作為站長我們有些時(shí)候是要手工清除服務(wù)器上的一些病毒，現(xiàn)在我司整理相關(guān)的網(wǎng)站資源，行文如下，希望“windows服務(wù)器手工殺毒要掌握的命令”這篇文章可以幫助vps主機(jī)和服務(wù)器托管用戶徹底清除愛機(jī)上的病毒和木馬！
【適合對象】
1、vps主機(jī)用戶
2、服務(wù)器托管用戶
3、服務(wù)器安全愛好者
一、TaskList命令備份系統(tǒng)進(jìn)程
在剛裝好系統(tǒng)的時(shí)候，最好使用TaskList命令將系統(tǒng)的進(jìn)程做下備份，這樣以后感覺電腦異常的時(shí)候可以通過比較進(jìn)程列表，找出可能是病毒的進(jìn)程
在命令提示符下輸入：
TaskList /fo:csv>g:\zc.csv
上述命令的作用是將當(dāng)前進(jìn)程列表以csv格式輸出到“zc.csv”文件中，g:為你要保存到的盤，可以用Excel打開該文件.
二、FC命令比較進(jìn)程列表文件
感覺服務(wù)器有病毒時(shí)，那么就有必要檢查一下進(jìn)入命令提示符下，輸入下列命令：
TaskList /fo:csv>g:\yc.csv
生成一個(gè)當(dāng)前進(jìn)程的yc.csv文件列表，然后輸入：
FC g:\zccsv g:\yc.csy
回車后就可以看到前后列表文件的不同了，通過比較發(fā)現(xiàn)，電腦多了一個(gè)名為“Winion0n.exe”(這里以這個(gè)進(jìn)程為例)不是“Winionon.exe”的異常進(jìn)程。
三、Netstat命令查看進(jìn)程端口
對這樣的可疑進(jìn)程，如何判斷它是否是病毒呢？根據(jù)大部分病毒（特別是木馬）會(huì)通過端口進(jìn)行對外連接來傳播病毒，可以查看一下端口占有情況。
在命令提示符下輸入：
Netstat -a-n-o
參數(shù)含義如下：
a:顯示所有與該主機(jī)建立連接的端口信息
n:顯示打開端口進(jìn)程PID代碼
o：以數(shù)字格式顯示地址和端口信息
回車后就可以看到所有開放端口和外部連接進(jìn)程，這里一個(gè)PID為1756（以此為例）的進(jìn)程最為可疑，它的狀態(tài)是“ESTABLISHED”，通過任務(wù)管理器可以知道這個(gè)進(jìn)程就是“Winion0n.exe”，通過查看本機(jī)運(yùn)行網(wǎng)絡(luò)程序，可以判斷這是一個(gè)非法連接！
連接參數(shù)含義如下：
LISTENINC：表示處于偵聽狀態(tài)，就是說該端口是開放的，等待連接，但還沒有被連接，只有TCP協(xié)議的服務(wù)端口才能處于LISTENINC狀態(tài)。
ESTABLISHED的意思是建立連接。
表示兩臺(tái)機(jī)器正在通信。
TIME-WAIT意思是結(jié)束了這次連接。
說明端口曾經(jīng)有過訪問，但訪問結(jié)束了，用于判斷是否有外部電腦連接到本機(jī)。
四、NTSD命令：解決任務(wù)管理器難刪除的進(jìn)程
已經(jīng)知道 “Winion0n.exe”是個(gè)非法進(jìn)程，但是病毒的進(jìn)程缺無法通過任務(wù)管理器終止，怎么辦？
在命令提示符下輸入下列命令：
ntsd –c q-p 1756
回車后可以順利結(jié)束病毒進(jìn)程。
提示：“1756”為進(jìn)程PID值，如果不知道進(jìn)程的ID，打開任務(wù)管理器，單擊“查看→選擇列→勾上PID（進(jìn)程標(biāo)識(shí)符）即可。
NTSD可以強(qiáng)行終止除Sytem,SMSS.EXE,CSRSS.EXE外的所有進(jìn)程。
五、斷定病毒后，定要斬草除根——搜出病毒原文件
對于已經(jīng)判斷是病毒文件的“Winion0n.exe”文件，通過搜索“本地所有分區(qū)”、“搜索系統(tǒng)文件夾和隱藏的文件和文件夾”，找到該文件的藏身之所，將它刪除。
不過這樣刪除的只是病毒主文件，通過查看它的屬性，依據(jù)它的文件創(chuàng)建曰期、大小再次進(jìn)行搜索，找出它的同伙并刪除。
如果你不確定還有那些文件是它的親戚，通過百度病毒名字如“Winion0n.exe”找病毒信息獲得幫助。
六、清除注冊表垃圾
由于自啟動(dòng)鍵值很多，發(fā)現(xiàn)病毒時(shí)手動(dòng)查找很不方便。
這里用reg export+批處理命令來備份。
啟動(dòng)記事本輸入下列命令：
reg export HKLM\software\Microsoft\Windows\CurrentVersion\Run f:\hklmrun.reg
reg export HKCU\Soft\ware\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run f:\hklcu.reg
reg export HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run f:\hklml.reg
注：這里只列舉幾個(gè)常見鍵值的備份，其它鍵值請參照上述方法制作。
然后將它保存為ziqidong.bat在命令提示符下運(yùn)行它，即可將所有自啟動(dòng)鍵值備份到相應(yīng)的reg文件中，接著再輸入：
copy f:\*.reg ziqidong.txt
命令的作用是將所有備份的reg文件輸出到“ziqidong.txt”中，這樣如果發(fā)現(xiàn)病毒新增自啟動(dòng)項(xiàng)，同上次導(dǎo)出自啟動(dòng)值，利用上面介紹的FC命令比較前后兩個(gè)txt文件，即可快速找出新增自啟動(dòng)項(xiàng)目。
2、用reg delete刪除新增自啟動(dòng)鍵值。
比如：通過上面的方法在[HKER_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run],找到一個(gè)“Logon”自啟動(dòng)項(xiàng)，啟動(dòng)程序?yàn)椤癱:windowswinlogon.exe”,現(xiàn)在輸入下列命令即可刪除病毒自啟動(dòng)鍵值：
reg delete HKL\Msoftware\Microssoft\Windows\CurrentVersion\Run /f
3、用reg import恢復(fù)注冊表。
Reg de-lete刪除是的是整個(gè)RUN鍵值，現(xiàn)在用備份好的reg文件恢復(fù)即可，輸入下列命令即可迅速還原注冊表：reg import f:\hklmrun.reg
上面介紹手動(dòng)殺毒的幾個(gè)系統(tǒng)命令，其實(shí)只要用好這些命令，我們基本可以KILL掉大部分的病毒，當(dāng)然平時(shí)就一定要做好備份工作。
提示：上述操作也可以在注冊表編輯器里手動(dòng)操作，但是REG命令有個(gè)好處，那就是即使注冊表編輯器被病毒設(shè)置為禁用，也可以通過上述命令導(dǎo)出/刪除/導(dǎo)入操作，而且速度更快！
windows服務(wù)器手工殺毒要掌握的命令總結(jié)完畢，如有疑問請聯(lián)系我們！
渝公網(wǎng)安備 50024202000196號(hào)
域名注冊知識(shí)
虛擬主機(jī)知識(shí)
網(wǎng)站建設(shè)知識(shí)
網(wǎng)絡(luò)推廣知識(shí)
網(wǎng)絡(luò)營銷知識(shí)
常見技術(shù)問題
QQ空間
新浪微博
開心網(wǎng)
人人網(wǎng)