本帖是PE應(yīng)用系列之四，介紹如何在PE系統(tǒng)下，利用殺毒軟件殺掉硬盤中的病毒。
先發(fā)發(fā)牢騷：殺毒前路漫漫，了無盡頭，跟病毒拼時(shí)間拼精力是件很無奈的事。其次，“豬頭”實(shí)在太多，任何世界級(jí)殺軟到他們手中都變得狗屎不如，都要慘死在病毒、木馬之下。
言歸正傳，大家慣用的殺毒方式有三種：正常模式下殺毒、安全模式下殺毒、DOS下殺毒。第一種方式由于病毒嵌入系統(tǒng)進(jìn)程中，各進(jìn)程相互保護(hù)，再加驅(qū)動(dòng)級(jí)和影像劫持等，使殺毒變得異常困難；第二種有時(shí)連安全模式都破壞了，根本進(jìn)不去；至于第三種，由于DOS管理內(nèi)存的缺陷，在檢查大文件時(shí)往往會(huì)死機(jī)。
而PE殺毒則可克服上述缺點(diǎn)，硬盤中病毒無法作惡，不存在殺軟被病毒反殺、劫持等問題，只要?dú)⒍拒浖梢宰R(shí)別，病毒就可以殺掉。
PE下殺毒有可能是未來殺毒的主要手段，因此，特意在這里介紹給大家試試。
一般的殺毒軟件都要經(jīng)過改造才可以在PE下運(yùn)行?！伴L楓論壇 http://bbs.cf91.com/index.php”已經(jīng)搞出了這種東西，感興趣的網(wǎng)友可到該論壇下載（如果提示要登錄的話，就注冊(cè)一個(gè)會(huì)員賬號(hào)吧）。
長楓論壇殺毒三劍客PE光盤通用版（3SwordPE.RAR ）下載：http://bbs.cf91.com/read.php?tid=8256，如圖
該論壇同時(shí)介紹了制作制作PE啟動(dòng)軟盤、U盤、移動(dòng)硬盤的方法，有興趣的可以試試。
因?yàn)槭诸^上已經(jīng)有了功能強(qiáng)大的“深山紅葉PE工具盤”或“老九PE老毛桃修改版”光盤，沒必要再搞一個(gè)，把殺毒文件提取出來，配合光盤PE系統(tǒng)來殺掉硬盤中的病毒就可以了。
以下是詳細(xì)步驟：
一、制作殺毒文件并拷貝到U盤中
1、下載后將3SwordPE.RAR解壓，如圖
2、升級(jí)殺毒軟件的病毒庫。盡可能將病毒庫升到最新，以便能夠識(shí)別更多病毒。雙擊Setup.bat，出現(xiàn)以下界面，按鍵盤上的上下箭頭鍵，將光標(biāo)移到“更新病毒庫”項(xiàng)，回車。打開升級(jí)病毒庫窗口，升級(jí)時(shí)間有點(diǎn)長，耐心等待過程結(jié)束，之后關(guān)閉cmd窗口。如圖
3、釋放殺毒程序到U盤中。用WinRAR或UltraISO打開3SwordPE.ISO，找到OUT_PRO文件夾下的JIANGMIN、KINGSOFT、RISING三個(gè)文件夾，釋放到U盤中。如圖
4、修改一下用于卸載的程序。用WinRAR打開JIANGMIN下的Un_KV.exe程序，點(diǎn)“注釋”，把Path和Setup行的B:\改成X:\(因?yàn)樯钌郊t葉和老九的PE系統(tǒng)盤符是X:)，最后確定。如圖。
同樣方法修改KINGSOFT、RISING文件夾的UN_KAV.exe和UN_RAV.exe
二、啟動(dòng)PE系統(tǒng)，運(yùn)行PE版殺毒軟件
在中毒電腦里設(shè)置光驅(qū)為第一啟動(dòng)設(shè)備，放入PE工具盤啟動(dòng)PE系統(tǒng)，啟動(dòng)完成后，要設(shè)置一下“虛擬內(nèi)存”，以便PE版的殺毒軟件能夠順利運(yùn)行。如圖
插上U盤，打開U盤中JIANGMIN、KINGSOFT或RISING文件夾，雙擊運(yùn)行其中的JiangMin.exe、KingSoft.exe或Rising.exe（盡量不要運(yùn)行與中毒機(jī)相同的殺軟，以免覆蓋了硬盤中殺軟的文件），打開殺毒程序界面，然后殺毒。如圖
如果時(shí)間允許的話，就將上述三款殺軟都運(yùn)行一次，交叉絞殺，盡可能避免病毒漏網(wǎng)。
三、卸載PE版殺軟。殺毒完成后，雙擊Un_KV.exe、UN_KAV.exe或UN_RAV.exe來卸載殺軟復(fù)制在硬盤中的殺毒文件。
以下是殺毒實(shí)戰(zhàn)截圖。如圖
四、清理病毒在注冊(cè)表的加載項(xiàng)
在PE下殺毒，殺掉了病毒文件本身，而病毒改寫了的注冊(cè)表鍵值還在硬盤的系統(tǒng)中，為了使殺毒后的系統(tǒng)能夠順利運(yùn)行，有必要清理注冊(cè)表。
1、去除病毒“映象劫持”。重啟電腦，進(jìn)入安全模式（如果安全模式被破壞，只好進(jìn)入正常模式）。運(yùn)行Autoruns這個(gè)軟件，點(diǎn)“映象劫持”標(biāo)簽，刪除“Your Image File Name Here without a path”以外的項(xiàng)刪除，如圖
2、刪除病毒啟動(dòng)項(xiàng)、服務(wù)和虛擬驅(qū)動(dòng)。運(yùn)行軟件SREng（System Repair Engineer），點(diǎn)“注冊(cè)表”標(biāo)簽，刪除病毒的啟動(dòng)項(xiàng)，修復(fù)Userinit等；
點(diǎn)“服務(wù)”標(biāo)簽，再點(diǎn)“Win32 服務(wù)應(yīng)用程序”按鈕，勾選“隱藏已認(rèn)證的微軟項(xiàng)目”，然后找病毒加入的服務(wù)并刪除，完后退出；
繼續(xù)點(diǎn)“驅(qū)動(dòng)程序”按鈕，勾選“隱藏已認(rèn)證的微軟項(xiàng)目”，找到病毒的驅(qū)動(dòng)并刪除。
3、修復(fù)安全模式等等。
至于Autoruns、SREng、修復(fù)安全模式的詳細(xì)介紹請(qǐng)參考論壇中的相關(guān)帖子。
http://softbbs.pconline.com.cn/topic.jsp?tid=7091396
