大家经常碰到病毒把文件批量破坏的情况,为此,张宇大师曾经在他的blog里发表过一篇文章,用脚本处理.脚本写的非常好,但总觉得对于初学者而言是很困难的,为此,我写一个通俗版本,并考虑他的通用性.
一种情况,是病毒把文件真实的破坏了,这种破坏有可能是不可逆的,或者虽然可逆,但那仅仅是对病毒作者而言或破解专家而言,我们不讨论这种情况.
我们着重讨论另外一种情况,病毒仅仅是把自己的执行代码添加到文件中,对原文件并没有做任何修改,如何批量处理的问题.以下,举例说明.
现在,有一种病毒,把自己添加到word里面,并修改word的扩展名为exe,以达到执行自己的目的.我们来看如何处理.
1.打开winhex,将Allow multiple program instances前面的勾去掉
Ltems in windows context menu前面的勾加上
![](https://i-blog.csdnimg.cn/blog_migrate/e6a5f841b9623df5872812bfeb5d0122.jpeg)
2. 进入到该病毒破坏的某文件夹,如图:
![](https://i-blog.csdnimg.cn/blog_migrate/72189e9945c573c75d67bd83a645bd57.jpeg)
3.执行如下脚本
ForAllObjDo
{
block1 currentpos
find 0xD0CF11E0A1B11AE1
move -1
block2 currentpos
remove
save
EndIf
close
ExitIfNoFilesOpen
}[unlimited]
{
block1 currentpos
find 0xD0CF11E0A1B11AE1
move -1
block2 currentpos
remove
save
EndIf
close
ExitIfNoFilesOpen
}[unlimited]
4.然后就ok了.
![](https://i-blog.csdnimg.cn/blog_migrate/30c071dc54a588f4c29a01f96687fe8b.jpeg)
转载于:https://blog.51cto.com/hljdatarecovery/190392