1 文件分析

1.1 临时目录排查

黑客往往可能将病毒放在临时目录（tmp/temp），或者将病毒相关文件释放到临时目录，因此需要检查临时目录是否存在异常文件。

假设系统盘在C盘，则通常情况下的临时目录如下：

C:\Users\[用户名]\Local Settings\Temp

C:\Documents and Settings\[用户名]\Local Settings\Temp

C:\Users\[用户名]\桌面

哆啦A梦里有个时光斗篷道具，只要人一坐上去就可以回到过去或去到未来。这种神奇的时光机就像让我们吃上了后悔药和进入时光隧道一样，可以随时进行“撤销”和“预览未来”的操作。在电脑世界里同样有很多类似的时光机，它也可以让我们随时撤销目前不满意的操作回到从前，或者查看未来世界。

文件回溯，用好系统自带的时光机

自Windows 7开始，Wndows的系统还原组件就和资源管理器紧密结合在一起，因此对于已经开启系统还原的用户，我们就可以利用系统还原随时回溯文件。比如我下载学习文档均保存在“K:\解压缩”，这样只要在“系统属性→系统保护”里选中K盘，然后将其保护功能开启即可。如果需要保存多个还原点，则建议点击“配置”，为系统还原增加更多的空间（图1）。