常用问题排查工具和分析神器，值得收藏_process explorer进程注入排查(2)

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，涵盖了95%以上C C++开发知识点，真正体系化！

由于文件比较多，这里只是将部分目录截图出来，全套包含大厂面经、学习笔记、源码讲义、实战项目、大纲路线、讲解视频，并且后续会持续更新

如果你需要这些资料，可以戳这里获取

文件系统查看，支持基本的文件操作。

查看（编辑）IE 插件、SPI、启动项、服务、Host 文件、映像劫持、文件关联、系统防火墙规则、IME。

13.ObjectType Hook 检测和恢复。

14.DPC 定时器检测和删除。

15.MBR Rootkit 检测和修复。

内核对象劫持检测。

其它一些手工杀毒时需要用到的功能，如修复 LSP、修复安全模式等。

1.5 PCHunter

功能：XueTr 的增强版，功能和 XueTr 差不多，可参考上图。推荐更多使用 PCHunter，减少出故障的概率。

1.6 ProcessDump

功能：可对指定的进程，将其进程空间内的所有模块单独 Dump 出来，甚至可 Dump 出隐藏的模块（即进程加载的 dll，这里通常是被注入）。

注：这是个命令行工具。

1.7 PsTools

功能：PsTools 是命令行工具集，微软官方推荐，功能多而全，其涵盖的子功能（命令）如下：

2 流量分析工具

2.1 Wireshark

功能：Wireshark 是一款常用的网络抓包工具，同时也可以用于流量分析。

2.2 科来网络分析

功能：科来公司的一款流量分析工具，对比 Wireshark 要相对易用些（特别是流量分析入门人员），此外，该工具会自动将流量进行归类和统计。在某种意味上，还是比较方便的。

2.3 TCPView

功能：查看系统的网络连接详情，每一条连接对应的进程、协议、进程、源目地址、源目端口、连接状态…… 总之，可展示当前活跃连接的所有详细信息。

3 启动项分析工具

3.1 AutoRuns

功能：一款不错的启动项分析工具，微软官方推荐。只要涉及到启动项相关的信息，事无巨细，通通都可以查询得到，非常方便找到病毒的启动项。

4 信息收集工具

4.1 FastIR

功能：收集操作系统的关键日志、关键信息，方便后续取证和排查分析。

4.2 BrowsingHistoryView

功能：收集浏览器的历史记录，方便追溯域名、URL 的访问来源是否源自于用户行为。

5 辅助工具

5.1 Hash

功能：文件 hash 计算工具，可计算文件 MD5、SHA1、CRC 值，可用于辅助判断文件是否被篡改，或者使用哈希值到威胁情报网站查看是否为恶意文件。

5.2 ntfsdir

功能：病毒也有可能是以创建服务启动项的方式保持长久运行，点击 Autoruns 的 Services 功能，如下图，检查是否有异常的服务启动项。

5.3 Unlocker

功能：可对难以删除的文件进行强制删除（包括锁定的文件），需安装，安装后右键菜单”Unlocker“即可弹出如下界面：

6 Webshell 查杀工具

6.1 wscan

功能：深信服自研的一款 Webshell 查杀工具。

6.2 D 盾

功能：D 盾是迪元素科技的一款 Webshell 查杀工具。

7 专杀工具

7.1 飞客蠕虫专杀

功能：专门针对飞客蠕虫病毒进行查杀的工具。

飞客蠕虫专杀工具有 kidokiller（卡巴斯基出品）、TMCleanTool（趋势科技出品）。

Kidokiller 运行截图如下，红色方框的所有 0 值表明没有中飞客蠕虫，如果有非 0 值，即说明中了飞客蠕虫。

TMCleanTool 的运行截图如下，有威胁项即表明中了飞客蠕虫。

7.2 Ramnit 专杀

功能：专门针对 Ramnit 类家族病毒进行查杀的工具。

FxRamnit 是赛门铁克出品的 Ramnit 专杀工具，其运行界面如下，点击”Start“按钮即可：

注：由于 Ramnit 是全盘感染性病毒，故此专杀工具运行时间比较长，需耐心等待（FxRamnit 常常给人一种” 假死 “的感觉）。

8.性能测试工具——gperftools

gperftools google推出的一个性能分析工具，主要由四个组件组成：

1、Tcmalloc内存分析器

2、Heap-profiler

Heap-profiler是内存监控器，可以随时知道内存的使用情况[2]。

3、Heap-checker

Heap-checker是专门检测内存泄漏的工具

4、Cpu-profiler

Cpu-profiler主要是通过采样的的方式，给出一段时间内程序实际占用cpu时间偏进行统计和分析。

相关介绍可见:
Home · gperftools/gperftools Wiki · GitHub

9.内存检测工具Sanitizers

GitHub ：https://github.com/google/Sanitizers

使用文档： https://github.com/google/sanitizers/wiki

C++程序很容易出现越界、内存泄漏、内存重复释放、悬垂指针等问题，这些问题是新手的噩梦，但是一般的C++教程从来不教如何解决这些问题，导致很多人自学者都是人肉解决，从此给心理蒙上了阴影。其实针对C++有很多的工具可以用来定位这些问题，其中最垂手可得的是sanitizers，因为它已经被集成在编译器(gcc/clang/msvc)中，直接加上相关的编译选项就可以用，对于传说中恐怖的内存问题大都能手到擒来。

Sanitizers 是谷歌发起的开源工具集，包括了 AddressSanitizer, MemorySanitizer, ThreadSanitizer, LeakSanitizer，Sanitizers项目本是LLVM项目的一部分，但GNU也将该系列工具加入到了自家的 GCC 编译器中。GCC 从 4.8 版本开始支持 Address 和 Thread Sanitizer，4.9 版本开始支持 Leak Sanitizer 和 UB Sanitizer，这些都是查找隐藏 Bug 的利器。

gcc/g++ 使用 sanitizer：

gcc/g++ 编译只需要将 sanitizer 的标志作为 flag 设置即可，如下：

gcc/g++ -fsanitize=address -g -fno-omit-frame-pointer test.cpp

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化的资料的朋友，可以添加戳这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

(img-tgbsvSRH-1715806706714)]

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化的资料的朋友，可以添加戳这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！