呵呵,情况跟我现在的公司差不多,如果条件能转正1500以上我就跳
$ F% C; F& d/ O要做网管首先要对付病毒,如最近比较疯狂的病毒,很多公司,个人都中了这个号称"毒王"的病毒0 }" @, T- r$ q0 l& x3 e* _$ h
病毒名称：Worm.WhBoy.h / t9 m; r$ b# N2 s% L8 b
病毒中文名：熊猫烧香
, T0 S$ |; E1 J/ U% D- F. L 病毒类型：蠕虫
" u/ x) b+ u( {* g & \2 H( `3 c$ J% d
危险级别：★★★★★
5 L9 b5 |% t) `+ m) v5 y
- u4 w- g: ?6 U1 Y; Q4 a; t 影响平台：Win 9x/ME,Win 2000/NT,Win XP,Win 2003
' W* _ u# ]0 Z9 p9 v s 9 u- P. ]5 s; J! ~
专杀工具：金山专杀工具 安天专杀工具 江民专杀工具 3 J1 l5 u! B; O9 G
7 z* Z5 U8 a+ `( \6 O6 f$ D. ]& f 病毒描述： . X2 I: z0 U9 G# j- q. c) @) c4 b
) [6 A$ }) Y0 h “武汉男生”，俗称“熊猫烧香”，这是一个感染型的蠕虫病毒，它能感染系统中exe，com，pif，src，html，asp等文件，它还能中止大量的反病毒软件进程并且会删除扩展名为gho的文件，该文件是一系统备份工具GHOST的备份文件，使用户的系统备份文件丢失。被感染的用户系统中所有.exe可执行文件全部被改成熊猫举着三根香的模样。( G* X. ~ U; `, s: O
补充： rar等压缩文件也会被感染6 X3 k$ T) W. |; i
& a& X. P9 _8 V+ E& a- W3 k- N 感染病毒后的截图：
" N1 X, g' x- P, i& A. D9 h- |/ P( V O% {% o- R& b( ^5 P
★注意★: S/ k" u+ l& ], P' C
2000系统的系统目录为 C:\WINNT& J: \6 ^; q3 ]* F6 s
XP系统的则是 C:\WINDOWS
. C* ]: `+ `' P( ]* [ 以下涉及到的都是 2000系统中的系统目录，如果你是XP系统，请自己将 WINNT改为WINDOWS+ m( {% r$ K$ H8 I
& j1 U; k9 \' {6 \( O1 M$ U ★病毒的启动原理：& f0 }$ H6 u9 O8 N, |" a$ l
: ^0 j4 I7 X3 |. K( X
首先，它在 C:\WINNT\system32\drivers目录下建立了一个
& C* s: z, C. ^0 D' A' ^; N "spo0lsv.exe"文件，o是英文字母，0是数字，伪装成正常的系统打印服务"spoolsv.exe"并实现开机的加载。; _5 |8 {4 h# |1 d* Y
* L3 n$ y9 P! N5 [6 k9 A8 M
第二，有些机器会有与以前的U盘病毒一样的特征，每个盘双击打开会运行病毒的程序。原理是在每个盘比如C盘根目录下建立两个隐藏文件 setup.exe 和 autorun.inf
0 m w; x9 c- s2 T( L. n1 e autorun.inf这个文件实在是变态，它本来是用来实现“光盘的自动播放”功能。你自己随便在哪个盘建立一个该文件，哪怕是空的，也会造成该盘会被认为是自动运行盘，病毒只要在里面写上一句短短的病毒程序路径，双击该盘图标就会运行这个autorun.inf文件，从而达到运行病毒的目的。
+ e A: W/ j- L$ i & u: ~$ ?! W* R A" }. o1 S% L+ c- ~" W
" U' X! h4 ^( r3 n" O9 e# ? autoruns.exe 是一个国外的优秀启动项目检查和设置工具，小巧但功能全面。我们下面就要使用它来进行“熊猫烧香”病毒的手动分析、清除。所有病毒的启动原理都差不多，学会一两个病毒的查杀，以后碰见新病毒，说不定就能派上用场。6 Q5 J# Q: h' B8 [ E
1 w- S2 r( `- ~: w9 f/ J 软件截图：
% F( d V# n0 N8 o! x0 R+ q4 ^1 F4 p) \6 j
首先，我们重启机器，按 f8 键进入安全模式。
5 B, Z- K$ p; }! l “安全模式”停用了大部分的系统服务和第三方服务。比如“熊猫烧香”病毒，进入安全模式后是不会启动的，除非你在安全模式下运行了感染该病毒的文件。/ w: ?, o: X: j5 m
而且，由于该病毒每秒都穷举所打开软件的标题和内容，如果含有“杀毒软件、进程、专杀”等等对它不利的关键字，就会马上关闭该窗口。比如常用的“进程管理器”一打开就马上被关闭掉了。我常推荐的“超然进程管理器”也是一样，所以这个案例我暂时不使用它。
! F* K9 |+ G; _, K# @$ K( b3 w 8 A$ p# w0 k$ u5 m( e4 l
网上有人居然提出“在进程管理器被关闭之前，迅速的把spo0lsv.exe进程关闭”这个愚蠢的办法....相信能在1秒的时间里在一堆进程列表里找到这个进程并关闭它的人，不太多。! y! h7 J d# }
/ A, j/ M( D( w
好了，进入安全模式。
9 O9 _% a P. Y7 C5 {; c 运行下载好的autoruns.exe，不管它是否也已被病毒感染，我们看到的界面如上图所示，我们需要关注的内容是“登录”和“服务”两项。6 Q8 Z( V& K+ L2 Y
0 X' [( N6 m; [0 w/ a0 A
其中“登录”一栏截图如下：
# m' Y7 }; ^$ ]% G: P/ v# n ( M6 i: d/ V- R, m
5 N+ A) l: H8 F9 d 如上图所示，在 HKLM\SOFTWARE\Microsoft\windows\currentversion\run键下面，有5个列表，除了 ATICC是该机器的ATI显卡控制面板程序外， 8\cmdbcs\iect1v142wyy\RavMonHelp这4个启动项都是病毒产生的文件。3 D) G H4 x6 f0 l; _1 m
在列表的右边，有对应的文件详细路径，分别是：9 [" u6 f6 W3 V7 u
C:\WINNT\alga.exe; J0 T9 Z% e' M* J6 `. @9 E
C:\winnt\rx.exe6 n7 J0 \/ @5 ~& {
c:\winnt\iexpl0re.exe (l为字母，0为数字)( x) q" Y& ^% ^% ]6 y* S* G
C:\WINNT\my.exe' s6 u! @" s% B7 Q
2 g: [+ A1 P5 I5 _/ ]: ^
在HKCU\software\microsoft\windows\currentversion\run下有2个列表，其中 internat是键盘输入法管理程序， svcshare光看图标就知道是熊猫烧香的病毒了。 9 @! ^. J! g+ `- H6 a- A2 {6 A4 S
它的详细路径是：
$ v& m- Y3 E3 {( x) t C:\winnt\system32\drivers\spo0lsv.exe (o是字母，0是数字）
5 U+ S0 u- o0 |$ _1 R6 b6 g0 M, r
* K7 T; [# [4 ~+ s9 V 我们把这5个病毒的启动项前面的勾去掉，并记下路径，也可以在后来再次打开autoruns来查看。- C9 M" B. n1 E
6 V' G c- m- w$ N, {5 W8 g
接着来看“服务”一栏下部分（上部分在第二个图）里的启动项，如图：. m z c% D' D" R+ ]) U
* M; Y8 X( M% j( M- H9 d
8 Y; P/ f2 M5 J* j 上周中了viking(威金)9 X- @3 w/ W9 u, w. L, L$ J
和这个原理上差不多: |) i/ L0 C2 C; x4 K9 u4 L
( G# c' b$ r1 \+ t- T, S 找到这几个病毒文件的启动项后，我们需要做的就是，把这几个启动项前面的勾取消掉。& f1 x' {3 s! h
7 m* N1 X7 F0 _6 U3 i* e' D
在”登录“一栏应该取消的是
' u& m- `2 L- @- b/ @5 f: \6 b) _( x 8\cmdbcs\iect1v142wyy\RavMonHelp这4个启动项
9 _' y% M( h9 g* ~ 对应的文件详细路径，分别是：
+ C& Q' ~% I6 m+ B! b, \ C:\WINNT\alga.exe* r( v: q, A X {& y) z
C:\winnt\rx.exe0 x3 A0 P, Q% @. t( C# H
c:\winnt\iexpl0re.exe (l为字母，0为数字)
5 M( Q9 B6 e4 W9 e5 H2 Z# a; }# y. F C:\WINNT\my.exe" y7 Y' J& B8 G8 f' ~3 S6 W
- ~) j0 l( U9 }5 o) K" i. ]" C$ A6 a 如图：: b r O. d1 g$ m# V j
$ H3 ?7 H- J7 _! e8 z5 O# N5 _
: X2 L( K# v, p" S& W3 {2 w$ w% [ u! ? / m/ l& }$ a/ O! b$ t
服务里应该取消的，如图：) N1 I, ], X4 |' z; o
% y/ a7 L* m1 W; @7 ^# ^
! @: p. i8 s; _. e) u0 O$ i+ Y; G
将这几个启动项前面的勾取消后，如果你运行过感染病毒的文件，先别干别的，重启机器。相反的话，你运行“任务管理器”如果没被强行关闭，那么可以不重启机器，直接进行下步操作- l+ F9 _! M! x, T- o" P, F
因为 C:\winnt\system32\drivers\spo0lsv.exe可能已经运行，且没有办法停止它，也就无法删掉它。只有重启后，由于启动项被取消，它不会被启动，才能被删除。
4 M# V( l3 |& f. q8 {4 p* u
4 r: x3 R1 P, y# V 开始-运行-输入cmd 回车，运行命令行。 如图：
f$ o$ ?, @2 R! K1 `
& K* D+ I! z8 _
+ ^9 }/ \$ i7 q
0 @* B) ~ h M8 q 这里，恐怕要说明一下命令行的几个dos命令了。! u9 W: v0 a* M! O# k. J8 k+ H
2 O0 ]- m l+ o: Q" f% D
我们先"cd \winnt" 回车 (意思是，无论当前目录是什么，进入到“\"符号代表的所在盘的根目录下的WINNT目录，如果是 "CD \"则是返回到根目录)4 E- h) q; \5 T8 @) N) _" a7 m: N
8 T* { `$ A2 h* e( ?
再输入 "attrib -s -h -r"回车，这是取消当前目录所有文件的s系统h隐藏r只读属性。 （本来可以在”我的电脑“工具-文件夹选项-查看里设置显示系统和隐藏文件，但熊猫烧香病毒好象动了手脚，设置不起作用，所以只好用命令行来了）
% F9 B6 G4 i) I2 w + \, l4 b2 ^6 y+ T) L5 M9 ?; A9 d U
再用 "del 文件名"的方式将WINNT目录下的4个-5个病毒文件删掉。5 e7 i1 {5 x7 X. x1 V
" [; e3 e: J. ?: _3 R E
; h8 @+ M5 b) U; {9 }: Y% j补充，可能winnt目录下还有个病毒文件 feige.exe，用del feige.exe命令删除它。: v& z8 N6 _6 P4 @8 N! i
9 G1 l% J4 m3 G n* c) L" I q3 ~+ N2 e+ c% e
再删除以下三个病毒文件1 V5 v k) M4 ` E; E M# W% N( S$ }
% |6 I' X. f7 p+ B; X! d+ g" y6 b 如图：
& ^' P3 E- ^+ C/ P; X# z. G
% a. g2 w/ B/ ~3 r% }& z9 p
2 w, d/ e& d* Y A* l
! `. R4 S2 r. c I 另外，前面还有提到，病毒可能在每个盘的根目录产生两个隐藏文件setup.exe/autorun.inf，同样，用命令行方式先进入该盘，去除目录下的隐藏等属性，再删除
! H4 X. V2 Z6 v9 U# q
: I) r, @9 \, ~7 P J$ ]' G! v
# H" k7 R6 N: f+ P5 v/ k. { 6 G# v( r& l& [; p. ]/ K
1 B" W) Y. ^4 r( Y
: C" q$ I" r q s, J
然后，病毒的源头已经没了。' A$ }7 T1 x4 G3 o6 L
这并不是万事大吉了的。记得吗？还有很多已经被病毒感染的文件存在着呢。. P: k% Z* K8 O
对于一般疯狂创建文件的病毒来说，我们或许可以手动把病毒文件直接删除，但”熊猫烧香“却不能这样处理。它是采用感染计算机上已经存在的文件的方式来传播的，也许它感染的是你最重要最重要的一个文件--------"A片"...呵呵，我们当然不能直接把文件也删除。手工将病毒从染毒文件里剥离出来也不现实，怎么办？还是那句老话：2 h. v- g' Z4 A* c/ ?1 H! `" ?+ E
再手工的，也得用到工具。; D0 w: P* {" c" M3 ]% v. J
! s% p! X9 d; V
我们学习的整个步骤，是一般病毒的常用自启动和隐藏方式，对于已经感染病毒的文件，是无能为力的。这时，杀毒软件和专杀工具就派上用场了。
8 s% b0 l7 u5 k* x4 P # h% o F! U" ^5 A8 A8 F
+ V+ p/ J" f' G4 P. j8 T0 X$ f下一个专杀工具清除病毒吧。) S8 J5 s- [" |9 m
5 [, ~2 P8 N7 ^' T* T! f
+ S9 R7 s) a; T' p' Y# _
最后，我可以很肯定很肯定的告诉大家，很多病毒，包括有人提到的WOWEXEC病毒，我前几天也是使用autoruns和windows自带的任务管理器、服务管理器帮别人手工搞定的（最近我见过的80%以上的病毒，几乎都使用了系统服务作为隐藏自己和启动自己的方式）。也就是说，学习到如何分析病毒隐藏、启动这个知识，再加点经验，应付再厉害的病毒，大多都是可以解决的。
; G7 }5 D# @' c2 _% y9 ]% O0 U
% g- v/ P# U7 X% e1 C& k$ S# U. j' H
[ 本帖最后由 28computer 于 2007-1-22 09:37 编辑 ]
