12、Procexp实用功能全解析

Procexp实用功能全解析

1. VirusTotal分析

VirusTotal.com是一个免费的网络服务平台，它允许用户上传文件，由超过50个杀毒引擎进行分析，并展示扫描结果。大多数用户通过在网页浏览器中打开https://www.virustotal.com ，一次上传一个文件来使用该服务。此外，VirusTotal还为Procexp等程序提供了API，这不仅能让用户一次性扫描多个文件，还能通过仅上传文件哈希值而非整个文件，更高效地完成扫描。若VirusTotal近期已接收过具有相同哈希值的文件，它将直接返回最近一次扫描的结果，而无需再次扫描。

要自动获取所有进程映像文件和DLL视图中显示的所有文件的扫描结果，可按以下步骤操作：
1. 选择“Options | VirusTotal.com | Check VirusTotal.com”。
2. 若VirusTotal列尚未显示，Procexp会将其添加到主窗口和DLL视图中。在等待服务返回结果时，该列会显示“Hash submitted…”。
3. 当结果返回后，Procexp会将该文本替换为标记该文件的杀毒引擎数量与返回结果的引擎总数的比例，并以超链接形式呈现。若有引擎将文件标记为可疑，该链接会显示为红色。点击该链接可打开网页，查看详细结果。若VirusTotal没有该文件哈希值的记录，Procexp会报告“Unknown”。

如果只有一两个杀毒引擎将文件标记为可疑，通常无需过于担心。因为VirusTotal所使用的部分引擎质量参差不齐，有时会将已签名的Windows文件误标记为恶意软件。例如，有几个引擎经常将已签名的Sysinternals实用工具（如PsExec和PsKill）报告为恶