瑞星卡卡安全论坛

首页 » 技术交流区 » 反病毒/反流氓软件论坛 » 请大虾帮我看下hijackthis的扫描日志
游水的海豚 - 2005-8-30 20:00:00
我的电脑的症状和 http://forum.ikaka.com/topic.asp?board=67&artid=6093378&page=1 这贴的一样。
我已经用CWShredder在安全模式下扫描过了，remove了一个东西。

然后我又用hijackthis在正常模式下扫描了一遍，下面是日志，请高手帮我看一下下面该怎么清除

HijackThis_zww汉化版扫描日志 V1.99.1
保存于      19:56:48, 日期 2005-8-30
操作系统：  Windows 2000 SP4 (WinNT 5.00.2195)
浏览器：    Internet Explorer v6.00 SP1 (6.00.2800.1106)

当前运行的进程：         
C:\WINNT\System32\smss.exe
C:\WINNT\system32\csrss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
D:\PROGRA~1\SYMANT~1\SYMANT~1\DefWatch.exe
C:\WINNT\System32\svchost.exe
D:\PROGRA~1\SYMANT~1\SYMANT~1\Rtvscan.exe
C:\WINNT\system32\nvsvc32.exe
C:\WINNT\system32\ZONELABS\vsmon.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\WINNT\Mixer.exe
D:\PROGRA~1\SYMANT~1\SYMANT~1\vptray.exe
D:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\WINNT\system32\internat.exe
D:\Program Files\MYIE2\MyIE.exe
C:\WINNT\system32\ipconfig.exe
C:\WINNT\system32\ipconfig.exe
I:\tool\HijackThis\HijackThis1991zww.exe

R3 - URLSearchHook: (no name) - {68F39BFA-AF4E-C94E-B0FA-69F86D225E05} - hyandex.dll (file missing)
O1 - Hosts: localhost 127.0.0.1
O2 - BHO: MDEobject Class - {4136C3F6-7636-49bf-A122-D4DA53B1ADDF} - C:\WINNT\system32\meobjsdt.dll (file missing)
O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - D:\PROGRA~1\FLASHGET\jccatch.dll
O3 - IE工具栏增项: 电台(&R) - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx
O3 - IE工具栏增项: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - D:\PROGRA~1\FLASHGET\fgiebar.dll
O3 - IE工具栏增项: 新浪点点通 - {F60C7D81-8471-4D40-AAFE-56D318F34C2D} - D:\PROGRA~1\sina\UC\UCddt\DDTONG~1.DLL
O4 - 启动项HKLM\\Run: [C-Media Mixer] Mixer.exe /startup
O4 - 启动项HKLM\\Run: [Synchronization Manager] mobsync.exe /logon
O4 - 启动项HKLM\\Run: [vptray] D:\PROGRA~1\SYMANT~1\SYMANT~1\vptray.exe
O4 - 启动项HKLM\\Run: [Zone Labs Client] "d:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - 启动项HKLM\\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINNT\system32\NvCpl.dll,NvStartup
O4 - 启动项HKLM\\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe"  -osboot
O4 - HKCU\..\Run: [Internat.exe] internat.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - IE右键菜单中的新增项目: 使用网际快车下载 - D:\Program Files\FlashGet\jc_link.htm
O8 - IE右键菜单中的新增项目: 使用网际快车下载全部链接 - D:\Program Files\FlashGet\jc_all.htm
O8 - IE右键菜单中的新增项目: 添加到QQ表情 - D:\Program Files\Tencent\qq\AddEmotion.htm
O9 - 浏览器额外的按钮: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\System32\msjava.dll
O9 - 浏览器额外的“工具”菜单项: Sun Java 控制台 - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\System32\msjava.dll
O9 - 浏览器额外的按钮: 浩方对战平台 - {0A155D3C-68E2-4215-A47A-E800A446447A} - G:\holdfast\HF3.0\GameClient.exe
O9 - 浏览器额外的按钮: 新浪UC - {2253922F-1B26-4C74-8B57-E3AEE748DBB8} - D:\Program Files\sina\UC\UC.exe
O9 - 浏览器额外的按钮: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - 浏览器额外的“工具”菜单项: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - 浏览器额外的按钮: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - D:\PROGRA~1\FLASHGET\flashget.exe
O9 - 浏览器额外的“工具”菜单项: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - D:\PROGRA~1\FLASHGET\flashget.exe
O9 - 浏览器额外的按钮: (no name) - {974AD624-EA50-4831-A6C0-3040F6665396} - D:\PROGRA~1\sina\UC\UCddt\rssband.dll (HKCU)
O9 - 浏览器额外的“工具”菜单项: 新浪点点通阅读器 - {974AD624-EA50-4831-A6C0-3040F6665396} - D:\PROGRA~1\sina\UC\UCddt\rssband.dll (HKCU)
O9 - 浏览器额外的按钮: 新浪点点通阅读器 - {F0646DC8-58CD-4C64-8F6B-525043914685} - D:\PROGRA~1\sina\UC\UCddt\rssband.dll (HKCU)
O16 - DPF: {0CA54D3F-CEAE-48AF-9A2B-31909CB9515D} (Edit Class) - https://www.sz1.cmbchina.com/download/CMBEdit.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{A0D2DB7F-ED7C-448F-9EF0-4C16E3C9B0A3}: NameServer = 69.50.176.158,85.255.112.8
O23 - NT 服务: CWShredder Service - InterMute, Inc. - I:\tool\CWShredder.exe
O23 - NT 服务: DefWatch - Symantec Corporation - D:\PROGRA~1\SYMANT~1\SYMANT~1\DefWatch.exe
O23 - NT 服务: Logical Disk Manager Administrative Service (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - NT 服务: Symantec AntiVirus Client (Norton AntiVirus Server) - Symantec Corporation - D:\PROGRA~1\SYMANT~1\SYMANT~1\Rtvscan.exe
O23 - NT 服务: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINNT\system32\nvsvc32.exe
O23 - NT 服务: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - C:\WINNT\system32\ZONELABS\vsmon.exe

飞跃迷离 - 2005-8-30 20:07:00
重新启动到安全模式（进入安全模式的方法:重新启动电脑, 开机自动检测完后, 按[F8]键(可以一直按到启动菜单出来为止), 选择安全模式(Safe Mode)进入Windows。）

请关闭所有IE界面，重新使用HijackThis扫描一次，选中下面建议修复的项目，让HijackThis修复，修复前请允许HijackThis保留备份。（如果楼主知道是安全的可以不必勾选）
R3 - URLSearchHook: (no name) - {68F39BFA-AF4E-C94E-B0FA-69F86D225E05} - hyandex.dll (file missing)
O1 - Hosts: localhost 127.0.0.1
O2 - BHO: MDEobject Class - {4136C3F6-7636-49bf-A122-D4DA53B1ADDF} - C:\WINNT\system32\meobjsdt.dll (file missing)
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present

然后打开我的电脑→再点工具→打开文件夹选项→查看→把隐藏受保护的系统文件（推荐）和隐藏已知文件类型的扩展名的勾去掉→再显示所有文件→找到以下文件并删除：
C:\WINNT\system32\meobjsdt.dll
hyandex.dll（请用开始菜单中的搜索功能查找）

问题仍在请在安全模式下扫个日志贴上来..
游水的海豚 - 2005-8-30 22:14:00
好的，谢谢斑竹。
我现在有些别的事，只有明天回帖了
游水的海豚 - 2005-9-1 20:12:00
我昨天照斑竹的方法作了，在安全模式下修复了那4项。
然后显示了所有文件，但是我没有发现 C:\WINNT\system32\meobjsdt.dll 这个文件。

。。
hyandex.dll这个文件在搜索的时候，老是explorer遇到问题，需要关闭。
所以，这2个文件的删除工作没有做成。
然后我启动到正常系统，抱着试试看的心理，又用spybot search&destroy 扫描了一遍

，竟然扫出了好几个东西，其中一个就是CWS.WinSecurityCenter，点开它左边的+号，

列出了我的收藏夹里多出来的那些黄色网站的地址，然后就修复了。
我以为问题应该解决了，可是今天开机后，我发现进程里有5个ipconfig.exe，无法杀掉

这几个进程，而且开机也发现MyIE.exe进程，我是用myie2作为浏览器的，但是一开机就

有这个进程也没道理啊。。
现在上网也又弹出那个"your computer might be at risk"了。。高手救我啊

下面是现在的hijackthis的日志
HijackThis_zww汉化版扫描日志 V1.99.1
保存于      20:13:56, 日期 2005-9-1
操作系统：  Windows 2000 SP4 (WinNT 5.00.2195)
浏览器：    Internet Explorer v6.00 SP1 (6.00.2800.1106)

当前运行的进程：         
C:\WINNT\System32\smss.exe
C:\WINNT\system32\csrss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
D:\PROGRA~1\SYMANT~1\SYMANT~1\DefWatch.exe
C:\WINNT\System32\svchost.exe
D:\PROGRA~1\SYMANT~1\SYMANT~1\Rtvscan.exe
C:\WINNT\system32\nvsvc32.exe
C:\WINNT\system32\ZONELABS\vsmon.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\WINNT\Mixer.exe
D:\PROGRA~1\SYMANT~1\SYMANT~1\vptray.exe
D:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\WINNT\system32\internat.exe
C:\WINNT\system32\ipconfig.exe
C:\WINNT\system32\ipconfig.exe
C:\WINNT\system32\ipconfig.exe
C:\WINNT\system32\ipconfig.exe
C:\WINNT\system32\ipconfig.exe
I:\tool\HijackThis\HijackThis1991zww.exe

O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} -

D:\PROGRA~1\FLASHGET\jccatch.dll
O3 - IE工具栏增项: 电台(&R) - {8E718888-423F-11D2-876E-00A0C9082467} -

C:\WINNT\system32\msdxm.ocx
O3 - IE工具栏增项: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} -

D:\PROGRA~1\FLASHGET\fgiebar.dll
O3 - IE工具栏增项: 新浪点点通 - {F60C7D81-8471-4D40-AAFE-56D318F34C2D} -

D:\PROGRA~1\sina\UC\UCddt\DDTONG~1.DLL
O4 - 启动项HKLM\\Run: [C-Media Mixer] Mixer.exe /startup
O4 - 启动项HKLM\\Run: [Synchronization Manager] mobsync.exe /logon
O4 - 启动项HKLM\\Run: [vptray] D:\PROGRA~1\SYMANT~1\SYMANT~1\vptray.exe
O4 - 启动项HKLM\\Run: [Zone Labs Client] "d:\Program Files\Zone

Labs\ZoneAlarm\zlclient.exe"
O4 - 启动项HKLM\\Run: [NvCplDaemon] RUNDLL32.EXE

C:\WINNT\system32\NvCpl.dll,NvStartup
O4 - 启动项HKLM\\Run: [MSConfig] C:\WINNT\System\msconfig.exe /auto
O4 - HKCU\..\Run: [Internat.exe] internat.exe
O8 - IE右键菜单中的新增项目: 使用网际快车下载 - D:\Program

Files\FlashGet\jc_link.htm
O8 - IE右键菜单中的新增项目: 使用网际快车下载全部链接 - D:\Program

Files\FlashGet\jc_all.htm
O8 - IE右键菜单中的新增项目: 添加到QQ表情 - D:\Program

Files\Tencent\qq\AddEmotion.htm
O9 - 浏览器额外的按钮: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} -

C:\WINNT\System32\msjava.dll
O9 - 浏览器额外的“工具”菜单项: Sun Java 控制台 -

{08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\System32\msjava.dll
O9 - 浏览器额外的按钮: 浩方对战平台 - {0A155D3C-68E2-4215-A47A-E800A446447A}

- G:\holdfast\HF3.0\GameClient.exe
O9 - 浏览器额外的按钮: 新浪UC - {2253922F-1B26-4C74-8B57-E3AEE748DBB8} -

D:\Program Files\sina\UC\UC.exe
O9 - 浏览器额外的按钮: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} -

C:\WINNT\web\related.htm
O9 - 浏览器额外的“工具”菜单项: Show &Related Links -

{c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - 浏览器额外的按钮: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} -

D:\PROGRA~1\FLASHGET\flashget.exe
O9 - 浏览器额外的“工具”菜单项: &FlashGet -

{D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - D:\PROGRA~1\FLASHGET\flashget.exe
O9 - 浏览器额外的按钮: (no name) - {974AD624-EA50-4831-A6C0-3040F6665396} -

D:\PROGRA~1\sina\UC\UCddt\rssband.dll (HKCU)
O9 - 浏览器额外的“工具”菜单项: 新浪点点通阅读器 -

{974AD624-EA50-4831-A6C0-3040F6665396} -

D:\PROGRA~1\sina\UC\UCddt\rssband.dll (HKCU)
O9 - 浏览器额外的按钮: 新浪点点通阅读器 -

{F0646DC8-58CD-4C64-8F6B-525043914685} -

D:\PROGRA~1\sina\UC\UCddt\rssband.dll (HKCU)
O16 - DPF: {0CA54D3F-CEAE-48AF-9A2B-31909CB9515D} (Edit Class) -

https://www.sz1.cmbchina.com/download/CMBEdit.cab
O17 -

HKLM\System\CCS\Services\Tcpip\..\{1FFCB7D4-6548-4AE9-BFF4-51AC89FC7B63}:

NameServer = 69.50.176.158 85.255.112.8
O17 -

HKLM\System\CCS\Services\Tcpip\..\{A0D2DB7F-ED7C-448F-9EF0-4C16E3C9B0A3}:

NameServer = 69.50.176.158,85.255.112.8
O20 - AppInit_DLLs: apihookdll.dll
O23 - NT 服务: CWShredder Service - InterMute, Inc. - I:\tool\CWShredder.exe
O23 - NT 服务: DefWatch - Symantec Corporation -

D:\PROGRA~1\SYMANT~1\SYMANT~1\DefWatch.exe
O23 - NT 服务: Logical Disk Manager Administrative Service (dmadmin) -

VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - NT 服务: Symantec AntiVirus Client (Norton AntiVirus Server) - Symantec

Corporation - D:\PROGRA~1\SYMANT~1\SYMANT~1\Rtvscan.exe
O23 - NT 服务: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation -

C:\WINNT\system32\nvsvc32.exe
O23 - NT 服务: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. -

C:\WINNT\system32\ZONELABS\vsmon.exe





飞跃迷离 - 2005-9-1 20:23:00
请参考本版置顶的《本版说明及常用小软件下载 》
http://forum.ikaka.com/topic.asp?board=67&artid=5188931
请下载其中提到的CWShredder。

关闭所有IE窗口，运行此工具让它修复(Fix)，这一操作推荐在安全模式进行。
相关教程：CoolWebSearch专杀——CoolWeb Shredder（CoolWeb粉碎机）简介
http://community.rising.com.cn/Forum/msg_read.asp?FmID=28&SubjectID=3926810&page=1

进入安全模式的方法:重新启动电脑, 开机检测完后, 按[F8]键(可以一直按到启动菜单出来为止), 选择安全模式进入Windows。

使用CWShredder.exe修复之后最好清空IE临时文件(打开IE浏览器——工具——internet选项——删除文件，把“删除所有脱机内容”选上)。


游水的海豚 - 2005-9-2 19:01:00
按上面的方法作了，remove了CWS.MSconfig 。
但是进入正常系统连上网络后，随便打开一个google搜索出的网页，马上硬盘指示灯狂闪，大约十几秒后，myie2浏览器自己关闭了，打开任务管理器，又出现了几个ipconfig.exe进程，弹出"your computer might be at risk"的问题依旧。。。
大虾救救我啊。。。。

下面是最新扫描的日志：

HijackThis_zww汉化版扫描日志 V1.99.1
保存于      18:55:35, 日期 2005-9-2
操作系统：  Windows 2000 SP4 (WinNT 5.00.2195)
浏览器：    Internet Explorer v6.00 SP1 (6.00.2800.1106)

当前运行的进程：         
C:\WINNT\System32\smss.exe
C:\WINNT\system32\csrss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
D:\PROGRA~1\SYMANT~1\SYMANT~1\DefWatch.exe
C:\WINNT\System32\svchost.exe
D:\PROGRA~1\SYMANT~1\SYMANT~1\Rtvscan.exe
C:\WINNT\system32\nvsvc32.exe
C:\WINNT\system32\ZONELABS\vsmon.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\WINNT\Mixer.exe
D:\PROGRA~1\SYMANT~1\SYMANT~1\vptray.exe
D:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINNT\system32\internat.exe
C:\WINNT\system32\ipconfig.exe
C:\WINNT\system32\ipconfig.exe
C:\WINNT\system32\ipconfig.exe
C:\WINNT\system32\ipconfig.exe
C:\WINNT\system32\ipconfig.exe
I:\tool\HijackThis\HijackThis1991zww.exe

O1 - Hosts: localhost 127.0.0.1
O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - D:\PROGRA~1\FLASHGET\jccatch.dll
O3 - IE工具栏增项: 电台(&R) - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx
O3 - IE工具栏增项: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - D:\PROGRA~1\FLASHGET\fgiebar.dll
O3 - IE工具栏增项: 新浪点点通 - {F60C7D81-8471-4D40-AAFE-56D318F34C2D} - D:\PROGRA~1\sina\UC\UCddt\DDTONG~1.DLL
O4 - 启动项HKLM\\Run: [C-Media Mixer] Mixer.exe /startup
O4 - 启动项HKLM\\Run: [Synchronization Manager] mobsync.exe /logon
O4 - 启动项HKLM\\Run: [vptray] D:\PROGRA~1\SYMANT~1\SYMANT~1\vptray.exe
O4 - 启动项HKLM\\Run: [Zone Labs Client] "d:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - 启动项HKLM\\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINNT\system32\NvCpl.dll,NvStartup
O4 - HKCU\..\Run: [Internat.exe] internat.exe
O8 - IE右键菜单中的新增项目: 使用网际快车下载 - D:\Program Files\FlashGet\jc_link.htm
O8 - IE右键菜单中的新增项目: 使用网际快车下载全部链接 - D:\Program Files\FlashGet\jc_all.htm
O8 - IE右键菜单中的新增项目: 添加到QQ表情 - D:\Program Files\Tencent\qq\AddEmotion.htm
O9 - 浏览器额外的按钮: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\System32\msjava.dll
O9 - 浏览器额外的“工具”菜单项: Sun Java 控制台 - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\System32\msjava.dll
O9 - 浏览器额外的按钮: 浩方对战平台 - {0A155D3C-68E2-4215-A47A-E800A446447A} - G:\holdfast\HF3.0\GameClient.exe
O9 - 浏览器额外的按钮: 新浪UC - {2253922F-1B26-4C74-8B57-E3AEE748DBB8} - D:\Program Files\sina\UC\UC.exe
O9 - 浏览器额外的按钮: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - 浏览器额外的“工具”菜单项: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - 浏览器额外的按钮: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - D:\PROGRA~1\FLASHGET\flashget.exe
O9 - 浏览器额外的“工具”菜单项: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - D:\PROGRA~1\FLASHGET\flashget.exe
O9 - 浏览器额外的按钮: (no name) - {974AD624-EA50-4831-A6C0-3040F6665396} - D:\PROGRA~1\sina\UC\UCddt\rssband.dll (HKCU)
O9 - 浏览器额外的“工具”菜单项: 新浪点点通阅读器 - {974AD624-EA50-4831-A6C0-3040F6665396} - D:\PROGRA~1\sina\UC\UCddt\rssband.dll (HKCU)
O9 - 浏览器额外的按钮: 新浪点点通阅读器 - {F0646DC8-58CD-4C64-8F6B-525043914685} - D:\PROGRA~1\sina\UC\UCddt\rssband.dll (HKCU)
O16 - DPF: {0CA54D3F-CEAE-48AF-9A2B-31909CB9515D} (Edit Class) - https://www.sz1.cmbchina.com/download/CMBEdit.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{1FFCB7D4-6548-4AE9-BFF4-51AC89FC7B63}: NameServer = 69.50.176.158 85.255.112.8
O17 - HKLM\System\CCS\Services\Tcpip\..\{A0D2DB7F-ED7C-448F-9EF0-4C16E3C9B0A3}: NameServer = 195.95.218.5,85.255.112.13
O20 - AppInit_DLLs: apihookdll.dll
O23 - NT 服务: CWShredder Service - Unknown owner - I:\tool\CWShredder.exe (file missing)
O23 - NT 服务: DefWatch - Symantec Corporation - D:\PROGRA~1\SYMANT~1\SYMANT~1\DefWatch.exe
O23 - NT 服务: Logical Disk Manager Administrative Service (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - NT 服务: Symantec AntiVirus Client (Norton AntiVirus Server) - Symantec Corporation - D:\PROGRA~1\SYMANT~1\SYMANT~1\Rtvscan.exe
O23 - NT 服务: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINNT\system32\nvsvc32.exe
O23 - NT 服务: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - C:\WINNT\system32\ZONELABS\vsmon.exe

游水的海豚 - 2005-9-3 18:11:00
顶起，请大虾再帮忙看一下
花落花又开 - 2005-9-4 9:34:00
【回复“游水的海豚”的帖子】
您好，麻烦您显示隐藏文件，看看是否找的到ipconfig.exe

把它压缩加密为virus发到我的邮箱rsvirus@163.com
游水的海豚 - 2005-9-4 17:50:00
ipconfig.exe的问题似乎解决了.
我昨天把我的symantec anti virus 8企业版卸载了，换了mcafee ，它发现并删除了C:\WINNT\System32\hclean32.exeQHosts-17 (特洛伊) 和 C:\WINNT\System32\rdsndin.exeSpy-Agent.i (特洛伊) 这两个木马，现在进程方面好像没有异常了，唯一还有的现象就是弹出"your computer might be at risk"的问题依旧。
下面我该怎么办？
飞跃迷离 - 2005-9-4 18:07:00
建议你用下面两个工具看看：
Spybot-Search&Destroy
下载地址：http://nj.onlinedown.net/soft/14212.htm

Ad-aware
下载地址：http://nj.onlinedown.net/soft/8370.htm
游水的海豚 - 2005-9-4 19:49:00
我用Ad-aware扫描的时候，cup占用率应该很高。然后我去吃饭，吃完饭回来发现cpu占用极低，好像没有扫描一样，我看了一下当时的扫描情况：扫描了4万多个项目，注册表里有18个异常，扫描的目录停到C:\Documents and Settings\Administrator\Local Settings\Temp\Temporary Internet Files\Content.IE5\QFQR47CB
然后我想到这个目录去看一看，结果一双击QFQR47CB这个文件夹，就explore.exe遇到错误，需要关闭，然后就像死机一样，点什么都没有反应，只好注销了。。。
C:\Documents and Settings\Administrator\Local Settings\Temp这个目录我可以直接删除吗？
魔法学徒 - 2005-9-4 20:33:00
您的问题在IE缓存中，清空IE临时文件(打开IE浏览器——工具——internet选项——删除cookies...、删除文件，把“删除所有脱机内容”选上)。
游水的海豚 - 2005-9-4 22:36:00
我清空了IE临时文件(打开IE浏览器——工具——internet选项——删除cookies...、删

除文件，把“删除所有脱机内容”选上)，再用Ad-aware扫描，还是老样子，扫到

C:\Documents and Settings\Administrator\Local Settings\Temp\Temporary

Internet Files\Content.IE5\QFQR47CB就不行了。
sanadayukimura - 2005-9-4 22:48:00
【回复“游水的海豚”的帖子】
有什么提示？比如要求您进行什么操作。截个图贴上来好吗？
游水的海豚 - 2005-9-4 22:53:00
没有任何提示，但就像没有扫描一样，cpu占用率极低，等了好长时间没动静，然后我就把它关闭了（这次是正常关闭；上次点关闭，提示程序未响应，要立即结束吗）。
游水的海豚 - 2005-9-4 23:09:00
截图如下，看右下角的cpu占用很低，我的电脑配置不高，才p3 667,要是在扫描的话，不可能这么低的


游水的海豚 - 2005-9-5 9:03:00
确实有问题啊
我用mcafee扫描到C:\Documents and Settings\Administrator\Local Settings\Temp\Temporary Internet Files\Content.IE5\QFQR47CB  的时候就会遇到问题需要关闭，正在创建日志……
这……我该怎么办？
魔法学徒 - 2005-9-5 20:36:00
建议您对C盘进行一遍碎片整理后再扫描试试
游水的海豚 - 2005-9-6 8:24:00
对C盘进行了碎片整理，用mcafee扫描还是老样子，一到那个文件夹就"scan32.exe遇到问题需要关闭，正在创建日志"。
sanadayukimura - 2005-9-6 11:04:00
【回复“游水的海豚”的帖子】
断网并重新启动到安全模式执行相关操作。
游水的海豚 - 2005-9-6 19:27:00
断网并重新启动到安全模式,用ad-aware扫描，到扫描到注册表的时候，程序无响应了。
用mcafee扫描到那个ie临时文件夹时，还是出错
游水的海豚 - 2005-9-6 20:31:00
现在有多出奇怪的现象了：
我的myie2浏览器打不开了，点了以后没反应。然后我卸载了它，重装了maxthon昨天可以正常使用，今天晚上回来又不行了，双击了它以后能

看到maxthon的窗口已经出来了，然后马上就没了。。。我重启后没有联接网络的时候可以打开它，然后再联网，没问题；我去洗澡回来一看，

maxthon的窗口又没了。。。我现在在用firefox浏览。
达人帮我~~~
游水的海豚 - 2005-9-8 22:29:00
现在不光myie2,maxthon，连firefox都不行了。
我是adsl拨号的，只要连在网上，firefox就会自己毫无征兆的关闭，然后再也打不开了，一双击就产生了错误需要关闭。除非断网才能再次运行。
IE倒是没有这个问题。
怎么办啊，还有今天机器启动以后硬盘指示灯一直在闪，也不知道在干什么。。。
魔法学徒 - 2005-9-8 22:32:00
建议用sfc命令检修系统文件看看
Win98: 开始-->程序-->MSDOS方式
Win 2000/xp:开始-->程序→附件→命令提示符
键入“sfc /scannow”，按下回车键后，“系统文件检查器”就会开始检查当前的系统文件是否有损坏、版本是否正确，如果发现错误，程序会要求你插入Windows 安装光盘来修复或者替换不正确的文件。
游水的海豚 - 2005-9-9 11:47:00
引用:
【魔法学徒的贴子】建议用sfc命令检修系统文件看看
Win98: 开始-->程序-->MSDOS方式
Win 2000/xp:开始-->程序→附件→命令提示符
键入“sfc /scannow”，按下回车键后，“系统文件检查器”就会开始检查当前的系统文件是否有损坏、版本是否正确，如果发现错误，程序会要求你插入Windows 安装光盘来修复或者替换不正确的文件。
...........................

好的，我晚上回家试试。


另外昨天发玩帖子后，我又到安全模式下去看了C:\Documents and Settings\Administrator\Local Settings\Temp ,注意，这个temp临时目录下有个Temporary Internet Files\Content.IE5目录。
按理说temp下的东西都可以删除的，我也几乎都删掉这个temp目录下的所有文件和文件夹，除了temp下的Temporary Internet Files\Content.IE5\QFQR47CB 这个文件夹。对这个文件夹，我双击、右键查看属性、复制再别的地方粘贴，都会explore.exe遇到错误需要关闭，正在创建错误日志；我用winrar打包，winrar出错；我用mcafee扫描，mcafee出错。
基于这一点，是不是我得浏览器一到这里写文件，就关闭了呢？
游水的海豚 - 2005-9-9 19:58:00
这个 sfc /scannow
必须要放入win2000的光盘才能运行？
我的光驱不怎么好使了，我的2000的系统盘它读不出来，试了好几张都不行。我重装系统都是用网上下载的，然后用另一张启动光盘引导到dos下（这张盘可以读出），再运行硬盘上的系统安装文件。
我原来以为可以指定光盘的路径的，但是“sfc /scannow”这个命令好像只认光盘驱动器阿，我进行不下去了。

还有，IE 也出现了在联网状态下不能打开的现象，也是遇到问题需要关闭。。
我要崩溃了 >_<
夏语天 - 2005-9-9 20:03:00
这个问题嘛~~~还是请版主来吧
游水的海豚 - 2005-9-12 10:22:00
可能我一开始用hijackthis修复文件的时候方法不当吧。
最开始是屏幕右下角弹出"your computer might be at risk..."的东西。后来这个问题没有了，但浏览器有会自己关闭。
实在是找补出原因，我昨天重装系统了。
这个帖子可以关闭了
常十有八九 - 2005-9-12 11:54:00
其实早重装系统就早好了，我是菜虫，搞不懂的说
1
查看完整版本: 请大虾帮我看下hijackthis的扫描日志
© 2000 - 2026 Rising Corp. Ltd.