伊缘网 首页
 设为首页    加入收藏    用户帮助    联系我们 
网站首页 新闻动态 技术文章 Flash整站 精彩网文 资源下载 视频教程
网上商城 Flash动漫 网页特效 酷站欣赏 BBS论坛 在线工具 留言本站
  F-CMS Flash CMS   CXT Flash Cms   SXW Flash CMS   EXW Flash Cms   
  您的位置: 伊缘网 >> 网络学堂 >> 网络攻防 >> 病毒专区
 阅读文章

手工清除 lsass.exe木马病毒

  文章作者:星恋伊缘网来源:星恋伊缘网浏览次数:5017字体:
 阅读权限:游客身份阅读花费:0 E币添加时间:2007-8-22 上午 04:38:15提交会员:esing
皮具制造生产企业,专注时尚包包
提示:登陆本站会员系统后,网站系统将不显示任何广告!如果您还不是本站会员请注册本站会员,谢谢您对本站的关注!

  最近N多网友反映自己的D盘双击打不开,出现选择程序打开方式对话框。D盘目录下有command.com和autorun.inf两个文件,删掉又会出来。

  进程里面有2个lsass.exe进程,一个是system的,一个是当前用户名的(该进程为病毒).

  同时修改N多注册表键值,创建N多病毒文件。。所以要想清楚干净十分困难。。

  正文开始:

  以windows xp为例

  一、准备工作:

  打开“我的电脑”——工具——文件夹选项——查看

  a、把“隐藏受保护的操作系统文件(推荐)”和“隐藏已知文件类型的扩展名”前面的勾去掉;

  b、勾中“显示所有文件和文件夹”

  二、结束进程

  用Ctrl+Alt+Del调出windows务管理器,想通过右击当前用户名的lsass.exe来结束进程是行不通的.会弹出该进程为系统进程无法结束的提醒框;

  点到任务管理器进程面版,点击菜单,"查看"-"选择列",在弹出的对话框中选择"PID(进程标识符)",并点击"确定"。找到映象名称为"LSASS.exe",并且用户名不是"SYSTEM"的一项,记住其PID号.点击"开始"——运行,输入"CMD",点击"确定"打开命令行控制台。

  输入"ntsd –c q -p (此红色部分填写你在任务管理器里看到的LSASS.EXE的PID列的数字,是当前用户名进程的PID,别看错了)",比如我的计算机上就输入"ntsd –c q -p 1064".这样进程就结束了。(如果结束了又会出现,那么你还是用下面的方法吧)

  三、删除病毒文件

  删除如下几个文件: (与WIN2000的目录有所不同)

  C:\Program Files\Common Files\INTEXPLORE.pif (有的没有.pif)

  C:\Program Files\Internet Explorer\INTEXPLORE.com

  C:\WINDOWS\EXERT.exe

  C:\WINDOWS\IO.SYS.BAK

  C:\WINDOWS\LSASS.exe

  C:\WINDOWS\Debug\DebugProgram.exe

  C:\WINDOWS\system32\dxdiag.com

  C:\WINDOWS\system32\MSCONFIG.COM

  C:\WINDOWS\system32\regedit.com

  在D:盘上点击鼠标右键,选择“打开”。删除掉该分区根目录下的"Autorun.inf"和"command.com"文件.

  四、删除注册表中的其他垃圾信息

  将C:\WINDOWS目录下的"regedit.exe"改名为"regedit.com"并运行,删除以下项目:

  1、HKEY_CLASSES_ROOT\WindowFiles

  2、HKEY_CURRENT_USER\Software\VB and VBA Program Settings

  3、HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main 下面的 Check_Associations项

  4、HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet\INTEXPLORE.pif

  5、HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 下面的ToP项
  五、修复注册表中被篡改的键值(红色部分为需要信息)

  1、将HKEY_CLASSES_ROOT\.exe的默认值修改为 "exefile"(原来是windowsfile)

  2、将HKEY_CLASSES_ROOT\Applications\iexplore.exe\shell\open\command 的默认值修改为 "C:\Program Files\Internet Explorer\iexplore.exe" %1 (原来是intexplore.com)

  3、将HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D} \shell\OpenHomePage\Command 的默认值修改为

  "C:\Program Files\Internet Explorer\IEXPLORE.EXE"(原来是INTEXPLORE.com)

  4、将HKEY_CLASSES_ROOT \ftp\shell\open\command 和HKEY_CLASSES_ROOT\htmlfile\shell\opennew\command

  的默认值修改为"C:\Program Files\Internet Explorer\iexplore.exe" %1 (原来的值分别是INTEXPLORE.com和INTEXPLORE.pif)

  5、将HKEY_CLASSES_ROOT \htmlfile\shell\open\command 和

  HKEY_CLASSES_ROOT\HTTP\shell\open\command的默认值修改为

  "C:\Program Files\Internet Explorer\iexplore.exe" –nohome

  6、将HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet 的默认值修改为"IEXPLORE.EXE".(原来是INTEXPLORE.pif)

  六、收尾工作

  关掉注册表编辑器

  将C:\WINDOWS目录下的regedit.com改回regedit.exe

  好了,恭喜你,大功告成了!!!是不是很有成就感啊??呵呵。


  Tags:  木马  病毒  
·上篇文章:用CSS隐藏网页的滚动条
·下篇文章:Access数据库使用安全要点
复制 】 【 打印
 相关文章
·百度资料: 手工清除 lsass.exe木马病毒
·常见木马入侵防范技巧 2007-10-6 上午 01:21:31
·至今为止破坏性最强的8个电脑病毒 2007-9-6 下午 07:50:39
·防范木马后门4招 2007-9-6 下午 07:45:10
·如何清除不可杀病毒 2007-7-31 下午 09:38:55
·找出反向木马里的幕后元凶 2007-7-25 下午 06:21:12
特别声明:本站除部分特别声明禁止转载的专稿外的其他文章可以自由转载,但请务必注明出处和原始作者。文章版权归文章原始作者所有。对于被本站转载文章的个人和网站,我们表示深深的谢意。如果本站转载的文章有版权问题请联系我们,我们尽快予以更正,谢谢。
 相关评论
【文章评论已关闭】
伊缘网