史萊姆論壇 - 查看單個文章

psac · 2006-05-14, 01:11 AM

HijackThis日誌細解【簡明教學增強版】

HijackThis日誌細解【簡明教學增強版】 <作者：風之詠者>

QUOTE:
一、說在前面的提示（請原諒我囉嗦）

提示一：本文目的
本文的目的是說明您進一步解讀HijackThis掃瞄日誌。

提示二：處理「瀏覽器綁架」
一般的「瀏覽器綁架」症狀可能有以下一些：
*被重轉發IP到惡意網頁
*當輸入錯誤的網址時被重轉發IP
*輸入字元時IE速度嚴重減慢
*重新啟動動後IE主頁/搜尋頁被更改
*不請自來的受信任站點
*我的最愛裡自動反覆增加惡意網站
*在使用Google和Yahoo搜尋時出現某些彈出視窗
*IE 選擇項中出現不能更改或被隱藏的項目
*不能開啟 IE 選擇項
等等
如果您遇到了「瀏覽器綁架」，請首先使用最新版殺毒軟體在安全模式查殺病毒、木馬，其次，提醒您一下，某些廣告程序（尤其是一些沒有被殺毒軟體列入查殺名單的）會在控制台的「增加移除」中留下卸載項目，在進行下一步之前您不妨找找看。再次，建議您不妨先嘗試一些現成的對付「瀏覽器綁架」、間諜軟體、廣告程序的免費工具。比如——
1. Spybot-Search&Destroy

2. Ad-aware

3. CoolWebSearch Shredder （CWShredder.exe）
相關教學：
CoolWebSearch專殺——CoolWeb Shredder（CoolWeb粉碎機）簡介[原創]
http://community.rising.com.cn/F ... =3926810&page=1

如果您遇到的那些惡意網頁是英文的，這些軟體常常能幫上您的忙。如果這些軟體不起作用，您再嘗試使用HijackThis掃瞄並修復。您也可以把HijackThis產生的log日誌文件的內容發到論壇（請貼內容而不要直接抓圖貼圖），方便大家分析。如果您對HijackThis掃瞄日誌中某些項目不清楚，請不要貿然自行修復，不妨使用搜尋引擎在網際網路上搜尋一下。如果您決定將HijackThis掃瞄日誌發到論壇上尋求說明，請在發怖HijackThis掃瞄日誌的同時說明您遇到的具體問題。另外，分析HijackThis掃瞄日誌需要一定的時間，所以請稍稍等待一下。

提示三：使用HijackThis前的步驟
請一定將下載得到的HijackThis放到一個單獨的資料夾中，如果下載得到的是壓縮包，還要把它解壓出來。希望您不要在臨時目錄中執行HijackThis，也不要直接在壓縮包中執行HijackThis。因為使用HijackThis作修復時，它會自動給修改的項目做制作備份，保留這些備份檔案是個好習慣，一旦修復錯了，可以利用這些備份檔案恢復原先的狀態。臨時文件目錄可能隨時被清空，而在壓縮包中直接執行HijackThis的話，是無法產生備份檔案的。
還有，使用HijackThis進行修復前請關閉所有瀏覽器視窗和資料夾視窗。

提示四：使用HijackThis修復時的步驟
1. 有惡意行程正在執行的，請先終止其行程
（關閉所有視窗，同時按下CTRL+ALT+DELETE，在開啟的視窗中選要終止的行程，然後按下「結束工作」或者「結束行程」，最後關閉該視窗。）
2. 使用HijackThis修復
3. 重新啟動動到安全模式，顯示隱藏文件和系統檔案，移除那些被修復項目相關的文件。（為保險起見，可以先壓縮儲存。）
4. 重新啟動到正常模式，再次執行HijackThis檢查一下。

QUOTE:
二、HijackThis日誌細解正文

（一）HijackThis日誌縱覽
R0，R1，R2，R3 Internet Explorer（IE）的預設值起始主頁和預設值搜尋頁的改變
F0，F1，F2，F3 ini文件中的自動載入程序
N1，N2，N3，N4 Netscape/Mozilla 的預設值起始主頁和預設值搜尋頁的改變
O1 Hosts文件重轉發IP
O2 Browser Helper Objects（BHO，瀏覽器輔助模組）
O3 IE瀏覽器的工具條
O4 自啟動項
O5 控制台中被遮閉的IE選項
O6 IE選項被管理員禁用
O7 註冊表編輯器（regedit）被管理員禁用
O8 IE的右鍵表單中的新增項目
O9 額外的IE「工具」表單項目及工作列按鈕
O10 Winsock LSP「瀏覽器綁架」
O11 IE的進階選項中的新項目
O12 IE插件
O13 對IE預設值的URL前綴的修改
O14 對「重置WEB設定」的修改
O15 「受信任的站點」中的不速之客
O16 Downloaded Program Files目錄下的那些ActiveX對像
O17 域「劫持」
O18 額外的傳輸協定和傳輸協定「劫持」
O19 用戶樣式表（stylesheet）「劫持」

（二）組別——R

1. 項目說明
R – 註冊表中Internet Explorer（IE）的預設值起始主頁和預設值搜尋頁的改變
R0 - 註冊表中IE主頁/搜尋頁預設值鍵值的改變
R1 - 新增的註冊表值（V），或稱為鍵值，可能導致IE主頁/搜尋頁的改變
R2 - 新增的註冊表項（K），或稱為鍵，可能導致IE主頁/搜尋頁的改變
R3 - 在本來應該只有一個鍵值的地方新增的額外鍵值，可能導致IE搜尋頁的改變

R3主要出現在URLSearchHooks這一項目上，當我們在IE中輸入錯誤的網址後，瀏覽器會試圖在註冊表中這一項列出的位置找到進一步查詢的線索。正常情況下，當我們在IE中輸入錯誤的網址後，瀏覽器會使用預設值的搜尋引擎（如http://search.msn.com/、網路實�...��它網頁。

2. 舉例
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page=http://www.google.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL=http://www.google.com/
（HKCU就是HKEY_CURRENT_USER，HKLM就是HKEY_LOCAL_MACHINE，下同）
上面的例子中，預設值主頁被改變，指向了新的位址http://www.google.com/。
R3 - URLSearchHook: BDSrchHook Class - {2C5AA40E-8814-4EB6-876E-7EFB8B3F9662} - C:\WINDOWS\DOWNLOADED PROGRAM FILES\BDSRHOOK.DLL
這是百度搜尋
R3 - URLSearchHook: CnsHook Class - {D157330A-9EF3-49F8-9A67-4141AC41ADD4} - C:\WINDOWS\DOWNLO~1\CNSHOOK.DLL
這是3721網路實名
R3 - Default URLSearchHook is missing
這是報告發現一個錯誤（預設值的URLSearchHook丟失掉）。此錯誤可以用HijackThis修復。

3. 一般建議
對於R0、R1，如果您認得後面的網址，知道它是安全的，甚至那就是您自己這樣設定的，當然不用去修復。否則的話，在那一行前面打勾，然後按「Fix checked」，讓HijackThis修復它。
對於R2項，據HijackThis的作者說，實際上現在還沒有用到。
對於R3，一般總是要選修復，除非它指向一個您認識的程序（比如百度搜尋和3721網路實名）。

4. 疑難解析
(1) 偶爾，在這一組的某些項目後面會出現一個特殊的詞——(obfuscated)，例如下面幾個
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\System32\kihm.dll/sp.html (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\System32\kihm.dll/sp.html (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://ls0.net/home.html (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\System32\kihm.dll/sp.html (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://ls0.net/srchasst.html (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\System32\kihm.dll/sp.html (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\System32\kihm.dll/sp.html (obfuscated)
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\System32\kihm.dll/sp.html (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,SearchAssistant = http://%34%2Dv%2Enet/srchasst.html (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,SearchAssistant = http://%34%2Dv%2Enet/srchasst.html (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\Search,(Default) = http://ls0.net/srchasst.html (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://homepage.com%00@www.e-finder.cc/search/ (obfuscated)
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://homepage.com%00@www.e-finder.cc/search/ (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://homepage.com%00@www.e-finder.cc/search/ (obfuscated)

obfuscated，中文大意為「使混亂，使糊塗迷惑，使過於混亂或模糊，使得難於感覺或理解」。這裡主要是最後一個意義。這些被HijackThis標為obfuscated的項目在對IE主頁/搜尋頁進行修改的同時，還利用各種方法把自己變得不易理解，以躲避人們對註冊表內容的搜尋辨識（比如直接在註冊表特定位置增加十六進制字元鍵值，電腦認得它，一般人可就不認得了）。

(2) 有些R3項目{ }號後面，會跟上一個底線（ _ ），比如下面幾個：

R3 - URLSearchHook: (no name) - {8952A998-1E7E-4716-B23D-3DBE03910972}_ - (no file)
R3 - URLSearchHook: (no name) - {5D60FF48-95BE-4956-B4C6-6BB168A70310}_ - (no file)
R3 - URLSearchHook: (no name) - {CFBFAE00-17A6-11D0-99CB-00C04FD64497}_ - (no file)

這些{ }後面多一個底線的R3項目，實際上無法使用HijackThis修復（這是HijackThis本身的一個bug）。如果要修復這樣的項目，需要開啟註冊表編輯器（開始——執行——輸入 regedit——按「確定」），找到下面的鍵

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\URLSearchHooks

對比HijackThis的掃瞄日誌中那些R3項的CLSID——就是{ }號中的數位——移除想要移除的項目，但要注意不要誤刪以下一項
CFBFAE00-17A6-11D0-99CB-00C04FD64497
這一項是預設值的。

請注意，如果是在{ }號前面有一個底線，這些項目HijackThis可以正常清除。比如下面的：
R3 - URLSearchHook: (no name) - _{00D6A7E7-4A97-456f-848A-3B75BF7554D7} - (no file)
R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)
R3 - URLSearchHook: (no name) - _{707E6F76-9FFB-4920-A976-EA101271BC25} - (no file)
R3 - URLSearchHook: (no name) - _{8952A998-1E7E-4716-B23D-3DBE03910972} - (no file)
R3 - URLSearchHook: (no name) - _{5D60FF48-95BE-4956-B4C6-6BB168A70310} - (no file)
R3 - URLSearchHook: (no name) - _{4FC95EDD-4796-4966-9049-29649C80111D} - (no file)

（3）最近見到不少後面沒有內容的R3項。比如
R3 - URLSearchHook:
懷疑這是3721的項目，如果您安裝了3721，則會出現這樣一個R3項。使用HijackThis無法修復這一項。是否使用3721決定權在用戶自己。

QUOTE:
（三）組別——F

** 特別提醒：如果您在HijackThis的掃瞄日誌中發現了F2項並進行了修復，一旦因為某些原因想要反悔，請「不要」使用HijackThis的恢復功能來取消對F2項目的修改（我指的是config表單——Backups表單——Restore功能），因為據報告HijackThis在恢復對F2項的修改時，可能會錯誤地修改註冊表中另一個鍵值。此bug已被反映給HijackThis的作者。
此bug涉及的註冊表鍵值是
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon:UserInit
一旦對上面鍵值相關的F2項使用HijackThis修復後再使用HijackThis的恢復功能恢復對這一項的修改，可能會錯誤修改另一個鍵值
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon:Shell

所以，如果您在HijackThis的掃瞄日誌中發現了類似下面的F2項並進行了修復，一旦因為某些原因想要反悔，請手動修改上面提到的UserInit鍵值（HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon:UserInit）
F2 - REG:-System.ini: UserInit=C:\WINDOWS\System32\Userinit.exe
F2 - REG:-System.ini: UserInit=C:\Windows\System32\wsaupdater.exe,
不過，說實話，在我的記憶中我從沒有處理過含有F2項的HijackThis掃瞄日誌。

1. 項目說明
F - ini文件中的自動執行程序或者註冊表中的等價項目
F0 - ini文件中改變的值，system.ini中啟動的自動執行程序
F1 - ini文件中新增的值，win.ini中啟動的自動執行程序
F2 - 註冊表中system.ini文件映射區中啟動的自動執行程序或註冊表中UserInit項後面啟動的其它程序
F3 - 註冊表中win.ini文件映射區中啟動的自動執行程序

F0和F1分別對應system.ini和win.ini文件中啟動的自動執行程序。
F0對應在System.ini文件中「Shell=」這一項（沒有引號）後面啟動的額外程序。在Windows 9X中，System.ini裡面這一項應該是
Shell=explorer.exe
這一項指明使用explorer.exe作為整個作業系統的「殼」，來處理用戶的操作。這是預設值的。如果在explorer.exe後面加上其它程式名稱，該程序在啟動Windows時也會被執行，這是木馬啟動的方式之一（比較傳統的啟動方式之一）。比如
Shell=explorer.exe trojan.exe
這樣就可以使得trojan.exe在啟動Windows時也被自動執行。
F1對應在win.ini文件中「Run=」或「Load=」項（均沒有引號）後面啟動的程序。這些程序也會在啟動Windows時自動執行。通常，「Run=」用來啟動一些老的程序以保持相容性，而「Load=」用來載入某些硬體驅動。
F2和F3項分別對應F0和F1項在註冊表中的「映像」。在Windows NT、2000、XP中，通常不使用上面提到的system.ini和win.ini文件，它們使用一種稱作IniFileMapping（ini文件映射）的方式，把這些ini文件的內容完全放在註冊表裡。程序要求這些ini文件中的相關資訊時，Windows會先到註冊表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping這裡搜尋需要的內容，而不是去找那些ini文件。F2/F3其實和F0/F1相類似，只不過它們指向註冊表裡的ini映像。另外有一點不同的是，F2項中還報告下面鍵值處額外啟動的程序
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit
此處預設值的鍵值是(注意後面有個逗號)
C:\WINDOWS\system32\userinit.exe,
（根據您的Windows版本和安裝目錄的不同，路徑裡的「C」和「windows」可能不盡相同，總之這裡預設值指向%System%\userinit.exe
%System%指的是系統檔案目錄
對於NT、2000，該鍵值預設值為X:\WINNT\system32\userinit.exe
對於XP，該鍵值預設值為X:\WINDOWS\system32\userinit.exe
這裡的X指的是Windows安裝到的盤的磁碟代號。此問題後面不再重複解釋了。）
這個鍵值是Windows NT、2000、XP等用來在用戶登入後載入該用戶相關資訊的。如果在這裡增加其它程序（在該鍵值中userinit.exe後的逗號後面可以增加其它程序），這些程序在用戶登入後也會被執行。比如將其鍵值改為
C:\windows\system32\userinit.exe,c:\windows\trojan.exe
則c:\windows\trojan.exe這個程序也會在用戶登入後自動執行。這也是木馬等啟動的方式之一。

總之，F項相關的文件包括
c:\windows\system.ini
c:\windows\win.ini
（根據您的Windows版本和安裝目錄的不同，路徑裡的「C」和「windows」可能不盡相同，總之這裡指的是%windows%目錄下的這兩個ini文件
%Windows%目錄指的是Windows安裝目錄
對於NT、2000，Windows安裝目錄為X:\WINNT\
對於XP，Windows安裝目錄為X:\WINDOWS\
這裡的X指的是Windows安裝到的盤的磁碟代號。此問題後面不再重複解釋了。）
F項相關的註冊表項目包括
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping

2. 舉例
F0 - system.ini: Shell=Explorer.exe trojan.exe
上面的例子中，在system.ini文件中，預設值的Shell=Explorer.exe後面又啟動了一個trojan.exe，這個trojan.exe十分可疑。
F1 - win.ini: run=hpfsched
上面的例子中，在win.ini文件中，啟動了hpfsched這個程序，需要分析。
F2 - REG:-System.ini: UserInit=userinit,trojan.exe
上面的例子中，UserInit項（說明見上）中額外啟動了trojan.exe
F2 - REG:-System.ini: Shell=explorer.exe trojan.exe
上面的例子其實相當於第一個例子F0 - system.ini: Shell=Explorer.exe trojan.exe，在註冊表中的system.ini文件「映像」中，額外啟動了trojan.exe。

3. 一般建議
基本上，F0提示的Explorer.exe後面的程序總是有問題的，一般應該修復。
F1後面的需要慎重對待，一些老的程序的確要在這裡載入。所以應該仔細看看載入的程序的名字，在電腦上查一下，網上搜一搜，具體問題具體分析。
對於F2項，如果是關於「Shell=」的，相當於F0的情況，一般應該修復。如果是關於「UserInit=」的，除了下面的「疑難解析」中提到的幾種情況另作分析外，一般也建議修復。但要注意，一旦修復了關於「UserInit=」的F2項，請不要使用HijackThis的恢復功能恢復對這一項的修改，這一點上面著重提到了。當然，您也可以利用「UserInit=」自己設定一些軟體開機自啟動，這是題外話了，相信如果是您自己設定的，您一定不會誤刪的。

4. 疑難解析
(1) F2 - REG:-System.ini: UserInit=C:\WINDOWS\System32\Userinit.exe
注意到這一項與預設值情況的區別了嗎？其實，這一項之所以被HijackThis報告出來，是因為丟失掉了鍵值最後的一個逗號。但這並不是真正的問題，可以不予理會。

(2) F2 - REG:-System.ini: UserInit=userinit,nddeagnt.exe
nddeagnt.exe是Network Dynamic Data Exchange Agent，這一項出現在userinit後面也是正常的。

(3) F2 - REG:-System.ini: UserInit=C:\Windows\System32\wsaupdater.exe,
這一個比較特別，這是廣告程序BlazeFind幹的好事，這個廣告程序修改註冊表時不是把自己的wsaupdater.exe放在userinit的後面，而是直接用wsaupdater.exe取代了userinit.exe，使得註冊表這一項
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit
的鍵值從預設值的
C:\WINDOWS\system32\userinit.exe,
變為
C:\Windows\System32\wsaupdater.exe,
如果您使用Ad-aware 6 Build 181清除該廣告程序，重新啟動動後可能會造成用戶無法登入系統。這時需要使用光碟或者軟碟啟動，將userinit.exe複製一份，命名為wsaupdater.exe放在同一目錄下，以使得系統能夠正常登入，然後將上面所述的註冊表中被廣告程序修改的鍵值恢復預設值，再移除wsaupdater.exe文件。
該問題存在於Ad-aware 6 Build 181，據我所知，HijackThis可以正常修復這一項。
具體訊息清參考
http://www.lavahelp.com/articles/v6/04/06/0901.html

QUOTE:
（四）組別——N

1. 項目說明
N - Netscape、Mozilla瀏覽器的預設值起始主頁和預設值搜尋頁的改變
N1 - Netscape 4.x中，瀏覽器的預設值起始主頁和預設值搜尋頁的改變
N2 - Netscape 6中，瀏覽器的預設值起始主頁和預設值搜尋頁的改變
N3 - Netscape 7中，瀏覽器的預設值起始主頁和預設值搜尋頁的改變
N4 - Mozilla中，瀏覽器的預設值起始主頁和預設值搜尋頁的改變

與這些改變相關的文件為prefs.js。

2. 舉例
N1 - Netscape 4: user_pref("browser.startup.homepage", "www.google.com"); (C:\Program Files\Netscape\Users\default\prefs.js)
N2 - Netscape 6: user_pref("browser.startup.homepage", "http://www.google.com"); (C:\Documents and Settings\User\Application Data\Mozilla\Profiles\defaulto9t1tfl.slt\prefs.js)
N2 - Netscape 6: user_pref("browser.search.defaultengine", "engine://C%3A%5CProgram%20Files%5CNetscape%206%5Csearchplugins%5CSBWeb_02.src"); (C:\Documents and Settings\User\Application Data\Mozilla\Profiles\defaulto9t1tfl.slt\prefs.js)

3. 一般建議
一般來說，Netscape和Mozilla的預設值起始主頁和預設值搜尋頁是比較安全的，很少被修改。如果你在預設值起始主頁或預設值搜尋頁看到了一個陌生的位址，可以修復它。
已知，Lop.com（Live Online Portal）這個網站會修改上述N類項。有興趣者請參考此連接提供的詳細資料
http://www.doxdesk.com/parasite/lop.html

4. 疑難解析
（暫無）

QUOTE:
（五）組別——O1（字母O，代表Other即「其它」類，以下各組同屬O類）

1. 項目說明
O1代表在hosts文件中對某個網址與IP位址的映射。在瀏覽器中輸入網址時，瀏覽器會先檢查hosts文件中是否存在該網址的映射，如果有，則直接連線到相應IP位址，不再請求DNS域名解析。這個方法可以用來加快瀏覽速度，也可能被木馬等惡意程序用來開啟某些網址、遮閉某些網址。
這個hosts文件在系統中的通常位置為
C:\WINDOWS\HOSTS （Windows 3.1、95、98、Me）
或
C:\WINNT\SYSTEM32\DRIVERS\ETC\HOSTS （Windows NT、2000）
或
C:\WINDOWS\SYSTEM32\DRIVERS\ETC\HOSTS （XP、2003）
注意，沒有副檔名。

該檔案的一般格式類似

219.238.233.202 www.rising.com.cn

注意，IP位址在前，空格後為網址，下一個映射另起一行。（若有#，則#後的部分作為註釋，不起作用。）
上面的例子中，瑞星的主頁http://www.rising.com.cn和IP位址2...��搜尋頁。

2. 舉例
O1 - Hosts: 216.177.73.139 auto.search.msn.com
O1 - Hosts: 216.177.73.139 search.netscape.com
O1 - Hosts: 216.177.73.139 ieautosearch
在上面的例子中，預設值搜尋頁（auto.search.msn.com、search.netscape.com、ieautosearch是不同情況下的預設值搜尋頁）被指向了216.177.73.139這個IP位址。造成每次使用瀏覽器的搜尋功能，都被帶到216.177.73.139這個地方。

下面是XP的原始Hosts文件的內容

# Copyright (C) 1993-1999 Microsoft Corp.
#
# This is a sample HOSTS file used by Microsoft TCP/IP for Windows.
#
# This file contains the mappings of IP addresses to host names. Each
# entry should be kept on an individual line. The IP address should
# be placed in the first column followed by the corresponding host name.
# The IP address and the host name should be separated by at least one
# space.
#
# Additionally, comments (such as these) may be inserted on individual
# lines or following the machine name denoted by a `#` symbol.
#
# For example:
#
# 102.54.94.97 rhino.acme.com # source server
# 38.25.63.10 x.acme.com # x client host

127.0.0.1 localhost

所有以#開始的行都是註釋內容，不起作用。最後一行指明本機主機（localhost）的IP位址為127.0.0.1（這是預設值的）。

3. 一般建議
HijackThis報告O1項時，一般建議修復它，除非是您自己在Hosts文件中如此設定的。

4. 疑難解析
O1 - Hosts file is located at C:\Windows\Help\hosts
如果發現hosts文件出現在C:\Windows\Help\這樣的資料夾中，那麼很可能感染了CoolWebSearch（跟上面提到的Lop.com一樣著名的惡意網站家族），應該使用HijackThis修複相關項。當然，別忘了還有CoolWebSearch的專殺——CoolWebSearch Shredder （CWShredder.exe）。

QUOTE:
（六）組別——O2
1. 項目說明
O2項列舉現有的IE瀏覽器的BHO模組。BHO，即Browser Helper Objects，指的是瀏覽器的輔助模組（或稱輔助對像），這是一些擴充瀏覽器功能的小插件。這裡面魚龍混雜，諾頓殺毒、goolge等都可能出現在這裡，而這裡也是一些間諜軟體常出沒的地方。

2. 舉例：
O2 - BHO: (no name) - {C56CB6B0-0D96-11D6-8C65-B2868B609932} - C:\Program Files\Xi\Net Transport\NTIEHelper.dll
這是影音傳送帶（Net Transport）的模組。
O2 - BHO: (no name) - {A5366673-E8CA-11D3-9CD9-0090271D075B} - C:\PROGRAM FILES\FLASHGET\JCCATCH.DLL
這是網際快車（FlashGet）的模組。
O2 - BHO: (no name) - {BC207F7D-3E63-4ACA-99B5-FB5F8428200C} - C:\WINDOWS\DOWNLO~1\BDSRHOOK.DLL
這是百度搜尋的模組。
O2 - BHO: (no name) - {1B0E7716-898E-48cc-9690-4E338E8DE1D3} - C:\PROGRAM FILES\3721\ASSIST\ASSIST.DLL
這是3721上網助手的模組。
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
這是Adobe Acrobat Reader（用來處理PDF文件）的模組。
O2 - BHO: (no name) - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program\google\googletoolbar1.dll
這是Google工具條的模組。

3. 一般建議
可能的O2項實在太多了，此處無法一一列舉。網上有一些很好的BHO列表，大家可以在裡面查詢相關的項目訊息。
相關資料查詢位址舉例：
http://www.sysinfo.org/bholist.php
http://www.spywareinfo.com/bhos/
http://computercops.biz/CLSID.html
建議使用CLSID（就是「{ }」之間的數位）來搜尋相關項。通常，在以上網址的查詢結果中，標記為L的是合法的模組，標記為X的是間諜/廣告模組，標記為O的為暫時無結論的。
修復前請仔細分析，看看是否認得這個東西的名字，看看它所在的路徑，不能一概而論。最好進一步查詢相關資料，千萬不要隨意修復。對於標記為X的惡意模組，一般建議修復。

4. 疑難解析
HijackThis修復O2項時，會移除相關文件。但對於某些O2項，雖然選項了讓HijackThis修復，下次掃瞄時卻還在。出現此情況時，請先確保使用HijackThis修復時已經關閉了所有瀏覽器視窗和資料夾視窗。如果還不行，建議重新啟動到安全模式直接移除該檔案。有時，會遇到一個如下的項目（後面沒內容）
O2 - BHO:
總是刪不掉，懷疑這是3721的項目，如果您安裝了3721，則會出現這樣一個O2項。使用HijackThis無法修復這一項。是否使用3721決定權在用戶自己。
（七）組別——O3

1. 項目說明
O3項列舉現有的IE瀏覽器的工具條（ToolBar，簡寫為TB）。注意，這裡列出的是工具條，一般是包含多個項目的那種。除了IE原有的的一些工具條外，其它軟體也會安裝一些工具條，這些工具條通常出現在IE自己的工具條和位址欄的下面。HijackThis在O3項中把它們列出來。其相關註冊表項目為
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar

2. 舉例
O3 - Toolbar: ????? - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
這是Windows Media Player 2 ActiveX Control，媒體播放器的ActiveX控制項。
O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRAM FILES\FLASHGET\FGIEBAR.DLL
這是網際快車（FlashGet）的IE工具條。
O3 - Toolbar: ????? - {A9BE2902-C447-420A-BB7F-A5DE921E6138} - C:\Program Files\KAV5\KAIEPlus.DLL
O3 - Toolbar: ????? - {A9BE2902-C447-420A-BB7F-A5DE921E6138} - C:\KAV2003\KAIEPLUS.DLL
O3 - Toolbar: ????? - {1DF2E6C2-21E1-4CB7-B0C0-A0121B539C2D} - C:\KAV2003\KIETOOL.DLL
上面三個是金山毒霸的IE工具條。
O3 - Toolbar: ????? - {6C3797D2-3FEF-4cd4-B654-D3AE55B4128C} - C:\PROGRA~1\KINGSOFT\FASTAIT\IEBAND.DLL
這個是金山快譯的IE工具條。
O3 - Toolbar: ????? - {1B0E7716-898E-48cc-9690-4E338E8DE1D3} - C:\PROGRAM FILES\3721\ASSIST\ASSIST.DLL
3721上網助手的IE工具條。
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\WINDOWS\Downloaded Program Files\googlenav.dll
這個是google的IE工具條。
O3 - Toolbar: Norton Antivirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton Antivirus\NavShExt.dll
這個是諾頓殺毒軟體的工具條。

3. 一般建議
同O2，這個也必須仔細分析，看看是否認得這個東西的名字，看看它在IE的工作列是什麼（有一些可能安裝了但沒有顯示，在IE的工作列點右鍵可以看到一些），看看它所在的路徑，不能一概而論。可以進一步查詢相關資料，千萬不要隨意修復。這裡推薦一些好的查詢位址
http://www.sysinfo.org/bholist.php
http://www.spywareinfo.com/toolbars/
http://computercops.biz/CLSID.html
建議使用CLSID（就是「{ }」之間的數位）來搜尋相關項。通常，在以上網址的查詢結果中，標記為L的是合法的模組，標記為X的是間諜/廣告模組，標記為O的為暫時無結論的。對於標記為X的，一般建議修復。

4. 疑難解析
如果在資料查詢列表中找不到，其名稱又似乎是隨機的，而路徑則在「Application Data」下，一般是感染了著名的Lop.com，建議修復。如
O3 - Toolbar: rzillcgthjx - {5996aaf3-5c08-44a9-ac12-1843fd03df0a} - C:\WINDOWS\APPLICATION DATA\CKSTPRLLNQUL.DLL
關於Lop.com的詳細資料及手動式修復方法，請參閱
http://www.doxdesk.com/parasite/lop.html

QUOTE:
（八）組別——O4

1. 項目說明
這裡列出的就是平常大家提到的一般意義上的自啟動程序。確切地說，這裡列出的是註冊表下面諸鍵啟動的程序。

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
HKCU\Software\Microsoft\Windows\CurrentVersion\Run
HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce
HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce
HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
HKCU\Software\Microsoft\Windows\CurrentVersion\RunServices
HKLM\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce
HKCU\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce
HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnceEx
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run

注意HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit這一項雖然也可以啟動程序，但已經在F2項報告過了。
另外，O4項還報告兩種情況，即「Startup:」和「Global Startup:」，在我的印象裡
Startup: 相當於資料夾c:\documents and settings\USERNAME\ 下的內容（USERNAME指您的用戶名）
Global Startup: 相當於資料夾c:\documents and settings\All Users\ 下的內容
注意，其它存放在這兩個資料夾的文件也會被報告。
我覺得，其實，「啟動」資料夾應該被報告，就是
Startup: 報告c:\documents and settings\USERNAME\start menu\programs\startup 下的內容
Global Startup: 報告c:\documents and settings\All Users\start menu\programs\startup 下的內容
但這兩項在中文版分別為
Startup: C:\Documents and Settings\USERNAME\「開始」表單\程序\啟動
Global Startup: C:\Documents and Settings\All Users\「開始」表單\程序\啟動
恐怕HijackThis不能識別中文版的這兩個目錄，以至不報告其內容。不是是否如此？望達人告知。

2. 舉例
註：中括號前面是註冊表主鍵位置
中括號中是鍵值
中括號後是資料
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
註冊表自我檢驗
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
windows工作最佳化器（Windows Task Optimizer）
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
Windows電源管理程序
O4 - HKLM\..\Run: [RavTimer] C:\PROGRAM FILES\RISING\RAV\RavTimer.exe
O4 - HKLM\..\Run: [RavMon] C:\PROGRAM FILES\RISING\RAV\RavMon.exe
O4 - HKLM\..\Run: [ccenter] C:\Program Files\rising\Rav\CCenter.exe
上面三個均是瑞星的自啟動程序。
O4 - HKLM\..\Run: [helper.dll] C:\WINDOWS\rundll32.exe C:\PROGRA~1\3721\helper.dll,Rundll32
O4 - HKLM\..\Run: [BIE] Rundll32.exe C:\WINDOWS\DOWNLO~1\BDSRHOOK.DLL,Rundll32
上面兩個是3721和百度的自啟動程序。（不是經常有朋友問行程裡的Rundll32.exe是怎麼來的嗎？）
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
Windows計劃工作
O4 - HKLM\..\RunServices: [RavMon] C:\PROGRAM FILES\RISING\RAV\RavMon.exe /AUTO
O4 - HKLM\..\RunServices: [ccenter] C:\Program Files\rising\Rav\CCenter.exe
上面兩個也是瑞星的自啟動程序。
O4 - Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
這是微軟Office在「開始——程序——啟動」中的啟動項。

3. 一般建議
查表吧！可能的項目太多了，請進一步查詢相關資料，千萬不要隨意修復。推薦一些好的查詢位址
http://www.oixiaomi.net/systemprocess.html
這是中文的，一些一般的項目均可查到。
http://www.sysinfo.org/startuplist.php
http://www.windowsstartup.com/wso/browse.php
http://www.windowsstartup.com/wso/search.php
http://www.answersthatwork.com/Taskl...s/tasklist.htm
http://www.liutilities.com/products/...rocesslibrary/
英文的，很全面。其中一些標記的含義——
Y - 一般應該允許執行。
N - 非必須程序，可以留待需要時手動啟動。
U - 由用戶根據具體情況決定是否需要。
X - 明確不需要的，一般是病毒、間諜軟體、廣告等。
? - 暫時未知
還有，有時候直接使用行程的名字在www.google.com上搜尋，會有意想不到的收穫（特別對於新出現的病毒、木馬等）。

4. 疑難解析
請注意，有些病毒、木馬會使用近似於系統行程、正常應用程式(甚至殺毒軟體）的名字，或者乾脆直接使用那些行程的名字，所以一定要注意仔細分辨。O4項中啟動的程序可能在您試圖使用HijackThis對它進行修復時仍然執行著，這就需要先終止相關行程然後再使用HijackThis對它的啟動項進行修復。（終止行程的一般方法：關閉所有視窗，同時按下CTRL+ALT+DELETE，在開啟的視窗中選要終止的行程，然後按下「結束工作」或者「結束行程」，最後關閉該視窗。）
（九）組別——O5

1. 項目說明
O5項與控制台中被遮閉的一些IE選項相關，一些惡意程序會隱藏控制台中關於IE的一些選項，這可以通過在control.ini文件中增加相關指令實現。

2. 舉例
O5 - control.ini: inetcpl.cpl=no
這裡隱藏了控制台中的internet選項

3. 一般建議
除非您知道隱藏了某些選項（比如公司網管特意設定的），或者是您自己如此設定的，否則應該用HijackThis修復。

4. 疑難解析
（暫無）

QUOTE:
（十）組別——O6

1. 項目說明
O6提示Internet選項（開啟IE——工具——Internet選項）被禁用。管理員可以對Internet選項的使用進行限制，一些惡意程序也會這樣阻撓修復。這裡用到的註冊表項目是
HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions

2. 舉例
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
這裡禁用了internet選項

3. 一般建議
除非您知道禁用了internet選項（比如網咖使用了一些管理軟體），或者是您自己有意設定的（通過改註冊表或者使用一些安全軟體），否則應該用HijackThis修復。

4. 疑難解析
（暫無）

QUOTE:
（十一）組別——O7

1. 項目說明
O7提示註冊表編輯器（regedit）被禁用。管理員可以對註冊表編輯器的使用進行限制，一些惡意程序也會這樣阻撓修復。這可以通過對註冊表如下鍵的預設值的修改實現
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System

2. 舉例
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
這裡禁用了註冊表編輯器。

3. 一般建議
除非您知道禁用了註冊表編輯器（比如公司使用了一些管理軟體），或者是您自己有意設定的（通過改註冊表或者使用一些安全軟體），否則應該用HijackThis修復。

4. 疑難解析
（暫無）

QUOTE:
（十二）組別——O8

1. 項目說明
O8項指IE的右鍵表單中的新增項目。除了IE本身的右鍵表單之外，一些程序也能向其中增加項目。相關註冊表項目為
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt

2. 舉例
O8 - Extra context menu item: 使用網際快車下載 - C:\PROGRAM FILES\FLASHGET\jc_link.htm
O8 - Extra context menu item: 使用網際快車下載全部連接 - C:\PROGRAM FILES\FLASHGET\jc_all.htm
這是網際快車（FlashGet）增加的。
O8 - Extra context menu item: &Download by NetAnts - C:\PROGRA~1\NETANTS\NAGet.htm
O8 - Extra context menu item: Download &All by NetAnts - C:\PROGRA~1\NETANTS\NAGetAll.htm
這是網路螞蟻（NetAnts）增加的。
O8 - Extra context menu item: 使用影音傳送帶下載 - C:\PROGRA~1\Xi\NETTRA~1\NTAddLink.html
O8 - Extra context menu item: 使用影音傳送帶下載全部連接 - C:\PROGRA~1\Xi\NETTRA~1\NTAddList.html
這是影音傳送帶（Net Transport）增加的。
O8 - Extra context menu item: 匯出到 Microsoft Excel(&x) - res://F:\PROGRA~1\MICROS~1\Office10\EXCEL.EXE/3000
這是Office增加的。

3. 一般建議
如果不認得新增加的項目，其所在路徑也可疑，可以用HijackThis修復。建議最好先在www.google.com上查一下。暫時未在網上找到O8項的列表。

4. 疑難解析
（暫無）

QUOTE:
（十三）組別——O9

1. 項目說明
O9提示額外的IE「工具」表單項目及工作列按鈕。前面O3是指工具條，這裡是新增的單個工作列按鈕和IE「工具」表單項目。相關註冊表項目為
HKLM\SOFTWARE\Microsoft\Internet Explorer\Extensions registry key

2. 舉例
O9 - Extra button: QQ (HKLM)
就是IE工作列上的QQ按鈕。
O9 - Extra button: UC (HKLM)
IE工作列上的UC按鈕。
O9 - Extra button: FlashGet (HKLM)
IE工作列上的網際快車（FlashGet）按鈕。
O9 - Extra `Tools` menuitem: &FlashGet (HKLM)
IE「工具」表單中的網際快車（FlashGet）項。
O9 - Extra button: NetAnts (HKLM)
IE工作列上的網路螞蟻（NetAnts）按鈕。
O9 - Extra `Tools` menuitem: &NetAnts (HKLM)
IE「工具」表單中的網路螞蟻（NetAnts）項。
O9 - Extra button: Related (HKLM)
IE工作列上的「顯示相關站點」按鈕。
O9 - Extra `Tools` menuitem: Show &Related Links (HKLM)
IE「工具」表單中的「顯示相關站點」項。
O9 - Extra button: Messenger (HKLM)
IE工作列上的Messenger按鈕。
O9 - Extra `Tools` menuitem: Windows Messenger (HKLM)
IE「工具」表單中的「Windows Messenger」項。

3. 一般建議
如果不認得新增加的項目或按鈕，可以用HijackThis修復。

4. 疑難解析
（暫無）

QUOTE:
（十四）組別——O10

1. 項目說明
O10項提示Winsock LSP(Layered Service Provider)「瀏覽器劫持」。某些間諜軟體會修改Winsock 2的設定，進行LSP「瀏覽器劫持」，所有與網路交換的訊息都要通過這些間諜軟體，從而使得它們可以監控使用者的訊息。著名的如New.Net插件或WebHancer元件，它們是安裝一些軟體時帶來的你不想要的東西。相關的中文訊息可參考——
http://tech.sina.com.cn/c/2001-11-19/7274.html

2. 舉例
O10 - Hijacked Internet access by New.Net
這是被廣告程序New.Net劫持的症狀（可以通過「控制台——增加移除」來卸載）。
O10 - Broken Internet access because of LSP provider `c:\progra~1\common~2\toolbar\cnmib.dll` missing
這一般出現在已清除間諜軟體但沒有恢復LSP正常狀態的情況下。此時，網路連接可能丟失掉。
O10 - Unknown file in Winsock LSP: c:\program files\newton knows\vmain.dll
這是被廣告程序newtonknows劫持的症狀，相關資訊可參考
http://www.pestpatrol.com/PestInfo/n/newtonknows.asp

3. 一般建議
一定要注意，由於LSP的特殊性，單單清除間諜軟體而不恢復LSP的正常狀態很可能會導致無法連通網路！如果您使用殺毒軟體清除間諜程序，可能遇到如上面第二個例子的情況，此時可能無法上網。有時HijackThis在O10項報告網路連接破壞，但其實仍舊可以連通，不過無論如何，修復O10項時一定要小心。
遇到O10項需要修復時，建議使用專門工具修復。
（1）LSPFix
http://www.cexx.org/lspfix.htm

（2）Spybot-Search&Destroy（上面提到過，但一定要使用最新版）

這兩個工具都可以修復此問題，請進一步參考相關教學。

4. 疑難解析
某些正常合法程序（特別是一些殺毒軟體）也會在Winsock水準工作。比如
O10 - Unknown file in Winsock LSP: c:\windows\system32\kvwsp.dll
這一項就屬於大陸殺毒軟體KV。所以，在O10項遇到「Unknown file in Winsock LSP」一定要先查詢一下，不要一概修復。

QUOTE:
（十五）組別——O11

1. 項目說明
O11項提示在IE的進階選項中出現了新項目。相關註冊表項目可能是
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\AdvancedOptions

2. 舉例
O11 - Options group: [CommonName] CommonName
這個是已知需要修復的一項。
O11 - Options group: [!CNS]
O11 - Options group: [!IESearch] !IESearch
這2個是國內論壇上的HijackThis掃瞄日誌裡最一般的O11項，分屬3721和百度，去留您自己決定。如果想清除，請先嘗試使用「控制台——增加移除」來卸載相關程序。

3. 一般建議
遇到CommonName應該清除，遇到其它項目請先在網上查詢一下。

4. 疑難解析
（暫無）

QUOTE:
（十六）組別——O12

1. 項目說明
O12列舉IE插件（就是那些用來增強IE功能、讓它支持更多副檔名檔案類型文件的插件）。相關註冊表項目是
HKEY_LOCAL_MACHINE\software\microsoft\internet explorer\plugins

2. 舉例
O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll
O12 - Plugin for .PDF: C:\Program Files\Internet Explorer\PLUGINS\nppdf32.dll
這兩個都屬於Acrobat軟體。

3. 一般建議
絕大部分這類插件是安全的。已知僅有一個插件（OnFlow，用以支持檔案類型.ofb）是惡意的，需要修復。遇到不認得的項目，建議先在網上查詢一下。

4. 疑難解析
（暫無）

QUOTE:
（十七）組別——O13

1. 項目說明
O13提示對瀏覽器預設值的URL前綴的修改。當在瀏覽器的位址欄輸入一個網址而沒有輸入其前綴（比如http://或ftp://）時，瀏覽器會試圖使用預設值的前綴（預設值為http://）。相關註冊表項目包括
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\URL\DefaultPrefix\
當此項被修改，比如改為http://www.AA.BB/?那麼當輸入一個網址如www.rising.com.cn時，實際開啟的網址變成了——http://www.AA.BB/?< wind_code_11 >

2. 舉例
O13 - DefaultPrefix: http://www.pixpox.com/cgi-bin/click.pl?url=
O13 - WWW Prefix: http://prolivation.com/cgi-bin/r.cgi?
O13 - WWW. Prefix: http://ehttp.cc/?
O13 - DefaultPrefix: http://%6E%6B%76%64%2E%75%73/ （翻譯過來就是http://nkvd.us/）
O13 - WWW Prefix: http://%6E%6B%76%64%2E%75%73/ （翻譯過來就是http://nkvd.us/））
O13 - DefaultPrefix: c:\searchpage.html?page=
O13 - WWW Prefix: c:\searchpage.html?page=
O13 - Home Prefix: c:\searchpage.html?page=
O13 - Mosaic Prefix: c:\searchpage.html?page=

3. 一般建議
著名惡意網站家族CoolWebSearch可能造成此現象。建議使用CoolWebSearch的專殺——CoolWebSearch Shredder （CWShredder.exe）來修復，本帖前部已提到過此軟體，並指出了相關小教學的連接。
如果使用CWShredder.exe發現了問題但卻無法修復（Fix），請在安全模式使用CWShredder.exe再次修復（Fix）。
如果使用CWShredder.exe後仍然無法修復或者根本未發現異常，再使用HijackThis來掃瞄修復。

4. 疑難解析
對於searchpage.html這個「瀏覽器劫持」（上面例子中最後4個就是它的現象），請參考
【原創】近期論壇中2個較常被提到的惡意網頁的解決方法(searchpage.html和http://aifind.info/)
http://community.rising.com.cn/F ... =3556320&page=1
簡單說，就是——「對於searchpage.html這個問題，上面提到的CWShredder.exe可以修復（Fix），普通模式不能修復的話，請在安全模式使用CWShredder.exe修復（Fix），修復後清空IE臨時文件(開啟IE瀏覽器——工具——internet選項——移除文件，可以把「移除所有離線內容」選上)，重新啟動。」

QUOTE:
（十八）組別——O14

1. 項目說明
O14提示IERESET.INF文件中的改變，也就是對internet選項中「程序」選擇項內的「重置WEB設定」的修改。該IERESET.INF文件儲存著IE的預設值設定訊息，如果其內容被惡意程序改變，那麼一旦您使用「重置WEB設定」功能，就會再次啟動那些惡意修改。

2. 舉例
O14 - IERESET.INF: START_PAGE_URL=http://www.searchalot.com

3. 一般建議
如果這裡列出的URL不是指向你的電腦提供者或Internet服務提供者（ISP），可以使用HijackThis修復。

4. 疑難解析
（暫無）

QUOTE:
（十九）組別——O15

1. 項目說明
O15項目提示「受信任的站點」中的不速之客，也就是那些未經您同意自動增加到「受信任的站點」中的網址。「受信任的站點」中的網址享有最低的安全限制，可以使得該網址上的惡意指令碼、小程序等更容易躲過用戶自動執行。相關註冊表項目
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains

2. 舉例
O15 - Trusted Zone: http://free.aol.com

3. 一般建議
如果不認得該網站，建議使用HijackThis來修復。

4. 疑難解析
（暫無）

QUOTE:
（二十）組別——O16

1. 項目說明
O16 - 下載的程式文件，就是Downloaded Program Files目錄下的那些ActiveX對象。這些ActiveX對像來自網路，存放在Downloaded Program Files目錄下，其CLSID記錄在註冊表中。

2. 舉例
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/p ... s/flash/swflash.cab
用來看flash的東東，相信很多朋友都安裝了。
O16 - DPF: {DA984A6D-508E-11D6-AA49-0050FF3C628D} (Ravonline) - http://download.rising.com.cn/ravkill/rsonline.cab
瑞星在線查毒。

3. 一般建議
如果不認得這些ActiveX對象的名字，或者不知道其相關的下載URL，建議使用搜尋引擎查詢一下，然後決定是否使用HijackThis來修復該項。如果名字或者下載URL中帶有「sex」、「adult」、「dialer」、「casino」、「free_plugin」字樣，一般應該修復。HijackThis修復O16項時，會移除相關文件。但對於某些O16項，雖然選項了讓HijackThis修復，卻沒能夠移除相關文件。若遇到此情況，建議啟動到安全模式來修復、移除該檔案。

4. 疑難解析
（暫無）

QUOTE:
（二十一）組別——O17

1. 項目說明
O17提示「域劫持」，這是一些與DNS解析相關的改變。已知會造成此現象的惡意網站為Lop.com。上面在解釋O1項時提到過，當在瀏覽器中輸入網址時，如果hosts文件中沒有相關的網址映射，將請求DNS域名解析以把網址轉換為IP位址。如果惡意網站改變了您的DNS設定，把其指向惡意網站，那麼當然是它們指哪兒您去哪兒啦！

2. 舉例
O17 - HKLM\System\CCS\Services\VxD\MSTCP: Domain = aoldsl.net
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = W21944.find-quick.com
O17 - HKLM\Software\..\Telephony: DomainName = W21944.find-quick.com
O17 - HKLM\System\CCS\Services\Tcpip\..\{D196AB38-4D1F-45C1-9108-46D367F19F7E}: Domain = W21944.find-quick.com
017 - HKLM\System\CS1\Services\VxD\MSTCP: NameServer = 69.57.146.14,69.57.147.175

3. 一般建議
如果這個DNS伺服器不是您的ISP或您所在的區域網路提供的，請查詢一下以決定是否使用HijackThis來修復。已知Lop.com應該修復，似乎已知的需要修復的O17項也就此一個。

4. 疑難解析
（暫無）

（二十二）組別——O18

QUOTE:
1. 項目說明
O18項列舉現有的傳輸協定（protocols）用以發現額外的傳輸協定和傳輸協定「劫持」。相關註冊表項目包括
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PROTOCOLS\
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID
等等。
通過將您的電腦的預設值傳輸協定取代為自己的傳輸協定，惡意網站可以通過多種方式控制您的電腦、監控您的訊息。
HijackThis會列舉出預設值傳輸協定以外的額外增加的傳輸協定，並列出其在電腦上的儲存位置。

2. 舉例
O18 - Protocol: relatedlinks - {5AB65DD4-01FB-44D5-9537-3767AB80F790} - C:\PROGRA~1\COMMON~1\MSIETS\msielink.dll
O18 - Protocol: mctp - {d7b95390-b1c5-11d0-b111-0080c712fe82}
O18 - Protocol hijack: http - {66993893-61B8-47DC-B10D-21E0C86DD9C8}

3. 一般建議
已知`cn` (CommonName)、`ayb` (Lop.com)和`relatedlinks` (Huntbar)是需要用HijackThis修復的。其它情況複雜，可能（只是可能）有一些間諜軟體存在，需要進一步查詢資料、綜合分析。

4. 疑難解析
（暫無）

QUOTE:
（二十三）組別——O19

1. 項目說明
O19提示用戶樣式表（stylesheet）「劫持」，樣式表是一個副檔名為.CSS的文件，它是關於網頁格式、顏色、字體、外觀等的一個範本。相關註冊表項目
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Styles\: User Stylesheets
此外，此項中也可能出現.ini、.bmp文件等。

2. 舉例
O19 - User stylesheet: c:\WINDOWS\Java\my.css
O19 - User stylesheet: C:\WINDOWS\Web\tips.ini
O19 - User stylesheet: C:\WINDOWS\win32.bmp

3. 一般建議
已知，datanotary.com會修改樣式表。該樣式表名為my.css或者system.css，具體訊息可參考
http://www.pestpatrol.com/pestinfo/d/datanotary.asp
http://www.spywareinfo.com/articles/datanotary/
該「瀏覽器劫持」也屬於CoolWebSearch家族，別忘了上面多次提到的專殺。
當瀏覽器瀏覽速度變慢、經常出現來歷不明的彈出視窗，而HijackThis又報告此項時，建議使用HijackThis修復。如果您根本沒使用過樣式表而HijackThis又報告此項，建議使用HijackThis修復。

4. 疑難解析
（暫無）

QUOTE:
（二十四）組別——O20

1. 項目說明
O20項提示註冊表鍵值AppInit_DLLs處的自啟動項(前一陣子鬧得挺厲害的「about:blank」劫持就是利用這一項)。
相關註冊表鍵為
HKEY_LOCAL_MACHINE\Software\Microsoft\WindowsNT\CurrentVersion\Windows
鍵值為
AppInit_DLLs
此處用來在用戶登入時載入.dll文件。用戶註銷時，這個.dll也被註銷。

2. 舉例
O20 - AppInit_DLLs: msconfd.dll

3. 一般建議
僅有極少的合法軟體使用此項，已知諾頓的CleanSweep用到這一項，它的相關文件為APITRAP.DLL。其它大多數時候，當HijackThis報告此項時，您就需要提防木馬或者其它惡意程序。

4. 疑難解析
(1) O20 - AppInit_DLLs: apihookdll.dll
木馬剋星有這個文件，一般不用修復。

(2) 有時，HijackThis不報告這一項，但如果您在註冊表編輯器中使用「修改二進位資料」功能，則可能看到該「隱形」dll文件。這是因為該「隱形」dll文件在檔案名的開頭增加了一個`|`來使自己難被發覺。

QUOTE:
（二十五）組別——O21

1. 項目說明
O21項提示註冊表鍵ShellServiceObjectDelayLoad處的自啟動項。這是一個未正式公佈的自啟動方式，通常只有少數Windows系統元件用到它。Windows啟動時，該處註冊的元件會由Explorer載入。
相關註冊表鍵為
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad

2. 舉例
O21 - SSODL - AUHOOK - {11566B38-955B-4549-930F-7B7482668782} - C:\WINDOWS\System\auhook.dll

3. 一般建議
HijackThis會自動識別在該處啟動的一般Windows系統元件，不會報告它們。所以如果HijackThis報告這一項，則有可能存在惡意程序，需要仔細分析。

4. 疑難解析（暫無）

QUOTE:
（二十六）組別——O22

1. 項目說明
O22項提示註冊表鍵SharedTaskScheduler處的自啟動項。這是WindowsNT/2000/XP中一個未正式公佈的自啟動方式，極少用到。

2. 舉例
O22 - SharedTaskScheduler: (no name) - {3F143C3A-1457-6CCA-03A7-7AA23B61E40F} - c:\windows\system32\mtwirl32.dll

3. 一般建議
已知，CoolWebSearch變種Smartfinder用到這一項，請小心處理。建議使用CoolWebSearch專殺——CoolWeb Shredder（CoolWeb粉碎機），簡介見
http://community.rising.com.cn/F ... =3926810&page=1

4. 疑難解析
（暫無）

組別——O23

1. 項目說明

O23項提示註冊為系統服務的程序(可以通過執行->Services.msc,察看所有的系統服務)

2. 舉例

O23 - Service: AhnLab Task Scheduler - AhnLab, Inc. - C:\Program Files\AhnLab\Smart Update Utility\Ahnsdsv.exe
O23 - Service: NOD32 Kernel Service - Unknown - C:\Program Files\Eset\nod32krn.exe

3. 一般建議

很多正常軟體都會註冊到系統服務,一般的比如各種殺毒軟體和防火牆的服務以及Apache，MySQL等軟體,一般來說這些正常的服務的描述都很容易識別他們的身份(如」NOD32 Kernel Service」很明顯是NOD32的服務),如果出現了名稱和系統服務很像的服務,但是面說後面的廠商卻不是MS的項目就很可能是病毒了.

特別是這樣的例子。
023-service:****Service-Unknown-c:\windows\****.exe
灰鴿子無疑！！！
服務名同程式名稱。

2006-05-14, 01:11 AM	#2 (permalink)
psac 榮譽會員榮譽勳章勳章總數19 UID - 3662 在線等級: 註冊日期: 2002-12-07 住址: 木柵市立動物園文章: 17381 精華: 2 現金: 5253 金幣資產: 33853 金幣	HijackThis日誌細解【簡明教學增強版】 HijackThis日誌細解【簡明教學增強版】 <作者：風之詠者> QUOTE: 一、說在前面的提示（請原諒我囉嗦）提示一：本文目的本文的目的是說明您進一步解讀HijackThis掃瞄日誌。提示二：處理「瀏覽器綁架」一般的「瀏覽器綁架」症狀可能有以下一些：被重轉發IP到惡意網頁當輸入錯誤的網址時被重轉發IP 輸入字元時IE速度嚴重減慢重新啟動動後IE主頁/搜尋頁被更改不請自來的受信任站點我的最愛裡自動反覆增加惡意網站在使用Google和Yahoo搜尋時出現某些彈出視窗 IE 選擇項中出現不能更改或被隱藏的項目不能開啟 IE 選擇項等等如果您遇到了「瀏覽器綁架」，請首先使用最新版殺毒軟體在安全模式查殺病毒、木馬，其次，提醒您一下，某些廣告程序（尤其是一些沒有被殺毒軟體列入查殺名單的）會在控制台的「增加移除」中留下卸載項目，在進行下一步之前您不妨找找看。再次，建議您不妨先嘗試一些現成的對付「瀏覽器綁架」、間諜軟體、廣告程序的免費工具。比如—— 1. Spybot-Search&Destroy 2. Ad-aware 3. CoolWebSearch Shredder （CWShredder.exe）相關教學： CoolWebSearch專殺——CoolWeb Shredder（CoolWeb粉碎機）簡介[原創] http://community.rising.com.cn/F ... =3926810&page=1 如果您遇到的那些惡意網頁是英文的，這些軟體常常能幫上您的忙。如果這些軟體不起作用，您再嘗試使用HijackThis掃瞄並修復。您也可以把HijackThis產生的log日誌文件的內容發到論壇（請貼內容而不要直接抓圖貼圖），方便大家分析。如果您對HijackThis掃瞄日誌中某些項目不清楚，請不要貿然自行修復，不妨使用搜尋引擎在網際網路上搜尋一下。如果您決定將HijackThis掃瞄日誌發到論壇上尋求說明，請在發怖HijackThis掃瞄日誌的同時說明您遇到的具體問題。另外，分析HijackThis掃瞄日誌需要一定的時間，所以請稍稍等待一下。提示三：使用HijackThis前的步驟請一定將下載得到的HijackThis放到一個單獨的資料夾中，如果下載得到的是壓縮包，還要把它解壓出來。希望您不要在臨時目錄中執行HijackThis，也不要直接在壓縮包中執行HijackThis。因為使用HijackThis作修復時，它會自動給修改的項目做制作備份，保留這些備份檔案是個好習慣，一旦修復錯了，可以利用這些備份檔案恢復原先的狀態。臨時文件目錄可能隨時被清空，而在壓縮包中直接執行HijackThis的話，是無法產生備份檔案的。還有，使用HijackThis進行修復前請關閉所有瀏覽器視窗和資料夾視窗。提示四：使用HijackThis修復時的步驟 1. 有惡意行程正在執行的，請先終止其行程（關閉所有視窗，同時按下CTRL+ALT+DELETE，在開啟的視窗中選要終止的行程，然後按下「結束工作」或者「結束行程」，最後關閉該視窗。） 2. 使用HijackThis修復 3. 重新啟動動到安全模式，顯示隱藏文件和系統檔案，移除那些被修復項目相關的文件。（為保險起見，可以先壓縮儲存。） 4. 重新啟動到正常模式，再次執行HijackThis檢查一下。 QUOTE: 二、HijackThis日誌細解正文（一）HijackThis日誌縱覽 R0，R1，R2，R3 Internet Explorer（IE）的預設值起始主頁和預設值搜尋頁的改變 F0，F1，F2，F3 ini文件中的自動載入程序 N1，N2，N3，N4 Netscape/Mozilla 的預設值起始主頁和預設值搜尋頁的改變 O1 Hosts文件重轉發IP O2 Browser Helper Objects（BHO，瀏覽器輔助模組） O3 IE瀏覽器的工具條 O4 自啟動項 O5 控制台中被遮閉的IE選項 O6 IE選項被管理員禁用 O7 註冊表編輯器（regedit）被管理員禁用 O8 IE的右鍵表單中的新增項目 O9 額外的IE「工具」表單項目及工作列按鈕 O10 Winsock LSP「瀏覽器綁架」 O11 IE的進階選項中的新項目 O12 IE插件 O13 對IE預設值的URL前綴的修改 O14 對「重置WEB設定」的修改 O15 「受信任的站點」中的不速之客 O16 Downloaded Program Files目錄下的那些ActiveX對像 O17 域「劫持」 O18 額外的傳輸協定和傳輸協定「劫持」 O19 用戶樣式表（stylesheet）「劫持」（二）組別——R 1. 項目說明 R – 註冊表中Internet Explorer（IE）的預設值起始主頁和預設值搜尋頁的改變 R0 - 註冊表中IE主頁/搜尋頁預設值鍵值的改變 R1 - 新增的註冊表值（V），或稱為鍵值，可能導致IE主頁/搜尋頁的改變 R2 - 新增的註冊表項（K），或稱為鍵，可能導致IE主頁/搜尋頁的改變 R3 - 在本來應該只有一個鍵值的地方新增的額外鍵值，可能導致IE搜尋頁的改變 R3主要出現在URLSearchHooks這一項目上，當我們在IE中輸入錯誤的網址後，瀏覽器會試圖在註冊表中這一項列出的位置找到進一步查詢的線索。正常情況下，當我們在IE中輸入錯誤的網址後，瀏覽器會使用預設值的搜尋引擎（如http://search.msn.com/、網路實�...��它網頁。 2. 舉例 R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page=http://www.google.com/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL=http://www.google.com/ （HKCU就是HKEY_CURRENT_USER，HKLM就是HKEY_LOCAL_MACHINE，下同）上面的例子中，預設值主頁被改變，指向了新的位址http://www.google.com/。 R3 - URLSearchHook: BDSrchHook Class - {2C5AA40E-8814-4EB6-876E-7EFB8B3F9662} - C:\WINDOWS\DOWNLOADED PROGRAM FILES\BDSRHOOK.DLL 這是百度搜尋 R3 - URLSearchHook: CnsHook Class - {D157330A-9EF3-49F8-9A67-4141AC41ADD4} - C:\WINDOWS\DOWNLO~1\CNSHOOK.DLL 這是3721網路實名 R3 - Default URLSearchHook is missing 這是報告發現一個錯誤（預設值的URLSearchHook丟失掉）。此錯誤可以用HijackThis修復。 3. 一般建議對於R0、R1，如果您認得後面的網址，知道它是安全的，甚至那就是您自己這樣設定的，當然不用去修復。否則的話，在那一行前面打勾，然後按「Fix checked」，讓HijackThis修復它。對於R2項，據HijackThis的作者說，實際上現在還沒有用到。對於R3，一般總是要選修復，除非它指向一個您認識的程序（比如百度搜尋和3721網路實名）。 4. 疑難解析 (1) 偶爾，在這一組的某些項目後面會出現一個特殊的詞——(obfuscated)，例如下面幾個 R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\System32\kihm.dll/sp.html (obfuscated) R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\System32\kihm.dll/sp.html (obfuscated) R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://ls0.net/home.html (obfuscated) R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\System32\kihm.dll/sp.html (obfuscated) R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://ls0.net/srchasst.html (obfuscated) R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\System32\kihm.dll/sp.html (obfuscated) R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\System32\kihm.dll/sp.html (obfuscated) R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\System32\kihm.dll/sp.html (obfuscated) R1 - HKCU\Software\Microsoft\Internet Explorer\Main,SearchAssistant = http://%34%2Dv%2Enet/srchasst.html (obfuscated) R1 - HKLM\Software\Microsoft\Internet Explorer\Main,SearchAssistant = http://%34%2Dv%2Enet/srchasst.html (obfuscated) R1 - HKLM\Software\Microsoft\Internet Explorer\Search,(Default) = http://ls0.net/srchasst.html (obfuscated) R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://homepage.com%00@www.e-finder.cc/search/ (obfuscated) R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://homepage.com%00@www.e-finder.cc/search/ (obfuscated) R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://homepage.com%00@www.e-finder.cc/search/ (obfuscated) obfuscated，中文大意為「使混亂，使糊塗迷惑，使過於混亂或模糊，使得難於感覺或理解」。這裡主要是最後一個意義。這些被HijackThis標為obfuscated的項目在對IE主頁/搜尋頁進行修改的同時，還利用各種方法把自己變得不易理解，以躲避人們對註冊表內容的搜尋辨識（比如直接在註冊表特定位置增加十六進制字元鍵值，電腦認得它，一般人可就不認得了）。 (2) 有些R3項目{ }號後面，會跟上一個底線（ _ ），比如下面幾個： R3 - URLSearchHook: (no name) - {8952A998-1E7E-4716-B23D-3DBE03910972}_ - (no file) R3 - URLSearchHook: (no name) - {5D60FF48-95BE-4956-B4C6-6BB168A70310}_ - (no file) R3 - URLSearchHook: (no name) - {CFBFAE00-17A6-11D0-99CB-00C04FD64497}_ - (no file) 這些{ }後面多一個底線的R3項目，實際上無法使用HijackThis修復（這是HijackThis本身的一個bug）。如果要修復這樣的項目，需要開啟註冊表編輯器（開始——執行——輸入 regedit——按「確定」），找到下面的鍵 HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\URLSearchHooks 對比HijackThis的掃瞄日誌中那些R3項的CLSID——就是{ }號中的數位——移除想要移除的項目，但要注意不要誤刪以下一項 CFBFAE00-17A6-11D0-99CB-00C04FD64497 這一項是預設值的。請注意，如果是在{ }號前面有一個底線，這些項目HijackThis可以正常清除。比如下面的： R3 - URLSearchHook: (no name) - _{00D6A7E7-4A97-456f-848A-3B75BF7554D7} - (no file) R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file) R3 - URLSearchHook: (no name) - _{707E6F76-9FFB-4920-A976-EA101271BC25} - (no file) R3 - URLSearchHook: (no name) - _{8952A998-1E7E-4716-B23D-3DBE03910972} - (no file) R3 - URLSearchHook: (no name) - _{5D60FF48-95BE-4956-B4C6-6BB168A70310} - (no file) R3 - URLSearchHook: (no name) - _{4FC95EDD-4796-4966-9049-29649C80111D} - (no file) （3）最近見到不少後面沒有內容的R3項。比如 R3 - URLSearchHook: 懷疑這是3721的項目，如果您安裝了3721，則會出現這樣一個R3項。使用HijackThis無法修復這一項。是否使用3721決定權在用戶自己。 QUOTE: （三）組別——F * 特別提醒：如果您在HijackThis的掃瞄日誌中發現了F2項並進行了修復，一旦因為某些原因想要反悔，請「不要」使用HijackThis的恢復功能來取消對F2項目的修改（我指的是config表單——Backups表單——Restore功能），因為據報告HijackThis在恢復對F2項的修改時，可能會錯誤地修改註冊表中另一個鍵值。此bug已被反映給HijackThis的作者。此bug涉及的註冊表鍵值是 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon:UserInit 一旦對上面鍵值相關的F2項使用HijackThis修復後再使用HijackThis的恢復功能恢復對這一項的修改，可能會錯誤修改另一個鍵值 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon:Shell 所以，如果您在HijackThis的掃瞄日誌中發現了類似下面的F2項並進行了修復，一旦因為某些原因想要反悔，請手動修改上面提到的UserInit鍵值（HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon:UserInit） F2 - REG:-System.ini: UserInit=C:\WINDOWS\System32\Userinit.exe F2 - REG:-System.ini: UserInit=C:\Windows\System32\wsaupdater.exe, 不過，說實話，在我的記憶中我從沒有處理過含有F2項的HijackThis掃瞄日誌。 1. 項目說明 F - ini文件中的自動執行程序或者註冊表中的等價項目 F0 - ini文件中改變的值，system.ini中啟動的自動執行程序 F1 - ini文件中新增的值，win.ini中啟動的自動執行程序 F2 - 註冊表中system.ini文件映射區中啟動的自動執行程序或註冊表中UserInit項後面啟動的其它程序 F3 - 註冊表中win.ini文件映射區中啟動的自動執行程序 F0和F1分別對應system.ini和win.ini文件中啟動的自動執行程序。 F0對應在System.ini文件中「Shell=」這一項（沒有引號）後面啟動的額外程序。在Windows 9X中，System.ini裡面這一項應該是 Shell=explorer.exe 這一項指明使用explorer.exe作為整個作業系統的「殼」，來處理用戶的操作。這是預設值的。如果在explorer.exe後面加上其它程式名稱，該程序在啟動Windows時也會被執行，這是木馬啟動的方式之一（比較傳統的啟動方式之一）。比如 Shell=explorer.exe trojan.exe 這樣就可以使得trojan.exe在啟動Windows時也被自動執行。 F1對應在win.ini文件中「Run=」或「Load=」項（均沒有引號）後面啟動的程序。這些程序也會在啟動Windows時自動執行。通常，「Run=」用來啟動一些老的程序以保持相容性，而「Load=」用來載入某些硬體驅動。 F2和F3項分別對應F0和F1項在註冊表中的「映像」。在Windows NT、2000、XP中，通常不使用上面提到的system.ini和win.ini文件，它們使用一種稱作IniFileMapping（ini文件映射）的方式，把這些ini文件的內容完全放在註冊表裡。程序要求這些ini文件中的相關資訊時，Windows會先到註冊表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping這裡搜尋需要的內容，而不是去找那些ini文件。F2/F3其實和F0/F1相類似，只不過它們指向註冊表裡的ini映像。另外有一點不同的是，F2項中還報告下面鍵值處額外啟動的程序 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit 此處預設值的鍵值是(注意後面有個逗號) C:\WINDOWS\system32\userinit.exe, （根據您的Windows版本和安裝目錄的不同，路徑裡的「C」和「windows」可能不盡相同，總之這裡預設值指向%System%\userinit.exe %System%指的是系統檔案目錄對於NT、2000，該鍵值預設值為X:\WINNT\system32\userinit.exe 對於XP，該鍵值預設值為X:\WINDOWS\system32\userinit.exe 這裡的X指的是Windows安裝到的盤的磁碟代號。此問題後面不再重複解釋了。）這個鍵值是Windows NT、2000、XP等用來在用戶登入後載入該用戶相關資訊的。如果在這裡增加其它程序（在該鍵值中userinit.exe後的逗號後面可以增加其它程序），這些程序在用戶登入後也會被執行。比如將其鍵值改為 C:\windows\system32\userinit.exe,c:\windows\trojan.exe 則c:\windows\trojan.exe這個程序也會在用戶登入後自動執行。這也是木馬等啟動的方式之一。總之，F項相關的文件包括 c:\windows\system.ini c:\windows\win.ini （根據您的Windows版本和安裝目錄的不同，路徑裡的「C」和「windows」可能不盡相同，總之這裡指的是%windows%目錄下的這兩個ini文件 %Windows%目錄指的是Windows安裝目錄對於NT、2000，Windows安裝目錄為X:\WINNT\ 對於XP，Windows安裝目錄為X:\WINDOWS\ 這裡的X指的是Windows安裝到的盤的磁碟代號。此問題後面不再重複解釋了。） F項相關的註冊表項目包括 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping 2. 舉例 F0 - system.ini: Shell=Explorer.exe trojan.exe 上面的例子中，在system.ini文件中，預設值的Shell=Explorer.exe後面又啟動了一個trojan.exe，這個trojan.exe十分可疑。 F1 - win.ini: run=hpfsched 上面的例子中，在win.ini文件中，啟動了hpfsched這個程序，需要分析。 F2 - REG:-System.ini: UserInit=userinit,trojan.exe 上面的例子中，UserInit項（說明見上）中額外啟動了trojan.exe F2 - REG:-System.ini: Shell=explorer.exe trojan.exe 上面的例子其實相當於第一個例子F0 - system.ini: Shell=Explorer.exe trojan.exe，在註冊表中的system.ini文件「映像」中，額外啟動了trojan.exe。 3. 一般建議基本上，F0提示的Explorer.exe後面的程序總是有問題的，一般應該修復。 F1後面的需要慎重對待，一些老的程序的確要在這裡載入。所以應該仔細看看載入的程序的名字，在電腦上查一下，網上搜一搜，具體問題具體分析。對於F2項，如果是關於「Shell=」的，相當於F0的情況，一般應該修復。如果是關於「UserInit=」的，除了下面的「疑難解析」中提到的幾種情況另作分析外，一般也建議修復。但要注意，一旦修復了關於「UserInit=」的F2項，請不要使用HijackThis的恢復功能恢復對這一項的修改，這一點上面著重提到了。當然，您也可以利用「UserInit=」自己設定一些軟體開機自啟動，這是題外話了，相信如果是您自己設定的，您一定不會誤刪的。 4. 疑難解析 (1) F2 - REG:-System.ini: UserInit=C:\WINDOWS\System32\Userinit.exe 注意到這一項與預設值情況的區別了嗎？其實，這一項之所以被HijackThis報告出來，是因為丟失掉了鍵值最後的一個逗號。但這並不是真正的問題，可以不予理會。 (2) F2 - REG:-System.ini: UserInit=userinit,nddeagnt.exe nddeagnt.exe是Network Dynamic Data Exchange Agent，這一項出現在userinit後面也是正常的。 (3) F2 - REG:-System.ini: UserInit=C:\Windows\System32\wsaupdater.exe, 這一個比較特別，這是廣告程序BlazeFind幹的好事，這個廣告程序修改註冊表時不是把自己的wsaupdater.exe放在userinit的後面，而是直接用wsaupdater.exe取代了userinit.exe，使得註冊表這一項 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit 的鍵值從預設值的 C:\WINDOWS\system32\userinit.exe, 變為 C:\Windows\System32\wsaupdater.exe, 如果您使用Ad-aware 6 Build 181清除該廣告程序，重新啟動動後可能會造成用戶無法登入系統。這時需要使用光碟或者軟碟啟動，將userinit.exe複製一份，命名為wsaupdater.exe放在同一目錄下，以使得系統能夠正常登入，然後將上面所述的註冊表中被廣告程序修改的鍵值恢復預設值，再移除wsaupdater.exe文件。該問題存在於Ad-aware 6 Build 181，據我所知，HijackThis可以正常修復這一項。具體訊息清參考 http://www.lavahelp.com/articles/v6/04/06/0901.html QUOTE: （四）組別——N 1. 項目說明 N - Netscape、Mozilla瀏覽器的預設值起始主頁和預設值搜尋頁的改變 N1 - Netscape 4.x中，瀏覽器的預設值起始主頁和預設值搜尋頁的改變 N2 - Netscape 6中，瀏覽器的預設值起始主頁和預設值搜尋頁的改變 N3 - Netscape 7中，瀏覽器的預設值起始主頁和預設值搜尋頁的改變 N4 - Mozilla中，瀏覽器的預設值起始主頁和預設值搜尋頁的改變與這些改變相關的文件為prefs.js。 2. 舉例 N1 - Netscape 4: user_pref("browser.startup.homepage", "www.google.com"); (C:\Program Files\Netscape\Users\default\prefs.js) N2 - Netscape 6: user_pref("browser.startup.homepage", "http://www.google.com"); (C:\Documents and Settings\User\Application Data\Mozilla\Profiles\defaulto9t1tfl.slt\prefs.js) N2 - Netscape 6: user_pref("browser.search.defaultengine", "engine://C%3A%5CProgram%20Files%5CNetscape%206%5Csearchplugins%5CSBWeb_02.src"); (C:\Documents and Settings\User\Application Data\Mozilla\Profiles\defaulto9t1tfl.slt\prefs.js) 3. 一般建議一般來說，Netscape和Mozilla的預設值起始主頁和預設值搜尋頁是比較安全的，很少被修改。如果你在預設值起始主頁或預設值搜尋頁看到了一個陌生的位址，可以修復它。已知，Lop.com（Live Online Portal）這個網站會修改上述N類項。有興趣者請參考此連接提供的詳細資料 http://www.doxdesk.com/parasite/lop.html 4. 疑難解析（暫無） QUOTE: （五）組別——O1（字母O，代表Other即「其它」類，以下各組同屬O類） 1. 項目說明 O1代表在hosts文件中對某個網址與IP位址的映射。在瀏覽器中輸入網址時，瀏覽器會先檢查hosts文件中是否存在該網址的映射，如果有，則直接連線到相應IP位址，不再請求DNS域名解析。這個方法可以用來加快瀏覽速度，也可能被木馬等惡意程序用來開啟某些網址、遮閉某些網址。這個hosts文件在系統中的通常位置為 C:\WINDOWS\HOSTS （Windows 3.1、95、98、Me）或 C:\WINNT\SYSTEM32\DRIVERS\ETC\HOSTS （Windows NT、2000）或 C:\WINDOWS\SYSTEM32\DRIVERS\ETC\HOSTS （XP、2003）注意，沒有副檔名。該檔案的一般格式類似 219.238.233.202 www.rising.com.cn 注意，IP位址在前，空格後為網址，下一個映射另起一行。（若有#，則#後的部分作為註釋，不起作用。）上面的例子中，瑞星的主頁http://www.rising.com.cn和IP位址2...��搜尋頁。 2. 舉例 O1 - Hosts: 216.177.73.139 auto.search.msn.com O1 - Hosts: 216.177.73.139 search.netscape.com O1 - Hosts: 216.177.73.139 ieautosearch 在上面的例子中，預設值搜尋頁（auto.search.msn.com、search.netscape.com、ieautosearch是不同情況下的預設值搜尋頁）被指向了216.177.73.139這個IP位址。造成每次使用瀏覽器的搜尋功能，都被帶到216.177.73.139這個地方。下面是XP的原始Hosts文件的內容 # Copyright (C) 1993-1999 Microsoft Corp. # # This is a sample HOSTS file used by Microsoft TCP/IP for Windows. # # This file contains the mappings of IP addresses to host names. Each # entry should be kept on an individual line. The IP address should # be placed in the first column followed by the corresponding host name. # The IP address and the host name should be separated by at least one # space. # # Additionally, comments (such as these) may be inserted on individual # lines or following the machine name denoted by a `#` symbol. # # For example: # # 102.54.94.97 rhino.acme.com # source server # 38.25.63.10 x.acme.com # x client host 127.0.0.1 localhost 所有以#開始的行都是註釋內容，不起作用。最後一行指明本機主機（localhost）的IP位址為127.0.0.1（這是預設值的）。 3. 一般建議 HijackThis報告O1項時，一般建議修復它，除非是您自己在Hosts文件中如此設定的。 4. 疑難解析 O1 - Hosts file is located at C:\Windows\Help\hosts 如果發現hosts文件出現在C:\Windows\Help\這樣的資料夾中，那麼很可能感染了CoolWebSearch（跟上面提到的Lop.com一樣著名的惡意網站家族），應該使用HijackThis修複相關項。當然，別忘了還有CoolWebSearch的專殺——CoolWebSearch Shredder （CWShredder.exe）。 QUOTE: （六）組別——O2 1. 項目說明 O2項列舉現有的IE瀏覽器的BHO模組。BHO，即Browser Helper Objects，指的是瀏覽器的輔助模組（或稱輔助對像），這是一些擴充瀏覽器功能的小插件。這裡面魚龍混雜，諾頓殺毒、goolge等都可能出現在這裡，而這裡也是一些間諜軟體常出沒的地方。 2. 舉例： O2 - BHO: (no name) - {C56CB6B0-0D96-11D6-8C65-B2868B609932} - C:\Program Files\Xi\Net Transport\NTIEHelper.dll 這是影音傳送帶（Net Transport）的模組。 O2 - BHO: (no name) - {A5366673-E8CA-11D3-9CD9-0090271D075B} - C:\PROGRAM FILES\FLASHGET\JCCATCH.DLL 這是網際快車（FlashGet）的模組。 O2 - BHO: (no name) - {BC207F7D-3E63-4ACA-99B5-FB5F8428200C} - C:\WINDOWS\DOWNLO~1\BDSRHOOK.DLL 這是百度搜尋的模組。 O2 - BHO: (no name) - {1B0E7716-898E-48cc-9690-4E338E8DE1D3} - C:\PROGRAM FILES\3721\ASSIST\ASSIST.DLL 這是3721上網助手的模組。 O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx 這是Adobe Acrobat Reader（用來處理PDF文件）的模組。 O2 - BHO: (no name) - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program\google\googletoolbar1.dll 這是Google工具條的模組。 3. 一般建議可能的O2項實在太多了，此處無法一一列舉。網上有一些很好的BHO列表，大家可以在裡面查詢相關的項目訊息。相關資料查詢位址舉例： http://www.sysinfo.org/bholist.php http://www.spywareinfo.com/bhos/ http://computercops.biz/CLSID.html 建議使用CLSID（就是「{ }」之間的數位）來搜尋相關項。通常，在以上網址的查詢結果中，標記為L的是合法的模組，標記為X的是間諜/廣告模組，標記為O的為暫時無結論的。修復前請仔細分析，看看是否認得這個東西的名字，看看它所在的路徑，不能一概而論。最好進一步查詢相關資料，千萬不要隨意修復。對於標記為X的惡意模組，一般建議修復。 4. 疑難解析 HijackThis修復O2項時，會移除相關文件。但對於某些O2項，雖然選項了讓HijackThis修復，下次掃瞄時卻還在。出現此情況時，請先確保使用HijackThis修復時已經關閉了所有瀏覽器視窗和資料夾視窗。如果還不行，建議重新啟動到安全模式直接移除該檔案。有時，會遇到一個如下的項目（後面沒內容） O2 - BHO: 總是刪不掉，懷疑這是3721的項目，如果您安裝了3721，則會出現這樣一個O2項。使用HijackThis無法修復這一項。是否使用3721決定權在用戶自己。（七）組別——O3 1. 項目說明 O3項列舉現有的IE瀏覽器的工具條（ToolBar，簡寫為TB）。注意，這裡列出的是工具條，一般是包含多個項目的那種。除了IE原有的的一些工具條外，其它軟體也會安裝一些工具條，這些工具條通常出現在IE自己的工具條和位址欄的下面。HijackThis在O3項中把它們列出來。其相關註冊表項目為 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar 2. 舉例 O3 - Toolbar: ????? - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX 這是Windows Media Player 2 ActiveX Control，媒體播放器的ActiveX控制項。 O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRAM FILES\FLASHGET\FGIEBAR.DLL 這是網際快車（FlashGet）的IE工具條。 O3 - Toolbar: ????? - {A9BE2902-C447-420A-BB7F-A5DE921E6138} - C:\Program Files\KAV5\KAIEPlus.DLL O3 - Toolbar: ????? - {A9BE2902-C447-420A-BB7F-A5DE921E6138} - C:\KAV2003\KAIEPLUS.DLL O3 - Toolbar: ????? - {1DF2E6C2-21E1-4CB7-B0C0-A0121B539C2D} - C:\KAV2003\KIETOOL.DLL 上面三個是金山毒霸的IE工具條。 O3 - Toolbar: ????? - {6C3797D2-3FEF-4cd4-B654-D3AE55B4128C} - C:\PROGRA~1\KINGSOFT\FASTAIT\IEBAND.DLL 這個是金山快譯的IE工具條。 O3 - Toolbar: ????? - {1B0E7716-898E-48cc-9690-4E338E8DE1D3} - C:\PROGRAM FILES\3721\ASSIST\ASSIST.DLL 3721上網助手的IE工具條。 O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\WINDOWS\Downloaded Program Files\googlenav.dll 這個是google的IE工具條。 O3 - Toolbar: Norton Antivirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton Antivirus\NavShExt.dll 這個是諾頓殺毒軟體的工具條。 3. 一般建議同O2，這個也必須仔細分析，看看是否認得這個東西的名字，看看它在IE的工作列是什麼（有一些可能安裝了但沒有顯示，在IE的工作列點右鍵可以看到一些），看看它所在的路徑，不能一概而論。可以進一步查詢相關資料，千萬不要隨意修復。這裡推薦一些好的查詢位址 http://www.sysinfo.org/bholist.php http://www.spywareinfo.com/toolbars/ http://computercops.biz/CLSID.html 建議使用CLSID（就是「{ }」之間的數位）來搜尋相關項。通常，在以上網址的查詢結果中，標記為L的是合法的模組，標記為X的是間諜/廣告模組，標記為O的為暫時無結論的。對於標記為X的，一般建議修復。 4. 疑難解析如果在資料查詢列表中找不到，其名稱又似乎是隨機的，而路徑則在「Application Data」下，一般是感染了著名的Lop.com，建議修復。如 O3 - Toolbar: rzillcgthjx - {5996aaf3-5c08-44a9-ac12-1843fd03df0a} - C:\WINDOWS\APPLICATION DATA\CKSTPRLLNQUL.DLL 關於Lop.com的詳細資料及手動式修復方法，請參閱 http://www.doxdesk.com/parasite/lop.html QUOTE: （八）組別——O4 1. 項目說明這裡列出的就是平常大家提到的一般意義上的自啟動程序。確切地說，這裡列出的是註冊表下面諸鍵啟動的程序。 HKLM\Software\Microsoft\Windows\CurrentVersion\Run HKCU\Software\Microsoft\Windows\CurrentVersion\Run HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices HKCU\Software\Microsoft\Windows\CurrentVersion\RunServices HKLM\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce HKCU\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnceEx HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run 注意HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit這一項雖然也可以啟動程序，但已經在F2項報告過了。另外，O4項還報告兩種情況，即「Startup:」和「Global Startup:」，在我的印象裡 Startup: 相當於資料夾c:\documents and settings\USERNAME\ 下的內容（USERNAME指您的用戶名） Global Startup: 相當於資料夾c:\documents and settings\All Users\ 下的內容注意，其它存放在這兩個資料夾的文件也會被報告。我覺得，其實，「啟動」資料夾應該被報告，就是 Startup: 報告c:\documents and settings\USERNAME\start menu\programs\startup 下的內容 Global Startup: 報告c:\documents and settings\All Users\start menu\programs\startup 下的內容但這兩項在中文版分別為 Startup: C:\Documents and Settings\USERNAME\「開始」表單\程序\啟動 Global Startup: C:\Documents and Settings\All Users\「開始」表單\程序\啟動恐怕HijackThis不能識別中文版的這兩個目錄，以至不報告其內容。不是是否如此？望達人告知。 2. 舉例註：中括號前面是註冊表主鍵位置中括號中是鍵值中括號後是資料 O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun 註冊表自我檢驗 O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe windows工作最佳化器（Windows Task Optimizer） O4 - HKLM\..\Run: [SystemTray] SysTray.Exe Windows電源管理程序 O4 - HKLM\..\Run: [RavTimer] C:\PROGRAM FILES\RISING\RAV\RavTimer.exe O4 - HKLM\..\Run: [RavMon] C:\PROGRAM FILES\RISING\RAV\RavMon.exe O4 - HKLM\..\Run: [ccenter] C:\Program Files\rising\Rav\CCenter.exe 上面三個均是瑞星的自啟動程序。 O4 - HKLM\..\Run: [helper.dll] C:\WINDOWS\rundll32.exe C:\PROGRA~1\3721\helper.dll,Rundll32 O4 - HKLM\..\Run: [BIE] Rundll32.exe C:\WINDOWS\DOWNLO~1\BDSRHOOK.DLL,Rundll32 上面兩個是3721和百度的自啟動程序。（不是經常有朋友問行程裡的Rundll32.exe是怎麼來的嗎？） O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe Windows計劃工作 O4 - HKLM\..\RunServices: [RavMon] C:\PROGRAM FILES\RISING\RAV\RavMon.exe /AUTO O4 - HKLM\..\RunServices: [ccenter] C:\Program Files\rising\Rav\CCenter.exe 上面兩個也是瑞星的自啟動程序。 O4 - Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE 這是微軟Office在「開始——程序——啟動」中的啟動項。 3. 一般建議查表吧！可能的項目太多了，請進一步查詢相關資料，千萬不要隨意修復。推薦一些好的查詢位址 http://www.oixiaomi.net/systemprocess.html 這是中文的，一些一般的項目均可查到。 http://www.sysinfo.org/startuplist.php http://www.windowsstartup.com/wso/browse.php http://www.windowsstartup.com/wso/search.php http://www.answersthatwork.com/Taskl...s/tasklist.htm http://www.liutilities.com/products/...rocesslibrary/ 英文的，很全面。其中一些標記的含義—— Y - 一般應該允許執行。 N - 非必須程序，可以留待需要時手動啟動。 U - 由用戶根據具體情況決定是否需要。 X - 明確不需要的，一般是病毒、間諜軟體、廣告等。 ? - 暫時未知還有，有時候直接使用行程的名字在www.google.com上搜尋，會有意想不到的收穫（特別對於新出現的病毒、木馬等）。 4. 疑難解析請注意，有些病毒、木馬會使用近似於系統行程、正常應用程式(甚至殺毒軟體）的名字，或者乾脆直接使用那些行程的名字，所以一定要注意仔細分辨。O4項中啟動的程序可能在您試圖使用HijackThis對它進行修復時仍然執行著，這就需要先終止相關行程然後再使用HijackThis對它的啟動項進行修復。（終止行程的一般方法：關閉所有視窗，同時按下CTRL+ALT+DELETE，在開啟的視窗中選要終止的行程，然後按下「結束工作」或者「結束行程」，最後關閉該視窗。）（九）組別——O5 1. 項目說明 O5項與控制台中被遮閉的一些IE選項相關，一些惡意程序會隱藏控制台中關於IE的一些選項，這可以通過在control.ini文件中增加相關指令實現。 2. 舉例 O5 - control.ini: inetcpl.cpl=no 這裡隱藏了控制台中的internet選項 3. 一般建議除非您知道隱藏了某些選項（比如公司網管特意設定的），或者是您自己如此設定的，否則應該用HijackThis修復。 4. 疑難解析（暫無） QUOTE: （十）組別——O6 1. 項目說明 O6提示Internet選項（開啟IE——工具——Internet選項）被禁用。管理員可以對Internet選項的使用進行限制，一些惡意程序也會這樣阻撓修復。這裡用到的註冊表項目是 HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions 2. 舉例 O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present 這裡禁用了internet選項 3. 一般建議除非您知道禁用了internet選項（比如網咖使用了一些管理軟體），或者是您自己有意設定的（通過改註冊表或者使用一些安全軟體），否則應該用HijackThis修復。 4. 疑難解析（暫無） QUOTE: （十一）組別——O7 1. 項目說明 O7提示註冊表編輯器（regedit）被禁用。管理員可以對註冊表編輯器的使用進行限制，一些惡意程序也會這樣阻撓修復。這可以通過對註冊表如下鍵的預設值的修改實現 HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System 2. 舉例 O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1 這裡禁用了註冊表編輯器。 3. 一般建議除非您知道禁用了註冊表編輯器（比如公司使用了一些管理軟體），或者是您自己有意設定的（通過改註冊表或者使用一些安全軟體），否則應該用HijackThis修復。 4. 疑難解析（暫無） QUOTE: （十二）組別——O8 1. 項目說明 O8項指IE的右鍵表單中的新增項目。除了IE本身的右鍵表單之外，一些程序也能向其中增加項目。相關註冊表項目為 HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt 2. 舉例 O8 - Extra context menu item: 使用網際快車下載 - C:\PROGRAM FILES\FLASHGET\jc_link.htm O8 - Extra context menu item: 使用網際快車下載全部連接 - C:\PROGRAM FILES\FLASHGET\jc_all.htm 這是網際快車（FlashGet）增加的。 O8 - Extra context menu item: &Download by NetAnts - C:\PROGRA~1\NETANTS\NAGet.htm O8 - Extra context menu item: Download &All by NetAnts - C:\PROGRA~1\NETANTS\NAGetAll.htm 這是網路螞蟻（NetAnts）增加的。 O8 - Extra context menu item: 使用影音傳送帶下載 - C:\PROGRA~1\Xi\NETTRA~1\NTAddLink.html O8 - Extra context menu item: 使用影音傳送帶下載全部連接 - C:\PROGRA~1\Xi\NETTRA~1\NTAddList.html 這是影音傳送帶（Net Transport）增加的。 O8 - Extra context menu item: 匯出到 Microsoft Excel(&x) - res://F:\PROGRA~1\MICROS~1\Office10\EXCEL.EXE/3000 這是Office增加的。 3. 一般建議如果不認得新增加的項目，其所在路徑也可疑，可以用HijackThis修復。建議最好先在www.google.com上查一下。暫時未在網上找到O8項的列表。 4. 疑難解析（暫無） QUOTE: （十三）組別——O9 1. 項目說明 O9提示額外的IE「工具」表單項目及工作列按鈕。前面O3是指工具條，這裡是新增的單個工作列按鈕和IE「工具」表單項目。相關註冊表項目為 HKLM\SOFTWARE\Microsoft\Internet Explorer\Extensions registry key 2. 舉例 O9 - Extra button: QQ (HKLM) 就是IE工作列上的QQ按鈕。 O9 - Extra button: UC (HKLM) IE工作列上的UC按鈕。 O9 - Extra button: FlashGet (HKLM) IE工作列上的網際快車（FlashGet）按鈕。 O9 - Extra `Tools` menuitem: &FlashGet (HKLM) IE「工具」表單中的網際快車（FlashGet）項。 O9 - Extra button: NetAnts (HKLM) IE工作列上的網路螞蟻（NetAnts）按鈕。 O9 - Extra `Tools` menuitem: &NetAnts (HKLM) IE「工具」表單中的網路螞蟻（NetAnts）項。 O9 - Extra button: Related (HKLM) IE工作列上的「顯示相關站點」按鈕。 O9 - Extra `Tools` menuitem: Show &Related Links (HKLM) IE「工具」表單中的「顯示相關站點」項。 O9 - Extra button: Messenger (HKLM) IE工作列上的Messenger按鈕。 O9 - Extra `Tools` menuitem: Windows Messenger (HKLM) IE「工具」表單中的「Windows Messenger」項。 3. 一般建議如果不認得新增加的項目或按鈕，可以用HijackThis修復。 4. 疑難解析（暫無） QUOTE: （十四）組別——O10 1. 項目說明 O10項提示Winsock LSP(Layered Service Provider)「瀏覽器劫持」。某些間諜軟體會修改Winsock 2的設定，進行LSP「瀏覽器劫持」，所有與網路交換的訊息都要通過這些間諜軟體，從而使得它們可以監控使用者的訊息。著名的如New.Net插件或WebHancer元件，它們是安裝一些軟體時帶來的你不想要的東西。相關的中文訊息可參考—— http://tech.sina.com.cn/c/2001-11-19/7274.html 2. 舉例 O10 - Hijacked Internet access by New.Net 這是被廣告程序New.Net劫持的症狀（可以通過「控制台——增加移除」來卸載）。 O10 - Broken Internet access because of LSP provider `c:\progra~1\common~2\toolbar\cnmib.dll` missing 這一般出現在已清除間諜軟體但沒有恢復LSP正常狀態的情況下。此時，網路連接可能丟失掉。 O10 - Unknown file in Winsock LSP: c:\program files\newton knows\vmain.dll 這是被廣告程序newtonknows劫持的症狀，相關資訊可參考 http://www.pestpatrol.com/PestInfo/n/newtonknows.asp 3. 一般建議一定要注意，由於LSP的特殊性，單單清除間諜軟體而不恢復LSP的正常狀態很可能會導致無法連通網路！如果您使用殺毒軟體清除間諜程序，可能遇到如上面第二個例子的情況，此時可能無法上網。有時HijackThis在O10項報告網路連接破壞，但其實仍舊可以連通，不過無論如何，修復O10項時一定要小心。遇到O10項需要修復時，建議使用專門工具修復。（1）LSPFix http://www.cexx.org/lspfix.htm （2）Spybot-Search&Destroy（上面提到過，但一定要使用最新版）這兩個工具都可以修復此問題，請進一步參考相關教學。 4. 疑難解析某些正常合法程序（特別是一些殺毒軟體）也會在Winsock水準工作。比如 O10 - Unknown file in Winsock LSP: c:\windows\system32\kvwsp.dll 這一項就屬於大陸殺毒軟體KV。所以，在O10項遇到「Unknown file in Winsock LSP」一定要先查詢一下，不要一概修復。 QUOTE: （十五）組別——O11 1. 項目說明 O11項提示在IE的進階選項中出現了新項目。相關註冊表項目可能是 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\AdvancedOptions 2. 舉例 O11 - Options group: [CommonName] CommonName 這個是已知需要修復的一項。 O11 - Options group: [!CNS] O11 - Options group: [!IESearch] !IESearch 這2個是國內論壇上的HijackThis掃瞄日誌裡最一般的O11項，分屬3721和百度，去留您自己決定。如果想清除，請先嘗試使用「控制台——增加移除」來卸載相關程序。 3. 一般建議遇到CommonName應該清除，遇到其它項目請先在網上查詢一下。 4. 疑難解析（暫無） QUOTE: （十六）組別——O12 1. 項目說明 O12列舉IE插件（就是那些用來增強IE功能、讓它支持更多副檔名檔案類型文件的插件）。相關註冊表項目是 HKEY_LOCAL_MACHINE\software\microsoft\internet explorer\plugins 2. 舉例 O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll O12 - Plugin for .PDF: C:\Program Files\Internet Explorer\PLUGINS\nppdf32.dll 這兩個都屬於Acrobat軟體。 3. 一般建議絕大部分這類插件是安全的。已知僅有一個插件（OnFlow，用以支持檔案類型.ofb）是惡意的，需要修復。遇到不認得的項目，建議先在網上查詢一下。 4. 疑難解析（暫無） QUOTE: （十七）組別——O13 1. 項目說明 O13提示對瀏覽器預設值的URL前綴的修改。當在瀏覽器的位址欄輸入一個網址而沒有輸入其前綴（比如http://或ftp://）時，瀏覽器會試圖使用預設值的前綴（預設值為http://）。相關註冊表項目包括 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\URL\DefaultPrefix\ 當此項被修改，比如改為http://www.AA.BB/?那麼當輸入一個網址如www.rising.com.cn時，實際開啟的網址變成了——http://www.AA.BB/?< wind_code_11 > 2. 舉例 O13 - DefaultPrefix: http://www.pixpox.com/cgi-bin/click.pl?url= O13 - WWW Prefix: http://prolivation.com/cgi-bin/r.cgi? O13 - WWW. Prefix: http://ehttp.cc/? O13 - DefaultPrefix: http://%6E%6B%76%64%2E%75%73/ （翻譯過來就是http://nkvd.us/） O13 - WWW Prefix: http://%6E%6B%76%64%2E%75%73/ （翻譯過來就是http://nkvd.us/）） O13 - DefaultPrefix: c:\searchpage.html?page= O13 - WWW Prefix: c:\searchpage.html?page= O13 - Home Prefix: c:\searchpage.html?page= O13 - Mosaic Prefix: c:\searchpage.html?page= 3. 一般建議著名惡意網站家族CoolWebSearch可能造成此現象。建議使用CoolWebSearch的專殺——CoolWebSearch Shredder （CWShredder.exe）來修復，本帖前部已提到過此軟體，並指出了相關小教學的連接。如果使用CWShredder.exe發現了問題但卻無法修復（Fix），請在安全模式使用CWShredder.exe再次修復（Fix）。如果使用CWShredder.exe後仍然無法修復或者根本未發現異常，再使用HijackThis來掃瞄修復。 4. 疑難解析對於searchpage.html這個「瀏覽器劫持」（上面例子中最後4個就是它的現象），請參考【原創】近期論壇中2個較常被提到的惡意網頁的解決方法(searchpage.html和http://aifind.info/) http://community.rising.com.cn/F ... =3556320&page=1 簡單說，就是——「對於searchpage.html這個問題，上面提到的CWShredder.exe可以修復（Fix），普通模式不能修復的話，請在安全模式使用CWShredder.exe修復（Fix），修復後清空IE臨時文件(開啟IE瀏覽器——工具——internet選項——移除文件，可以把「移除所有離線內容」選上)，重新啟動。」 QUOTE: （十八）組別——O14 1. 項目說明 O14提示IERESET.INF文件中的改變，也就是對internet選項中「程序」選擇項內的「重置WEB設定」的修改。該IERESET.INF文件儲存著IE的預設值設定訊息，如果其內容被惡意程序改變，那麼一旦您使用「重置WEB設定」功能，就會再次啟動那些惡意修改。 2. 舉例 O14 - IERESET.INF: START_PAGE_URL=http://www.searchalot.com 3. 一般建議如果這裡列出的URL不是指向你的電腦提供者或Internet服務提供者（ISP），可以使用HijackThis修復。 4. 疑難解析（暫無） QUOTE: （十九）組別——O15 1. 項目說明 O15項目提示「受信任的站點」中的不速之客，也就是那些未經您同意自動增加到「受信任的站點」中的網址。「受信任的站點」中的網址享有最低的安全限制，可以使得該網址上的惡意指令碼、小程序等更容易躲過用戶自動執行。相關註冊表項目 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains 2. 舉例 O15 - Trusted Zone: http://free.aol.com 3. 一般建議如果不認得該網站，建議使用HijackThis來修復。 4. 疑難解析（暫無） QUOTE: （二十）組別——O16 1. 項目說明 O16 - 下載的程式文件，就是Downloaded Program Files目錄下的那些ActiveX對象。這些ActiveX對像來自網路，存放在Downloaded Program Files目錄下，其CLSID記錄在註冊表中。 2. 舉例 O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/p ... s/flash/swflash.cab 用來看flash的東東，相信很多朋友都安裝了。 O16 - DPF: {DA984A6D-508E-11D6-AA49-0050FF3C628D} (Ravonline) - http://download.rising.com.cn/ravkill/rsonline.cab 瑞星在線查毒。 3. 一般建議如果不認得這些ActiveX對象的名字，或者不知道其相關的下載URL，建議使用搜尋引擎查詢一下，然後決定是否使用HijackThis來修復該項。如果名字或者下載URL中帶有「sex」、「adult」、「dialer」、「casino」、「free_plugin」字樣，一般應該修復。HijackThis修復O16項時，會移除相關文件。但對於某些O16項，雖然選項了讓HijackThis修復，卻沒能夠移除相關文件。若遇到此情況，建議啟動到安全模式來修復、移除該檔案。 4. 疑難解析（暫無） QUOTE: （二十一）組別——O17 1. 項目說明 O17提示「域劫持」，這是一些與DNS解析相關的改變。已知會造成此現象的惡意網站為Lop.com。上面在解釋O1項時提到過，當在瀏覽器中輸入網址時，如果hosts文件中沒有相關的網址映射，將請求DNS域名解析以把網址轉換為IP位址。如果惡意網站改變了您的DNS設定，把其指向惡意網站，那麼當然是它們指哪兒您去哪兒啦！ 2. 舉例 O17 - HKLM\System\CCS\Services\VxD\MSTCP: Domain = aoldsl.net O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = W21944.find-quick.com O17 - HKLM\Software\..\Telephony: DomainName = W21944.find-quick.com O17 - HKLM\System\CCS\Services\Tcpip\..\{D196AB38-4D1F-45C1-9108-46D367F19F7E}: Domain = W21944.find-quick.com 017 - HKLM\System\CS1\Services\VxD\MSTCP: NameServer = 69.57.146.14,69.57.147.175 3. 一般建議如果這個DNS伺服器不是您的ISP或您所在的區域網路提供的，請查詢一下以決定是否使用HijackThis來修復。已知Lop.com應該修復，似乎已知的需要修復的O17項也就此一個。 4. 疑難解析（暫無）（二十二）組別——O18 QUOTE: 1. 項目說明 O18項列舉現有的傳輸協定（protocols）用以發現額外的傳輸協定和傳輸協定「劫持」。相關註冊表項目包括 HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PROTOCOLS\ HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID 等等。通過將您的電腦的預設值傳輸協定取代為自己的傳輸協定，惡意網站可以通過多種方式控制您的電腦、監控您的訊息。 HijackThis會列舉出預設值傳輸協定以外的額外增加的傳輸協定，並列出其在電腦上的儲存位置。 2. 舉例 O18 - Protocol: relatedlinks - {5AB65DD4-01FB-44D5-9537-3767AB80F790} - C:\PROGRA~1\COMMON~1\MSIETS\msielink.dll O18 - Protocol: mctp - {d7b95390-b1c5-11d0-b111-0080c712fe82} O18 - Protocol hijack: http - {66993893-61B8-47DC-B10D-21E0C86DD9C8} 3. 一般建議已知`cn` (CommonName)、`ayb` (Lop.com)和`relatedlinks` (Huntbar)是需要用HijackThis修復的。其它情況複雜，可能（只是可能）有一些間諜軟體存在，需要進一步查詢資料、綜合分析。 4. 疑難解析（暫無） QUOTE: （二十三）組別——O19 1. 項目說明 O19提示用戶樣式表（stylesheet）「劫持」，樣式表是一個副檔名為.CSS的文件，它是關於網頁格式、顏色、字體、外觀等的一個範本。相關註冊表項目 HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Styles\: User Stylesheets 此外，此項中也可能出現.ini、.bmp文件等。 2. 舉例 O19 - User stylesheet: c:\WINDOWS\Java\my.css O19 - User stylesheet: C:\WINDOWS\Web\tips.ini O19 - User stylesheet: C:\WINDOWS\win32.bmp 3. 一般建議已知，datanotary.com會修改樣式表。該樣式表名為my.css或者system.css，具體訊息可參考 http://www.pestpatrol.com/pestinfo/d/datanotary.asp http://www.spywareinfo.com/articles/datanotary/ 該「瀏覽器劫持」也屬於CoolWebSearch家族，別忘了上面多次提到的專殺。當瀏覽器瀏覽速度變慢、經常出現來歷不明的彈出視窗，而HijackThis又報告此項時，建議使用HijackThis修復。如果您根本沒使用過樣式表而HijackThis又報告此項，建議使用HijackThis修復。 4. 疑難解析（暫無） QUOTE: （二十四）組別——O20 1. 項目說明 O20項提示註冊表鍵值AppInit_DLLs處的自啟動項(前一陣子鬧得挺厲害的「about:blank」劫持就是利用這一項)。相關註冊表鍵為 HKEY_LOCAL_MACHINE\Software\Microsoft\WindowsNT\CurrentVersion\Windows 鍵值為 AppInit_DLLs 此處用來在用戶登入時載入.dll文件。用戶註銷時，這個.dll也被註銷。 2. 舉例 O20 - AppInit_DLLs: msconfd.dll 3. 一般建議僅有極少的合法軟體使用此項，已知諾頓的CleanSweep用到這一項，它的相關文件為APITRAP.DLL。其它大多數時候，當HijackThis報告此項時，您就需要提防木馬或者其它惡意程序。 4. 疑難解析 (1) O20 - AppInit_DLLs: apihookdll.dll 木馬剋星有這個文件，一般不用修復。 (2) 有時，HijackThis不報告這一項，但如果您在註冊表編輯器中使用「修改二進位資料」功能，則可能看到該「隱形」dll文件。這是因為該「隱形」dll文件在檔案名的開頭增加了一個`\|`來使自己難被發覺。 QUOTE: （二十五）組別——O21 1. 項目說明 O21項提示註冊表鍵ShellServiceObjectDelayLoad處的自啟動項。這是一個未正式公佈的自啟動方式，通常只有少數Windows系統元件用到它。Windows啟動時，該處註冊的元件會由Explorer載入。相關註冊表鍵為 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad 2. 舉例 O21 - SSODL - AUHOOK - {11566B38-955B-4549-930F-7B7482668782} - C:\WINDOWS\System\auhook.dll 3. 一般建議 HijackThis會自動識別在該處啟動的一般Windows系統元件，不會報告它們。所以如果HijackThis報告這一項，則有可能存在惡意程序，需要仔細分析。 4. 疑難解析（暫無） QUOTE: （二十六）組別——O22 1. 項目說明 O22項提示註冊表鍵SharedTaskScheduler處的自啟動項。這是WindowsNT/2000/XP中一個未正式公佈的自啟動方式，極少用到。 2. 舉例 O22 - SharedTaskScheduler: (no name) - {3F143C3A-1457-6CCA-03A7-7AA23B61E40F} - c:\windows\system32\mtwirl32.dll 3. 一般建議已知，CoolWebSearch變種Smartfinder用到這一項，請小心處理。建議使用CoolWebSearch專殺——CoolWeb Shredder（CoolWeb粉碎機），簡介見 http://community.rising.com.cn/F ... =3926810&page=1 4. 疑難解析（暫無）組別——O23 1. 項目說明 O23項提示註冊為系統服務的程序(可以通過執行->Services.msc,察看所有的系統服務) 2. 舉例 O23 - Service: AhnLab Task Scheduler - AhnLab, Inc. - C:\Program Files\AhnLab\Smart Update Utility\Ahnsdsv.exe O23 - Service: NOD32 Kernel Service - Unknown - C:\Program Files\Eset\nod32krn.exe 3. 一般建議很多正常軟體都會註冊到系統服務,一般的比如各種殺毒軟體和防火牆的服務以及Apache，MySQL等軟體,一般來說這些正常的服務的描述都很容易識別他們的身份(如」NOD32 Kernel Service」很明顯是NOD32的服務),如果出現了名稱和系統服務很像的服務,但是面說後面的廠商卻不是MS的項目就很可能是病毒了. 特別是這樣的例子。 023-service:**Service-Unknown-c:\windows\**.exe 灰鴿子無疑！！！服務名同程式名稱。
	__________________
	送花文章: 3, 收花文章: 1631 篇, 收花: 3205 次