第1篇：熊猫烧香之手动查杀

目录

一、实验清单

二、实验步骤

1、杀病毒创建的进程

2、排查启动项

3、删除病毒

三、总结

---

一、实验清单

       操作系统：windows xp sp2

       病毒样本：87551e33d517442424e586d25a9f8522（MD5值）

注：病毒样本可以在微步云沙箱获取。

二、实验步骤

1、杀病毒创建的进程

（1）在运行熊猫烧香病毒之前，打开任务管理器（方便找出熊猫烧香病毒建立的进程）。

（2）运行熊猫烧香病毒，并且尝试打开任务管理器，可以发现：任务管理器无法正常打开。我们需要在cmd中利用“tasklist”命令查看当前运行的进程。

         经过比对，可以发现多了一个名为“spoclsv.exe”的进程。

（3）在cmd中使用“taskkill /f /im 700”命令，强制结束名为“spoclsv.exe”的进程。

         再次打开任务管理器，可以发现：能够正常打开任务管理器了。

2、排查启动项

(1)在“运行”中输入“msconfig”。可以看到与刚刚查杀的进程名类似的启动项目，记录以下内容：

• 文件位置：C:\WINDOWS\system32\drivers\spoclsv.exe
• 注册表位置：HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

(2)将spoclsv启动项前面的对勾取消掉，以防止防止病毒开机自启。

3、删除病毒

        打开spoclsv对应的文件路径，可以发现一个带有熊猫烧香图标的exe文件，将该病毒文件本体删除。

三、总结

        手动查杀病毒木马的流程：

1. 排查可疑进程。病毒往往会创建一个或多个进程，我们需要分辨哪些是病毒创建的进程，然后杀死相应的进程。
2. 排查启动项。病毒为了实现自动启动，会采用一些方法将自己添加到启动项中，从而实现自启动。
3. 删除病毒本体。在排查启动项的时候，我们可以确定病毒的位置，从而删除病毒本体。
4. 修复被病毒破坏的文件。这一步无法通过手工的方法完成，需要借助相应的工具，不是现在讨论的重点。

        参考资料：病毒木马查杀实战第002篇：熊猫烧香之手动查杀_ioio_jy的博客-CSDN博客