欢迎使用遥骢安全网的故障查询系统

5.1.3 中毒后的自救
现在虽然有众多的杀毒软件和防火墙作为电脑的保护伞，但由于新病毒和木马，加上黑客人工入侵方式的存在，电脑中毒的情况还是很普遍。尤其是上网用户，一不留意就会中毒。那么万一中毒了，该如何处理呢？
一 、紧急处理措施
1.正在上网的用户，发现异常应首先马上断开连接
如果你发现IE经常询问是你是否运行某些ActiveX控件，或是生成莫明其妙的文件、询问调试脚本什么的，一定要警惕了，你可能已经中招了。典型的上网被入侵有两种情况：
一是浏览某些带恶意代码的网页时候被修改了浏览器的默认主页或是标题，这算是轻的 ；还有就是遇到可以格式化硬盘或是令你的Windows不断打开窗口，直到耗尽资源死机——这种情况恶劣得多，你未保存和已经放在硬盘上的数据都可能会受到部分或全部的损失。
二是潜在的木马发作，或是蠕虫类病毒发作，让你的机器不断地向外界发送你的隐私，或是利用你的名义和邮件地址发送垃圾，进一步传播病毒；还有就是黑客的手工入侵，窥探你的隐私或是删除破坏你的文件。
自救措施 ：马上断开连接，这样在自己的损失降低的同时，也避免了病毒向更多的在线电脑传播。请先不要马上重新启动系统或是关机，进一步的处理措施请参看后文。
2.中毒后，应马上备份、转移文档和邮件等
中毒后运行杀毒软件杀毒是理所当然的了，但为了防止杀毒软件误杀或是删掉你还未处理完的文档和重要的邮件，你应该首先将它们备份到其他储存媒体上。有些长文件名的文件和未处理的邮件要求在Windows下备份，所以上文笔者建议你先不要退出Windows，因为病毒一旦发作，可能就不能进入Windows了。
不管这些文件是否带毒，你都应该备份，用标签纸标记为“待查”即可。因为有些病毒是专门针对某个杀毒软件设计的，一运行就会破坏其他文件，所以先备份是防患于未然的措施。等你清除完硬盘内的病毒后，再来慢慢分析处理这些额外备份的文件较为妥善。
3.需要在Windows下先运行一下杀CIH的软件(即使是带毒环境)
如果是发现了CIH病毒，要注意不能完全按平时报刊和手册建议的措施，即先关机、冷启动后用系统盘来引导再杀毒，而应在带毒的环境下也运行一次专杀CIH的软件。这样做，杀毒软件可能会报告某些文件受读写保护无法清理，但带毒运行的实际目的不在于完全清除病毒，而是在于把CIH下次开机时候的破坏减到最低，以防它在再次开机时破坏主板的BIOS硬件，导致黑屏，让你下一步的杀毒工作无法进行。
4.需要干净的DOS启动盘和DOS下面的杀毒软件
到现在，就应该按很多杀毒软件的标准手册去按部就班地做。即关机后冷启动，用一张干净的DOS启动盘引导；另外由于中毒后可能Windows已经被破坏了部分关键文件，会频繁地报告非法操作，所以Windows下的杀毒软件可能会无法运行。因此请你也准备一个DOS下面的杀毒软件如KV300系列、金山毒霸以防万一。
即使能在Windows下运行杀毒软件，也请用两种以上工具交叉清理。在多数情况下Windows可能要重装，因为病毒会破坏掉一部分文件让系统变慢或出现频繁的非法操作。比如即使杀了CIH，微软的Outlook邮件程序也是反应较慢的。建议不要对某种杀毒软件带偏见，由于开发时候侧重点不同、使用的杀毒引擎不同，各种杀毒软件都是有自己的长处和短处的，交叉使用效果较理想。
5.如果有Ghost和分区表、引导区的备份，用之来恢复一次最保险
如果你在平时用Ghost做了Windows的备份，用之来镜像一次，得到的操作系统是最保险的。这样连潜在的未杀光的木马程序也顺便清理了。当然，这要求你的Ghost备份是绝对可靠的。要是作Ghost的时候把木马也“备份”了就后患无穷了。
6.再次恢复系统后，更改你的网络相关密码
包括登录网络的用户名、密码，邮箱的密码和QQ的密码等，防止黑客用上次入侵过程中得到的密码进入你的系统。另外因为很多蠕虫病毒发作会向外随机发送你的信息，所以及时地更改是必要的。
二、处理方法
根据病毒发作后不同的破坏程度，可采用一些相应的急救措施来进行挽救，以使损失减到最小。下面对不同的病毒破坏介绍一些较为常用的补救措施。
1.Flash BIOS被破坏
重写BIOS程序，这项操作最好由专业技术人员进行，对于某些主板可能无法重写BIOS，此时只能更换主板。
2.CMOS被破坏
将CMOS放电，然后进行重新设置。
有些主板提供了键盘恢复功能，开机时按住“Insert”键不放，可使CMOS恢复至初始状态。
3.引导区或主引导扇区被破坏
某些杀毒软件可以备份和恢复系统主引导和引导区信息内容，出现问题后可用此备份恢复。对于没有备份引导区记录的用户，可以使用相关的工具来恢复。如果确认为引导区病毒破坏的情况(通常的症兆是计算机无法检测到硬盘的情况)，数据本身还在，只是链接文件被破坏，此时可使用金山毒霸的硬盘修复工具Kavfix.exe进行修复，Kavfix软件中的0号功能专门用来处理硬盘分区出错的情况，具体的使用方法就不在这里叙述，在Kavfix软件中有详细的使用方法。
4.系统文件丢失
如能正常启动，只需运行系统文件检查器进行恢复。在 Windows 98下操作方法如下：
(1)通过提示得知丢失文件的名称和路径。随后单击“开始”→ “附件”→“系统工具”→“系统信息”程序。
(2)单击“系统信息”程序的“工具”菜单中的“系统文件检查器”。
(3)选中“系统文件检查器”中的“从安装软盘提取一个文件”，然后在下面的文本框中输入要提取的文件名。
(4)单击对话框左下方的“开始”按钮，打开“提取文件”对话框。如果你使用原始安装盘进行恢复且事先用“系统文件检查器”扫描过系统，它会自动在 “还原自”和“将文件保存到”框内给出文件的源路径和恢复路径，然后单击“确定”即可自动完成丢失文件的提取和恢复。
在Windows 2000中，可在“开始→运行”中输入“SFC /SCANNOW”。系统会自动启动文件保护，Windows会验证所有受保护的系统文件，此时插入Windows 2000安装盘，选择修复即可。
如果系统文件丢失导致Windows不能运行，此时需要在DOS下进行恢复。一般情况下，在无法进入Windows时，会出现XXX文件丢失的提示，记下这些文件名称和路径，然后用Windows 98启动盘启动计算机，选择多重配置启动菜单中的第一项，即加载通用CD-ROM驱动程序并创建一个大小为2MB的RAM驱动器，这个RAM驱动器的盘符会有提示，进入该驱动器，敲入Ext.exe后回车。输入Windows 98安装压缩包所在的完整路径，回车后根据提示输入丢失的文件名回车，接着输入目标路径，如C:\WindowsSystem并敲回车。最后出现确认提示“Is this OK?(y/n):”，输入y后回车。Ext程序会自动查找安装盘中的CAB压缩包，并将文件释放到指定的位置。
5.应用程序文件丢失
出现这种情况时，可重新安装应用程序。