一次“炼狱”般的电脑维护

单位的局域网所有的主机都是 windows xp 系统,最近无一幸免都中招了,症状类似,估计是若干个在局域网内相互感染的病毒。
  一、陷入地狱:
   1 、瑞星杀毒软件、瑞星防火墙全部不能开机运行,双击后没有任何反应。
   2 、任务管理器变灰,运行注册表编辑器 (regedit.exe) 、系统配置实用程序 (msconfig.exe) 、服务 (services.msc) 、组策略 (gpedit.msc) 没有反应。
   3 我的电脑 中每个盘无法双击打开。
   4 、系统运行越来越慢,最后只有重新启动。
  二、炼狱之路:
   1 、安全模式。
  最初想到的是进入安全模式,看看瑞星能否运行,能的话先用瑞星查杀,不行的话再用手工查杀。重启电脑,等待进入安全模式,谁知道蓝屏,地狱之门关上了一扇。看来病毒删除或修改了安全模式的注册表键值。
   2 、修复安全模式。
  从一台独立的运行 Windows XP 的笔记本电脑上把完好的安全模式注册表选项导出来,存入 U ( 安全模式注册表项 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot]) 。然后以正常模式进入系统,双击 SAFEROOG.REG 文件没有反应,运行注册表管理器 (regedit.exe) 没有反应,因此不能直接修复安全模式。放弃 !
   3 、命令提示符。
  运行 cmd ,打开命令提示符 ( 幸运,可以运行 !) 。敲入 tasklist 试试,列出了当前运行的进程,竟然有 40 多个。长了个心眼,先用
   “taskkill /f /im explorer.exe” “taskkill /f /im ieplorer.exe”, 结束 explorer.exe 进程和 iexplorer.exe 进程,因为有很多病毒和木马都把自身嵌入了这两个进程之中。然后用 “taskkill” 结束了其他的可疑进程。感觉系统响应速度快了很多,想想现在应该没有问题了,再次运行 “regedit.exe” ,仍然没有反应,听见硬盘狂转,灯狂闪,系统似乎没有了响应。重启呗 !
   4 、赤膊杀毒。
  系统重启之后,打开 我的电脑 双击系统 c 盘,反应好慢,感觉不正常。右键查看原来第一项变成了 “auto” ,记得默认的第一项应该是 打开 。心里一个激灵,看来中了 “Autorun.inf” 了,双击盘符病毒又激活了。马上运行 CMD ,进入 C 盘根目录,用 “dir /a” 命令查看果然在系统目录下有两个陌生的文件 “Autorun.inf” “setup.exe” ,用 “attrib” 命令查看,是系统、只读、隐藏文件。这个好办用 “attrib -a -s -h autorun.inf” “attrib -a -s -h setup.exe”, 然后 “del autorun.inf del setup.exe” 。由于每个盘下都有这两个文件,我建了一个批处理文件 del.bat ,一次搞定。
   @echo off
   cd \
   attrib -a -s -h autorun.inf
   attrib -a -s -h setup.exe
   del autorun.inf
   del setup.exe
   d:
   attrib -a -s -h autorun.inf
   attrib -a -s -h setup.exe
   del autorun.inf
   del setup.exe
   e:
   attrib -a -s -h autorun.inf
   attrib -a -s -h setup.exe
   del autorun.inf
   del setup.exe
   taskkill /f /im explorer.exe
   start ecplorer.exe
   exit
   ( 注:我的系统只有三个区 ) 然后很熟练地执行 工具 - 文件夹选项 - 查看 准备选取 显示所有文件和文件夹 ,看到的一切让我后背一直凉到心里,阴风飕飕。没有这一项,其上的 不显示隐藏的文件和文件夹 选项变成 就连禽兽都有恻隐之心,我没有恻隐之心,所有我不是禽兽 !” 崩溃 !
  5 、仙人指路。
  运行 “regedit.exe” 没有反应,难道是被病毒删除了,马上进入 c:\windows\ 目录下查看, regedit.exe 文件在,大小和创建时间都没有问题,那为什么不运行呢 ? 难道是系统变量问题,在命令提示行下键入 “set” 命令,看到关于路径的系统变量没有问题。怎么回事呢 ? 突然眼前一亮,犹如仙人点化,这难道就是传说中的 映象劫持 ? 难道 “regedit.exe” 被劫持了 ! 想起有个在命令提示符下的修改注册表的命令 “reg” ,马上运行,可以运行,它没有被劫持。敲入命令:
   “D:\>reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options"
  真是邪恶,几乎所有的主流杀毒软件的主程序,主要的系统工具都被劫持,指向 c:\windows\systemsetup.exe 文件,当然注册表也在其中。好办,先敲入命令:
   D:\>reg explort "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options" image.reg” 备份 , 最后敲入命令 D:\>reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options" 删除其键值项。马上运行 “regedit.exe” ,打开了可爱的注册表编辑器,清除如下键值下的可疑自启动项。
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
   HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows
  运行 “msconfig.exe” 启动 项下看看有没有漏网之鱼。
   6 、重见天日。
  重启电脑,进入系统,瑞星终于复活了 ! 马上上网升级病毒库。等一等,在上网之前,敲入 “netstat -ano” 命令看看有没有可疑的开放端口,不然联网后会前功尽弃。没有,马上升级。导入 U 盘中的 SAFEROOG.REG 修复安全模式,顺利进入安全模式杀毒,竟然查出 423 个病毒 ! 最后修复病毒修改的注册表相关键值。 ok ,冲出了地狱之门,重见天日 !
  总结:这次电脑维护走了不是弯路,但其中提供的方法希望对大家有所帮助。电脑维护者要有高度的对于电脑的敏感度,电脑的任何反应都是有原因的,要从一些蛛丝马迹中找到问题,少走弯路。这次电脑维护 “reg” 是个转折点,如果病毒连 “reg” 也劫持的话,我想可以用 Winpe 光盘引导系统,然后用 Winpe 系统的注册表编辑器加载 xp 的注册表项,修改以上选项。
 

你可能感兴趣的:(doc,电脑,维护,杀毒)