实验目的
理解病毒的定义 掌握病毒工作的原理 能够检查并清除一些简单的病毒 运行附件中的机器狗病毒，找出可疑进程，修改的注册表项 利用专杀工具查杀病毒 尝试手动查杀病毒
实验原理
进程： 首先排查的是进程，方法简单，开机后，什么都不要启动。 第一步：直接打开任务管理器，查看有没有可疑的进程，不认识的进程可以Google或者百度一下。 第二步：打开冰刃（IceSword）等软件，先查看有没有隐藏进程（冰刃中以红色标出），然后查看系统进程的路径是否正确。 第三步：如果进程全部正常，则利用Wsyscheck等工具，查看是否有可疑的线程注入到正常进程中。 自启动项目： 进程排查完毕，如果没有发现异常，则开始排查启动项。 第一步：用msconfig察看是否有可疑的服务，开始，运行，输入“msconfig”，确定，切换到服务选项卡，勾选“隐藏所有Microsoft服务”复选框，然后逐一确认剩下的服务是否正常（可以凭经验识别，也可以利用搜索引擎）。 第二步：用msconfig察看是否有可疑的自启动项，切换到“启动”选项卡，逐一排查就可以了。 第三步，用Autoruns等，查看更详细的启动项信息（包括服务、驱动和自启动项、IEBHO等信息）。 网络连接： ADSL用户，在这个时候可以进行虚拟拨号，连接到Internet了。然后直接用冰刃的网络连接查看，是否有可疑的连接，对于IP地址如果发现异常，不要着急，关掉系统中可能使用网络的程序（如迅雷等下载软件、杀毒软件的自动更新程序、IE浏览器等），再次查看网络连接信息。 安全模式： 重启，直接进入安全模式，如果无法进入，并且出现蓝屏等现象，则应该引起警惕，可能是病毒入侵的后遗症，也可能病毒还没有清除。 映像劫持： 打开注册表编辑器，定位到以下位置： HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsNTCurrentVersionImageFileExecutionOpti，查看有没有可疑的映像劫持项目，如果发现可疑项，很可能已经中毒。 CPU时间： 如果开机以后，系统运行缓慢，还可以用CPU时间做参考，找到可疑进程，方法如下： 打开任务管理器，切换到进程选项卡，在菜单中点“查看”，“选择列”，勾选“CPU时间”，然后确定，单击CPU时间的标题，进行排序，寻找除了SystemIdleProcess和SYSTEM以外，CPU时间较大的进程，这个进程需要引起一定的警惕。
实验内容
检查病毒创建的可疑进程，改写的注册表项等， 使用工具检查、清除病毒，学有余力者可以尝试手动清除病毒。
实验环境描述
1、 学生机与实验室网络断开;
2、 VPC1与实验室网络断开;
3、学生机与VPC1物理链路连通；
实验步骤
1、学生单击实验拓扑按钮，进入实验场景，进入目标主机，
2、学生输入账号administrator ,密码123456，登录到实验场景中的目标主机)
3、桌面上工具文件夹内processmonitor压缩包，打开processmonitor工具（先解压后使用），监视注册表的变化。
4、 运行桌面上工具内orz.exe(先解压后使用)病毒程序orz.exe。（与网络断开连接）
5、 由于此病毒屏蔽了任务管理器，任务管理器中并没有显示该命令，所以我们通过cmd来查看进程。打开cmd，输入tasklist命令，结果如下图：
我们并没有开启urspmk.exe（进程名由病毒随机产生，每次运行生成的名称不同）和IEXPLORE.EXE这两个进程，因此可以初步认定这两个就是可疑进程。
6、 切换到processmonitor软件，由于其显示的条目太多，逐条查看过于繁琐，所以需要设置过滤器。点击下图中的filter->filter进行设置，扫描，可以看到机器狗的文件urspmk.exe被查出。
从上图可以看出，病毒样本创建了exe文件，并且改写大量注册表，这些就是我们查杀病毒的依据。我们可以到相关目录找到文件删除，并到注册表中删除相关注册表项。
7、 解压桌面上工具内killer_rodog-v5.2.rar，扫描，可以看到机器狗的文件urspmk.exe被查出。。
8、 选择“修复系统关键项”，并修复
9、 点击“清除”，并重启，此时病毒就已被查杀，tasklist后，没有病毒进程。
10、实验完毕，关闭虚拟机和所有窗口。