求助 - 無法刪除的應用程式

[天剛]

[天剛]

報告熱血不飛及Getter版大：貼圖無法展示？煩請參照圖片上傳網址，前往瀏覽Unlocker 1.9.2 掃瞄 sdamon.exe 的報告圖示。小弟依照史萊姆貼圖教學，不知哪裡出錯貼圖沒有出現只出現貼圖的網址？

[不飛]

C:\windows\system32\rundll32.exe
C:\windows\system32\RUNDLL32.EXE

這個非常可疑，疑似核心已經被串改，

請先清查一下您的 C:\WINDOWS\system32\ 之下，

有幾個 RUNDLL32.EXE 或是 rundll32.exe 的檔案 (注意英文大小寫) ?

煩請回報，謝謝。

[getter]

作者: 天剛

報告熱血不飛及Getter版大：貼圖無法展示？煩請參照圖片上傳網址，前往瀏覽Unlocker 1.9.2 掃瞄 sdamon.exe 的報告圖示。小弟依照史萊姆貼圖教學，不知哪裡出錯貼圖沒有出現只出現貼圖的網址？

先講解貼圖的部分 ...

咱們史版的貼圖語法，圖片的位址最後面一定要有圖片副檔名的才行 ...

以你貼的圖片來說 http://www.fotopu.com/fullsize/713435 就不行了

必須是 http://www.fotopu.com/img/1/713435.jpg 才行

然後是，即便是有圖片副檔名的連結，太複雜太長的也可能不行

如 http://www.abcd.com/%1%2%3%c%d%3%7/%1%134%3%5.jpg 這種的可能不行

或是這種的 http://www.fotopu.com/img/1/713435.jpg?imgmax=512 這種的也不行

要像這樣的 http://www.fotopu.com/img/1/713435.jpg 簡簡單單的才 ok

因為你也是用 http://www.fotopu.com 迪西教你一下基本上不管是哪一種貼圖空間 ...

只要把滑鼠游標放在圖片上面，按下滑鼠右鍵找以下的項目即可取得圖片的位址。

Opera：「複製圖片位址」
Google Chrome：「複製影像位址」
Mozilla Firefox：「複製圖片網址」
Avant Browser：「複製影像網址」
Internet Explorer：「內容」，會出現一個視窗會有圖片的網址，在複製起來。

再把取得到的圖片網址，貼到史版的貼圖語法中就好了 ... [img] ... [/img]

然後就是依據該貼圖來看 ...

應該是 sdamon.exe 牠關聯開啟到其他很多的相關檔案，正確說法就是有使用的其他
*.dll 中登載的程式碼。

換句話說就是 sdamon.exe 有被或是利用這麼多的檔案開起來捆綁，這沒關係
在 Unlocker ，參考這張圖的操作



------------------------------------------------------------------------------------

然後最後有看到兩個很靠腰的東西 services.exe 跟 RUNDLL32.exe 這兩個檔案，
通常有使用的 Windows「服務」來開啟程式的話，多多少少會關聯到這兩個執行檔。
其中 RUNDLL32.exe 如果有備病毒串改的話，有些會用某些檔名混搖，如
rund1132.exe 或是 rundII32.exe 這是有過的，反而是將檔名全部以大寫顯示，
就會打出原形了。

services.exe 跟 RUNDLL32.exe 這兩個檔案，比較麻煩，可能被病毒或惡意程式修改過。
如何判斷，用「工作管理員」觀察 CPU 使用率，尤其是這兩個檔案。當有可能被病毒或惡意
程式修改過時，CPU 使用率會異常偏高，這是股溝到的答案。

有些會跟 services.exe 跟 RUNDLL32.exe 這兩個檔案的所在位置有關，一般來說
正常的狀況來說會在 C:\Windows\system32 底下，以前有陣子是出現在別的地方，
如 C:\Windows 底下，通常不是在正確的預設位置中的，是病毒或惡意程式的機會很高。

怕有問題就做個系統掃毒看看 ...

[天剛]

呈報熱血不飛及 Getter 版大：

一‧首先回覆熱血不飛的吩咐，小弟系統 C:\WINDOWS\system32\ 之下，只有一個小寫的 rundll32.exe 的檔案。

二‧感謝Getter 版大熱血指導貼圖方法，小弟以完全瞭解出錯地方並加以修正！依照 Getter 版大的教導，小弟等候熱血不飛的關於有幾個 rundll32.exe 檔案的疑問釐清後，再使用 Unlocker 來修正sdamon.exe 相關連結，主要用意是這兩個問題不會產生衝突。

[不飛]

作者: 天剛

呈報熱血不飛及 Getter 版大：

一‧首先回覆熱血不飛的吩咐，小弟系統 C:\WINDOWS\system32\ 之下，只有一個小寫的 rundll32.exe 的檔案。

二‧等候熱血不飛的關於有幾個 rundll32.exe 檔案的疑問釐清。

先說明 rundll32.exe 的含意，

依照字面上來解釋，他就是 Run DLL 32 位元的檔案，

也就是說，在三十二位元下的所有微軟視窗 (Microsoft Windows) 操作系統，

只要是執行任何程式，都跟他有關係，

DLL 是系統核心內的牽連組態檔案，例如 *.dll 等，

例如您開啟視窗後，開啟 IE 瀏覽器 (iexplore.exe)，

他就會牽連到網路，顯示卡驅動程式，音效卡驅動程式，JAVA，Flash，秀圖程式，

還有字型，掃毒程式，網路服務伺服器......... 等數不清的程式，

這就是關聯檔案，也就是牽聯組態檔案的意思，

一個 EXE 必須牽連很多的 DLL 互相串聯互相溝通互相組合跟合作，達成完整隊形，

這就是 rundll32.exe 必須存在系統核心的含意跟主要原因。

而且 OS 內只能有一個 rundll32.exe 檔案，但是可以多工(多個)同時執行，

換成英文大寫的 RUNDLL32.EXE 就表示您的 OS 內隱藏了另外一個病變的核心，


Windows XP 正確的 rundll32.exe 位置在於 C:\windows\system32\ 之下，

如果不在此位置或是被串改成英文大寫的單字檔案名稱，

就表示您的操作系統已經受損或是被串改或是中毒，

要修復，請參考下方微軟官方網頁說明 :

http://support2.microsoft.com/defaul...b;zh-tw;812340

備註 :

x64 的 OS 也有相同檔案名稱，不過正確名稱是 rundll.exe

但是 x64 的 OS 相容了 x86 的 OS，

也有另一個檔案名稱為 rundll32.exe 來執行 x86 的程式，

以上說明，謝謝 。

[天剛]

回覆熱血不飛及Getter版大：
一， rundll32.exe 檔案，熱血不飛的清楚說明，小弟以完全瞭解它的功能及作用！這個檔案經小弟使用Norton 掃瞄及檔案鑑識後，應可確認並無問題。

二‧首先要抱歉的是，樓上PO圖除了sdamon.exe 連結檔案，多出來的services.exe 跟RUNDLL32.exe 是小弟截圖時多圈選出來的，因為 Unlocker 是將 C:\windows\目錄內全部檔當一併掃入它的作業視窗，小弟只是擷取sdamon.exe連結部分，另外兩個檔案是小弟額外一併擷取的。

三‧小弟依照Getter版大指導PO圖方式，使用 Unlocke 並將全部sdamon.exe連結圈選後，於以『刪除』並『全部解鎖』。並再度執行『刪除檔案』指令，結果依然無法刪掉『sdamon.exe - 應用程式錯誤警示框』
C:\windows\system32\ 之下 rundll32.exe 檔案 ，恭請熱血不飛及Getter版大過目！衷心感謝！

[getter]

讓系統進入「安全模式」之後在試看看

-----------------------------------------------------------------

突然想到 ... 如果硬碟有某些狀況可能也會發生無法刪除檔案的狀況

1.檔案系統的紀錄錯誤。
解決辦法，使用 Windows 系統自帶的「磁碟檢查」工具做檢查與修復。
相當於在 DOS 提示符號下達 C:\>chkdsk /f C: 的指令。



下面的選項，只要打勾「自動修正檔案系統錯誤」就好了。


完成之後，會有一定的機率可以刪除檔案。

2.硬碟壞軌。
解決辦法，使用 Windows 系統自帶的「磁碟檢查」工具做檢查與修復。
相當於在 DOS 提示符號下達 C:\>chkdsk /f /r C: 的指令。



下面的選項，都要打勾。


完成之後，會有一定的機率可以刪除檔案。

-----------------------------------------------------------------

其他，如果還是很頑強的 ... 就要考慮另一種方式 ...

使用 XPE、7PE、8PE 這類的 Windows PE 開機系統修復光碟。

1.先用 Windows PE 開機。

2.出現操作的桌面後，進入到目標的資料夾。

3.選取目標檔案，按下刪除。

4.如果出現無法刪除的狀況...，一種就是壞軌或檔案系統的紀錄錯誤，
　同上，一樣要先修復磁碟狀況，完成後在刪除檔案。另一種是，檔案
　系統可能因為一下安裝 新版 Windows 後又裝回舊版的 Windows 出
　現的問題，導致無法刪除。請改用最新版本的 Windows PE 開機，
　做處理。如原本是 XPE 改用 8PE。