跟着syscheck测试使用了几个月，伴随着作者和一群热心网友的共同努力，感觉目前的版本已经做的比较完善了。时机成熟，放出来供各位使用吧  ：）
软件名称：Syscheck     作者：wangsea  软件BUG报告：wangsea6071@sina.com.cn

软件适用于Win2000、Winxp及Win2003。以下为功能的简要说明。

1：进程管理

   红色显示的是非系统的进程或文件。点击一个进程可以列出进程包含的模块。你可以中止包括系统进程在内的所有进程，但不推荐你去中止第一个svchost.exe前的进程（包括第一个svchost.exe），这样做的后果可能是导致系统重启或无法关机。

   syscheck的进程管理页可列出win32级的隐藏进程，但不会特别标注它。

   通常在手动杀毒中会结束那些红色显示的进程，很多全局钩子会插入到Explorer等系统进程中（注意模块中的红色dll），所以有时也会结束这些系统进程以便删除病毒。为避免病毒进程的重复加载，可以勾选<限制线程的创建>来禁止新的线程。

   推存对可疑的模块进行全局卸载再进行注册表的修复工作。

   在进程管理页的模块显示栏中右键选项有属性，删除到回收站，加入到重启删除列表三项，可以方便在进程显示页就分析、清理恶软或木马。

   <删除到回收站>会结束该模块的主进程后删除模块列表中选定的文件，支持多选。

   <卸载模块并删除文件>在删除全局HOOK的DLL时可能会用到。

   <加入到重启删除列表>直接将选定的文件重启后删除。（注意不要把系统DLL删了）建议只对红色显示的非系统模块进行删除处理。

   <永久禁止此文件的执行>即软件限制策略，仅对exe文件有效。注意，过多地限制软件的执行可能会影响系统运行效率。

   使用微软验证耗时较长，但对某些仿冒签名的进程、模块及服务有一定的分辨作用。

2：服务管理

   红色显示的非系统服务。单击列表标题可以排序以便快速查找新增的系统服务。对于以svchost.exe启动的服务，文件路径显示的是该服务文件而非svchost.exe的路径。这一点区别于sc命令显示出来的文件路径。

   中止服务功能是仅在系统重启前中止服务，并不是永久性的中止服务。而删除服务则是删除服务键值（不提供删除前的保存。所以，要删除你得自已去确定是否真要这么做）。

   值得注意的是，某些服务是无法中止或删除的（比如划词搜索的驱动服务）。这是因为它可能采用了注册表键值的保护。对付这类服务，要使用内核Hook检查中的ssdt恢复功能后，才能在本页中删除其键值（要注意的是，某些服务不提供终止服务，所以删除服务后它可能仍在运行，需要重启才真正停止）。

  右键的禁用服务功能要强大一些，有些服务虽然无法停止，但禁用服务仍然可以成功。重启后再删除相关文件要容易得多。

  在服务页使用右键可获得更多的服务控制。

3:检测修复

  a:活动文件

   活动文件页显示了包括启动项在内的容易被侵入改写的注册表键值。syscheck仅关注于改写了的键值，所以不同的机器上显示内容并不一样。

   在做恢复前，可以核对一下讯息栏显示的内容，以确定是否要恢复。对于没有讯息显示的项目可以定位文件查看文件的属性。

   要注意的是，syschek在本页中的恢复不仅仅是改回系统默认值（或删除不需要的键值），如果需要恢

复的是一个DLL文件工作的键值，syschek还会做反注册该DLL的工作。

   Winsock检测用于检测Lsp被劫持的情况，不管是否检测到第三方的DLL是否加载，也允许用户强制恢

复Winsock。所以，也可以用来作其它检测修复工具破坏掉了Winsock引起网页不能浏览的恢复处理。

   b: 敏感键值

   本页显示的内容是没有对应文件的系统键值。这些是系统允许的，但有改写后可能造成你使用不便的

键值（如NoRun等文件关联改写）等。

   c: 内核Hook检测

   内核Hook检测只关注于被Hook了的内核函数，一般来说对应的模块提供者是一个.sys文件。

   以划词搜索为例，它的驱动交叉保护（注册表HOOK及文件HOOK），自身的卸载与其它的卸载工具都不能删除hcalway.sys及abhcop.sys文件（且卸载后这两个驱动还在运行中，所以，你无法直接删除这两个文件。

   对付这样的系统底层驱动，可以勾选并恢复成系统默认函数以使其驱动保护失效。要注意的是，大部份的杀软也注册有底层HOOK，如果你选择了它们，还原后至重启前这些杀软的实时监视将可能失效。

   恢复系统底层原始函数地址后，就可以在服务管理页删除划词搜索的注册表服务项了（恢复前由于受其驱动abhcop.sys的保护，是无法删除其注册的服务项）。然后重启机器（系统无法删除一个运行中的文件，而划词的驱动又不停供停止功能，所以只能重启），就可以手动删除这两个文件了（当然也可以用内置的资源管理器中的<加入重启删除列表>功能，来代替手动删除的操作）。

   由于底层Hook的优先级很高，所以恢复了SSDT后，可能会有一些隐藏的进程或文件会显示出来，故可以在恢复SSDT后再次观察各检测页状况以删除受这些驱动隐藏、保护的进程，注册表项等。

   d:疑难修复

   提供了一些快捷方便的修复按钮，在相关按钮上悬停可获得相关简要使用说明。

   e:端口查看

   主要是用来观察一下本机是否有不正常的连接。

4: 文件搜索

   通过限制一定条件搜索，以便清除系统中的病毒备份或找到未知病毒。

5: 文件浏览

   由于syscheck采用了一些反HOOK手段，所以内置的资源管理器可以看到隐藏的文件或文件夹（例如灰

鸽子、hackdef100隐藏的文件）。这样方便你做删除文件的工作。对于利用系统本身特性隐藏的文件（如Downloaded Program Files），内置资源管理器也可一览无遗。

   内置资源管理器用法与Explorer基本相同，右键菜单除了普通的删除操作外，还有延时删除（重启后生效），可用于删除顽固文件。（注意这个选项没有后悔药，删除前多看一眼文件属性，修改日期等讯息，不要把受保护的系统文件也删了！）。