｐｏｄｌ ｋ ｎ ｏｎｄｌ ｌ 、ｆｙ ｊ ｘｄｌ 、ｇ ｉｒ ．ｌ ａ ｄ ｆ ．ｌ 、 、
４ ０ ９．ｙｓ Ｄ９１ ｃ７ ２４ ｓ 、 ＢＣ６１ Ｉ ＨＢＳ０２． ｆ ｄｌ Ｅ 、 ｄｌ 、
需要用到一些 工具 ， 比如 Ｐ Ｅ光盘（ 安 或 装 Ｔ ｎ Ｅ系 统 工具 箱 到硬 盘 里面 ）Ａｕｏ ｏＰ 、 ｔ— Ｇｕ ｒｅ ．ｘ 、６ ａｄ ｒ ｅ ３ ０安全卫 士 （ ｅ 应该还有其他 工具可用 ， 没有～一试验 。 了 Ｐ 除 Ｅ工具 ． 自 我 己很少用其他 工具 ） 。
ｗｒ ３ ｌ ｍ ２ ｄｌ 、ＨＢＦ ｄｌ Ｙ． Ｉ ｌ ３１ Ｉ 、ｋｉ ｄｈ ． 、ｙｕ ｆｕｈ ｄｌ ｃｙ ｕ
四种在局域网中最常见的蠕虫病毒攻击快速诊断和解决方法
四种在局域网中最常见的蠕虫病毒攻击快速诊断和解决方法冲击波/震荡波病毒、SQL蠕虫、伪造源地址DDoS攻击、ARP欺骗，是在宽带接入的网吧、企业、小区局域网内最常见的蠕虫病毒攻击形式。
这几种病毒发作时，非常消耗局域网和接入设备的资源，造用户上网变得很慢或者不能上网。
下面就来介绍一下，怎样在HiPER安全网关内快速诊断局域网内电脑感染了这些蠕虫病毒，以及怎样设置安全策略防止这些这些病毒对用户上网造成影响。
1.冲击波/震荡波病毒【故障现象】感染此类病毒的计算机和网络的共同点：1、不断重新启动计算机或者莫名其妙的死机；2、大量消耗系统资源，导致windows操作系统速度极慢；3、中毒的主机大量发包阻塞网络，整个网络会迅速被这些攻击所形成的流量影响，形成DoS拒绝服务攻击。
造成局域网内所有人网速变慢直至无法上网。
局域网的主机在感染冲击波、震荡波及其变种病毒之后，会向外部网络发出大量的数据包，以查找其他开放了这些端口的主机进行传播，常见的端口有：TCP 135端口（常见）；TCP 139端口（常见）；TCP 445端口（常见）；TCP 1025端口（常见）；TCP 4444端口；TCP 5554端口；TCP 9996端口；UDP 69端口… …【快速查找】在WebUI上网监控页面，查询当前全部上网记录，可以看到感染冲击波病毒的主机发出的大量NAT会话，特征如下：1、协议为TCP，外网端口为135/139/445/1025/4444/5554/9996等；2、会话中该主机有上传包，下载包往往很小或者为0。
【解决办法】1、将中病毒的主机从内网断开，杀毒，安装微软提供的相关Windows的补丁。
2、在安全网关上关闭该病毒向外发包的相关端口。
1） WebUI高级配置组管理，建立一个工作组“all”（可以自定义名称），包含整个网段的所有IP地址（192.168.0.1--192.168.0.254）。