不用外部工具，教你快速檢查電腦是否中毒

從事應(yīng)急響應(yīng)工作幾年之后，我認(rèn)為總結(jié)一份快速確定計(jì)算機(jī)是否被感染木馬和病毒的“方法論”是十分有用的。這顯然不是那么簡(jiǎn)單的，可我卻發(fā)現(xiàn)感染幾乎存在于所有不復(fù)雜的攻擊中，如果你執(zhí)行了以下檢測(cè)，便可發(fā)現(xiàn)存在感染并快速殺掉它。所有這些事情都可以由一個(gè)建立于Windows命令行功能的管理員命令提示符完成。

1、WMIC啟動(dòng)項(xiàng)（WMIC Startup Items）

Windows已經(jīng)有一個(gè)非常強(qiáng)大的工具——WMIC，在以下幾種方式中較容易為你的調(diào)查建立啟動(dòng)項(xiàng)。只需打開一個(gè)命令提示符，然后輸入【wmic startup list full】。這是一個(gè)真實(shí)的例子，猜一下哪個(gè)項(xiàng)目不屬于其中，會(huì)是本地臨時(shí)文件夾嗎？是的。如果你知道應(yīng)該在列表中的東西以及一般正常運(yùn)行的位置，你就能在這里暫停，通常這都非常簡(jiǎn)單。找到程序，然后在malwr.com或者VirusTotal上查找它的散列，看看它有沒(méi)有感染了其他什么，然后刪除。

2、DNS緩存（DNS Cache）

打開命令提示符，并輸入【ipconfig/displaydns】�？纯催@些待反測(cè)的區(qū)域，有沒(méi)有任何的異�，F(xiàn)場(chǎng)？在VirusTotal或者其他地方尋找他們解析的域名及IP，看是否有與之相連的樣本。如果有，那么你肯定被感染了。這里有一個(gè)現(xiàn)成的例子：

3、WMIC進(jìn)程列表（WMIC Process List）

這是WMIC另一個(gè)受歡迎的項(xiàng)目，輸入【wmic process list full|more】，或者更緊湊但是更長(zhǎng)的輸出【wmic process get description,processed,parentprocessid,commanline/format:csv.】。尋找在奇怪地方運(yùn)行的東西或者惡意、隨機(jī)、名稱怪怪的程序。

4、WMIC服務(wù)列表（WMIC Service List）

如果你不清楚自己在尋找什么，那這個(gè)用起來(lái)可能比較困難。但是檢測(cè)方便并且容易通過(guò)路徑或者exe名稱發(fā)現(xiàn)惡意軟件。格式與其他的相似，或者你也可以得到更具體“get”版本。輸入【wmic service list full| more】或者【wmic service get name,processid,startmode,state,status,pathname /format:csv】。這里有個(gè)小例子展示了只有服務(wù)名稱和路徑的情況。

• 《無(wú)限暖暖》Mac版上線時(shí)間 蘋果電腦Mac玩《無(wú)限暖暖》攻略放送
• 《無(wú)盡夢(mèng)回》11月21日公測(cè)，蘋果電腦Mac玩《無(wú)盡夢(mèng)回》攻略
• Windows應(yīng)急響應(yīng)-Auto病毒
• 《歸龍潮》9月13日公測(cè)，蘋果電腦Mac玩《歸龍潮》教程
• 阿瑞斯病毒2螺絲刀藍(lán)圖獲取指南