無所坊

在Windows任務管理器是大家對進程進行管理的主要工具，在它的“進程”選項卡中能查看當前系統進程信息。在默認設置下，一般只能看到映像名稱，用戶名， CPU的佔用，內存使用等幾項，而更多如I / O的讀寫，虛擬內存大小等信息卻被隱藏了起來。可別小看了這些被隱藏的信息，當系統出現莫名其妙的故障時，沒準就能從它們中間找出突破口。

1 。查殺會自動消失的雙進程木馬
前段時間朋友的電腦中了某木馬，通過任務管理器查出該木馬進程為“ system.exe ” ，終止它後再刷新，它又會復活。進入安全模式把為C ： \的Windows \ system32 \系統。的EXE刪除，重啟後它又會重新加載，怎麼也無法徹底清除它。從此現象來看，朋友中的應該是雙進程木馬。這種木馬有監護進程，會定時進行掃描，一旦發現被監護的進程遭到查殺就會復活它。而且現在很多雙進程木馬互為監視，互相復活。因此查殺的關鍵是找到這“互相依靠”的兩個木馬文件。借助任務管理器的PID的標識可以找到木馬進程。
調出的Windows任務管理器，首先在“查看→選擇列”中勾選“的PID （進程標識符） ” ，這樣返回任務管理器窗口後可以看到每一個進程的PID的標識。這樣當我們終止一個進程，它再生後通過的PID標識就可以找到再生它的父進程。啟動命令提示符窗口，執行“ taskkill /即時通訊system.exe / F ”類命令。刷新一下電腦後重新輸入上述命令如圖1 ，可以看到這次終止的system.exe進程的PID控制為1536 ，它屬於的PID為676的某個進程。也就是說的PID為1536的system.exe進程是由的PID為676的進程創建的。返回任務管理器，通過查詢進程的PID得知它就是“ internet.exe ”進程進程。

找到了元兇就好辦了，現在重新啟動系統進入安全模式，使用搜索功能找到木馬文件為C ： \的Windows \ internet.exe ，然後將它們刪除即可。前面無法刪除system.exe ，主要是由於沒有找到互聯網的。 exe （且沒有刪除其啟動鍵值） ，導致重新進入系統後internet.exe復活木馬。

2 。揪出狂寫硬盤的的P2P程序
單位一電腦一開機上網就發現硬盤燈一直閃個不停，硬盤狂旋轉。顯然是本機有什麼程序正在進行數據的讀取，但是反复殺毒也沒發現病毒，木馬等惡意程序。
打開該電腦並上網，按按Ctrl + Alt + Del鍵鍵啟動了任務管理器，切換到“進程”選項卡，點擊菜單命令“查看→選擇列” ，同時勾選上“的I / O寫入”和“ I / O的寫入字節”兩項。確定後返回任務管理器，發現一個陌生的進程hidel.exe ，雖然它佔用的的CPU和內存並不是特別大，但是的I / O的寫入量卻大得驚人，看來就是它在搗鬼了，趕緊右擊它並選擇“結束進程”終止，果然硬盤讀寫恢復正常了