个人原创推荐：VBS病毒手动清除教程

琼ヾ苍

, Z( j; f! P) V  f; z0 d0 ]9 H
4 m, N( }5 c) b7 K2 m今晚维修，有至少两台电脑种了 VBS 病毒。 鉴于此，所以 我决定 打开久经未动的 虚拟机。
开始研究如何手动 删除 这个VBS 病毒。 清除这个病毒的过程中，我是靠着自己曾经拥有的清毒经验
自己一步一脚印探索着删除。 经过几次，尝试和研究 终于才把 这个病毒征服了。
  C. m0 D, H% Q% T2 l7 z0 J) s下面请看 我清除病毒的整体步骤，希望对 诚毅学子 以及 计算机协会 的同胞们有所帮助。
) [; O+ l  o1 P! ^0 q! r" b$ x步骤一、 我们先运行病毒。
步骤二、 这时 我们打开任务管理器 你会发现什么？   

# L. [# h1 l! D' x0 J* ^' ~   妖兽 发现了什么 ... wscript.exe 这个就是 这次病毒 的一个得力 辅角，许多懂进程的人
' q" u$ }- f$ e& i以下就能发现 它的不对，因为没事它是不会 随便 跑出来溜达的。 那么结束他，可以吗？
事实上是没用的 即便了 结束了上千次 也无济于事，它照样会再次 启动。
" ^3 l6 t% ~' ~- @: J   那么该怎么办？ 不急 先继续看我分析。
步骤三、 病毒症状   

8 @  D( o1 g0 a8 y( B5 |+ r
/ w/ H1 X. p# W2 _  |4 ^6 L看到此图 大家一定感到 很熟悉，所有文件夹都变成了 快捷方式。换句话说，当你双击了 该文件夹后
就算是 种了病毒的圈套... 那样 你就可以从此无限的浸淫在这病毒的摇篮中，无绵无休。
3 X3 ~, L/ u6 K' C8 Q1 O4 H2 m步骤四、 脚本提示

9 m- j" g7 B' A: G6 w9 O
% J0 l2 F  Q2 C0 m* ^9 a  病毒运行过程可能出现 这样提示信息 视每个人电脑情况不同 而定。(很明显 这是vbs 文件在运行)
步骤五、 注册表启动项

. l$ e  I+ |. ~4 j, W9 @' X" G上图，是 我用XueTr(一个和冰刃同样牛的手刹工具) 打开启动项 发现了什么
  C:\WINDOWS\system32\smss.exe:539207912.vbs 这个路径明显有问题
后面 跟着那串文件名 539207912.vbs 我们可以很肯定的断定 它肯定是病毒。 但不急 我们继续。
* }. P- ?2 V9 y5 Q: F步骤六、 文件关联   

  大大 惊讶 吧~~ 这么多 文件关联 都被篡改了。 什么是文件关联？ 不知道 ？
: `) }" T# a" r1 t简单说吧 我们是不是可以直接打开记事本文件，这样的功能 就是因为有了文件关联。
' I% j" s% z5 {8 s它把 txt 后缀的文件 自动关联 到了 notepad.exe 文件，这样我们就可以直接顺利打开文件了。
& X6 h9 W' p2 o, D8 m2 m; P2 b这样说 如果这个被篡改了 那就危险 明显这些文件都被引导到了 病毒文件。
步骤七、 清毒前的工作   

0 _8 \3 Q5 O/ @" e& d9 Q+ F+ y
这是 XueTr 拥有的 特殊功能 它能 禁止创建 进程、文件、线程。 这些到底什么
) V7 p; I" J% [4 G) G- {" \意思 我就不解释了 不懂得 自己百度吧 哈。
5 d9 v9 h+ [! _3 Q8 p! |. Q* x+ K步骤八、 处理svchost.exe 模板注入   

, O1 a# Q1 ^' b' k6 T! h
我们打开 svchost.exe　模板（动态链接库）文件查询发现　vbscript.dll 文件。
这个一定 要全局卸载  不然后面 会有罪够 让你受本人深受体会。
(另外，你若仔细看 会发现什么 svchost.exe 文件实际已经被注入了 vbscript.dll 文件)
步骤九、解释辅助进程

- R1 C* v: f+ w
接下来 我们解释掉 wscript.exe 这个病毒辅助进程 但记住不要删除 它是正常文件。
4 f$ C  `0 v& H8 B9 `步骤十、删除根目录 的相关病毒文件

! T, ~: x: S* r+ ~3 R6 ?
  使用 XueTr 自带的 文件管理 功能 将根目录上 的这两个 病毒衍生文件删除。
防止 你误点击到那些快捷方式引导到病毒文件 又再次中毒。
" ^) R" k# [% C; h" D* |+ f: Z9 k3 @步骤十一、 删除 启动项上病毒项目

. t: |! p" C# H1 p  l  [找到 病毒项目 接下来...

( h. Q# q3 v5 ^. T; u# i定位 到文件管理器 。。 用软件自己的文件管理器 这样你才能找到 病毒文件(它是被隐藏的)
7 s1 V  d5 \/ k5 X. z4 X7 Y% h& w用 资源管理器 是看不到的。
然后,再回到 XueTr 上启动项功能 上删除 选中的内容 防止它 开机自动运行 而又中毒。
7 A6 Z+ |- H7 d: r步骤十一、 恢复文件关联

' U" [. a% {; B$ C* a
如图，操作 是修复 上面提到的 文件关联功能。
2 W/ L. k9 E) B; r0 ^) r6 Z5 g5 I. H0 I步骤十二、双击 我电脑被劫持
在 这过程清除 过程中 我一直 多次被病毒卡到... 始终搞不清楚自己明明已经做好了相关工作
) L0 ^  K( `1 F$ P为什么 还是会再次 中毒，这个时候是让人最郁闷的 时候。 不过，我还是 通过软件一些功能
发现了 一些蛛丝马迹.. 并成功抓出了问题 原来 是 我的电脑 图标 也被病毒劫持了。
所有 我们要做的就是 恢复 原来 我的电脑图标的 关联方式。

' h/ [8 ~  ?% E4 l4 b6 C
打开运行 在运行框中 输入：
5 @4 }2 ?7 A$ p" `reg add "HKEY_CLASSES_ROOT\CLSID\{20D04FE0-3AEA-1069-A2D8-08002B30309D}\shell" /ve /d none /f
这样 这个问题就 迎刃而解了 。
步骤十三、收尾工作

, a- r: Z. t/ U. K  Z, {+ `接下来 我们用 命令提示符(cmd -- 运行框输入) 使用 dos 命令 恢复被隐藏的文件
# P4 `" P# M3 [3 {2 v8 [* X; y! g7 H  attrib -r -s -h *.* /s /d
该命令 只要 你用 dos 命令 将相关路径 引导到相关驱动路径上并输入上面命令 就OK了。
9 v% _; T. S) }
  写到这里 我整个 病毒清除 就算OK 接下来 你要 记得去删除 系统上所有临时文件夹
那可能是病毒 藏身的 一个温床。 常用路径--我底下帮大家列出
5 A2 l& l* N! W7 [4 n9 B8 T7 S   C:\Windows\Temp
   C:\Documents and Settings\用户名（一般为Administrator）\Local Settings\Temp目录下（默认为隐藏目录）
5 D' y- Q; {7 X) P   IE临时文件夹：C:\Documents and Settings\用户名\Local Settings\Temporary Internet Files（默认为隐藏目录） 你也可以通过这个操作查看：打开IE---工具---internet选项---常规---设置。
% u0 ]  `$ O1 D) R- u, {7 l/ l   等等
   隐藏的找不到的 可以用 winrar 去查出来。
+ m4 I2 J- Q3 x# |7 I然后，你就可以关机 重新再开机 看看效果吧。 可以偷笑了。 哈哈
) L! t* ~  U# Y6 |, @/ u: A* n  本人，第一次写这方面教程... 可能有些地方写的不尽人意请大家多多见谅。有什么错误的请大家
  P% z6 |" v  U& c1 e2 e* ^顺便指出啊！大家共同讨论，共同进步。
  另外，这个清除过程 是在 虚拟机的实验环境下 做出的... 然而，实际的操作环境 可能会比这个
复杂得多，但是 基本上不会脱离 上面的大致内容。 只要你多仔细观察.. 多学习处理方法。
一般都能解决好问题。
                                                          原创：映轩晓屋

AK47

楼主好久不见了！

听樊

吓死我了。。。还好我的电脑进程里没有wscript.exe

jeremy°

师傅，你好猛呀

琼ヾ苍

回复 2# AK47
/ }# }3 @2 v; @+ F. R

" E; c, O2 `/ I$ f# m) G( }    哈哈 是啊 好久 没来 发帖
5 n$ O7 b1 ^: x6 g9 F' R5 r   一来、没什么好作品 不好意思 来。
   另外就是 有点忙 嘿。

琼ヾ苍

回复 3# 听樊
* v! n7 k* c3 t( A) k0 u

    哈哈

琼ヾ苍

回复 4# jeremy°
$ i7 L4 [* I7 J; ^
: `, X. g& a$ s5 j1 ?
    嘻嘻