学校的机房有病毒，因为经常要拷贝一些资料或作业回来，前几天电脑不幸中病毒了，后来连系统都进不了了（以后使用Ｕ盘之前要先杀毒，不可马虎），重装系统后用瑞星杀毒，发现有几个病毒（Trojan.Win32....;  Adware.Win32....）老是杀不了，地址显示为
D:\ System Volumn Information........  。于是就用了最笨的办法把这个地址复制到地址栏里回车进入文件，直接把染毒的文件删除了（系统文件在Ｃ盘）。也不知道这个文件夹是干什么用的。具体的病毒类型也不了解。
 
　到网上查了一些资料。
　（一）Trojan.DownLoade...　：下载***群
　　它的危害不大，关键是它下载下来的一堆***对机器的危害大。
　　Trojan.DL是一种在windows系统下的特洛伊***病毒，一般是PE病毒。 （Trojan.DL有百来种） 该病毒是一个WIN32 PE感染型病毒,病毒感染普通PE EXE文件并把自己的代码加到EXE文件尾部.修改原程序的入口点以指向病毒体,病毒本身没有什么危害.但被感染的文件可能被破坏不能正常运行 。（安全模式下杀毒）
　　Trojan.DL.Delf.exw ：特洛伊***（Trojan horse）
　　完整的***程序一般由两个部份组成：一个是服务器程序，一个是控制器程序。“中了***”就是指安装了***的服务器程序，若你的电脑被安装了服务器程序，则拥有控制器程序的人就可以通过网络控制你的电脑、为所欲为，这时你电脑上的各种文件、程序，以及在你电脑上使用的帐号、密码就无安全可言了。
***程序不能算是一种病毒，但越来越多的新版的杀毒软件，已开始可以查杀一些***了，所以也有不少人称***程序为***病毒。
　　特洛伊***是如何启动的
　　1. 在Win.ini中启动
在Win.ini的[windows]字段中有启动命令"load＝"和"run＝"，在一般情况下 "＝"后面是空白的，如果有后跟程序，比方说是这个样子：
run=c:\windows\file.exe
load=c:\windows\file.exe
要小心了，这个file.exe很可能是***哦。
　　2.在System.ini中启动
System.ini位于Windows的安装目录下，其[boot]字段的shell=Explorer.exe是***喜欢的隐藏加载之所，***通常的做法是将该何变为这样:shell=Explorer.exefile.exe。注意这里的file.exe就是***服务端程序!
另外，在System.中的[386Enh]字段，要注意检查在此段内的"driver＝路径\程序名"这里也有可能被***所利用。再有，在System.ini中的[mic]、[drivers]、[drivers32]这3个字段，这些段也是起到加载驱动程序的作用，但也是增添***程序的好场所，现在你该知道也要注意这里喽。
　　3.利用注册表加载运行
如下所示注册表位置都是***喜好的藏身加载之所，赶快检查一下，有什么程序在其下。
　　4.在Autoexec.bat和Config.sys中加载运行
请大家注意，在C盘根目录下的这两个文件也可以启动***。但这种加载方式一般都需要控制端用户与服务端建立连接后，将己添加***启动命令的同名文件上传到服务端覆盖这两个文件才行，而且采用这种方式不是很隐蔽。容易被发现，所以在Autoexec.bat和Confings中加载***程序的并不多见，但也不能因此而掉以轻心。
　　5.在Winstart.bat中启动
Winstart.bat是一个特殊性丝毫不亚于Autoexec.bat的批处理文件，也是一个能自动被Windows加载运行的文件。它多数情况下为应用程序及Windows自动生成，在执行了Windows自动生成，在执行了Win.com并加截了多数驱动程序之后
开始执行 (这一点可通过启动时按F8键再选择逐步跟踪启动过程的启动方式可得知)。由于Autoexec.bat的功能可以由Witart.bat代替完成，因此***完全可以像在Autoexec.bat中那样被加载运行，危险由此而来。
　　6.启动组
***们如果隐藏在启动组虽然不是十分隐蔽，但这里的确是自动加载运行的好场所，因此还是有***喜欢在这里驻留的。启动组对应的文件夹为C:\Windows\start menu\programs\startup,在注册表中的位置:HKEY_CURRENT_USER\Software\Microsoft\windows\CurrentVersion\Explorer\shell
Folders Startup="c:\windows\start menu\programs\startup"。要注意经常检查启动组哦!
　　7.*.INI
即应用程序的启动配置文件，控制端利用这些文件能启动程序的特点，将制作好的带有***启动命令的同名文件上传到服务端覆盖这同名文件，这样就可以达到启动***的目的了。只启动一次的方式:在winint.ini.中(用于安装较多)。
　　8.修改文件关联
修改文件关联是***们常用手段 (主要是国产***，老外的***大都没有这个功能)，比方说正常情况下TXT文件的打开方式为Notepad.EXE文件，但一旦中了文件关联***，则txt文件打开方式就会被修改为用***程序打开，如著名的国产***冰河就是这样干的. "冰河"就是通过修改HKEY_CLASSES_ROOT\txtfile\whell\open\command下的键值，将“C:\WINDOWS\NOTEPAD.EXE本应用Notepad打开，如著名的国产HKEY一CLASSES一ROOT\txt闹e\shell\open\commandT的键值，将 "C:\WINDOWS\NOTEPAD.EXE%l"改为 "C:\WINDOWS\SYSTEM\SYSEXPLR.EXE%l"，这样，一旦你双击一个TXT文件，原本应用Notepad打开该文件，现在却变成启动***程序了，好狠毒哦!请大家注意，不仅仅是TXT文件，其他诸如HTM、EXE、ZIP.COM等都是***的目标，要小心搂。
对付这类***，只能经常检查HKEY_C\shell\open\command主键，查看其键值是否正常。
　　9.捆绑文件
实现这种触发条件首先要控制端和服务端已通过***建立连接，然后控制端用户用工具软件将***文件和某一应用程序捆绑在一起，然后上传到服务端覆盖源文件，这样即使***被删除了，只要运行捆绑了***的应用程序，***义会安装上去。绑定到某一应用程序中，如绑定到系统文件，那么每一次Windows启动均会启动***。
　　10.反弹端口型***的主动连接方式
反弹端口型***我们已经在前面说过了，由于它与一般的***相反，其服务端 (被控制端)主动与客户端 (控制端)建立连接，并且监听端口一般开在80，所以如果没有合适的工具、丰富的经验真的很难防范。这类***的典型代表就是网络神偷"。由于这类***仍然要在注册表中建立键值注册表的变化就不难查到它们。同时，最新的天网防火墙(如我们在第三点中所讲的那样)，因此只要留意也可在网络神偷服务端进行主动连接时发现它。
　　（二）adware.win32专杀
症状是双击盘符不能打开，要用右键打开，右键菜单上多了adware.win32专杀，用杀软杀过后又变成用打开方式的方法打开。

　　adware.win32专杀解决手段：
　　1、打开任务管理器（ctrl+alt+del或者任务栏右键点击也可），终止所有ravmone.exe的进程
　　2、进入c:\windows，删除其中的ravmone.exe
　　3、进入c:\windows，运行regedit.exe，在左边依次点开HK_Loacal_Machine\software\Microsoft\windows\CurrentVersion\Run\，在右边可以看到一项数值是c:\windows\ravmone.exe的，把他删除掉
　　4、完成后，adware.win32病毒就被清除了。

　　对adware.win32专杀，如果中毒，则把文件夹选项中隐藏受保护的操作系统文件钩掉，点上显示所有文件和文件夹，点击确定，然后在移动存储设备中会看到如下几个文件，adware.win32专杀,autorun.inf，msvcr71.dl，ravmone.exe，都删除掉，还有一个后缀为tmp的文件，也可以删除，完成后，病毒就清除了。
至此为止,您机器上的adware.win32专杀就算完全解除了. 
 
　　（三）system volumn information 是系统还原文件夹，留存了系统还原的还原备份，如果做了GHOST备份，这些东西就没有用了，可以关闭系统还原，删除系统还原文件夹。
　　我的电脑/属性/系统还原/在所有驱动器上关闭系统还原/确定。
 
　　这次的经历又给自己上了一课，以后要学习的东西还有很多很多。