怎么从进程中找出病毒和木马
任何病毒和木马存在于系统中，都无法彻底和进程脱离关系，即使采用了隐藏技术，也还是能够从进程中找到蛛丝马迹，因此，查看系统中活动的进程成为我们检测病毒木马最直接的方法。但是系统中同时运行的进程那么多，哪些是正常的系统进程，哪些是木马的进程，而经常被病毒木马假冒的系统进程在系统中又扮演着什么角色呢?请看本文。
一、病毒进程隐藏三法
当我们确认系统中存在病毒，但是通过“任务管理器”查看系统中的进程时又找不出异样的进程，这说明病毒采用了一些隐藏措施，总结出来有三法：
1.1 以假乱真
系统中的正常进程有：svchost.exe、explorer.exe、iexplore.exe、winlogon.exe等，可能你发现 过系统中存在这样的进程：svch0st.exe、explore.exe、iexplorer.exe、winlogin.exe。对比一下，发现区别 了么?这是病毒经常使用的伎俩，目的就是迷惑用户的眼睛。通常它们会将系统中正常进程名的o改为0，l改为i，i改为j，然后成为自己的进程名，仅仅一字 之差，意义却完全不同。又或者多一个字母或少一个字母，例如explorer.exe和iexplore.exe本来就容易搞混，再出现个 iexplorer.exe就更加混乱了。如果用户不仔细，一般就忽略了，病毒的进程就逃过了一劫。
1.2 偷梁换柱
如果用户比较心细，那么上面这招就没用了，病毒会被就地正法。于是乎，病毒也学聪明了，懂得了偷梁换柱这一招。如果一个进程的名字为 svchost.exe，和正常的系统进程名分毫不差。那么这个进程是不是就安全了呢?非也，其实它只是利用了“任务管理器”无法查看进程对应可执行文件 这一缺陷。我们知道svchost.exe进程对应的可执行文件位于“C:WINDOWSsystem32”目录下(Windows2000则是 C:WINNTsystem32目录)，如果病毒将自身复制到“C:WINDOWS”中，并改名为svchost.exe，运行后，我们在“任务管理器” 中看到的也是svchost.exe，和正常的系统进程无异。你能辨别出其中哪一个是病毒的进程吗?
1.3 借尸还魂
除了上文中的两种方法外，病毒还有一招终极********借尸还魂。所谓的借尸还魂就是病毒采用了进程插入技术，将病毒运行所需的dll文件 插入正常的系统进程中，表面上看无任何可疑情况，实质上系统进程已经被病毒控制了，除非我们借助专业的进程检测工具，否则要想发现隐藏在其中的病毒是很困 难的。
二、系统进程解惑
上文中提到了很多系统进程，这些系统进程到底有何作用，其运行原理又是什么?下面我们将对这些系统进程进行逐一讲解，相信在熟知这些系统进程后，就能成功破解病毒的“以假乱真”和“偷梁换柱”了。
2.1 svchost.exe
常被病毒冒充的进程名有：svch0st.exe、schvost.exe、scvhost.exe。随着Windows系统服务不断增多，为 了节省系统资源，微软把很多服务做成共享方式，交由svchost.exe进程来启动。而系统服务是以动态链接库(DLL)形式实现的，它们把可执行程序 指向scvhost，由cvhost调用相应服务的动态链接库来启动服务。我们可以打开“控制面板”→“管理工具”→服务，双击其中“ClipBook” 服务，在其属性面板中可以发现对应的可执行文件路径为“C:WINDOWSsystem32clipsrv.exe”。再双击“Alerter”服务，可 以发现其可执行文件路径为“C:WINDOWSsystem32svchost.exe -k LocalService”，而“Server”服务的可执行文件路径为“C:WINDOWSsystem32svchost.exe -k netsvcs”。正是通过这种调用，可以省下不少系统资源，因此系统中出现多个svchost.exe，其实只是系统的服务而已。
在Windows2000系统中一般存在2个svchost.exe进程，一个是RPCSS(RemoteProcedureCall)服务进 程，另外一个则是由很多服务共享的一个svchost.exe;而在WindowsXP中，则一般有4个以上的svchost.exe服务进程。如果 svchost.exe进程的数量多于5个，就要小心了，很可能是病毒假冒的，检测方法也很简单，使用一些进程管理工具，例如Windows优化大师的进 程管理功能，查看svchost.exe的可执行文件路径，如果在“C:WINDOWSsystem32”目录外，那么就可以判定是病毒了。
2.2 explorer.exe
常被病毒冒充的进程名有：iexplorer.exe、expiorer.exe、explore.exe。explorer.exe就是我们 经常会用到的“资源管理器”。如果在“任务管理器”中将explorer.exe进程结束，那么包括任务栏、桌面、以及打开的文件都会统统消失，单击“任 务管理器”→“文件”→“新建任务”，输入“explorer.exe”后，消失的东西又重新回来了。explorer.exe进程的作用就是让我们管理 计算机中的资源。
explorer.exe进程默认是和系统一起启动的，其对应可执行文件的路径为“C:Windows”目录，除此之外则为病毒。
刁聂俭2070 :答：1、偷改单个字符 2、顶替系统中对应的进程名 3、将病毒运行所需的dll文件插入正常的系统进程中 二、如何辨别病毒进程 1、常见病毒的进程名称都是采用这样的命名方式：将系统中正常进程名中的o改为0，l改为i，i改为j;2...
刁聂俭2070 :答：首先我们来查看某个程序占用CPU资源情况，在“资源监视器”界面切换到CPU项下，在此显示出所有正在运行的程序的CPU使用情况。如果你发现某个进程CPU使用率较高，在“进程”列表中勾选某个需要查看的进程后，在“服务”项中...
刁聂俭2070 :答：打开这个文件看看，在该文件的[boot]字段中，是不是有shell=Explorer.exe file.exe这样的内容，如有这样的内容，那这里的file.exe就是木马程序了！4、检查系统帐户恶意的攻击者喜欢用在电脑中留有一个账户的方法来控制你的...
刁聂俭2070 :答：发现可疑进程的秘诀就是要多看任务管理器中的进程列表,看多了以后,一眼就可以发现可可疑进程,就象找一群熟悉人中的陌生人一样。只是有些病毒会把自己伪装成系统进程,并将切很多进程是任务管理器干不掉的。此时可以下载冰刃IceSword,一定...
刁聂俭2070 :答：先用卡巴来杀毒，因为他的杀毒能力是世界公认第一，不过建议杀完最好删掉，因为相比之下卡巴还是比较占内存的~如果卡巴杀也不行，就用下面的方法从进程中判断病毒和木马任何病毒和木马存在于系统中，都无法彻底和进程脱离关系...
刁聂俭2070 :答：1.由于windows 任务管理器不能显示进程的路径，因此建议使用杀毒软件自带 的进程察看和管理工具来查找并中止可疑进程。然后设法找到病毒程序文件（主要 是你所中止的病毒进程文件，另外先在资源管理器的文件夹选项中，设置显示...
刁聂俭2070 :答：病毒木马很会伪装自己，常用和系统常见进程的名称的近似写法出现，比如exp1orer.exe,把字母“l”换成数字“1”这样，混淆视线。有些技术更高，把自己加入到正常的系统进程当中，让人难以发现。可以通过更为专业的进程管理软件...
刁聂俭2070 :答：六招教你检测病毒木马六、CPU时间 如果开机以后，系统运行缓慢，还可以用CPU时间做参考，找到可疑进程，方法如下：打开任务管理器，切换到进程选项卡，在菜单中点“查看”，“选择列”，勾选“CPU...
刁聂俭2070 :答：最明显的病毒进程是伪装的系统进程,通过任务管理器看不出来,当你用一些软件查看该进程的地址不是在正常的系统进程文件夹内,但却有和系统进程一样的名字的时候基本就可以确定不是好东西了 再有就是和系统进程的名称很相似的...
刁聂俭2070 :答：你好：这个咱们肯定无法直接识别，很多病毒的进程名称都和正常进程是一样的 你可以访问腾讯电脑管家官网，下载安装一个电脑管家使用杀毒功能来查杀一下，就可以知道有无病毒或者木马蠕虫了 如果有，按照提示清除即可 如果以后有...
