今天不小心点了QQ群上的一个连接，结果主页被

h**p://yinyue84.com/?

劫持

经分析在注册表有三个键值为h**p://yinyue84.com/

不能修改，表现为改完关了注册表之后又自动还原。

在msconfig启动项发现有两个键值为csrss的选项删不掉，跟注册表一样。删完又有！

用HijackThis扫描的log如下：

HijackThis@Qoo的扫描日志  V1.97.7
Scan saved at 21:48:08, on 2005-11-25
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\HEROSOFT\Hero3000\SYSEXPLR.EXE
C:\WINDOWS\csrss.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Tencent\TT\TTraveler.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\system32\UPEngine.EXE
C:\Documents and Settings\Administrator\桌面\hijackthis1.97_qoo\HijackThis.exe

O4 - HKLM\..\Run: [csrss] C:\WINDOWS\csrss.exe
O4 - HKLM\..\RunServices: [csrss] C:\WINDOWS\csrss.exe
O4 - HKCU\..\Run: [csrss] C:\WINDOWS\csrss.exe
O4 - HKCU\..\RunServices: [csrss] C:\WINDOWS\csrss.exe
O4 - Startup: NTUSER.DAT
O4 - Startup: ntuser.dat.LOG
O4 - Startup: ntuser.ini
O4 - Global Startup: NTUSER.DAT
O4 - Global Startup: NTUSER.DAT.LOG
O18 - Protocol: about - {3050F406-98B5-11CF-BB82-00AA00BDCE0B} - %SystemRoot%\system32\mshtml.dll



请高手帮忙解决这个问题啊！

谢谢！！！

重新启动到安全模式（进入安全模式的方法:重新启动电脑, 开机自动检测完后, 按[F8]键(可以一直按到启动菜单出来为止), 选择安全模式(Safe Mode)进入Windows。）

先终止下面的进程（关闭所有窗口，同时按下CTRL+ALT+DELETE，在打开的窗口中选中要终止的进程，然后按下“结束任务”或者“结束进程”，最后关闭该窗口。
C:\WINDOWS\csrss.exe

请关闭所有IE界面，重新使用HijackThis扫描一次，选中下面建议修复的项目，让HijackThis修复，修复前请允许HijackThis保留备份。（如果楼主知道是安全的可以不必勾选）
O4 - HKLM\..\Run: [csrss] C:\WINDOWS\csrss.exe
O4 - HKLM\..\RunServices: [csrss] C:\WINDOWS\csrss.exe
O4 - HKCU\..\Run: [csrss] C:\WINDOWS\csrss.exe
O4 - HKCU\..\RunServices: [csrss] C:\WINDOWS\csrss.exe

然后打开我的电脑→再点工具→打开文件夹选项→查看→把隐藏受保护的系统文件（推荐）和隐藏已知文件类型的扩展名的勾去掉→再显示所有文件→找到以下文件并删除：(如果有的话)
C:\WINDOWS\csrss.exe（看清删除文件的路径）


问题仍在建议您用HijackThis1.99.1 扫描个日志贴上来

HijackThis下载地址请参考：
【必读】本版说明及常用小软件下载
http://forum.ikaka.com/topic.asp?board=67&artid=5188931

谢谢楼上了，刚刚用XP的系统还原已经搞定了！