巧用Windows系统自带命令搞定病毒（2）

　2、用reg delete删除新增自启动键值。

　　比如：通过上面的方法在[HKER_CURRENT_USERSOFTWAREMicrosoft

　　WindowsCurrentVersionRun],找到一个“Logon”自启动项，启动程序为“c:windowswinlogon.exe”,现在输入下列命令即可删除病毒自启动键值：

reg delete HKLMsoftwareMicrossoftWindows

　　CurrentVersionRun /f

　　3、用reg import恢复注册表。

　　Reg de-lete删除是的是整个RUN键值，现在用备份好的reg文件恢复即可，输入下列命令即可迅速还原注册表：reg import f:hklmrun.reg

　　上面介绍手动杀毒的几个系统命令，其实只要用好这些命令，我们基本可以KILL掉大部分的病毒，当然平时就一定要做好备份工作。

　　提示：上述操作也可以在注册表编辑器里手动操作，但是REG命令有个好处，那就是即使注册表编辑器被病毒设置为禁用，也可以通过上述命令导出/删除/导入操作，而且速度更快！

　　七、捆绑木马克星——FIND

　　上面介绍利用系统命令查杀一般病毒，下面再介绍一个检测捆绑木马的“FIND”命令。

　　相信很很多网虫都遭遇过捆绑木刀，这些“批着羊皮的狼”常常躲在图片、FLASH、甚至音乐文件后面。

　　当我们打开这些文件的时候，虽然在当前窗口显示的确实是一幅图片（或是播放的FLASH），但可恶的木马却已经在后台悄悄地运行了。

　　比如近曰我就收到一张好友从QQ传来的超女壁纸，但是当我打开图片时却发现：图片已经用“图片和传真查看器”打开了，硬盘的指示灯却一直在狂闪。

　　显然在我打开图片的同时，有不明的程序在后台运行。

　　现在用FIND命令检测图片是否捆绑木马，在命令提示符输入：

　　FIND /c /I〝This program〞g:chaonv.jpe.exe其中:

　　g:chaonv.jpe.exe表示需要检测的文件

　　FIND命令返回的提示是“___G:CHAONV.EXE: 2”,这表明“G：、CHAONV.EXE”确实捆绑了其它文件。

　　因为FIND命令的检测：如果是EXE文件，正常情况下返回值应该为“1”；如果是不可执行文件，正常情况下返回值应该为“0”，其它结果就要注意了。

　　提示：其实很多捆绑木马是利用Windows默认的“隐藏已知类型文件扩展名”来迷惑我们，比如本例的“chaonv.jpe.exe”，由于这个文件采用了JPG文件的图标，才导致上当。

　　打开“我的电脑”，单击“工具→文件夹选项”，“单击”“查看”，去除“隐藏已知类型文件扩展名”前的小勾，即可看清“狼”的真面目。

　　八、总结

　　最后我们再来总结一下手动毒的流程：

　　用TSKLIST备份好进程列表→通过FC比较文件找出病毒→用NETSTAT判断进程→用FIND终止进程→搜索找出病毒并删除→用REG命令修复注册表。

　　这样从发现病毒、删除病毒、修复注册表，这完成整个手动查毒、杀毒过程,在实践中不断的提高!