Windows系统进程攻防演练

magic_kok

电脑启动后，在系统中如果需要打开一个软件，系统便会在后台加载相应的进程，进程是系统或应用程序的一次动态执行。简单地说，它是操作系统当前运行的执行程序，因此一个软件可能只有一个进程，也有可能同时有两个以上的进程在执行。
一、关闭进程和重建进程
对于一些安全高手来说，查看系统进程有无异常，可以快速判断出系统是否存在安全隐患。安全高手们都是怎样查看系统进程的呢？对于该关闭的进程如何禁用？禁用后如何新建此进程？

请注意,该文转自《2007-2008电脑报增刊》

                               
登录/注册后可看大图

    全面涵盖2007～2008年电脑热点  确保你与时俱进的IT应用指南
                  全新上市
2007-2008电脑报增刊      连续6年发行量超越170万大关
权威IT大报《电脑报》一流品质保障
● 6大微软正版软件工具包
● 12款总价值360元实用正版软件
● 33大最新最火热点专题
● 2000余条电脑应用秘籍
● 400万电脑报读者厚爱

4重超值大礼包
1  360元12款实用正版软件
2  安全卫士360（自带免费半年的卡巴斯基正版序列号）
3  以298元的优惠价格购买市值617元的杀毒防黑套装（卡巴斯基KIS6.0 + AVG Anti-Spywaree反间谍软件）
4  寄回“读者调查表”，就有机会获得ACDSee、译典通、HyperSnap三款软件的正版序列号
400万读者的选择你不容错过
全套定价：50.00元（单册定价25.00元，含1CD）
全国300多个城市开通了快递送货上门服务，足不出户即可享受书友会安全、快捷、优质的服务。网上购物： http://www.itbook.com.cn/
电话：023-63658956 63659874 63658888-12057

1.关闭进程
以Windows XP为例，同时按下“Ctrl+ Shift+Del”组合键来启动Windows任务管理器，从“进程”选项中，我们可以看到进程列表，要关闭进程，只要点击相应的进程，然后单击右下角的“结束进程”即可关闭。但是有的进程关闭要注意，比如关闭Explorer.exe进程，由于该进程是Windows程序管理器或者windows资源管理器，它用于管理windows图形壳，包括开始菜单、任务栏、桌面和文件管理。删除该程序会导致Windows图形界面无法使用，鼠标也没有响应。如果盲目地关闭了这个进程，该怎么办呢？要解决这个问题，就需要用到新建进程。

                               
登录/注册后可看大图

Windows任务管理器
2.重建进程
首先在“Windows任务管理器”窗口中，依次单击“文件→新建任务（运行…）”菜单。在打开的“创建新任务”对话框中，输入“Explorer.exe”进程名称并单击“确定”按钮继续。

                               
登录/注册后可看大图

新建进程
稍后，桌面环境恢复，桌面上的图标将显示出来，鼠标的操作也将响应，新建进程后系统马上“还原”了。
二、查看进程的发起程序
除了靠自己的经验来判断外，到底有没有其他办法识别出哪些进程是恶意进程！在黑客防范中，安全高手们常常通过“进程”来了解系统是否存在各种安全隐患。在发现了危险的进程后，关闭进程就可以暂时终止掉相应的程序运行。但是，这样无疑是不能斩草除根的解决方法。那么，进程到底是由哪个程序运行时引发的呢？如果查出进程发起的程序或文件是什么，不就可以更彻底地解决问题了吗？以查看“Svchost”这个进程是由哪个程序发起为例，可以通过以下步骤来实现：
在“命令提示符”窗口中，输入并执行“Netstat –abnov”命令，在接着反馈的信息中，就可以看到每个进程发起的程序或文件列表。这里你就可以根据相关知识判断是否为病毒和木马发起的程序。

                               
登录/注册后可看大图

查看进程的发起程序

magic_kok

三、关闭任务管理器杀不了的进程
发现任务管理器的进程列表中有一些可疑进程，用任务管理器却无法杀掉，该怎么办呢?　Windows XP/2000的任务管理器是一个非常有用的工具，能让你看到系统中正在运行哪些程序(进程)，只要你平时多看任务管理器中的进程列表，熟悉系统的基本进程，就可以随时发现可疑进程，这对防范木马和病毒大有帮助。
1.哪些系统进程不能关掉
Windows运行的时候，会启动多个进程。只要你按下“Ctrl+Alt+Del”键打开任务管理器，点击“查看”选择列，勾选“PID(进程标识符)”，然后单击“进程”标签，即可看到这些进程。不过有一些进程个人用户根本用不到，例如Systray.exe(显示系统托盘小喇叭图标)、Ctfmon.exe(微软Office输入法)、WinAMPa.exe等，我们完全可以禁止它们，这样做并不会影响系统的正常运行。
2.关闭任务管理器杀不了的进程
如果你在任务管理器中无法关闭某个可疑进程，可以使用下面的方法强行关闭，注意不要杀掉进程表中的系统核心进程:
（1）使用Windows XP/2000自带的工具
从Windows 2000开始，Windows系统就自带了一个用户态调试工具Ntsd，它能够杀掉大部分进程，因为被调试器附着的进程会随调试器一起退出，所以只要你在命令行下使用Ntsd调出某进程，然后退出Ntsd即可终止该进程，而且使用Ntsd会自动获得Debug权限，因此Ntsd能杀掉大部分的进程。
操作方法:单击“开始→程序→附件→命令提示符”，输入命令:ntsd -c q -p PID(把最后那个PID，改成你要终止的进程的PID)。在进程列表中你可以查到某个进程的PID，例如我们要关闭Explorer.exe进程，输入:ntsd -c q -p 408即可。
以上参数-p表示后面跟随的是进程PID， -c q表示执行退出Ntsd的调试命令，从命令行把以上参数传递过去就行了。
（2）使用专门的软件来杀进程
任务管理器杀不掉的进程，你可以使用专门的软件关闭。有很多软件可以杀进程，例如进程杀手、IceSWord、柳叶擦眼、系统查看大师、Kill process等。
四、查看隐藏进程和远程进程
请注意,该文转自《2007-2008电脑报增刊》

                               
登录/注册后可看大图

    全面涵盖2007～2008年电脑热点  确保你与时俱进的IT应用指南
                  全新上市
2007-2008电脑报增刊      连续6年发行量超越170万大关
权威IT大报《电脑报》一流品质保障
● 6大微软正版软件工具包
● 12款总价值360元实用正版软件
● 33大最新最火热点专题
● 2000余条电脑应用秘籍
● 400万电脑报读者厚爱

4重超值大礼包
1  360元12款实用正版软件
2  安全卫士360（自带免费半年的卡巴斯基正版序列号）
3  以298元的优惠价格购买市值617元的杀毒防黑套装（卡巴斯基KIS6.0 + AVG Anti-Spywaree反间谍软件）
4  寄回“读者调查表”，就有机会获得ACDSee、译典通、HyperSnap三款软件的正版序列号
400万读者的选择你不容错过
全套定价：50.00元（单册定价25.00元，含1CD）
全国300多个城市开通了快递送货上门服务，足不出户即可享受书友会安全、快捷、优质的服务。网上购物： http://www.itbook.com.cn/
电话：023-63658956 63659874 63658888-12057

在系统任务管理器中，除了一些我们可以看得见的进程外，还有一些隐藏进程是我们不能直接看到的，而这些进程就有可能是病毒木马。但是进程都看不见，那怎么知道有没有木马呢？对付非常规的进程，我们当然要采用非常规的手段。
1．查看隐藏进程
查看隐藏进程有很多方法，推荐大家下载“隐藏进程管理工具”，来完成对隐藏进程的查看和管理。运行其中的“ECQ-PS.exe”文件，在打开的窗口中可以看到系统中所有的进程列表。

                               
登录/注册后可看大图

隐藏进程管理工具主界面
在每个进程后面，可以看到此程序的线程有多少个，它主要关联的程序名和路径是什么，它是否为可执行程序。对于提示为“可疑”的进程，在查看具体的文件路径后，当确认为是恶意程序时，可以选中此进程并单击鼠标右键，在弹出的快捷菜单中选择“强行结束进程”。

                               
登录/注册后可看大图

结束进程
2．查看远程进程
远程进程又是怎么回事呢？难道可以在自己的机器上查看别人电脑上运行的进程？查看远程电脑的进程是黑客的基本功，也是他们常干的事情，其实方法很简单。
在“命令提示符”窗口中输入如下类似（格式相同，IP地址要换）命令：
tasklist  /s  192.100.100.10  /u  Administrator  /p 123456
在使用上述命令后，稍等片刻就可以得到如图所示信息，得到远程电脑反馈回来的进程列表信息了。

                               
登录/注册后可看大图

进程列表信息
其中“/s”参数后的“192.100.100.10”是指要查看的远程系统的IP地址；“/u”参数后的“Administrator”是指Tasklist命令使用的用户帐户；“/p”参数后的“123456”是指Administrator帐户的密码。
五、杀死病毒进程
有的时候，发现Windows 任务管理器有可疑进程，但是无法结束进程，该怎么办呢？这类进程还是比较多的，虽然不能直接结束进程，但是我们完全可以换一种思路来结束这些进程，达到殊途同归的效果。
在“Windows 任务管理器”中，在切换到“进程”标签页后，单击“查看→选择列”菜单，在弹出的窗口中单击勾选“PID（进程标识符）”项。

                               
登录/注册后可看大图

勾选“PID（进程标识符）”项
接着在“命令提示符”窗口中，就可以使用ntsd命令进行进程关闭操作了。除了System等纯内核、命令本身需要的进程不能关闭，其他的任意进程都可以强制关闭。
假设现在要关闭PID为1404的进程，那么在“命令提示符”窗口中，使用“ntsd -c q -p 1404”的命令就可以了。如果要关闭其它进程，那么只需将上述命令的1404换成相应的PID号即可。

                               
登录/注册后可看大图

关闭PID为1404的进程
此外，也可以使用命令“Taskkill /im 进程名”在DOS下杀除进程，如“Taskkill /im Explorer.exe”。

                               
登录/注册后可看大图

使用命令删除进程
六、当心带毒的SVCHOST.EXE
SVCHOST.EXE进程常常藏污纳垢，如何判断系统中的SVCHOST.EXE是正常进程还是病毒进程呢？打开Windows任务管理器，里面的SVCHOST.EXE足足有5个，那么如何判断呢？首先结束进程，但是结束其中一个进程后，马上又重生一个SVCHOST.EXE进程。

                               
登录/注册后可看大图

SVCHOST.EXE进程
此外，结束另一进程时还提示还有60秒后关机。

                               
登录/注册后可看大图

提示关机
对于关机的提示，可以在“运行”栏中输入“shutdown -a”，关机提示马上消失了。“系统中有几个SVCHOST.EXE进程，有可能是正常的，也有可能是病毒，不能根据SVCHOST.EXE进程的多少来判断是否为病毒。
要查看“Svchost”进程的发起程序发，可以在“命令提示符”窗口中，输入并执行“Netstat –abnov”命令，在接着反馈的信息中，就可以看到每个进程发起的程序或文件列表，这里你就可以根据相关知识判断是否为病毒和木马发起的程序。
正常的Svchost.exe文件是位于%systemroot% \System32目录中的，而假冒的Svchost.exe病毒或木马文件则会在其他目录，例如冲击波变种病毒“w32.welchina.worm”病毒假冒的Svchost.exe就隐藏在Windows\System32\Wins目录中。据此，我们就可以判断该进程到底是不是木马进程了。
除了上面的方法外，我们还可以在命令行窗口输入“Tasklist /svc”（我们这里是以Win XP为例，在Win 2000的命令提示符窗口中，则输入“tlist -s”命令来查看），如果看到哪个Svchost.exe进程后面提示的服务信息是“暂缺”，而不是一个具体的服务名，那么它就是病毒进程了，记下这个病毒进程对应的PID数值(进程标识符)，即可在任务管理器的进程列表中找到它，结束进程后，在C盘搜索到伪装为Svchost.exe进程的文件，也可以用第三方进程工具直接查看该进程的路径，然后将其删除。

                               
登录/注册后可看大图

提示“暂缺”的为可疑进程

magic_kok

七、判断Explorer.exe进程的真假
1.Explorer.exe为何物
打开的电脑的任务管理器，可以看到这个进程，占用内存还不小，大约10MB左右。结束这个进程后，打开的几个窗口都关闭了，而且桌面上的图标也全没有了。

                               
登录/注册后可看大图

Explorer.exe进程
之所以出现这个情况，正是Explorer.exe在发挥作用。简单地说，Explorer.exe进程就是操作系统的程序管理器，也就是我们平时说的资源管理器，用于管理操作系统的图形界面，包括开始菜单、任务栏，桌面和文件管理。该进程随系统一起启动，直到系统关闭或者人为结束该进程。
可以通过下面的操作恢复桌面到正常状态：在“任务管理器”中，依次单击“文件→新建任务（运行….）”菜单。在打开的窗口中输入“Explorer.exe”进程名单击“确定”按钮即可完成重建进程的过程了，桌面环境也就恢复了。
2.Explorer.exe容易被冒充
首先，病毒还是会利用障眼法来干扰大家，正常的进程名是Explorer.exe，而一些病毒的进程名则为Exp1orer.exe（用数字1代替了字母l），还有的病毒进程名为Expl0rer.exe（用数字0代替字母o），乍一看，根本就区分不出来，实在令人防不胜防。大名鼎鼎的MyDoom病毒就是通过Explorer.exe来进行破坏的。
针对这类情况，除了我们留意进程名字外，还有其他方法进行检测和防范吗？ 我们可以根据Explorer.exe进程的路径来判断，正常的Explorer.exe进程位于系统根目录下（比如系统盘为C盘，则路径为C:\Windows\Explorer.exe），这里我们可以借助一些进程辅助软件来进行查看，比如“360安全卫士”，这里可以看到正在运行的进程的路径以及用户名等。如果发现Explorer.exe的运行路径不在这个目录，说明肯定被其他病毒冒充。当然，如果进程名不对，肯定也是有问题的。

                               
登录/注册后可看大图

“360安全卫士”检测进程是否安全
除此之外，在系统的system.ini文件中（C:\Windows\system.ini），在[BOOT]下面有个“shell=文件名”。正确的文件名应该是“explorer.exe”，如果不是“explorer.exe”，而是“shell= explorer.exe 程序名”，那么后面跟着的那个程序就是“木马”程序，这表明你已经中“木马”了。
此外，在注册表中的情况比较复杂，通过regedit命令打开注册表编辑器，依次打开“HKEY-LOCAL-MACHINE\Software\Microsoft\Windows\ CurrentVersion\Run”目录，查看键值中有没有自己不熟悉的自动启动文件，扩展名为EXE。注意有的“木马”程序生成的文件很像系统自身文件，想通过伪装蒙混过关，如“Acid Battery v1.0木马”，它将注册表“HKEY-LOCAL-MACHINE\SOFTWARE \Microsoft\Windows\CurrentVersion\Run”下的 Explorer 键值改为Explorer=“C:\WINDOWS\ expiorer.exe”，“木马”程序与真正的Explorer之间只有“i”与“l”的差别。这需要大家高度警惕。
请注意,该文转自《2007-2008电脑报增刊》

                               
登录/注册后可看大图

    全面涵盖2007～2008年电脑热点  确保你与时俱进的IT应用指南
                  全新上市
2007-2008电脑报增刊      连续6年发行量超越170万大关
权威IT大报《电脑报》一流品质保障
● 6大微软正版软件工具包
● 12款总价值360元实用正版软件
● 33大最新最火热点专题
● 2000余条电脑应用秘籍
● 400万电脑报读者厚爱

4重超值大礼包
1  360元12款实用正版软件
2  安全卫士360（自带免费半年的卡巴斯基正版序列号）
3  以298元的优惠价格购买市值617元的杀毒防黑套装（卡巴斯基KIS6.0 + AVG Anti-Spywaree反间谍软件）
4  寄回“读者调查表”，就有机会获得ACDSee、译典通、HyperSnap三款软件的正版序列号
400万读者的选择你不容错过
全套定价：50.00元（单册定价25.00元，含1CD）
全国300多个城市开通了快递送货上门服务，足不出户即可享受书友会安全、快捷、优质的服务。网上购物： http://www.itbook.com.cn/
电话：023-63658956 63659874 63658888-12057

电气化铁道

有点涉嫌【广告】的嫌疑，不过内容非常的实用！

功过相抵，不予表彰，不予处罚！

[ 本帖最后由 电气化铁道 于 2007-12-23 13:51 编辑 ]