有病毒，随後就出現了殺軟。今天給大(dà)家分(fēn)享下(xià)Windows系統中(zhōng)病毒的藏身之處，好讓大(dà)家以後直接揪出内鬼。

1、一(yī)般的病毒在開(kāi)機時啓動雙進程堅守、關閉殺毒程序。HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run是否有陌生(shēng)啓動項。這裏屬于常規啓動項，很多程序會寫在這裏。

2、如果殺毒軟件難于清理、或被關閉了殺毒程序，也有可能是被執行挂鈎了。這時候應當檢測HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks，大(dà)量惡意軟件以及病毒均會寫入這裏。因爲，很少有正常程序會寫入這裏，病毒幾率非常大(dà)。

3、有的時候，安全模式下(xià)殺毒程序被關閉了。重點檢查一(yī)下(xià)HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Windows\Appinit_Dlls。很少有正常程序會寫入這個位置，病毒幾率極高。

4、有些病毒是寫入底層服務與rootkits驅動，所以才導緻清除困難。用戶可以重點檢查HKLM\System\CurrentControlSet\Services。

5、如果發現某個特定文件名的文件無法執行了，十有八九是被映像劫持，重點排查HKLM\Software\Microsoft\WindowsNT\CurrentVersion\Image File Execution Options，大(dà)多數AV病毒均會寫在這裏。當然，被劫持的文件不一(yī)定是exe文件。有的病毒爲了防止ani.ani還原病毒主文件，便劫持ani.ani文件。

6、還有一(yī)些變種病毒可以将殺毒軟件安裝文件進行删除，而且會修改hosts文件、在QQ目錄下(xià)寫入隐藏的病毒dll并且修改API HOOH。這時可以重點檢查HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler

7、HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad

了解隐藏之地，找到它就相當容易。大(dà)家在安裝完系統的時候，推薦把以上七項注冊表都備份下(xià)。以後中(zhōng)病毒後，可以先直接倒入備份的注冊表文件。再把殺軟升級到最新，然後進入安全模式下(xià)，進行全盤查殺。想必這樣，病毒不死也大(dà)殘了