IE首頁被綁,用了好幾個軟體都除不了

[spycat77]

我知道這是老掉牙的問題,我也搜尋了以前的解答,
用了Spybot1.3和ad-ware6.0和IE-doctor和spy-sweeper都沒辦法解,
首頁只要一改回來,馬上又被綁.而且會自動上線.
我把畫面放在這裡,拜託各位大大再幫個忙好嗎,
感激不盡
p.s.系統是win2000喔.
IMG][/IMG]

[superxboy]

搜尋史版站內"Spy"關鍵字.........會有你要的

[spycat77]

superxboy大大是說這個嗎?
Spyware Eliminator v4.0
我明天試試,先謝謝您

你可能要去把登錄表的注冊表改回來！

*** 首先先建議你重新設定你的首頁!!! ***

01.按"開始"->"執行"->然後在"開啟"的空格內輸入"regedit"
接著會跑出"登錄編輯器".

備註： 若登錄編輯器被停用或是開始裡沒有"執行"選項…
請分別參考綁架首頁教學文章中的第１、２大點！

02.分別進入
HKEY_CURRENT_USER\Software\
Microsoft\Internet Explorer\Main
和
HKEY_LOCAL_MACHINE\SOFTWARE\
Microsoft\Internet Explorer\Main
然後右邊會有一個數值為 " Start Page " --->這是在修改你的"首頁"
也就是每次開啟IE瀏覽器所出現的第一個網頁,
你只要在這個"Start Page"的數值上...
按滑鼠左鍵兩下,然後輸入你想要的網站之網址!
例如: 奇摩站的網址為: http://tw.yahoo.com/

03.另外再進入HKEY_CURRENT_USER\Software\Policies\Microsoft
如果有 " Internet Explorer " 的資料夾,
那就刪除 " Internet Explorer " 整個資料夾即可!!!
　

*** 設定好後,開啟IE看看是否為你設定的首頁! 如果正確的話!!! ***

那再開始進行全面清除!
先建議你用那個綁架你的網址到登錄編輯器上搜尋!
有找到的登錄值都刪除!!!

01.按"開始"->"執行"->然後在"開啟"的空格內輸入"regedit"
接著會跑出"登錄編輯器".

02.在左邊的視窗選擇"我的電腦",
接著再按鍵盤上的Ctrl+F...
或是"編輯"->"尋找"...

03.在"尋找目標"的空格輸入"綁架你的網址"!
並在"查看"勾選"資料"...再按"找下一個"的按鈕來開始尋找!!
找到之後,就刪除登錄值!!
接著再按鍵盤上的F3來繼續尋找!
直到找不到任何登錄值為止!!!
　


*** 然後再做最後清除開機會再登錄的問題! ***

01.按"開始"->"執行"->然後在"開啟"的空格內輸入"regedit"
接著會跑出"登錄編輯器".

並分別到
HKEY_LOCAL_MACHINE\SOFTWARE\
Microsoft\Windows\CurrentVersion\Run
和
HKEY_CURRENT_USER\SOFTWARE\
Microsoft\Windows\CurrentVersion\Run

看看那裡有沒有那個網站的連結
或是奇怪ㄉ .hta 或 .exe 或 .tmp 或 .dll 或 .vbs 檔的登錄值,
有的話把它的登陸值給刪除掉!!!
(最好記一下登錄值上的檔案路徑)
最後,再找到該登錄值上路徑的檔案......
把它給刪除掉,避免它再次登錄!!!

P.S 若不知道該刪哪個值...
看看右邊資料開頭是"regedit -s ......."
就是那個值再作怪囉!!!



--------------------------

我也有過經驗

後來用這個就ok了

用看看吧


參考資料
http://myweb.hinet.net/home2/nomo/te...web-kidnap.htm

[spycat77]

作者: tomas

*** 首先先建議你重新設定你的首頁!!! ***

01.按"開始"->"執行"->然後在"開啟"的空格內輸入"regedit"
接著會跑出"登錄編輯器".

備註： 若登錄編輯器...

以上這些步驟,我先前已做過一遍,不過我漏掉了第一個03那個步驟,明天我再重試一次,
(因為不是我的電腦,無法馬上試),謝謝.
nomos大大的站,今天也去看過了,可是因為被綁的首頁只秀出"about:blank",加以右鍵也被鎖,無法看出網站名稱,我試著抓了裡面的幾個專用移除程式做反安裝,也無效.

希望tomas大大提供的ms縺結會有用,
明天再將結果向大家報告.

[虛虛]

您可使用hijackthis這套軟體~~
這可是首頁綁架的剋星喔!
去下載新版本,執行後會打開記事本,內有紀錄,對照紀錄不要誤刪就好了~~
相當好用!

[spycat77]

作者: tomas

安裝微軟這一套可以解決，並且在未來給予防護
http://download.microsoft.com/downlo...areInstall.exe
依照預設值一步一步安裝，安裝並SCAN完後，記得把清出來的東西按Remove後重新開機
開完機後，不要再開IE，請直接入控制台@網際網路選項\改回首頁、刪...

報告tomas大大,微軟這一套失敗,掃了二次,首頁還是被綁.

[spycat77]

以上各位大大的方法我都試過了,不過首頁依然被綁...只剩hijack this 我不敢刪.
我用hijack this把日志記錄下來,如果各位大大有興趣,再拜託指點一下該刪哪個.
其中公司名稱我用AAAAA來替代.
謝謝各位.
=======================
HijackThis@Qoo的掃描日志 V1.97.7
Scan saved at 下午 02:24:45, on 2005/6/1
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\hidserv.exe
C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
C:\OfficeScan NT\ntrtscan.exe
C:\OfficeScan NT\OfcPfwSvc.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\snmp.exe
C:\OfficeScan NT\tmlisten.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\System32\mspmspsv.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\WINNT\TEMP\GJ491B.EXE
C:\OfficeScan NT\pccntmon.exe
C:\Program Files\Microsoft AntiSpyware\gcasServ.exe
C:\WINNT\system32\rundll32.exe
C:\WINNT\system32\ctfmon.exe
C:\OfficeScan NT\Pop3Trap.exe
C:\Program Files\Microsoft AntiSpyware\gcasDtServ.exe
C:\Program Files\WinRAR\WinRAR.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\Rar$EX00.359\HijackThis.exe

O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {9569B1C8-35C7-4AF6-BA51-90A78BC3A30E} - C:\WINNT\system32\kcip.dll
O3 - Toolbar: ????? - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
(以下見下一篇)

[spycat77]

(續前一篇)
O4 - HKLM\..\Run: [OfficeScan WinNT 監控程式] "C:\OfficeScan NT\pccntmon.exe" -HideWindow
O4 - HKLM\..\Run: [gcasServ] "C:\Program Files\Microsoft AntiSpyware\gcasServ.exe"
O4 - HKLM\..\Run: [sp] rundll32 C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\se.dll,DllInstall
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKCU\..\Run: [ctfmon.exe] ctfmon.exe
O4 - Startup: .plugin141.trace
O4 - Startup: NTUSER.DAT
O4 - Startup: ntuser.dat.LOG
O4 - Startup: ntuser.ini
O4 - Startup: PCC.log
O4 - Startup: ~
O4 - Global Startup: ntuser.pol
O8 - Extra context menu item: 匯出至 Microsoft Excel(&X) - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O16 - DPF: {00134F72-5284-44F7-95A8-52A619F70751} (ObjWinNTCheck Class) - http://ca.AAAAA.com.tw/officescan/Cl...l/WinNTChk.cab
O16 - DPF: {030518B8-76E5-4FCD-888C-19D376E3AD18} (tmb_web_activex.frminq) - https://ias.AAAAA.com.tw:8082/txhist...eb_activex.CAB
O16 - DPF: {08D75BB0-D2B5-11D1-88FC-0080C859833B} (OfficeScan Corp Edition Web-Deployment SetupIniCtrl Class) - http://ca.AAAAA.com.tw/officescan/cl...l/setupini.cab
O16 - DPF: {08D75BC1-D2B5-11D1-88FC-0080C859833B} (OfficeScan Corp Edition Web-Deployment SetupCtrl Class) - http://ca.AAAAA.com.tw/officescan/cl...tall/setup.cab
O16 - DPF: {1E4C83BC-D65C-4C6F-9B5A-E2B34CE8630D} (PwcInstall.PwcPage1) - http://140.118.43.38/emb2/PwcInstall.CAB
O16 - DPF: {5EFE8CB1-D095-11D1-88FC-0080C859833B} (OfficeScan Corp Edition Web-Deployment ObjRemoveCtrl Class) - http://ca.AAAAA.com.tw/officescan/cl...RemoveCtrl.cab
O16 - DPF: {62789780-B744-11D0-986B-00609731A21D} (Autodesk MapGuide ActiveX Control) - http://www.gismap.com.tw/auto_download/mgaxctrl.cab
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Runtime Environment 1.4.2) - http://172.16.8.11/tcb/j2re-1_4_2_03-windows-i586-p.exe
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.co...486.6994791667
O16 - DPF: {C7BD467B-0B38-442F-840F-3F048E7F6005} (RootKeyDistributor Class) - http://grca.nat.gov.tw/pse/CHTPKI_PSE.cab
O16 - DPF: {CE684CA4-935B-11D3-A163-00004C815B0E} (ftpocx.webftp) - http://www.AAAAA.com.tw/ftpocx.CAB
O16 - DPF: {D19781C5-2051-44F8-8445-DDC82933C191} (VacPro.internazionale_ver11) - http://advnt01.com/dialer/internazionale_ver11.CAB
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload.macromedia.com/pub...sh/swflash.cab
O16 - DPF: {DF780F87-FF2B-4DF8-92D0-73DB16A1543A} (PopCapLoader Object) - http://www.shockwave.com/content/zum...ploader_v5.cab
O16 - DPF: {F210AAE2-E2F3-4EE9-8317-9934A492BBF0} (tmb_web_activex.frminq) - https://ias.AAAAA.com.tw:8080/tmb_web_activex.CAB
O16 - DPF: {F6EF5E31-2AE5-4511-B99A-2CF2D266F106} (tmb_web_activex.frminq) - https://ias.AAAAA.com.tw:8080/tmb_web_activex.CAB
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = AAAAA.com.tw
O17 - HKLM\System\CCS\Services\Tcpip\..\{8CA52B0B-CD43-4647-9C8D-9BEF353DDA7E}: NameServer = 172.16.70.2,172.16.70.1,172.16.70.12
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = AAAAA.com.tw
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = AAAAA.com.tw

http://hijackthis.de/logfiles/df1379...8b9ce6f0b.html

自己去這個網頁看看，
只有一個一定要刪，其他的自己決定囉∼
出問題我可不負責XD

不能FIX的話到安全模式底下刪

還有，用除間諜軟體的時候最好是到安全模式底下，
並且把IE暫存檔、cookies清除和關閉系統還原。

試看看吧∼

[spycat77]

作者: rocklorl

http://hijackthis.de/logfiles/df13799f1f84b4a431307d28b9ce6f0b.html

自己去這個網頁看看，
只有一個一定要刪，其他的自己決定囉∼
出問題我可不負責XD

不能FIX的話到安全模式底下刪

還有，用除間諜軟體的時候最好是到安全模式底下，
並且把IE暫存檔、cookies清除和關閉系統還原。

試看看吧∼

感謝您,我回家慢慢研究..

[php3]

在暫存目錄的應該有問題.大部份是安裝程式被附加的
Run: [sp] rundll32 C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\se.dll,DllInstall

[spycat77]

作者: php3

在暫存目錄的應該有問題.大部份是安裝程式被附?rundll32 C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\se.dll,DllInstall

回php3大大,我也覺得是這個有問題,可是將它刪除,下次開機仍再出現.
我再試到資料夾中將它刪除,但顯示使用中,無法刪除.我叫出處理程序,將rundll32.exe停止後,才能去將se.dll刪除.可是重開機後它依然又出現.
請問各位,rundll32.exe的作用是什麼?我在另一台電腦複製後到出問題的電腦中將它覆蓋,不過並無法解決問題.
其實將電腦重灌還比較快,可是想到首頁被綁卻束手無策就......

[spycat77]

感謝大家,問題已解決.
上nomos大大的網站看了一下,原來在新增移除程式中就有一個SearchAssistant的移除程式,移除後首頁綁架就解除了,再到regedit修改部份錯誤值後,問題已完全解除.
謝謝大家幫忙.史版真是個好地方....