搜索

[9172] 2015-07-27_有工具了，如何快速发现Windows中毒（含工具下载）

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-17
2015-07-27_有工具了，如何快速发现Windows中毒（含工具下载） 有 工 具 了 ， 如 何 快 速 发 现 W i n d o w s 中 毒 （ 含 工 具 下 载 ） F r e e B u f   2 0 1 5 - 0 7 - 2 7 微 信 号 ： 微 信 号 ： f r e e b u f 本 文 是 之 前 《 没 有 外 部 工 具 ， 如 何 快 速 发 现 本 文 是 之 前 《 没 有 外 部 工 具 ， 如 何 快 速 发 现 W i n d o w s 中 毒 了 》 的 姊 妹 篇 ， 探 讨 中 毒 了 》 的 姊 妹 篇 ， 探 讨 W i n d o w s 电 脑 感 染 多 种 典 型 病 毒 后 ， 在 电 脑 感 染 多 种 典 型 病 毒 后 ， 在 没 有 专 业 杀 毒 软 件 情 况 下 的 快 速 检 测 方 法 。 没 有 专 业 杀 毒 软 件 情 况 下 的 快 速 检 测 方 法 。 P r o c e s s   E x p l o r e r 这 个 工 具 就 像 c t r l   +   a l t   +   d e l e t e ， 而 最 新 版 则 可 以 支 持 提 交 运 行 程 序 散 列 到 V i r u s T o t a l 用 于 识 别 功 能 。 想 要 开 启 它 ， 你 需 要 去 视 图 （ V i e w ） → 选 择 列 （ S e l e c t   C o l u m n s ） ， 然 后 查 看 V i r u s T o t a l   b o x 继 续 选 择 选 项 （ O p t i o n ） → V i r u s T o t a l . c o m → 检 测 （ C h e c k ） V i r u s T o t a l . c o m 并 选 择 同 意 条 款 。 很 明 显 ， 你 需 要 有 一 个 活 跃 的 网 络 链 接 。 而 想 要 找 到 问 题 ， 只 需 要 查 看 V i r u s T l t a l 列 中 红 色 评 级 的 部 分 。 A u t o r u n s A u t o r u n s   f o r   W i n d o w s   是   M a r k   R u s s i n o v i c h   和   B r y c e   C o g s w e l l   开 发 的 一 款 软 件 ， 它 能 用 于 显 示 在   W i n d o w s 启 动 或 登 录 时 自 动 运 行 的 程 序 ， 并 且 允 许 用 户 有 选 择 地 禁 用 或 删 除 它 们 ， 例 如 那 些 在 “ 启 动 ” 文 件 夹 和 注 册 表 相 关 键 中 的 程 序 。 选 择 选 项 按 钮 → 扫 描 功 能 → 检 查 V i r u s T o t a l . c o m 然 后 单 击 重 新 扫 描 。 已 知 的 病 毒 会 以 高 于 0 检 测 率 的 水 平 弹 出 ， 即 使 病 毒 没 有 被 识 别 出 ， 还 是 很 容 易 通 过 一 些 奇 怪 的 名 称 或 者 红 色 警 戒 提 示 而 发 现 他 们 ， 如 下 图 所 示 。 M a n d i a n t   S h i m C a c h e   ( A p p C o m p a t   C a c h e )   P a r s e 这 个 小 工 具 因 为 通 过 命 令 行 以 及 快 速 为 我 提 供 运 行 文 件 名 单 而 帮 我 节 省 了 大 量 的 时 间 ， 注 意 如 果 没 有 使 用 新 的 e x e ， 这 个 方 法 可 能 不 会 显 示 以 非 . e x e 起 始 的 中 毒 文 件 ， 例 如 w o r d 文 档 垃 圾 邮 件 。 有 时 输 出 日 期 可 能 看 起 来 有 些 奇 怪 ， 但 是 总 的 来 说 它 有 助 于 快 速 发 现 病 毒 感 染 时 间 ， 让 你 有 机 会 回 到 日 志 中 把 事 件 重 新 梳 理 一 遍 。 打 开 管 理 员 命 令 提 示 符 并 输 入 以 下 内 容 ： r e g   e x p o r t   " H K E Y _ L O C A L _ M A C H I N E S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l S e s s i o n   M a n a g e r A p p C o m p a t C a c h e "   s h i m c a c h e . r e g 然 后 把 你 存 放 M a n d i a n t 脚 本 的 文 件 解 析 出 来 ：
p y t h o n   s h i m c a c h e p a r s e r . p y   - o   o u t p u t . c s v   - r   s h i m c a c h e . r e g 这 将 生 成 输 出 一 个 . c s v 文 件 ， 你 应 当 按 日 期 或 者 文 件 夹 名 称 排 序 ， 然 后 分 析 那 些 名 称 奇 怪 的 可 执 行 文 件 。 特 别 值 得 注 意 的 是 ， 用 户 临 时 、 桌 面 以 及 下 载 的 文 件 ， 这 些 都 是 我 经 常 发 现 有 中 毒 的 地 方 。 通 常 人 们 会 下 载 一 些 垃 圾 邮 件 e x e ， 在 桌 面 运 行 然 后 放 一 些 东 西 到 应 用 数 据 、 本 地 、 临 时 文 件 中 。 这 结 果 应 该 是 显 而 易 见 的 ， 因 为 同 时 会 有 存 在 问 题 名 称 的 几 个 条 目 。 U s e r A s s i s t 这 个 工 具 可 以 查 询 W i n d o w s 被 浏 览 器 执 行 的 文 件 列 表 。 这 个 简 单 工 具 可 以 来 用 运 行 以 及 形 象 化 的 检 查 输 出 ， 发 现 任 何 奇 怪 的 地 方 了 吗 ？ 这 里 有 一 个 我 从 P a y l o a d   S e c u r i t y 中 找 到 的 感 染 实 例 。 P r o c e s s   H a c k e r 类 似 于 P r o c e s s   E x p l o r e r 以 及 其 他 同 样 的 东 西 ， 但 是 我 最 喜 欢 P r o c e s s   H a c k e r 的 一 个 功 能 就 是 标 记 恶 意 程 序 的 过 程 非 常 迅 速 。 关 闭 所 有 的 程 序 ， 然 后 在 视 图 菜 单 中 检 查 “ H i d e   S i g n e d   P r o c e s s e s ” ， 经 常 这 么 做 会 让 列 表 中 仅 剩 下 恶 意 执 行 文 件 。 （ 在 P r o c e s s E x p l o r e r 中 这 么 操 作 ： 选 项 → 验 证 图 像 签 名 ， 然 后 查 看 是 否 签 署 ） 。 这 里 有 个 恶 意 软 件 的 例 子 。 P r o c e s s   H a c k e r 同 时 附 带 了 一 个 你 所 能 找 到 的 最 优 秀 的 程 序 杀 手 ， 点 击 进 程 ， 单 击 杂 项 （ M i s c e l l a n e o u s ） → 终 结 者 （ T e r m i n a t o r ） 。 这 个 功 能 将 会 尝 试 越 来 越 多 疯 狂 的 事 情 ， 包 括 将 垃 圾 信 息 写 到 内 存 中 。 分 析 提 示 分 析 提 示 在 P r o c e s s   E x p l o r e r 中 ， 右 键 单 击 一 个 进 程 ， 打 开 属 性 然 后 选 择 标 签 的 字 符 串 。 或 者 ， 在 P r o c e s s   H a k c e r 中 ， 右 键 单 击 恶 意 进 程 ， 选 择 属 性 → 内 存 选 项 卡 → 单 击 字 符 串 按 钮 → 单 击 默 认 值 O K 。 你 会 获 得 来 自 内 存 运 行 进 程 中 的 字 符 串 ， 几 乎 总 是 包 括 了
命 令 和 控 制 地 址 ， 告 诉 你 该 屏 蔽 以 及 回 调 的 内 容 或 类 型 。 在 以 上 恶 意 软 件 中 ， 你 能 看 到 多 个 I P 地 址 ， 以 及 这 样 一 个 事 实 ： 这 将 至 少 尝 试 一 个 H T T P   P O S T 请 求 ， 或 者 看 起 来 像 的 什 么 东 西 。 你 将 拥 有 一 个 简 易 的 输 入 / 输 出 控 制 器 ， 用 于 寻 找 是 否 有 其 他 人 感 染 了 相 同 病 毒 。 （ 获 取 工 具 下 载 链 接 ， 请 阅 读 原 文 ） * 参 考 来 源 ： 9 0 9 r e s e a r c h ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理