瑞星卡卡安全论坛

OS蓝屏,IS罢工，未能派上用场，把样本给了楼下那位大虾！请听分解。

中了还是建议重装系统吧，若要手动清除实在是麻烦，不信看下面，我只是说了直接清除方法，没有列出病毒修改的具体数值，因为实在太多了

暂时看看先到安全模式下把病毒的生成的注册表键值删出，修改的注册表改回来，然后重新启动计算机删除病毒文件。



病毒会在系统分区根目录下生成如下文件，其他分区中可能也会同时生成：
autorun.inf（达到双击分区“自动运行”病毒的目的）

病毒生成如下文件：
%windir%\1.com
%windir%\CSRSS.exe
%windir%\ExERoute.exe
%windir%\explorer1.com
%windir%\finder.com
%windir%\MSWINSCK.OCX
%windir%\Debug\DebugProgram.exe
%system%\command.pif
%system%\dxdiag.com
%system%\finder.com
%system%\MSCONFIG.com
%system%\regedit.com
%system%\rundll32.com
%Program Files%\Common Files\iexplore.pif
%Program Files%\Internet Explorer\iexplore.com

病毒增加了太多注册表键值，超过100个，呵呵真麻烦，我不一一列举了，直接告诉你删除哪些主键：
HKEY_CLASSES_ROOT\MSWinsock.Winsock
HKEY_CLASSES_ROOT\winfiles
HKEY_CLASSES_ROOT\CLSID\{248DD896-BB45-11CF-9ABC-0080C7E7B78D}
HKEY_CLASSES_ROOT\CLSID\{248DD897-BB45-11CF-9ABC-0080C7E7B78D}
HKEY_CLASSES_ROOT\Interface\{248DD892-BB45-11CF-9ABC-0080C7E7B78D}
HKEY_CLASSES_ROOT\Interface\{248DD893-BB45-11CF-9ABC-0080C7E7B78D}
HKEY_CLASSES_ROOT\TypeLib\{248DD890-BB45-11CF-9ABC-0080C7E7B78D}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MSWinsock.Winsock
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\winfiles
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{248DD896-BB45-11CF-9ABC-0080C7E7B78D}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{248DD897-BB45-11CF-9ABC-0080C7E7B78D}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{248DD892-BB45-11CF-9ABC-0080C7E7B78D}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{248DD893-BB45-11CF-9ABC-0080C7E7B78D}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{248DD890-BB45-11CF-9ABC-0080C7E7B78D}
单独删除以下键：
HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache >> "Welcome to Windows NT"="D:\CSRSS.exe"(注意这里是D盘)
HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache >> "Welcome to Windows NT"="C:\Program Files\common~1\iexplore.pif"
HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet\iexplore.pif
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run >> "Trojan Program"="C:\windows\CSRSS.exe"
HKEY_USERS\S-1-5-21-2052111302-764733703-725345543-500\Software\Microsoft\Windows\ShellNoRoam\MUICache >> "Welcome to Windows NT"="D:\CSRSS.exe"(注意这里是D盘)
HKEY_USERS\S-1-5-21-2052111302-764733703-725345543-500\Software\Microsoft\Windows\ShellNoRoam\MUICache >> "Welcome to Windows NT"="C:\Program Files\common~1\iexplore.pif"


恢复以下病毒修改的注册表：
恢复HKEY_CLASSES_ROOT\.bfc\ShellNew >> Command的值为%SystemRoot%\system32\rundll32.exe %SystemRoot%\system32\syncui.dll,Briefcase_Create %2!d! %1
恢复HKEY_CLASSES_ROOT\.exe >> （默认）的值为exefile
恢复HKEY_CLASSES_ROOT\.lnk\ShellNew >> Command的值为rundll32.exe appwiz.cpl,NewLinkHere %1
恢复HKEY_CLASSES_ROOT\Applications\iexplore.exe\shell\open\command >> （默认）的值为"C:\Program Files\Internet Explorer\iexplore.exe" %1
恢复HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command >> （默认）的值为"C:\Program Files\Internet Explorer\iexplore.exe"
恢复HKEY_CLASSES_ROOT\cplfile\shell\cplopen\command >> （默认）的值为rundll32.exe shell32.dll,Control_RunDLL "%1",%*
恢复HKEY_CLASSES_ROOT\Drive\shell\find\command >> （默认）的值为%SystemRoot%\Explorer.exe
恢复HKEY_CLASSES_ROOT\dunfile\shell\open\command >> （默认）的值为%SystemRoot%\system32\RUNDLL32.EXE NETSHELL.DLL,InvokeDunFile %1
恢复HKEY_CLASSES_ROOT\ftp\shell\open\command >> （默认）的值为"C:\Program Files\Internet Explorer\iexplore.exe" %1
恢复HKEY_CLASSES_ROOT\htmlfile\shell\open\command >> （默认）的值为"C:\Program Files\Internet Explorer\iexplore.exe" %1
恢复HKEY_CLASSES_ROOT\htmlfile\shell\opennew\command >> （默认）的值为"C:\Program Files\Internet Explorer\iexplore.exe" %1
恢复HKEY_CLASSES_ROOT\htmlfile\shell\Print\command >> （默认）的值为"rundll32.exe %SystemRoot%\system32\mshtml.dll,PrintHTML "%1""
恢复HKEY_CLASSES_ROOT\HTTP\shell\open\command >> （默认）的值为"C:\Program Files\Internet Explorer\iexplore.exe" %1
恢复HKEY_CLASSES_ROOT\inffile\shell\Install\command >> （默认）的值为%SystemRoot%\System32\rundll32.exe setupapi,InstallHinfSection DefaultInstall 132 %1
恢复HKEY_CLASSES_ROOT\InternetShortcut\shell\open\command >> （默认）的值为rundll32.exe shdocvw.dll,OpenURL %l
恢复HKEY_CLASSES_ROOT\scrfile\shell\install\command >> （默认）的值为rundll32.exe desk.cpl,InstallScreenSaver %l
恢复HKEY_CLASSES_ROOT\scriptletfile\Shell\Generate Typelib\command >> （默认）的值为"C:\WINDOWS\system32\RUNDLL32.EXE" C:\WINDOWS\system32\scrobj.dll,GenerateTypeLib "%1"
恢复HKEY_CLASSES_ROOT\telnet\shell\open\command >> （默认）的值为rundll32.exe url.dll,TelnetProtocolHandler %l
恢复HKEY_CLASSES_ROOT\Unknown\shell\openas\command >> （默认）的值为%SystemRoot%\system32\rundll32.exe %SystemRoot%\system32\shell32.dll,OpenAs_RunDLL %1
恢复HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.bfc\ShellNew >> Command的值为 %SystemRoot%\system32\syncui.dll,Briefcase_Create %2!d! %1
恢复HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.exe >> （默认）的值为exefile
恢复HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.lnk\ShellNew >> Command的值为rundll32.exe appwiz.cpl,NewLinkHere %1
恢复HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Applications\iexplore.exe\shell\open\command >> （默认）的值为"C:\Program Files\Internet Explorer\iexplore.exe" %1
恢复HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command >> （默认）的值为"C:\Program Files\Internet Explorer\iexplore.exe"
恢复HKEY_LOCAL_MACHINE\SOFTWARE\Classes\cplfile\shell\cplopen\command >> （默认）的值为rundll32.exe shell32.dll,Control_RunDLL "%1",%*
恢复HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Drive\shell\find\command >> （默认）的值为%SystemRoot%\Explorer.exe
恢复HKEY_LOCAL_MACHINE\SOFTWARE\Classes\dunfile\shell\open\command >> （默认）的值为%SystemRoot%\system32\RUNDLL32.EXE NETSHELL.DLL,InvokeDunFile %1
恢复HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ftp\shell\open\command >> （默认）的值为"C:\Program Files\Internet Explorer\iexplore.exe" %1
恢复HKEY_LOCAL_MACHINE\SOFTWARE\Classes\htmlfile\shell\open\command >> （默认）的值为"C:\Program Files\Internet Explorer\iexplore.exe" %1
恢复HKEY_LOCAL_MACHINE\SOFTWARE\Classes\htmlfile\shell\Print\command >> （默认）的值为"rundll32.exe %SystemRoot%\system32\mshtml.dll,PrintHTML "%1""
恢复HKEY_LOCAL_MACHINE\SOFTWARE\Classes\HTTP\shell\open\command >> （默认）的值为"C:\Program Files\Internet Explorer\iexplore.exe" %1
恢复HKEY_LOCAL_MACHINE\SOFTWARE\Classes\inffile\shell\Install\command >> （默认）的值为%SystemRoot%\System32\rundll32.exe setupapi,InstallHinfSection DefaultInstall 132 %1
恢复HKEY_LOCAL_MACHINE\SOFTWARE\Classes\InternetShortcut\shell\open\command >> （默认）的值为rundll32.exe shdocvw.dll,OpenURL %l
恢复HKEY_LOCAL_MACHINE\SOFTWARE\Classes\scrfile\shell\install\command >> （默认）的值为rundll32.exe desk.cpl,InstallScreenSaver %l
恢复HKEY_LOCAL_MACHINE\SOFTWARE\Classes\scriptletfile\Shell\Generate Typelib\command >> （默认）的值为"C:\WINDOWS\system32\RUNDLL32.EXE" C:\WINDOWS\system32\scrobj.dll,GenerateTypeLib "%1"
恢复HKEY_LOCAL_MACHINE\SOFTWARE\Classes\telnet\shell\open\command >> （默认）的值为rundll32.exe url.dll,TelnetProtocolHandler %l
恢复HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Unknown\shell\openas\command >> （默认）的值为%SystemRoot%\system32\rundll32.exe %SystemRoot%\system32\shell32.dll,OpenAs_RunDLL %1
恢复HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet >> （默认）的值为IEXPLORE.EXE
恢复HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon >> Shell的值为Explorer.exe

删除如下快捷方式：
安全测试.lnk
系统信息管理器.lnk
计算机安全中心.lnk

就这个样本搞得我头痛，版主你欠我一顿...

引用:

【JayFaye的贴子】就这个样本搞得我头痛，版主你欠我一顿... ...........................

哎，哎，到了学校东东弄好了我打你下手，帮你写篇大论。

不过建议新手还是用ghost或重装系统。太麻烦了，中午没IS我弄的眼睛都花了。

版主辛苦！！

JayFaye 也辛苦了！！！

晚上看见风逸子说这个很变态，果然是。

吃火锅的时候被花落花又开大版叫来分析病毒，哈哈，害得我没吃好，明天重新吃一顿~~~

夏天吃火锅?别有一番滋味。现在大概没穿衣服上网

在家基本只穿一条裤子，呵呵5555555555555

UP一下，88，睡觉了

是够变态的
还是GHOST好啊!

要睡觉了，顶一下。

辛苦了pluto1313,长篇大论。。。非常感谢！

还行.不过有挑战性 安逸

我看过这个修改方法，但是有几处不太明白。单独删除以下键：
1.  HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache
下我没有找到 "Welcome to Windows NT"="D:\CSRSS.exe"这个键值
（在往下的还没有试）

2.  “恢复以下病毒修改的注册表”（以下的操作）这个是指用HijackThis修复吗？

郁闷，还是重装系统

格盘重装算了.

这个病毒我也中过，当时只是感觉很卡，去进程看了看，就有这个进程在运行，结束不了，所以没多想，GHOST了。

JayFaye 和花落花又开 辛苦了

帅哥们` 帮我看下日志啊` 每次开机杀毒都出现 backdoor.Gpigeon.kz 都说 删除成功
下面是日志 
    Logfile of HijackThis v1.99.1
Scan saved at 11:51:27, on 2005-8-21
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Rising\Rfw\rfwsrv.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Rising\Rfw\RfwMain.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\System32\hkcmd.exe
C:\WINDOWS\system32\rundll32.exe
C:\PROGRA~1\3721\assistse.exe
C:\PROGRA~1\RISING\RAV\RAVTIMER.EXE
C:\PROGRA~1\RISING\RAV\RAVMON.EXE
C:\PROGRAM FILES\RISING\RAV\CCENTER.EXE
E:\新建文件夹\游戏\魔幻精灵3-冰月华（女主角）\VMJP\daemon.exe
C:\PROGRAM FILES\RISING\RAV\Ravmond.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\PROGRAM FILES\RISING\RAV\RavStub.exe
C:\PROGRA~1\360so\360Main.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\Common Files\Real\Update_OB\realevent.exe
C:\Program Files\Rising\Rav\RsAgent.exe
C:\WINDOWS\msagent\AgentSvr.exe
D:\其他\新建文件夹 (2)\5598202005816171803\HijackThis.exe

R3 - URLSearchHook: 上网助手 - {BB936323-19FA-4521-BA29-ECA6A121BC78} - C:\Program Files\3721\Assist\asbar.dll
O2 - BHO: ThunderIEHelper Class - {0005A87D-D626-4B3A-84F9-1D9571695F55} - C:\WINDOWS\System32\xunleibho_v5.dll
O2 - BHO: Anti Fish - {38928D50-8A48-44C2-945F-D2F23F771410} - C:\Program Files\3721\Assist\Angling.dll
O2 - BHO: 360搜 - {472101C2-1109-43f4-9112-31F33E3F2127} - C:\Program Files\360so\360so.dll
O2 - BHO: QQBrowserHelperObject Class - {54EBD53A-9BC1-480B-966A-843A333CA162} - D:\QQ\QQIEHelper.dll
O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - C:\PROGRA~1\FLASHGET\jccatch.dll
O2 - BHO: AssistII - {BB936323-19FA-4521-BA29-ECA6A121BC78} - C:\Program Files\3721\Assist\asbar.dll
O3 - Toolbar: 电台(&R) - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRA~1\FLASHGET\fgiebar.dll
O3 - Toolbar: 上网助手 - {BB936323-19FA-4521-BA29-ECA6A121BC78} - C:\Program Files\3721\Assist\asbar.dll
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [IMEKRMIG6.1] C:\WINDOWS\ime\imkr6_1\IMEKRMIG.EXE
O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\System32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\System32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [helper.dll] C:\WINDOWS\system32\rundll32.exe C:\PROGRA~1\3721\helper.dll,Rundll32
O4 - HKLM\..\Run: [assistse] "C:\PROGRA~1\3721\assistse.exe"
O4 - HKLM\..\Run: [RavTimer] C:\PROGRA~1\RISING\RAV\RAVTIMER.EXE
O4 - HKLM\..\Run: [RavMon] C:\PROGRA~1\RISING\RAV\RAVMON.EXE -SYSTEM
O4 - HKLM\..\Run: [RfwMain] "C:\Program Files\Rising\Rfw\rfwmain.exe" -Startup
O4 - HKLM\..\Run: [iDuba Personal FireWall] D:\外挂\网镖\KAVPFW.EXE
O4 - HKLM\..\Run: [DAEMON Tools-1033] "E:\新建文件夹\游戏\魔幻精灵3-冰月华（女主角）\VMJP\daemon.exe"  -lang 1033
O4 - HKLM\..\Run: [MsgCenterExe] "C:\Program Files\Common Files\Real\Update_OB\RealOneMessageCenter.exe"  -osboot
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [360Main.exe] C:\PROGRA~1\360so\360Main.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exe
O4 - Startup: E话通.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: &使用迅雷下载 - E:\巡雷\geturl.htm
O8 - Extra context menu item: &使用迅雷下载全部链接 - E:\巡雷\getAllurl.htm
O8 - Extra context menu item: 使用网际快车下载 - C:\PROGRA~1\FLASHGET\jc_link.htm
O8 - Extra context menu item: 使用网际快车下载全部链接 - C:\PROGRA~1\FLASHGET\jc_all.htm
O8 - Extra context menu item: 添加到QQ自定义面板 - C:\Program Files\Tencent\QQ\AddPanel.htm
O8 - Extra context menu item: 添加到QQ表情 - C:\Program Files\Tencent\QQ\AddEmotion.htm
O8 - Extra context menu item: 用QQ彩信发送该图片 - C:\Program Files\Tencent\QQ\SendMMS.htm
O9 - Extra button: 手机短信 - {00000000-0000-0001-0001-596BAEDD1289} - http://sms.3721.com/ie/index.htm?pid=U_flashget_62580 (file missing)
O9 - Extra button: Yahoo 1G电邮 - {507F9113-CD77-4866-BA92-0E86DA3D0B97} - http://cn.mail.yahoo.com/promo/rd1 (file missing)
O9 - Extra button: 上网助手 - {5D73EE86-05F1-49ed-B850-E423120EC338} - http://assistant.3721.com/index.htm?fb=Cns (file missing)
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra button: 情景聊天 - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - http://cn.rd.yahoo.com/home/messenger/bjk/clientbtn/?http://cn.messenger.yahoo.com/ (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O11 - Options group: [!CNS]  上网助手-地址栏搜索
O16 - DPF: {2354A44B-3CEB-4829-9940-545B03103538} (PowerPlr Control) - http://vod.58028.net/plugin/PowerPlr.ocx
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1122276447259
O17 - HKLM\System\CCS\Services\Tcpip\..\{CBD3B733-DBE8-4F21-A2A8-02F5DE2431B9}: NameServer = 192.168.1.1,202.102.3.144
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O23 - Service: Rising Personal Firewall Service (RfwService) - Beijing Rising Technology Corporation Limited - C:\Program Files\Rising\Rfw\rfwsrv.exe
O23 - Service: Rising Process Communication Center (RsCCenter) - rising - C:\PROGRAM FILES\RISING\RAV\CCENTER.EXE
O23 - Service: RsRavMon Service (RsRavMon) - Beijing Rising Technology Co., Ltd. - C:\PROGRAM FILES\RISING\RAV\Ravmond.exe

帮帮忙啊

【回复“新手与菜鸟”的帖子】
log中未见灰鸽子。请问病毒的路径？

【回复“花落花又开”的帖子】路径是  C:\Documents and Settings\sdf\Local Settings\Temp\RAVTEMP\D0040000

【回复“新手与菜鸟”的帖子】
清空IE缓存。

开始--控制面版--internet选项--删除文件--删除所有脱机内容

哦 好的我试试 ` 谢谢

呵呵，刚刚在江民论坛看到
１楼朋友是江民病毒防护与杀除版块的斑竹？

JayFaye 和花落花又开 辛苦了

我的系统进程里有csrss.exe,但并没有发现病毒生成如下文件：
%windir%\1.com
%windir%\CSRSS.exe
%windir%\ExERoute.exe
%windir%\explorer1.com
%windir%\finder.com
%windir%\MSWINSCK.OCX
%windir%\Debug\DebugProgram.exe
%system%\command.pif
%system%\dxdiag.com
%system%\finder.com
%system%\MSCONFIG.com
%system%\regedit.com
%system%\rundll32.com
%Program Files%\Common Files\iexplore.pif
%Program Files%\Internet Explorer\iexplore.com

这算是中毒了吗？

csrss.exe系统进程也有
病毒是伪装的，这个传奇变种很多，偶看到过四个版本的：http://smallmo.bokee.com/2654611.html

引用:

【9971891的贴子】我的系统进程里有csrss.exe, 这算是中毒了吗？ ...........................

注意标题该进程的路径.

正常进程c\windows\system32\csrss.exe

木马进程:c\windows\csrss.exe

引用:

【花落花又开的贴子】OS蓝屏,IS罢工，未能派上用场，把样本给了楼下那位大虾！请听分解。 ...........................

os 和IS是什么意思