今天是公元2007年4月11日星期三，再过40分钟就是公元2007年4月12日星期四了。
好几天没登录卡卡了，发现了一个很严重的问题：
比我晚注册的卡卡网友们已经登峰造极了，而我——还是略知一二，并且我还没有发表过一个精华贴！！！！
今天，偶决定把偶的“老本”都拿出来！与大家伙分享！争取拿一个精华贴吧。。。。。
http://forum.ikaka.com/topic.asp?board=67&artid=8296611
http://forum.ikaka.com/topic.asp?board=28&artid=8297003
类似这些贴子，一般情况下，手工清除启动项其实使用一个工具，能很简单实现！
PS：清除启动项之后，只要不是感染型病毒，重启之后，就能把活的变成死的！
感染型病毒如：熊猫烧香、利用autorun.inf启动的病毒
名词解释：
“活的变成死的”——病毒不再是病毒，而是一个占用一点点空间的，等着瑞星收尸的废物！
废话少说，正题：
使用工具：瑞星卡卡助手
关键分析操作：系统启动项管理
基本要求：会使用电脑，能找到卡卡助手“系统启动项管理”的一切卡卡网友
熟练要求：知识程度能一步不漏的做足以下要求的工作
最高级别：能明明白白清清楚知道自己在利用卡卡助手的“系统启动项管理”在干嘛！！
基本步骤一：安装卡卡助手
基本步骤二：找到卡卡助手的“系统启动项管理”
基本步骤三：隐藏微软已签名的项
基本步骤四：隐藏瑞星已签名的项
分析步骤一：选择左边的“登录项”
登录项是病毒最常见的启动方式，如：sysload3.exe\sysload2.exe病毒，在这里可以发现他们的影子。
私人技巧：因为是在注册表的run键值下，对应的位置是c:\windows\system32，所以，一般的软件积都会有些印象，如果没有印象，并且公司名称、描述为空的，非常有病毒/流氓的嫌疑！
PS重点：没有公司名称、描述为空，不认识的文件
分析步骤二：资源管理器插件
一般是流氓软件居多，在该项下面的正常软件有：RAR解压软件，腾讯的SOSO等工具。
一般正常软件都会具有描述和公司名称的，即使没有，也可以通过路径来确定是否为流氓软件。
PS重点：没有公司名称、描述为空，不认识的文件有可能是流氓软件
分析步骤三：IE插件
不用说，想用哪个用哪个，不想用哪个，删除哪个。
分析步骤四：计划任务
目前，好像没有这么笨的病毒了。不过腾讯的QQ喜欢这地方，假如哪天看不惯了，可以在这里删除或者在开始菜单删除。
PS：开始菜单不属此列，故不显示。
分析步骤五：服务项
当你“隐藏微软已签名的项”和“隐藏瑞星已签名的项”一般最多不会超过两三个，比较好分析。（著名的“灰鸽子”曾经非常喜欢这里。）
分析重点：没有公司名称和描述，路径可疑的。
PS：当你在RUN里找不到可疑文件时，不妨到这里的转几圈。
分析步骤六：驱动
这是我到目前为此，仍然无法渗透的一项！希望有网友能共享经验，感激不尽！！
PS：没有公司名称、描述为空，不认识的文件，可以参考一下，但是慎用！！！
分析步骤七：引导执行
勾选“隐藏微软已签名的项”和“隐藏瑞星已签名的项”后，一般该项为空。
假如不为空，则需要严重注意了！！！！
分析步骤八：应用程序劫持项和应用程序初始化动态连接库和已知动态连接库
这些项的数据一般为空。
PS：假如不空，莫问偶，偶至今没遇到过！不过可以试试SREG2修复。
分析步骤九：登录通知项
曾经有几类病毒使用过该项。找到没有描述、公司名称的，即可删除！
PS：能使用该项的，非简单类病毒！！慎重！务必严重关切！（著名的安全类软件SSM，即是通过该项启动！）
分析步骤十：winsock服务提供者（LSP）
一般为空，假使不为空，请使用卡卡助手的“IE及系统修复”
分析步骤十一：打印监控项
一般没啥问题，至今好像没有此类BT之病毒。
分析步骤十二：本地安全授权（LSA）提供者
PS：一般为空，假使不为空，莫问偶，偶8知道！
分析步骤十二：文件关联
这个，还是使用SREG2吧。
PS：病毒启动项重点“服务项”和“登录项”务必关切！
关于SREG2的下载地址，偶目前忘了。制顶的贴子也不知漂到哪里去了。偶又未吃透该论坛的搜索功能，故不提供，希望网友位能补充！阿门~
以上是私人的一些小“老本”，希望各位中毒的卡友们能喜欢，希望能帮到你们，阿门~~

特别奉献技巧:
杀毒时,请务必确保关闭了系统还原。
并且，在分析启动项时，请充分利用路径方法，找到文件。

对付病毒的启动项有两种办法：
一种是直接删除法，另一种是禁用法。
禁用方法：把前面的勾打掉，就会禁用启动，可以对付一些监控更改注册表的病毒。

特别：红色显示，一般是百分之百的病毒，或者恶意启动项！
排除办法，请注意看说明文字。

顺带提出一点小要求:
我的IE老弹出小窗口,怎么处理?
使用该方法没有查出任何异常。

手工杀毒的技巧没介绍啊，也太简单了！！！

不错，很好，学习中

我的杀毒很简单,平时备份好注册表,保存一两份正常系统的sreng日志.发现有问题就比较日志.杀毒时先恢复注册表,再手动解决.一般的小毒都没问题.碰上感染型的病毒就ghost不跟它们磨时间

温习下

谢谢

引用:

【过客2007的贴子】顺带提出一点小要求: 我的IE老弹出小窗口,怎么处理? 使用该方法没有查出任何异常。 ………………

要是确定系统没问题的话,就考虑是不是网络运营商在搞鬼

分析步骤一：选择左边的“登录项”
登录项是病毒最常见的启动方式，如：sysload3.exe\sysload2.exe病毒，在这里可以发现他们的影子。
私人技巧：因为是在注册表的run键值下，对应的位置是c:\windows\system32，所以，一般的软件积都会有些印象，如果没有印象，并且公司名称、描述为空的，非常有病毒/流氓的嫌疑！
PS重点：没有公司名称、描述为空，不认识的文件

请问LZ我在“登录项”看到的这几个没有公司名称、描述为空，这些是不是病毒呢？能帮忙看看吗？

这里高手这么多帮我看看有没有问题好吗？
启动项目
注册表
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
    <ctfmon.exe><C:\WINDOWS\system32\ctfmon.exe>  [(Verified)Microsoft Windows Publisher]
    <CalSprite><C:\Program Files\CalSprite\CalSprite.exe>  [SnowFox Studio.]
[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]
    <load><>  [N/A]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
    <IMJPMIG8.1><"C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32>  [(Verified)Microsoft Windows Publisher]
    <PHIME2002ASync><C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC>  [(Verified)Microsoft Windows Publisher]
    <PHIME2002A><C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName>  [(Verified)Microsoft Windows Publisher]
    <CalSprite><C:\Program Files\CalSprite\CalSprite.exe>  [SnowFox Studio.]
    <MSPY2002><C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC>  [(Verified)Microsoft Windows Publisher]
    <IgfxTray><C:\WINDOWS\system32\igfxtray.exe>  [(Verified)Microsoft Windows Hardware Compatibility Publisher]
    <HotKeysCmds><C:\WINDOWS\system32\hkcmd.exe>  [(Verified)Microsoft Windows Hardware Compatibility Publisher]
    <SoundMan><SOUNDMAN.EXE>  [(Verified)Microsoft Windows Hardware Compatibility Publisher]
    <KavStart><"C:\KAV2006\KAVStart.exe" -startup>  [Kingsoft Corporation]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
    <shell><Explorer.exe>  [(Verified)]
    <Userinit><C:\WINDOWS\system32\userinit.exe,>  [(Verified)Microsoft Windows Publisher]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows]
    <AppInit_DLLs><>  [N/A]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
    <UIHost><logonui.exe>  [(Verified)]

==================================
启动文件夹
[腾讯QQ]
  <C:\Documents and Settings\Administrator\「开始」菜单\程序\启动\腾讯QQ.lnk --> C:\PROGRA~1\Tencent\QQ\QQ.exe [TENCENT]><N>

==================================
服务
[Human Interface Device Access / HidServ][Stopped/Disabled]
  <C:\WINDOWS\System32\svchost.exe -k netsvcs-->%SystemRoot%\System32\hidserv.dll><N/A>
[Kingsoft Personal Firewall Service / KPfwSvc][Running/Auto Start]
  <"C:\KAV2006\KPfwSvc.EXE"><Kingsoft Corporation>
[Kingsoft Antivirus KWatch Service / KWatchSvc][Running/Auto Start]
  <C:\KAV2006\KWatch.EXE><Kingsoft Corporation>

==================================
驱动程序
[Service for WDM 3D Audio Driver / ALCXSENS][Running/Manual Start]
  <system32\drivers\ALCXSENS.SYS><Sensaura>
[Service for Realtek AC97 Audio (WDM) / ALCXWDM][Running/Manual Start]
  <system32\drivers\ALCXWDM.SYS><Realtek Semiconductor Corp.>
[ialm / ialm][Running/Manual Start]
  <system32\DRIVERS\ialmnt5.sys><Intel Corporation>
[KNetWch / KNetWch][Running/System Start]
  <\??\C:\KAV2006\KNetWch.SYS><Kingsoft Corporation>
[KWatch3 / KWatch3][Running/System Start]
  <\??\C:\WINDOWS\system32\drivers\KWatch3.SYS><Kingsoft Corporation>
[npkycryp / npkycryp][Stopped/Manual Start]
  <\??\C:\Program Files\Tencent\QQ\npkycryp.sys><N/A>
[nv / nv][Stopped/Manual Start]
  <system32\DRIVERS\nv4_mini.sys><NVIDIA Corporation>
[Direct Parallel Link Driver / Ptilink][Running/Manual Start]
  <system32\DRIVERS\ptilink.sys><Parallel Technologies, Inc.>
[Realtek RTL8139(A/B/C)-based PCI Fast Ethernet Adapter NT Driver / rtl8139][Running/Manual Start]
  <system32\DRIVERS\RTL8139.SYS><Realtek Semiconductor Corporation>
[Secdrv / Secdrv][Stopped/Manual Start]
  <system32\DRIVERS\secdrv.sys><N/A>
[npkcrypt / npkcrypt][Running/Auto Start]
  <\??\C:\Program Files\Tencent\QQ\npkcrypt.sys><INCA Internet Co., Ltd.>

==================================
浏览器加载项
[CBrowseStakeout Class]
  {55302805-482E-470E-8A57-6795A1487F90} <C:\KAV2006\KAVAFish.DLL, Kingsoft Corporation>
[QQ]
  {c95fe080-8f5d-11d2-a20b-00aa003c157b} <C:\Program Files\Tencent\QQ\QQ.EXE, TENCENT>
[WUWebControl Class]
  {6414512B-B978-451D-A0D8-FCFDF33E833C} <C:\WINDOWS\system32\wuweb.dll, Microsoft Corporation>
[Shockwave Flash Object]
  {D27CDB6E-AE6D-11CF-96B8-444553540000} <C:\WINDOWS\system32\Macromed\Flash\Flash9b.ocx, Adobe Systems, Inc.>
[CBrowseStakeout Class]
  {55302805-482E-470E-8A57-6795A1487F90} <C:\KAV2006\KAVAFish.DLL, Kingsoft Corporation>
[WBEM Scripting Sink]
  {75718C9A-F029-11D1-A1AC-00C04FB6C223} <C:\WINDOWS\system32\wbem\wbemdisp.dll, Microsoft Corporation>
[WBEM Scripting Locator]
  {76A64158-CB41-11D1-8B02-00600806D9B6} <C:\WINDOWS\system32\wbem\wbemdisp.dll, Microsoft Corporation>
[Microsoft Web 浏览器]
  {8856F961-340A-11D0-A96B-00C04FD705A2} <C:\WINDOWS\system32\shdocvw.dll, Microsoft Corporation>
[Shockwave Flash Object]
  {D27CDB6E-AE6D-11CF-96B8-444553540000} <C:\WINDOWS\system32\Macromed\Flash\Flash9b.ocx, Adobe Systems, Inc.>
[上传到QQ网络硬盘]
  <C:\Program Files\Tencent\QQ\AddToNetDisk.htm, N/A>
[添加到QQ自定义面板]
  <C:\Program Files\Tencent\QQ\AddPanel.htm, N/A>
[添加到QQ表情]
  <C:\Program Files\Tencent\QQ\AddEmotion.htm, N/A>
[用QQ彩信发送该图片]
  <C:\Program Files\Tencent\QQ\SendMMS.htm, N/A>
[金山毒霸反钓鱼...]
  <C:\KAV2006\KAF\ShowSet.htm, N/A>

正在运行的进程
[PID: 432][\SystemRoot\System32\smss.exe]  [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[PID: 480][\??\C:\WINDOWS\system32\csrss.exe]  [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[PID: 1300][C:\WINDOWS\Explorer.EXE]  [Microsoft Corporation, 6.00.2900.2180 (xpsp_sp2_rtm.040803-2158)]
    [C:\KAV2006\KASocket.dll]  [Kingsoft Corporation, 2005, 2, 22, 233]
    [C:\KAV2006\KMailOEBand.dll]  [Kingsoft Corporation, 2006, 12, 1, 139]
    [C:\WINDOWS\system32\MSVCR71.dll]  [Microsoft Corporation, 7.10.3052.4]
    [C:\WINDOWS\system32\MSVCP71.dll]  [Microsoft Corporation, 7.10.3077.0]
    [C:\WINDOWS\system32\igfxpph.dll]  [Intel Corporation, 3.0.0.4020]
    [C:\WINDOWS\system32\hccutils.DLL]  [Intel Corporation, 3.0.0.4020]
    [C:\WINDOWS\system32\igfxres.dll]  [Intel Corporation, 3.0.0.4020]
    [C:\WINDOWS\system32\igfxsrvc.dll]  [Intel Corporation, 3.0.0.4020]
    [C:\WINDOWS\system32\igfxdev.dll]  [Intel Corporation, 3.0.0.4020]
    [C:\KAV2006\KAVEXT.DLL]  [Kingsoft Corporation, 2005, 8, 5, 16]
    [C:\Program Files\WinRAR\rarext.dll]  [N/A, ]
[PID: 1448][C:\WINDOWS\system32\igfxtray.exe]  [Intel Corporation, 3.0.0.4020]
    [C:\WINDOWS\system32\hccutils.DLL]  [Intel Corporation, 3.0.0.4020]
    [C:\WINDOWS\system32\igfxdev.dll]  [Intel Corporation, 3.0.0.4020]
    [C:\WINDOWS\system32\igfxsrvc.dll]  [Intel Corporation, 3.0.0.4020]
    [C:\WINDOWS\system32\igfxres.dll]  [Intel Corporation, 3.0.0.4020]
    [C:\WINDOWS\system32\igfxress.dll]  [Intel Corporation, 3.0.0.4020]
    [C:\KAV2006\KASocket.dll]  [Kingsoft Corporation, 2005, 2, 22, 233]
[PID: 940][C:\WINDOWS\system32\hkcmd.exe]  [Intel Corporation, 3.0.0.4020]
    [C:\WINDOWS\system32\hccutils.DLL]  [Intel Corporation, 3.0.0.4020]
    [C:\WINDOWS\system32\igfxdev.dll]  [Intel Corporation, 3.0.0.4020]
    [C:\WINDOWS\system32\igfxsrvc.dll]  [Intel Corporation, 3.0.0.4020]
    [C:\WINDOWS\system32\igfxhk.dll]  [Intel Corporation, 3.0.0.4020]
    [C:\WINDOWS\system32\igfxres.dll]  [Intel Corporation, 3.0.0.4020]
    [C:\KAV2006\KASocket.dll]  [Kingsoft Corporation, 2005, 2, 22, 233]
[PID: 1244][C:\WINDOWS\SOUNDMAN.EXE]  [Realtek Semiconductor Corp., 5.1.0.29]
    [C:\KAV2006\KASocket.dll]  [Kingsoft Corporation, 2005, 2, 22, 233]
[PID: 1492][C:\KAV2006\KAVStart.exe]  [Kingsoft Corporation, 2007, 2, 1, 257]
    [C:\WINDOWS\system32\MFC71.DLL]  [Microsoft Corporation, 7.10.3077.0]
    [C:\WINDOWS\system32\MSVCR71.dll]  [Microsoft Corporation, 7.10.3052.4]
    [C:\WINDOWS\system32\MSVCP71.dll]  [Microsoft Corporation, 7.10.3077.0]
    [C:\WINDOWS\system32\MFC71CHS.DLL]  [Microsoft Corporation, 7.10.3077.0]
    [C:\KAV2006\KAVIPC2.DLL]  [Kingsoft Corporation, 2004, 12, 28, 20]
    [C:\KAV2006\SvcTimer.DLL]  [Kingsoft Corporation, 2006.12.22.84]
    [C:\KAV2006\KAVPassp.dll]  [Kingsoft Corporation, 2006, 9, 7, 270]
    [C:\KAV2006\PopSprt3.dll]  [Kingsoft Corporation, 2007, 1, 16, 45]
    [C:\KAV2006\KASocket.dll]  [Kingsoft Corporation, 2005, 2, 22, 233]
[PID: 1508][C:\WINDOWS\system32\ctfmon.exe]  [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
    [C:\KAV2006\KASocket.dll]  [Kingsoft Corporation, 2005, 2, 22, 233]
[PID: 1648][C:\KAV2006\KMailMon.EXE]  [Kingsoft Corporation, 2007, 2, 25, 948]
    [C:\KAV2006\KAntiSpm.dll]  [Kingsoft Corporation, 2007, 2, 25, 129]
    [C:\WINDOWS\system32\MSVCR71.dll]  [Microsoft Corporation, 7.10.3052.4]
    [C:\WINDOWS\system32\MSVCP71.dll]  [Microsoft Corporation, 7.10.3077.0]
    [C:\KAV2006\KAVIPC2.DLL]  [Kingsoft Corporation, 2004, 12, 28, 20]
    [C:\KAV2006\KAECall2.DLL]  [Kingsoft Corporation, 2004, 12, 28, 7]
    [C:\KAV2006\KAEPlat.DLL]  [Kingsoft Corp., 2006, 8, 29, 60]
    [C:\KAV2006\KAEMem.DAT]  [Kingsoft, 2006, 9, 25, 16]
    [C:\KAV2006\KAEUnpack.DAT]  [Kingsoft Corp., 2007, 3, 12, 114]
    [C:\KAV2006\KAConfig.DLL]  [Kingsoft Corporation, 2007, 1, 11, 41]
    [C:\KAV2006\KASocket.dll]  [Kingsoft Corporation, 2005, 2, 22, 233]
    [C:\KAV2006\KMailOEBand.dll]  [Kingsoft Corporation, 2006, 12, 1, 139]
[PID: 1116][C:\dzh\internet\hypwise.exe]  [大智慧, 1, 0, 0, 1]
    [C:\dzh\internet\MFC42.DLL]  [Microsoft Corporation, 6.00.8447.0]
    [C:\KAV2006\KMailOEBand.dll]  [Kingsoft Corporation, 2006, 12, 1, 139]
    [C:\WINDOWS\system32\MSVCR71.dll]  [Microsoft Corporation, 7.10.3052.4]
    [C:\WINDOWS\system32\MSVCP71.dll]  [Microsoft Corporation, 7.10.3077.0]
    [C:\KAV2006\KASocket.dll]  [Kingsoft Corporation, 2005, 2, 22, 233]
[PID: 1068][C:\Program Files\Internet Explorer\iexplore.exe]  [Microsoft Corporation, 6.00.2900.2180 (xpsp_sp2_rtm.040803-2158)]
    [C:\KAV2006\KMailOEBand.dll]  [Kingsoft Corporation, 2006, 12, 1, 139]
    [C:\WINDOWS\system32\MSVCR71.dll]  [Microsoft Corporation, 7.10.3052.4]
    [C:\WINDOWS\system32\MSVCP71.dll]  [Microsoft Corporation, 7.10.3077.0]
    [C:\KAV2006\KASocket.dll]  [Kingsoft Corporation, 2005, 2, 22, 233]
    [C:\KAV2006\KAVAFish.DLL]  [Kingsoft Corporation, 2006, 10, 25, 27]
    [C:\KAV2006\KAScript.DLL]  [Kingsoft Corporation, 2006, 12, 11, 72]
    [C:\KAV2006\KAEPlat.DLL]  [Kingsoft Corp., 2006, 8, 29, 60]
    [C:\KAV2006\KAEMem.DAT]  [Kingsoft, 2006, 9, 25, 16]
    [C:\KAV2006\KAEUnpack.DAT]  [Kingsoft Corp., 2007, 3, 12, 114]
    [C:\WINDOWS\system32\Macromed\Flash\Flash9b.ocx]  [Adobe Systems, Inc., 9,0,28,0]
[PID: 1096][F:\SREng\SREng.EXE]  [Smallfrogs Studio, 2.4.12.806]
    [C:\KAV2006\KMailOEBand.dll]  [Kingsoft Corporation, 2006, 12, 1, 139]
    [C:\WINDOWS\system32\MSVCR71.dll]  [Microsoft Corporation, 7.10.3052.4]
    [C:\WINDOWS\system32\MSVCP71.dll]  [Microsoft Corporation, 7.10.3077.0]
    [C:\KAV2006\KASocket.dll]  [Kingsoft Corporation, 2005, 2, 22, 233]
    [F:\SREng\Plugins\NWMON.SRE]  [Smallfrogs Studio, 1, 0, 0, 8]

==================================
文件关联
.TXT  OK. [%SystemRoot%\system32\NOTEPAD.EXE %1]
.EXE  OK. ["%1" %*]
.COM  OK. ["%1" %*]
.PIF  OK. ["%1" %*]
.REG  OK. [regedit.exe "%1"]
.BAT  OK. ["%1" %*]
.SCR  OK. ["%1" /S]
.CHM  Error. ["hh.exe" %1]
.HLP  Error. [winhlp32.exe %1]
.INI  OK. [%SystemRoot%\System32\NOTEPAD.EXE %1]
.INF  OK. [%SystemRoot%\System32\NOTEPAD.EXE %1]
.VBS  OK. [%SystemRoot%\System32\WScript.exe "%1" %*]
.JS  OK. [%SystemRoot%\System32\WScript.exe "%1" %*]
.LNK  OK. [{00021401-0000-0000-C000-000000000046}]

==================================
Winsock 提供者
N/A

==================================
Autorun.inf
N/A

==================================
HOSTS 文件
127.0.0.1      localhost

==================================
API HOOK
N/A

==================================
隐藏进程
N/A

==================================