| 教给你怎么看360的报告 |
| 副标题： |
 作者：liuxiaos… 文章来源：首页修复之家 点击数： 更新时间：2006-12-8 |
|
|
|
鉴于目前形势比较严峻,而论坛人手又不太充足,我把看360报告的方法和大家说说,希望大家可以一起努力,尽量把遇到的问题处理好.
首先说一下程序，往往有很多兄弟中了招后，胡乱忙活一气，不知道从哪里下手．我们看３６０的报告，从报告里确定系统中可疑项，接下来想办法删除可疑项，然后重启，再来想办法修复系统．
程序说完了，接下来说说报告上提到的一些数字的意思.
R0，R1，R2，R3 Internet Explorer（IE）的默认起始主页和默认搜索页的改变
F0，F1，F2，F3 ini文件中的自动加载程序
N1，N2，N3，N4 Netscape/Mozilla 的默认起始主页和默认搜索页的改变
01 Hosts文件重定向
02 Browser Helper Objects（BHO，浏览器辅助模块）
03 IE浏览器的工具条
04 自启动项
05 控制面板中被屏蔽的IE选项
06 IE选项被管理员禁用
07 注册表编辑器（regedit）被管理员禁用
08 IE的右键菜单中的新增项目
09 额外的IE“工具”菜单项目及工具栏按钮
010 Winsock LSP“浏览器绑架”
011 IE的高级选项中的新项目
012 IE插件
013 对IE默认的URL前缀的修改
014 对“重置WEB设置”的修改
015 IE“受信任的站点”
016 Downloaded Program Files目录下的那些ActiveX对象
017 域“劫持”
018 额外的协议和协议“劫持”
019 用户样式表（stylesheet）“劫持”
020 注册表键值AppInit_DLLs处的自启动项
021 注册表键ShellServiceObjectDelayLoad处的自启动项
022 注册表键SharedTaskScheduler处的自启动项
041 系统加载的驱动
我们拿来一个报告,主要需要注意02、04、023打头的项．
02是浏览器辅助对象（BHO），是IE提供其它应用程序来扩展浏览器的功能所开放的接口，在浏览器启动的时候，它自动加载。举个例子来说
O2 - 未知 - BHO: (ShowBarEx Class) - [cn5940bar Module] - {15953528-6C01-481A-8DB4-01888FB85B7D} - C:\WINDOWS\system32\CN5940~1.DLL
在这一项中，我们一般看最后面一行，那个.dll文件的位置，这里是C:\WINDOWS\system32\CN5940~1.DLL就是这个ie模块对应的文件，从对应文件目录或者文件名上我们可以分辨这个模块到底是干什么用的．如果你看到这个目录不认识，那就需要注意了。特别是如果这个.dll是位于temp目录或者windows/system32目录下，那就基本可以肯定是有问题的了，如上面这个例子肯定存在问题的．
对于浏览器辅助对象存在问题的修复，可以采用３６０的修复中的在全面诊断—浏览器辅助对象，在选中之后进行修复（一次不行可以多试几次）．还可以使用Autoruns或者hijackthis．
04是自启动项，一般当一个流氓软件进入我们的宝贝电脑后，都会想办法让下次启动电脑时，自身还可以运行，这样的方法有很多种，最常用最根本的一招就是放到自启动里，这就是我们困扰的每次开机它都出现的原因．讨厌的是Windows的自启动总有十几个地方，常用的象注册表、INI文件，开机启动组等。３６０的报告里会把所有的自启动项目都列出来，还包括它的名称和所运行的文件名等等．
对于这部分出现的问题解决起来比较麻烦，说起来更麻烦．我只能给出的一些建议，在msconfig里面的系统启动项，一般可以发现一些破绽，除了几个常见的系统项如C:\windows\system32\ctfmon.exe，和一些你自己知道是自己安装的程序如ＱＱ，其它的一律禁止。然后重启，如果它又偷偷出现，那么基本就肯定有问题（一般流氓软件都会有这种自我修复、保护的功能）。接下来就把对应这些怀疑为流氓软件的，相应的.exe文件也删除了。
023是系统服务，在３６０的报告里一般Windows系统的服务不会显示出来。只有第三方安装的服务才会显示出来。所以这里所有显示的，都是我们需要留心。
如以下这条报告
023 - 未知 - Service: NetWorkLogon [支持网络上计算机远程登陆事件。如果此服务被停用，网络登陆将不可用。如果此服务被禁用，任何依赖它的服务将无法启动。] - rundll32.exe
我建议大家把所有你不清楚的项目全部删掉。尤其.exe的可执行路径位于windows＼System32目录下的。（system32目录下的rundll32.exe除外，这个.exe文件不要删除，直接把服务删除就可以）．有一些十分顽固的，需要先用顽固文件删除工具把相应的.exe给删除掉，重启一下，ＤＯＳ下删除服务．
041 是系统加载的驱动，有些不要脸的会伪装成硬件的．ＳＹＳ文件，在这里下手．我看了最近好多的报告都是这样．说实在．ＳＹＳ的文件我看着也迷糊，这里只好引用ＢＡＲＫ的话，具体要锁定那一个是病毒文件，还要靠平时多看，大概排除一些主要的安全的系统文件和常用硬件的驱动，剩下的就是可疑的了。不能确定的就到百度搜索一下。
处理办法是使用unlocker 或在ＤＯＳ下删除可疑的．ＳＹＳ文件．然后重起，到安全模式，打开注册表编辑器，搜索以上删除的文件名，删除注册表其项（一定要删净）．
当我打完以上文字，看看表已经是２点４５了，居然没困，哈哈，不过还是得睡了（明天早上有ＮＢＡ啊）．如果大家看过之后对３６０的报告有了个基本的认识，对我们与流氓软件的斗争多一点帮助，我也就算没白熬夜啊．
最后感谢ＢＡＲＫ，他应该算是我的老师了，大家有什么不明白的可以在这里提问，与流氓的斗争任重道远，我们大家一起努力啊！！！
bark补充：
1、请大家注意100开头的，应该是系统当前正在运行的进程，（标记为未知的要注意）。所以建议大家在扫描系统的时候不要打开一些无关的软件，免得在报告里加入一些和病毒无关的垃圾信息。
2、在360的报告中，标记为安全的内容可以闪过去不看，360一般不会误判。但有一点要注意，就是XX对战平台和暴风XX的启动项，在360的报告中标记为安全。建议在查杀病毒前要卸载XX对战平台并删除暴风XX的启动项。如果你对本操作有什么异议，可以在彻底确认清除病毒之后，再安装上面两项试试。
|
| 文章录入：追风 责任编辑：追风 |
|
| 特别声明：本站除部分特别声明禁止转载的专稿外的其他文章可以自由转载，但请务必注明出处和原始作者。文章版权归文章原始作者所有。对于被本站转载文章的个人和网站，我们表示深深的谢意。本站地址：Http://Www.99191.com |
|
上一篇文章： 彻底预防ARP从系统文件改起从双绑定开始
下一篇文章： 没有了 |
| 【字体：小 大】【发表评论】【加入收藏】【告诉好友】【打印此文】【关闭窗口】 |
（只显示最新10条。评论内容只代表网友观点，与本站立场无关！）
