sjy2008 2008-6-2 08:10
【安全】了解进程和病毒十七点相关知识
第一：进程是什么 "i,U
M F.g
进程为应用程序的运行实例，是应用程序的一次动态执行。看似高深，我们可以简单地理解为：它是操作
4m {EF Q
O
系统当前运行的执行程序。在系统当前运行的执行程序里包括：系统管理计算机个体和完成各种操作所必 F"s!^ L_&\8H(Cx h&D
需的程序；用户开启、执行的额外程序，当然也包括用户不知道，而自动运行的非法程序（它们就有可能
x F`8x _@r6u"O.n
是病毒程序）。 B6U+e%gb*h4H/Iv%A ]e5F
危害较大的可执行病毒同样以“进程”形式出现在系统内部（一些病毒可能并不被进程列表显示，如“宏 3N EE5r%Q
病毒”），那么及时查看并准确杀掉非法进程对于手工杀毒有起着关键性的作用。 \[5l8xu
第二：什么是木马
C"V'B[$S
R'F
木马病毒源自古希腊特洛伊战争中著名的“木马计”而得名，顾名思义就是一种伪装潜伏的网络病毒，等
:Ji6a5l!dx!eP
待时机成熟就出来害人。 S9h+`v i%y%U
传染方式：通过电子邮件附件发出，捆绑在其他的程序中。 I"S:EL5j#}
病毒特性：会修改注册表、驻留内存、在系统中安装后门程序、开机加载附带的木马。
A4S$bv+H Mt3h
木马病毒的破坏性：木马病毒的发作要在用户的机器里运行客户端程序，一旦发作，就可设置后门，定时 if D Q8j P
地发送该用户的隐私到木马程序指定的地址，一般同时内置可进入该用户电脑的端口，并可任意控制此计
g)f F tPv
算机，进行文件删除、拷贝、改密码等非法操作。
"y6F o O|/O X
防范措施：用户提高警惕，不下载和运行来历不明的程序，对于不明来历的邮件附件也不要随意打开。
s M1` v._4pb,m6YB
第三：什么是计算机病毒
F n6J-aj9M
E x[9l
计算机病毒是一个程序，一段可执行码。就像生物病毒一样，计算机病毒有独特的复制能力。计算机病毒 0Q S:E:r!G g_8R
可以很快地蔓延，又常常难以根除。它们能把自身附着在各种类型的文件上。当文件被复制或从一个用户
8S z B U){ ^s g9N+h!P}
传送到另一个用户时，它们就随同文件一起蔓延开来。 l
A2x'G$gi8a'N
除复制能力外，某些计算机病毒还有其它一些共同特性：一个被污染的程序能够传送病毒载体。当你看到
.t? ^&v-u'n C0c ^3~
病毒载体似乎仅仅表现在文字和图象上时，它们可能也已毁坏了文件、再格式化了你的硬盘驱动或引发了
&`x[ z CO@ b'{
其它类型的灾害。若是病毒并不寄生于一个污染程序，它仍然能通过占据存贮空间给你带来麻烦，并降低
s!E n:C6a C~
你的计算机的全部性能。可以从不同角度给出计算机病毒的定义。一种定义是通过磁盘、磁带和网络等作
hDL8z)J&N,L7KvI
为媒介传播扩散,能“传染” 其他程序的程序。另一种是能够实现自身复制且借助一定的载体存在的具有
2jPy J
x x*w
S"It
l
潜伏性、传染性和破坏性的程序。还有的定义是一种人为制造的程序,它通过不同的途径潜伏或寄生在存
c(R]k7svn
储媒体（如磁盘、内存）或程序里。当某种条件或时机成熟时,它会自生复制并传播,使计算机的资源受到
-`(k0b8b
_)P
不同程序的破坏等等。这些说法在某种意义上借用了生物学病毒的概念,计算机病毒同生物病毒所相似之
e7P8[7Yw%m
处是能够侵入计算机系统和网络,危害正常工作的“病原体”。它能够对计算机系统进行各种破坏,同时能
\(N B#w;Y Kk-d9x
够自我复制, 具有传染性。
6~/X_)HD9\pd.E
所以, 计算机病毒就是能够通过某种途径潜伏在计算机存储介质（或程序）里，当达到某种条件时即被激
"T5Q3u
q!]e G7Q7?-Y
活的具有对计算机资源进行破坏作用的一组程序或指令集合。
6e#jL4f5u v;z |g mu+B
第四：什么是蠕虫病毒 ,v o?!jX/PsHg |
蠕虫病毒是计算机病毒的一种。它的传染机理是利用网络进行复制和传播，传染途径是通过网络和电子邮
jQX#rq5w8y Q
件。
M5`qnWO x"p6g
比如近几年危害很大的“尼姆达”病毒就是蠕虫病毒的一种。这一病毒利用了微软视窗操作系统的漏洞， c:_%Ezb`L
计算机感染这一病毒后，会不断自动拨号上网，并利用文件中的地址信息或者网络共享进行传播，最终破 :D V9VC:{
?;Q;} d
坏用户的大部分重要数据。 ,Q,c.` cM G5N
蠕虫病毒的一般防治方法是：使用具有实时监控功能的杀毒软件，并且注意不要轻易打开不熟悉的邮件附 yw}1G4H1g+n w tM/^
件。 9Q2{)~ MB6r RB
第五：什么是广告软件Adware
!d w/Gn:\s
广告软件（Adware）是指未经用户允许，下载并安装或与其他软件捆绑通过弹出式广告或以其他形式进行 !c6J3yWu/w*ySz
商业广告宣传的程序。安装广告软件之后，往往造成系统运行缓慢或系统异常。 z:X#y0{(q
防治广告软件，应注意以下方面： $sj3E*|&~d Q
1、不要轻易安装共享软件或“免费软件”，这些软件里往往含有广告程序、间谍软件等不良软件，可能 2t7TPQ4f*lT[
带来安全风险。 K["]&P? MM/` E
2、有些广告软件通过恶意网站安装，所以，不要浏览不良网站。 /v|6e(E"o5ok%N
3、采用安全性比较好的网络浏览器，并注意弥补系统漏洞。
fH V3g&cu
第六：什么是间谍软件Spyware
`x gj/|:bPI"c2{
间谍软件（Spyware）是能够在使用者不知情的情况下，在用户电脑上安装后门程序的软件。用户的隐私
9Z(y2G3S"Q
数据和重要信息会被那些后门程序捕获， 甚至这些 “后门程序” 还能使黑客远程操纵用户的电脑。 D g;y
P Y1V
防治间谍软件，应注意以下方面： #C G \f|;b_ V _o
1、不要轻易安装共享软件或“免费软件”，这些软件里往往含有广告程序、间谍软件等不良软件，可能 BN2`:oOEo ^ |7W
带来安全风险。
K BEa/D S U
2、有些间谍软件通过恶意网站安装，所以，不要浏览不良网站。
-O*v Qm S
3、采用安全性比较好的网络浏览器，并注意弥补系统漏洞。 }ckF*@/`+w;\
第七：Dll文件是什么 o4xjKx1Y3o
Wb gs&Z
DLL是Dynamic Link Library的缩写，意为动态链接库。在Windows中，许多应用程序并不是一个完整的 -p
F$zi;M#n,v(`;[
执行文件，它们被分割成一些相对独立的动态链接库，即DLL文件，放置于系统中。当我们执行某一个程 ]v L0w(]
序时，相应的DLL文件就会被调用。一个应用程序可有多个DLL文件，一个DLL文件也可能被几个应用程序 T.CB"x;SP
所共用，这样的DLL文件被称为共享DLL文件。DLL文件一般被存放在C:\WindowsSystem目录下。 @1U$E0C2e n6rMfi.J0t
1、如何了解某应用程序使用哪些DLL文件 @\3R:W%d [
右键单击该应用程序并选择快捷菜单中的“快速查看”命令，在随后出现的“快速查看”窗口的“引入表
1K$Dd }P(L3q
”一栏中你将看到其使用DLL文件的情况。 %s&J h ?1Q
R S
2、如何知道DLL文件被几个程序使用
o;{+Z?\Rt-l%w
r
运行Regedit，进入HKEY_LOCAL_MACHINESoftwareMicrosrftWindowsCurrent-ersionSharedDlls子键查看 5n%h2OR J4G
W@.\y p
，其右边窗口中就显示了所有DLL文件及其相关数据，其中数据右边小括号内的数字就说明了被几个程序 4o i:w%m"p
使用，（2）表示被两个程序使用，（0）则表示无程序使用，可以将其删除。 3_.]$d|$w]L
3、如何解决DLL文件丢失的情况
r)c*N{6L+RiX
有时在卸载文件时会提醒你删除某个DLL文件可能会影响其他应用程序的运行。所以当你卸载软件时，就 p7}r(E:t `
有可能误删共享的DLL文件。一旦出现了丢失DLL文件的情况，如果你能确定其名称，可以在Sysbckup（系
u,L+[/A*}1gM
统备份文件夹）中找到该DLL文件，将其复制到System文件夹中。如果这样不行，在电脑启动时又总是出
8m S'[bLna6m)z
w\
现“***dll文件丢失……”的提示框，你可以在“开始/运行”中运行Msconfig，进入系统配置实用程序 #U4^l h:gY
对话框以后，单击选择“System.ini”标签，找出提示丢失的DLL文件，使其不被选中，这样开机时就不
sj L^C_XX8|
会出现错误提示了。
Ur
f'F |J0nS;}
rundll的功能是以命令列的方式呼叫Windows的动态链结库。 9M\ v e xg
Rundll32.exe与Rundll.exe的区别就在于前者是呼叫32位的链结库，后者是用于16位的链结库。 K kH:O{
rundll32.exe是专门用来调用dll文件的程序。
9nh;ki$h6tWy%r p
如果用的是Win98，rundll32.exe一般存在于Windows目录下； 1N-I{#P4c:b
如果用的WinXP，rundll32.exe一般存在于WindowsSystem32目录下。 s7lX0}:l,d-G |-g
o
若是在其它目录，就可能是一个木马程序，它会伪装成rundll32.exe。
-y9zS|&s@/kT
第八：什么是系统进程
1d
Kt+W*b:N
进程是指在系统中正在运行的一个应用程序；线程是系统分配处理器时间资源的基本单元，或者说进程之
R/f g s x8|i,m9d
内独立执行的一个单元。对于操作系统而言，其调度单元是线程。一个进程至少包括一个线程，通常将 `Q/|jM4W(st
该线程称为主线程。一个进程从主线程的执行开始进而创建一个或多个附加线程，就是所谓基于多线程的 ,D7Jd4s%u*M
多任务。
l&VF,b1qH o'`
那进程与线程的区别到底是什么？进程是执行程序的实例。例如，当你运行记事本程序（Nodepad）时，
b? J?/I1OK
你就创建了一个用来容纳组成Notepad.exe的代码及其所需调用动态链接库的进程。每个进程均运行在其 4G{`6m f7`y h
专用且受保护的地址空间内。因此，如果你同时运行记事本的两个拷贝，该程序正在使用的数据在各自实 )`8[3s.F"E`#MxXJ"d
例中是彼此独立的。在记事本的一个拷贝中将无法看到该程序的第二个实例打开的数据。 'I@-eR1P`/}4a d2F
以沙箱为例进行阐述。一个进程就好比一个沙箱。线程就如同沙箱中的孩子们。孩子们在沙箱子中跑来跑
%q J
[/Q _C3_
去，并且可能将沙子攘到别的孩子眼中，他们会互相踢打或撕咬。但是，这些沙箱略有不同之处就在于每 !qq)hS$I Ug
个沙箱完全由墙壁和顶棚封闭起来，无论箱中的孩子如何狠命地攘沙，他们也不会影响到其它沙箱中的其
0C)K5_JjW|y m
他孩子。因此，每个进程就象一个被保护起来的沙箱。未经许可，无人可以进出。
*`Sj @Z
实际上线程运行而进程不运行。两个进程彼此获得专用数据或内存的唯一途径就是通过协议来共享内存块 w|-gE4[/t{ h
。这是一种协作策略。下面让我们分析一下任务管理器里的进程选项卡。
!MY m G]o'ja
这里的进程是指一系列进程，这些进程是由它们所运行的可执行程序实例来识别的，这就是进程选项卡中 %n$[z'QD#g;F?
的第一列给出了映射名称的原因。请注意，这里并没有进程名称列。进程并不拥有独立于其所归属实例的
!va Ea7Cm
映射名称。换言之，如果你运行5个记事本拷贝，你将会看到5个称为Notepad.exe的进程。它们是如何彼 Oc!Ft0O jV
此区别的呢？其中一种方式是通过它们的进程ID，因为每个进程都拥有其独一无二的编码。该进程ID由 2I6mi iy1`}4@
V
Windows NT或Windows 2000生成，并可以循环使用。因此，进程ID将不会越编越大，它们能够得到循环利 7Kv r!D fQ
用。 b:N ]"t#q(w1]o }E
第三列是被进程中的线程所占用的CPU时间百分比。它不是CPU的编号，而是被进程占用的CPU时间百分比
}&`5K9mgZ6_
。此时我的系统基本上是空闲的。尽管系统看上去每一秒左右都只使用一小部分CPU时间，但该系统空闲
.@5I%S
Wls3r1M4f
进程仍旧耗用了大约99%的CPU时间。
'GT{Qmc/J
第四列，CPU时间，是CPU被进程中的线程累计占用的小时、分钟及秒数。请注意，我对进程中的线程使用
,T|^#y*~:_ V
占用一词。这并不一定意味着那就是进程已耗用的CPU时间总和，因为，如我们一会儿将看到的，NT计时
T
h gY,s wE
的方式是，当特定的时钟间隔激发时，无论谁恰巧处于当前的线程中，它都将计算到CPU周期之内。通常
P7}M3Nqt6k
情况下，在大多数NT系统中，时钟以10毫秒的间隔运行。每10毫秒NT的心脏就跳动一下。有一些驱动程序
4u0[ Z Y H$n
O
代码片段运行并显示谁是当前的线程。让我们将CPU时间的最后10毫秒记在它的帐上。因此，如果一个线
)mS
e"J j-K
程开始运行，并在持续运行8毫秒后完成，接着，第二个线程开始运行并持续了2毫秒，这时，时钟激发， /D l'RQ2D1n
请猜一猜这整整10毫秒的时钟周期到底记在了哪个线程的帐上？答案是第二个线程。因此，NT中存在一些
|l O(Rf6G%p [6K
固有的不准确性，而NT恰是以这种方式进行计时，实际情况也如是，大多数32位操作系统中都存在一个基
M P-\6t'Q Uem7CSU
于间隔的计时机制。请记住这一点，因为，有时当你观察线程所耗用的CPU总和时，会出现尽管该线程或
+A0WUfs*d/f
许看上去已运行过数十万次，但其CPU时间占用量却可能是零或非常短暂的现象，那么，上述解释便是原
k(V` l S*r)y I
因所在。上述也就是我们在任务管理器的进程选项卡中所能看到的基本信息列。
!?
?/M8jZ$Q _ bUU
第九：什么是应用程序
Y,q}W LO,I
应用程序指的是程序开发人员要开发的一个数据库应用管理系统，它可以是一个单位的财务管理系统、人
M}(w9_/qMD.F
_4`| H
事管理系统等。（各种有关功能的窗口的集合构成一个完整的应用系统，分发给各个终端用户的就是一个 8R)@8@,FzX'{
应用程序。 ;jzDL*H e&d
第十：如何察看正在运行的进程 )_/rBtG U Z)`"b
察看正在运行的进程的方法有很多，最简单就是使用Windows自带的进程管理器察看正在运行的进程：同
L7YGA,Pb5S
时按下“Ctl Alt Del”打开Windows进程管理器。点击进程的标签，即可察看系统中进行的进程列表。或
'K,e;qZ a P,L5V#\ x
者用鼠标右键点系统状态栏“系统管理器”进入系统进程管理器。
r2lx9k4\5M$k ld
第十一：如何强制结束一个运行中的进程
M'j8X"kK(Y
1、打开“终端服务管理器（任务管理器）”。
2s
oQ
UQ-k KP Fg
2、在“进程”选项卡上的“用户”列下，右键单击要结束的进程，然后单击“结束进程”。 %Z,x},AAU F5n1Q {
注意： "s&]?6X(d
（1）必须具有完全控制权限才能结束进程。 \md.gTy
FJ
（2）要打开“终端服务管理器”，请依次单击“开始”和“控制面板”，双击“管理工具”，然后双击 QB:@:o-NU0R4D-b
“终端服务管理器”。
R]2`nX
（3）请注意：在没有警告的情况下结束进程会导致用户会话中的数据丢失。
sE'UR4VmY v
（4）可能需要结束进程，因为应用程序没有响应 4g~'K8u2E9zG[
Qu
（5）也可以使用 tskill 命令结束进程。
o{9f"x_2[ Y
强制结束进程的命令行 Y @*FA }+W3b-o3c
Windows操作系统中只有System、SMSS.EXE和CSRSS.EXE不能杀。前两个是纯内核态的，最后那个是Win32 :q)ut.Nm
子系统，ntsd本身需要它。ntsd从2000开始就是系统自带的用户态调试工具。被调试器附着(attach)的进
-]+a;gdm#|'` Da0t-U
程会随调试器一起退出，所以可以用来在命令行下终止进程。使用ntsd自动就获得了debug权限，从而能 W8u(@6a&iX$pQ,_
杀掉大部分的进程。ntsd会新开一个调试窗口，本来在纯命令行下无法控制，但如果只是简单的命令，比 Z"J Q/R)Z:P9e l
如退出(q)，用-c参数从命令行传递就行了。Ntsd按照惯例也向软件开发人员提供。只有系统开发人员使 MAMm/zK
用此命令。有关详细信息，请参阅 NTSD 中所附的帮助文件。用法：开个cmd.exe窗口，输入： ,FK3fO7~!jQ X
ntsd -c q -p PID
ds"s Ukk)vU k
f
把最后那个PID，改成你要终止的进程的ID。如果你不知道进程的ID，任务管理器->进程选项卡->查看->
g8}-lx*w4['j8w*A r2b
选择列->勾上“PID(进程标识符)”，然后就能看见了。
B T;q,J iz
XP下还有两个好用的工具tasklist和tskill。tasklist能列出所有的进程，和相应的信息。tskill能查杀 !R` ppih K
进程，语法很简单：tskill 程序名！
R,G#w%D6w p
MlrW
结束进程的一些巧用小窍门
3h&Q%_ X0O1q
误删VCD文件的另类恢复
v5Q'q9g|*G3z
现在很多人会把一些不错的VCD直接拷入硬盘保存。但你是否误删过这些百看不厌的经典之作呢？那么怎 b?+zM)Q Na
样才能在不用恢复软件的情况下手动恢复它们呢？
1Z%r5[tP-_
笔者找到了一个另类的恢复方法，并且效果还不错。首先要知道误删的VCD文件的文件名和原文件存储路
'ad"K)B \9Yw
径。一般情况下VCD的主要视频文件是VCD根目录下的Mpegav文件夹，文件名一般为Avseq0？.dat或Music0
&nP)s%G,y.U
？.dat,其中“？”代表数字(1～9)。有的VCD序幕和正式内容是一个文件，即Avseq01.dat或Music01.dat )e6L0_z!NMQ
；也有的VCD序幕和正式内容分别为两个文件，即序幕为Avseq01.dat或Music01.dat，而正式内容为
,dY ZH0I
Avseq02.dat或Music02.dat。
k
d6S5O,f
首先，找一个和误删文件同名的文件(暂且称为A)，接着将A复制到原误删文件的同一文件夹中。在出现“
y
\$O-f0Zd g
正在复制...”窗口时，按下Ctrl+Alt+Del结束“正在复制...”任务，如果“正在复制...”窗口不消失 2cW0E3l!^R!E
q$T e Y"S
，就再次按下Ctrl+Alt+Del结束“正在复制...”任务。就这么简单，到原误删文件存储的地方看一下，
j&Q:SQ i v.Q7d
是不是又失而复得了？用多媒体播放软件打开，只是开头几秒种是文件A的内容，后面的照看不误。 b E2Z$K6V
保存拷了一部分的文件
F"}-@\wL6B!eH
如果你经常会把MP3、CD、VCD、MPEG、RM等音、视频文件(或其他类型的文件)从光盘中复制到硬盘，那么
@5T(uJ `;k*] S]X
可能会遇到复制到只剩下一点点时，Windows提示“复制文件出错”，这时只要按回车键或点击“确定” Z+ch nn(~|'W
按钮，那么辛辛苦苦复制的文件就会丢失。
5Gq'SQi/d)[ k
其实只要马上激活“任务管理器”，把“出错的对话框”和“正在复制”的任务都关闭掉。那么文件就会
y+c9sv)T
以原文件大小保存下来了，当然这还是有缺点的，当此类文件播放到断点的地方时就会停止
tM4]_ d?Fb
巧玩游戏
bL.l E:Q$X N,u
本人用的是Windows XP家庭版，运行一些支持Windows 2000但不支持Windows XP的游戏时，鼠标、键盘失 1j C8w`m
去反应。某日发现一解法：打开“任务管理器”，结束EXPLORER.EXE进程，点“新任务”，找到游戏运行
U
MT#h&N:g'{
文件，运行即可。另外，结束SVCHOST.exe(为当前用户名的)进程可以去掉Windows XP风格。
xZq:S9~'P
第十二：一些常见的进程
o)U x:QVV I3T.x
进程名描述
6KF0{$t)S:W
smss.exeSessionManager
+{ V-Ou"R6v6qM4l,m
csrss.exe 子系统服务器进程
#]_*VS n$EzL9q$F a
winlogon.exe管理用户登录
6`9z}eL se#a\ Pd2\
services.exe包含很多系统服务 UU k R]
lsass.exe 管理 IP 安全策略以及启动 ISAKMP/Oakley (IKE) 和 IP 安全驱动程序。
V/bf WhF7U
svchost.exe Windows 2000/XP 的文件保护系统
f tI-UwY;|
SPOOLSV.EXE 将文件加载到内存中以便迟后打印。
s cn-S"O.M`
explorer.exe资源管理器
-K1Nk4a(gLWmu
internat.exe托盘区的拼音图标 kPn[5N#cC;O6Ey `
mstask.exe允许程序在指定时间运行. j3~I%b!J&j5w!Y z
regsvc.exe允许远程注册表操作。(系统服务)→remoteregister
FW Nz!by'} ~
tftpd.exe 实现 TFTP Internet 标准。该标准不要求用户名和密码。
:IS%sQ;?e{,IU
llssrv.exe证书记录服务 t#|;A3T{
ntfrs.exe 在多个服务器间维护文件目录内容的文件同步。 l z/PZ@)z:Y0A
RsSub.exe 控制用来远程储存数据的媒体。
3C9d+Y+t*b9z0M
locator.exe 管理 RPC 名称服务数据库。 1L Pz.M*Y z
clipsrv.exe 支持“剪贴簿查看器”，以便可以从远程剪贴簿查阅剪贴页
VD7V"nX/a4w!r9D
msdtc.exe 并列事务，是分布于两个以上的数据库，消息队列，文件系统或其他事务保护资源 9?*F"PzY%C K
管理器。 ^ }W+m;~|,h
grovel.exe扫描零备份存储(SIS)卷上的重复文件，并且将重复文件指向一个数据存储点，以 EMT I
| I!e
节省磁盘空间（只对 NTFS 文件系统有用）。 .C0{1rCs Ov&`'W$k
snmp.exe包含代理程序可以监视网络设备的活动并且向网络控制台工作站汇报。
!}'i [\h!Sb
以上这些进程都是对计算机运行起至关重要的，千万不要随意“杀掉”，否则可能直接影响系统的正常运行7PpQ C8Z0k
DDi+VQ~"a:~9g
[[i] 本帖最后由 luolan 于 2008-6-2 22:22 编辑 [/i]]
