新手对付病毒的手段及提防SMSS木马

发布时间：2012-04-15 01:53:30作者：知识屋

以下的文章主要向大家讲述的是新手对付病毒，提防SMSS.EXE木马的好用方案，SMSS.EXE（Session Manager Subsystem），该进程主要是为会话管理子系统用以初始化系统变量，MS-DOS驱动名称类似LPT1以及COM，调用Win32壳子系统和运行在Windows登陆过程。

　　SMSS.EXE（Session Manager Subsystem），该进程为会话管理子系统用以初始化系统变量，MS-DOS驱动名称类似LPT1以及COM，调用Win32壳子系统和运行在Windows登陆过程。它是一个会话管理子系统，负责启动用户会话。这个进程是通过系统进程初始化的并且对许多活动的，包括已经正在运行的Winlogon，Win32（Csrss.exe）线程和设定的系统变量作出反映。

　　在它启动这些进程后，它等待Winlogon或者Csrss结束。如果这些过程时正常的，系统就关掉了。如果发生了什么不可预料的事情，smss.exe就会让系统停止响应（挂起）。要注意：如果系统中出现了不只一个smss.exe进程，而且有的smss.exe路径是"%WINDIR%SMSS.EXE"，那就可以肯定是中了病毒或木马了。

　　处理办法：

　　（1）在Windows目录下建立一个批处理文件（比如名为d.bat）：

　　del 1.com

　　del finders.com

　　del debugdebugprogram*.exe

　　del exerouter.exe /ar

　　del exerouter.exe /ah

　　del exp10rer.exe /ar

　　del exp10rer.exe /ah

　　del d:command.com /ah

　　del d:command.com /ar

　　del smss.exe /ar

　　del smss.exe /ah

　　assoc .exe=exefile

　　（2）开始-运行 cmd, 进入 windnows目录，运行 d.bat。

　　（3）修改注册表：

　　HKLMSoftwareMicrosoftWindowsCurrentVersionRun，删掉 TProgram项。

　　HKLMSoftwareMicrosoftWindowsNTCurrentVersionWinlogon，将Shell的值由 explorer.exe 1 改为 explorer.exe。

　　（4）修改完注册表后立刻 RESET （冷启动）。

　　（5）进入系统后，再次运行d.bat。

　　（6）修复EXE和HTM的关联

　　http://www.dougknox.com/xp/file_assoc.htm，去下载XP的EXE和HTM修复的文件后，解压缩将REG文件导入注册表。

　　（7）确定进程中无smss.exe木马（大概是5000多K的那个文件），若有可在带命令行的安全模式下重复以上操作。

　　请添加描述