
運行過HijackThis 這套軟件得到HijackThis記錄檔,但是那個檔案就是不明白其中的意思,這次就應網友要求寫一下解讀HijackThis的方法。各位有什麼好東西認為值得放在這裏,不妨到左方的通訊器留一個言給我啊!
首先,要利用HijackThis 掃瞄系統,就要先下載這個程式執行它,並在Main menu(主選單)中按下Do a system scan and save a logfile。記錄檔案在完成掃瞄後就會自動顯示在螢幕上。
記錄檔的首多行就是系統的一些資料、掃瞄工具資料、掃瞄時間等等,應該不難明白。再下方的是Running Processes,它下方記錄著電腦執行中的處理程序。由於有部份的病毒或木馬會顯示於此,仔細分析正在執行的處理程序,可能會發現不該出現的處理程序。要注意在清殺任意可疑程式都要小心,因為這可能會破壞系統正常運作。
在正執行程序下方記載的,是其他系統的資料。包括瀏覽器輔助物件、隨系統載入程式等。這些設定都可能透露了惡意程式和病毒的行蹤。它們每行開首也有一個獨特的編號,編號就代表著不同的資料。以下的資料來自 www.merijn.org 由本人親自翻譯的。(按一下編號閱讀詳細資料)
- R0, R1, R2, R3 - Internet Explorer 首頁/搜尋頁面 URL
- F0, F1 - 自動載入程式
- N1, N2, N3, N4 - Netscape/Mozilla 首頁/搜尋頁面 URL
- O1 - Hosts 檔案重新定向
- O2 - 瀏覽器輔助物件(Browser Helper Object , BHO)
- O3 - Internet Explorer 工具列
- O4 - 由系統登錄自動載入的程式
- O5 - IE 選項圖示(不顯示於控制台)
- O6 - IE 選項(系統管理員限制存取)
- O7 - 由系統管理員限制存取的系統登錄
- O8 - IE右鍵選單的額外選項
- O9 - IE主按鈕工具列的額外按鈕,或在「工具」選單的額外的選項
- O10 - Winsock 劫持
- O11 - 在IE「進階選項」視窗的額外組別或群組
- O12 - IE 插件
- O13 - IE 預設前置詞劫持 (IE Prefix hijack)
- O14 - 重設網絡設定劫持 (Reset Web settings hijack)
- O15 - 在可信任區的無用途網址
- O16 - ActiveX 物件 (已下載的程式檔案)
- O17 - Lop.com 網域劫持者
- O18 - 多餘的協定和協定劫持者
- O19 - 使用者樣式表劫持
在HijackThis 1.98.x 中新增以下多種新記錄:
- O20 - AppInit_DLLs 登錄值自動執行
- O21 - ShellServiceObjectDelayLoad 登錄鍵自動執行
- O22 - SharedTaskScheduler 登錄鍵自動執行
- O23 - Windows NT 服務
從這些記錄中找一些不尋常的記錄,而如何知道不尋常就需要靠經驗。一般來說,可以到處理程序查找的網站,查出這個處理程序是否為病毒或是惡意程式。若果要查出處理程序是否正常,可以到http://www.processlibrary.com/這個網站輸入處理程序名稱。