目录
一、实验清单
操作系统：windows xp sp2
病毒样本：87551e33d517442424e586d25a9f8522（MD5值）
注：病毒样本可以在微步云沙箱获取。
二、实验步骤
1、杀病毒创建的进程
（1）在运行熊猫烧香病毒之前，打开任务管理器（方便找出熊猫烧香病毒建立的进程）。
扫描二维码关注公众号，回复：
14522674 查看本文章
（2）运行熊猫烧香病毒，并且尝试打开任务管理器，可以发现：任务管理器无法正常打开。我们需要在cmd中利用“tasklist”命令查看当前运行的进程。
经过比对，可以发现多了一个名为“spoclsv.exe”的进程。
（3）在cmd中使用“taskkill /f /im 700”命令，强制结束名为“spoclsv.exe”的进程。
再次打开任务管理器，可以发现：能够正常打开任务管理器了。
2、排查启动项
(1)在“运行”中输入“msconfig”。可以看到与刚刚查杀的进程名类似的启动项目，记录以下内容：
- 文件位置：C:\WINDOWS\system32\drivers\spoclsv.exe
- 注册表位置：HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
(2)将spoclsv启动项前面的对勾取消掉，以防止防止病毒开机自启。
3、删除病毒
打开spoclsv对应的文件路径，可以发现一个带有熊猫烧香图标的exe文件，将该病毒文件本体删除。
三、总结
手动查杀病毒木马的流程：
- 排查可疑进程。病毒往往会创建一个或多个进程，我们需要分辨哪些是病毒创建的进程，然后杀死相应的进程。
- 排查启动项。病毒为了实现自动启动，会采用一些方法将自己添加到启动项中，从而实现自启动。
- 删除病毒本体。在排查启动项的时候，我们可以确定病毒的位置，从而删除病毒本体。
- 修复被病毒破坏的文件。这一步无法通过手工的方法完成，需要借助相应的工具，不是现在讨论的重点。