因爲屬于短途飛行，一個小時的時間飛機就從東海到達了南丹市，下了飛機之後劉毅發現此時的南丹已經下起了小雨，出了機場的國内出口通道，因爲已經九點多了，機場附近也沒有通往自己家的公交車，隻能打車，機場出口外的出租車還是比較多的，很輕松找到一台出租車，上了車告訴了目的地，出租車向自己家的方向駛去。

“小夥子，到了！”

因爲是下雨天，又是晚上，路上的車不是很多，車開得很快，沒到半個小時的時間，就從機場來到自己家，劉毅看了看計價器上顯示的金額，付了錢下了車，飛快向自己家跑去。

上了樓，掏出了自己身上的房門鑰匙，發現屋裏的燈都已經關了，他知道父母晚上睡的早，怕耽誤父母的休息，輕手輕腳的進了屋子，慢慢将門關上，走進自己的房間。

回到房間後他，連忙跑到電腦前将自己的電腦打開，在飛機上他就一直在思考關于他在酒店看到的那一篇關于新型變種蠕蟲病毒的帖子，等待電腦開機後，他調出虛拟機，通過虛拟機内的搜索引擎登錄到自由人黑客論壇，想要看看還有沒有蠕蟲病毒的樣本。

這一看，還真的有所發現，這才兩三個小時，網站内就貼出了五六種，蠕蟲病毒的病毒樣本，劉毅找了一個下載量最多的一個帖子，進行了病毒下載。

下載後呈現壓縮文件，劉毅點開壓縮文件，看到裏邊兒壓縮着的熊貓燒香exe可執行程序，爲了了解病毒的運行方式，以及運行後電腦出現的狀況，他運行了病毒，随後隻見虛拟機界面變黑，系統重啓，劉毅清楚，這台虛拟機是廢了。

劉毅退出虛拟機，重新配置虛拟機，将自己用到的工具，通過u盤拷貝到虛拟機當中開始下載病毒，因爲有了剛才的操作，他知道病毒運行後會有一個重啓的操作，劉毅爲了防止病毒分析中出現意外，首先運行了自己編寫的防重啓工具，之後打開了一款名叫Pm的進程篩選器，随後将病毒加載到篩選器當中才開始運行病毒，可能用了防重啓工具的關系，這一次病毒運行後，虛拟機沒能重啓成功，劉毅仔細觀察進程篩選器，隻見篩選器當中出現一個進程名爲“熊貓燒香。exe”的可執行程序，他打開熊貓燒香的進程拓展項，病毒每一步的命令在篩選器當中全部顯示出來。

他這麽做的首要目的是因爲自己對于這款變種蠕蟲病毒的了解太淺，無從下手，想要通過這款PM進程篩選器，可以通過監控病毒的進程，來全面的了解病毒的執行方式以及感染文件的目的。

劉毅鼠标猛擊展開進程拓展項，同時從兜裏拿出一盒玉溪，點了火抽了起來。

還真是挺有意思，劉毅嘴裏叼着煙，笑了笑，程序執行後，他發現從原病毒中衍生出一個叫做spoclsv的執行程序，随後病毒又打開電腦自帶cmd命令提示符，執行了一share命令，這個命令也就是删除系統盤網絡共享，看着這一段程序自操作的過程，果斷放棄了後邊兒的操作。

“怎麽會這樣？還真是有點兒奇怪？如此分析，并沒有什麽非法操作的啊？不應該啊？”

在分析“熊貓燒香。exe”的過程中，發現其中所執行的命令都是一些無用命令，沒有發現一個有用的操作，唯一一個可疑點就是那個衍生的spoclsv程序。

難道說，這個spoclsv的執行程序才是真正的病毒？而這個熊貓燒香。exe不過是一個外殼，一個載體？因爲沒有一個好的答案，對于眼前的程序，劉毅隻能全靠猜測。

“看來想要真正找出病毒感染的過程，還是需要分析這個spoclsv可執行程序才行！”

劉毅神色一緊，找出注冊表監控分析工具，開始對于這個名叫spoclsv注冊表操作加以分析，隻見一排排數據顯示在分析工具中。

劉毅瞪大了眼睛，看着眼前的數據，“你還真牛！也不知道是哪家殺軟公司得罪你了？”

因爲劉毅的虛拟機當中沒有安裝任何殺軟，在注冊表分析的列表中，劉毅看到，病毒寫入注冊表的命令都是，删除市面上常用的不常用的安全軟件自啓動項目。

“果然是這樣！”

在注冊表分析工具中的一跳命令提示引起了劉毅的注意，開機自啓時在系統盤根目錄創建，spoclsv。exe程序，并且衍生Dstop。int隐藏文件，看着這樣的操作充分證明了開始時劉毅的猜測，果然這個熊貓燒香。exe隻是一個外殼，真正的病源，正是這個spoclsv程序。

原來真的是這樣！病毒通過浏覽器或者郵箱默認下載，運行後，衍生spoclsv程序到系統根目錄，又繁衍出一個Dstop。int的隐藏文件，通過重啓自運行後，通過阻斷殺軟運行，通過Dstop。int開始感染文件。

随後劉毅通過注冊表分析軟件，對病毒進行了網絡監控，也就是想要看看這款病毒是否有聯網動作，一排排數據出現在分析軟件當中，spoclsv正在向外網123。456。789。45發送并接受信息，并且不斷連接192。168。1。1局域網中的計算機。

這個123。456。789。45大概就是病毒向外發送的數據包了，這個192。168。1。1應該就是鏈接局域網，通過局域網感染其他機器，這樣外網，内網共同傳播，難怪帖子說病毒傳播的速度特别的快。

基本掌握了病毒的原理，劉毅切換到主機，打算先制作一份專殺工具，通過整個分析的過程，他知道病原體來自于那個名叫spoclsv的執行程序，專殺工具可以通過強殺spoclsv，強殺隐藏文件Dstop。int恢複注冊表的方式解決病毒。

切換到主系統，進入c++進行病毒的編寫工作，首先制作程序的界面，界面很簡單，一個數列下拉框，一個一鍵殺毒的按鈕，點擊一鍵殺毒，進入代碼編寫，首先編寫提升專殺工具的系統權限和掃描進程的權限。

查找進程，提升權限，嘗試結束病毒進程，全磁盤查找spoclsv程序，分析熊貓燒香散列值，0x89240FCD。

這一條命令的是最爲重要的也是專殺工具必須寫入的，散列值就如同一個程序的特征碼，一個程序的特點，但又不是特征碼，特征碼在程序代碼内，散列值則是外。

寫入分析散列值命令，緊接着，通過散列值，确定程序位置，檢測全盤文件信息，分析注冊表信息，劉毅花費一個多小時的時間，将專殺工具制作完成，爲了方便測試，他将專殺工具，病毒，轉入U盤，新建虛拟機。

“搞定！”

待全部完成，打開新建的虛拟機，将病毒，率先拷貝到虛拟機中，然後拔出U盤，他沒有将專殺工具一起拷貝到虛拟機中，因爲他擔心病毒強大的感染力，會感染U盤中的專殺工具。