|
黑客，我要敲扁你。（反黑志）
最近好象黑客软件越来越厉害，小弟的电脑就连续被黑了好几次，电脑陷入瘫痪之中。只要你的电脑一上网，黑客就静悄悄地潜入你的电脑，监视着你的一举一动，有时甚至控制你的电脑，把你的电脑做为他的私有财产。
近一个月，小弟就为此付出了一定的代价，因此浪费不少的时间和辛苦积累的部分资源（其中也有自己的部分原因，有一天酒喝多了，被黑后误删了自己的兄弟），教训就是要定期备份，你的电脑很不安全，有可能让你的心血付之东流。
所以，小弟想借此与大家一起探讨一下，在被黑的情况下，如何恢复电脑正常的动作。 |
|
小弟电脑上装的是卡巴，可是对入侵的黑客程序却束手无策。首先它不是以病毒的方式直接进攻你的电脑，而是当你打开一个网页或播放一个电影时，它的程序就悄悄地存入你的电脑（有些还是带密码的压缩文件，杀毒程序不知密码，没辙吧。），修改注册表，当到激活时，占用内存资源，不停地打开页面（呵呵，还好，没格式化我的硬盘，不然我就不用走楼梯，直接就下去了。）
当然，人家要吃饭，这些程序一般很温顺，偶而让你看一些你不想看的画面，做一下广告，不然把你惹火了，重新安装系统，它们就要重新来过了。不过，有些恶毒的会顺手牵羊，把你网上银行的帐号、游戏装备等拿走了。
最近，我的电脑就重装了几次系统。以前我是平均半年装一次系统，最近下电影看，一个月就重装了6次系统。因为我每次被黑时，只删了一部分程序，有时甚至把有用的程序K掉了，系统不能启动，只好重装了。
为了更好了解黑客的手段，小弟安装一些简单的软件，并特意给系统做了备份，以找出系统到底发生了哪些变化。
昨天，准备好后，我就上网找被黑，以前干的坏事再干一回，可是就是黑不了。没办法，只好又安装office xp，先用着吧。没想到，今天中午黑来了（以上纯属闲聊，发一下牢骚）。。。 |
|
发现：
一、打开“控制面板”中的“添加/删除程序”，多了以下几项：
1、桌面媒体
。 删除要确认吗？（TMD，悄悄地侵入我的电脑，送走时还要说“慢走，下次再来”，有些软件删除还要写理由，这是什么世界呀？）
2、中文上网官方软件 安装目录：\Program Files\CNNIC 要确认码
3、KooWoLyris（哭我哥痴） \Program Files\KooWo 注：千万不要删，否则它会无休止地缠着你。体验一下吧，够痴的。
4、Webcastacclerator
5、Rich Media Cast 要验证码
6、IE-Bar 要验证码
有时还有易趣购物、Baidu、3721，烦！
二、打开任务管理器，多了：
1、SoftUpdate.exe 用户级
2、svchost.exe 用户级（注：还有一些是其它级的，那些是正常的，不要动它）
3、Update.exe 用户级
三、注册表发生变化，具体就没办法查了。
四、以下目录发生变化：
1、C：\
2、\WINDOWS
3、\WINDOWS\Prefetch
4、\WINDOWS\system32
5、\WINDOWS\IME
6、\WINDOWS\Temp
7、\Program Files 多了一些目录
8、\Program Files\Common Files |
|
处理方法：（我装的操作系统是WINXP）
一、重启电脑，进入安全模式，选择Admin用户。
二、删除以下文件：（有些文件是系统隐藏只读属性，此处用SHR来标识）
1、C:\
haha.exe set.exe
2、\WINDOWS
SoftUpdate.exe (SHR) cast.config castp.dat castvxml.dat castxml.dat
ebaylink.exe ebaylink.ico ebaylink.ini ef26ev.dll hb24065.log
helper.htm KB910436.log svchost.exe
加了SHR的是最重要的文件，是所有文件的根源。
3、\WINDOWS\Prefetch
是Windows XP自动创建的，主要用于加快系统启动的速度，这里有黑客程序的影子。我的方法是全删，然后从备份中拷入。
4、\WINDOWS\system32
WP237214.dll (SHR) Downdll0.dll (SHR) （有时这种Downdll*.dll文件会很多，都删）
mswdm.exe (SHR) mskey32.dll (SHR) （黑客为了保护自己的程序不被发现，对一些重要的文件加上保护，也有一些修改了正常的程序，加上恶意代码）
acx.dll alexa.exe downdll.dll hap.log HTTPDll.dll.0.tmp lylk.dat mshtmlbe.dt
mssapi.dll nt.sys PopTWin.exe PopWin.dll PopWin.exe sncool2.scr
soundmix.dll svchost.dll sycytjn.??? VB5CHS.DLL wbauninstall.exe YHBO.dll.0.tmp
5、\WINDOWS\system32\IME
13520.exe
6、\WINDOWS\Temp 临时文件目录，删所有
7、\Program Files 删以下目录
Alexa Toolbar Baidu CNNIC DeskAdTop Koowo pcast
8、\Program Files\Common Files
删 UPDATE2 目录
9、\Documents and Settings中的所有临时文件
三、运行regedit，打开注册表
1、打开 \HKLM\SOFTWARE\Windows\CurrentVersion\Run
删主键：91cast svc Update
2、以上面所说要删的目录名、EXE文件、DLL文件（文件必须加所有目录，否则可能误删）为关键字查找，并删除。 |
|
兄弟们, 做了这么多的事情, 臭臭居然还在.
重启系统后, 过了一会儿, 它又开始活动了, 自动安装, 我删的速度还没它装的速度快.
只好重启系统进入安全模式, 发现:
1、\WINDOWS下又多了一些文件。
2、\WINDOWS\system32下多了A4的目录
3、\WINDOWS\system32下多了许多文件，其中一个iedetect.dll还删不了。
4、\Program Files下多了一些目录
5、\Program Files\Internet Explorer下多了WinHook.jmp WinHook.sys (SHR)
火了，
1、把所有多余的文件删除，并把备份的\WINDOWS和\Program Files中所有的文件拷入原目录，并把备份的系统启动文件拷回。
2、把注册表与备份的注册表对照，删除一些垃圾。也没有一一比对，不然明年也完不了工。
3、用光盘启动到DOS目录，删除以上不能删的系统文件。
重新启动
感觉好些了，以前不断安装自身的程序没有了。
可是打开网页时，有时还会跳出其它的页面。不过，如果不点击网页，其它页面也不会自动出现。
这是最后的难题吧，解决中。。。。 |
|
| 咳，既来之则安之。我的办法是，不断做ghost运动，从一开始装系统时就这样。ghost还有个好处，帮你整理碎片。 |
|
[quote]原帖由 [i]jzlupe[/i] 于 06-10-5 18:59 发表
咳，既来之则安之。我的办法是，不断做ghost运动，从一开始装系统时就这样。ghost还有个好处，帮你整理碎片。 [/quote]
偶的电脑从不做硬盘碎片整理，
1、硬盘的寿命大大减少。
2、比较费时。
3、如果做好规划好系统的分区就能提高系统的效率。
我分区如下：
一个系统区：安装系统和各种软件。这个区交换数据频繁，会产生大量的临时数据，没有必要做碎片整理。还有如果需要重新安装系统时，直接格式化这个分区即可。
一个应用数据区：把自己设计的图片和程序等放在此区。
一个临时数据区：从网上下载的数据和放一个月内就会删除的数据在此，还有不确定的数据和待刻录的数据。
一个固定区：长期使用并且不会删除的数据，如学习资料，图书等。
一个备份区：对重要数据的备份。
如果你还有其他需要的话，还可设立其他分区，如游戏区，影视区等。 |
Powered by Discuz! Archiver 4.1.0
© 2001-2006 Comsenz Inc.
Processed in 0.016986 second(s), 2 queries |