smss.exe进程感染病毒判断和杀毒的技巧

http://www.itjxue.com  2015-08-03 22:06  来源:未知  点击次数: 

  SMSS.EXE进程是通过系统进程初始化的并且对许多活动的,包括已经正在运行的Winlogon,Win32(Csrss.exe)线程和设定的系统变量作出反映。在它启动这些进程后,它等待Winlogon或者Csrss结束。如果这些过程时正常的,系统就关掉了。如果发生了什么不可预料的事情,smss.exe就会让系统停止响应(挂起)。要注意:如果系统中出现了不只一个smss.exe进程,而且有的smss.exe路径是“%WINDIR%SMSS.EXE”,那就可以肯定是中了病毒或木马了。

  清除方法:

  1. 运行Procexp.exe和SREng.exe

  2. 用ProceXP结束%Windows%SMSS.EXE进程,注意路径和图标

  3. 用SREng恢复EXE文件关联(1,2,3步要注意顺序,不要颠倒。)

  4. 可以删除文件和启动项了……

  ①结束病毒的进程%Windows%smss.exe(用进程管理软件可以结束,如:Process viewer)

  ② 删除相关文件:

  C:MSCONFIG.SYS

  %Windows%.com

  %Windows%ExERoute.exe

  %Windows%explorer.com

  %Windows%finder.com

  %Windows%smss.exe

  %Windows%DebugDebugProgram.exe

  %System%command.pif

  %System%dxdiag.com

  %System%finder.com

  %System%MSCONFIG.COM

  %System%regedit.com

  %System%rundll32.com

  %ProgramFiles%Internet Exploreriexplore.com

  %ProgramFiles%Common Filesiexplore.pif

  ③ 恢复EXE文件关联

  删除[HKEY_CLASSES_ROOTwinfiles]项

  ④ 删除病毒启动项:

  [HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun]

  “Torjan Program”=“%Windows%smss.exe”

  修改[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionWinlogon]下

  “shell”=“Explorer.exe 1”

  为

  “shell”=“Explorer.exe”

  ⑤ 恢复病毒修改的注册表信息:

  (1)分别查找“command.pif”、“finder.com”、“rundll32.com”的信息,将“command.pif”、“finder.com”、“rundll32.com”修改为“rundll32.exe”

  (2)查找“explorer.com”的信息,将“explorer.com”修改为“explorer.exe”

  (3)查找“iexplore.com”的信息,将“iexplore.com”修改为“iexplore.exe”

  (4)查找“iexplore.pif”的信息,将找到的“%ProgramFiles%Common Filesiexplore.pif”修改为“%ProgramFiles%Internet Exploreriexplore.exe”

  ⑥ 在command模式下写入assoc .exe=exefile

  修复exe关联,这样exe文件才可以打的开

  删除的启动项:

  [HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun]

  “TProgram”=“%Windows%SMSS.EXE”

  [HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunservices]

  “TProgram”=“%Windows%SMSS.EXE”

  [HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionWinlogon]

  “Shell”=“Explorer.exe 1”

  修改为:

  “Shell”=“Explorer.exe”

  删除的文件就是一开始说的那些,别删错就行

  5. 最后打开注册表编辑器,恢复被修改的信息:

  查找“explorer.com”,把找到的“explorer.com”修改为“explorer.exe”;

  查找“finder.com”、“command.pif”、“rundll32.com”,把找到的“finder.com”、“command.pif”、“rundll32.com”修改为“rundll32.exe”;

  查找“iexplore.com”,把找到的“iexplore.com”修改为“iexplore.exe”;

  查找“iexplore.pif”,把找到的“iexplore.pif”,连同路径一起修改为正常的IE路径和文件名,比如“C:Program FilesInternet Exploreriexplore.exe”。

(责任编辑:IT教学网)

更多