实验3-熊猫烧香
“熊猫烧香”病毒取证鉴定技术研究
连接 到指定 的病毒 网址中下载病毒。在
硬盘各个分 区下生成 文件 ａ ｔ ｕ ． ｆ ｕｏ ｎｉ 和 ｒ ｎ
进 行联 接 （ 测被 攻击端 的密码 ） 猜 。当 成 功地联 接上以后将 自己复制并利用计 划任务启动激活病毒 ；修改操作系统 的 启动关联 ； 下载文件启动 ；与杀 毒软件
对抗 。
Ｘ 、Ｗｉ ０ ３；病 毒具 体 描述 ：熊 猫 Ｐ ｎ２ ０ 烧香是 一种蠕虫病 毒 ，而且多 次变种。
无法使用 ｇ ｏｔ ｈ ｓ 软件恢复操作系统。熊
猫烧香感染系统的 ｅｅ ｏ 、ｐｆ ｒ、 ｘ、ｃ ｒ ｉ ｃ ｎ 、ｓ
ｈｍｌ ｓ ｔ 、ａ ｐ文件 ，添加 病 毒 网址 ，导 致
用户一打开这些网页文件，Ｉ Ｅ就会 自动
３２生 成 ａ ｔｒｎｉｆ ． ｕｏｕ ． ｎ
病 毒建 立一个 计 时器 以 ０６秒为周 ．
图案，被感 染 的用户系统 中所有 ｅ ｅ ｘ 可 执行文 件全 部 被改 成 熊猫举 着三根 香 的模样，因此被称为 “ 熊猫烧香”病毒 。
内容包括 ：鉴定检材中是否存在制作传 播病毒 的证据 ； 鉴定病毒编写的相关 时 间信息及病毒制作方式 ；提取病毒样本
及与案件相关的其他证据。
Ｄ ＭＥ ＳＯ ５５ ） 高速硬 盘复制机 、 Ｉ Ｎ Ｉ Ｎ １０ 、 四 合一只读读卡器 、取证硬盘 、各 类接口
ｓｔｐｅｅ ｅｕ ． ，可以通过 Ｕ盘和移动硬 盘等 ｘ 方 式 进行 传 播，并且 利用 Ｗｉｄ ｗ 系 ｎｏｓ 统的自动播放功能来 运行，搜 索硬 盘中 的 ｅｅ ｘ 可执行文件并感染 ，感 染后的文
虚拟机在网络实验教学中的研究与应用
Ｖｏｌ．２８Ｎｏ．１２Ｄｅｃ２０１２赤峰学院学报（自然科学版）ＪｏｕｒｎａｌｏｆＣｈｉｆｅｎｇＵｎｉｖｅｒｓｉｔｙ（ＮａｔｕｒａｌＳｃｉｅｎｃｅＥｄｉｔｉｏｎ）第２８卷第１２期（下）２０１２年１２月1引言目前，计算机网络课程的教学是由理论教学和实验教学组成，其中实验教学是对理论教学知识的有益补充，可以增强学生对理论知识的学习与掌握．同时，学生通过完成相应的实验，可以进一步加深对理论知识的理解，二者相辅相成．由于各个院系的经费情况不同，在实验室建设的经费投入差别很大．有的学校设备经费充足，投入大量经费购买昂贵的网络设备，组建网络实验室，为计算机网络、网络信息安全等相关课程提供了较好的实验环境．但是由于实验设备的维护、实验内容的设计，都给实验教师带来繁重的工作量．并且，由于实验课时有限，大部分学生不能在规定的实验时间内完成实验内容，这种情况下，学生不得不按照实验指导书按部就班的去完成，这就成了为了实验而实验，实验效果并不好．而有的学校在设备费用短缺的情况下，只能购买少量网络设备或者模块，用于演示性实验教学，学生没有机会动手实践．其它实验只能采取模拟软件来完成，或者不开设相关实验，使得学生对枯燥的计算机网络知识的学习产生厌烦的情绪．为了更好的学习计算机网络课程，必须重视计算机网络实验的教学［１］．为了解决已有实验室网络设备有限、实验课时较少的情况，可以借助于虚拟机技术．2虚拟机在网络实验教学中的可行性分析虚拟机（ＶｉｒｔｕａｌＭａｃｈｉｎｅ）［２，３］指通过软件模拟的具有完整硬件系统功能的、运行在一个完全隔离环境中的完整计算机系统．通过虚拟机软件，用户可以在一台物理计算机上模拟出一台或多台虚拟的计算机，这些虚拟机完全可以像真正的计算机一样进行工作．例如，用户可以安装操作系统、安装应用程序、访问网络资源等等．对于用户而言，它只是运行在自己的物理计算机上的一个应用程序，但是对于在虚拟机中运行的应用程序而言，它就是一台真正计算机．当用户在虚拟机上进行操作时，系统可能会崩溃；但是，崩溃的只是虚拟机上的操作系统，而不是物理计算机上的操作系统，并且，使用虚拟机的“Ｕｎｄｏ”（恢复）功能，用户可以马上恢复虚拟机到安装软件之前的状态，对于实验室老师来说极大降低了机器的维护工作量，提高了工作效率．虚拟机应用在网络实验教学中，有以下几大优点：（１）从实验的角度来看，虚拟网络学习环境的建立，有利于破坏性实验的正常开展，提高学生的实践操作能力，如：格式化分区、系统重装、网络安全的研究等．（２）从实验室管理维护的角度看，虚拟实验技术的使用既方便了实验工作人员的管理，也降低了工作的强度．（３）从实验成本和时间利用来看，为学校现有低配置设备的充分利用提供可行性解决方案，如学生可以利用现有低配置设备安装所需要的操作系统，而不必考虑操作系统更改带来的麻烦，充分提高学习效率．（４）从人性化角度来看，每个学生可以拥有一台自己的虚拟计算机，方便自己将来的学习，如：学生可以根据自己的实际需要安装操作系统和应用软件．为此我们决定搭建一个利用虚拟机完成的网络学习环境，来满足以上的要求．虚拟机在网络实验教学中的研究与应用幺洪波，付树才（唐山学院计算机科学与技术系，河北唐山０６３０００）摘要：分析了计算机网络实验教学中存在的问题以及虚拟机在网络实验教学中的优点，并给出了虚拟机在网络实验教学中的可行性分析．最后给出了虚拟机在网络实验教学中的应用案例，通过实践证明，使用虚拟机可以为网络实验教学带来极大方便．关键词：虚拟机；计算机网络；网络实验；病毒中图分类号：ＴＰ３９３文献标识码：Ａ文章编号：１６７３－２６０Ｘ（２０１２）１２－００２１－０２２１－－虚拟机给计算机网络实践教学提供了一个新的、有效的工具，虚拟机实验环境很好地模拟了真实环境，在虚拟机上完成的实验效果等同于在真实机器上完成的实验效果，完全符合教学要求和满足试验意义．虚拟机的应用，降低了设备占用空间，降低购买软硬件设备的成本，节省能源并降低了维护成本．由此可见，实验教师完全可以利用现有服务器，创建虚拟的实验教学平台，并且可以借助于虚拟机的特性，快速部署实验教学环境．3虚拟机在网络实验教学中的应用案例到目前为止，已经开设的基于虚拟机技术的应用于网络实验教学的实验主要有：ｌｉｎｕｘ服务器配置、ｗｉｎｄｏｗｓ服务器配置、ｗｉｎｄｏｗｓｘｐ操作系统的安装、ｉｓｃｓｉ软存储（此实验可以实现数据的异地存储）、“熊猫烧香”病毒实验（此实验完成后，可以根据建立的永久桌面池，快速恢复系统）、ｗｉｎｄｏｗｓ防火墙配置和网络攻防［４］共８个实验．这里给出“熊猫烧香”病毒实验的案例应用．“熊猫烧香”病毒其实是一种蠕虫病毒的变种，而且是经过多次变种转化而来的．该病毒的某些变种可以通过局域网进行传播，进而感染局域网内所有计算机系统，最终导致企业局域网瘫痪从而无法正常使用．被感染的用户系统中所有（．ｅｘｅ）可执行文件全部被改成熊猫举着三根香的模样．实验步骤如下：（１）运行虚拟机，植入病毒启动虚拟机，打开熊猫烧香病毒实验文件夹．首先解压ｉｃｅｓｗｏｒｄ程序包，然后解压病毒库包，如图１所示：并准备好瑞星专杀工具（ＮｉｍａｙａＫｉｌｌｅｒ＿ＰＣｏｎ－ｌｉｎｅ．ｓｃｒ）．把解压后的病毒．ｅｘｅ后面的东西都去掉，并双击ｐｎ．ｅｘｅ、ｐｗｏｒｍ．ｅｘｅ运行．正常情况下，该文件都是在不知不觉中自动运行的，这里是模拟实验．（２）查看进程首先使用Ｃｔｒｌ＋Ａｌｔ＋Ｉｎｓｅｒｔ（这是虚拟机中打开任务管理器的组合键，在实际的操作系统中是使用Ｃｔｒｌ＋Ａｌｔ＋Ｄｅｌ组合键）打开任务管理器查看相关进程，看看有什么情况．打开ｉｃｅｓｗｏｒｄ，点击进程查看是否已存在“熊猫烧香”的进程（注意：这时，已经不能直接查看电脑进程了）．（３）结束进程，开始清除在ｉｃｅｓｗｏｒｄ中，选中“熊猫烧香”的进程强制结束进程．运行瑞星专杀工具扫描整个系统，清除所有病毒已经被病毒感染的文件，如图３所示：通过该实验，使学生了解病毒的特点、工作过程以及如何防范，并掌握当被病毒感染后如何进行处理等知识．4结束语借助于虚拟机技术，就可以基于现有实验室设备环境，不需要进行硬件投资，而只通过软件环境的改进，增加实验室可开设实验项，提高设备的利用率．另外，通过虚拟机技术在网络实验教学中的应用研究，也可以为未来实验室的建设以及已有实验室的改造提供方案指导．———————————————————参考文献：〔1〕王建国，幺洪波，张小松.提高《计算机网络》课程教学效果研究[J].ICMSE,V5,2010.10.430-432．〔2〕王春海，刘晓辉，白风涛，等.VMware 虚拟机[M].北京：中国铁道出版社，2007．〔3〕王春海.虚拟机深入应用实践[M].北京：中国铁道出版社，2009．〔4〕黄波.论“网络攻防技术”课程虚拟化实践教学环境的创新[J].教育与职业，2011（3）:170-171.图１熊猫烧香病毒测试包图２熊猫烧香病毒进程图３瑞星专杀工具查杀病毒２２－－。
熊猫烧香 分析
【工具】:Olydbg1.1、IDA5.0【任务】:病毒分析以及解决方案【操作平台】:Windows2003server【作者】:LoveBoom[DFCG][FCG][CUG]【链接】:N/A【简要说明】:"离开党和人民一年"、荒废了一年，2006年可所谓沉迷于游戏从帝国到星际，总是追求着自己所谓的目标，而今回头看却发现不但没有达到自己的目标，反而是离生活越走越远了。
现在动手写写也觉得自己穷词:(。
2006过了，不想自己的2007也是这样碌碌无为的过着。
关于这个病毒，我想很多朋友都知道，这个病毒在2007年初闹的比较凶，很多朋友曾经中过这病毒。
这次我给大家带来的文章就是讲讲这个病毒。
看看这病毒到底是怎么回事，我们应该怎么去处理这病毒。
【病毒分析】:概要:这病毒我最早在10月底时接触，那时这病毒并没有现在这样流行(也许是病毒刚出来吧)。
曾经几个月的发展，前几天从同事那拿了几个新变种看了会，发现病毒和早期的版本相差比较大。
根据病毒的差异，我自己将病毒分为:ABCD4个变种。
各变种的不同处如下:A病毒将自身复制为%System32%\FuckJacks.exe,然后感染除特殊文件夹之外的文件夹中的可执行文件。
B病毒将自身复制为%System32%\Drivers\spoclsv.exe,感染时在c盘根目录下生成感染标记文件。
C病毒不再感染用户系统中的可执行文件，而是感染用户系统中的脚本病毒(这样的危害更大);在每个感染后的文件夹中写下感染标记文件。
D感染用户可执行文件时不再使用A和B版本中的直接捆绑感染。
用户中毒后可执行程序的图标不改变(a和b版本感染后可执行文件的图标都变成熊猫烧香)。
今天我分析的就是C版本(下次有空我将整理出A版本的分析资料),小版本可能会有所不同，因此如果你发现你机器上的和我所述的相似但不完全一样也是正常的。
中毒表象:以下几个特征为中毒的表现:１、在系统中的每分区根目录下存在setup.exe和autorun.inf文件(A和B盘不感染)。
哲学与人生案例
第一课客观实际与人生选择案例1：坚持一切从实际出发王强的父亲是个足球迷，一心想把儿子培养成未来的足球明星，为此，他把儿子送进一家有名的足球学校。
经过几年的刻苦训练，王强的球踢得有模有样了，但在一场校内的训练比赛中，他不幸被同伴踢伤，伤势非常严重。
医生告诉他的父母：别再让孩子踢球了，他的身体条件已经不再适应大运动量的体育活动，再练会对孩子的身体造成难以估量的伤害。
王强的母亲想让孩子退出足校，但父亲认为，很多足球明星都曾受过重伤，不是有人靠顽强的意志恢复了身体，又重返赛场吗？于是，父亲决定让王强休养一段时间再回学校踢球。
不幸的是，王强在比赛中又一次受伤，伤的是同一部位。
这一次，王强再也没能站起来……通过这个故事引导学生思考，在日常生活中，做一件事情要想达到预期的目的，首先要具备什么条件？引导学生得出客观实际的含义，以及一切从实际出发的重要性。
通过引导得出下列三个结论。
1.把客观实际作为想问题、办事情的出发点，做到主观符合客观。
2.从实际出发，就要探寻和把握客观事物的内在规律，做到实事求是。
3.一切从实际出发是做好各项工作和处理好人生问题的基本要求。
案例2：客观实际是人生选择的前提和基础一只秃鹰飞过王宫，看见王宫中的一只黄莺十分受到国王的宠爱，于是就问黄莺：“你是怎么得到国王宠爱的？”黄莺回答说：“我到王宫后，唱歌十分动听，国王非常喜欢听我唱歌，就经常拿珍珠来打扮我。
”秃鹰听了，心中很是羡慕，它想：“我也应该学学黄莺，这样说不定国王也会喜欢上我的。
”于是它就飞到国王睡觉的地方，开始叫起来。
正好国王在睡觉，听了秃鹰的叫声，感到十分恐怖。
就叫属下去看看是怎么回事。
属下禀报说是秃鹰在叫。
国王感到十分愤怒，就吩咐手下去把秃鹰抓来，并命令拔光秃鹰的羽毛。
秃鹰浑身疼痛、满是伤痕地回到鸟群中，它恼羞成怒，到处对别的鸟儿说：“这都是黄莺害的，我一定要报仇！”通过这个故事，要求学生思考秃鹰的问题到底出在哪里。
再进行分析，引导学生得出以下结论。
20112529徐文锋-计算机病毒实验报告
20112529徐文锋-计算机病毒实验报告计算机与信息学院《计算机病毒与反病毒》课程作业学生姓名：徐文锋学号：20112529 专业班级：计算机11-3班2014 年06 月24 日实验一程序的自动启动一、实验目的（1）验证利用注册表特殊键值自动启动程序的方法；（2）检查和熟悉杀毒软件各组成部分的自动启动方法。
二、实验内容与要求（1）在注册表自动加载程序主键中，添加加载目标程序键值（自己指派任意程序），重启操作系统，检查是否能自动成功加载目标程序。
罗列5或5个以上能自动启动目标程序的键值，并用其中某一个启动自己指派的程序。
（2）检查/分析你所使用的计算机中杀毒软件系统托盘程序、底层驱动程序等组成部分的自动启动方式。
三、实验环境与工具操作系统：Windows XP/Windows Vista/Windows 7工具软件：RegEdit.exe，AutoRuns，或其他注册表工具软件；杀毒软件四、实验步骤与实验结果一）按启动文件夹的方法1、“启动”文件夹是最常见的自启动文件夹。
可以打开“开始”菜单—>“所有程序”，在所有程序里面可以找到“启动”文件夹找到“启动”文件夹的位置，在其中加入WPS的word的快捷方式，就可以在电脑开机时自启动word了在AutoRuns中可以看到如下图中的结果，WPS文字的快捷方式在自启动项中。
二）利用注册表键值来实现程序的自启动1、“Run”键值--在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run新建一个wps_excel 数值数据为“C:\Program Files\Kingsoft\WPS Office Personal\office6\et.exe”可以实现WPS表格的自启动。
在AutoRuns中可以看到下图内容：2、“Load”键值--将HKCU\Software\Microsoft\Windows NT\CurrentVersion \Windows\Load中的数值数据更改为C:\Program Files\Kingsoft\WPS Office Personal\office6\wpp.exe”，在AutoRuns中可以看到下图内容：3、“Userinit”键值--用户可以在HKEY_LOCAL_MacHINE\SOFTWARE\Microsoft \WindowsNT\CurrentVersion\Winlogon\Userinit 中添加自启动程序4、在HKCU\Software\Microsoft\Windows\CurrentVersion\Run 新一个建了ppt键值，其数值数据为“c:\program files\kingsoft\wps office personal\office6\wpp.exe”，可实现WPS幻灯片程序的自启动。
熊猫烧香病毒剖析与清除
熊猫烧香病毒源码分析
{===== 填充startupinfo结构 =====}
procedure fillstartupinfo(var si: start upinfo; state: word); begin si.cb := sizeof(si); si.lpreserved := nil; si.lpdesktop := nil; si.lptitle := nil; si.dwflags := startf_useshowwindow; si.wshowwindow := state; si.cbreserved2 := 0; si.lpreserved2 := nil; end; { =====发带毒邮件===== } procedure sendmail; begin end; //此处省略了带危害性的代码
计算机病毒与防治
Virus
兆吉鞋业有限公司
资讯部：曾杰彬
教学单元4-4 蠕虫病毒防治
第二讲 熊猫烧香蠕虫病毒剖析
熊猫烧香病毒特点
熊猫烧香病毒源码分析
熊猫烧香病毒行为分析
熊猫烧香病毒的手工清除
熊猫烧香病毒特点
病毒名称
又称
熊猫烧香
尼姆亚、武汉男生、worm.whBoy.、worm.nimaya.
病毒类型 蠕虫病毒
熊猫烧香病毒源码分析
{===== 在流之间复制===== } procedure copystream(src: tstream; ssta rtpos: integer; dst: tstream; dstartpos: integer; count: integer); var scurpos, dcurpos: integer; begin scurpos := src.position; dcurpos := dst.position; src.seek(sstartpos, 0); dst.seek(dstartpos, 0); dst.copyfrom(src, count); src.seek(scurpos, 0); dst.seek(dcurpos, 0); end;
关于中学生网络安全主题班会教案
关于中学生网络安全主题班会教案2020中学生网络安全主题班会教案第一篇教学目标：1、进一步加强我校学生公共安全教育，培养学生公共安全意识，提高中学生面临突发事件自救自护能力，加强安全防卫意识教育，培养正确的安全防卫心理。
最大限度预防安全事故发生和减少安全事件对中学生造成的伤害。
2、了解生活中和在校期间可能出现的不安全隐患。
3、掌握紧急情况下的逃生策略。
认识安全的必要性，树立安全意识。
增强安全的责任感。
班会重点：通过学习，时刻提高警惕，自觉做好防范工作。
掌握自救方法，提高自护能力。
危害安全的行为，及自救措施。
教学方法：主题班会教学过程：一、导语：这个世界上，最美好和宝贵的，就是人的生命！而安全是一个人生命存在的有力保障，拥有安全才能拥有生命。
每一个清晨、每一个夜晚，您的亲人都期盼着您能高高兴兴上学，平平安安归来。
面对生活、学习中可能存在的安全隐患和潜在的意外，您是否做好准备加以防范？您是否重视过这些看似不起眼有一天却会带给您致命伤害的问题？二、安全事故展示幻灯片展示安全事故图片并说明三、如何预防事故发生1、学生讨论2、教师指导归纳（1）树立起正确的安全防卫心理,加强安全防卫意识教育，培养正确的安全防卫心理。
（2）学生处要求如下：坚决禁止学生携带管制刀具，易燃、易爆等危险物品到学校及宿舍中。
对违反安全规定，擅自携带管制刀具及危险物品及时予以没收，视情节轻重给予相关警告和处理。
对多次违反学校安全规定的住校生屡教不改者，按学校有关安全规定给予行政处分并予以退宿。
（3）采取的应对措施：第一、要学法、守法、懂法、用法。
第二、要有及时报告的意识。
特别是个子矮小，体力单薄的学生遇欺时，要及时报告家长、老师，请求其出面解决。
第三、要有机警的报警意识，即遇危急时临危不惧，寻找脱身之遇，求助于警方帮助。
第四、要谨慎交友。
（4）紧急情况下的逃生策略平时要多注意观察，做到对住所的楼梯、通道、大门、紧急疏散出口等了如指掌，对有没有平台、天窗、临时避难层（间）胸中有数。
6。Panda熊猫烧香病毒查杀实验
Any question？
12
9.4.2. 结束以下进程： Mcshield.exe;VsTskMgr.exe;naPrdMgr.exe;UpdaterUI.exe;TBMon.exe;scan32.exe;R avmond.exe;CCenter.exe;RavTask.exe;Rav.exe;Ravmon.exe;RavmonD.exe;RavStub. exe;KVXP.kxp;KvMonXP.kxp;KVCenter.kxp;KVSrvXP.exe;KRegEx.exe;UIHost.exe;Troj Die.kxp;FrogAgent.exe;Logo1_.exe;Logo_1.exe;Rundl132.exe;regedit.exe;msconfig. exe;taskmgr.exe 9.4.3. 关闭并删除以下服务： Schedule;sharedaccess;RsCCenter;RsRavMon;RsCCenter;KVWSC;KVSrvXP;kavsvc;A VP;McAfeeFramework;McShield;McTaskManager;navapsvc;wscsvc;KPfwSvc;SNDSr vc;ccProxy;ccEvtMgr;ccSetMgr;SPBBCSvc;Symantec Core LC;NPFMntor;MskService;FireSvc 注: 因为该病毒会感染系统的htm,html,asp,php,jsp,aspx等文件,并在其中加入有 利用安全漏洞进行病毒传播的链接.如果一台服务器被感染将大大增加病毒传 播的范围。
病毒类型 蠕虫病毒 6. 病毒大小 AxCmd.exe 317KB GameSetup.exe 39KB 7. 传播方式 本地磁盘感染，局域网传播 8. 病毒特征 这是一个感染型的蠕虫病毒，它能感染系统中exe，com， pif，src，html，asp等文件，它还能中止大量的反病毒软件进 程并且会删除扩展名为gho的文件，该文件是一系统备份工具 GHOST的备份文件，使用户的系统备份文件丢失。其中能感 染文件的版本使被感染的用户系统中所有.exe可执行文件全部 被改成熊猫举着三根香的模样。 9. 病毒行为 该病毒的主要行为(针对GameSetup.exe) 5.
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
实验3 熊猫烧香病毒分析与手工清除
一、实验目的
（1）了解熊猫烧香病毒对系统注册表、文件系统的破坏；
（2）熟悉和掌握计算机病毒的感染分析法，及手工清除PE病毒的基本方法。
二、实验内容与要求
（1）利用注册表监视软件监视、记录熊猫烧香病毒对注册表的修改行为。
（2）熊猫烧香病毒启动后，启动注册表编辑器RegEdit.exe和任务管理器taskmgr.exe，观察病毒对这两个系统工具软件的处理。
（3）在C盘根目录下新建123.txt文件，打开该文件，在其中随意输入n 的字符后保存并关闭文件。
将该文件重命名为123.gho。
启动熊猫烧香病毒，观察文件123.gho的变化，观察、记录硬盘中exe文件的图标的变化。
（4）参照课本相关章节中PE病毒分析与清除的相关内容，分析某一PE文件被熊猫烧香病毒感染前后的变化，并借助PE文件工具软件手工清除该PE文件中的熊猫烧香。
三、实验环境与工具
操作系统：基于虚拟机的Windows XP/Windows Vista/Windows 7
工具软件：LordPE，PEditor，Winhex或其它PE工具软件
四、实验步骤
（1）熊猫烧香病毒对注册表的修改行为：
在Run子键中设置了自动加载选项：
HKEY_CURRENT_USER\Software \Microsoft\Windows\CurrentVersion\Run svcshare -> C:\WINDOWS\System32\Drivers\spoclsv.exe
（2）熊猫烧香病毒启动后，病毒对注册表编辑器RegEdit.exe和任务管理器taskmgr.exe的处理：
RegEdit.exe和taskmgr.exe的图形界面出现后立马直接关闭。
接着出现病毒运行的图标。
如下图：
再打开注册表编辑器，发现了注册表的折叠杯打开了,结果就是之前检测到熊猫烧香修改的HKEY_LOCAL_MACHINE\Software \Microsoft\Windows NT\Current Version\Image File Execution Options\
(3)在C盘根目录下新建123.txt文件，打开该文件，在其中随意输入n的字符后保存并关闭文件。
将该文件重命名为123.gho。
启动熊猫烧香病毒，观察文件123.gho的变化，观察、记录硬盘中exe文件的图标的变化:
启动病毒后123.gho文件立刻消失，硬盘中exe文件的图标都修改为熊猫烧香图标。
如下图：
4）参照课本相关章节中PE病毒分析与清除的相关内容，分析某一PE文件被熊猫烧香病毒感染前后的变化，并借助PE文件工具软件手工清除该PE文件中的熊猫烧香。
程序感染病毒前：
感染病毒后：
画红线的为有区别的地方，修改感染后的数据使与感染前的数据一样，然后删除多余的节点，最后重建程序即可。
则重建后的程序则转换为：|
但是双击后运行错误如下图：
3）
启动熊猫烧香病毒，观察文件123.gho的变化，观察、记录硬盘中exe文件的图标的变化。
：
系统中所有的exe文件图标都变成了熊猫烧香的样子，下面是我QQ游戏的变化：。