国际米兰

标题: 太开心，自己弄了次注册表 [打印本页]

作者: pighead 时间: 2006-9-8 10:53:45 标题: 太开心，自己弄了次注册表

昨天上午，办公室一电脑键盘失灵，需要重装系统，结果请人来修理，花了30块。

下午，我本本上的卡巴说检测个木马，没有看直接确定删除了，再重启。这下完了无法登陆了，提示错误，说什么DLL，要回复等乱七八糟的。不过安全模式还是可以进入，但无法上网还是等于没有。
没办法，找公司网管，人家说要修复安装下就可以了，不是大问题。
接着找上午来修电脑的那小子，结果人家说也是30块，不过现在太忙，明天过来。我靠
再找朋友，说没有空……
MD，我准备自己弄了，去网上搜索了下rpefap.dll，出了一堆，挑了看起来比较系统的，要修改注册表……
注册表的不会，再搜索下怎么打开注册表，regedit，好了，找了老半天，删除了一堆东西。终于搞定了。

实在是太爽了，借用下大学一NB老师说的，“电脑就是个大傻瓜。”
现在去打电话把公司的那网管diao一顿。

[em02][em02][em02]

作者: pighead 时间: 2006-9-8 10:57:19

转：http://pcav.cn/Article/aqff/200608/7124.html 我的Windows XP SP2操作系统的欢迎屏幕和快速用户切换最近莫名其妙地被关闭了，每次开机都要像进入Windows 2000系统一样输入用户名和密码。打开控制面板的用户帐户，试图更改用户登录和注销的方式，却被提示：一个最近的安装程序已停止欢迎屏幕和快速用户切换，你必须卸载该程序以恢复这些功能，下列文件名可帮助你识别该程序所做的修改：rpcfap.dll 。
 经检查，并不是由NetWare服务所导致的。同时，IE的收藏夹内也被恶意地添加了很多链接。 上网搜索，在金山毒霸的病毒资料中得知是中了叫做Win32.Troj.ADLoad.an的木马病毒。该病毒主要影响Win 9x/ME、Win 2000/NT、Win XP、Win 2003等操作系统，并有如下行为： 病毒运行后通过网络下载相关的广告插件，下载后的文件伪装成系统正常文件使用户不易察觉。病毒主要通过捆绑软件方式进行传播。 1、下载/生成以下文件：
 %Windir%\System32\magicap.dll
 %Windir%\System32\magicap.ver
 %Windir%\System32\magicaptmp.ver
 %Windir%\System32\taskmngr.exe
 %Windir%\System32\autorun.inf
 %Windir%\System32\taskmngrtmp.exe
 %Windir%\System32\d11host.exe
 %Windir%\System32\magicapf.log
 %Windir%\System32\oleauto32.dll
 %Windir%\System32\ntcoredll.dll
 %Windir%\System32\rpcfap.dll
 %Windir%\System32\fileap.dll
 %Windir%\System32\fileap.ver
 %Windir%\System32\msieinslog.dat
 %Windir%\prfexp.dat
 %Windir%\secupadf.dat
 %Windir%\msimfinst.log
 %Windir%\ntcoredlltmp.dll 2、通过可用的网络资源下载以下文件：
 http://bms.y****.com/plugin/magicap.ver 保存为: %Windir%\system32\magicap.ver
 http://bms.y****.com/plugin/taskmngr.exe 保存为: %Windir%\system3\taskmngr.exe 3、将%windir%\system32\spydll.dll注入explorer进程 4、写入注册表项:
 [HEKY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
 {372F096E-977F-4BF9-A97E-0BBED41332F2}="magicaps"
 [HEKY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved]
 {372F096E-977F-4BF9-A97E-0BBED41332F2}="magicaps"
 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
 d11host="C:\\WINNT\\System32\\d11host.exe"
 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
 GinaDLL="rpcfap.dll" 根据网上的评论，对于该病毒，暂时还没有彻底清除的解决方案。综合了各种方法，我总结了以下步骤，可以解决欢迎屏幕和快速用户切换不能使用的问题：方法1：
 1、开机按F8键进入操作系统的安全模式，删除以下所有病毒写入的注册表项目（这些项目未必全部存在，对于存在的项目一定要彻底删除。）：
 [HEKY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
 {372F096E-977F-4BF9-A97E-0BBED41332F2}="magicaps"
 [HEKY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved]
 {372F096E-977F-4BF9-A97E-0BBED41332F2}="magicaps"
 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
 d11host="C:\\WINNT\\System32\\d11host.exe"
 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
 GinaDLL="rpcfap.dll"
 [HEKY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellExtensions\Approved]
 (默认)=fileap.dll
 [HEKY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
 (默认)=fileap.dll 2、在注册表中搜索rpcfap.dll，并将所有项全部删除（搜索的时候，有的项里面的子值都是上面病毒生成的文件，所以，一定要仔细搜索，彻底删除。）。 3、在注册表中搜索fileap.dll，并将所有项全部删除。 4、将IE收藏夹中所有被恶意添加的链接全部删除并清空Cookies和IE浏览记录。 经过上面的操作，重新启动系统后，就可以看到熟悉的登录画面了。

 另外，对于正常的Windows XP系统，rpcfap.dll文件是不存在的，所以，有的人采用进入安全模式后删除该文件的方法，不过，最终连系统都进不去了，所以还是不要轻易尝试简单删除的办法。方法2 第一步，先拷贝本方法内容到记事本，存到桌面上，一会备用，因为你上不了网了，呵呵。 2. 进入注册表先搜索删除下列相关键值（特别提示：不要输入扩展名能查得更准确一些）：
magicap.dll
magicap.ver
magicaptmp.ver
taskmngr.exe
taskmngrtmp.exe
d11host.exe
magicapf.log
oleauto32.dll
ntcoredll.dll
rpcfap.dll
fileap.dll
fileap.ver
msieinslog.dat
prfexp.dat
secupadf.dat
msimfinst.log
ntcoredlltmp.dll
spydll.dl
3.进入系统目录，删除相关文件：
%Windir%\System32\magicap.dll
%Windir%\System32\magicap.ver
%Windir%\System32\magicaptmp.ver
%Windir%\System32\taskmngr.exe
%Windir%\System32\autorun.inf
%Windir%\System32\taskmngrtmp.exe
%Windir%\System32\d11host.exe
%Windir%\System32\magicapf.log
%Windir%\System32\oleauto32.dll
%Windir%\System32\ntcoredll.dll
%Windir%\System32\rpcfap.dll
%Windir%\System32\fileap.dll
%Windir%\System32\fileap.ver
%Windir%\System32\msieinslog.dat
%Windir%\prfexp.dat
%Windir%\secupadf.dat
%Windir%\msimfinst.log
%Windir%\ntcoredlltmp.dll
%Windir%\System32\spydll.dl

注意，如果有些DLL还在运行中无法删除，请重新启动再次进入安全模式，再次进行上述操作，多重启几次，问题就解决了。

作者: 国米王子32 时间: 2006-9-8 12:12:07

经常是一堆垃圾啊。。无奈

作者: chencheng9 时间: 2006-9-8 13:36:51

这东西自己多动手碰碰就懂了啊

作者: pighead 时间: 2006-9-8 15:01:07

以下是引用chencheng9在2006-9-8 13:36:51的发言：
这东西自己多动手碰碰就懂了啊

我比电脑还白痴，不敢弄

作者: stephenhe33 时间: 2006-9-8 16:03:17

LZ也是电脑高人!

作者: ygw7768 时间: 2006-9-8 23:34:14

一般一般啦

作者: r9999 时间: 2006-9-12 20:25:21

现在网络就是最好的老师啦，什么不懂就问网上就行啦

作者: 圣地-梅亚查 时间: 2006-9-12 20:52:50

我的基本是中毒几次就重装几次啊

，现在病毒妈的越来越厉害

作者: inter8 时间: 2006-9-12 20:56:50

我也是自己整自己的电脑的!

欢迎光临国际米兰 (http://bbs.inter.net.cn/)