瑞星卡卡安全论坛

请问下，本来一直都好好的，昨晚在下载时，突然屏幕黑掉，然后我去点一下就直接跳掉注销后的XP的登陆界面显示当前用户为administrator有3个程序正在执行，我登陆后没过多久又出现了这个情况，请问是中了木马吗？

用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)

扫SRENG日志发这论坛来
下载SRENG2.6版工具：http://www.kztechs.com/sreng/download.html
SRENG工具的扫描日志操作，看这贴2楼：http://bbs.ikaka.com/showtopic-8442813.aspx

怀疑是userinit文件有问题，建议从其他同版本操作系统中拷贝该文件覆盖。

前两次中毒时好像SRENG有报userinit有错，今天却没报，而且也没多出来什么服务～
以下是SRENG扫描的日志，麻烦帮忙看下～

附件: SREngLOG.log

日志未发现异常..

我用大蜘蛛扫最近下载的文件以及内存和正在运行的文件也没发现有异常，但是昨晚确实是自己注销跳回登录页面，应该是别人也用这个名字登录才会发生这个状况吧～有没有什么其他方法啊,会不会是那些什么免杀木马啊？

或者有没有其他查杀木马的工具啊？我有正版瑞星和大蜘蛛了～

可以检查注册表键值：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon中的userinit项，正确键值内容应该就是：userinit.exe，有其他参数就表明错误，改正即可。

数值名称Userinit,数值数据C:\WINDOWS\system32\userinit.exe,

键值应该是正常的，建议从其他同版本操作系统中拷贝userinit.exe文件覆盖。

建议安装个防火墙，把不需要的服务禁用，建立登陆账号并设置密码，禁用guest账户。将administrator设置密码或者改名。

我家里有两台电脑用路由器上网的，经常要互相copy东西，禁用guest就不能互相访问了吧？

我装了个天网的试用版，就一直看到这几个IP连接了几十次晕，我需要做些什么吗？
[16:27:17] 117.59.98.47试图连接本机的13560端口，
          TCP标志：S，
          该操作被拒绝。
[16:27:18] 222.218.165.84试图连接本机的13560端口，
          TCP标志：S，
          该操作被拒绝。
[[16:27:26] 125.86.92.53试图连接本机的13560端口，
          TCP标志：S，
          该操作被拒绝。

[16:29:04] 221.235.62.193试图连接本机的13560端口，
          TCP标志：S，
          该操作被拒绝。

[16:29:07] 222.218.165.84试图连接本机的13560端口，
          TCP标志：S，
          该操作被拒绝。