今生已矣2006-04-04 14:50:34
(1)杀毒软件到底该怎么用

  关于使用杀毒软件保护系统安全的问题,目前存在着两种极端:一种认为杀毒软件的实时监控会占用大量系统资源,影响系统运行速度,所以干脆不安装任何杀毒软件以换取系统性能;一种则是把计算机安全环境考虑得过于严峻,于是把杀毒软件、防火墙、反木马程序、隐私保护程序一股脑的安装到系统中,惟恐系统保护得不够严密。但草木皆兵不但耗费了大量的系统资源,多少还会影响使用电脑的心情。其实我们完全可以采用功能强大,系统资源占用少的防病毒软件,再加以合理的设置,这样既可以保证系统的安全,又能解决系统资源占用过多的矛盾。
选择优秀的杀毒软件
  功能强大和占用资源少一直是杀毒软件的一对矛盾,好像既要马儿跑,又要马儿不吃草的味道。不过目前的杀毒软件都兼顾到了这两点,如卡巴斯基和江民的KV系列杀毒软件,对于系统内存的占用在大多数情况下只有数百KB到数MB之间,这么少的系统资源消耗对于目前的绝大多数电脑来说都开销得起。
合理设置实时监控
  现有的网络病毒十分猖獗,对安全的威胁来自多方面,这就需要杀毒软件具备多项实时监控能力。以KV2006为例,它的实时监控就包括了文件监视、邮件监视、隐私保护、木马/注册表监视、网页监视等七项(如图1),如果把它们全部打开的话资源消耗自然小不了。一般来说,文件监视和网页监视是必不可少的,而像邮件监视这样的项目,如果很少收发邮件或只使用Web方式收发邮件,完全可以关闭它。其它的监视项目可以根据自己的实际情况来取舍。


优化杀毒速度
  现在的硬盘堪称海量,存储的数据量也十分庞大,杀毒软件全面扫描一次耗时很长(如卡巴斯基),让人觉得等起来很累,这也是许多人不愿意用杀毒软件的原因。其实,只要我们留意一下杀毒软件的选项,就可以发现杀毒速度是可以提高的。
  在KV2006的“江民杀毒软件方案编辑器”中有一个“扫描目标”选项卡(如图2),我们可以把“解压检查”取消,因为软件检查压缩包的耗时非常长。即使压缩包中有病毒,病毒也不会发作,当把病毒解压出来的时候也会被实时监控检测到,对系统安全不会构成威胁。基于同样的道理,我们还可以在“文件过滤”选项中,增加一些扫描排除文件类型,如ISO镜像文件,MPG、AVI等视频文件,MP3等音频文件,JPG等图像文件,这些文件在电脑中为数不少,而带毒的可能性却比较小。经过这样的设置,杀毒软件的扫描速度会得到大幅的提高。



选择合适的查毒时机
  对任何杀毒软件来说,杀毒都是一项费时费力的活儿,而很多杀毒软件在安全上考虑得比较保守,默认设置大都是一天查一次病毒。对普通用户来说,这确实有些多余,一周查一次就足够了。另外,像KV2006和金山毒霸等软件,都具备屏保查毒功能(如图3),我们不妨开启这项功能,让软件在电脑空闲的时候自动查杀病毒,这样可做到工作杀毒两不误。KV2006还有“智能提速”功能,开启该功能后在第一次扫描病毒时会花较多时间,但以后就可以大幅提高扫描速度了,因为杀毒软件会自动跳过一些它认为不会感染病毒的文件,速度自然就快了。


  当然,杀毒软件还有很多个性化的功能,限于篇幅它们的优化设置我们不可能一一涉及,不管怎样,只要我们遵循足够合理的原则,秉持中庸之道,既不“过”,也避免“不及”,就可以让杀毒软件高效地工作,使电脑得到合理的保护。

(2)木马万能查杀法
“木马”程序会想尽一切办法隐藏自己,主要途径有:在任务栏中隐藏自己,这是最基本的办法。只要把Form的Visible属性设为False,ShowInTaskBar设为False,程序运行时就不会出现在任务栏中了。在任务管理器中隐形:将程序设为“系统服务”可以很轻松地伪装自己。当然它也会悄无声息地启动,黑客当然不会指望用户每次启动后点击“木马”图标来运行服务端,“木马”会在每次用户启动时自动装载。Windows系统启动时自动加载应用程序的方法,“木马”都会用上,如:启动组、Win.ini、System.ini、注册表等都是“木马”藏身的好地方。
    下面具体谈谈“木马”是怎样自动加载的。在Win.ini文件中,在WINDOWS]下面,“run=”和 “load=” 是可能加载“木马”程序的途径,必须仔细留心它们。一般情况下,它们的等号后面应该什么都没有,如果发现后面跟有路径与文件名不是你熟悉的启动文件,你的计算机就可能中“木马”了。当然你也得看清楚,因为好多“木马”,如“AOL Trojan木马”,它把自身伪装成 command.exe(真正的系统文件为command.com)文件,如果不注意可能不会发现它不是真正的系统启动文件(特别是在Windows窗口下)。
        在System.ini文件中,在[BOOT]下面有个“shell=文件名”。正确的文件名应该是“explorer.exe”,如果不是“explorer.exe”,而是“shell= explorer.exe程序名”,那么后面跟着的那个程序就是“木马”程序,就是说你已经中“木马”了。注册表中的情况最复杂,通过regedit命令打开注册表编辑器,在点击至:“HKEY-LOCAL-MACHINESoftwareMicrosoftWindowsCurrentVersionRun”目录下,查看键值中有没有自己不熟悉的自动启动文件,扩展名为EXE,这里切记:有的“木马”程序生成的文件很像系统自身文件,想通过伪装蒙混过关,如“Acid Battery v1.0木马”,它将注册表“HKEY-LOCAL-MACHINESO FTWAREMicrosoftWindowsCurrentVersionRun”下的Explorer键值改为Explorer= “C:WINDOWSexpiorer.exe”,“木马”程序与真正的Explorer之间只有“i”与“l”的差别。当然在注册表中还有很多地方都可以隐藏“木马”程序,如:“HKEY-CURRENTUSERSoftwareMicrosoftWindowsCurrentVersionRun”、“HKEY-USERS****SoftwareMicrosoftWindowsCurrentVersionRun”的目录下都有可能,最好的办法就是在“HKEY-
  LOCAL-MACHINESoftwareMicrosoftWindowsCurrentVersionRun”下找到“木马”程序的文件名,再在整个注册表中搜索即可。

  知道了“木马”的工作原理,查杀“木马”就变得很容易,如果发现有“木马”存在,最有效的方法就是马上将计算机与网络断开,防止黑客通过网络对你进行攻击。然后编辑win.ini文件,将[WINDOWS]下面,“run=“木马”程序”或“load=“木马”程序”更改为“run=”和“load=”;编辑system.ini文件,将[BOOT]下面的“shell=‘木马’文件”,更改为:“shell=explorer.exe”;在注册表中,用regedit对注册表进行编辑,先在“HKEY-LOCAL-MACHINESoftwareMicrosoftWindowsCurrentVersionRun”下找到“木马”程序的文件名,再在整个注册表中搜索并替换掉“木马”程序,有时候还需注意的是:有的“木马”程序并不是直接 将“HKEY-LOCAL-MACHINESoftwareMicrosoftWindowsCurrentVersionRun”下的“木马”键值删除就行了,因为有的“木马”如:BladeRunner“木马”,如果你删除它,“木马”会立即自动加上,你需要的是记下“木马”的名字与目录,然后退回到MS-DOS下,找到此“木马”文件并删除掉。重新启动计算机,然后再到注册表中将所有“木马”文件的键值删除。至此,我们就大功告成了。

  发现病毒, 无法清除怎么办?


  Q:发现病毒,但是无论在安全模式还是Windows下都无法清除怎么办?

  A:由于某些目录和文件的特殊性,无法直接清除(包括安全模式下杀毒等一些方式杀毒),而需要某些特殊手段清除的带毒文件。以下所说的目录均包含其下面的子目录。

  1、带毒文件在Temporary Internet Files目录下。

  由于这个目录下的文件,Windows会对此有一定的保护作用(未经证实)。所以对这个目录下的带毒文件即使在安全模式下也不能进行清除,对于这种情况,请先关闭其他一些程序软件,然后打开IE,选择IE工具栏中的"工具""Internet选项",选择"删除文件"删除即可,如果有提示"删除所有脱机内容",也请选上一并删除。

  2、带毒文件在_Restore目录下,或者System Volume Information目录下。

  这是系统还原存放还原文件的目录,只有在装了Windows Me/XP操作系统上才会有这个目录,由于系统对这个目录有保护作用。对于这种情况需要先取消"系统还原"功能,然后将带毒文件删除,甚至将整个目录删除也是可以的。 关闭系统还原方法。WindowsMe的话,禁用系统还原,DOS下删除。XP关闭系统还原的方法:右键单击“我的电脑”,选“属性”--“系统还原”--在“在所有驱动器上关闭系统还原”前面打勾--按“确定”退出。

  3、带毒文件在.rar、.zip、.cab等压缩文件中。

  现今能支持直接查杀压缩文件中带毒文件的反病毒软件还很少,即使有也只能支持常用的一些压缩格式;所以,对于绝大多数的反病毒软件来说,最多只能检查出压缩文件中的带毒文件,而不能直接清除。而且有些加密了的压缩文件就更不可能直接清除了。

  要清除压缩文件中的病毒,建议解压缩后清除,或者借助压缩工具软件的外挂杀毒程序的功能,对带毒的压缩文件进行杀毒。

  4、病毒在引导区或者SUHDLOG.DAT或SUHDLOG.BAK文件中。

  这种病毒一般是引导区病毒,报告的病毒名称一般带有boot、wyx等字样。如果病毒只是存在于移动存储设备(如软盘、闪存盘、移动硬盘)上,就可以借助本地硬盘上的反病毒软件直接进行查杀;如果这种病毒是在硬盘上,则需要用干净的可引导盘启动进行查杀。

  对于这类病毒建议用干净软盘启动进行查杀,不过在查杀之前一定要备份原来的引导区,特别是原来装有别的操作系统的情况,如日文Windows、Linux等。

  如果没有干净的可引导盘,则可使用下面的方法进行应急杀毒:
  (1) 在别的计算机上做一张干净的可引导盘,此引导盘可以在Windows 95/98/ME系统上通过"添加/删除程序"进行制作,但要注意的是,制作软盘的操作系统须和自己所使用的操作系统相同;
  (2) 用这张软盘引导启动带毒的计算机,然后运行以下命令:
  A:>fdisk/mbr
  A:>sys a: c:
  如果带毒的文件是在SUHDLOG.DAT或SUHDLOG.BAK文件中,那么直接删除即可。这是系统在安装的时候对硬盘引导区做的一个备份文件,一般作用不大,病毒在其中已经不起作用了。

  5、带毒文件的后缀名是.vir、.kav、.kbk等。

  这些文件一般是一些防毒软件对原来带毒的文件做的备份文件,一般情况下,如果确认这些文件已经无用了,那就将这些文件删除即可。

  6、带毒文件在一些邮件文件中,如dbx、eml、box等。

  有些防毒软件可以直接检查这些邮件文件中的文件是否带毒,但往往不能对这些带毒的文件直接的进行操作,对于一些邮箱中的带毒的信件,可以根据防毒软件提供的信息找到那带毒的信件,删除信件中的附件或者删除该信件;如果是eml、nws一些信件文件带毒,可以用相关的邮件软件打开,确认该信件及其附件,然后删除相关内容。一般有大量的eml、nws的带毒文件的话,都是病毒自动生成的文件,建议都直接删除。

  7、文件中有病毒的残留代码。

  这种情况比较多见的就是带有CIH、Funlove、宏病毒(包括Word、Excel、Powerpoint和Wordpro等文档中的宏病毒)和个别网页病毒的残留代码,通常防毒软件对这些带有病毒残留代码的文件报告的病毒名称后缀通常是int、app等结尾,而且并不常见,如W32/FunLove.app、W32.Funlove.int。一般情况下,这些残留的代码不会影响正常程序的运行,也不会传染,如果需要彻底清除的话,要根据各个病毒的实际情况进行清除。

  8、文件错误。

  这种情况出现的并不多,通常是某些防毒软件将原来带毒的文件并没有很干净地清除病毒,也没有很好的修复文件,造成文件无法正常使用,同时造成别的防毒软件的误报。这些文件可以直接删除。

  9、加密的文件或目录。

  对于一些加密了的文件或目录,请在解密后再进行病毒查杀。     

  10、共享目录。

  这里包括两种情况:本地共享目录和网络中远程共享目录(其中也包括映射盘)。遇到本地共享的目录中的带毒文件不能清除的情况,通常是局域网中别的用户在读写这些文件,杀毒的时候表现为无法直接清除这些带毒文件中的病毒,如果是有病毒在对这些目录在写病毒操作,表现为对共享目录进行清除病毒操作后,还是不断有文件被感染或者不断生成病毒文件。以上这两种情况,都建议取消共享,然后针对共享目录进行彻底查杀,恢复共享的时候,注意不要开放太高的权限,并对共享目录加设密码。对远程的共享目录(包括映射盘)查杀病毒的时候,首先要保证本地计算机的操作系统是干净的,同时对共享目录也有最高的读写权限。如果是远程计算机感染病毒的话,建议还是直接在远程计算机进行查杀病毒。特别的,如果在清除别的病毒的时侯都建议取消所有的本地共享,再进行杀毒操作。在平时的使用中,也应注意共享目录的安全性,加设密码,同时,非必要的情况下,不要直接读取远程共享目录中的文件,建议拷贝到本地检查过病毒后再进行操作。

  11、光盘等一些存储介质。

  对于光盘上带有的病毒,不要试图直接清除,这是神仙也做不到的事情。同时,对另外一些存储设备查杀病毒的,也需要注意其是否处于写保护或者密码保护状态。
张朴的爹2006-04-24 03:05:26
回复:『分享』雕虫小技请指教。