进程扫描判断工具(Wsyscheck)1.67.3.0 中文绿色版

1:软件设置中的模块、服务简洁显示

  简洁显示会过滤所微软文件，但在使用了“校验微软文件签名”功能后，通不过的微软文件也会显示出来。
  SSDt右键“全部显示”是默认动作，当取消这个选项后，则仅显示SSDT表中已更改的项目。
 
2:关于Wsyscheck的颜色显示

进程页：

  红色表示非微软进程,紫红色表示虽然进程是微软进程,但其模块中有非微软的文件。

服务页：

  红色表示该服务不是微软服务,且该服务非.sys驱动。（最常见的是.exe与.dll的服务，木马大多使用这种方式）。

  使用“检查键值”后，蓝色显示的是有键值保护的随系统启动的驱动程序。它们有可能是杀软的自我保护，也有可能是木马的键值保护。

  在取消了“模块、服务简洁显示”后，查看第三方服务可以点击标题条”文件厂商”排序，结合使用“启动类型”、“修改日期”排序更容易观察到新增的木马服务。

  进程页中查看模块与服务页中查看服务描述可以使用键盘的上下键控制。

  在使用“软件设置”-“校验微软文件签名”后，紫红色显示未通过微软签名的文件。同时，在各显示栏的"微软文件校验"会显示Pass与no pass。(可以据此参考是否是假冒微软文件，注意的是如果紫红色显示过多，可能是你的系统是网上常见的Ghost精简版，这些版本可能精简掉了微软签名数据库所以结果并不可信)

SSDT管理页：

  默认显示全部的SSDT表，红色表示内核被HOOK的函数。查看第三方模块，可以点击两次标签“映像路径”排序，则第三方HOOK的模块会排在一起列在最前面。也可以取消“全部显示”,则仅显示入口改变了的函数。

  SSDT页的“代码异常”栏如显示“YES”,表明该函数被Inline Hook。如果一个函数同时存在代码HOOK与地址HOOK,则对应的模块路径显示的是Inline Hook的路径，而使用“恢复当前函数代码”功能只恢复Inline Hook，路径将显示为地址HOOK的模块路径，再使用“恢复当前函数地址”功能就恢复到默认的函数了。
 
  使用“恢复所有函数”功能则同时恢复上述两种HOOK。

  发现木马修改了SSDT表时请先恢复SSDT，再作注册表删除等操作。

活动文件页：

  红色显示的常规启动项的内容。

3:关于Wsyscheck启动后状态栏的提示“警告！程序驱动未加载成功，一些功能无法完成。”

  多数情况下是安全软件阻止了Wsyscheck加载所需的驱动，这种情况下Wsyscheck的功能有一定减弱，但它仍能用不需要驱动的方法来完成对系统的修复。

  驱动加载成功的情况下,对于木马文件可以直接使用Wsyscheck中各页中的删除文件功能,本功能带有“直接删除”运行中的文件的功能。

4:关于卸载模块

  对HOOK了系统关键进程的模块卸载可能导致系统重启，这与该模块的写法有关系，所以卸载不了的模块不要强求卸载，可以先删除该模块的启动项或文件(驱动加载情况下使用删除后重启文件即消失)。

5:关于文件删除

  驱动加载的情况下,Wsyscheck的删除功能已经够用了,大多数文件都可以立即删除(进程模块可以直接使用右键下带删除的各项功能),加载的DLL文件删除后虽然文件仍然可见，但事实上已删除，重启可观察到文件已消失。

  文件管理页的“删除”操作是删除文件到回收站，支持畸形目录下的文件删除。应注意的是如果文件本身在回收站内，请使用直接删除功能。或者使用剪切功能将它复制到另一个地方。否则你可能看到回收站内的文件删除了这个又添加了那个（因为右键“删除”是删除到回收站）。

  对于用以上功能仍删除不了的文件，可以使用Wsyscheck的或“dos删除功能”，使用“dos删除”功能后会在启动菜单中添加一项“删除顽固文件”，执行后自动清理文件并去掉它所添加的启动项。“dos删除”在多系统情况下可能存在一些问题，请慎用。本功能需要将辅件Wdosdel.dat与Wsyscheck放在一起才会显示相关页面。

  “重启删除”仅作为驱动无法加载情况下使用的一种辅助手段，“重启删除”与“Dos删除”可以同时使用。其列表都可以手动编辑,一行一个文件路径即可。关闭程序时如果上述两者之一存在删除列表，会问询是否执行。

  如果需要对删除的文件备份,先启用软件设置下的“删除文件前备份文件”，它将在删除前将文件备份到%SystemDrive%\VirusBackup目录中，且将文件名添加.vir后缀以免误执行。

6:关于进程的结束后的反复创建

  可以使用进程页的“禁止程序运行”，这个功能就是流行的IFEO劫持功能，我们可以使用它来屏蔽一些结束后又自动重新启动的程序。通过禁用它的执行来清理文件。解除禁用的程序用“安全检查”页的“禁用程序管理”功能，,所以在木马使用IFEO劫持后也可以“禁用程序管理”中恢复被劫持的程序。

  另外，软件设置下的“禁止进程与文件创建”功能是针对木马的反复启动，反复创建文件，反复写注册表启动项进行监视或阻止,使用本功能后能更清松地删除木马文件及注册表启动项。
  开启禁止“禁止进程与文件创建”后会自动添加“监控日志”页，取消后该页消失。可以观察一下日志情况以便从所阻止的动作中找到比较隐藏的木马文件。注意的是，如果木马插入系统进程，则反映的日志是阻止系统进程的动作，你需要自我分辨该动作是否有害并分析该进程的模块文件。

  要保留日志请在取消前Ctrl+A全选后复制。注意,为防止日志过多,满1000条后自动删除前400条日志。

  针对上面的情况,你还可以使用进程中的“线程信息”功能，从线程与模块对应关系中挂起相应的线程，然后结束守护程序或挂起守护程序，再执行直接删除文件功能。

7:关于如何清理木马的简单方法：

  最简单的方法是：驱动加载成功的情况下,对于木马文件可以直接使用Wsyscheck中各页中的删除文件功能（即先用强删除功能消灭木马文件）,执行完后重启系统，，再清除它的启动项，注册表项等加载途径。

  如果遇到较难处理的木马，以下步骤可以作为一个参考：
  a.如果SSDT管理中有木马模块在工作,请先恢复SSDT,再在服务管理页清理木马的服务及文件。
  b.如果结束木马进程后反复发现木马启动，可以尝试使用“结束进程并删除文件”或“禁止这个程序运行”,让其不再启动后删除。
   还可以配合使用“禁止进程与文件创建”让其不再创建新进程、创建文件无效而清理它。
  c.有些木马利用服务启动，请注意一下并判断一下服务页中的红色显示程序。如果状态是STOP，而类型是Auto，则它已运行过一次，所以有可能启动了别的木马程序。
   d.强烈建议注意一下“禁用程序管理”，目前利用IFEO禁用杀软或启动木马程序的木马是比较流行的。
   e.活动文件页列出了可能的启动途径，所以耐心一点检查一下是否有木马的启动项目。
   f.文件搜索中利用“限制时间”条件来搜索近期产生的文件可能有助于您的清理工作。
   g.对于检测出的启动项，如果不是十分肯定，可以定位到注册表，将这个启动程序的路径前加上“；”等字符让其下次不启动再观察系统是否正常以判断它是否是一个木马程序。
   h.对于以Autorun.inf方式启动的木马，可以用工具下的“清除Autorun.inf”功能（可配合“禁止进程与文件创建”使用以取得最好的效果）。如果手动清理，操作中尽量使用Wsyscheck内置的文件管理操作以防双击盘符再次激活木马。在手动删除Autorun.inf文件前用Wsyscheck的文件管理中打开这个文件查看木马启动的具体位置有利于您快速找到木马文件。清理时完后检查一下各盘根目录以保证完全清理了Autorun.inf文件。
   i.使用“禁止进程与文件创建”注意一下新增的日志页，以便找到木马的根源。如果在日志页观察到反复写创建文件，反复写注册表，反复创建的进程。当此进程是非系统进程时可以直接关闭并删除它。如果是系统进程，需要手动分析一下该进程的模块（配合查看一下活动页的加载项有助于快速找到木马插入系统进程的模块）。清理文件注册表完成后不要退出“禁止进程与文件创建”，而应直接使用工具下的“重启计算机”，以确保我们的清理成功。
   j.对于已确定的木马文件，能直接删除就删除，不能直接删除就找到它的启动项删除启并重启系统让系统不再加载此程序后再做文件删除。如果木马保护的比较好，上述方式失效,可以用DOS删除功能先删文件再清理启动项。

8:Wsyscheck可以带参数运行以提高自身的优先级

  Wsyscheck 1 高于标准  Wsyscheck 2 高  Wsyscheck 3 实时

  例如需要实时启动Wsyscheck,可以编辑一个批处理 RunWs.bat ,内容为 Wsyscheck 3
  将RunWs.bat与Wsyscheck放在一起，双击RunWs.bat即可让Wsyscheck以实时优先级启动。

9:随手工具说明(指菜单工具下的子菜单功能)

  清除临时文件:删除%TEMP%,%windir%\Temp及%windir%\Downloaded Program Files下的所有文件。

  清除Autorun.inf:程序分析各盘根目录下的Autorun.inf指向的文件，删除各盘的Autorun.inf及其指向的文件。

  修复隐藏文件显示及禁用硬盘自动播放:菜单栏太长写不完,本功能还包括磁盘无法双击打开故障。注意，某些故障修复后可能需要注销或重启才能生效。

  修复安全模式：某些木马会破坏安全模式的键值导致无法进入安全模式，本功能先备份当前安全模式键值再恢复默认的安全模式键值。

  构建安全环境：还原SSDT(某些杀软还原SSDT会引起死机,本功能仅测试在Kv系列,Kav6.0下使用没有问题,其它版本请自行测试。如不确定,使用本功能前最好退出杀软进程),只保留系统必须的几个进程，然后执行上述三个子菜单功能。

  如果Wsyscheck的窗口本身已采取随机字符,如果仍然被木马禁用,请将Wsyscheck改名后运行。