好友
阅读权限255
听众
最后登录1970-1-1
|
Hmily
发表于 2009-5-26 13:34
Wsyscheck是一款手动清理病毒木马的工具，其目的是简化病毒木马的识别与清理工作。
一般来说，对病毒体的判断主要可以采用查看路径，查看文件名，查看文件创建日期，查看文件厂商，微软文件校验，查看启动项等方法，Wsyschck在这些方面均尽量简化操作，提供相关的数据供您分析。
最终判断并清理木马取决际您个人的分析及对Wsyscheck基本功能的熟悉程度。
Wsyscheck基本功能简单介绍:
1:软件设置中的模块、服务简洁显示
简洁显示会过滤所微软文件，但在使用了“校验微软文件签名”功能后，通不过的微软文件也会显示出来。
SSDt右键“全部显示”是默认动作，当取消这个选项后，则仅显示SSDT表中已更改的项目。
2:关于Wsyscheck的颜色显示
进程页：
红色表示非微软进程,紫红色表示虽然进程是微软进程,但其模块中有非微软的文件。
服务页：
红色表示该服务不是微软服务,且该服务非.sys驱动。（最常见的是.exe与.dll的服务，木马大多使用这种方式）。
使用“检查键值”后，蓝色显示的是有键值保护的随系统启动的驱动程序。它们有可能是杀软的自我保护，也有可能是木马的键值保护。
在取消了“模块、服务简洁显示”后，查看第三方服务可以点击标题条”文件厂商”排序，结合使用“启动类型”、“修改日期”排序更容易观察到新增的木马服务。
进程页中查看模块与服务页中查看服务描述可以使用键盘的上下键控制。
在使用“软件设置”-“校验微软文件签名”后，紫红色显示未通过微软签名的文件。同时，在各显示栏的"微软文件校验"会显示Pass与no pass。(可以据此参考是否是假冒微软文件，注意的是如果紫红色显示过多，可能是你的系统是网上常见的Ghost精简版，这些版本可能精简掉了微软签名数据库所以结果并不可信)
SSDT管理页：
默认显示全部的SSDT表，红色表示内核被HOOK的函数。查看第三方模块，可以点击两次标签“映像路径”排序，则第三方HOOK的模块会排在一起列在最前面。也可以取消“全部显示”,则仅显示入口改变了的函数。
SSDT页的“代码异常”栏如显示“YES”,表明该函数被Inline Hook。如果一个函数同时存在代码HOOK与地址HOOK,则对应的模块路径显示的是Inline Hook的路径，而使用“恢复当前函数代码”功能只恢复Inline Hook，路径将显示为地址HOOK的模块路径，再使用“恢复当前函数地址”功能就恢复到默认的函数了。
使用“恢复所有函数”功能则同时恢复上述两种HOOK。
发现木马修改了SSDT表时请先恢复SSDT，再作注册表删除等操作。
活动文件页：
红色显示的常规启动项的内容。
3:关于Wsyscheck启动后状态栏的提示“警告！程序驱动未加载成功，一些功能无法完成。”
多数情况下是安全软件阻止了Wsyscheck加载所需的驱动，这种情况下Wsyscheck的功能有一定减弱，但它仍能用不需要驱动的方法来完成对系统的修复。
驱动加载成功的情况下,对于木马文件可以直接使用Wsyscheck中各页中的删除文件功能,本功能带有“直接删除”运行中的文件的功能。
4:关于卸载模块
对HOOK了系统关键进程的模块卸载可能导致系统重启，这与该模块的写法有关系，所以卸载不了的模块不要强求卸载，可以先删除该模块的启动项或文件(驱动加载情况下使用删除后重启文件即消失)。
5:关于文件删除
驱动加载的情况下,Wsyscheck的删除功能已经够用了,大多数文件都可以立即删除(进程模块可以直接使用右键下带删除的各项功能),加载的DLL文件删除后虽然文件仍然可见，但事实上已删除，重启后该文件消失。
文件管理页的“删除”操作是删除文件到回收站，支持畸形目录下的文件删除。应注意的是如果文件本身在回收站内，请使用直接删除功能。或者使用剪切功能将它复制到另一个地方。否则你可能看到回收站内的文件删除了这个又添加了那个。
Wsyscheck的或“dos删除功能”需要单独下载Wsyscheck的附加模块文件WDosDel.dat,将此文件与Wsyscheck放在一起会显示出相关页面，添加待删除文件并重启，启动菜单中将出现“删除顽固文件”字样，选择后转入Dos删除文件。在某些机器上，若执行“dos删除”重启后系统报告文件损坏要修复(此时修复会造成文件系统的真正损坏)，此时请不要修复而是立即关闭主机电源，重新开机。（这种情况是Dos删除所带的NTFS支持软件本身的BUG造成的，并不需要真正的修复，只需关闭电源重新开机即可。）
“重启删除”与“Dos删除”可以同时使用。其列表都可以手动编辑,一行一个文件路径即可。关闭程序时如果上述两者之一存在删除列表，会问询是否执行。
注意，为避免病毒程序守护，Wsyscheck可以在删除某些文件时可能会采取0字节文件占位的方式来确保删除。这些0字节文件在Wsyscheck退出后会被自动清理。是否采用此方式依赖于“软件设置”下的“删除文件后锁定”选项是否勾选。
如果需要对删除的文件备份,先启用软件设置下的“删除文件前备份文件”，它将在删除前将文件备份到%SystemDrive%\VirusBackup目录中，且将文件名添加.vir后缀以免误执行。
6:关于进程的结束后的反复创建
如果确系木马文件,可选择结束进程并删除文件,这样的话Wsyscheck会将其结束并删除文件。但有时因为木马有关联进程未同时结束，会重新加载木马文件。这时我们可以选择“软件设置”下的“删除文件后锁定”。这时当结束进程并删除文件后Wsyscheck将创建0字节的锁定文件防止木马再生。
也可以使用进程页的“禁止程序运行”，这个功能就是流行的IFEO劫持功能，我们可以使用它来屏蔽一些结束后又自动重新启动的程序。通过禁用它的执行来清理文件。解除禁用的程序用“安全检查”页的“禁用程序管理”功能，所以在木马使用IFEO劫持后也可以“禁用程序管理”中恢复被劫持的程序。
软件设置下的“禁止进程与文件创建”功能是针对木马的反复启动，反复创建文件，反复写注册表启动项进行监视或阻止,使用本功能后能更清松地删除木马文件及注册表启动项。开启禁止“禁止进程与文件创建”后会自动添加“监控日志”页，取消后该页消失。可以观察一下日志情况以便从所阻止的动作中找到比较隐藏的木马文件。注意的是，如果木马插入系统进程，则反映的日志是阻止系统进程的动作，你需要自我分辨该动作是否有害并分析该进程的模块文件。
要保留日志请在取消前Ctrl+A全选后复制。注意,为防止日志过多,满1000条后自动删除前400条日志。
对于反复写注册表启动项无法修复的情况，可以先用“禁止进程与文件创建”找出覆写该注册表项的进程，针对木马插入的线程进行挂起，再修复注册表。
懒于查看分析，不想太麻烦的话，可以先删除文件（直接删除、重启删除），待重启之后再修复注册表。
8:关于批量处理
各页中可尝试用Ctrl,Shift多选再执行相关的功能。
文件搜索中的“保存文件列表”导出搜索结果列表1，在PE启动后再执行一次得到结果2,将结果1与结果2相比较，可以用来对付某些Wsyscheck检测不出深度隐藏的RootKit。
9:关于如何清理木马的简单方法：
1: 勾选“软件设置”下的“删除文件后锁定”以阻止文件再生。
2: 批量选择病毒进程，使用“结束进程并删除文件”。
3: 插入到进程中的模块多不可怕，全局钩子在各进程中通常都是相同的，处理进程的模块即可。建议采用“直接删除模块文件”，本功能执行后看不到变化，但文件其实已经删除。不建议使用“卸载模块”功能（为保险也可以与“重启删除”联用），原因是卸载系统进程中的模块时有可能造成系统重启而前功尽弃。
4: 执行“清理临时文件”、“清除Autorun.inf”
5：在安全检查中可以修复的修复一下。不强求，重启后再执行二次清理。
6: 重启机器，大部份的病毒应该可以搞定了。此时再次检查，发现还有少量的顽固病毒才使用“禁用”“线程”“卸载”“重启删除”“Dos删除”等方法。
7: 清理完后切换到文件搜索页，限制文件大小为50K左右，去除“排除微软文件的勾”搜索最近一周的新增的文件，从中选出病毒尸体文件删除。
10:Wsyscheck可以使用的参数说明:
Wsyscheck可以带参数运行以提高自身的优先级
Wsyscheck 1 高于标准 Wsyscheck 2 高 Wsyscheck 3 实时
例如需要实时启动Wsyscheck,可以编辑一个批处理 RunWs.bat ,内容为 Wsyscheck 3
将RunWs.bat与Wsyscheck放在一起，双击RunWs.bat即可让Wsyscheck以实时优先级启动。
Wsyscheck -f wsyscheck将恢复部份查询类的SSdt表中的函数,然后退出。
Wsyscheck -s 在-f的基础上执行创建安全环境后退出。
如将Wsyscheck.exe更名，则Wsyscheck启动后先恢复执行部份查询类的SSdt表中的函数，其恢复结果可以在SSdt显示页下面的Auto Restore中看到。不更名则不带此功能。另外，更名后Wsyscheck将使用随机驱动名来释放驱动。
11:随手工具说明(指菜单工具下的子菜单功能)
一般看其意即识其意,仅对部份子项说明:
清除临时文件:删除%TEMP%,%windir%\Temp及%windir%\Downloaded Program Files下的所有文件。
禁用硬盘自动播放:本功能还包括磁盘无法双击打开故障。注意，某些故障修复后可能需要注销或重启才能生效。
修复安全模式：某些木马会破坏安全模式的键值导致无法进入安全模式，本功能先备份当前安全模式键值再恢复默认的安全模式键值。
如果Wsyscheck的窗口本身已采取随机字符,如果仍然被木马禁用,请将Wsyscheck改名后运行。
Wangsea 20071222
Wang6071@sina.com.cn
http://wangsea.ys168.com
Wsyscheck20071226(V1.68.14.0)
添加驱动的释放方式,现在是如果程序不改名则使用随机目录方式释放，如果程序更名则在使用随机文件名释放并加载驱动。
修正一处小BUG。
Wsyscheck20071229(V1.68.15.0)
修正在PE下程序无法运行的问题。
wsyscheck20080104(V1.68.16)
修正直接删除时对畸形目录处理的一处小BUG。
修正文件浏览中重命名文件时会自动跳到首字符相同的文件上使重命名中断的Bug。
将内置文件浏览器的“查看”改为打开方式,一来方便文件的不同方式打开,二来也可以顺便注册些丢失了打开方式的文件类型。
虽然并不推荐多个模块同时卸载，但一再有人要这个功能，所以本版模块卸载允许选择多个模块同时卸载。
内核模块添加显示对应的服务项，右键菜单添加“转到服务页”以便处理对应的服务。
“活动文件”及“IE安全”添加“修复并删除文件”（本项功能不支持多选同时操作）
有人提出Hoost中添加恢复默认Host选项,先前的版本已有这个功能,只需先将Host列表中清空并保存。然后刷新一次再保存就可以,本版再改一下,清空后保存就恢复默认host。
Wsyscheck的重启计算机不通知程序就立即重启,如果打开的程序比较多可能造成重启后系统自检，故本版修订为执行前先做一次“安全环境”再重启。
近期一些问题的回复：
不考虑加入搜索模块等功能，其它软件有这些功能是因为它们的显示不如Wsyscheck直观。另外使用前拜托花几分钟读一读简要说明和把软件菜单及时各页认真看一下，不要老提添加已有的功能。
关于[文件管理]的展开列表问题，是沿用了windows的习惯,点击+号只展开树,点击文件夹要刷新文件列表，打开资源管理器对比一下。
[端口状态] 的“刷新”本来就是定时刷新的，所以没必要再加刷新功能，上网同时看一下就知道了。这个页面不再添加其它功能，因其作用有限，仅作查看参考。
关于“快速净化”功能在Wsyscheck中不添加，原因是此功能作用有限，会者不作，不会的在净化后又处理不好。关于保留更新历史，因为Wsyscheck的更新较多，所以只考虑保留最近的几个历史更新记录。
Wsyscheck20080105(V1.68.17)
修正文件浏览左树中双击展开时的小BUG。
修正文件浏览中读只读U盘提示U盘不可写的问题。也就是说现在可以在只读U盘上运行不报错了。
Wsyscheck20080116(V1.68.18)
本版着重修正了内置的文件管理器，添加了文件创建时间的显示,增强了对畸形文件夹的处理等。
菜单下添加了一个“清除IE临时文件”。
添加一个参数：-run,用法：
wsyscheck -run mykill.bat //运行安全环境后执行mykill.bat并退出
Wsyscheck20080118(V1.68.19)
修正点击光驱无光盘时弹出错误后,左树需要双击才能打开的问题。
修正文件创建日期的排序问题。
加入一个防止Active页的除错处理过程。
将<清除Downloaded ProgramFiles>单独做成了一个选项。
Wsyscheck20080119(V1.68.20)
修正由于最近的改版导致某类畸形目录读取错误的问题。
Wsyscheck20080122(V1.68.21)
继续增强对带点目录的支持，本版的文件管理具有如下特性：
[直接删除]可以从顶级删除畸形文件夹。
[删除]只能从最后一级畸形文件夹倒着往上删才会成功。
建立畸形文件夹方法：
1：先新建一个文件夹。
2：更名它为：..\则建立一个E2e2~1文件夹，nul\建立的是nul文件夹(保留字文件夹)。
更名为a.建立的是a.文件夹(输入a.\结果相同),更名为...建立的是...文件夹(输入...\结果相同)。
Wsyscheck20080125(V1.68.22)
更改反HOOK代码，以前是这个部份易导致程序出错，本版换了一个方法。
Wsyscheck20080126(V1.68.23)
上一版在某些机器上退出不够稳定,本版修改一下看是否更稳定一些。
对近期版本不能直接打开畸形目录内的文件作了一些修正。
Wsyscheck20080126(V1.68.24)
修正上一版畸形文件夹下某些类型文件(如.JPG)打不开的问题。
Wsyscheck20080129(V1.68.27)
修正上一版端口显示不显示及Vista系统下无法运行的问题。
Wsyscheck20080201(V1.68.28)
继续改进防注入的代码。
Wsyscheck20080202(V1.68.29)
调整部份代码减少出错的可能性。
Wsyscheck20080202(V1.68.30)
再次调整反注入代码。
Wsyscheck20080203(V1.68.31)
兼容性一直是个问题，本版还原原来的方式。
Wsyscheck20080204(V1.68.32)
修正因为磁碟机变种导致本软件界面无法显示的BUG。
Wsyscheck20080223(V1.68.33)
修正内置注册表浏览器显示二进制数据错误的BUG。
调整使用-run启动脚本时显示脚本窗体。 |
|
发表于 2009-5-26 14:02
