[攻防手记]菜鸟也手动杀毒之初级篇

    病毒的一般的操作是：

    自我复制：在C:\WINDOWS\，c\windows\system32,以及C到F盘中释放一个病毒程序（EXE文件）。
    自启动：
    1）在C到F盘的目录里面释放autorun.inf 文件（自启动文件）。。
    2）把自身添加到注册表的开机启动里面。
    3）把快捷方式添加到 开始-程序-启动 里面（现在很少使用，老试的病毒常用）。
    4）注册成为服务。
    窃取信息或远程控制：木马和后门要开启网络，来传递私密信息和实现远程控制。
    破坏性动作：蠕虫病毒一般做写破坏性动作。象以前的冲击波，CHI等。

    病毒的一般性操作知道了，那我们对证下药清除病毒！！！

    如果怀疑自己中了病毒。因该确认下是否真的中了病毒以及病毒在那里。（杀毒的时候最好进入安全模式下，以免正常模式里病毒成功启动后对我们的查毒工作妨碍。）

    先判断是否有AUTORUN文件：
    打开资源管理器，选工具-文件夹选项。切换到察看选项卡。在隐藏文件或文件夹里选，显示所有文件和文件夹。如图1所示，确定后 打开你所拥有的所有盘（列如C盘到F盘）看看是否有名字类似AUTORUN的文件（注意是类似不是一定是那个名字。因为可能有别的名字，但都包含AUTORUN字眼。如果有用计事本打开他，方法是：右击那个文件。打开方式-选择程序。然后从列表中选择计事本，确定，就可以了。

    [autorun]
    open=bingdu.exe
    shell\1=打开
    shell\1\Command=bingdu.exe
    shell\2\=Open
    shell\2\Command=bingdu.exe
    shellexecute=bingdu.exe

    其中bingdu.exe是病毒程序，名称可能不同，也有可能是类似abcd\bindu.exe的路径，但是我们可以定位病毒文件。
这里方法很简单，找到病毒程序，并且删除之。然后删除autorun文件。顺便告诉大家免疫的方法，自己用计事本建立一个空的autorun文件，然后设置成只读。每个目录都做一个，这样以后病毒就做不了用AUTORUN文件的自启动了。

    注意：每个盘都要察看是否有AUTORUN文件，如果有都按照上面的方法清除。然后我们来看是否有开机自启动。

    按开始-运行，输入msconfig回车。出现如图2的系统配制实用程序。

    图2

    选启动，察看启动项目是否有自己所未设置过的自启动，我的只有一个INTERNAT项目，要是有把就把前面的钩去掉，怀疑是病毒的项目记下后面的“位置”项目。如c:\windows\xxx.exe 找到那个文件，然后删除之。如果遇到类似于HKCU\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\等值就说明这个病毒是用注册表启动。
解决方法是按开始-运行 输入regedit 回车打开注册表编辑器。找到相应的值双击那个值就会出现一个路径如图3所示，按路径找到相应的程序删除之。然后删除刚才的那个值。接下来察看开始-程序-启动里面有没有东西。如果有删除之。一般QQ在这里，要是保持QQ开机自启动就不要删除了。