|
| www.369.com劫持解决方案 |
| 来源：网络 时间：2006-6-1 |
|
这几天www.369.com劫持的情况比较多，看了几个帖子，综合一下，虽然没有见到样本，但是应该不难清除
解决方法：
下载sreng
http://www.kztechs.com/sreng/sreng2.zip
解压后双击运行
找到如下项目，删除
启动项目
注册表
[hkey_local_machine\software\microsoft\windows\currentversion\run]
<windir><c:\windows\system32\windir.exe>
[hkey_local_machine\software\microsoft\windows\currentversion\run]
<msservice_v1.0><c:\windows\system32\vfp02.exe>（vfp后面的数字似乎随机的）
[hkey_local_machine\software\microsoft\windows\currentversion\run]
<serveremail><c:\windows\system32\serveremail.exe>
[hkey_local_machine\software\microsoft\windows\currentversion\run]
<wserver><c:\windows\system32\wserver.exe>
[hkey_local_machine\software\microsoft\windows\currentversion\run]
<loadewxd><c:\windows\system32\msxml4r.exe>
这几个应该是关键
可能还会有一些随之而来的垃圾（某些项目如果没有的话就跳过去）
启动项目
注册表
[hkey_local_machine\software\microsoft\windows\currentversion\run]
<richmedia><c:\windows\system32\rundll32.exe "c:\progra~1\hbclient\hbhelper.dll",waitwindows>
[hkey_local_machine\software\microsoft\windows\currentversion\run]
<kc32update><rundll32 c:\windows\system32\kc32update.dll,appmain>
[hkey_local_machine\software\microsoft\windows\currentversion\run]
<winlass><c:\program files\outlook express\winlass.exe>
启动文件夹
[ie-bar]
<c:\documents and settings\all users\「开始」菜单\程序\启动\ie-bar.lnk><n>
重新启动电脑
显示隐藏文件
删除
c:\windows\system32\windir.exe
c:\windows\system32\vfp02.exe（vfp后面的数字似乎随机的）
c:\windows\system32\serveremail.exe
c:\windows\system32\wserver.exe
c:\windows\system32\msxml4r.exe
c:\progra~1\hbclient\
c:\windows\system32\kc32update.dll
c:\program files\outlook express\winlass.exe
c:\documents and settings\all users\「开始」菜单\程序\启动\ie-bar.lnk
|
|
|
|
|
