信息安全-计算机病毒.docVIP

信 息 安 全 ——熊猫烧香病毒的清除 班级：９班 姓名：周杰 学号一.实验设计 1、备好病毒样本 先准备一张含有熊猫烧香病毒的软盘或光盘，或带有熊猫烧香病毒的U 盘。 2、运行VMWare 虚拟机软件。 为了整个计算机本身的安全或整个实验室系统的安全，让实验在虚拟的环境下进行， 3、检测干净系统 4、种植熊猫烧香病毒 插入含有熊猫烧香病毒的U 盘、光盘或者软盘，点击含有熊猫烧香病毒文件夹下的set up.exe 文件，这时就将熊猫烧香病毒种植到计算机系统中了。 5、检测中毒后的系统 6、得出实验结论 二.实验过程 (1)清除病毒： 第一步：点击“开始--运行”，输入ntsd -c q -pn spoclsv.exe并确定，结束病毒的进程。（或进入到文件夹c:\windows(Windows2000 下为winnt, windowsXP 下为windows)\system32\drivers 中修改spoclsv.exe 的文件名为其他的.exe 文件），之后我们就可以进入到任务管理器和注册表中了。 第二步：在注册表中寻找 “HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVersion\Explorer\Advanced\Folder\Hidden\SHOWALL”,将CheckedValue的值改为1。打开“HKEY_CURRENT_USER\Software\Microsoft\Windows\CrrentVersion\Run”，将svcshare 的项目删除。 第三步：删除硬盘各分区根目录下的setup.exe和autorun.inf文件；删除掉C:\Windows\system32\drivers 下的spoclsv.exe 文件。 第四步：有哪些信誉好的足球投注网站硬盘上的网页格式文件，找到其中类似”iframe src=/wuhan/down.htmwidth=0height=0 frameborder=0/iframe“的文字，将其删除。被嵌入的代码可能是其他的网站。 (2) 显示出被隐藏的系统文件 运行——regedit HKEY_LOCAL_MACHINE\Software\Microsoft\windows\CurrentVersion\explorer\Adv anced\Folder\Hidden\SHOWALL，将CheckedValue 键值修改为1 这里要注意，病毒会把本来有效的DWORD 值CheckedValue 删除掉，新建了一个无 效的字符串值CheckedValue，并且把键值改为0！我们将这个改为1 是毫无作用的。（有 部分病毒变种会直接把这个CheckedValue 给删掉，只需和下面一样，自己再重新建一个就 可以了） 方法：删除此CheckedValue 键值，单击右键新建——Dword 值——命名为Checke dValue，然后修改它的键值为1，这样就可以选择“显示所有隐藏文件”和“显示系统文件”。在文件夹——工具——文件夹选项中将系统文件和隐藏文件设置为显示，重启电脑后，发现杀毒软件可以打开，分区盘双击可以打开了。 三.参考文献： [1]傅建明 张焕国 彭国军计算机病毒分析与对抗赖英旭 (作者), 钟玮 (作者),?李健?(合著者)