wsyscheck是一款强大的系统检测维护工具，wsyscheck拥有进程和服务驱动检查，SSDT强化检测，注册表操作，文件查询，DOS删除等功能，可以帮助我们解决很多的问题，有需要的朋友可以来下载。

wsyscheck软件介绍

Wsyscheck一款强大的系统检测维护工具，进程和服务驱动检查，SSDT强化检测，注册表操作，文件查询，DOS删除等一应俱全。Wsyscheck为wangsea近期的主打作品，深山红叶系出自他之手。其他比较好的作品还有系统安全盾、syscheck，大家应该不会陌生。一般来说，对病毒体的判断主要可以采用查看路径，查看文件名，查看文件创建日期，查看文件厂商，微软文件校验，查看启动项等方法，syschck在这些方面均尽量简化操作，提供相关的数据供您分析。最终判断并清理木马取决际您个人的分析及对Wsyscheck基本功能的熟悉程度。

wsyscheck使用教程

一、WsysCheck卸载模块1.对HOOK系统关键进程的模块卸载可能导致系统重启，这与该模块HOOK的函数有关系，所以卸载不了的可以先删除该模块的启动项（或直接使用Wsyscheck的Dos删除功能），重启后再删除文件。某些有内核HOOK保护的木马请恢复SSDT后再作注册表删除操作。二、WsysCheck文件删除1.先禁止程序运行，再手动删除文件（可以使用Wsyscheck内置文件管理中的直接删除功能）附带说一下，解除禁用的程序用“安全检查”页的“禁用程序管理”功能即可，这个功能就是流行的IFEO劫持功能,所以在木马使用IFEO劫持后可以用“禁用程序管理”来恢复被劫持的程序2.使用"结束进程并删除文件”，Wsyscheck会尝试先更名再删除，目的就是即使删除失败也让程序下次不能启动3.其它的服务管理、文件搜索、及文件管理都有相关的删除操作。文件管理页的删除操作支持畸形目录下的文件删除，注意的是如果文件本身在回收站内，请使用直接删除功能。或者使用剪切功能将它复制到另一个地方。否则你可能看到回收站内的文件删除了这个又添加了那个（因为右键“删除”是删除到回收站）4.对于用以上功能删除不了的文件，可以使用Wsyscheck的“重启删除”或“dos删除功能”，使用“dos删除功能”功能后会在启动菜单中添加一项“删除顽固文件”，执行后自动清理文件并去掉它所添加的启动项5.“重启删除”与“Dos删除”可以同时使用三、WsysCheck批量处理1.各页中可尝试用Ctrl,Shift多选再执行相关的功能2.文件搜索中的“保存文件列表”导出搜索结果列表1，在PE启动后再执行一次得到结果2,将结果1与结果2相比较，可以用来对付某些Wsyscheck检测不出深度隐藏的RootKit

更多相关介绍

Wsyscheck是一款强大的系统检测维护工具,进程和服务驱动检查,SSDT强化检测,文件查询,注册表操作,DOS删除等一应俱全.该作品为wangsea的主打作品,其他比较好的作品还有系统安全盾、syscheck,大家应该不会陌生.特别说明一下,SysCheck已经不更新了,WSysCheck可以说是SysCheck的升级版或强化版.

Wsyscheck基本信息

一般来说，对病毒体的判断主要可以采用查看路径，查看文件名，查看文件创建日期，查看文件厂商，微软文件校验，查看启动项等方法，Wsyschck在这些方面均尽量简化操作，提供相关的数据供您分析。
最终判断并清理木马取决际您个人的分析及对Wsyscheck基本功能的熟悉程度。

Wsyscheck使用说明及功能

1:关于Wsyscheck的颜色显示
进程页：
红色表示非微软进程,紫红色表示虽然进程是微软进程,但模块中有非微软的模块。
服务页：
红色表示该服务一不是微软服务,而且该服务是非.sys驱动。（最常见的是.exe与.dll的服务，木马大多使用这种方式）。
在使用“校验微软文件的签名”后，紫红色显示未通过微软签名的微软驱动。(可以参考是否是假冒微软驱动，注意的是如果紫红色如果显示过多，可能是你使用的系统是网上通常见的Ghost精简版，这些版本可能精简掉了微软签名数据库。)
使用“检查键值”后，蓝色显示的是有键值保护的随系统启动的驱动程序。它们有可能是杀软的自我保护，也有可能是木马的键值保护。
关于如何将第三方服务排列在一起可以点击标题条”文件厂商”排一下序，结合使用“启动类型”、“修改日期”排序更容易观察到新增的木马服务。
SSDT管理页：红色表示内核被HOOK的函数。
2:关于Wsyscheck启动后状态栏的提示“警告！程序驱动未加载成功，一些功能无法完成。”
多数情况下是你的杀软阻止了Wsyscheck加载所需的驱动，这种情况下Wsyscheck的功能有一定减弱，但它仍能用不需要驱动的方法来完成对系统的修复。
3:关于卸载模块
对HOOK系统关键进程的模块卸载可能导致系统重启，这与该模块HOOK的函数有关系，所以卸载不了的可以先删除该模块的启动项（或直接使用Wsyscheck的Dos删除功能），重启后再删除文件。某些有内核HOOK保护的木马请恢复SSDT后再作注册表删除操作。
4:关于文件删除
进程页可以使用的方法有：
1、先禁止程序运行，再手动删除文件（可以使用Wsyscheck内置文件管理中的直接删除功能）。
附带说一下，解除禁用的程序用“安全检查”页的“禁用程序管理”功能即可，这个功能就是流行的IFEO劫持功能,所以在木马使用IFEO劫持后可以用“禁用程序管理”来恢复被劫持的程序。
2、使用"结束进程并删除文件”，Wsyscheck会尝试先更名再删除，目的就是即使删除失败也让程序下次不能启动。
其它的服务管理、文件搜索、及文件管理都有相关的删除操作。文件管理页的删除操作支持畸形目录下的文件删除，注意的是如果文件本身在回收站内，请使用直接删除功能。或者使用剪切功能将它复制到另一个地方。否则你可能看到回收站内的文件删除了这个又添加了那个（因为右键“删除”是删除到回收站）
对于用以上功能删除不了的文件，可以使用Wsyscheck的“重启删除”或“dos删除功能”，使用“dos删除功能”功能后会在启动菜单中添加一项“删除顽固文件”，执行后自动清理文件并去掉它所添加的启动项。
“重启删除”与“Dos删除”可以同时使用。
5:关于如何清理木马的简单方法：
a.如果SSDT管理中有木马模块在工作,请先恢复SSDT,再在服务管理页清理木马的服务及文件。
b.如果结束木马进程后反复发现木马启动，可以使用“禁止进程与文件创建”让其不再启动后删除。如果这个方法失效，可以尝试使用“结束进程并删除文件”或“禁止这个程序运行”。
c.有些木马利用服务启动，请注意一下并判断一下服务页中的红色显示程序。如果状态是STOP，而类型是Auto，则它已运行过一次，所以有可能启动了别的木马程序。
d.强烈建议注意一下“禁用程序管理”，利用IFEO禁用杀软或启动木马程序的木马是比较流行的。
e.活动文件页列出了可能的启动途径，所以耐心一点检查一下是否有木马的启动项目。
f.文件搜索中利用“限制时间”条件来搜索产生的文件可能有助于您的清理工作。
g.对于检测出的启动项，如果不是十分肯定，可以定位到注册表，将这个启动程序的路径前加上“；”等字符让其下次不启动再观察系统是否正常以判断它是否是一个木马程序。
h.对于以Autorun.inf方式启动的木马，操作中尽量使用Wsyscheck内置的文件管理操作以防双击盘符再次激活木马。在删除Autorun.inf文件前用Wsyscheck的文件管理中打开这个文件查看木马启动的具体位置有利于您快速找到木马文件。这类木马清理时注意查看一下各盘根目录以保证完全清理了Autorun.inf文件。
i.对于已确定的木马文件，能直接删除就删除，不能直接删除就找到它的启动项删除启并重启系统让系统不再加载此程序后再做文件删除。如果木马保护的比较好，上述方式失效,可以用DOS删除功能先删文件再清理启动项。
6:关于禁止其它程序运行的功能：
Wsyscheck采用的原理是映像劫持，如禁止记事本打开，注册表中如下：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\ImageFileExecutionOptions\notepad.exe]
"Debugger"="DisabledRun"
以后运行记事本时就会提示无法找到。该软件缺少恢复被禁用程序的功能，只能手动来清除，即找到注册表ImageFileExecutionOptions下的相应项直接删除就行。

牛铺软件园提供《wsyscheck》v1.68.33 免费中文版下载，该软件为汉化版，文件大小为1.00MB，推荐指数4颗星，作为网络优化中的顶尖厂商，完全可以放心下载哦！