病毒手動查殺Windows操作系統(tǒng)下的病毒windows操作系統(tǒng)是一個極度依賴注冊表運行的操作系統(tǒng)，其內(nèi)部所有程序的啟動都依賴于注冊表。病毒，一段惡意的程序。由以上兩點可以得出windows操作系統(tǒng)中的病毒的啟動也一定會在注冊表中留下痕跡。結(jié)論：手動殺毒無非是修改被病毒修改了的注冊表，使得病毒無法自動運行，達到保護計算機系統(tǒng)和資料的目的。手動查殺病毒的目標(biāo)控制病毒：修改被病毒修改了的注冊表，使得病毒無法自動運行，達到保護計算機系統(tǒng)和資料的目的。完全清除病毒：在控制病毒的基礎(chǔ)上，把病毒的源程序找到完全刪除。（病毒可能有很多備份，所以完全刪除比較困難）病毒樣本本次使用的病毒樣本來自于一個殺毒軟件的病毒測試包。病毒類型：木馬——Troj.Agent2文件名：17..exe特點：生命力極其頑強，一旦中招，極難徹底殺死。特別提示：病毒查殺測試前的準(zhǔn)備首先，病毒查殺、測試等具有一定危險性的操作最好在虛擬機中操作。其次，為了方便的觀察和檢測病毒，在測試前當(dāng)為虛擬機創(chuàng)建為中毒前的快照，以便快速恢復(fù)測試環(huán)境。最后，當(dāng)前有大量的網(wǎng)絡(luò)病毒，在測試前應(yīng)關(guān)閉虛擬機的網(wǎng)卡，如進行多個虛擬機聯(lián)合測試，需使用與當(dāng)前宿主機物理網(wǎng)絡(luò)無關(guān)的虛擬網(wǎng)絡(luò)。中毒癥狀1桌面被修改成如圖所示，且右鍵→屬性，顯示屬性中的主題、桌面選項卡中的設(shè)置項無法使用、或使用后不生效。切每次注銷，啟動，重啟后背景色會變動。中毒癥狀2打開任務(wù)管理器時，提示任務(wù)管理器以被管理員禁用，打開命令行時，命令行被強制關(guān)閉，切彈出英文提示框，bat文件執(zhí)行現(xiàn)象同命令行。且rar壓縮文件不能執(zhí)行。病毒程序漏洞經(jīng)多次測試，發(fā)現(xiàn)該程序只能對一個命令行進行監(jiān)控，即當(dāng)不理會提示框的情況下打開第二個命令行時，第二個命令行將不被強行關(guān)閉，且可以正常使用。查找病毒啟動項使用msconfig命令打開系統(tǒng)配置實用程序，打開啟動項選項卡后可以看到2個smss32.exe的啟動項。smss(SessionManagerSubsystem)是會話管理子系統(tǒng)用以初始化系統(tǒng)變量。至于smss32.exe是什么想必大家也都能猜到。↑啟動項名稱↑被執(zhí)行文件路徑 ↑注冊表記錄仔細(xì)觀察會發(fā)現(xiàn)2個smss32被在了注冊表的2個不同的地方殺毒要刪除病毒文件首先必須關(guān)閉病毒文件的進程，即需要查看任務(wù)管理器。通過命令行regedit打開系統(tǒng)注冊表，將注冊表展開到[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System]

找到“DisableTaskmgr”并將其值設(shè)置為0任務(wù)管理器被解鎖！通過任務(wù)管理器，將smss32.exe進程關(guān)閉后，進入windows\system32將smss32.exe文件刪除，且在原處創(chuàng)建文件夾smss32.exe并進入命令行，到當(dāng)前目錄下執(zhí)行attrib+s+rsmss32.exe進行手動文件免疫，以免改文件被再次生成。進入windows\system32將winlogon32.exe刪除。啟動SREngLdr.exe軟件，啟動項目會自動跳出該注冊表鍵值被修改，是否需要修復(fù)。KEY_LOCAL_MACHINE\Software\Microsoft\WINDOWSNT\CurrentVersion\Winlogon\Userinit鍵值為：C:\WINDOWS\system32\winlogon32.exewinlogon32.exe為啟動病毒。正常的值為Ｃ:\WINDOWS\system32\Userinit.exe接下來就是恢復(fù)桌面了\HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\\HKCU\SOFTWARE\Microsoft\Windows\CurrentVersio