盡管殺毒軟件曾經(jīng)剿滅木馬、病毒無(wú)數(shù)，但是如今黑客在也不像以前那樣“單
純”，他們幾乎都會(huì)將所侵入的木馬，或者病毒加上一層厚厚的“偽裝盔甲”，來(lái)防止殺毒軟件的追殺。其不僅可以起到迷惑殺毒軟件的作用，而且還
可以使其潛伏的惡意程序，正常的運(yùn)作在操作系統(tǒng)內(nèi)。如果碰到這種情況，大家不妨通過(guò)程序監(jiān)視軟件，知道系統(tǒng)前后發(fā)生的變化，從而找到搗亂的罪魁禍?zhǔn)住?/font>
一、監(jiān)視程序安裝的整個(gè)過(guò)程
用戶在安裝完操作系統(tǒng)后，都會(huì)對(duì)自己以后所要用到第三方應(yīng)用軟件，進(jìn)行一番快
速安裝。但是在安裝完畢后，有些用戶卻發(fā)現(xiàn)自己的系統(tǒng)，出現(xiàn)了一
些莫名其妙的變化，比如流氓軟件的惡意插入，以及未安裝過(guò)的助手軟件也來(lái)湊熱鬧等情況。
“客戶端”程序，在彈出的“Inctrl程序監(jiān)視”軟件界面內(nèi)。單擊“安裝程序”標(biāo)簽后的“瀏覽”按鈕，從中選擇想要檢測(cè)的安裝程序，然后單擊“開(kāi)
始”按鈕，此時(shí)就會(huì)檢測(cè)安裝程序的各個(gè)指標(biāo)，同時(shí)還會(huì)保存所檢測(cè)出來(lái)的數(shù)據(jù)（如圖1）。
windows安裝控制
等到檢測(cè)完畢后，就會(huì)自動(dòng)彈出其應(yīng)用程序的安裝向?qū)?，用戶可根?jù)提示操作完成即可。
接下來(lái)順“原路”返回到剛才的檢測(cè)界面，單擊“安裝完成”按鈕，這時(shí)Inctrl程序監(jiān)視軟件，就會(huì)將安裝完程序后的數(shù)據(jù)報(bào)告反饋給大家（如圖2）。
報(bào)告預(yù)覽
通過(guò)其反饋的信息，就會(huì)很容易找到其所安裝的程序文件，以及惡意插件等，這樣一來(lái)刪除其惡意插件也就易如反掌了。
二、注冊(cè)表變化我知道
病毒木馬在侵入系統(tǒng)后，除了會(huì)在其系統(tǒng)安放自己的后門(mén)，還會(huì)在注冊(cè)表里寫(xiě)入
一些相關(guān)的惡意鍵值，以便其系統(tǒng)重啟會(huì)自動(dòng)調(diào)用加載的木馬，所以說(shuō)
監(jiān)控注冊(cè)表的日常變化，也是尤為重要的。
1. 查找共享程序的注冊(cè)碼鍵值
在系統(tǒng)安裝完軟件后，其所謂加載的注冊(cè)表鍵值到底保存在哪呢？如果大
家通過(guò)手動(dòng)在注冊(cè)表里，對(duì)其鍵值進(jìn)行一一查詢，這有如大海撈針一樣難上加難。不
過(guò)有了Regmon監(jiān)控軟件，就會(huì)使的一切操作變的很簡(jiǎn)單，它是一款出色的注冊(cè)表數(shù)據(jù)庫(kù)監(jiān)視軟件，它將與注冊(cè)表數(shù)據(jù)庫(kù)相關(guān)的一切操作(如讀取、修
改、出錯(cuò)信息等)全部記錄下來(lái)以供用戶參考，并允許用戶對(duì)記錄的信息進(jìn)行保存、過(guò)
濾、查找等處理，從而為用戶對(duì)系統(tǒng)的維護(hù)提供了極大的便利。
為了查找到軟件注冊(cè)碼，首先我們將想要查找的軟件運(yùn)行，然后按住
Ctrl+Alt+Del的組合鍵，打開(kāi)“Windows任務(wù)管理器”對(duì)話框。此時(shí)默認(rèn)切入的是“應(yīng)用程序”標(biāo)簽，從中我們找到并且右擊剛才所運(yùn)行的軟件名稱，選擇
“轉(zhuǎn)到進(jìn)程”選項(xiàng)，這樣其“Windows任務(wù)管理器”，就會(huì)自動(dòng)跳轉(zhuǎn)到該軟件應(yīng)用程序所運(yùn)行的進(jìn)程處（如圖3）。
任務(wù)管理器
記錄其程序運(yùn)行的進(jìn)程名后，打開(kāi)“Regmon監(jiān)控軟件”客戶端程序，為了便于監(jiān)視
其程序所運(yùn)行的進(jìn)程，這里在界面內(nèi)依次單擊上方“選項(xiàng)”→“
regmon過(guò)濾
并且勾選上下面所有功能子項(xiàng)，這樣以后Regmon監(jiān)控軟件，就會(huì)只監(jiān)視你所設(shè)定
的程序進(jìn)程了。
不過(guò)對(duì)于此前還沒(méi)有開(kāi)始輸入注冊(cè)碼，其軟件就已經(jīng)執(zhí)行了監(jiān)視且記錄，
我們要將其刪除要不很容易會(huì)弄混淆。這里單擊“編輯”菜單，選擇“清除顯示”的選項(xiàng)，編輯區(qū)里所記錄的監(jiān)視數(shù)據(jù)就會(huì)被清空。而后重新啟動(dòng)一下所要記錄的軟件，
在其界面單擊“關(guān)于”菜單，開(kāi)始輸入注冊(cè)碼。操作完畢后，順
原路返回到Regmon監(jiān)控界面，此時(shí)你就可以在編輯區(qū)里，找到監(jiān)測(cè)用戶名和密碼所對(duì)
應(yīng)的鍵值，我們將其選中后，依次單擊上方“編輯”→“注冊(cè)表跳轉(zhuǎn)”選項(xiàng)，這時(shí)就會(huì)自動(dòng)打開(kāi)“注冊(cè)表”編輯器，并且展開(kāi)到與其鍵值相同的位置
后，我們將其鍵值導(dǎo)出后，重裝所記錄鍵值的軟件程序，再將其鍵值注冊(cè)表導(dǎo)入，即
可快速執(zhí)行注冊(cè)。
2. 提取優(yōu)化軟件功能，實(shí)現(xiàn)自身快速優(yōu)化
眾所周知，優(yōu)化軟件對(duì)其系統(tǒng)進(jìn)行優(yōu)化，除了在文件方面做以清除垃圾外，還會(huì)在注冊(cè)表里進(jìn)行清理優(yōu)化。而到底它們是如何做到的呢？相信有很多朋友為此會(huì)感到
好奇，并且也想擁有其屬于自己的優(yōu)化功能，下面筆者將會(huì)教
大家如何從超級(jí)兔子優(yōu)化軟件身上，扒下其優(yōu)化功能的“外衣”。
這里打開(kāi)“超級(jí)兔子上網(wǎng)精靈”客戶端程序，同上方操作方法一樣在
“Windwos任務(wù)管理器”對(duì)話框內(nèi)，找到“超級(jí)兔子上網(wǎng)精靈”所運(yùn)行的進(jìn)程Iepro.exe（如圖5），
任務(wù)管理器列表
將其添加到Regmon監(jiān)控進(jìn)程中后。順原路返回到“超級(jí)兔子上網(wǎng)精靈”界面，在
其左側(cè)單擊“IE免疫”標(biāo)簽，然后在編輯區(qū)內(nèi)單擊限制網(wǎng)站和屏蔽網(wǎng)址
后的“詳細(xì)設(shè)置”按鈕，此時(shí)就會(huì)彈出“限制網(wǎng)站和屏蔽網(wǎng)址”的對(duì)話框（如圖6）。
超級(jí)兔子上網(wǎng)精靈
從中切入至上方“屏蔽網(wǎng)址”標(biāo)簽，并且勾選上里面任意一個(gè)惡意網(wǎng)址后，單擊
“確定”按鈕使其設(shè)置生效。操作完畢后，返回到Regmon監(jiān)控界面，
找到你所監(jiān)視屏蔽的惡意網(wǎng)址，單擊“編輯”→“跳轉(zhuǎn)注冊(cè)表”選項(xiàng)，這時(shí)系統(tǒng)就會(huì)
打開(kāi)“注冊(cè)表編輯器”對(duì)話框，并且自動(dòng)展開(kāi)到其所對(duì)應(yīng)的鍵值。而后我們?cè)趯⑵滏I值導(dǎo)出，如果以后你要想用到超級(jí)兔子的站點(diǎn)免疫功能，無(wú)須運(yùn)
行其軟件，只要運(yùn)行其導(dǎo)出的注冊(cè)表，即可實(shí)現(xiàn)免疫效果，當(dāng)然對(duì)于其他網(wǎng)站的免
疫，你只要將其注冊(cè)表里面，所屏蔽的網(wǎng)站換成想要免疫的網(wǎng)址，也可實(shí)現(xiàn)相同的防御效果。
三、系統(tǒng)服務(wù)的監(jiān)視更為重要
之前我們說(shuō)過(guò)木馬病毒在侵入系統(tǒng)后，會(huì)在其系統(tǒng)安放自己的后門(mén)，但是殊不知
其后門(mén)，還會(huì)在系統(tǒng)內(nèi)開(kāi)放屬于它自己的危險(xiǎn)服務(wù)。一般情況下這種服
務(wù)，會(huì)將其服務(wù)名稱偽裝成與系統(tǒng)服務(wù)相近的名字，從而達(dá)到迷惑我們將它誤認(rèn)為正常服務(wù)的目的。不過(guò)現(xiàn)在有了Winservices軟件，其騙術(shù)伎倆就會(huì)如影隨形的暴露出
來(lái)，但是有個(gè)條件就是需要你要按照以下的方法進(jìn)行操作。
在做Winservices快照操作之前，請(qǐng)務(wù)必保證系統(tǒng)是純凈的，換句話說(shuō)就是沒(méi)有
病毒和木馬的侵入痕跡。然后在從網(wǎng)上下載安裝Winservices軟件，運(yùn)行其里面的客戶端程序，接下來(lái)在彈出的軟件界面內(nèi)，依次單擊上方“文件”
→“保存快照”選項(xiàng)，根據(jù)出現(xiàn)的提示將其服務(wù)快照保存為“*.rpt”文件。操作完畢后，其程序會(huì)時(shí)時(shí)刻刻監(jiān)視系統(tǒng)服務(wù)的一舉一動(dòng)，如果服務(wù)與快照印入的服務(wù)有出
入，它會(huì)給予相應(yīng)的警告提示。當(dāng)然你要想恢復(fù)快照時(shí)的安全系
統(tǒng)，只要在安全模式下運(yùn)行Winservices軟件，并且單擊“Winservices軟件”→“恢復(fù)服務(wù)”選項(xiàng)，從中找到快照保存的系統(tǒng)服務(wù)文件。然后在系統(tǒng)服務(wù)顯示前后變化結(jié)
果里，按照程序提示展開(kāi)非法系統(tǒng)服務(wù)的注冊(cè)表，將其惡意
鍵值進(jìn)行刪除，另外別忘了根據(jù)服務(wù)路徑將其非法文件也一起刪除。
四、跟蹤監(jiān)視自啟動(dòng)功能
病毒木馬加載到系統(tǒng)后，都會(huì)在其自啟動(dòng)功能里，載入其危險(xiǎn)的啟動(dòng)程序，
以便系統(tǒng)重啟后會(huì)連同病毒也一起激活。如果你要想鏟除所加載進(jìn)來(lái)的病毒啟動(dòng)程序，首先需要定制一套全面監(jiān)控的自啟動(dòng)防御措施，這樣當(dāng)自啟動(dòng)程序與原來(lái)正常狀
態(tài)發(fā)生變化時(shí)，我們就可以輕易發(fā)現(xiàn)其作惡的程序，從而可以將
其“連根拔起”。
不過(guò)實(shí)現(xiàn)以上跟蹤監(jiān)視，需要借助第三方Startup Agent工具，來(lái)實(shí)現(xiàn)監(jiān)視自啟
動(dòng)功能。它是一款計(jì)算機(jī)安全保護(hù)軟件，能夠在系統(tǒng)啟動(dòng)過(guò)程中，監(jiān)視
系統(tǒng)的注冊(cè)表、啟動(dòng)文件和系統(tǒng)服務(wù)，以防止廣告程序、蠕蟲(chóng)病毒和特洛伊木馬。如果發(fā)現(xiàn)注冊(cè)表等有所改變，就會(huì)發(fā)出一個(gè)報(bào)警信息，可以由你來(lái)決定是
否刪除它。這里打開(kāi)Startup Agent軟件的操作界面，將里面隨系統(tǒng)啟動(dòng)和監(jiān)視所有的功能選項(xiàng)全部勾選上（如圖7），
Startup Agent軟件的操作界面
而后單擊“Save(保存)”按鈕，就會(huì)開(kāi)始執(zhí)行以上所勾選的監(jiān)視項(xiàng)。以后倘若有
馬進(jìn)入，并且試圖在注冊(cè)表里加載自啟動(dòng)，此時(shí)正在全程監(jiān)視的
Startup Agent軟件，就會(huì)彈出危險(xiǎn)警告的提示對(duì)話框，我們點(diǎn)擊“NO”按鈕，即可禁
止其加載自啟動(dòng)項(xiàng)。
五、手動(dòng)也可輕松制作監(jiān)視器
如果你不想通過(guò)以上的監(jiān)視工具，來(lái)完成對(duì)系統(tǒng)的全程監(jiān)視，也可以自己手動(dòng)制
作一個(gè)功能強(qiáng)大的監(jiān)視器，對(duì)其系統(tǒng)做以全面跟蹤。具體方法如下所示：依次單擊“開(kāi)始→所有程序→附件→系統(tǒng)工具→備份”選項(xiàng)，在彈出的
“備份”對(duì)話框內(nèi)，選擇所要備份的內(nèi)容，一般情況下我們會(huì)將其定位到系統(tǒng)目錄
下。然后在執(zhí)行向?qū)У南虏讲僮?，將備份文件保存到任意盤(pán)符，不過(guò)你要將其位置記住，接下來(lái)單擊“高級(jí)”，將備份類型設(shè)置為“增量備份”后。再
次繼續(xù)執(zhí)行向?qū)У南虏讲僮鞯皆O(shè)定備份時(shí)間內(nèi)，單擊“設(shè)定備份計(jì)劃”按鈕，時(shí)間可
以根據(jù)自己的情況來(lái)確定。
然后進(jìn)入C：\Windows\tasks目錄，找到剛才建立的備份系統(tǒng)目錄計(jì)劃，
并且右擊其計(jì)劃選擇“運(yùn)行”選項(xiàng)，這樣就會(huì)對(duì)其系統(tǒng)目錄實(shí)施備份。這樣以后當(dāng)系統(tǒng)遇到病毒或者木馬侵入，并且在系統(tǒng)目錄載入危險(xiǎn)文件后，等到下次
開(kāi)機(jī)時(shí)備份計(jì)劃就會(huì)把增加的文件，添加到備份文件夾內(nèi)，即可快速找到所加入的危險(xiǎn)文件，從而我們可以立即將其刪除。
