2.注册表启动项比对，输入如下命令：

　　copy f:\*.reg ziqidong1.txt

　　copy g:\*.reg ziqidong2.txt

　　fc f:\ziqidong1.txt g:\ziqidong2.txt

　　命令的作用是把两次备份的reg文件输出到“ziqidong1.txt”和“ziqidong2.txt”中，然后利用上面介绍的FC命令比较前后两个txt文件， 即可快速找出新增自启动项目。

　　3.用reg delete删除新增自启动键值。

　　比如：通过上面的方法在[HKER_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run],找到一个“Logon”自启动项，启动程序为“c:\windows\winlogon.exe”,现在输入下列命令即可删除病毒自启动键值：

　　reg delete HKLM\software\Microssoft\Windows\CurrentVersion\Run /f

　　4.用reg import恢复注册表。

　　Reg deete删除是的是整个RUN键值，现在用备份好的reg文件恢复即可，输入下列命令即可迅速还原注册表：

　　reg import f:\hklmrun.reg

　　提示：上述操作也可以在注册表编辑器里手动操作，但是REG命令有个好处，那就是即使注册表编辑器被病毒设置为禁用，也可以通过上述命令导出/删除/导入操作，而且速度更快!

　　七、火眼金睛

　　任务：揪出文件中捆绑的木马

　　工具：FIND

　　说明：上面介绍利用系统命令查杀一般病毒，下面再介绍一个检测捆绑木马的“FIND”命令。相信很很多网虫都遭遇过捆绑木刀，这些“批着羊皮的狼”常常躲在图片、FLASH、甚至音乐文件后面。当我们打开这些文件的时候，虽然在当前窗口显示的确实是一幅图片(或是播放的FLASH)，但可恶的木马却已经在后台悄悄地运行了。

　　操作：

　　现在用FIND命令检测图片是否捆绑木马，在命令提示符输入：

　　FIND /c /I "This program" g:\chaonv.jpe.exe

　　其中g:\chaonv.jpe.exe表示需要检测的文件，FIND命令返回的提示是“G:\CHAONV.EXE: 2”,这表明“G:\CHAONV.EXE”确实捆绑了其它文件。因为FIND命令的检测：如果是EXE文件，正常情况下返回值应该为“1”;如果是不可执行文件，正常情况下返回值应该为“0”，其它结果就要注意了。

　　提示：其实很多捆绑木马是利用Windows默认的“隐藏已知类型文件扩展名”来迷惑我们，比如本例的“chaonv.jpe.exe”，由于这个文件采用了JPG文件的图标，才导致上当。

　　在命令行下输入如下命令：

　　attrib

　　就可以查看文件的属性，和后缀名，这样所有的病毒、木马的伪装就会显露无遗。

　　总结：这次命令行下的手工杀毒过程是这样的：用TSKLIST备份好进程列表和注册表的启动项→通过FC比较文件找出病毒→用NETSTAT判断进程→用Ntsd终止进程→dir搜索找出病毒并删除→用REG命令修复注册表→用Find分离病毒。这样从发现病毒、删除病毒、修复注册表，这个完整的过程我们都是在命令行下完成的。相信通过这个演示，以及自己的实战演练，不久你就会成为命令行下的手工杀毒高手。