谢谢关注
我恢复过了，我先重新发个新的hijack的日志上来，你们看看

HijackThis_zww汉化版扫描日志 V1.99.1
保存于      17:17:33, 日期 2006-8-21
操作系统：  Windows XP SP1 (WinNT 5.01.2600)
浏览器：    Internet Explorer v6.00 SP1 (6.00.2800.1106)

当前运行的进程：         
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.exe
C:\Program Files\Network Associates\Common Framework\FrameworkService.exe
C:\Program Files\Network Associates\VirusScan\Mcshield.exe
C:\PROGRA~1\NETWOR~1\COMMON~1\naPrdMgr.exe
C:\Program Files\Network Associates\VirusScan\VsTskMgr.exe
C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
C:\Program Files\Network Associates\VirusScan\SHSTAT.EXE
D:\悲愤\优选工具1\Ava find pro-G\AvaFind Pro\AvaFind Pro\AvaFind.exe
C:\WINDOWS\System32\conime.exe
C:\WINDOWS\WINLOGON.EXE
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\WINDOWS\System32\ctfmon.exe
D:\悲愤\优选工具\病毒和恶意代码\HijackThis 1.99.1\HijackThis1991-HA\HijackThis1991zww.exe

F2 - REG:system.ini: Shell=Explorer.exe 1
O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - C:\PROGRA~1\FLASHGET\jccatch.dll
O3 - IE工具栏增项: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRA~1\FLASHGET\fgiebar.dll
O3 - IE工具栏增项: 电台(&R) - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - 启动项HKLM\\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - 启动项HKLM\\Run: [ShStatEXE] "C:\Program Files\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE
O4 - 启动项HKLM\\Run: [Torjan Program] C:\WINDOWS\WINLOGON.EXE
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exe
O8 - IE右键菜单中的新增项目: 使用网际快车下载 - C:\Program Files\FlashGet\jc_link.htm
O8 - IE右键菜单中的新增项目: 使用网际快车下载全部链接 - C:\Program Files\FlashGet\jc_all.htm
O8 - IE右键菜单中的新增项目: 导出到 Microsoft Excel(&x) - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - 浏览器额外的按钮: 词霸 - {9A687CA6-D585-4947-9ED9-BE96071F5CD9} - C:\Program Files\Kingsoft\Powerword 2003\XDictExB.dll
O9 - 浏览器额外的按钮: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - 浏览器额外的“工具”菜单项: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - 浏览器额外的按钮: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FLASHGET\flashget.exe
O9 - 浏览器额外的“工具”菜单项: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FLASHGET\flashget.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{0A35F636-BF73-4FA3-A625-CCF3C3B8E140}: NameServer = 211.167.97.200,211.167.97.67
O17 - HKLM\System\CCS\Services\Tcpip\..\{14C4942E-08CB-4960-8A4D-FAC13B0A5250}: NameServer = 211.167.97.200,211.167.97.67
O17 - HKLM\System\CCS\Services\Tcpip\..\{BCEA3C85-442E-4F98-9213-E1E9DC51E48A}: NameServer = 211.167.97.200,211.167.97.67
O17 - HKLM\System\CS1\Services\Tcpip\..\{0A35F636-BF73-4FA3-A625-CCF3C3B8E140}: NameServer = 211.167.97.200,211.167.97.67
O18 - 列举现有的协议: dic - {C21F5C32-F57A-4A0D-8E0A-B672691C52D0} - C:\Program Files\Kingsoft\Powerword 2003\XDictExB.dll
O23 - NT 服务: McAfee Framework 服务 (McAfeeFramework) - Network Associates, Inc. - C:\Program Files\Network Associates\Common Framework\FrameworkService.exe
O23 - NT 服务: Network Associates McShield (McShield) - Network Associates, Inc. - C:\Program Files\Network Associates\VirusScan\Mcshield.exe
O23 - NT 服务: Network Associates Task Manager (McTaskManager) - Network Associates, Inc. - C:\Program Files\Network Associates\VirusScan\VsTskMgr.exe
O23 - NT 服务: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

知道其中的
当前运行的进程：C:\WINDOWS\WINLOGON.EXE 是木马，
O4 - 启动项HKLM\\Run: [Torjan Program] C:\WINDOWS\WINLOGON.EXE
有问题
但是没法找到源头

秋日里的蓝天，谢了！

回头我去改注册表。
是不是需要先用regedit121 修复一下？

还有一个疑问想请教。
我是用ghost 恢复C盘的,原来C盘的内容完全被覆盖了，但新恢复的C盘怎么还是会出现 winlogon木马呢？
是不是 D盘的内容有问题才会这样？

查到D:中有个可疑文件 pagefile, 是以DOS应用程序的图标出现的,46KB.细看扩展名为pif可以确认是winlogon 病毒.这个文件没法删除,删后,不能打开D盘,而且文件会自动恢复.

呵呵,果然和D:盘有关联.重装后还会出现这个病毒!

用 procexp 强行删除windows\winlogon.exe 进程,然后用winlogo1.bat处理相关可疑文件和注册表的有关项.重新开机,问题解决!

参考的帖子是:
baohe 斑竹的:http://forum.ikaka.com/topic.asp?board=28&artid=7495863&page=1

谢谢,baohe斑竹,他提供的信息很有效,
谢谢上面关注过我这个问题的 秋日里的蓝天,我无邪,帮助我分析问题.
西西,还要感谢我自己努力学习和坚持找问题的精神.
真的是花了很多时间哦,但是,也学了不少东西.