教程里所有样本的解压密码为：www.cainiaotengfei.com

第一课，查杀病毒技术与免杀的永久对抗
杀毒软件的滞后性，依赖病毒库更新
netstat -ano 显示当前打开的端口，State为LISTENING为监听状态，ESTABLISHED为正在连接的状态，记住其PID
tasklist /svc 显示当前服务
通过第一个命令记住连接状态的PID，通过第二个命令查看服务PID，找到那个服务打开的端口。

第二课，建立对手动查杀病毒技术在正确认识
手动杀毒也要依靠杀毒软件，如有的感染型病毒。
要熟悉win系统服务和进程，端口与进程的对应关系，注册表启动项位置

第三课  详解windows随机启动项
HKCU下的software.microsoft.windows.currentversion.run
HKLM下的software.microsoft.windows.currentversion.run/windowsNT.currentversion下的winlogon和image file execution options
msconfig下显示是启动项不全，最好用autoruns软件来显示

第四课  详解windows随机启动项目——系统服务
可能过msconfig查看——服务，隐藏微软服务，services.msc里可开启关闭禁用服务，
命令行查看服务，tasklist /svc 用工具services/drivers Configuration Tool 1.4查看服务
系统一些服务的介绍

辅助教程：
对svchost.exe进程的分析：********
它是服务的宿主程序，它加的服务可在HKLMsoftware\microsoft\windows NT\CurrentVersion\SvcHost下的netsvcs项中找到！查看一个svchost.exe进程作为那些服务里宿主可通过tasklist /svc查看，也可使用SREng查看
一个DLL文件的服务需要一个svchost.exe进程
dir svchost.exe 通过此命令可查找当前目录有没有svchost.exe这个文件
start. 通过此命令可用资源管理器打开当前命令行目录
此进程也有可能是病毒创建的。

对windows services的分析：
用到的工具Sc和ServicesDrivers Configure Tool
sc delete <service name>
sc create <service name>
sc stop <service name>
sc start <service name>
copy notepad.exe c:\
sc create feifei binpath= c:\notepad.exe

第五课  实战查杀熊猫烧香，又名武汉男生
filemon，regmon
中毒症状：
1.拷贝自身到所有驱动器根目录命名为setup.exe，并生成一个autorun.inf文件使用记打开盘即运行病毒，将这两个文件设为隐藏，只读，系统属性。
2.每个感染的文件中生成一个desktop.ini的隐藏文件，内容为感染日期。
 

3.电脑所有脚本文件（.htm/.html/.asp/.php/.jsp/.aspx）加入下载病毒自身的代码〈iframe src=XXX width="0" height="0"></iframe>〉
4.无法修改文件夹选项，不能显示出隐藏文件
5.常见杀软件和反病毒工具无法运行 搜索含有特殊字符的进程结束它
6.打不开任务管理器和注册表
7.向外发包，连接局域网其它机器。
8.遍历磁盘目录，感染非系统目录的所有exe,scr,pif,com文件，并把图标改成熊猫烧香，会过滤系统目录不感染。
9.删除所有.gho的ghost备份文件。

发作症状：
1.将自身拷贝到：c:\windows\system32\drivers\spoclsv.exe，
2.将HKCU下的RUN增加启动项。
3.每隔一秒，搜索桌面窗口，把含有QQKav QQAV,防火墙，进程，网镖，杀毒，瑞星，江民等字符的程序关闭。
4.每隔18稍点击病毒作者指定网页，每隔10稍下载病毒指定文件，
5.每隔6秒删除安全软件在注册表中的键值
6.修改HKLM.software.microsoft.windows.currentversion.explorer.advanced.folder.hidden.showall.checkedvalue值为0x00。
7。删除以下服务

杀毒步骤（所有）：
1.查内存，排查可疑进程，2.查启动项，删除病毒启动项，3.通过启动项判断病毒位置并删除 4.修复系统。

具体操作：
1.tasklist 看到名为spoclsv.exe的进程 PID为1828
2.tasklist /svc 看到名为spoclsv.exe的服务 PID为1828
3.tasklist /f /im 1828  结束该进程
4.msconfig查看spoclsv.exe的启动项并根据路径到注册表删除
5.根据注册表显示路径到system32\drivers目录下删除spoclsv.exe，CMD下进程该目录，用dir spoclsv.exe可查看该目录是
6.重启电脑右击——打开每个盘删除setup.exe和autorun.inf，注：右击如第一项为Auto即可能中了自动运行病毒，Auto也可能改为其它名，一般第一项为“打开”否有该文件。
也可在CMD下进入盘根目录删除，如删除D盘的
d:
dir /ah  显示属性为隐藏的文件， /a表attrib，h为隐藏，r为只读，s为系统
attrib -r -h -s autorun.inf
attrib -r -h -s setup.exe
del /f autorun.inf
del /f setup.exe
后面四句也可简写为：
del /ah /f autorun.inf & del /ah /f setup.exe
start.  删除完后为该命令跳到根目录查看、
logoff 注销 再次登录。
7：文件夹选项显示隐藏文件无法选中，即使点击显示所有文件，关闭后再开发现还是选择的不显示隐藏文件。
需修改HKLM.software.microsoft.windows.currentversion.explorer.advanced.folder.hidden.showall.checkedvalue值为1
8.修改的脚本文件和exe文件就只有用杀毒软件来搞定了

第六课  手动杀威金病毒
病毒样本在第五课，DLLHOST.exe，运行样本在虚拟机。

查杀方法：
1.进入带命令行的安全模式
taskmgr 进入任务管理器  explorer进程桌面有任务栏  msconfig 查看启动项
cmd进C盘， dir /s DLLHOST.exe 查看是否存在DLLHOST.exe
启动项：HKCU.software.microsoft.windows NT.currentverion.windows下新建load载入文件启动项msconfig不显示
system32下：删除DLLHOST.exe

第七课  手动查杀QQ盗号木马
用到的工具：icesword，Autoruns
病毒样本，tfidma目录下的server.exe tfidma.exe两文件。运行后有除这两个名，还有个conime.exe进程
病毒特点，双进程保护，结束一个，另一个自动重建。常用杀毒工具名被劫持无法运行，需改名才可运行

杀毒方法：
1。改名后运行icesword——文件——创建进程规则——添加规规则，勾选“禁止”和“文件名”并将病毒进程名添加进去，即添加所有禁止创建病毒进程名的规则，再所有结束进程。
2.因为病毒在注册添加了注册表名regedit.com regedit.exe等为名称的劫持项，需复制重命名后运行
cd windows & dir regedit.exe
copy regedit.exe rrr.exe
3.运行rrr.exe进入注册表，到HKLM.software.microsoft.windows NT.currentversion.image file execution options下删除病毒创建的劫持项。查看那些项下有病毒进程名路径，并记住其劫持运行病毒路径。
4.可用autoruns.exe软件查看和删除启动项和劫持项，当有多个劫持项时此方法省力。
5.删除所有根目录的OSO.exe autorun.inf病毒
dir /ah  显示当前目录属性为隐藏的文件。
type autorun.inf  查看病毒文件内容
del /ah /f OSO.exe
del /ah /f autorun.inf
6.删除system32和system32\drivers下的病毒文件和DLL，sever.exe tfidma.exe tfidma.dll和drivers下的隐藏病毒文件

第八课 实战查杀使用Rootkit技术灰鸽子木马
先用黑防鸽子配置一个在2000/xp下隐藏进程的服务端运行
查杀方法：
1.用netstat -ano查看端口连接状态，并记住正在连接的PID值为1620。
2.用tasklist | find "1620"  搜索PID为1620的进程名 注：后测试有时这句命令用CMD终端结果有时显示不出来，其它远程终端又可以显示，如Gh0st远控！
3.用taskkill /f /PID 1620  终止PID为1620的进程
4.到windows下用del /ah /f huigezi.exe删除病毒文件。
6.sc delete GrayPigeon_Hacker.com.cn 用sc.exe工具删除服务

第9课 实战查杀ghost木马，对抗DLL线路注入技术
在ghost的设置里配置一个服务端在虚拟机运行。
查杀方法：
1.netsta -ano 查端口和tasklist｜tasklist /svc查进程获得打开端口和运行进程及服务的PID对应关系
2.用冰刃查看各进程模块信息
3.autoruns和msconfig查看服务
4.根据查看到路径CMD到system32下删除6to4ex.dll
del /ah /f 6to4ex.dll
sc delete 6to4

第10课 实课查杀未知病毒与木马，综合防御与数字签名
1.微软的数字签名校验类似于MD5，但它是通过哈唏HASH值来校验，对比的HASH库
2.autoruns可以校验数字签名
3.有时系统文件被修改能不过数字签名，需要删除找到同版本替换，重启后才能通过数字签名，例ctfmon.exe感染病毒。
dir /s ctfmon.exe 在当前目录下搜索ctfmon.exe文件
del c:\windows\system32\ctfmon.exe & del c:\windows\system32\dllcache\ctfmon.exe
copy ....... 复制文件到删除的位置
注：拖动文件到CMD窗口可快速在光标处输入文件的路径
4.安装综合防御工具，把常用的运行一遍添加默认规则。

第11课，课程总结