个人原创推荐：VBS病毒手动清除教程

琼ヾ苍

今晚维修，有至少两台电脑种了 VBS 病毒。 鉴于此，所以 我决定 打开久经未动的 虚拟机。
0 \/ X! I  Q' r, c. N开始研究如何手动 删除 这个VBS 病毒。 清除这个病毒的过程中，我是靠着自己曾经拥有的清毒经验
* @4 O% y0 o' d: T. B! C5 F自己一步一脚印探索着删除。 经过几次，尝试和研究 终于才把 这个病毒征服了。
- G, ~6 S+ D$ M3 o下面请看 我清除病毒的整体步骤，希望对 诚毅学子 以及 计算机协会 的同胞们有所帮助。
步骤一、 我们先运行病毒。
3 \0 M; F; P7 m$ m8 p" R* x步骤二、 这时 我们打开任务管理器 你会发现什么？   

2 o' T1 A2 x7 d! G
   妖兽 发现了什么 ... wscript.exe 这个就是 这次病毒 的一个得力 辅角，许多懂进程的人
以下就能发现 它的不对，因为没事它是不会 随便 跑出来溜达的。 那么结束他，可以吗？
$ K8 i5 n/ S( Y  t! b5 y事实上是没用的 即便了 结束了上千次 也无济于事，它照样会再次 启动。
2 v0 \$ ?# j- `! o3 p, V! d# h! o   那么该怎么办？ 不急 先继续看我分析。
步骤三、 病毒症状   

  a8 ^& N9 ?2 u
' r: Q$ H# T& }: B6 t: h看到此图 大家一定感到 很熟悉，所有文件夹都变成了 快捷方式。换句话说，当你双击了 该文件夹后
7 p  b1 M  ^7 w+ O; B# ~, \8 d就算是 种了病毒的圈套... 那样 你就可以从此无限的浸淫在这病毒的摇篮中，无绵无休。
步骤四、 脚本提示

  病毒运行过程可能出现 这样提示信息 视每个人电脑情况不同 而定。(很明显 这是vbs 文件在运行)
3 M9 ~* c" m* u0 D步骤五、 注册表启动项

' m. J0 O, N: f. F上图，是 我用XueTr(一个和冰刃同样牛的手刹工具) 打开启动项 发现了什么
0 E+ a, Q  ~# B  C:\WINDOWS\system32\smss.exe:539207912.vbs 这个路径明显有问题
后面 跟着那串文件名 539207912.vbs 我们可以很肯定的断定 它肯定是病毒。 但不急 我们继续。
步骤六、 文件关联   

9 z+ D  ~- ^" c
) K7 @8 z9 T5 m6 k) s6 ~  大大 惊讶 吧~~ 这么多 文件关联 都被篡改了。 什么是文件关联？ 不知道 ？
简单说吧 我们是不是可以直接打开记事本文件，这样的功能 就是因为有了文件关联。
它把 txt 后缀的文件 自动关联 到了 notepad.exe 文件，这样我们就可以直接顺利打开文件了。
9 @+ Z7 p+ s% p2 L; [* x( D这样说 如果这个被篡改了 那就危险 明显这些文件都被引导到了 病毒文件。
步骤七、 清毒前的工作   

6 G5 n% i/ e6 X* y3 S% i+ U7 v
这是 XueTr 拥有的 特殊功能 它能 禁止创建 进程、文件、线程。 这些到底什么
意思 我就不解释了 不懂得 自己百度吧 哈。
步骤八、 处理svchost.exe 模板注入   

我们打开 svchost.exe　模板（动态链接库）文件查询发现　vbscript.dll 文件。
这个一定 要全局卸载  不然后面 会有罪够 让你受本人深受体会。
7 k6 S2 H2 z6 J(另外，你若仔细看 会发现什么 svchost.exe 文件实际已经被注入了 vbscript.dll 文件)
5 q0 \+ G1 b. z7 u$ @) z( T步骤九、解释辅助进程

3 |  ]7 j4 p* |6 |; H1 s. |
' F' N1 D9 H) Q2 e接下来 我们解释掉 wscript.exe 这个病毒辅助进程 但记住不要删除 它是正常文件。
6 S1 l3 b' \+ N9 T. f5 L2 W4 h6 u+ A' a步骤十、删除根目录 的相关病毒文件

8 Q( ?# x4 k' l
  使用 XueTr 自带的 文件管理 功能 将根目录上 的这两个 病毒衍生文件删除。
* X% W9 F8 P+ h6 W0 l防止 你误点击到那些快捷方式引导到病毒文件 又再次中毒。
9 l' u( M( Y! B2 ]: ^9 R步骤十一、 删除 启动项上病毒项目

找到 病毒项目 接下来...

* U' c7 M2 N; A8 C$ q, y* D定位 到文件管理器 。。 用软件自己的文件管理器 这样你才能找到 病毒文件(它是被隐藏的)
用 资源管理器 是看不到的。
然后,再回到 XueTr 上启动项功能 上删除 选中的内容 防止它 开机自动运行 而又中毒。
8 O( T3 _" |- b- k0 @步骤十一、 恢复文件关联

5 o6 N2 \' E( ~. w  @5 n! G3 o; ?
如图，操作 是修复 上面提到的 文件关联功能。
) U$ i2 R* r8 q. P步骤十二、双击 我电脑被劫持
1 ]' {$ O( [$ ?在 这过程清除 过程中 我一直 多次被病毒卡到... 始终搞不清楚自己明明已经做好了相关工作
为什么 还是会再次 中毒，这个时候是让人最郁闷的 时候。 不过，我还是 通过软件一些功能
发现了 一些蛛丝马迹.. 并成功抓出了问题 原来 是 我的电脑 图标 也被病毒劫持了。
所有 我们要做的就是 恢复 原来 我的电脑图标的 关联方式。

打开运行 在运行框中 输入：
) E1 ]7 e# S# I7 Y; yreg add "HKEY_CLASSES_ROOT\CLSID\{20D04FE0-3AEA-1069-A2D8-08002B30309D}\shell" /ve /d none /f
这样 这个问题就 迎刃而解了 。
步骤十三、收尾工作

' Y( m- P: B4 N$ l# B3 Z
接下来 我们用 命令提示符(cmd -- 运行框输入) 使用 dos 命令 恢复被隐藏的文件
$ ?5 `5 T& c0 u! N2 y3 |- q/ f  attrib -r -s -h *.* /s /d
1 ]7 J, n0 X7 y: F2 Y该命令 只要 你用 dos 命令 将相关路径 引导到相关驱动路径上并输入上面命令 就OK了。

* D( k$ p& l+ H4 D: m2 v! c, F' B9 A  写到这里 我整个 病毒清除 就算OK 接下来 你要 记得去删除 系统上所有临时文件夹
0 N3 t: M! n, z. A! |那可能是病毒 藏身的 一个温床。 常用路径--我底下帮大家列出
) ^9 p( R1 l; ]) j$ l0 k   C:\Windows\Temp
; T$ Y' @6 M  u   C:\Documents and Settings\用户名（一般为Administrator）\Local Settings\Temp目录下（默认为隐藏目录）
   IE临时文件夹：C:\Documents and Settings\用户名\Local Settings\Temporary Internet Files（默认为隐藏目录） 你也可以通过这个操作查看：打开IE---工具---internet选项---常规---设置。
# A! v7 I* K% U# ?& q7 ]) u% \   等等
8 n" r3 T- v4 J/ r0 f+ a   隐藏的找不到的 可以用 winrar 去查出来。
然后，你就可以关机 重新再开机 看看效果吧。 可以偷笑了。 哈哈
  本人，第一次写这方面教程... 可能有些地方写的不尽人意请大家多多见谅。有什么错误的请大家
+ p  H9 c. w6 }' h顺便指出啊！大家共同讨论，共同进步。
  另外，这个清除过程 是在 虚拟机的实验环境下 做出的... 然而，实际的操作环境 可能会比这个
复杂得多，但是 基本上不会脱离 上面的大致内容。 只要你多仔细观察.. 多学习处理方法。
一般都能解决好问题。
; s! `& R0 Q. M9 ]# X# j% l                                                          原创：映轩晓屋

AK47

楼主好久不见了！

听樊

吓死我了。。。还好我的电脑进程里没有wscript.exe

jeremy°

师傅，你好猛呀

琼ヾ苍

回复 2# AK47
* n+ D9 Y# h1 t5 h4 v
- s9 {# i6 \2 v* W& C! _+ y
! T) J; {- K$ ?2 v) x# [    哈哈 是啊 好久 没来 发帖
0 n( s: g% b$ C. N7 A4 {' I* a   一来、没什么好作品 不好意思 来。
   另外就是 有点忙 嘿。

琼ヾ苍

回复 3# 听樊

$ Z/ M# M1 b8 P: j
5 a4 l$ m, E6 @; H2 P, e    哈哈

琼ヾ苍

回复 4# jeremy°

5 s" _, \! a- d' @
2 }, w0 [$ i; T8 F/ ~    嘻嘻