常在河邊走，哪能不濕鞋。經(jīng)常在網(wǎng)絡(luò)上游走的人們，與病毒、木馬等惡意程序的“邂逅”，也是一件無(wú)奈的“榮耀”之事。對(duì)于這些不期而遇的木馬、病毒們，我們?nèi)绾尾拍茏R(shí)破它們的陰謀詭計(jì)，將它們一網(wǎng)打盡呢？

　　利用殺毒工具雖然有時(shí)可以實(shí)現(xiàn)這一要求，但面對(duì)著這些經(jīng)常“推陳出新”的惡意程序，主動(dòng)防御式的殺毒工具們并不能把它們逐一“殲滅”。為此，我們不妨選擇一款“防守反擊”大師“Wsyscheck”，讓它引領(lǐng)我們將病毒、木馬清掃出門(mén)。相關(guān)精彩文章謹(jǐn)防"小木馬"和"游戲追擊手"兩變種小心郵件傳播病毒和游戲盜號(hào)木馬

　　一.辨清進(jìn)程去“殺馬”

　　眾所周知，許多病毒、木馬都是以進(jìn)程的形式“鑲嵌”在系統(tǒng)中，并且它們還會(huì)隱藏和偽裝自己。采用服務(wù)驅(qū)勸的方式，利用一種叫做Rootkit的技術(shù)，對(duì)自身的服務(wù)進(jìn)行隱藏，使它們的破壞能力得以發(fā)揮。

　　不過(guò)，這一切在遇到“Wsyscheck”后，它們的“隱身衣”便會(huì)不幸升級(jí)為“皇帝的新裝”：無(wú)論是普通的木馬、病毒，還是采用Rootkit技術(shù)的高級(jí)惡意程序，都會(huì)在“Wsyscheck”面前原形畢露。

　　1.驗(yàn)證正常進(jìn)程

　　該工具為綠色工具，無(wú)需安裝即可使用。運(yùn)行“Wsyscheck.exe”后開(kāi)啟程序主界面。

　　在該主界面中，單擊“進(jìn)程管理”選項(xiàng)卡，便會(huì)顯示出當(dāng)前系統(tǒng)中所有處于運(yùn)行狀態(tài)的進(jìn)程（圖1）。

　　

　　在進(jìn)程列表中，我們看到進(jìn)程名稱(chēng)上有三種不同的顏色顯示，那么這又代表什么呢？

　　黑色顯示的進(jìn)程為正常的系統(tǒng)進(jìn)程，它表現(xiàn)當(dāng)前進(jìn)程絕對(duì)安全，對(duì)于這部分進(jìn)程， 我們無(wú)需關(guān)注；紅色顯示的進(jìn)程表示為第三方程序進(jìn)程，在這其中，既有健康無(wú)害的進(jìn)程，也有可能存在木馬、病毒等有害進(jìn)程。

　　通常，我們可以簡(jiǎn)單地通過(guò)進(jìn)程名稱(chēng)來(lái)辨明木馬、病毒。一些木馬、病毒會(huì)起著與系統(tǒng)進(jìn)程完全一樣或類(lèi)似的名稱(chēng)，比如SVCHOST.exe為正常的系統(tǒng)進(jìn)程，而當(dāng)某個(gè)進(jìn)程為SVCH0ST.exe，即將數(shù)字“0”來(lái)替代英文字母“O”時(shí)，便要格外留意了。

　　除了上述方法外，還可通過(guò)進(jìn)程列表中的映像路徑列表、文件廠商名稱(chēng)來(lái)判斷。如某些病毒、木馬會(huì)主動(dòng)將進(jìn)程路徑選擇為系統(tǒng)所在目錄，讓用戶(hù)誤將它認(rèn)為是正常的系統(tǒng)進(jìn)程。

　　小提示：?jiǎn)螕暨M(jìn)程列表的某個(gè)進(jìn)程名稱(chēng)，可以底部的模塊框內(nèi)顯示出與之相關(guān)的模塊路徑。

　　　　2.明辨DLL文件

　　在進(jìn)程列表中，我們還發(fā)現(xiàn)一種以紫色顯示的進(jìn)程，它又是什么呢？其實(shí)它也是系統(tǒng)進(jìn)程。只是與黑色顯示的進(jìn)程相比，這種進(jìn)程的身上還安插著一些“第三者”，也就是第三方程序所加載的DLL文件和驅(qū)動(dòng)。

　　正因?yàn)檫@些系統(tǒng)進(jìn)程可以讓第三方程序的DLL、驅(qū)動(dòng)駐留，才使得它們成為木馬、病毒們的侵犯目標(biāo)。既然進(jìn)程中的DLL文件有可能是木馬程序，那么我們還是選擇來(lái)為其驗(yàn)明正身吧！

　　步驟1 單擊進(jìn)程列表中某個(gè)以紫色顯示的系統(tǒng)進(jìn)程，如IEXPLORE.EXE，在下方的模塊窗口中會(huì)顯示出所有與之相關(guān)的DLL文件（圖2）。

　　

　　這些DLL文件共有兩種顏色顯示，分別是黑色和紅色。其中黑色是正常的系統(tǒng)DLL文件，而紅色則是加載第三方模塊的DLL文件，也就是紅色的DLL文件就很可能就是某個(gè)木馬的DLL文件。

　　步驟2 如果希望僅顯示紅色的DLL文件，那么只要依次選擇主菜單“文件→模塊簡(jiǎn)潔顯示”命令即可。當(dāng)再次選擇系統(tǒng)進(jìn)程時(shí)，在模塊框內(nèi)就會(huì)顯示出所有紅色的DLL文件（圖3）。

　　

　　在辨識(shí)這些DLL文件是否為木馬文件時(shí)，因?yàn)樵谀K框有“模塊路徑”和“文件廠商”這兩個(gè)字段名稱(chēng)，所以作為普通用戶(hù)同樣可以通過(guò)這兩個(gè)字段名稱(chēng)去判斷。

　　步驟3 此外還能夠通過(guò)查看文件屬性這一途徑來(lái)實(shí)現(xiàn)。比如在IEXPLORE.EXE內(nèi)駐留一個(gè)名為snagitbho.dll的動(dòng)態(tài)鏈接庫(kù)文件。此時(shí)可以其上單擊鼠標(biāo)右鍵，選擇右鍵菜單上的“文件屬性”命令，在彈出的對(duì)話框中單擊“版本”選項(xiàng)卡，即可查看到snagitbho.dll的“真實(shí)身份”，為判定是否為木馬留下寶貴的線索（圖4）。

　　

　　小提示：在判明木馬程序后，在其上單擊鼠標(biāo)右鍵，選擇右鍵菜單上的“卸載模塊并刪除文件”命令，就能將木馬清除；對(duì)于一些啟動(dòng)后仍能重新生成的木馬，可選擇快捷菜單上的“添加至DOS刪除列表”命令，這樣在系統(tǒng)重啟后會(huì)自動(dòng)刪除木馬程序。

　　二.用服務(wù)控制木馬

　　木馬、病毒們除了可以利用進(jìn)程這個(gè)通道外，有些木馬為了免遭殺毒軟件的查殺，經(jīng)常將自己搖身一變，偽裝成系統(tǒng)服務(wù)讓其隨系統(tǒng)啟動(dòng)自動(dòng)運(yùn)行，從而不知不覺(jué)地長(zhǎng)久控制著用戶(hù)機(jī)器。因此對(duì)付此類(lèi)性質(zhì)的木馬，不妨利用“Wsyscheck”的“服務(wù)管理”功能。

　　步驟1 單擊主界面上的“服務(wù)管理”選項(xiàng)卡，即可在開(kāi)啟的頁(yè)面中看到有黑色、紅色、紫色三種顏色標(biāo)識(shí)的服務(wù)名稱(chēng)（圖5）。

　　

　　其中顯示黑色的服務(wù)為正常的系統(tǒng)服務(wù)，我們無(wú)需過(guò)問(wèn)。不過(guò)若對(duì)某些服務(wù)有所懷疑，可在選擇該服務(wù)后單擊鼠標(biāo)右鍵，選擇快捷菜單上的“檢驗(yàn)微軟文件的簽名”來(lái)驗(yàn)證；顯示紫色、紅色的服務(wù)都表示是帶有來(lái)自第三方的服務(wù)，此時(shí)仍然可以通過(guò)右鍵菜單上的“文件屬性”來(lái)判斷是否為木馬服務(wù)。

　　步驟2 若確信為木馬服務(wù)，那么可將其選中后，選擇右鍵菜單上的“停止服務(wù)”或“禁用”命令，將其中止或禁用。

　　步驟3 然后選擇“刪除選中的服務(wù)”命令，這樣就能夠刪除該服務(wù)在注冊(cè)表中的鍵值，令其無(wú)法啟動(dòng)；當(dāng)然，如果選擇“刪除選中的服務(wù)與文件”命令，還能夠徹底刪除木馬服務(wù)及對(duì)應(yīng)的文件，令其再無(wú)作惡的可能。

　　小提示：針對(duì)重啟后仍能“復(fù)活”的服務(wù)程序，選擇“添加到DOS刪除列表”即可將其根治。

　　三.通過(guò)端口覓得木馬

　　目前，許多木馬都會(huì)通過(guò)監(jiān)聽(tīng)電腦上一些特別端口的方法，將有用的信息告訴給控制方，以便控制方從中獲悉自己所需的內(nèi)容。根據(jù)這個(gè)特點(diǎn)，我們只需查探自己的電腦是否有異常的端口活動(dòng)，就能夠確定是否有木馬存在。

　　由于木馬大都會(huì)選擇一些特殊端口進(jìn)行監(jiān)聽(tīng)活動(dòng)，比如3210，3333，6267等，假如我們發(fā)現(xiàn)這些特殊端口已經(jīng)被使用，那么很可能你的電腦已經(jīng)被木馬所侵占了。

　　在“Wsyscheck”中查看活動(dòng)端口的方法很簡(jiǎn)單。只要單擊“安全檢查”選項(xiàng)卡，在下方展開(kāi)的選項(xiàng)頁(yè)面中選擇“端口狀態(tài)”，就能夠查看到當(dāng)前系統(tǒng)的正在通訊的本地端口和遠(yuǎn)程端口號(hào)（圖6）。

　　

　　如果在這些端口號(hào)中恰好存在著所熟知的木馬特殊端口，那么十之八九你的系統(tǒng)已經(jīng)被木馬“套牢”。因此在查看了對(duì)應(yīng)的程序名稱(chēng)和進(jìn)程“PID”號(hào)后，再轉(zhuǎn)至“Wsyscheck”的“進(jìn)程管理”頁(yè)面，找到與“PID”相對(duì)應(yīng)的進(jìn)程，再按上述方法對(duì)木馬進(jìn)行的“解套”操作即可。

　　小提示：PID即進(jìn)程ID號(hào)，也就是系統(tǒng)進(jìn)程的唯一編號(hào)，通過(guò)這個(gè)編號(hào)可以查找到與之對(duì)應(yīng)的進(jìn)程名稱(chēng)。

　　除了上述查找木馬、病毒的方法外，利用“Wsyscheck”還可以查看注冊(cè)表鍵值的改動(dòng)情況、對(duì)注冊(cè)表及文件進(jìn)行管理、檢測(cè)IE安全、檢查和修復(fù)被第三方DLL破壞的Winsock等操作。因篇幅所限，故在此不再多做敘述，對(duì)此感興趣的朋友不妨一試。