论文部分内容阅读
要防治病毒，仅仅依靠杀毒是远远不够的，因为所有的杀毒软件都是将你电脑上的数据与病毒库中的病毒样本进行对比来判断是否中毒。所以对于病毒库中还没有样本的新病毒是无能为力的，因此我们有必要学习手工杀毒的方法。
进程是当前运行的执行程序。可执行病毒同样以“进程”形式出现在系统内部，我们可以通过打开系统进程列表来查看哪些进程正在运行，通过进程名及路径判断是否有病毒，如果有则记下它的进程名，结束该进程，然后删除病毒程序即可。
一、查看进程列表的方法
在WIN98/ME中查看进程列表的操作步骤：依次单击“开始”->“程序”->“附件”->“系统工具”->“系统信息”->“软件环境”->“正在运行的任务”，即可打开进程列表，如图所示。
在WIN2000/XP中除了用以上方法查看之外，还可以按“ALT+CTRL+DEL”组合键打开“任务管理器”，在“进程”页查看。
二、判断哪些是正常进程
系统进程名表，系统进程一般包括:基本系统进程和附加进程。基本系统进程是系统运行的必备条件，而附加进程则是可以按需运行或结束。
1.基本系统进程
Csrss.exe:这是子系统进程，负责控制Windows创建或删除线程以及16位的虚拟DOS环境。
Lsass.exe:管理 IP 安全策略以及启动 ISAKMP/Oakley (IKE) 和 IP 安全驱动程序。
Explorer.exe:资源管理器。
Smss.exe:这是一个会话管理子系统，负责启动用户会话。
Servi.exe:系统服务的管理工具，包含很多系统服务。
system: Windows系统进程 。
System Idle Process:这不是一个真正的进程，是核心虚拟出来的，多任务操作系统都有的。在没有可用的进程时，系统处于空运行状态，此时就是 System Idle Process在运行，故它占用97%的CPU时间，说明你的机器负荷很轻。
Spoolsv.exe:管理缓冲区中的打印和传真作业。
Svchost.exe:这个文件对那些从动态链接库中运行的服务来说是一个普通的主机进程名。Svhost.exe文件定位在系统的%systemroot%system32文件夹下。在启动的时候，Svchost.exe检查注册表中的位置来构建需要加载的服务列表。这就会使多个Svchost.exe在同一时间运行。Windows 2000一般有2个svchost进程，一个是RPCSS（Remote Procedure Call）服务进程，另外一个则是由很多服务共享的一个svchost.exe。而在Windows XP中，则一般有4个以上的svchost.exe服务进程，Windows 2003 server中则更多。
winlogon.exe: 管理用户登录 。
以上这些进程都对系统正常运行起至关重要的作用，千万不要随意“杀掉”，否则可能直接影响系统的正常运行。
2.附加进程
除了基本系统进程，其它的就是附加进程了， 例如wuauclt.exe(自动更新程序)、 systray.exe(显示系统托盘小喇叭图标)、ctfmon.exe(微软输入法)、mstask.exe(计划任务)、winampa.exe等等，附加进程可以按需取舍，不会影响到系统核心的正常运行。
3.应用程序的进程
当前运行的应用程序也会显示在进程列表中，当要查毒时最好将已运行的程序全部按正常方式关闭，病毒一般不随应用程序关闭而结束的。
当我们发现“不明的进程名”不在的系统进程名表中，就应当列为可疑进程。
三、处理
1.试验法
将可疑进程结束后，通过单击“开始→搜索→所有文件或文件夹”，用可疑进程名作为关键字对整个系统搜索，找到对应的程序后，记下它的路径，将它移到软盘或U盘上，然后对电脑上的软件都运行一遍，如果都能正常运行，说明这个进程是多余的或者是病毒，就算不是病毒把它删了也可给系统减肥。如果有软件不能正常运行则要将它还原。
2.请教法
在对“不明的进程”是否是病毒拿不定主意时，可以复制该进程的全名，上网到论坛上请教，或者用该进程的全名作为关键字在网络上进行搜索，找它的相关资料看它是不是病毒。如果是则赶快删除。
进程是当前运行的执行程序。可执行病毒同样以“进程”形式出现在系统内部，我们可以通过打开系统进程列表来查看哪些进程正在运行，通过进程名及路径判断是否有病毒，如果有则记下它的进程名，结束该进程，然后删除病毒程序即可。
一、查看进程列表的方法
在WIN98/ME中查看进程列表的操作步骤：依次单击“开始”->“程序”->“附件”->“系统工具”->“系统信息”->“软件环境”->“正在运行的任务”，即可打开进程列表，如图所示。
在WIN2000/XP中除了用以上方法查看之外，还可以按“ALT+CTRL+DEL”组合键打开“任务管理器”，在“进程”页查看。
二、判断哪些是正常进程
系统进程名表，系统进程一般包括:基本系统进程和附加进程。基本系统进程是系统运行的必备条件，而附加进程则是可以按需运行或结束。
1.基本系统进程
Csrss.exe:这是子系统进程，负责控制Windows创建或删除线程以及16位的虚拟DOS环境。
Lsass.exe:管理 IP 安全策略以及启动 ISAKMP/Oakley (IKE) 和 IP 安全驱动程序。
Explorer.exe:资源管理器。
Smss.exe:这是一个会话管理子系统，负责启动用户会话。
Servi.exe:系统服务的管理工具，包含很多系统服务。
system: Windows系统进程 。
System Idle Process:这不是一个真正的进程，是核心虚拟出来的，多任务操作系统都有的。在没有可用的进程时，系统处于空运行状态，此时就是 System Idle Process在运行，故它占用97%的CPU时间，说明你的机器负荷很轻。
Spoolsv.exe:管理缓冲区中的打印和传真作业。
Svchost.exe:这个文件对那些从动态链接库中运行的服务来说是一个普通的主机进程名。Svhost.exe文件定位在系统的%systemroot%system32文件夹下。在启动的时候，Svchost.exe检查注册表中的位置来构建需要加载的服务列表。这就会使多个Svchost.exe在同一时间运行。Windows 2000一般有2个svchost进程，一个是RPCSS（Remote Procedure Call）服务进程，另外一个则是由很多服务共享的一个svchost.exe。而在Windows XP中，则一般有4个以上的svchost.exe服务进程，Windows 2003 server中则更多。
winlogon.exe: 管理用户登录 。
以上这些进程都对系统正常运行起至关重要的作用，千万不要随意“杀掉”，否则可能直接影响系统的正常运行。
2.附加进程
除了基本系统进程，其它的就是附加进程了， 例如wuauclt.exe(自动更新程序)、 systray.exe(显示系统托盘小喇叭图标)、ctfmon.exe(微软输入法)、mstask.exe(计划任务)、winampa.exe等等，附加进程可以按需取舍，不会影响到系统核心的正常运行。
3.应用程序的进程
当前运行的应用程序也会显示在进程列表中，当要查毒时最好将已运行的程序全部按正常方式关闭，病毒一般不随应用程序关闭而结束的。
当我们发现“不明的进程名”不在的系统进程名表中，就应当列为可疑进程。
三、处理
1.试验法
将可疑进程结束后，通过单击“开始→搜索→所有文件或文件夹”，用可疑进程名作为关键字对整个系统搜索，找到对应的程序后，记下它的路径，将它移到软盘或U盘上，然后对电脑上的软件都运行一遍，如果都能正常运行，说明这个进程是多余的或者是病毒，就算不是病毒把它删了也可给系统减肥。如果有软件不能正常运行则要将它还原。
2.请教法
在对“不明的进程”是否是病毒拿不定主意时，可以复制该进程的全名，上网到论坛上请教，或者用该进程的全名作为关键字在网络上进行搜索，找它的相关资料看它是不是病毒。如果是则赶快删除。