太开心，自己弄了次注册表

pighead

昨天上午，办公室一电脑键盘失灵，需要重装系统，结果请人来修理，花了30块。

下午，我本本上的卡巴说检测个木马，没有看直接确定删除了，再重启。这下完了无法登陆了，提示错误，说什么DLL，要回复等乱七八糟的。不过安全模式还是可以进入，但无法上网还是等于没有。
没办法，找公司网管，人家说要修复安装下就可以了，不是大问题。
接着找上午来修电脑的那小子，结果人家说也是30块，不过现在太忙，明天过来。我靠
再找朋友，说没有空……
MD，我准备自己弄了，去网上搜索了下rpefap.dll，出了一堆，挑了看起来比较系统的，要修改注册表……
注册表的不会，再搜索下怎么打开注册表，regedit，好了，找了老半天，删除了一堆东西。终于搞定了。

实在是太爽了，借用下大学一NB老师说的，“电脑就是个大傻瓜。”
现在去打电话把公司的那网管diao一顿。
[em02][em02][em02]

pighead

转：http://pcav.cn/Article/aqff/200608/7124.html <P>  我的Windows XP SP2操作系统的欢迎屏幕和快速用户切换最近莫名其妙地被关闭了，每次开机都要像进入Windows 2000系统一样输入用户名和密码。打开控制面板的用户帐户，试图更改用户登录和注销的方式，却被提示：一个最近的安装程序已停止欢迎屏幕和快速用户切换，你必须卸载该程序以恢复这些功能，下列文件名可帮助你识别该程序所做的修改：rpcfap.dll 。
        经检查，并不是由NetWare服务所导致的。同时，IE的收藏夹内也被恶意地添加了很多链接。</P><P>       上网搜索，在金山毒霸的病毒资料中得知是中了叫做Win32.Troj.ADLoad.an的木马病毒。该病毒主要影响Win 9x/ME、Win 2000/NT、Win XP、Win 2003等操作系统，并有如下行为：</P><P>       病毒运行后通过网络下载相关的广告插件，下载后的文件伪装成系统正常文件使用户不易察觉。病毒主要通过捆绑软件方式进行传播。</P><P>       1、下载/生成以下文件：
       %Windir%\System32\magicap.dll
       %Windir%\System32\magicap.ver
       %Windir%\System32\magicaptmp.ver
       %Windir%\System32\taskmngr.exe
       %Windir%\System32\autorun.inf
       %Windir%\System32\taskmngrtmp.exe
       %Windir%\System32\d11host.exe
       %Windir%\System32\magicapf.log
       %Windir%\System32\oleauto32.dll
       %Windir%\System32\ntcoredll.dll
       %Windir%\System32\rpcfap.dll
       %Windir%\System32\fileap.dll
       %Windir%\System32\fileap.ver
       %Windir%\System32\msieinslog.dat
       %Windir%\prfexp.dat
       %Windir%\secupadf.dat
       %Windir%\msimfinst.log
       %Windir%\ntcoredlltmp.dll</P><P>       2、通过可用的网络资源下载以下文件：
       http://bms.y****.com/plugin/magicap.ver 保存为: %Windir%\system32\magicap.ver
       http://bms.y****.com/plugin/taskmngr.exe 保存为: %Windir%\system3\taskmngr.exe</P><P>       3、将%windir%\system32\spydll.dll注入explorer进程</P><P>       4、写入注册表项:
       [HEKY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
       {372F096E-977F-4BF9-A97E-0BBED41332F2}="magicaps"
       [HEKY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved]
       {372F096E-977F-4BF9-A97E-0BBED41332F2}="magicaps"
       [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
       d11host="C:\\WINNT\\System32\\d11host.exe"
       [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
       GinaDLL="rpcfap.dll"</P><P>       根据网上的评论，对于该病毒，暂时还没有彻底清除的解决方案。综合了各种方法，我总结了以下步骤，可以解决欢迎屏幕和快速用户切换不能使用的问题：</P><P>方法1：
       1、开机按F8键进入操作系统的安全模式，删除以下所有病毒写入的注册表项目（这些项目未必全部存在，对于存在的项目一定要彻底删除。）：
       [HEKY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
       {372F096E-977F-4BF9-A97E-0BBED41332F2}="magicaps"
       [HEKY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved]
       {372F096E-977F-4BF9-A97E-0BBED41332F2}="magicaps"
       [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
       d11host="C:\\WINNT\\System32\\d11host.exe"
       [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
       GinaDLL="rpcfap.dll"
       [HEKY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellExtensions\Approved]
       (默认)=fileap.dll
       [HEKY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
       (默认)=fileap.dll</P><P>       2、在注册表中搜索rpcfap.dll，并将所有项全部删除（搜索的时候，有的项里面的子值都是上面病毒生成的文件，所以，一定要仔细搜索，彻底删除。）。</P><P>       3、在注册表中搜索fileap.dll，并将所有项全部删除。</P><P>       4、将IE收藏夹中所有被恶意添加的链接全部删除并清空Cookies和IE浏览记录。</P><P>       经过上面的操作，重新启动系统后，就可以看到熟悉的登录画面了。
   
       另外，对于正常的Windows XP系统，rpcfap.dll文件是不存在的，所以，有的人采用进入安全模式后删除该文件的方法，不过，最终连系统都进不去了，所以还是不要轻易尝试简单删除的办法。</P><P>方法2 </P><P>第一步，先拷贝本方法内容到记事本，存到桌面上，一会备用，因为你上不了网了，呵呵。 </P><P>2. 进入注册表先搜索删除下列相关键值（特别提示：不要输入扩展名能查得更准确一些）：
magicap.dll
magicap.ver
magicaptmp.ver
taskmngr.exe
taskmngrtmp.exe
d11host.exe
magicapf.log
oleauto32.dll
ntcoredll.dll
rpcfap.dll
fileap.dll
fileap.ver
msieinslog.dat
prfexp.dat
secupadf.dat
msimfinst.log
ntcoredlltmp.dll
spydll.dl
3.进入系统目录，删除相关文件：
%Windir%\System32\magicap.dll
%Windir%\System32\magicap.ver
%Windir%\System32\magicaptmp.ver
%Windir%\System32\taskmngr.exe
%Windir%\System32\autorun.inf
%Windir%\System32\taskmngrtmp.exe
%Windir%\System32\d11host.exe
%Windir%\System32\magicapf.log
%Windir%\System32\oleauto32.dll
%Windir%\System32\ntcoredll.dll
%Windir%\System32\rpcfap.dll
%Windir%\System32\fileap.dll
%Windir%\System32\fileap.ver
%Windir%\System32\msieinslog.dat
%Windir%\prfexp.dat
%Windir%\secupadf.dat
%Windir%\msimfinst.log
%Windir%\ntcoredlltmp.dll
%Windir%\System32\spydll.dl

注意，如果有些DLL还在运行中无法删除，请重新启动再次进入安全模式，再次进行上述操作，多重启几次，问题就解决了。</P>

国米王子32

经常是一堆垃圾啊。。无奈

chencheng9

这东西自己多动手碰碰就懂了啊

pighead

<B>以下是引用<I>chencheng9</I>在2006-9-8 13:36:51的发言：</B>
这东西自己多动手碰碰就懂了啊

我比电脑还白痴，不敢弄

stephenhe33

LZ也是电脑高人!

ygw7768

一般一般啦        

r9999

<P>现在网络就是最好的老师啦，什么不懂就问网上就行啦</P>

圣地-梅亚查

我的基本是中毒几次就重装几次啊，现在病毒妈的越来越厉害

inter8

我也是自己整自己的电脑的!