第六讲系统安全与病毒防护

第六讲系统安全与病毒防护曾凡光本讲问题Q1、什么是病毒？列出几种常见病毒。Q2、如何更好地预防计算机病毒？Q3、如何进行DOS和安全模式下的杀毒？Q4、简述Attrib命令的使用。Q5、如何查看和终止进程？Q6、怎样用msconfig命令使负担沉重的系统减负？Q7、怎样制作U盘DOS启动盘？Q8、怎样制作杀毒U盘？一、系统安全基本常识二、如何更好地预防计算机病毒入侵三、如何干净地清除病毒四、如何进行DOS和安全模式下的杀毒五、手工杀毒的几个基本操作六、典型案例一、系统安全基本常识1、什么是计算机病毒病毒是一种程序。有独特的复制能力，具有传染性，又常常难以根除。它们能把自身附着在各种类型的文件上。当文件被复制或从一个用户传到另一个用户时，它们就随文件一起蔓延开来。

所以,计算机病毒就是能够通过某种途径潜伏在计算机存储介质（或程序）里,当达到某种条件时即被激活的具有对计算机资源进行破坏作用的一组程序或指令集合.

常见病毒：木马、蠕虫、广告软件（Adware)、间谍软件(Spyware)、浏览器劫持软件等。2、计算机安全注意事项尽量不要在网上留下证明自己身份的资料。尽量不要把自己的隐私资料通过网络传输.不要轻信网上流传的消息，尤其是中奖消息。如果涉及到金钱交易、商业合同、工作安排等重大事项，不要仅仅通过网络完成。不要轻易浏览不良网站.不要轻易安装共享软件、盗版软件.如果给浏览器安装插件，尽量从浏览器提供商的官方网站下载。使用具有破坏性功能的软件，如硬盘整理、分区软件等，一定要仔细了解它的功能之后再使用，避免因误操作产生不可挽回的损失。二、如何更好地预防计算机病毒有病治病，无病预防。为了减少病毒的侵扰，平时应做到“三打三防”。

“三打”就是安装新的计算机系统时，要注意打系统补丁，震荡波一类的恶性蠕虫病毒一般都是通过系统漏洞传播的，打好补丁就可以防止此类病毒感染；用户上网的时候要打开杀毒软件实时监控，以免病毒通过网络进入自己的电脑；玩网络游戏时要打开个人防火墙，防火墙可以隔绝病毒跟外界的联系，防止木马病毒盗窃资料。“三防”就是防邮件病毒，用户收到邮件时首先要进行病毒扫描，不要随意打开电子邮件里携带的附件；防木马病毒，木马病毒一般是通过恶意网站散播，用户从网上下载任何文件后，一定要先进行病毒扫描再运行；防恶意“好友”，现在很多木马病毒可以通过MSN、QQ等即时通信软件或电子邮件传播，一旦你的在线好友感染病毒，那么所有好友有可能遭到病毒的入侵。三、如何干净地清除病毒

1、在安全模式或纯DOS模式下清除病毒.

当计算机感染病毒的时候，绝大多数的感染病毒的处理可以在正常模式下彻底清除病毒。但有些病毒由于使用了更加隐匿和狡猾的手段，往往会对杀毒软件进行攻击甚至是删除系统中的杀毒软件，针对这样的病毒绝大多数的杀毒软件都被设计为在安全模式可安装、使用、执行杀毒处理。

在安全模式（SafeMode）或者纯DOS下进行清除清除时，对于现在大多数流行的病毒，如蠕虫病毒、木马程序和网页代码病毒等，都可以在安全模式或DOS下杀毒（建议用干净软盘启动杀毒）。而且，当计算机原来就感染了病毒，那就更需要在安装反病毒软件后（升级到最新的病毒库），在安全模式（SafeMode）或者纯DOS下清除一遍病毒！安全模式杀毒流程开机或重启电脑——进入安全模式——调用杀毒软件——查杀病毒DOS模式杀毒流程开机或重启电脑——进入DOS模式——在DOS下调用杀毒软件——查杀病毒如何进入安全模式启动过程中按下F8键是最传统也是最常用的方法：当我们打开电脑电源，硬件完成自检之后，立刻按下键盘上的F8键，你将看到如图1所示的界面。这里列出了很多高级启动选项。在此安全模式又分为几种，一般情况下我们选择进入普通的安全模式即可。除了这种最常用的方法外，在计算机启动时按住Ctrl键不放，也可以以“安全模式”启动系统。如何进进入DOS模式制作DOS启动盘盘和DOS杀毒盘盘用DOS启动光光盘由启动动选项项进DOS用虚拟软软驱U盘启动动盘USBOOT1.7简介U盘杀毒毒简介介由启动动选项项进DOS由虚拟拟软驱驱进DOS制作杀杀毒U盘现在许许多的的杀毒毒软件件都具具有制制作杀杀毒U盘的功功能，，下面面以瑞瑞星为为例，，做个个杀毒毒U盘。瑞星杀杀毒软软件2007版：系系统中中已安安装了了瑞星星杀毒毒软件件2007版，点点击““开始始→程程序→→瑞星星杀毒毒软件件→瑞瑞星工工具→→瑞星星U盘杀毒毒工具具”菜菜单项项，按按照制制作向向导，，选择择“U盘驱动动器””，过过程很很简单单，这这里就就不多多说了了，复复制病病毒库库到U盘完成成。完完成后后就可可以用用U盘进行行DOS下的杀杀毒了了。别的杀杀毒软软件也也都有有制作作杀毒毒U盘的功功能，，制作作方法法也比比较简简单，，用法法也都都类似似，大大家可可以到到网上上查找找相关关介绍绍。2、在\TemporaryInternetFiles目录下下带毒毒文件件的清清理由由于于Windows会对这这个目目录下下的文文件有有一定定的保保护作作用，，所以以这里里的带带毒文文件即即使在在安全全模式式下也也不能能进行行清除除，对对于这这种情情况，，请先先关闭闭其他他一些些程序序软件件，然然后打打开IE，选择择IE工具栏栏中的的"工具"\"Internet选项"，选择择"删除文文件"删除即即可，，如果果有提提示"删除所所有脱脱机内内容"，也请请选上上一并并删除除。3、在\_Restore目录下下，*.cpy文件中中的带带毒文文件这这是是系统统还原原存放放还原原文件件的目目录，，只有有在装装了WindowsMe/XP操作系系统上上才会会有这这个目目录，，由于于系统统对这这个目目录有有保护护作用用，因因此对对于这这种情情况需需要先先取消消“系系统统还原原””功功能（（我的的电脑脑—属性）），然然后将将带毒毒文件件删除除。4、加密密的文文件或或目录录对对于一一些加加密了了的文文件或或目录录，请请在解解密后后再进进行病病毒查查杀。。5、对U盘等存存储介介质的的杀毒毒需注意意介质质是否否处于于写保保护状状态。。四、常常用DOS命令简简介DIRCDDELFDISKFORMATSYSATTRIBTASKLISTTASKKILLDIR:显示一一个目目录下下的文文件和和子目目录，，是DOS中使用用最广广泛的的命令令之一一。。参参数：：/P：在每每个信信息屏屏幕后后暂停停；/W：用宽宽列表表格式式；用法1、dir/w用法2、dir/p用法3、dir/w/pCD：显示示当前前目录录名或或改变变当前前目录录CD是DOS中使用用频率率最高高的命命令之之一。。主要要是为为了快快速切切换到到另一一盘符符或目目录中中，例例如““CDG:Temp”可以快快速跳跳转到到“G:Temp””目录，，使用用“CD..””可以退退回到到上一一级目目录，，而使使用““CD\”可以快快速返返回当当前盘盘的根根目录录中。。DEL：删除除文件件DEL命令可可以删删除一一个或或数个个指定定的文文件（（但无无法删删除文文件夹夹），，如果果键入入“DEL*.*”命令将将会删删除当当前路路径下下所有有文件件，系系统会会给出出确认认提示示框请请求确确认。。如果果你想想删除除文件件夹的的话，，可以以使用用DELTREE命令，，这是是一条条外部部命令令。FDISK：硬盘盘分区区这这是是一个个极其其危险险的DOS命令，，它的的作用用是对对硬盘盘进行行分区区，使使用后后将丢丢失硬硬盘中中所有有的文文件。。新手手不要要轻易易使用用这条条命令令。FORMAT：高级级格式式化无无论是是硬盘盘还是是软盘盘，都都必须须进行行高级级格式式化后后才能能使用用，FORMAT命令的的功能能就是是高级级格式式化磁磁盘，，如果果加上上/s参数可可以制制作系系统盘盘，加加上/Q参数可可执行行快速速格式式化。。SYS：传递递系统统文件件除除了了使用用FORMAT/S命令来来制作作系统统盘外外，我我们也也可以以使用用SYS命令来来传递递系统统文件件，例例如““C:>SYSA:””就是将将C盘的系系统文文件传传递到到A盘，这这在安安装了了多操操作系系统的的计算算机上上恢复复系统统文件件时特特别有有用。。五、手手工杀杀毒的的几个个基本本操作作手工杀杀毒的的基本本程序序：查查看进进程→→发现现病毒毒及可可疑进进程→→终止止进程程→清清理病病毒及及可疑疑进程程→(注册表表中清清理相相关信信息)运用任任务管管理器器查看看进程程信息息Attrib命令查看和和终止止进程程运用任任务管管理器器查看看进程程信息息怎样显显示PID信息：：查看看—选择列列--PIDAttrib命令attrib设置文文件属属性［［用法法］attrib显示所所有文文件的的属性性attrib+r或-r[文件名名]设置文文件属属性是是否只只读attrib+h或-h[文件名名]设置文文件属属性是是否隐隐含attrib+s或-s[文件名名]设置文文件属属性是是否系系统文文件attrib+a或-a[文件名名]设置文文件属属性是是否归归档文文件attrib/s设置包包括子子目录录的文文件在在内的的文件件属性性查看和和终止止进程程tasklist和taskkilltasklist能列出出所有有的进进程，，和相相应的的信息息,tasklist/svc显示哪哪些进进程为为系统统所用用。taskkill能查杀杀进程程，语语法很很简单单：taskkill/PID[程序的的ID]+命令参参数。。其中中参数数/f表示强强制关关闭，，/t表示指指定终终止与与父进进程一一起的的所有有子进进程，，常被被认为为是““树终终止””，同同时会会显示示父进进程和和各个个子进进程的的PID。也可以以用另另一种种命令令格式式：taskkill/im进程名名+命令参参数六、典典型案案例如何解解决双双进程程木马马双击硬硬盘不不能打打开浏览器器被劫劫持的的一个个实例例案例一一：查查杀双双进程程木马马某电脑脑中了了某木木马，，通过过任务务管理理器查查出该该木马马进程程为““system.exe””，终止止它后后再刷刷新，，它又又会复复活。。进入入安全全模式式把c：\windows\system32\system.exe删除，，重启启后它它又会会重新新加载载，怎怎么也也无法法彻底底清除除它。。从此此现象象来看看，中中的应应该是是双进进程木木马。。这种种木马马有监监护进进程，，会定定时进进行扫扫描，，一旦旦发现现被监监护的的进程程遭到到查杀杀就会会复活活它。。而且且现在在很多多双进进程木木马互互为监监视，，互相相复活活。因因此查查杀的的关键键是找找到这这“互互相依依靠””的两两个木木马文文件。。借助助任务务管理理器的的PID标识可以以找到木木马进程程。调出Windows任务管理理器，首首先在““查看→→选择列列”中勾勾选“PID(进程标识识符)”，这样返返回任务务管理器器窗口后后可以看看到每一一个进程程的PID标识。这这样当我我们终止止一个进进程，它它再生后后通过PID标识就可可以找到到再生它它的父进进程。启启动命令令提示符符窗口，，执行““taskkill/t/pid/f”命令,可以看到到这次终终止的进进程的PID，和它归归属的父父进程的的PID。返回任任务管理理器，通通过查询询进程PID找出父进进程的进进程名（（如internet.exe等），，这就是是木马进进程的父父进程。。找到了元元凶就好好办了，，重新启启动系统统进入安安全模式式，使用用搜索功功能找到到木马进进程及其其父进程程，然然后将它它们删除除即可。。前面无无法删除除system.exe，主要是是由于没没有找到到其父进进程(且没有删删除其启启动键值值)，导致重重新进入入系统后后internet.exe复活木马马。案例二、、双击硬硬盘不能能打开原因：病病毒在驱驱动器下下面写入入了一个个AutoRun.inf文件。解解决方方法：(以D盘为例)：

开始始---运行---cmd（打开命命令提示示符）D:\>dir/a（没有参参数A是看不到到的，A是显示所所有的意意思）此此时你你会发现现一个autorun.inf文件attribautorun.inf-s-h-r去掉autorun.inf文件的系系统、只只读、隐隐藏属性性，否则则无法删删除autorun.inf，delautorun.inf到这里还还没完，，还需要要清除注注册表中中相关信信息：开开始始——运行——regedit———编辑——查找"autorun"找到的第第一个就就是D盘的自动动运行，，删除整整个shell子键（注注意：删删的时候候一定要要是shell这个子健健，如果果查找的的是别的的项或子子键，一一定不要要乱删！！）完完毕。。小结：手手工杀毒毒步骤找出病毒毒进程及及其父、、子进程程（进程程管理器器、百度度等）找到病毒毒进程所所在位置置（搜索索计算机机）在安全模模式中予予以清除除（也可可在正常常模式下下先结束束进程后后再予以以清除））,或者在DOS状态下解解决.案例三、、浏览器器被劫持持的一个个实例症状原来的IE图标被删删，换成成这个仿仿冒的。。注意这个个IE图标是internatexplorar正常的应应该是internetexplorer。双击这个个图标，，弹出下下面的窗窗口.用IE伴侣无法法修复，，找IE属性又找找不到。。解决方法法：1、根据地地址栏的的地址C:\ProgramFiles\Haozip\002\58，找到对对应的文文件夹,将该文件件夹删除除。如果果能用注注册表编编辑器把把里边关关于这个个地址栏栏的项目目删除干干净效果果更好。。2、打开C:\ProgramFiles\InternetExplorer，把里边边的IE图标发个个桌面快快捷方式式。3、删除仿仿冒IE图标。4、进行IE设置。小资料：：“开始始——运行”命命令集锦锦gpedit.msc-----组策略sndrec32-------录音机Nslookup-------IP地址侦测测器explorer------