注：以下的方法仅适用非文件感染型的蠕虫、木马以及后门程序，适用平台为
win2k
以及
winxp
使用相关程序说明：
reg.exe 命令行注册表修改工具， winxp 安装完毕后即存在系统中， win2k 的系统可以通过 win2k 安装光盘下 Support/Tools 目录中的 setup.exe 安装。
Pskill.exe 进程中止工具，该工具可以从
http://www.sysinternals.com/ntw2k/freeware/pstools.shtml 下载。
一个批处理分为以下部分：
1. 病毒服务处理部分
2. 病毒进程处理部分
3. 注册表的清理部分
4. 病毒文件的清理部分
详细说明
病毒服务处理部分：
使用 win2k 以及 winxp 下的 net stop 命令进行病毒服务程序的停止，语法如下
net stop [ 服务名称 ]
举例来说 :net stop _reg ，将停止名为 _reg 的服务程序运行
病毒进程处理部分：
使用前述的 pskill.exe 工具进行病毒程序进程的中止
pskill [ 进程文件名称 ]
举例来说 :pskill spollsv.exe ，将中止名为 spollsv.exe 的程序的运行
注册表的清理部分：
使用命令行注册表修改工具进行注册表的清理
注册表项目的删除
1. 子键的删除
reg delete [ 子键名称 ] /f
2. 注册表值的删除
reg delete [ 子键名称 ] [/v 值名称 ] /f
注册表项目的修改
reg add [ 子键名称 ] [/v 值名称 ] [/t 值类型 ] [/d 值 ] /f
注： reg 工具使用说明
REG command KeyName [/v ValueName | /ve] [/t Type] [/s Separator] [/d Data] [/f]
command ，指定的操作类型
add ，修改或添加注册表项目
delete ，删除注册表项目
KeyName ，注册表键，即根键与注册表键的组合
FullKey ROOTKEY/SubKey
根键 ROOTKEY [ HKLM | HKCU | HKCR | HKU | HKCC ]
子键 SubKey
/v ，标识子键下的值名称
/t ，值数据类型
[ REG_SZ|REG_MULTI_SZ|REG_DWORD_BIG_ENDIAN|REG_DWORD
|REG_BINARY|REG_DWORD_LITTLE_ENDIAN|REG_NONE|REG_EXPAND_SZ]
缺省则默认为 REG_SZ 类型
/d ，标识要添加到某个注册表值下的数据，注册表值名称由 /v 参数指定
/f ，不需用户确认，强制执行对注册表的删除或是覆盖
示例
reg delete HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/
CurrentVersion/RunServices /v "COM++ System" /f
以上命令将删除
HKEY_LOCAL_MACHINE/Software/Microsoft/Windows
/CurrentVersion/RunServices 键下的，名为 "COM++ System" 的值
病毒文件的清理部分：
使用 del 命令简单的删除病毒文件，由于病毒的文件通常生成在 windows 安装目录下的一些系统目录中，可以使用替代符 %windir% 指示 windows 的安装路径
示例
del %windir%/system32/spollsv.exe
病毒清除批处理示例：
rem WORM_LOVGATE.AF
@echo off
rem service part
net stop _reg
rem process part
pskillhxdef.exe
pskillravmond.exe
pskilltkbellexe.exe
pskillupdate_ob.exe
pskillcdplay.exe
pskillspollsv.exe
pskill iexplorer.exe
rem registry clean part
reg delete HKEY_LOCAL_MACHINE/Software/Microsoft/Windows
/CurrentVersion/RunServices /v "COM++ System" /f
reg delete HKEY_LOCAL_MACHINE/Software/Microsoft/Windows
/CurrentVersion/RunServices /v "SystemTra" /f
reg delete HKEY_LOCAL_MACHINE/Software/Microsoft
/Windows/CurrentVersion/Run /v "WinHelp" /f
reg delete HKEY_LOCAL_MACHINE/Software/Microsoft
/Windows/CurrentVersion/Run /v "Hardware Profile" /f
reg delete HKEY_LOCAL_MACHINE/Software/Microsoft
/Windows/CurrentVersion/Run /v "Microsoft Associates, Inc." /f
reg delete HKEY_LOCAL_MACHINE/Software/Microsoft
/Windows/CurrentVersion/Run /v "Program In Windows" /f
reg delete HKEY_LOCAL_MACHINE/Software/Microsoft
/Windows/CurrentVersion/Run /v "Shell Extension" /f
reg delete "HKEY_CURRENT_USER/Software/Microsoft
/Windows NT/CurrentVersion/Windows" /v "run" /f
reg delete HKEY_LOCAL_MACHINE/System/CurrentControlSet/Services/_reg /f
rem file clean part
del %windir%/system32/hxdef.exe
del %windir%/system32/iexplorer.exe
del %windir%/system32/kernel66.dll
del %windir%/system32/ravmond.exe.exe
del %windir%/system32/tkbellexe.exe
del %windir%/system32/update_ob.exe
del %windir%/cdplay.exe
del %windir%/system32/spollsv.exe
使用相关程序说明：
reg.exe 命令行注册表修改工具， winxp 安装完毕后即存在系统中， win2k 的系统可以通过 win2k 安装光盘下 Support/Tools 目录中的 setup.exe 安装。
Pskill.exe 进程中止工具，该工具可以从
http://www.sysinternals.com/ntw2k/freeware/pstools.shtml 下载。
一个批处理分为以下部分：
1. 病毒服务处理部分
2. 病毒进程处理部分
3. 注册表的清理部分
4. 病毒文件的清理部分
详细说明
病毒服务处理部分：
使用 win2k 以及 winxp 下的 net stop 命令进行病毒服务程序的停止，语法如下
net stop [ 服务名称 ]
举例来说 :net stop _reg ，将停止名为 _reg 的服务程序运行
病毒进程处理部分：
使用前述的 pskill.exe 工具进行病毒程序进程的中止
pskill [ 进程文件名称 ]
举例来说 :pskill spollsv.exe ，将中止名为 spollsv.exe 的程序的运行
注册表的清理部分：
使用命令行注册表修改工具进行注册表的清理
注册表项目的删除
1. 子键的删除
reg delete [ 子键名称 ] /f
2. 注册表值的删除
reg delete [ 子键名称 ] [/v 值名称 ] /f
注册表项目的修改
reg add [ 子键名称 ] [/v 值名称 ] [/t 值类型 ] [/d 值 ] /f
注： reg 工具使用说明
REG command KeyName [/v ValueName | /ve] [/t Type] [/s Separator] [/d Data] [/f]
command ，指定的操作类型
add ，修改或添加注册表项目
delete ，删除注册表项目
KeyName ，注册表键，即根键与注册表键的组合
FullKey ROOTKEY/SubKey
根键 ROOTKEY [ HKLM | HKCU | HKCR | HKU | HKCC ]
子键 SubKey
/v ，标识子键下的值名称
/t ，值数据类型
[ REG_SZ|REG_MULTI_SZ|REG_DWORD_BIG_ENDIAN|REG_DWORD
|REG_BINARY|REG_DWORD_LITTLE_ENDIAN|REG_NONE|REG_EXPAND_SZ]
缺省则默认为 REG_SZ 类型
/d ，标识要添加到某个注册表值下的数据，注册表值名称由 /v 参数指定
/f ，不需用户确认，强制执行对注册表的删除或是覆盖
示例
reg delete HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/
CurrentVersion/RunServices /v "COM++ System" /f
以上命令将删除
HKEY_LOCAL_MACHINE/Software/Microsoft/Windows
/CurrentVersion/RunServices 键下的，名为 "COM++ System" 的值
病毒文件的清理部分：
使用 del 命令简单的删除病毒文件，由于病毒的文件通常生成在 windows 安装目录下的一些系统目录中，可以使用替代符 %windir% 指示 windows 的安装路径
示例
del %windir%/system32/spollsv.exe
病毒清除批处理示例：
rem WORM_LOVGATE.AF
@echo off
rem service part
net stop _reg
rem process part
pskillhxdef.exe
pskillravmond.exe
pskilltkbellexe.exe
pskillupdate_ob.exe
pskillcdplay.exe
pskillspollsv.exe
pskill iexplorer.exe
rem registry clean part
reg delete HKEY_LOCAL_MACHINE/Software/Microsoft/Windows
/CurrentVersion/RunServices /v "COM++ System" /f
reg delete HKEY_LOCAL_MACHINE/Software/Microsoft/Windows
/CurrentVersion/RunServices /v "SystemTra" /f
reg delete HKEY_LOCAL_MACHINE/Software/Microsoft
/Windows/CurrentVersion/Run /v "WinHelp" /f
reg delete HKEY_LOCAL_MACHINE/Software/Microsoft
/Windows/CurrentVersion/Run /v "Hardware Profile" /f
reg delete HKEY_LOCAL_MACHINE/Software/Microsoft
/Windows/CurrentVersion/Run /v "Microsoft Associates, Inc." /f
reg delete HKEY_LOCAL_MACHINE/Software/Microsoft
/Windows/CurrentVersion/Run /v "Program In Windows" /f
reg delete HKEY_LOCAL_MACHINE/Software/Microsoft
/Windows/CurrentVersion/Run /v "Shell Extension" /f
reg delete "HKEY_CURRENT_USER/Software/Microsoft
/Windows NT/CurrentVersion/Windows" /v "run" /f
reg delete HKEY_LOCAL_MACHINE/System/CurrentControlSet/Services/_reg /f
rem file clean part
del %windir%/system32/hxdef.exe
del %windir%/system32/iexplorer.exe
del %windir%/system32/kernel66.dll
del %windir%/system32/ravmond.exe.exe
del %windir%/system32/tkbellexe.exe
del %windir%/system32/update_ob.exe
del %windir%/cdplay.exe
del %windir%/system32/spollsv.exe