網(wǎng)絡(luò)管理員：認識病毒在注冊表的藏身之所

　　1、一般的病毒在開機時啟動雙進程堅守、關(guān)閉殺毒程序。 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run是否有陌生啟動項。這里屬于常規(guī)啟動項，很多程序會寫在這里。

　　2、如果殺毒軟件難于清理、或被關(guān)閉了殺毒程序，也有可能是被執(zhí)行掛鉤了。這時候應(yīng)當檢測HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks，大量惡意軟件以及病毒均會寫入這里。因為，很少有正常程序會寫入這里，病毒幾率非常大。

　　3、有的時候，安全模式下殺毒程序被關(guān)閉了。重點檢查一下 HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Windows\Appinit_Dlls。很少有正常程序會寫入這個位置，病毒幾率極高。

　　4、有些病毒是寫入底層服務(wù)與rootkits驅(qū)動，所以才導致清除困難。用戶可以重點檢查HKLM\System\CurrentControlSet\Services。

　　5、如果發(fā)現(xiàn)某個特定文件名的文件無法執(zhí)行了，十有八九是被映像劫持，重點排查HKLM\Software\Microsoft\WindowsNT\CurrentVersion\Image File Execution Options，大多數(shù)AV病毒均會寫在這里。當然，被劫持的文件不一定是exe文件。有的病毒為了防止ani.ani還原病毒主文件，便劫持 ani.ani文件。

　　6、還有一些變種病毒可以將殺毒軟件安裝文件進行刪除，而且會修改hosts文件、在QQ目錄下寫入隱藏的病毒dll并且修改API HOOH。這時可以重點檢查HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler

　　7、HKLM\SOFTWARE\Microsoft\Windows \CurrentVersion\ShellServiceObjectDelayLoad，了解隱藏之地，找到它就相當容易。大家在安裝完系統(tǒng)的時候，推薦把以上七項注冊表都備份下。以后中病毒后，可以先直接倒入備份的注冊表文件。再把殺軟升級到最新，然后進入安全模式下，進行全盤查殺。想必這樣，病毒不死也大殘了。