打造自己的病毒清除工具
時間：2005-01-10
來源：不詳
注：以下的方法僅適用非文件感染型的蠕蟲、木馬以及后門程序，適用平臺為win2k以及winxp
使用相關(guān)程序說明：
reg.exe命令行注冊表修改工具，winxp安裝完畢后即存在系統(tǒng)中，win2k的系統(tǒng)可以通過win2k安裝光盤下Support\Tools目錄中的setup.exe安裝。
Pskill.exe進程中止工具，該工具可以從
http://www.sysinternals.com/ntw2k/freeware/pstools.shtml下載。
一個批處理分為以下部分：
1.病毒服務(wù)處理部分
2.病毒進程處理部分
3.注冊表的清理部分
4.病毒文件的清理部分
詳細(xì)說明
病毒服務(wù)處理部分：
使用win2k以及winxp下的net stop命令進行病毒服務(wù)程序的停止，語法如下
net stop [服務(wù)名稱]
舉例來說:net stop _reg，將停止名為_reg的服務(wù)程序運行
病毒進程處理部分：
使用前述的pskill.exe工具進行病毒程序進程的中止
pskill [進程文件名稱]
舉例來說:pskill spollsv.exe，將中止名為spollsv.exe的程序的運行
注冊表的清理部分：
使用命令行注冊表修改工具進行注冊表的清理
注冊表項目的刪除
1.子鍵的刪除
reg delete [子鍵名稱] /f
2.注冊表值的刪除
reg delete [子鍵名稱] [/v值名稱] /f
注冊表項目的修改
reg add [子鍵名稱] [/v值名稱] [/t值類型] [/d值] /f
注：reg工具使用說明
REG command KeyName [/v ValueName | /ve] [/t Type] [/s Separator] [/d Data] [/f]
command，指定的操作類型
add，修改或添加注冊表項目
delete，刪除注冊表項目
KeyName，注冊表鍵，即根鍵與注冊表鍵的組合
FullKey ROOTKEY\SubKey
根鍵ROOTKEY [ HKLM | HKCU | HKCR | HKU | HKCC ]
子鍵SubKey
/v，標(biāo)識子鍵下的值名稱
/t，值數(shù)據(jù)類型
[ REG_SZ|REG_MULTI_SZ|REG_DWORD_BIG_ENDIAN|REG_DWORD
|REG_BINARY|REG_DWORD_LITTLE_ENDIAN|REG_NONE|REG_EXPAND_SZ]
缺省則默認(rèn)為REG_SZ類型
/d，標(biāo)識要添加到某個注冊表值下的數(shù)據(jù)，注冊表值名稱由/v參數(shù)指定
/f，不需用戶確認(rèn)，強制執(zhí)行對注冊表的刪除或是覆蓋
示例
reg delete HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\
CurrentVersion\RunServices /v "COM++ System" /f
以上命令將刪除
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows
\CurrentVersion\RunServices鍵下的，名為"COM++ System"的值
病毒文件的清理部分：
使用del命令簡單的刪除病毒文件，由于病毒的文件通常生成在windows安裝目錄下的一些系統(tǒng)目錄中，可以使用替代符%windir%指示windows的安裝路徑
示例
del %windir%\system32\spollsv.exe
病毒清除批處理示例：
rem WORM_LOVGATE.AF
@echo off
rem service part
net stop _reg
rem process part
pskillhxdef.exe
pskillravmond.exe
pskilltkbellexe.exe
pskillupdate_ob.exe
pskillcdplay.exe
pskillspollsv.exe
pskill iexplorer.exe
rem registry clean part
reg delete HKEY_LOCAL_MACHINE\Software\Microsoft\Windows
\CurrentVersion\RunServices /v "COM++ System" /f
reg delete HKEY_LOCAL_MACHINE\Software\Microsoft\Windows
\CurrentVersion\RunServices /v "SystemTra" /f
reg delete HKEY_LOCAL_MACHINE\Software\Microsoft
\Windows\CurrentVersion\Run /v "WinHelp" /f
reg delete HKEY_LOCAL_MACHINE\Software\Microsoft
\Windows\CurrentVersion\Run /v "Hardware Profile" /f
reg delete HKEY_LOCAL_MACHINE\Software\Microsoft
\Windows\CurrentVersion\Run /v "Microsoft Associates, Inc." /f
reg delete HKEY_LOCAL_MACHINE\Software\Microsoft
\Windows\CurrentVersion\Run /v "Program In Windows" /f
reg delete HKEY_LOCAL_MACHINE\Software\Microsoft
\Windows\CurrentVersion\Run /v "Shell Extension" /f
reg delete "HKEY_CURRENT_USER\Software\Microsoft
\Windows NT\CurrentVersion\Windows" /v "run" /f
reg delete HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\_reg /f
rem file clean part
del %windir%\system32\hxdef.exe
del %windir%\system32\iexplorer.exe
del %windir%\system32\kernel66.dll
del %windir%\system32\ravmond.exe.exe
del %windir%\system32\tkbellexe.exe
del %windir%\system32\update_ob.exe
del %windir%\cdplay.exe
del %windir%\system32\spollsv.exe
