怎麼判斷電腦是否中毒

  每一次重灌過系統之後,各種安全衛士以及防毒類軟體都是必備的防護工具,他們可以自動攔截一些非法程式的程序,以確保計算機工作環境的安全。怎麼判斷電腦中毒呢?小編為大家分享了的解決方法,下面大家跟著小編一起來了解一下吧。

  判斷電腦是否中毒方法

  1、WMIC啟動項***WMIC Startup Items***

  Windows已經有一個非常強大的工具——WMIC,在以下幾種方式中較容易為你的調查建立啟動項。只需開啟一個命令提示符,然後輸入【wmic startup list full】。這是一個真實的例子,猜一下哪個專案不屬於其中,會是本地\臨時資料夾嗎?是的。如果你知道應該在列表中的東西以及一般正常執行的位置,你就能在這裡暫停,通常這都非常簡單。找到程式,然後在malwr或者VirusTotal上查詢它的雜湊,看看它有沒有感染了其他什麼,然後刪除。

  2、DNS快取***DNS Cache***

  開啟命令提示符,並輸入【ipconfig/displaydns】。看看這些待反測的區域,有沒有任何的異常現場?在VirusTotal或者其他地方尋找他們解析的域名及IP,看是否有與之相連的樣本。如果有,那麼你肯定被感染了。這裡有一個現成的例子:

  3、WMIC程序列表***WMIC Process List***

  這是WMIC另一個受歡迎的專案,輸入【wmic process list full|more】,或者更緊湊但是更長的輸出【wmic process get deion,processed,parentprocessid,commanline/

  4、WMIC服務列表***WMIC Service List***

  如果你不清楚自己在尋找什麼,那這個用起來可能比較困難。但是檢測方便並且容易通過路徑或者exe名稱發現惡意軟體。格式與其他的相似,或者你也可以得到更具體“get”版本。輸入【wmic service list full| more】或者【wmic service get name,processid,startmode,state,status,pathname /

  5、WMIC工作列表***WMIC Job List***

  這是個看起來最不可能發現任何東西的專案,因為絕大多數惡意軟體都不用jobs,但是在例如MPlug的一些版本中,是很容易檢測出的。輸入【wmic job list full】,你能夠獲得一個【沒有可用例項】的回執,這就意味著沒有已安排的專案在執行。

  6、Netstat

  莫忘記基礎,如果IP是谷歌或者stealyourbanknumber.su.【netstat -abno】的,輸出可能需要搜尋來檢視,即使這樣可以還是尋找奇異的外部站點埠號碼,如25、8080、6667等等。

  Netstat控制如下:

  -a 顯示所有連線和監聽埠-b 顯示參與建立每個連線或者監聽埠的可執行檔案-n 以數字形式顯示地址和埠號碼-o 顯示擁有的每個與連結相關的程序ID7、批處理檔案版本

  用一種簡單可重複的方式完成這些WMIC東西並生成一份報告,怎麼樣呢?我已經有了。把東西都丟到一個批處理檔案中,然後設定一個主機名引數,你甚至能夠在全網中使用它——獲得其他計算機的適當許可權,方便進行遠端評估。

  這個指令碼可以讓你更清楚的瞭解HTML格式的輸出,其中包括了你從電腦中獲取的資訊:

  wmic /node:%1 computersystem get model,name,username,domain / > c:\triage-%1.htmlwmic /node:%1 startup list full / >> c:\triage-%1.htmlwmic /node:%1 process get deion,processid,parentprocessid,commandline / >> c:\triage-%1.htmlwmic /node:%1 service get name,processid,startmode,state,status,pathname / >> c:\triage-%1.htmlwmic /node:%1 job list full / >> c:\triage-%1.html