进程扫描判断工具

1:手机软件设定中的模块，服务项目简约表明

简约表明会过虑所微软公司文件，但在应用了“校检微软公司文件签字”功能后，不过关的微软公司文件也会展示出去。

SSDt鼠标右键“所有表明”是默认设置姿势，当撤销这一页面后，则仅表明SSDT表格中已变更的新项目。

2:有关Wsyscheck的彩色表明

进程页：

鲜红色表明非微软公司进程,暗紫色表明尽管进程是微软公司进程,但其模块含有非微软公司的文件。

服务项目页：

鲜红色表明该服务项目并不是微软公司服务项目,且该服务项目非.sys推动。（最多见的是.exe与.dll的服务项目，木马大多数应用这类方法）。

应用“查验键值”后，深蓝色表明的是有键值维护的随开机启动的驱动软件。他们有可能是杀毒软件的防范意识，也是有可能是木马的键值维护。

在取消了“模块，服务项目简约表明”后，查询第三方服务能够点一下文章标题条”文件生产商”排列，融合应用“运行种类”，“改动日期”排列更非常容易观查到增加的木马服务项目。

进程页中查询模块与服务项目页中查询服务项目叙述能够应用电脑键盘的左右键操纵。

在应用“手机软件设定”-“校检微软公司文件签字”后，暗紫色表明未根据微软公司签字的文件。与此同时，在各表明栏的微软公司文件校检会表明Pass与no pass。(能够由此参照是不是仿冒微软公司文件，留意的是假如暗紫色表明太多，很有可能你的操作系统是在网上普遍的Ghost精简，这种版本号很有可能精减掉了微软公司签字数据库查询因此效果并不能信)

SSDT管理页：

默认设置表明所有的SSDT表，鲜红色表明核心被HOOK的涵数。查询第三方模块，能够点一下2次标识“印象途径”排列，则第三方HOOK的模块会排在一起列在最前边。还可以撤销“所有表明”,则仅表明通道变了的涵数。

SSDT页的“编码出现异常”栏如表明“YES”,说明该涵数被Inline Hook。假如一个涵数与此同时存有编码HOOK与详细地址HOOK,则相应的模块途径表明的是Inline Hook的途径，而应用“修复当今涵数编码”功能只修复Inline Hook，途径将表明为详细地址HOOK的模块途径，再应用“修复当今涵数详细地址”功能就修复到默认设置的涵数了。

应用“修复全部涵数”功能则与此同时修复以上二种HOOK。

发觉木马改动了SSDT表时请先修复SSDT，再作注册表文件删除等实际操作。

主题活动文件页：

鲜红色表明的基本开机启动项的內容。

3:有关Wsyscheck运行后通知栏的提醒“警示！程序流程推动未载入取得成功，一些功能没法进行。”

大部分状况下是防护软件阻拦了Wsyscheck载入需要的推动，这类情形下Wsyscheck的功能有一定变弱，但它仍可用不用推动的办法来进行系统的修补。

推动载入取得成功的情形下,针对木马文件能够立即应用Wsyscheck中各页中的删除文件功能,本功能含有“立即删除”运作中的文件的功能。

4:有关卸载掉模块

对HOOK了系统软件重要进程的模块卸载掉很有可能可能会导致重新启动，这与该模块的书写有关系，因此卸载掉不上的模块不必奢求卸载掉，能够先删除该模块的开机启动项或文件(推动载入状况下应用删除后重新启动文件即消退)。

5:有关文件删除

推动载入的情形下,Wsyscheck的删除功能早已能用了,大部分文件都能够马上删除(进程模块能够立即应用鼠标右键下带删除的各类功能),载入的DLL文件删除后尽管文件依然由此可见，但实际上已删除，重新启动可观测到文件已消退。

文件管理方法页的“删除”实际操作是删除文件到垃圾回收站，适用畸型文件目录下的文件删除。应特别注意的是假如文件自身在垃圾回收站内，请应用立即删除功能。或是应用裁切功能将它拷贝到另一个地区。不然你很有可能见到垃圾回收站内的文件删除了一个又加上了那一个（由于鼠标右键“删除”是删除到垃圾回收站）。

针对用之上功能仍删除不上的文件，能够应用Wsyscheck的或“dos删除功能”，应用“dos删除”功能之后在运行菜单栏中加上一项“删除难除文件”，实行后自动清理文件并除掉它所加上的开机启动项。“dos删除”在多系统软件状况下很有可能存有一些难题，请谨慎使用。本功能必须将辅助件Wdosdel.dat与Wsyscheck放到一起才会表明有关网页页面。

“重新启动删除”仅做为推动没法载入状况下采用的一种輔助方式，“重新启动删除”与“Dos删除”能够一起应用。其目录都能够手动式编写,一行一个文件途径就可以。结束进程时假如以上二者之一存有删除目录，会询问是不是实行。

假如必须对删除的文件备份数据,先开启手机软件设定下的“删除文件前备份数据文件”，它将在删除前将文件备份数据到%SystemDrive%\VirusBackup文件目录中，且将文件名加上.vir后缀名以防误实行。

6:有关进程的之后的不断建立

能够应用进程页的“严禁程序执行”，这一功能便是时兴的IFEO挟持功能，我们可以应用它来屏蔽掉一些完毕后又全自动重启的程序流程。根据禁止使用它的实施来清除文件。消除禁止使用的过程用“安全大检查”页的“禁止使用程序管理”功能，,因此在木马应用IFEO挟持后还可以“禁止使用程序管理”中修复遭劫持的程序流程。

此外，手机软件设定下的“严禁进程与文件建立”功能是对于木马的频繁运行，不断建立文件，不断写注册表文件开机启动项开展监控或阻拦,应用本功能后能更清松地删除木马文件及注册表文件开机启动项。

打开严禁“严禁进程与文件建立”后会全自动加上“监管日志”页，撤销后此页消退。能够考察一下日志状况便于从所阻拦的姿势中遇到较为潜藏的木马文件。留意的是，假如木马插进系统软件进程，则体现的日志是阻拦系统软件进程的姿势，你需要自身辨别该姿势是不是有危害并剖析该进程的模块文件。

要保存日志请在撤销前Ctrl A都选后拷贝。留意,为避免日志太多,满1000条后全自动删除前400条日志。

对于上边的状况,你还是能够应用进程中的“进程信息内容”功能，从进程与模块对应关系中挂起来相对应的进程，随后完毕守卫程序流程或挂起来守卫程序流程，再实行立即删除文件功能。

7:有关如何清理木马的通俗方式：

非常简单的办法是：推动载入取得成功的情形下,针对木马文件能够立即应用Wsyscheck中各页中的删除文件功能（即先用环删除功能解决木马文件）,实行完后重新启动系统软件，，再消除它的开机启动项，注册表项等载入方式。

假如出现较难解决的木马，下列流程能够当作一个参照：

a.假如SSDT管理中有木马模块在工作中,请先修复SSDT,再在管理与服务页清除木马的服务项目及文件。

b.假如完毕木马进程后不断发觉木马运行，能够试着应用“完毕进程并删除文件”或“严禁这一程序执行”,让其不会再运行后删除。

还能够相互配合应用“严禁进程与文件建立”让其不会再建立新进程，建立文件失效而清除它。

c.有一些木马运用服务项目运行，一定要注意一下并分辨一下服务项目页中的鲜红色表明程序流程。假如情况是STOP，而种类是Auto，则它已运作过一次，因此有可能运行了其他木马程序流程。

d.强烈要求留意一下“禁止使用程序管理”，现阶段运用IFEO禁止使用杀毒软件或运行木马程序流程的木马是非常盛行的。

e.主题活动文件页列举了很有可能的运行方式，因此细心一点检查一下是不是有木马的运行新项目。

f.文件检索中运用“限定時间”标准来检索最近造成的文件很有可能有利于您的清洗工作中。

g.针对检查出的开机启动项，要不是十分毫无疑问，能够精准定位到注册表文件，将这一运行程序流程的途径前再加上“；”等标识符让其下一次不运行再观查系统软件能否一切正常以分辨它是不是一个木马程序流程。

h.针对以Autorun.inf方法运行的木马，可以用专用工具下的“消除Autorun.inf”功能（可相互配合“严禁进程与文件建立”应用以获取最好是的实际效果）。假如手动式清除，实际操作中尽可能应用Wsyscheck内嵌的文件管理方法实际操作防止双击鼠标本地磁盘再度激话木马。在手动式删除Autorun.inf文件前要Wsyscheck的文件管理方法中开启这一文件查询木马运行的具体地址有益于您迅速寻找木马文件。清除时完后检查一下各盘网站根目录以确保彻底清除了Autorun.inf文件。

i.应用“严禁进程与文件建立”留意一下增加的日志页，便于寻找木马的根本原因。假如在日志页观查到不断写建立文件，不断写注册表文件，不断建立的进程。当此进程是是非非系统软件进程时还可以立即关掉并删除它。如果是系统软件进程，必须手动式剖析一下该进程的模块（相互配合查询一下主题活动页的载入项有利于迅速寻找木马插进系统软件进程的模块）。清除文件注册表文件进行后不必撤出“严禁进程与文件建立”，而应立即应用专用工具下的“重新启动电子计算机”，以保证大家的清除取得成功。

j.针对已明确的木马文件，能立即删除就删除，不可以立即删除就寻找它的开机启动项删除启并重新启动系统软件让系统软件不会再载入此程序流程后再做文件删除。假如木马维护的比较好，以上方法无效,可以用DOS删除功能先删文件再清除开机启动项。

8:Wsyscheck能够带主要参数运作以提升自己的优先

Wsyscheck 1 高过规范 Wsyscheck 2 高 Wsyscheck 3 即时

比如必须即时运行Wsyscheck,能够编写一个批处理命令 RunWs.bat ,內容为 Wsyscheck 3

将RunWs.bat与Wsyscheck放到一起，双击鼠标RunWs.bat就可以让Wsyscheck以即时优先运行。

9:顺手专用工具表明(指菜单栏专用工具下的子菜单栏功能)

消除临时性文件:删除%TEMP%,%windir%\Temp及%windir%\Downloaded Program Files下的全部文件。

消除Autorun.inf:程序流程剖析各盘根目录下的Autorun.inf偏向的文件，删除各盘的Autorun.inf以及偏向的文件。

修补掩藏文件表明及禁止使用电脑硬盘全屏播放:工具栏过长写不完,本功能还包含硬盘没法双击鼠标开启常见故障。留意，一些常见故障修补后可能必须销户或重新启动才可以起效。

修补安全中心：一些木马会毁坏安全中心的键值造成没法进到安全中心，本功能先备份数据当今安全中心键值再修复默认设置的安全中心键值。

搭建安全性自然环境：复原SSDT(一些杀毒软件复原SSDT会造成卡死,本功能仅检测在Kv系列产品,Kav6.0下应用没有问题,其他版本号请自主检测。如不确定性,应用本功能前最好是撤出杀毒软件进程),只保存系统软件务必的好多个进程，随后实行以上三个子菜单栏功能。

假如Wsyscheck的对话框自身已采用任意标识符,假如依然被木马禁止使用,请将Wsyscheck更名后运作。