windows伺服器手工殺毒常用命令

【適合對象】

1、vps主機使用者

2、伺服器託管使用者

3、伺服器安全愛好者

一、TaskList命令備份系統進程

在剛裝好系統的時候，最好使用TaskList命令將系統的進程做下備份，這樣以後感覺電腦異常的時候可以通過比較進程列表，找出可能是病毒的進程

在命令提示字元下輸入：

　　TaskList /fo:csv>g:zc.csv

　　上述命令的作用是將當前進程列表以csv格式輸出到“zc.csv”檔案中，g:為你要儲存到的盤，可以用Excel開啟該檔案.

二、FC命令比較進程列表檔案

感覺伺服器有病毒時，那麼就有必要檢查一下進入命令提示字元下，輸入下列命令：

　　TaskList /fo:csv>g:yc.csv

產生一個當前進程的yc.csv檔案清單，然後輸入：

　　FC g:zccsv g:yc.csy

　　斷行符號後就可以看到前後列表檔案的不同了，通過比較發現，電腦多了一個名為“Winion0n.exe”(這裡以這個進程為例)不是“Winionon.exe”的異常進程。

三、Netstat命令查看進程連接埠

對這樣的可疑進程，如何判斷它是否是病毒呢？根據大部分病毒（特別是木馬）會通過連接埠進行對外串連來傳播病毒，可以查看一下連接埠佔有情況。

在命令提示字元下輸入：

Netstat -a-n-o

　　參數含義如下：

　　a:顯示所有與該主機建立串連的連接埠資訊

　　n:顯示開啟連接埠進程PID代碼

　　o：以數字格式顯示地址和連接埠資訊

　　斷行符號後就可以看到所有開放連接埠和外部串連進程，這裡一個PID為1756（以此為例）的進程最為可疑，它的狀態是“ESTABLISHED”，通過工作管理員可以知道這個進程就是“Winion0n.exe”，通過查看本機運行網路程式，可以判斷這是一個非法串連！

　　串連參數含義如下：

　　LISTENINC：表示處於偵聽狀態，就是說該連接埠是開放的，等待串連，但還沒有被串連，只有TCP協議的服務連接埠才能處於LISTENINC狀態。

　　ESTABLISHED的意思是建立串連。

　　表示兩台機器正在通訊。

　　TIME-WAIT意思是結束了這次串連。

　　說明連接埠曾經有過訪問，但訪問結束了，用於判斷是否有外部電腦串連到本機。

四、NTSD命令：解決工作管理員難刪除的進程

已經知道 “Winion0n.exe”是個非法進程，但是病毒的進程缺無法通過工作管理員終止，怎麼辦？

　　在命令提示字元下輸入下列命令：

　　ntsd –c q-p 1756

　　斷行符號後可以順利結束病毒進程。

　　提示：“1756”為進程PID值，如果不知道進程的ID，開啟工作管理員，單擊“查看→選擇列→勾上PID（進程標識符）即可。

　　NTSD可以強行終止除Sytem,SMSS.EXE,CSRSS.EXE外的所有進程。

五、斷定病毒後，定要斬草除根——搜出病毒原檔案

對於已經判斷是病毒檔案的“Winion0n.exe”檔案，通過搜尋“本地所有分區”、“搜尋系統檔案夾和隱藏的檔案和檔案夾”，找到該檔案的藏身之所，將它刪除。

不過這樣刪除的只是病毒主檔案，通過查看它的屬性，依據它的檔案建立曰期、大小再次進行搜尋，找出它的同夥並刪除。

　　如果你不確定還有那些檔案是它的親戚，通過百度病毒名字如“Winion0n.exe”找病毒資訊獲得協助。

六、清除註冊表垃圾

由於自啟動索引值很多，發現病毒時手動尋找很不方便。

　　這裡用reg export+批處理命令來備份。

　　啟動記事本輸入下列命令：

　　reg export HKLMsoftwareMicrosoftWindowsCurrentVersionRun f:hklmrun.reg

　　reg export HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorerRun f:hklcu.reg

　　reg export HKLMSOFTWAREMicrosoftWindowsCurrentVersionPoliciesExplorerRun f:hklml.reg

　　註：這裡只列舉幾個常見索引值的備份，其它索引值請參照上述方法製作。

　　然後將它儲存為ziqidong.bat在命令提示字元下運行它，即可將所有自啟動索引值備份到相應的reg檔案中，接著再輸入：

　　copy f:*.reg ziqidong.txt

　　命令的作用是將所有備份的reg檔案輸出到“ziqidong.txt”中，這樣如果發現病毒新增自啟動項，同上次匯出自啟動值，利用上面介紹的FC命令比較前後兩個txt檔案，即可快速找出新增自啟動項目。

　　2、用reg delete刪除新增自啟動索引值。

　　比如：通過上面的方法在[HKER_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionRun],找到一個“Logon”自啟動項，啟動程式為“c:windowswinlogon.exe”,現在輸入下列命令即可刪除病毒自啟動索引值：

代碼如下	複製代碼
reg delete HKLMsoftwareMicrossoftWindowsCurrentVersionRun /f

　　3、用reg import恢複註冊表。

　　Reg de-lete刪除是的是整個RUN索引值，現在用備份好的reg檔案恢複即可，輸入下列命令即可迅速還原註冊表：reg

代碼如下	複製代碼
import f:hklmrun.reg

　　上面介紹手動殺毒的幾個系統命令，其實只要用好這些命令，我們基本可以KILL掉大部分的病毒，當然平時就一定要做好備份工作。