谈谈手工杀毒一(准备知识)

小V — Wed, 03 Mar 2010 00:30:59 +0000

一、认识病毒

计算机病毒：一种恶意程序，它和我们常见的程序软件并没什么区别，只是它的目的不同而已。

运行状态
运行：按程序设定做事，每种病毒几乎不一样。（它也会潜伏在系统中，）
潜伏：正蓄意以各种方式启动病毒程序的阶段。（可能藏在启动项、感染文件中、引导区等地方）
待命：相当于普通的文件，不去运行它，什么事也不会发生...（说白了，就比如你不开QQ，你还能通过QQ和人聊天吗？）

病毒分类 (现在你可以没必要分太清楚.别放心上)
系统、蠕虫等通常为传染、破坏，无特殊目的性。
木马、后门等主要为非法分子有目的性的进行恶意利用。
脚本、宏等通过网页、特殊文件等传播，破坏力比较小，主要为黑客用来延伸控制。

传播方式
网络: 基本可分为网页、文件传送、系统漏洞攻击等
移动设备:U盘、光盘、软盘、移动硬盘等等

运行环境(此文章主要以最常见的windows平台为主进行讲解)
Windows 平台 2000/xp/2003/vista/7
linux/unix平台
mac/os等
此外还有分16位、32位、64位环境，目前有部分程序还不支持64位.

二、认识系统进程

从上面的运行环境讲,先熟悉系统才是杀毒的关键

explorer.exe 桌面进程(你可以试着结束它，你就发现任务栏及桌面不见了，再次运行它又恢复了)
svchost.exe  系统服务进程(关联系统进程，每个系统服务数量不一样，它同时存在的数量也不一样，默认情况xp-4个\2003-6个\vista和7好像是8个。清理干净，重启一切就恢复了。)
services.exe 应用程序服务控制进程(同svchost.exe不要随便结束)
winlogon.exe 系统用户登陆程序
csrss.exe    客户服务运行状态
lsass.exe    本地安全和登陆策略等安全机制
smss.exe     系统会话管理

请不要随便结束它们。

如何查看他们你可以按ctrl+shift+esc - 开启任务管理器 - 进程
也可以使用一些辅助软件来帮助你查看和读懂这些进程，如: 智能杀毒伴侣、Process Explorer等

这里只提这几个常见的系统进程，确实哪个进程不懂什么意思的请搜索一下。

三、认识启动项

既然明白恶意程序需要运行时才会启用，那他们是通过什么途径让即使重启还是能继续启动？
启动项是开机的时候系统会在前台或者后台运行的程序。通过了解更改启动项可以帮助我们知道计算机一般开机都运行些什么，以增加安全性及系统性能。(想了解更多关于启动项请到http://baike.baidu.com/view/1326839.htm，谢谢)

一般启动项包括有：
驱动程序、系统服务、窗口组件、系统接口、注册表项及其它为启动程序准备的文件夹等

别急，你可以使用软件帮你解决记住这些的麻烦。如：Autoruns等。

四、工具及环境的准备

让磁盘更安全，在windows下目前最新的磁盘文件系统ntfs。支持系统文件权限的功能，这也是我们现在要用到的。(想更了解ntfs请点击http://baike.baidu.com/view/381.html,谢谢)

打开"我的电脑" - 选中磁盘 - 属性 - 可以看到当前的文件系统是什么。如果是不是ntfs，请进行转换。

如何转换成ntfs？ 按"开始" - "运行" - "cmd" - 转入命令:convert [要转换的盘符] /fs:ntfs

主要的系统盘一定要，还有其它常用到的盘也可以转成ntfs格式.

系统权限设置软件setacl2.0命令语法详解

小V — Mon, 16 Feb 2009 08:06:38 +0000

setacl，比较关心安全方面的人应该都认识，一个windows下用的系统权限设置软件. setacl的官网：http://setacl.sourceforge.net/index.html

其实windows下原来就有像cacls等一些自带的命令，但按功能来说，没setacl来得强。可以看到它有ActiveX和命令行版，支持ntfs文件、注册表、网络共享、服务、活动目录、进程等。不过我常用的就只有文件和注册表了。现在就来说说命令行的应用。

在它官网也有一些用法例子可以看，下载的还有帮助文档，但以前英文太差了。一看就晕，补个那时翻译的一点点笔记。

基本语法如下：

Setacl.exe -on "<对象名称(就是路径)>" -ot <对象类型> -actn <行为> <行为的子选项> "具体动作"

对象名称: 加在-on 后面，必加项，就是路径了，这个就不用说了。

对象类型：加在-ot 后面，必加项，主要就是说明这条命令是来设置哪种路径的，比如说明：file 就是文件、reg: 注册表项、srv：服务、prn：打印机、shr：共享。

行为：加在-actn 后面, 必加项，一条命令里面可以有多个行为，说明这条命令主要对路径做什么的，并执行这个行为的子选项。

如：
ace 权限设置，它的子选项有 -ace
trustee 委托，它的子选项有 -trst
domain 域范围，它的子选项有 -dom
list 允许列表，子选项：-bckp 备份文件列表、 -lst 控制
还有一些如restore恢复、setowner设置委托人、setgroup设置组、clear清除、setprot继承、rstchldrn重置等，比较常用的还是用ace，呵呵。

行为子选项：加在行为后面的选项，主要选项上面有了，一个行为也可以有多个子选项。如一个-actn ace后面可以跟多个 -ace来分别为不同的地方设置权限。

具体动作：设置权限的主要函数。看你要给谁，给它什么权限，写在这就对了。
他也有一些子选项如：每个选项后一定要加分号！

n: 就是name，就要是说明域名，用户名之类;如：所有用户n:everyone;
m: Mode,模式吧，指明是要允许、拒绝deny、审计audit之类的，默认是在允许。要拒绝如m:deny;
p: permission（大概是这个，忘记了），大概是权限范围，如：只读就是p:read;、完全控制p:full;、可写p:writer;、读并执行p:read_ex;、更改p:Change;、更改权限p:profile;｜当然还有些不常用的，如打印机的man_printer、服务的start_stop等
i: Inheritance继承。如i:np;表示不继承、i:io;唯一继承、i:so;子对象继承、i:sc;子容器等

还有些不常用的如：s 委托人、w 选择使用dacl或sacl。

好，给个例子：

setacl "c:aa" -ot file –actn ace –ace "n:everyone;m:deny;p:writer;i:np"
表示C:aa这目录或文件拒绝everyone所有人的写入,里面的所有文件并不继承这个权限。

setacl "HKLMSoftwareMicrosoftInternet ExplorerToolbar" -ot reg –actn ace –ace "n:everyone;m:deny;p:full;i:so"
表示HKLMSoftwareMicrosoftInternet ExplorerToolbar拒绝所有人的全部权限。

相关还有些例子可以去官网上看http://setacl.sourceforge.net/html/examples.html

小V的天空 » 系统权限