一.辨清进程去“杀马”
不过,这一切在遇到“Wsyscheck”后,它们的“隐身衣”便会不幸升级为“皇帝的新装”:无论是普通的木马、病毒,还是采用Rootkit技术的高级恶意程序,都会在“Wsyscheck”面前原形毕露。
1.验证正常进程
该工具为绿色工具,无需安装即可使用。运行“Wsyscheck.exe”后开启程序主界面。
![介绍一款进程管理工具_职场](http://it.people.com.cn/mediafile/200706/07/P200706071340221614322990.jpg)
在进程列表中,我们看到进程名称上有三种不同的颜色显示,那么这又代表什么呢?
通常,我们可以简单地通过进程名称来辨明木马、病毒。一些木马、病毒会起着与系统进程完全一样或类似的名称,比如SVCHOST.exe为正常的系统进程,而当某个进程为SVCH0ST.exe,即将数字“0”来替代英文字母“O”时,便要格外留意了。
小提示:单击进程列表的某个进程名称,可以底部的模块框内显示出与之相关的模块路径。
步骤1 单击进程列表中某个以紫色显示的系统进程,如IEXPLORE.EXE,在下方的模块窗口中会显示出所有与之相关的DLL文件(图2)。
![介绍一款进程管理工具_休闲_02](http://it.people.com.cn/mediafile/200706/07/P200706071341022676666311.jpg)
步骤2 如果希望仅显示红色的DLL文件,那么只要依次选择主菜单“文件→模块简洁显示”命令即可。当再次选择系统进程时,在模块框内就会显示出所有红色的DLL文件(图3)。
![介绍一款进程管理工具_休闲_03](http://it.people.com.cn/mediafile/200706/07/P200706071341083214419995.jpg)
在辨识这些DLL文件是否为木马文件时,因为在模块框有“模块路径”和“文件厂商”这两个字段名称,所以作为普通用户同样可以通过这两个字段名称去判断。
![介绍一款进程管理工具_职场_04](http://it.people.com.cn/mediafile/200706/07/P200706071341149066213222.jpg)
二.用服务
步骤1 单击主界面上的“服务管理”选项卡,即可在开启的页面中看到有黑色、红色、紫色三种颜色标识的服务名称(图5)。
![介绍一款进程管理工具_休闲_05](http://it.people.com.cn/mediafile/200706/07/P200706071341482144217169.jpg)
步骤2 若确信为木马服务,那么可将其选中后,选择右键菜单上的“停止服务”或“禁用”命令,将其中止或禁用。
步骤3 然后选择“删除选中的服务”命令,这样就能够删除该服务在注册表中的键值,令其无法启动;当然,如果选择“删除选中的服务与文件”命令,还能够彻底删除木马服务及对应的文件,令其再无作恶的可能。
小提示:针对重启后仍能“复活”的服务程序,选择“添加到DOS删除列表”即可将其根治。
三.通过端口觅得木马
目前,许多木马都会通过监听电脑上一些特别端口的方法,将有用的信息告诉给控制方,以便控制方从中获悉自己所需的内容。根据这个特点,我们只需查探自己的电脑是否有异常的端×××动,就能够确定是否有木马存在。
由于木马大都会选择一些特殊端口进行监听活动,比如3210,3333,6267等,假如我们发现这些特殊端口已经被使用,那么很可能你的电脑已经被木马所侵占了。
在“Wsyscheck”中查看活动端口的方法很简单。只要单击“安全检查”选项卡,在下方展开的选项页面中选择“端口状态”,就能够查看到当前系统的正在通讯的本地端口和远程端口号(图6)。
![介绍一款进程管理工具_职场_06](http://it.people.com.cn/mediafile/200706/07/P200706071342181956920151.jpg)
如果在这些端口号中恰好存在着所熟知的木马特殊端口,那么十之八九你的系统已经被木马“套牢”。因此在查看了对应的程序名称和进程“PID”号后,再转至“Wsyscheck”的“进程管理”页面,找到与“PID”相对应的进程,再按上述方法对木马进行的“解套”操作即可。
小提示:PID即进程ID号,也就是系统进程的唯一编号,通过这个编号可以查找到与之对应的进程名称。
除了上述查找木马、病毒的方法外,利用“Wsyscheck”还可以查看注册表键值的改动情况、对注册表及文件进行管理、检测IE安全、检查和修复被第三方DLL破坏的Winsock等操作。因篇幅所限,故在此不再多做叙述,对此感兴趣的朋友不妨一试。