|
|
建议：添加一个免疫移动磁盘自动激活病毒的免疫功能（创建一个Autorun.inf的隐藏目录，其下面再创建一个带有“ .”号的目录以防止删除 ）。毕竟移动磁盘目前已经成为非常突出的一个交叉感染源。
以下是我制作的免疫脚本，供参考。
另外，发现在一种Autorun病毒仍然在运行时，脚本中的处理无法执行成功，因为病毒对 Autorun.inf 进行了保护，连改名都难。因此最好在处理时检测是否处理成功。目前我下面的脚本并没有检测是否操作成功的功能。
@Echo Off
color 9f
REM title 移动介质病毒免疫工具
:reg
Rem 无条件禁止自动运行特性防范病毒
reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoDriveAutoRun /t REG_BINARY /d ffffff03 /f>nul
reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer" /v NoDriveTypeAutoRun /t REG_DWORD /d 0x000000df /f>nul
reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoDriveTypeAutoRun /t REG_DWORD /d 0x000000df /f>nul
reg add "HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoDriveTypeAutoRun /t REG_DWORD /d 0x000000df /f>nul
reg add "HKEY_USERS\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoDriveTypeAutoRun /t REG_DWORD /d 0x000000df /f>nul
reg add "HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoDriveTypeAutoRun /t REG_DWORD /d 0x000000df /f>nul
reg add "HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoDriveTypeAutoRun /t REG_DWORD /d 0x000000df /f>nul
:menu1
cls
Echo.
Echo.
Echo 磁盘 Autorun 病毒免疫工具 By 深山红叶
Echo.
Echo 移动磁盘容易受到利用移动设备的自动运行特性而感染和发作的病毒
Echo 的侵袭，而我们无法保证其他的机器中没有这类病毒。
Echo.
Echo 本工具可对移动磁盘进行特别的免疫处理，使得它的自动运行特性完
Echo 失效，从而避免带毒的移动磁盘插入本机后病毒立即自动执行。
Echo 当然，您也完全可以对硬盘分区进行免疫处理。
Echo.
Echo.
Echo [1] 免疫当前系统中所有磁盘
Echo [2] 只免疫指定磁盘或移动磁盘
Echo [3] 退出
Set Choice=
Echo.
Set /P Choice= 请输入要执行的操作，然后按回车：
Echo.
If '%Choice%'=='' goto other
If /I '%Choice%'=='1' GOTO alldisk
If /I '%Choice%'=='2' GOTO setlet
If /I '%Choice%'=='3' GOTO end
Goto menu1
:alldisk
Echo.
Echo 正在免疫！可能需要一小会时间，请稍候……
for %%a in (c,d,e,f,g,h,i,j,k,l,m,n,o,p,q,r,s,t,u,v,w,x,y,z) do echo Y|cacls %%a:\autorun.inf /C /P everyone:F>nul 2>nul
for %%a in (c,d,e,f,g,h,i,j,k,l,m,n,o,p,q,r,s,t,u,v,w,x,y,z) do attrib -s -h -r %%a:\Autorun.inf>nul 2>nul
for %%a in (c,d,e,f,g,h,i,j,k,l,m,n,o,p,q,r,s,t,u,v,w,x,y,z) do Del /F /S /Q %%a:\Autorun.inf>nul 2>nul
for %%a in (c,d,e,f,g,h,i,j,k,l,m,n,o,p,q,r,s,t,u,v,w,x,y,z) do md %%a:\Autorun.inf\>nul 2>nul
for %%a in (c,d,e,f,g,h,i,j,k,l,m,n,o,p,q,r,s,t,u,v,w,x,y,z) do md %%a:\Autorun.inf\病毒免疫目录不要删除！..\>nul 2>nul
for %%a in (c,d,e,f,g,h,i,j,k,l,m,n,o,p,q,r,s,t,u,v,w,x,y,z) do attrib +s +h +r %%a:\Autorun.inf>nul 2>nul
for %%a in (c,d,e,f,g,h,i,j,k,l,m,n,o,p,q,r,s,t,u,v,w,x,y,z) do echo Y|cacls %%a:\autorun.inf /C /P everyone:R>nul 2>nul
cls
Echo.
Echo 当前系统的所有磁盘已经成功地进行了自动运行病毒免疫！
Echo 任意键退出……
pause>nul
goto end
:setlet
Echo.
Echo 请插入移动磁盘，确定盘符已经分配完毕后，任意键继续……
pause>nul
Echo.
Set Choice=
Set /P Choice= 请输入要免疫的移动磁盘的盘符，如 F: 然后按回车：
If '%Choice%'=='' goto setlet
echo Y|cacls %Choice%\autorun.inf /C /P everyone:F>nul 2>nul
If Exist %Choice%\Autorun.inf Del /F /S /Q %Choice%\Autorun.inf>nul 2>nul
md %Choice%\Autorun.inf\>nul 2>nul
md %Choice%\Autorun.inf\病毒免疫目录不要删除！..\>nul 2>nul
attrib +s +h +r %Choice%\Autorun.inf>nul 2>nul
echo Y|cacls %Choice%\Autorun.inf /P everyone:R>nul
cls
Echo.
Echo 指定的磁盘 %Choice% 已经成功地进行了病毒免疫！
:other
Echo.
Echo [1] 继续免疫其他的磁盘 [2] 退出
Set Choice=
Echo.
Set /P Choice= 请输入要执行的操作，然后按回车：
Echo.
If '%Choice%'=='' goto other
If /I '%Choice%'=='1' GOTO setlet
If /I '%Choice%'=='2' GOTO end
Goto other
:End
cls
Echo.
Echo 友情提示：
Echo 如果系统中已经感染了打开磁盘分区即自动运行的病毒，请用本工具
Echo 对所有磁盘进行免疫处理后，立即重启计算机，然后这类病毒就不会
Echo 在打开磁盘时自动运行了。此时只需直接删除病毒文件即可！
Echo.
Echo 任意键退出……
pause>nul
Exit
-------------------------------
至于删除可疑木马文件，处理流程初步考虑如下：
首选提醒用户关闭所有工作窗口。确定后，首选由程序试图关闭桌面已经打开并处于显示状态的窗口。这点非常重要，可给后面的判断带来极大方便！
1.将所有可能自动运行的位置的值收集到一起，其中有多条路径和文件名；
2.对上述条目进行判断，只要不是系统启动所必须的EXE文件，一律杀除进程；
3.对于Windows目录及子目录中加载的 EXE，除系统必须的几个外，一律重命名（此时被误杀的只有极个别的鼠标驱动等可能从Windows目录加载的程序）；对于以Rundll32加载的模块，一律重命名（或删除到回收站）；对于注入到系统关键进程中的隐藏进程，如果加载路径在Windows目录及子目录，则一律卸载模块并改名；
4.对于Program Files目录中的EXE模块，如果在Program Files的根目录，则一律清除到回收站（误杀的只有极个别菜鸟把所有应用程序都安装到程序目录的情况。那种人通常反正是死，不在乎误杀一次）；如果在程序目录的子目录，则改名（由于已经关闭所有用户窗口，因此误杀日常工作程序的可能性几乎就是0，只有极个别的情况下可能导致误杀，一时还真想不出来关闭所有窗口后必须存在的EXE的关键进程。我的机器上只有笔记本触摸屏驱动程序被我安装在程序目录。结束后也并不影响使用）。
5. 对于回收站和系统还原目录（需要系统权限），由于正常删除的程序全部是以D开头，因此非D开头的EXE一律直接删除；其他EXE程序，如果不怕速度缓慢一点的话，可以将文件名在回收站的info文件中搜索，如果能够匹配，则是正常的删除的文件，否则一律删除。
6. 所有C以后磁盘的根目录的Autorun功能：先禁用系统注册表中的自动运行功能（不要手软！菜鸟再菜，打开磁盘的操作并不复杂！与屡次中毒、时时受威胁相比，这个代价实在太值得！）；然后检测所有非只读介质中的Autorun.inf并删除，然后创建假目录免疫之（当然设置为系统和隐藏属性。方便时可设置访问权限）。由于前面已经结束了所有可疑进程，因此病毒的守护功能会失效，这些操作可一次成功的。最后，把注册表中的Mountpoint2键值删除一次以避免有病毒修改了磁盘的打开方式。
上述操作，很多信息可借助现有的已经收集到的资料，技术难度虽然有一些，但可以慢慢一步步实现。
说得不妥之处还望大家指正！ |
|
IP卡
狗仔卡
发表于 2006-9-17 21:39:27
显身卡
楼主
