計(jì)算機(jī)管理之病毒查殺

1、 計(jì)算機(jī)管理之病毒查殺 方冀生Summary感染病毒是計(jì)算機(jī)管理過(guò)程中的棘手問(wèn)題，尤其是學(xué)校計(jì)算機(jī)使用頻率高、U盤等存儲(chǔ)介質(zhì)使用頻繁，稍不留意便會(huì)造成病毒在全校范圍的擴(kuò)散，以至影響教學(xué)、辦公的正常進(jìn)行。如何在感染病毒后及時(shí)查殺，筆者在此總結(jié)個(gè)人查殺熊貓燒香病毒的實(shí)踐經(jīng)驗(yàn)，以供計(jì)算機(jī)管理員參考。【Keys】計(jì)算機(jī)管理 熊貓燒香 病毒1 實(shí)踐背景熊貓燒香（也稱武漢男孩）病毒于2006年底出現(xiàn)，12月臺(tái)灣地震導(dǎo)致海底光纜斷裂，一段時(shí)間內(nèi)境外服務(wù)器大范圍失聯(lián)，當(dāng)時(shí)主流的殺毒軟件（諾頓、卡巴斯基等）無(wú)法升級(jí)病毒庫(kù)，助推了病毒的擴(kuò)散與傳播，2007年初在網(wǎng)絡(luò)上肆虐。筆者就職的中職學(xué)校于2007年1月在機(jī)房

2、中發(fā)現(xiàn)該病毒。短短2周內(nèi)，5個(gè)機(jī)房近200臺(tái)計(jì)算機(jī)和超過(guò)70%的辦公電腦感染了病毒，出現(xiàn)以下問(wèn)題：（1）桌面多個(gè)圖標(biāo)被篡改為熊貓燒香圖案，出現(xiàn)1分鐘倒計(jì)時(shí)重啟；（2）殺毒軟件、安全衛(wèi)士等系統(tǒng)防護(hù)程序自動(dòng)退出；（3）個(gè)別電腦斷網(wǎng)能正常登陸，聯(lián)網(wǎng)便無(wú)法登陸反復(fù)自動(dòng)重啟；（4）根目錄存在無(wú)法刪除的可執(zhí)行文件Gamesetup.exe。2 實(shí)踐過(guò)程通過(guò)網(wǎng)絡(luò)學(xué)習(xí)，筆者逐漸理清熊貓燒香工作原理，嘗試多個(gè)專殺工具效果不理想后開(kāi)始手動(dòng)查殺病毒。2.1 查殺步驟熊貓燒香病毒大范圍擴(kuò)散基于以下幾個(gè)特點(diǎn)：（1）感染覆蓋面廣。病毒除感染可執(zhí)行文件外，還篡改asp、scr、pif等文件。（2）系統(tǒng)植入深。病毒通過(guò)自我復(fù)

3、制到系統(tǒng)目錄（%system%drivers）、注冊(cè)表創(chuàng)建自啟動(dòng)項(xiàng)、根目錄創(chuàng)建副本同時(shí)設(shè)置AutoRun強(qiáng)勢(shì)侵入操作系統(tǒng)，并主動(dòng)以弱密碼訪問(wèn)局域網(wǎng)其他計(jì)算機(jī)以傳播自身。（3）自身保護(hù)意識(shí)強(qiáng)。病毒自動(dòng)終止金山毒霸、QQ管家等殺毒功能軟件和任務(wù)管理器、注冊(cè)表編輯器等常用系統(tǒng)管理工具進(jìn)程，并刪除相關(guān)啟動(dòng)項(xiàng)，禁用相關(guān)服務(wù)，甚至破壞GHO文件，以阻止用戶使用GHOST還原系統(tǒng)。針對(duì)上述特點(diǎn)，制定出殺毒策略：（1）終止病毒進(jìn)程spoclsv.exe（變種中可能是spcolsv.exe，與系統(tǒng)進(jìn)程spoolsv.exe僅相差一個(gè)字母）；（2）清除病毒相關(guān)程序及文件；（3）清理注冊(cè)表，去除相關(guān)痕跡。而要設(shè)計(jì)出

4、適用性強(qiáng)又易行的通用殺毒方式，第一步終止病毒進(jìn)程便成為關(guān)鍵，而如何提高適應(yīng)性和避免殺毒過(guò)程再次染毒也讓這一步驟成為難點(diǎn)。2.2 難點(diǎn)攻克筆者首先嘗試使用命令行來(lái)解決此難點(diǎn)，便取得了良好效果。自Windows XP系統(tǒng)開(kāi)始，微軟操作系統(tǒng)自帶進(jìn)程管理命令tasklist和taskkill，分別具有進(jìn)程查詢和結(jié)束功能。使用taskkill命令配合/f（強(qiáng)行終止）、/t（連帶子進(jìn)程一并終止）兩個(gè)參數(shù)，便可關(guān)閉病毒程序。進(jìn)而編寫(xiě)了殺毒批處理文件，命令如下：echo offtaskkill /f /t /im spcolsv.exetaskkill /f /t /im spoclsv.execd c：wi

5、ndowssystem32driversattrib h s r del s本文來(lái)自于www.zz-Np*lsv.execd c：attrib h s rdel autorun.infdel setup.exedel gamesetup.exed：attrib h s rdel autorun.infdel setup.exedel gamesetup.exereg delete HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun /v svcshart /f2.3 殺毒全過(guò)程2.3本文來(lái)自于wwW.zz-news.CoM.1

6、單機(jī)殺毒（1）下載殺毒軟件最新版本安裝程序，與批處理文件同存于U盤中，開(kāi)啟U盤寫(xiě)保護(hù)；（2）拔除染毒機(jī)器網(wǎng)線、關(guān)閉無(wú)線網(wǎng)卡，阻斷一切網(wǎng)絡(luò)連接；（3）運(yùn)行殺毒批處理文件；（4）刪除殺毒軟件重新安裝；（5）使用殺毒軟件進(jìn)行完全查殺，清除病毒余孽；（6）聯(lián)網(wǎng)升級(jí)病毒庫(kù)，下載安裝受影響軟件。2.3.2 機(jī)房殺毒學(xué)校機(jī)房裝有硬盤保護(hù)卡，系統(tǒng)盤感染病毒可能性大為降低，可選取一臺(tái)受影響相對(duì)較小計(jì)算機(jī)依據(jù)單機(jī)殺毒過(guò)程查殺病毒，而后通過(guò)系統(tǒng)同傳對(duì)操作系統(tǒng)完成清理。使用殺毒軟件對(duì)系統(tǒng)盤以外分區(qū)進(jìn)行病毒查殺后方可讓機(jī)器重新投入教學(xué)（可通過(guò)極域電子教室等機(jī)房輔助管理軟件以命令行方式啟動(dòng)統(tǒng)一殺毒軟件）。2.3.3 跨系

7、統(tǒng)作業(yè)此殺毒方法僅適用于Win XP之后系統(tǒng)，當(dāng)時(shí)尚有一個(gè)機(jī)房使用Win 2000系統(tǒng)。依據(jù)同樣原理，針對(duì)該系統(tǒng)研究出特定殺毒辦犯：用tlist命令（需單獨(dú)下載，發(fā)送到系統(tǒng)path目錄中），查出spoclsv.exe進(jìn)程號(hào)（PID），通過(guò)“ntdr c q p PID”命令終止進(jìn)程。因各臺(tái)機(jī)器進(jìn)程號(hào)不同，所以Win 2000系統(tǒng)下只能逐臺(tái)查殺。3 經(jīng)驗(yàn)總結(jié)通過(guò)查殺熊貓燒香病毒，對(duì)學(xué)校計(jì)算機(jī)管理中的防毒有了些更深體會(huì)，此處與大家共享：（1）使用VLAN管理校園計(jì)算機(jī)上網(wǎng)，為各機(jī)房、教師用機(jī)設(shè)立不同地址段與上網(wǎng)策略，可有效阻止病毒在校園中的快速傳播；（2）每學(xué)期調(diào)試軟件環(huán)境后，及時(shí)進(jìn)行各機(jī)房的系統(tǒng)備份